Fin septembre, puis les 8 et 9 octobre 2026, deux PMS utilisés par des conciergeries françaises ont subi une fuite de données. Les pirates exploitent les réservations réelles pour envoyer aux voyageurs des messages WhatsApp crédibles, avec un lien à cliquer pour « vérifier » leur check-in. Toutes les conciergeries clientes de ces éditeurs sont concernées, et le scénario peut toucher n'importe quel logiciel demain. Voici les réflexes à adopter dès maintenant, en complément des recommandations de la CNIL.
L'avis de la rédaction :
→ Le prochain PMS piraté est une question de calendrier, pas de probabilité : avec des milliers de réservations centralisées par éditeur, ces logiciels sont devenus une cible prioritaire et aucun acteur n'en est protégé.
→ Le canal WhatsApp sort affaibli de cet épisode, sauf pour les conciergeries qui l'encadrent : un numéro annoncé sur la plateforme, vérifié par Meta et sans lien externe au premier message reste identifiable, un message automatique non sollicité devient suspect.
→ D'ici 12 à 24 mois, la transparence de l'éditeur en cas d'incident deviendra un critère de choix de PMS à part entière, au même titre que le prix ou les connexions OTA.
Ce que cette fuite de données PMS révèle vraiment
Le mode opératoire a été décrit publiquement sur LinkedIn par Vasilije Budimlija, fondateur de l'agence OptiRental, qui a relayé les alertes de conciergeries clientes. Les messages arrivent sur le vrai numéro du voyageur, avec le vrai nom de l'établissement et les dates exactes du séjour. Ils ne demandent aucun paiement, seulement de cliquer sur un lien pour vérifier les informations de réservation. Selon lui, ces liens pointent vers un nom de domaine en .rest, une extension sans rapport avec l'hébergement.
C'est précisément ce qui rend l'attaque efficace. Toutes les informations visibles sont exactes, puisqu'elles proviennent du PMS (Property Management System, le logiciel central de gestion des réservations). Et l'absence de demande d'argent fait tomber la vigilance de voyageurs habitués à recevoir des messages pré-arrivée par WhatsApp.
Les deux éditeurs ont prévenu leurs clients par un e-mail d'information sur la fuite. À notre connaissance, aucun n'a communiqué publiquement à ce stade. Welkomz a fait le choix de ne pas les nommer : l'enjeu n'est pas de désigner un coupable, mais d'outiller les gestionnaires. Vasilije Budimlija le résume sans détour : « cela peut et va probablement arriver à tout le monde, à un moment ou un autre ».
Le vrai signal est structurel. Les conciergeries ont multiplié les canaux de contact pour fluidifier le parcours voyageur, avec l'automatisation comme moteur. Chaque canal ajouté est aussi une surface d'usurpation supplémentaire.
Conséquences concrètes : le plan d'action en 5 points face à une fuite de données PMS
Les trois premières recommandations sont celles que Vasilije Budimlija a transmises à ses clients, puis à l'un des deux éditeurs concernés.
Impact 1 - Réservations OTA : revenir aux messageries des plateformes. Pendant quelques semaines, faites passer toutes vos communications par les messageries Airbnb, Booking.com ou Abritel (les OTA, ou agences de voyage en ligne), quitte à suspendre certaines automatisations WhatsApp. Sinon, le voyageur ne peut plus distinguer votre message légitime de celui d'un pirate.
Impact 2 - Réservations directes : annoncer votre adresse d'envoi. Indiquez clairement aux voyageurs l'adresse e-mail, sur votre propre nom de domaine, depuis laquelle partent vos instructions de check-in. C'est l'un des arguments de fond pour développer vos réservations directes sur des bases saines : un domaine identifiable est un repère de confiance.
