La faille Booking.com se transforme en vague d'arnaques WhatsApp visant les voyageurs avant l'été 2026

Une lectrice nous a transféré une capture d'écran WhatsApp mercredi dernier. Le message provenait d'un numéro tchèque (+420), l'interpellait par son nom complet, citait sa réservation de quatre nuits à Amsterdam effectuée en février, indiquait correctement sa date d'arrivée et l'avertissait qu'il lui restait moins de 12 heures pour re-vérifier sa carte sous peine de perdre sa chambre. Chaque détail était exact. Elle a failli payer. Puis elle a ouvert l'application officielle Booking.com et aucun message correspondant ne figurait dans sa messagerie réelle. Nous avons vu six versions de ce scénario atterrir dans nos messages privés ces dix derniers jours. Les données utilisées par les escrocs sont réelles. L'urgence, elle, ne l'est pas.

Ce qui s'est réellement passé le 13 avril 2026

Booking.com a commencé à informer ses clients le 13 avril 2026 que des parties non autorisées avaient accédé aux données de réservation des clients via des comptes d'hôtels partenaires compromis. La couverture de la divulgation par TechCrunch rapporte que Booking.com a refusé de dire combien de clients avaient été touchés. L'analyse de la brèche par Malwarebytes souligne le même point : « Booking.com ne le dit pas. » Booking.com a déclaré au Guardian qu'aucune information financière n'avait été consultée lors de cet incident. Les données consultées incluent les noms, adresses e-mail, adresses physiques, numéros de téléphone, références de réservation et même les messages privés échangés entre les clients et les établissements (Help Net Security). Les chiffres circulant en ligne (4 000 clients, 300 cartes) appartiennent à un incident distinct survenu aux Émirats arabes unis en 2018, qui a entraîné une amende de 475 000 € de la part de l'autorité néerlandaise de protection des données en 2021. Les voyageurs continuent de les mélanger à l'histoire d'avril 2026.

Voici la partie que la plupart des médias passent sous silence. Votre mot de passe Booking.com n'est pas en cause. Le changer ne change rien. Les attaquants n'ont pas pénétré le système central de Booking.com. Ils ont piraté les accès extranet d'hôtels individuels, puis ont extrait les listes de réservations auxquelles ces hôtels avaient accès. Malwarebytes retrace la chaîne jusqu'à une campagne de phishing qui harcèle discrètement le personnel des hôtels depuis près d'un an. Une chose de plus que cette brèche n'est pas : ce n'est pas une fuite de mots de passe Booking.com. Vos identifiants n'ont pas été déversés sur un forum de pirates. Si vous demandez « dois-je changer mon mot de passe Booking.com », la réponse est « vous pouvez, mais cela ne réglera pas ce problème ». Le vecteur est le côté hôtel de la plateforme (et notre comparaison entre réservation directe et via un tiers en 2026 approfondit les raisons pour lesquelles cette distinction est importante). Le remède se trouve de votre côté de la conversation.

Une enquête auprès des consommateurs menée par Which? a révélé que 9 % des 237 membres de Which? UK interrogés ont reçu un message d'escroquerie Booking.com, et cette enquête a été menée avant que la divulgation d'avril ne rende les données encore plus utiles aux attaquants. Entre juin 2023 et septembre 2024, la période de rapport publiée la plus récente, Action Fraud UK a enregistré 532 signalements d'escroqueries Booking.com totalisant 370 000 £ de pertes. Ces chiffres paraîtront dérisoires d'ici août.

Comment fonctionne réellement l'escroquerie Booking.com sur WhatsApp

Les mécanismes importent, car ils vous indiquent ce qu'il faut corriger et ce qui est inutile. La note de Microsoft Threat Intelligence sur la campagne détaille la chaîne, et The Hacker News a documenté la suite à grande échelle en novembre 2025. Tout commence par un e-mail adressé à l'équipe de réception ou de réservation d'un hôtel : une fausse plainte de client, une demande de faux document ou un message du type « votre annonce a un problème ». L'hôtel clique. Ils atterrissent sur une page utilisant une technique appelée ClickFix. Un faux CAPTCHA leur demande d'appuyer sur Windows+R, de coller une « commande de vérification » et d'appuyer sur Entrée. Ils le font. Cette commande installe PureRAT, un cheval de Troie d'accès à distance qui donne discrètement à l'attaquant un accès en direct à l'extranet Booking.com de l'hôtel.

