Les vacances d’été arrivent, les arnaques aux réservations Booking menacées d’annulation aussi

Si vous avez réservé un logement sur Booking pour de futures escapades, soyez vigilant. Des messages frauduleux comportant nos informations de réservation réelles sont envoyés en masse et nous font croire que notre réservation va être annulée sans intervention de notre part.

Alors que les vacances d'été s'approchent, on peut s'attendre à une recrudescence d'activité des réseaux d'arnaqueurs. Une campagne de fraude à grande échelle visant les utilisateurs qui ont réservé des logements à travers la plateforme Booking est actuellement en cours. Les cibles reçoivent des messages inquiétants leur indiquant qu'elles doivent confirmer leur réservation pour que celle-ci ne soit pas annulée. Il est aisé de tomber dans le piège, car les fraudeurs ont accès aux véritables informations de réservation.

Nous sommes deux au sein de la rédaction de Phonandroid à avoir reçu un tel message, via WhatsApp. Dans les deux cas, le message d'avertissement comprend notre nom, celui de l'hôtel réservé sur Booking, ainsi que les dates exactes du séjour. La plateforme Booking n'est jamais mentionnée, le compte WhatsApp essayant de se faire passer directement pour l'hôtel, et non pour Booking. D'autres arnaques usurpent l'identité de l'entreprise pour parvenir à leurs fins, nous avons ici affaire à une autre stratégie. Certains clients pourraient ainsi penser qu'il est normal qu'ils n'aient pas reçu de message directement sur leur compte Booking si l'établissement les contacte depuis leurs propres coordonnées.

Une arnaque à la réservation Booking pas exempte de défauts

Comme souvent dans ce genre de cas, les escrocs tentent de créer un sentiment d'urgence pour susciter la panique chez l'utilisateur, qui pense se retrouver sans logement pour son voyage et va agir sous le coup du stress. On nous menace d'une deadline de quelques heures seulement pour confirmer la réservation, sous peine de voir celle-ci annulée.

L'utilisateur est invité à cliquer sur un lien générique qui n'inspire pas la confiance, ce qui commence à nous mettre la puce à l'oreille. Un bouton “Cancel my reservation” est aussi intégré à la fin du message. Ils renvoient sans doute vers une fausse page qui cherche à subtiliser nos données personnelles et nos informations bancaires, nous avons préféré ne pas cliquer dessus pour en avoir le cœur net. Quand on se rend manuellement sur Booking pour vérifier le statut de la réservation, tout apparaît normalement.

Les messages sont rédigés en anglais et proviennent de comptes WhatsApp professionnels (WhatsApp Business). Lorsqu'on se rend sur le profil d'entreprise, on constate que le numéro d'envoi provient du Royaume-Uni et que le nom de l'émetteur est en portugais ou en espagnol (l'émetteur n'est pas le même dans les deux messages, mais la photo de profil est partagée). Le compte indique une adresse e-mail associée à Booking et l'adresse URL légitime de Booking pour tenter de gagner en légitimité, ce qui n'a que peu de sens vu que le compte cherche à se faire passer pour l'hôtel et non pour Booking dans le message envoyé.

Les données de nos réservations Booking sont dans la nature

Outre le fait que certains utilisateurs peuvent tomber dans le panneau, il est inquiétant de constater que nos informations de réservations effectuées sur Booking sont en libre accès pour les réseaux d'arnaqueurs. Il n'est pas plaisant de savoir que des inconnus savent exactement où nous nous rendons et quand. On peut aussi reprocher à WhatsApp d'autoriser des comptes Business soi-disant vérifiés, qui servent à lancer ce genre de campagne de fraude d'envergure.

Il y a quelques semaines, nous vous prévenions déjà que des cybercriminels parviennent à accéder à de vraies informations de réservation Booking pour piéger les clients. L'expert en cybersécurité Norton constatait une “forte augmentation des attaques ciblant les voyageurs ayant une réservation active, avec des messages personnalisés (nom, dates, parfois montant exact)” et des attaques visant notamment l'Europe de l'Ouest, dont la France.

Booking confirmait alors que des données personnelles avaient bien été volées, précisant que la fuite ne provient pas de ses propres systèmes, mais de ceux de partenaires d’hébergement. Dans notre cas, une réservation a été effectuée plusieurs semaines après qu'on a constaté ce problème de fuite des informations de réservation passée sur Booking. Cela signifie que deux mois plus tard, les vulnérabilités n'ont pas été comblées et existent toujours.