Réserver un hébergement au Luxembourg peut s'avérer risqué

À peine la réservation de vacances et la confirmation de la chambre d'hôtel sont-elles finalisées qu'un message arrive sur le numéro de portable personnel du client via WhatsApp, lui demandant de valider la réservation sous peine de voir celle-ci annulée. Le message précise les dates exactes du voyage à venir, le prénom et le nom du destinataire, ainsi qu'un lien permettant de saisir ses coordonnées. Comme les escrocs se réfèrent aux détails d'une réservation authentique, ces messages semblent extrêmement convaincants et visent des personnes qui prévoient effectivement de s'enregistrer prochainement.

Toutefois, un examen plus approfondi de la situation révèle des indices de cybercriminalité. En particulier, les messages sont souvent envoyés depuis des numéros de téléphone britanniques, et le lien hypertexte redirige vers un site web tiers inconnu qui n’a aucun lien avec le site officiel de l’hôtel ni avec la plateforme Booking.com. La Fédération nationale luxembourgeoise des hôteliers et restaurateurs (Horesca) a déjà recensé 15 cas officiels de fraude dans des hôtels locaux. 

Les pirates se font passer pour des membres du personnel administratif et tentent d'obtenir des données de cartes bancaires. Les hôtels concernés ont confirmé que ces incidents concernaient le système de réservation en ligne Lighthouse / Cubilis, qui gère le flux des réservations provenant des sites web des hôtels et des agrégateurs tels que Booking.com et Expedia. Aucune faille technique directe au sein de la plateforme n'a encore été prouvée, mais ces incidents ont contraint la fédération à signaler l'affaire à la police.

L'efficacité remarquable de cette campagne de phishing tient précisément à son approche très ciblée, fondée sur des données authentiques. Outre WhatsApp, les cybercriminels ont recours aux SMS, aux e-mails et même aux fonctionnalités de messagerie interne de services de réservation légitimes. Steve Martinelli, secrétaire général de Horesca, souligne que les principaux signes d'une arnaque restent la création par l'expéditeur d'un faux sentiment d'urgence et la demande d'informations financières confidentielles. Les experts conseillent vivement aux utilisateurs d'ignorer ces notifications, de ne cliquer sur aucun lien intégré et de contacter la direction de l'hôtel exclusivement via des canaux officiels et vérifiés.