À partir de là, l'attaquant n'a rien à casser. Il se connecte en tant qu'hôtel. Il lit la liste des réservations. Il voit votre nom, vos dates, votre numéro de téléphone, vos messages. Il dispose de ce que l'équipe de recherche de Gen Digital appelle l'escroquerie par détournement de réservation, un scénario qui cite des réservations réelles de manière si convaincante que même les voyageurs chevronnés se font avoir.

Alors pourquoi WhatsApp, pourquoi un numéro tchèque ou indien ? Deux raisons. Premièrement, les messages WhatsApp ne restent pas dans une boîte de réception Booking.com où la marque pourrait les signaler. Deuxièmement, les indicatifs téléphoniques étrangers semblent assez étranges pour paraître « internationaux » mais assez normaux pour une plateforme mondiale. Un voyageur voit +420 et pense « agence de voyage européenne », pas « criminel dans une cave ». Le centre d'aide de WhatsApp est clair : traitez les messages non sollicités demandant de l'argent ou des codes comme des escroqueries, peu importe ce qu'ils savent sur vous.

Comment vérifier un message WhatsApp Booking.com en 60 secondes

Vous pouvez régler presque toutes les demandes de paiement suspectes en moins d'une minute si vous suivez la même routine à chaque fois. L'astuce est la mémoire musculaire. Ne relisez pas le message deux fois, ne discutez pas avec lui dans votre tête, ne cliquez sur rien. Ouvrez l'application, puis appelez l'hôtel. C'est tout.

Soixante secondes. Tout l'intérêt du délai de 24 heures dans le message d'escroquerie est de court-circuiter cette routine. Ralentissez volontairement. Un vrai hôtel n'annulera pas votre réservation parce que vous avez pris dix minutes pour vérifier. Et si le message prétend que votre carte sera débitée automatiquement sans re-vérification, c'est un autre signe révélateur : les réseaux de cartes ne fonctionnent pas comme ça.

5 phrases qui révèlent une escroquerie Booking.com sur WhatsApp

Une fois que vous avez lu quelques-uns de ces scénarios, ils se ressemblent tous, car ils sont traduits à partir d'une petite bibliothèque de modèles. Nous avons commencé à tenir une liste à mesure que les lecteurs nous transmettent des exemples. Cinq phrases apparaissent dans presque toutes les versions, et n'importe laquelle d'entre elles suffit à rejeter tout le message.

Une phrase est suspecte. Deux sont définitives. Nous n'avons jamais vu une communication de réservation légitime utiliser l'une de ces formulations, à travers des hôtels dans une vingtaine de pays où nous avons personnellement réservé. Même les chaînes économiques qui envoient les e-mails de vente incitative les plus agressifs n'utilisent pas ce vocabulaire, car leurs équipes juridiques ne l'approuveraient pas.

Si vous avez déjà payé : le guide de remboursement

Si vous avez cliqué sur le lien et saisi votre carte, les 60 prochaines minutes comptent plus que les 60 prochains jours. Les détails de la carte sont déjà entre les mains de l'attaquant ; la question est de savoir s'il pourra les utiliser. Votre chemin de remboursement dépend de qui vous sollicitez, et les canaux ne paient pas de la même manière. Voici comment les quatre canaux de remboursement les plus courants se comparent réellement pour une escroquerie typique de détournement d'hôtel. La même logique de rétrofacturation s'applique si un vol est annulé, et notre guide de remboursement en cas d'annulation de vol détaille cette variante.

Le classement réaliste : l'émetteur de carte d'abord, puis Booking.com (ça vaut le coup d'essayer), puis l'assurance (paie rarement). L'assurance paie rarement car la fraude où le titulaire de la carte a volontairement saisi les détails, même sous la pression de l'ingénierie sociale, est traitée différemment d'une transaction non autorisée, et la plupart des polices l'excluent. Notre analyse de ce que l'assurance voyage couvre réellement en 2026 détaille cela.

