Fuites de données : pourquoi le tourisme doit sécuriser toute sa chaîne [ABO]

Cet été, la France a fuité. Et le tourisme, lui, vend de la confiance.

Pendant que le secteur encaissait son pic d'activité, le pays vivait une autre saison haute. Une cinquantaine de fuites de données confirmées par leurs propres victimes sur le seul mois d'août, selon le décompte tenu par FrenchBreaches au 23 août dernier.

La direction générale des Finances publiques, avec plus de 670 000 contribuables exposés via un outil interne relié à impots.gouv.fr, puis plus de deux millions de propriétaires par les données cadastrales.

Le ministère de l'Éducation nationale, quarante-trois gigaoctets. SFR et ses 2,1 millions de comptes. Le drive d'Intermarché, 1,7 million. La Protection civile, 525 000 profils, bénévoles mineurs compris. L'Inserm, Santé publique France, Bloctel, les Hospices civils de Lyon, le fichier national d'identification des chiens et des chats, la Fédération française de handball.

Vous aurez remarqué qu'il n'y a là ni tour-opérateur, ni chaîne hôtelière, ni agence de voyages, ni réceptif. C'est précisément pour cette raison qu'il faut lire cette liste.

Parce que ce que l'été 2026 a remis sur la table n'est pas un sujet de secteur. C'est un sujet de confiance, et la confiance est la matière première de votre métier, bien avant d'être celle du mien.

Je vais donc faire quelque chose d'inhabituel dans ces colonnes : parler très peu de tourisme, et beaucoup de la solidité d'une entreprise quand elle prend un coup.

Regardez qui a été touché. L'État, c'est-à-dire l'organisation qui dispose des budgets les plus lourds, des effectifs les plus nombreux et d'une agence nationale dédiée.

Un opérateur télécom, c'est-à-dire une entreprise dont le réseau est le cœur de métier. Une enseigne de grande distribution. Trois mois plus tôt, en mai, c'était Pierre & Vacances-Center Parcs, Belambra et Gîtes de France en 72 heures, soit les acteurs les plus installés du séjour en France.

Lire à ce sujet : Trois piratages en trois jours : pourquoi le tourisme va devoir prouver sa sécurité

Il faut donc en tirer la conclusion qui dérange : la taille d'un acteur ne dit rien de sa sécurité. Elle dit seulement l'ampleur de ce qu'il expose.

Quand vous choisissez un moteur de réservation, un channel manager, un CRM ou un prestataire de paiement, le raisonnement qui consiste à se dire qu'un gros fournisseur est forcément un fournisseur sérieux est un raccourci mental, pas une analyse.

Notre cerveau assimile la notoriété à la fiabilité parce que c'est économique en énergie, et parce que ça nous décharge d'une décision inconfortable. Les attaquants, eux, connaissent ce réflexe mieux que nous et en vivent très bien.

Retrouvez tous les articles de Christophe Mazzola en cliquant sur ce lien.

La plus grosse affaire d'août ne concerne aucune grande marque. Elle vise BlgCloud, éditeur français d'un ERP utilisé par des concessionnaires, des loueurs et des distributeurs de matériel agricole et de BTP.

L'attaquant revendique un accès à environ 159 environnements clients sur les 230 que compte la plateforme ; l'éditeur a reconnu l'intrusion le 8 août et n'en confirme que treize. Quel que soit le chiffre retenu, treize entreprises ont depuis déclaré une fuite au titre de cet incident, pour 185 gigaoctets au total. Aucune d'entre elles n'a été piratée. Elles ont été atteintes.

Le rapport annuel de la CNIL, publié en mai, chiffre ce mécanisme avec une brutalité qu'on a peu commentée. L'autorité a reçu 17 802 notifications de violation en 2025. Elle en a retiré 11 635 de sa statistique de tendance, parce qu'elles découlaient toutes de la compromission de deux éditeurs de logiciels et remontaient de leurs clients en cascade.

Deux fournisseurs ont donc produit à eux seuls les deux tiers des notifications de l'année.

Dans le tourisme, la fuite de Gîtes de France est passée par les serveurs de son prestataire informatique, pas par les siens.

Et il faut lire ce mécanisme dans les deux sens. Si un prestataire compromis expose ses clients, une petite structure compromise expose ceux qu'elle sert.

