Contrats juridiques, identifiants... ADN Tourisme a été piraté !

La série noire se poursuit dans le tourisme.

Après la vague de cyberattaques ayant touché Belambra, Maeva et Gîtes de France la semaine passée, la déferlante continue. Nous venons d’apprendre qu’ADN Tourisme a connu pareille mésaventure.

Le regroupement des fédérations des acteurs institutionnels du tourisme a vu sa plateforme piratée.

L’opération a été revendiquée par 111 GRP, fraîchement arrivé dans l’univers des piratages informatiques et qui s’est fait connaître avec l’attaque menée contre une plateforme de France Éducation International.

Si le groupuscule malveillant ne semble pas avoir affecté les tests passés par les collégiens français sur Ev@lang, les dégâts concernant ADN Tourisme semblent bien plus importants.

Comme le révèle French Breaches, les hackers sont repartis avec une quantité importante de données, dont des contrats juridiques signés avec des prestataires.

Ce sont plus de 100 Go de données, soit près de 732 000 fichiers, qui ont été subtilisés.

Les chiffres ne sont pas les plus importants dans cette histoire. C’est surtout le contenu qui interpelle. Au total, 50 702 personnes sont exposées, mais plus grave encore, les pirates seraient repartis avec l’ensemble des informations figurant sur la plateforme d’ADN Tourisme, dont les sauvegardes.

D’après le site spécialisé dans les fuites de données, le groupuscule aurait en sa possession des contrats juridiques, des identifiants et des secrets d’accès. Surtout, ADN Tourisme comprend des pages dédiées à ses adhérents, qui permettent d’accéder à des services numériques et juridiques.

Ainsi, 111 GRP a pu mettre la main sur des documents d’offices de tourisme, de comités départementaux et régionaux du tourisme, qu’il s’agisse de contrats, de clauses juridiques ou de modèles contractuels.

Outre les données des institutionnels, celles de grands groupes ayant contracté avec ADN Tourisme ou lui fournissant des services auraient également été subtilisées.

D’ailleurs, les pirates affirment avoir "supprimé toutes vos données".

Derrière, l’industrie touristique institutionnelle et les entreprises ayant signé des accords avec ADN Tourisme, comme la SNCF, Leroy Merlin, BPCE ou ALPA GROUP, risquent de connaître des campagnes de phishing ou des attaques contre leurs propres infrastructures informatiques, puisque des identifiants et mots de passe auraient été trouvés, ou encore des tentatives d’usurpation d’identité.

Pour l’heure, nous ne savons pas ce qu’il s’est passé concernant la compromission d’ADN Tourisme.

Lors de sa cyberattaque contre France Éducation International, 111 GRP avait utilisé un accès non autorisé via les identifiants valides d’un compte de collaborateur externe.

Une chose est sûre : le secteur du tourisme, s’il n’est pas nécessairement une cible privilégiée des pirates, reste un secteur qui semble faire les frais de sa gestion de la cybersécurité.

"Le risque zéro de piratage n’existe pas, mais il est possible d’éviter ces choses basiques. Peut-être que le jour où les Français diront : je ne veux travailler ou consommer qu’auprès de prestataires de confiance, qui sécurisent mes données, alors il y aura une prise de conscience.

Il y a vraiment un laxisme général sur la cybersécurité, qui est vue comme une contrainte et non comme quelque chose de nécessaire pour les entreprises.

Il y a sans doute un problème d’acculturation au sujet. Nous gérons les risques de cybersécurité comme nous gérons l’achat d’un cadre ou d’une plante pour l’entrée du bureau. C’est le bon moment pour en parler.

Il faut vraiment que l’on commence à se retrousser les manches et à travailler, car ce type de fuite de données, en Europe, nous sommes vraiment l’un des seuls à connaître ce genre d’histoire", nous confiait Christophe Mazzola, fondateur de la Cyber Academy et directeur de la pratique GRC chez Cresco Cybersecurity.

Et la liste des acteurs du tourisme à s’être fait pirater au mois de mai est longue, très longue.

Nous y retrouvons Best Western Hotels, avec un accès non autorisé identifié entre le 14 octobre 2025 et le 22 avril 2026, MediaVacances, avec 256 000 factures et documents, Lagrange Vacances, avec 44 194 réservations uniques, Camping-Car Plus, Nemea Groupe, avec des données d’identité, des mails et des coordonnées bancaires, AVEA Séjours / AVEA Vacances, avec 18 139 personnes concernées, Les Embruns d’Oléron, avec 1 832 personnes touchées, ou encore HPA Guide, avec 3 253 comptes.