Les données personnelles et les réservations de millions de clients Marriott, Hilton et Hyatt ont été exposées suite à une cyberattaque majeure ayant touché Otelier, leur plateforme commune de gestion hôtelière.
C'est une nouvelle qui fait une fois de plus trembler le secteur hôtelier : Otelier (pardonnez-moi cet espèce d'homophone), un service cloud utilisé par plus de 10 000 hôtels à travers le monde, a subi une cyberattaque d'envergure cet été, qui s'est prolongée durant de longues semaines.
Les pirates ont réussi à mettre la main sur près de 8 téraoctets de données sensibles, compromettant les informations personnelles de millions de clients de grandes chaînes comme Marriott, Hilton et Hyatt. Une brèche qui soulève de sérieuses questions sur la sécurité des données dans l'industrie hôtelière.
Une attaque sophistiquée aux conséquences majeures pour les géants hôteliers
Remontons le fil des événements. La compromission initiale d'Otelier remonte à juillet 2024. À cette époque, des cybercriminels ont réussi à s'infiltrer dans le système Atlassian de l'entreprise, en utilisant des identifiants dérobés à l'aide d'un logiciel malveillant.
Cette première intrusion leur a permis d'accéder aux tickets d'assistance et à la documentation interne, révélant ainsi des informations cruciales pour accéder aux serveurs cloud d'Amazon (S3).
Une fois dans la place, les pirates ont pu extraire des millions de documents confidentiels, et ce pendant plusieurs mois. Parmi les données dérobées figurent les rapports nocturnes des hôtels, les audits des équipes, mais surtout les informations personnelles des clients : les noms, adresses, numéros de téléphone et adresses e-mail sont désormais entre les mains des hackers.
L'ampleur de la fuite est considérable : selon Troy Hunt, expert en cybersécurité relayé par Cyber Insider, la base de données des réservations contenait 39 millions d'entrées, tandis que celle des utilisateurs en comptabilisait 212 millions. Après nettoyage des doublons, ce sont tout de même 1,3 million d'adresses e-mail uniques qui ont été compromises.
Des répercussions en cascade pour l'industrie hôtelière
Un petit peu dans la panade, les grandes chaînes hôtelières ont bien tenté de limiter les dégâts. Marriott, particulièrement touchée et déjà ciblée de nombreuses fois par le passé, a immédiatement suspendu ses services automatisés fournis par Otelier.
L'entreprise assure au passage que ses propres systèmes n'ont pas été compromis, mais la confiance des clients pourrait être ébranlée par cette nouvelle fuite de données.
Les cybercriminels ont même tenté de monnayer leur butin en ciblant directement Marriott, avec des demandes de rançon en cryptomonnaie. Une tentative qui a échoué, puisque les malfaiteurs ont perdu l'accès aux systèmes en septembre après une rotation des identifiants. Les données dérobées restent néanmoins entre leurs mains.
Les experts en cybersécurité alertent ic sur les risques d'hameçonnage ciblé. Bien que les mots de passe et les informations bancaires semblent avoir été épargnés, les données volées pourraient servir à orchestrer des attaques par phishing très crédibles. Les clients des hôtels concernés sont donc appelés à redoubler de vigilance face aux courriers électroniques suspects qu'ils pourraient recevoir d'acteurs se faisant passer pour ces établissements.