Votre clé d’accès vers le système d'un grand tour-opérateur, votre accès partenaire à une centrale de réservation, votre boîte mail authentifiée auprès d'un donneur d'ordre qui traite vos messages comme légitimes : tout cela vaut, pour un attaquant, bien plus cher que votre propre base clients.

Votre petite taille n'est pas une protection. Dans un écosystème aussi interconnecté que le vôtre, c'est un argument commercial pour celui qui vise plus haut.

Une famille qui réserve ne vous confie pas une transaction. Elle vous donne les prénoms de ses enfants, les dates exactes pendant lesquelles son domicile sera vide, l'adresse de ce domicile, parfois un numéro de passeport.

Ces données n'ont presque aucune valeur de fraude immédiate, et c'est ce qui les rend dangereuses : une date de départ croisée avec une adresse ne déclenche pas un débit frauduleux, elle prépare un cambriolage. Le préjudice est différé, il ne se voit pas dans un relevé bancaire, et il n'apparaîtra jamais dans votre analyse d'impact si vous ne raisonnez qu'en termes de données de paiement.

Le secteur commence à le mesurer. Le rapport publié le 20 mai par SecureTrust, filiale de VikingCloud, portant sur les agences indépendantes américaines et britanniques, relève que 92% d'entre elles ont affronté une menace ou un incident de sécurité en douze mois, que 66% ont vu des données clients compromises, et que 68% placent désormais la cybersécurité devant l'inflation et la récession dans leurs préoccupations pour l'année.

Le chiffre le plus parlant n'est pourtant aucun de ceux-là. C'est celui-ci : 54% estiment qu'un seul passeport ou visa exposé suffirait à abîmer durablement leur réputation. Un document. Pas un million de lignes.

Alors on fait quoi ? Je vais vous décevoir : rien de spectaculaire, et rien qui se règle par un achat.

Cela commence par quelqu'un dont c'est le travail, avec une vraie place dans l'organigramme et une voix qui pèse. Pas un directeur informatique à qui on ajoute la sécurité en fin de fiche de poste, parce que produire de la disponibilité et produire de la sécurité sont deux mandats qui se contredisent en permanence.

Celui qui doit livrer la nouvelle offre avant le lancement de la haute saison n'arbitrera jamais contre son propre calendrier.

Vient ensuite la cartographie, et c'est le chantier que tout le monde repousse parce qu'il n'a rien de gratifiant. Quelles données entrent, par où ? Quelles données sortent, vers qui, à quelle fréquence, sur quel protocole, hébergées où, accessibles par quels comptes ?

Moteur de réservation, channel manager, PMS, connecteurs OTA, prestataire de paiement, outil d'e-mailing, sous-traitant réceptif... On ne sécurise pas ce qu'on ne connaît pas, et la plupart des organisations que j'audite découvrent en cours de mission des flux dont plus personne ne se souvient.

Il faut ensuite de la télémétrie, c'est-à-dire une visibilité réelle sur tout ce que cette cartographie a listé. Sans elle, on est aveugle, et c'est très exactement ce que l'été a montré : SFR a détecté l'intrusion le 2 juillet et prévenu ses abonnés le 20 août, la Protection civile a été attaquée en mars et l'a appris à la mi-août. La DGFip en juin et l’annonce en août également.

Le vol n'est pas le pire moment de ces histoires. Le pire, c'est l'intervalle.

Il faut enfin partir du principe que la brèche est déjà là, tout le temps, partout, et construire en conséquence ce que nous appelons la défense en profondeur : plusieurs couches, aucune supposée tenir seule.

L'authentification forte sur tout ce qui donne accès à des données clients relève du même registre. Ce n'est pas une innovation, ce n'est pas un sujet de conférence, et c'est le geste qui vous sauve le jour où un mot de passe de votre équipe se retrouve dans une base revendue quinze euros.

Aucune de ces quatre actions ne fera la une d'un journal. C'est bien pour ça qu'elles sont négligées, et c'est pourtant ce qui permet de dormir un peu plus tranquillement. Car la conformité n'est pas la sécurité et ne la remplacera jamais. Un dossier RGPD à jour ne ferme aucune porte.

