Fuite de données chez Otelier

Les types de données observés dans cette fiche sont les adresses e-mail, les noms, les données partielles de cartes de crédit, les numéros de téléphone, les adresses physiques, les historiques d’achats et les projets de voyage. Le champ de mot de passe n’a pas été vérifié; le risque concerne les réservations et les voyages. Les champs non vérifiés relatifs aux cartes de paiement, aux comptes bancaires, aux messages privés, aux dossiers médicaux ou à des informations de profil supplémentaires n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

Les dates de voyage et les informations sur les hôtels peuvent rendre crédibles de faux messages de réservation, d’enregistrement à l’hôtel, de mise à jour des paiements ou de programmes de fidélité. Une adresse e-mail seule expose à des messages indésirables; associée à un numéro de téléphone, une adresse, une adresse IP, une date de naissance, un mot de passe, un projet de voyage, des données partielles de carte bancaire ou des données d’appareil, elle permet plus facilement à un attaquant de créer un message personnalisé pour l’utilisateur. L’évaluation du risque a tenu compte de cet effet combiné.

Le périmètre confirmé pour juillet 2024 couvre environ 436 855 adresses e-mail de clients. Les champs vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. L’incident n’a pas été regroupé avec des jeux de données portant des noms similaires, des événements survenus à d’autres périodes dans la même entreprise ou des références sectorielles incorrectes.

Aucune adresse e-mail supplémentaire générée à partir d’autres plateformes n’a été incluse dans cette fiche; celle-ci a été limitée aux données clients vérifiées du côté d’Otelier. Le nom de domaine, le nom de l’entreprise et le secteur d’activité ont été conservés dans le contexte exact le plus restreint possible. En cas d’incertitude, l’indicateur de vérification ou le champ du site web a été renseigné en conséquence; l’utilisateur n’a donc pas été confronté à une attribution incertaine de responsabilité à une marque.

Les groupes d’utilisateurs exposés peuvent comprendre les clients ayant réservé un hôtel, les voyageurs d’affaires et les clients des marques hôtelières utilisant l’infrastructure d’Otelier. Si vos données correspondent à celles de cette fiche, vous devriez également examiner vos autres comptes sur lesquels vous utilisez la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou des mots de passe construits sur le même modèle, en dehors du service concerné.

Les informations sur les projets de voyage sont plus sensibles que les données de communication ordinaires, du point de vue de la sécurité physique et de la fraude. Un contexte lié à une adresse e-mail professionnelle, un compte d’établissement d’enseignement, une réservation d’hôtel, un abonnement à un service de télécommunications, une communauté de jeux vidéo, un don à un projet open source ou un logiciel de surveillance peut accroître le risque d’ingénierie sociale. Des détails qui semblent exacts ne constituent pas, à eux seuls, un gage de confiance.

Si vous êtes concerné, vérifiez les réservations d’hôtel, les messages d’enregistrement à l’hôtel, de mise à jour des paiements et de programmes de fidélité directement auprès de l’hôtel ou du canal de réservation. Pour les fiches comportant un champ de mot de passe, modifiez le mot de passe de tous les comptes qui utilisent ce même mot de passe; pour les fiches sans champ de mot de passe, il convient de se concentrer sur les risques liés aux e-mails, au téléphone, à l’hameçonnage, à la vie privée et au rapprochement d’identités.

Plutôt que de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Ne vous fiez pas aux messages concernant des livraisons, des alertes de compte, des récompenses de jeu, l’assistance, des notifications aux donateurs, des réservations de voyage, des notifications de sécurité ou des renouvellements d’abonnement sans les vérifier par un canal indépendant.

Utilisez des mots de passe distincts pour vos comptes de voyage, faites le tri dans les notifications de paiement et supprimez les adresses enregistrées inutiles. Vous devriez régulièrement faire le tri dans vos anciens comptes, les champs de profil inutiles, les noms d’utilisateur en double et les anciennes coordonnées téléphoniques et postales. Un mot de passe unique pour chaque service et une vérification en deux étapes lorsque c’est possible devraient être des règles de base.

Pour les fournisseurs de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et des procédures de notification des utilisateurs prêtes à être mises en œuvre sont nécessaires. Dans les logiciels hôteliers, les projets de voyage et les données partielles de cartes bancaires nécessitent des durées de conservation strictes et un contrôle des accès. Décrire précisément le périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

Vérifiez d’abord si votre adresse e-mail figure dans cette fiche. Si une correspondance est trouvée, considérez que vos projets de voyage, votre adresse, votre numéro de téléphone et vos données partielles de carte bancaire peuvent être exposés; examinez attentivement les messages de réservation. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; vos comptes critiques devraient également être examinés.

Cette fiche a été vérifiée et mise à jour pour être marquée comme sensible. Lors de cette révision, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc dans une formulation originale, les champs non vérifiés n’ont pas été ajoutés et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.