Vacansoleil, du groupe Maeva, piraté à son tour

Après Belambra, Maeva, Gîtes de France... voici un nouveau nom du tourisme à figurer dans la bucket list des pirates.

Vacansoleil a connu pareille mésaventure.

La société, qui appartient au groupe Maeva, reconnaît avoir été compromise.

Dans un message publié à la fin du mois de mai, la plateforme explique avoir "identifié le 14 mai 2026 un incident de sécurité ayant entraîné un accès non autorisé à certaines données personnelles utilisées dans le cadre de la préparation des séjours".

Les équipes de Vacansoleil, accompagnées d’experts, ont immédiatement réagi et ont pu identifier et corriger la faille.

Le volume de données subtilisées n’a pas été divulgué, mais les noms, prénoms, numéros de téléphone et de réservation, ainsi que les dates et lieux de séjours, ont été exfiltrés par les pirates.

Ce qui pourrait ouvrir la voie à des campagnes de phishing pour les personnes ayant effectué une réservation sur la plateforme.

De plus, des personnes qui obtiendraient la base de données piratée pourraient tenter de contacter les clients par téléphone ou SMS afin de demander des règlements pour des séjours à venir.

Au-delà de la mauvaise publicité et de la rupture de confiance avec les internautes, un piratage peut coûter cher à une entreprise. Le dernier exemple en date n’est autre que l’amende de 1,8 million d’euros infligée par la CNIL à Voyageurs du Monde.

La FNHPA aurait aussi été compromise, notamment la Fédération de l’hôtellerie de plein air d’Occitanie. Ainsi, les pirates auraient publié 6 419 fiches d’établissements ou d’organismes, ainsi que 2 605 factures couvrant la période du 19 mars 2024 au 12 mai 2026.

Le piratage ne concernerait pas des profils de clients, mais exclusivement des professionnels des campings.

La liste des informations mises en ligne sur le dark web est longue. Elle comprend notamment les noms des établissements, leurs raisons sociales, leurs SIRET, leurs nombres d’emplacements, leurs latitudes et longitudes, leurs numéros d’adhérent FNHPA, des factures, des IBAN, RIB et BIC de l’émetteur...

"Dans les semaines qui viennent, chaque acteur du secteur va affirmer qu'il prend la sécurité au sérieux. Le mot n'a plus aucune valeur. Tout le monde le dit, y compris ceux qui viennent de l'apprendre à leurs dépens.

Ce qui aura désormais de la valeur, c'est la capacité à le démontrer, de façon structurée, vérifiable et récurrente. C'est exactement la fonction d'un système de management de la sécurité de l'information.

La question n'est plus seulement « suis-je protégé », elle devient « suis-je en mesure de prouver, à un client, à un partenaire, à la CNIL, que ma protection repose sur un système et non sur de la chance »," expliqué Christophe Mazzola, expert en cybersécurité, dans sa dernière chronique sur TourMaG.com.