Voici l'ordre exact à suivre si vous avez déjà saisi les détails de votre carte :

1. Bloquez la carte immédiatement. La plupart des applications bancaires permettent désormais un blocage en un clic. Faites-le avant toute autre chose, même avant de vous connecter à Booking.com.
2. Appelez la ligne de fraude de l'émetteur de la carte. Utilisez le numéro imprimé sur la carte physique, pas un numéro provenant d'un e-mail ou d'un message. Dites-leur qu'il s'agit d'une transaction induite par phishing. Demandez le numéro de dossier de contestation par écrit.
3. Changez le mot de passe Booking.com et activez la double authentification. Cela n'annulera pas la brèche, mais verrouillera votre compte contre le bourrage d'identifiants futur utilisant l'e-mail divulgué.
4. Vérifiez votre e-mail via Have I Been Pwned. Si vous apparaissez dans d'autres brèches en plus de celle-ci, faites tourner les mots de passe affectés via un gestionnaire. Tout gestionnaire de mots de passe réputé (1Password, Bitwarden ou KeePass) gère la rotation en masse dans un flux de travail unique.
5. Signalez l'escroquerie. Les voyageurs britanniques doivent signaler à Action Fraud. Les voyageurs américains doivent signaler au portail ReportFraud de la FTC et au FBI Internet Crime Complaint Center. Le signalement ne récupère pas votre argent, mais il établit le modèle qui rendra la prochaine arrestation possible.
6. Gardez chaque capture d'écran, chaque référence de transaction, chaque e-mail. Votre dossier de rétrofacturation dépend de la documentation. La banque veut la capture d'écran WhatsApp montrant la formulation. La banque veut l'e-mail. La banque veut l'horodatage.

La plus grosse erreur que nous voyons est que les gens appellent Booking.com en premier et attendent qu'ils règlent le problème. Booking.com ne peut pas annuler une transaction que votre émetteur de carte a autorisée. Appelez la banque en premier ; la plateforme peut attendre.

Pourquoi l'été 2026 est la fenêtre de risque maximale

Deux faits calendaires se télescopent en ce moment. Les réservations effectuées avant la divulgation du 13 avril sont toujours entre les mains des attaquants, et la plupart ont des dates d'arrivée en juin, juillet et août. Les vacances scolaires dans une grande partie de l'Europe commencent la troisième semaine de juin. Les familles ont déjà payé, ne peuvent pas facilement déplacer la réservation et ont le coût émotionnel le plus élevé si quelque chose « menace » la réservation. C'est le groupe démographique pour lequel les scénarios sont calibrés.

Le signal de volume est visible en temps réel. Les r/travel et r/TravelHacks de Reddit se remplissent de rapports quasi identiques tout au long du mois de mai 2026 ; la recherche sur le détournement de réservation de Gen Digital documente le même scénario apparaissant dans plusieurs régions et langues. La recherche sur les escroqueries au voyage de McAfee en 2026 estime que les escroqueries liées au voyage ont coûté aux victimes environ 13 milliards de dollars dans le monde en 2025, avec une perte moyenne proche de 1 000 $ par victime, et ce chiffre a été enregistré avant que la brèche de 2026 n'ajoute un nouvel ensemble de données à la chaîne d'approvisionnement criminelle.

Pourquoi l'escroquerie Booking.com de 2026 est différente du phishing

L'escroquerie WhatsApp Booking.com de 2026 diffère du phishing générique d'une manière spécifique : l'attaquant possède déjà votre réservation réelle. Un message de phishing normal devine (« avez-vous réservé un hôtel récemment ? ») ; le détournement de réservation cite (« votre réservation à l'hôtel X, moins de 12 heures pour confirmer »). Chaque défense entraînée sur le phishing générique, les salutations vagues, l'anglais approximatif, les URL incompatibles, les expéditeurs suspects, s'effondre lorsque le message d'escroquerie obtient chaque détail contextuel correctement.

Comparez cela au reste du paysage des escroqueries que nous avons couvert dans notre guide régional des escroqueries au voyage et la couverture sœur sur la protection des consommateurs dans notre article sur les astuces marketing de voyage douteuses que personne ne remarque. Une surfacturation de taxi à Lisbonne ou un lecteur de carte dans un distributeur automatique de Barcelone est opportuniste et physique. Le détournement Booking.com est l'opposé. Il est pré-ciblé, distant et asymétrique. L'attaquant en sait plus sur votre voyage que votre conjoint, et il parie sur le fait que vous ne savez pas qu'il sait.

La logique défensive s'inverse aussi. Pour les escroqueries physiques de rue, la réponse est la vigilance sur le moment. Pour le détournement de réservation, la réponse est le processus : faites confiance à votre réservation, pas au message. Si une demande n'est pas arrivée dans l'application officielle ou à la réception de l'hôtel, elle ne provient pas d'une source réelle. C'est toute la règle.

