Ransomwares dans le tourisme : les sauvegardes ne vous sauveront plus [ABO]

Fitzpatrick Hotels à New York. Données exfiltrées, activité paralysée, attaque revendiquée par le groupe Cloak.

En Espagne, Best Hotels touché par Qilin, qui diffuse les fichiers clients sur le dark web. En Turquie, CVK Hotels. Au Mexique, EM Resorts.

Partout, la même mécanique : infiltration, chiffrement, extorsion. Et dans tous les cas, les victimes pensaient avoir fait "le nécessaire". Des backups, un plan B. Trop tard. Trop insuffisant.

Car ces ransomwares ne visent plus simplement à bloquer. Ils copient. Ils publient. Ils vous mettent devant un dilemme : restaurer votre système… ou gérer la fuite.

C’est la logique de la double extorsion, devenue la norme. Et elle transforme chaque incident en crise systémique.

Lire aussi : Noël : une période sensible pour les cyberattaques !

Des systèmes critiques, des données sensibles, une architecture numérique dispersée, des flux constants, des prestataires techniques parfois mal cadrés.

Et surtout, une pression quotidienne pour aller vite, pour simplifier, pour automatiser. Dans ce contexte, la sécurité est trop souvent sacrifiée sur l’autel de l’efficacité.

Beaucoup d’acteurs travaillent avec des sauvegardes qu’ils n’ont jamais testées, hébergées sur des infrastructures qu’ils ne contrôlent pas, accessibles par des partenaires dont ils ne connaissent ni le périmètre ni la responsabilité.

Dans plusieurs audits récents, j’ai vu des restaurations échouer parce que les fichiers de secours avaient été corrompus… des semaines avant l’attaque visible.

Ce n’est plus un sujet technique. C’est un angle mort stratégique.

Prenons un parallèle évident : l’attaque ransomware qui a visé plusieurs aéroports européens à l’automne dernier.

Ce n’est pas l’aéroport en lui-même qui était touché, mais un prestataire tiers. Résultat : des check-in gelés, des embarquements perturbés, des vols annulés. L’ensemble de la chaîne a flanché parce qu’un maillon - invisible, contractuel, mal surveillé - est tombé.

C’est exactement ce qui menace les agences, les groupes hôteliers, les tour-opérateurs. Leur surface d’attaque ne s’arrête pas à ce qu’ils voient. Elle inclut leurs partenaires, leurs outils métier, leurs modules IA, leurs interfaces de paiement. Et tant que personne ne pilote l’ensemble, le risque est total.

Le ransomware d’aujourd’hui ne vous empêche pas seulement de travailler. Il vous vole votre crédibilité.

Il montre à vos clients que vous n’êtes pas en contrôle. Et il vous laisse, au mieux, avec une activité en sursis. Même avec un plan de reprise solide, si vos données sont dehors, vous avez déjà perdu une partie de la bataille.

Si l’on accepte que la restauration ne suffit plus, la question devient : que faire au-delà de la sauvegarde ?

D’abord, limiter l’impact avant qu’il ne survienne. Cela passe par une réduction des droits d’accès, une segmentation réelle des systèmes, une séparation claire entre ce qui est vital pour l’exploitation et ce qui peut être isolé ou arrêté sans tout paralyser. Plus vos environnements sont mélangés, plus une attaque aura de portée.

Ensuite, apprendre à voir plus tôt. Sans capacité de détection, une sauvegarde ne sert qu’à remonter dans le temps sans savoir quand le problème a commencé. Mettre en place des mécanismes de journalisation, des outils de détection et de réponse (EDR, SOC, surveillance externalisée) n’est pas un luxe : c’est ce qui permet de savoir où regarder, et jusqu’où remonter, quand il faudra décider quoi restaurer ou quoi abandonner.

Il faut organiser la réponse. Un ransomware n’est pas un incident purement informatique, c’est une crise d’entreprise. Qui parle aux clients ? Qui négocie ou refuse de négocier ? Qui prend la décision de couper une partie du système, de basculer en mode dégradé, d’interrompre temporairement les ventes ? Tant que ces questions ne sont pas posées à froid, elles seront tranchées dans la panique.

Il faut également anticiper l’après. Une fois l’attaque contenue, il reste les notifications réglementaires, les échanges avec les assurances, les demandes des clients, la reconstruction de la confiance. Là encore, la sauvegarde ne vous apporte rien. Ce qui fait la différence, c’est votre transparence, votre capacité à expliquer ce qui s’est passé, ce que vous avez changé, et pourquoi cela ne se reproduira pas dans les mêmes conditions.

En 2026, continuer à penser que "nous sommes couverts, nous avons des sauvegardes" n’est plus seulement naïf. C’est dangereux.

La cybersécurité dans le tourisme ne se joue plus uniquement dans les centres de données ou les solutions de backup, mais dans la manière dont le secteur accepte (ou non) de regarder en face ses dépendances, ses angles morts et sa capacité réelle à encaisser un choc.

Restaurer un système, c’est remettre la machine en marche.

La vraie question, désormais, c’est : dans quel état serez-vous, vous, quand elle redémarrera ?

Christophe Mazzola est expert en cybersécurité, fondateur de la Cyber Academy et directeur de la pratique GRC chez Cresco Cybersecurity.

Son objectif : rendre la cybersécurité accessible à tous.

Conférencier, auteur et RSSI, il accompagne entreprises et institutions dans une approche pragmatique de la sécurité numérique, à la croisée du leadership, de la pédagogie et de la souveraineté digitale.