Impact 3 - Un numéro de référence, et l'appel vient toujours du voyageur. Communiquez un numéro de téléphone fixe à appeler en cas de doute, sur votre site, dans votre livret d'accueil et dans la messagerie OTA. Précisez que l'appel doit toujours être à l'initiative du voyageur, jamais vers un numéro figurant dans un message reçu.
Impact 4 - Rassurer avec méthode chaque voyageur qui vous contacte. Confirmez que le message ne vient pas de vous et demandez-lui de ne pas cliquer. S'il a déjà saisi des données bancaires, il doit contacter sa banque immédiatement. Il peut signaler et bloquer l'expéditeur dans WhatsApp, et signaler un faux site sur internet-signalement.gouv.fr.
Impact 5 - Vérifier vos propres obligations RGPD. En règle générale, la conciergerie est responsable du traitement des données de ses voyageurs, et le PMS agit comme sous-traitant. Or le responsable de traitement doit notifier une violation à la CNIL dans les 72 heures après en avoir pris connaissance, et informer les personnes concernées en cas de risque élevé. L'e-mail reçu de votre éditeur peut faire courir ce délai : faites valider votre situation par votre DPO ou votre conseil juridique.
Le message type à adresser à vos voyageurs
Un texte court, envoyé via la messagerie OTA ou depuis votre domaine, suffit à désamorcer la majorité des inquiétudes. Par exemple : « Des messages frauduleux utilisant des informations de réservation circulent actuellement sur WhatsApp. Nous ne vous demanderons jamais de cliquer sur un lien externe pour vérifier votre réservation. Nos échanges passent uniquement par [messagerie de la plateforme / adresse e-mail]. En cas de doute, appelez-nous au [numéro]. »
Ce type de message s'intègre naturellement dans une stratégie de communication voyageurs structurée, au lieu de rester une réponse au cas par cas.
Faut-il renoncer à WhatsApp ? Quatre règles pour rester identifiable
Le repli sur les messageries OTA est une mesure d'urgence, pas une stratégie durable. WhatsApp reste le canal préféré de nombreux voyageurs, et beaucoup de conciergeries y ont construit leur relation client. La question est donc de savoir comment l'utiliser sans offrir de prise aux usurpateurs.
Laurent Dumoulin, CEO de Smartiz.ai, une plateforme agentique WhatsApp dédiée à la location courte durée, défend un usage encadré plutôt qu'un abandon. Sa position est celle d'un éditeur qui a intérêt au maintien du canal, mais ses règles s'appliquent quel que soit l'outil utilisé.
Règle 1 - Annoncer WhatsApp depuis la plateforme. Le premier message part toujours de la messagerie OTA. Si la suite des échanges passe par WhatsApp, ce message le précise, avec le numéro utilisé et le type d'informations qui seront envoyées. Laurent Dumoulin insiste : si des liens doivent suivre, il faut le dire en amont. L'exemple le plus courant est le lien vers le livret d'accueil.
Règle 2 - Faire enregistrer le numéro. « On demande au voyageur d'enregistrer le numéro dès la confirmation de réservation. Cela évite toute confusion », explique Laurent Dumoulin. Un message reçu d'un contact enregistré se distingue immédiatement d'un message venu d'un numéro inconnu.
Règle 3 - Obtenir la vérification Meta. Le badge bleu du programme Meta Verified confirme que le compte WhatsApp Business appartient bien à l'entreprise affichée. Pour Laurent Dumoulin, ce repère visuel aide le voyageur à trier les messages légitimes. La démarche passe par Meta Business Manager et demande un profil d'entreprise complet.
Règle 4 - Aucun lien externe dans le premier message automatisé. Des conciergeries envoient encore un lien de paiement de caution par WhatsApp dès le premier contact, c'est-à-dire exactement le format qu'imitent les pirates. « Il faut d'abord installer une relation de confiance », résume Laurent Dumoulin. Les liens de caution gagnent à passer par la messagerie OTA ou à arriver une fois le contact établi.