C'est là qu'une source de vérité unique et fiable pour votre voyage prend tout son sens. Lorsque vos confirmations de réservation vivent au même endroit que vous contrôlez, aux côtés de vos dates d'arrivée, adresses d'hôtel et références de réservation, vous pouvez ouvrir le voyage, voir le PDF et le comparer avec tout message non sollicité en cinq secondes, sans jamais toucher au lien. La zone Documents de TripProf gère cela pour ceux qui l'utilisent ; une note partagée dans votre téléphone fonctionne aussi, tant que la règle est la même : faites confiance à votre réservation, pas au WhatsApp.

La couche de carte compte aussi. Si vous réservez sur une carte avec de fortes protections des consommateurs, et notre comparaison des cartes que les voyageurs portent réellement passe en revue lesquelles, le chemin de rétrofacturation est rapide et prévisible. La même escroquerie contre une carte de débit est un combat beaucoup plus long, car les litiges de débit sont régis par le Règlement E aux États-Unis, qui est beaucoup plus faible que la protection des cartes de crédit.

La défense en une phrase

Les e-mails d'escroquerie d'avant avril 2026 reposaient sur le volume : envoyez un million de messages, espérez qu'une centaine de personnes soient nerveuses à propos de n'importe quelle réservation Booking.com. Les détournements d'après avril 2026 sont chirurgicaux. Ils envoient un message qui nomme l'hôtel que vous avez réellement choisi, la nuit où vous êtes réellement arrivé, contre une carte que vous avez réellement utilisée, et jouent sur une vulnérabilité que vous ne saviez pas avoir, à savoir que votre confirmation de réservation est authentiquement réelle et émotionnellement importante.

La défense est exactement ce décalage. L'escroc a des données ; vous avez l'accès. Il peut citer votre réservation à partir d'une liste volée, mais vous pouvez ouvrir la réservation en direct dans l'application. Il peut écrire « votre réservation est en danger », mais vous pouvez appeler l'hôtel sur un numéro qu'il ne contrôle pas. Il a des données. Vous avez l'application sur votre téléphone. Ce n'est pas un combat équitable en sa faveur, c'est un combat équitable en la vôtre.

Qu'en est-il des voyageurs hors du Royaume-Uni et des États-Unis

Les canaux de signalement diffèrent mais le guide ne change pas. Dans l'UE, la brèche relève de l'article 33 du RGPD, qui exige que les responsables du traitement notifient les autorités de contrôle dans les 72 heures suivant la prise de connaissance d'une violation de données personnelles. C'est pourquoi Booking.com a envoyé la notification aux clients rapidement. Ils avaient une horloge juridique qui tournait. Les résidents de l'UE touchés peuvent déposer une plainte gratuite auprès de leur autorité nationale de protection des données s'ils estiment que la divulgation était inadéquate.

Pour la coordination de la criminalité transfrontalière, les canaux d'admission équivalents à l'IC3 d'Europol passent par les forces de police nationales ; leurs conseils publics couvrent le cadre de signalement de base. L'Espagne, l'Allemagne, la France et l'Italie ont toutes des unités nationales de cybercriminalité qui acceptent les signalements de phishing des consommateurs dans la langue locale.

En pratique, le chemin de rétrofacturation au sein de l'UE est dicté par le système de carte plutôt que par la loi nationale. Visa et Mastercard gèrent tous deux des cadres de litige qui s'appliquent également dans tout le bloc. Les codes de motif autour de la « transaction frauduleuse » et du « service non fourni » sont les plus pertinents, et l'équipe de fraude de votre banque saura lesquels déposer. Les voyageurs australiens et canadiens ont des droits de rétrofacturation analogues via Visa, Mastercard et Amex.

La liste de contrôle pré-voyage que nous suivons maintenant

Nous avons ajusté notre propre routine pré-voyage depuis la divulgation. Rien de tout cela n'est coûteux ou technique. Tout cela rend l'escroquerie WhatsApp Booking.com beaucoup moins efficace lorsqu'elle arrive. Pour une image plus large avant le départ, notre liste de contrôle des documents de voyage pour 2026 couvre le côté administratif du même problème.

