Fuite de données chez TUI : quand les escrocs connaissent déjà vos vacances

Un message mentionnant le bon hôtel et les bonnes dates de séjour peut sembler rassurant. L’incident révélé chez TUI montre pourtant que ces détails peuvent aussi servir à piéger les voyageurs. Pour les agences, la vigilance et l’accompagnement des clients deviennent essentiels.

TUI a confirmé à HLN et VTM NIEUWS avoir été victime d’une fuite de données, selon les informations publiées le 10 octobre.

L’entreprise enquête pour déterminer l’origine de l’incident, les informations concernées et le nombre de clients potentiellement touchés. Au 11 octobre, l’ampleur exacte de la fuite reste à établir.

Le témoignage d’un voyageur illustre le danger. Celui-ci a reçu un message WhatsApp contenant son nom, son numéro de téléphone, l’hôtel réservé et les dates précises de ses vacances. Sous prétexte de faciliter son arrivée, l’expéditeur l’invitait à cliquer sur un lien dans les douze heures, en menaçant de faire annuler sa réservation. Le message était frauduleux.

Des données suffisamment protégées ?

Cette fuite soulève une question légitime : les données des voyageurs étaient-elles suffisamment protégées, chez TUI comme chez ses partenaires ?

Une fuite ne prouve cependant pas, à elle seule, une protection insuffisante ou une négligence du voyagiste.

Plusieurs origines sont possibles : une faille technique, un compte compromis ou un incident chez un prestataire ayant accès aux réservations.

Il s’agit d’hypothèses que l’enquête devra départager.

Il faudra notamment établir quelles protections étaient en place, comment elles ont été contournées et si des faiblesses auraient pu être évitées.

Dans l’attente, attribuer l’incident à une défaillance précise du système de TUI serait prématuré : l’entreprise recherche encore l’origine et l’étendue de la fuite.

Des arnaques beaucoup plus convaincantes

La principale conséquence possible est un hameçonnage ciblé : les fraudeurs utilisent des informations exactes pour rendre leur demande crédible.

Un faux solde à régler, une prétendue garantie bancaire exigée par l’hôtel ou une réservation à « reconfirmer » deviennent ainsi des scénarios plausibles.

La connaissance du voyage rassure le destinataire ; l’urgence imposée l’incite à agir avant de vérifier.

Le risque est alors de communiquer des identifiants, des données bancaires ou d’effectuer un paiement au profit d’un escroc.

Il faut toutefois distinguer les faits établis des risques envisagés.

Les informations disponibles ne permettent pas d’affirmer que des mots de passe, des données de cartes bancaires ou des copies de passeports ont été dérobés.

La nature complète des données concernées reste à préciser.

Les agences en première ligne

Pour les professionnels belges du voyage, les retombées pourraient se traduire par davantage d’appels inquiets, de vérifications de dossiers et de demandes d’assistance.

Un client qui reçoit une menace d’annulation se tourne naturellement vers l’agence qui lui a vendu ses vacances.

Informer rapidement les voyageurs constitue donc une mesure utile.

Le message à transmettre est simple : un interlocuteur qui connaît votre hôtel et vos dates de départ n’est pas nécessairement un interlocuteur légitime.

Toute demande inhabituelle de paiement ou de confirmation doit être vérifiée auprès de l’agence ou de TUI, en utilisant des coordonnées déjà connues, plutôt que celles fournies dans le message suspect.

TUI recommande également de ne pas cliquer spontanément sur les liens reçus et de contacter son centre de contact en cas de doute.

La confiance, autre enjeu de l’incident

Au-delà d’éventuelles pertes financières pour les victimes, cette affaire pourrait affecter la confiance envers le voyagiste et entraîner une charge supplémentaire pour ses équipes et ses distributeurs.

La clarté des informations communiquées — clients concernés, données exposées et mesures prises — sera déterminante pour rassurer.

Pour le secteur, l’incident rappelle que la protection des données fait partie intégrante du service au voyageur.

Une réservation contient des informations qui, entre de mauvaises mains, peuvent devenir les ingrédients d’une escroquerie très convaincante.

En pratique, les messages suspects peuvent être transmis à suspect@safeonweb.be, éventuellement sous forme de capture d’écran.

Si un client a communiqué ses données bancaires ou effectué un paiement frauduleux, Safeonweb recommande de contacter immédiatement sa banque et/ou Card Stop au 078 170 170, et de déclarer l’escroquerie à la police en cas de préjudice. 

L’agent de voyages a ici une occasion concrète de démontrer sa valeur : aider son client à vérifier une demande avant qu’un simple clic ne compromette ses vacances.

ETIENNE