Réservations volées : de faux WhatsApp ciblent les skieurs au Tyrol

Mathon, dans la vallée de Paznaun, commune d'Ischgl, en janvier 2016. Photo : KrauS via Wikimedia Commons, CC BY 3.0

Quelque 1 700 établissements d'hébergement dans au moins quatre régions touristiques du Tyrol pourraient être concernés par un vol de données de réservation, dont Ischgl, Serfaus, Seefeld et Stubai. Les clients ayant réservé pour cet hiver reçoivent désormais de faux messages WhatsApp qui semblent venir de leur hôtel. Ils reprennent les vraies dates et le vrai numéro de réservation, et demandent les données de carte via un lien.

• Les données de réservation ont été téléchargées entre le 25 octobre à 23 h 00 et le 26 octobre 2026 à 01 h 15, selon Feratel.
• Les données comprennent le nom, l'adresse, le téléphone, l'e-mail, les dates de voyage, l'hébergement réservé, le prix et l'état du paiement.
• Aucune donnée de carte ni de compte bancaire n'a été dérobée, affirme Feratel.
• Au Tyrol, environ 1 700 établissements pourraient être touchés ; à Salzbourg 97 hôtels ; en Styrie tous les offices de tourisme.
• Une vraie réservation n'exige jamais de nouvelle « validation » via un lien WhatsApp.

Feratel, entreprise d'Innsbruck, exploite le système de réservation Deskline, utilisé par de nombreux offices de tourisme autrichiens. Dans un communiqué adressé à ses partenaires, publié intégralement par Borns IT-Blog, l'entreprise indique que ses propres systèmes n'ont pas été piratés. Un attaquant s'est procuré l'identifiant Deskline d'un partenaire d'interface via un système tiers, et l'a utilisé pour télécharger des réservations.

« Les données de réservation récupérées comprennent le nom, l'adresse, le numéro de téléphone, l'adresse e-mail, les dates de voyage, l'hébergement réservé, le prix du voyage et l'état du paiement », indique le communiqué de Feratel. Il concerne les réservations dont la date d'arrivée est à venir, effectuées via certains canaux de vente. Feratel a bloqué l'accès et modifié les identifiants.

La police du Tyrol a annoncé le vendredi 30 octobre 2026 que des inconnus avaient pénétré dans l'application web d'une société de logiciels du district de Schwaz. L'accès a duré du 17 au 28 octobre 2026. La police n'a pas nommé l'entreprise. Au 2 novembre 2026, ni la police ni Feratel n'ont indiqué qu'il s'agissait de la même affaire.

Au Tyrol, Feratel a cité les offices de tourisme de Stubai, Serfaus, Seefeld et Ischgl, selon ORF Tirol. Environ 1 700 établissements pourraient y être concernés. D'après les retours des offices de tourisme, Feratel s'attend à ce qu'environ un tiers d'entre eux soit touché : ceux qui ont des réservations à venir.

Les chiffres de Salzbourg proviennent d'ORF Salzburg. Le chiffre de 3 000 clients en Styrie vient de la Kleine Zeitung, repris par oe24. La Tiroler Tageszeitung évoquait le 28 octobre 2026 des dizaines de milliers de dossiers au Tyrol.

« Une grande partie des réservations à venir est touchée », a déclaré à ORF Tirol Klaus Gleirscher, directeur de l'office de tourisme de Stubai. Jusqu'à quelle échéance, l'office l'ignore.

Les escrocs écrivent en se faisant passer pour l'hôtel ou l'appartement réservé. Selon l'avertissement des offices de tourisme, lui aussi repris par Borns IT-Blog, les clients sont invités à confirmer la réservation via un lien, à saisir des données personnelles ou à communiquer leurs données de carte. Le message comporte le vrai nom de l'hôtel, les dates et le numéro de réservation, et paraît donc authentique.

Un client néerlandais a reçu un tel WhatsApp dans la soirée du mardi 27 octobre 2026, d'après skiinformatie.nl. Le message lui demandait de « valider » la réservation dans les 24 heures. Il a saisi ses données de carte en moins d'une demi-heure. « Ça avait l'air tout à fait normal », a-t-il confié au site. Des amis l'ont alerté, et il a bloqué sa carte à temps.

Des signalements ont été transmis à l'autorité autrichienne de protection des données, a écrit ORF Tirol. Une plainte a été déposée auprès de la police, et Feratel travaille avec des experts en investigation numérique extérieurs. Il sera « très difficile de savoir » combien de clients et d'hôtels sont touchés, a déclaré un porte-parole de la police à l'agence APA, repris par les Salzburger Nachrichten. Au 2 novembre 2026, le total des dégâts n'est pas connu.

Un séjour au ski commence par la réservation, alors vérifiez-la d'abord :

• N'ouvrez pas les liens contenus dans des messages sur votre réservation. Une vraie réservation n'exige pas de nouvelle validation.
• Appelez votre hôtel uniquement au numéro figurant sur votre confirmation d'origine ou sur son site officiel.
• Ne communiquez jamais de données de carte ou de compte bancaire via un lien dans WhatsApp, un SMS ou un e-mail.
• Si vous avez saisi vos données de carte, appelez immédiatement votre banque pour la faire bloquer, et signalez les faits à la police.

Une fois la réservation sécurisée, place aux skis. Le sélecteur Pick-A-Ski compare les skis de cette saison selon votre niveau, votre terrain et votre taille. Pour une semaine de pistes damées et un peu de hors-piste dans des stations comme Ischgl ou Serfaus, commencez par notre top 5 des skis all-mountain.