• Enregistrez le numéro de téléphone vérifié de l'hôtel depuis Google Maps dans vos contacts téléphoniques le jour où vous réservez. Ainsi, lorsqu'un message suspect arrive plus tard, le vrai numéro est à portée de main.
• Faites une capture d'écran de l'e-mail de confirmation et stockez-la hors ligne dans une application de documents ou dans n'importe quel planificateur de voyage que vous utilisez déjà. L'idée est d'avoir la référence de réservation là où l'escroc ne peut pas influencer.
• Réservez sur une carte de crédit avec une forte protection des consommateurs, pas une carte de débit. Le calcul de la rétrofacturation est différent.
• Configurez une carte virtuelle à faible solde pour tout paiement en dehors du flux de réservation original. Les cartes virtuelles jetables de Revolut (niveau gratuit), Privacy.com aux États-Unis et la plupart des banques challenger offrent des cartes virtuelles en un clic en 30 secondes. Si vous avez vraiment besoin de compléter une chambre ou d'ajouter une nuit supplémentaire, utilisez cela, pas votre carte principale.
• Dites la règle à vos compagnons de voyage avant le voyage : toute demande de paiement ne passe que par l'application ou un appel téléphonique vérifié. Les voyages de groupe sont particulièrement vulnérables lorsque seul l'organisateur connaît les détails de la réservation, donc tout le monde dans le groupe devrait aussi connaître la référence de réservation.
• Si vous réservez plusieurs hôtels pour le même voyage, notez celui que vous avez réservé via quel canal (Booking.com, l'hôtel en direct, une autre plateforme). Lorsqu'un faux message arrive citant « votre réservation du 14 juin », savoir de quel flux de réservation il prétend provenir est la moitié de la bataille.

Questions fréquemment posées

Ai-je été affecté par la brèche de données Booking.com ?

Si vous avez réservé via Booking.com dans la fenêtre affectée et que votre hôtel partenaire était l'une des propriétés compromises, vous avez probablement été exposé. Booking.com informe directement les clients affectés mais n'a pas divulgué publiquement le nombre de personnes touchées. Un e-mail négatif ne signifie pas que vous êtes en sécurité ; cela signifie seulement que vous n'étiez pas dans le lot de notification spécifique. Toute personne ayant une réservation en cours devrait toujours traiter les messages de paiement non sollicités comme hostiles par défaut.

Pourquoi l'escroc connaît-il mon vrai nom d'hôtel et mes dates d'arrivée ?

Parce que l'attaquant s'est connecté à l'extranet Booking.com de votre hôtel en utilisant des identifiants volés via une campagne de phishing ClickFix que Microsoft Threat Intelligence suit depuis 2024. Vos données n'ont pas été prises dans la base de données centrale de Booking.com. Elles ont été prises dans le panneau d'accès de l'hôtel lui-même. C'est pourquoi changer votre mot de passe Booking.com ne sert à rien.

Comment contacter mon hôtel directement pour vérifier un message Booking.com ?

Recherchez le nom de l'hôtel plus la ville sur Google Maps. Le panneau d'entreprise vérifié affiche le numéro de téléphone de l'hôtel, utilisez-le. N'appelez jamais un numéro qui apparaît dans le WhatsApp, SMS ou e-mail dont vous vous méfiez. Si l'hôtel utilise une ligne de réservation centralisée, demandez à la réception de vous transférer vers la personne qui gère les réservations Booking.com. L'appel entier prend deux minutes et règle la question pour de bon.

Le message WhatsApp me demandant de re-vérifier ma carte est-il une escroquerie ?

Oui. Booking.com a déclaré qu'il ne demandera jamais de paiement ou de re-vérification de carte par WhatsApp, SMS, téléphone, e-mail ou tout lien en dehors de l'application et du site officiels. Tout message qui prétend à un processeur tiers, un délai urgent de 24 heures ou un lien de paiement sécurisé est une escroquerie. Ouvrez vous-même l'application pour confirmer.

Comment vérifier si un message Booking.com est réel ?

Ouvrez l'application Booking.com sur votre téléphone (ne cliquez sur aucun lien), allez dans Voyages, trouvez la réservation, puis ouvrez Messages. Chaque communication légitime de Booking.com ou de la propriété vit dans ce fil. Si le message que vous avez reçu par WhatsApp n'est pas reflété dans la boîte de réception de l'application, il est faux. Comme deuxième vérification, appelez l'hôtel en utilisant le numéro de téléphone de Google Maps.

Que dois-je faire si j'ai déjà cliqué sur le lien ou saisi les détails de ma carte ?