Ce qui manque presque partout, ce n'est pas un référentiel de plus, c'est une gouvernance capable de décider et de vérifier que la décision a été appliquée.

Je signe mes prises de parole d'une formule qui fait parfois sourire : poliment paranoïaque. Ce n'est pas une posture de méfiance envers les gens, ce serait invivable dans un métier d'accueil. C'est le refus d'accorder la confiance par défaut, et l'habitude de la vérifier sans se rendre insupportable.

Cela consiste à poser à vos prestataires les questions que vous aimeriez que vos propres clients vous posent :

- où sont hébergées mes données ?

- combien de vos collaborateurs peuvent les lire ?

- sous quel délai me prévenez-vous en cas d'incident, et par quel canal ?

- quand votre dernier test d'intrusion a-t-il eu lieu et qu'en est-il sorti ?

- que se passe-t-il pour mes données le jour où je pars ?

Ces questions ne demandent aucune compétence technique. Elles demandent seulement d'accepter un moment de gêne dans une relation commerciale, ce qui est souvent l'obstacle réel.

La confiance ne se restaure pas par un communiqué rassurant, et sûrement pas par la phrase, entendue tout l'été, selon laquelle aucune donnée bancaire n'est concernée. Elle se restaure par des choses vérifiables.

La première est ce que vous ne détenez pas. Un historique de réservations qui remonte à 1995, comme on l'a vu chez Gîtes de France, n'est pas un patrimoine, c'est une dette. Chaque année conservée sans usage est une année de plus offerte à celui qui entrera. Une politique de suppression est une mesure de sécurité, pas une formalité juridique.

La deuxième est votre capacité à parler vite et juste. Les soixante-douze heures du RGPD ne sont pas un objectif de communication, elles sont le délai dans lequel votre client décide s'il vous croit encore. La CNIL, qui a prononcé 487 millions d'euros d'amendes en 2025 et sanctionné pour la première fois un sous-traitant au même titre qu'un responsable de traitement, a annoncé qu'elle durcirait nettement ses contrôles en 2026 sur les grandes bases de données. Le silence coûte désormais des deux côtés.

La troisième est la plus rentable et personne ne l'exploite. Faites de votre sécurité un argument commercial. Le tourisme sait vendre une norme environnementale, un label qualité, une certification de service. Il ne sait pas encore dire à un client, ou à un donneur d'ordre, ce qu'il fait de ses données et pourquoi il le fait mieux que son concurrent. C'est pourtant le seul terrain où la confiance se reconstruit plus vite qu'elle ne se perd.

Le calendrier réglementaire, lui, n'aidera pas. La directive NIS2 aurait dû être transposée en France avant le 17 octobre 2024 ; le projet de loi Résilience a été adopté au Sénat en mars 2025 et attend toujours son passage en séance à l'Assemblée, désormais espéré en septembre.

Le 8 juillet, la Commission européenne a saisi la Cour de justice de l'Union européenne contre la France, avec demande d'astreintes journalières. Et quand le texte passera, les entités concernées disposeront de trois ans pour se mettre en conformité.

N'attendez pas ce calendrier, parce que ce n'est pas celui qui vous contraindra. Votre échéance réelle, c'est le prochain questionnaire sécurité que vous enverra votre plus gros client. L'article 21 de NIS2 impose à toute entité régulée de sécuriser sa chaîne d'approvisionnement, ce qui signifie qu'elle devra vous auditer, que vous soyez ou non dans le périmètre du texte.

Le marché régulera avant le législateur, et il le fait déjà.

Le jour où un appel d'offres de tour-opérateur comportera une annexe sécurité sérieuse plutôt qu'une case à cocher, le secteur aura cessé de sous-traiter sa confiance à des acteurs qu'il n'évalue pas.

En attendant, elle continuera de se perdre à l'endroit exact où personne ne la surveille : chez le prestataire d'à côté.

Christophe Mazzola est expert en cybersécurité, fondateur de la Cyber Academy et directeur de la pratique GRC chez Cresco Cybersecurity.

Son objectif : rendre la cybersécurité accessible à tous.

Conférencier, auteur et RSSI, il accompagne entreprises et institutions dans une approche pragmatique de la sécurité numérique, à la croisée du leadership, de la pédagogie et de la souveraineté digitale.