Il ajoute un point qui dépasse la technique : « On parle beaucoup d'automatisation mais rien n'empêche aussi parfois un petit coup de téléphone à certains voyageurs pour établir une relation de confiance. » En période de doute, un appel sortant de la conciergerie, annoncé au préalable sur la plateforme, rassure plus vite que n'importe quel message.
Éditeurs et conciergeries : une sécurité qui se joue des deux côtés
Rassurer les voyageurs traite les conséquences. Réduire le risque suppose aussi de regarder ses propres pratiques. François Lavie, CTO de RentalReady, un PMS qui ne fait pas partie des deux éditeurs concernés, a partagé avec Welkomz son analyse :
« Les attaques récentes contre plusieurs PMS montrent que notre secteur est devenu une cible privilégiée des cybercriminels. Les plateformes concentrent énormément de données sensibles : coordonnées des voyageurs, informations sur les réservations, accès aux logements... Une fuite peut rapidement se transformer en campagne de phishing très crédible, notamment sur WhatsApp.
Chez RentalReady, nous investissons régulièrement dans la sécurité de notre plateforme, notamment à travers des audits de sécurité, des tests d'intrusion (pentests) et des contrôles techniques. Mais la sécurité ne repose pas uniquement sur les éditeurs de logiciels : les conciergeries ont aussi un rôle essentiel à jouer.
Je suis parfois surpris de voir que certaines entreprises n'utilisent toujours pas systématiquement la double authentification (2FA), ni de gestionnaire de mots de passe. Ce sont pourtant des mesures simples qui réduisent considérablement les risques.
Pour les structures plus importantes, je recommande également de mettre en place des formations régulières à la détection du phishing, avec des outils comme Riot qui permettent de simuler des attaques et de sensibiliser les équipes.
Enfin, une formation de base à la cybersécurité devrait être obligatoire pour chaque nouveau collaborateur, dès son arrivée. Avec l'IA, les tentatives de phishing deviennent de plus en plus convaincantes, et la vigilance humaine reste indispensable.
La cybersécurité n'est plus seulement un sujet technique : c'est une responsabilité partagée entre les éditeurs de PMS et les gestionnaires de biens. »
Concrètement, la priorité est d'activer la double authentification sur les comptes qui donnent accès aux données voyageurs : PMS, comptes Airbnb et Booking.com, messagerie e-mail et WhatsApp Business. C'est aussi le moment d'interroger votre éditeur sur la fréquence de ses audits et de ses tests d'intrusion.
Ce qu'on ne sait pas encore
Quel a été le point d'entrée des pirates dans les deux cas ? Sans communication publique des éditeurs, impossible de dire s'il s'agit d'une faille logicielle, d'un accès compromis ou d'une connexion tierce.
Quelles données ont réellement fuité ? Noms, téléphones et dates sont avérés. Si votre PMS stocke aussi des codes d'accès ou des codes de boîte à clés, la prudence impose de les modifier pour les séjours à venir et de revoir votre procédure d'arrivée.
D'autres éditeurs sont-ils touchés sans le savoir ? Deux attaques en deux semaines avec le même procédé suggèrent un mode opératoire reproductible, pas un incident isolé.
Ce que ça change pour votre activité
Si vous êtes client de l'un des deux éditeurs, appliquez les cinq points dès aujourd'hui. Si vous ne l'êtes pas, préparez-les maintenant : message type rédigé, numéro de référence publié, liste des automatisations WhatsApp à couper en un clic. Si WhatsApp est au coeur de votre relation voyageur, relisez votre premier message automatisé : s'il contient un lien, c'est le premier point à corriger. Profitez-en pour interroger votre éditeur sur sa procédure en cas d'incident, un critère à intégrer à votre grille au moment de choisir votre logiciel de conciergerie.
Pour aller plus loin sur la protection de vos voyageurs, consultez notre guide complet : Arnaque Airbnb, le guide pour les reconnaître et s'en protéger.
Discussion des membres