Bloquez la carte dans votre application bancaire dès maintenant. Appelez ensuite la ligne de fraude de votre émetteur de carte (utilisez le numéro au dos de la carte, pas celui d'un message), déposez une contestation et demandez un numéro de dossier. Changez votre mot de passe Booking.com et activez la double authentification. Signalez l'escroquerie à Action Fraud au Royaume-Uni, au portail ReportFraud de la FTC aux États-Unis ou à votre unité nationale de cybercriminalité dans l'UE. Gardez chaque capture d'écran, car votre rétrofacturation en aura besoin.

Booking.com rembourse-t-il les victimes de l'escroquerie par détournement de réservation ?

De manière incohérente. Certains utilisateurs signalent des remboursements partiels à titre gracieux, surtout lorsque la réservation elle-même a été payée via le flux de pré-paiement « paiement sécurisé » de Booking.com. Beaucoup ne signalent rien. La position officielle de Booking.com est qu'il ne peut pas annuler les frais que votre émetteur de carte a autorisés. Le canal de remboursement fiable est la rétrofacturation de l'émetteur de carte, pas Booking.com.

Dois-je annuler et réserver à nouveau mon hôtel après la brèche ?

Généralement non. L'hôtel ne peut pas annuler les données qui ont déjà quitté son extranet, et l'annulation fait perdre la réservation selon la plupart des politiques. Une démarche plus propre consiste à confirmer la réservation directement avec l'hôtel par téléphone (en utilisant un numéro Google Maps vérifié), assurez-vous que vos détails d'arrivée correspondent exactement et refusez toute future demande de paiement qui arrive par message plutôt qu'à la réception.

Pourquoi ces WhatsApp d'escroquerie proviennent-ils d'indicatifs téléphoniques étrangers (+420, +91) ?

Parce que les numéros WhatsApp de République tchèque, d'Inde ou d'Indonésie sont bon marché à mettre en place à grande échelle et plus difficiles à vérifier pour les victimes. L'indicatif téléphonique semble assez étranger pour correspondre à une « plateforme de voyage internationale » et assez inconnu pour que les voyageurs ne le reconnaissent pas immédiatement comme suspect. L'origine du numéro ne vous dit rien d'utile sur la réalité du message ; c'est le contenu qui le trahit.

Mon assurance voyage couvrira-t-elle l'argent perdu dans une escroquerie par phishing Booking.com ?

Généralement non. La plupart des polices de voyage grand public excluent les pertes où le titulaire de la police a volontairement fourni les détails de la carte, même sous la pression de l'ingénierie sociale. Certaines polices d'assurance cyber autonomes couvrent le phishing, et quelques cartes de crédit premium incluent une couverture contre le vol d'identité qui peut payer. Lisez les exclusions de fraude de votre police avant de supposer que vous êtes couvert.

Puis-je vérifier si mon e-mail a été dans d'autres brèches ?

Oui. Have I Been Pwned exécute une recherche gratuite qui agrège les ensembles de données de brèches publiées. Entrez votre e-mail sur haveibeenpwned.com et le site liste chaque brèche dans laquelle vous apparaissez. Si la brèche Booking.com est l'une des nombreuses, faites tourner chaque mot de passe affecté via un gestionnaire comme 1Password, Bitwarden ou KeePass.

Points clés à retenir

• Booking.com lui-même n'a pas été piraté. Les hôtels partenaires l'ont été. Changer votre mot de passe Booking.com n'aide pas, car l'attaquant est connecté en tant qu'hôtel.
• Booking.com n'a pas divulgué publiquement combien de clients ont été touchés lors de l'incident d'avril 2026 et a confirmé qu'aucune information financière n'avait été consultée. Les chiffres largement répétés de « 4 000 clients / 300 cartes » appartiennent à un incident distinct de 2018, pas à celui-ci.
• Les cinq signes qui signalent une escroquerie WhatsApp Booking.com : « re-vérifier », « dans les 24 heures », « lien de paiement sécurisé », « réservation en danger », « processeur tiers ». Un est suspect. Deux sont définitifs.
• Routine de soixante secondes : ouvrez vous-même l'application, vérifiez la boîte de réception dans l'application, recherchez l'hôtel sur Google Maps, appelez le numéro vérifié. Ne discutez pas avec le message.
• Si vous avez déjà payé, bloquez la carte et appelez l'émetteur en premier, pas Booking.com. Aux États-Unis, le FCBA vous donne 60 jours à compter du relevé affichant la transaction ; au Royaume-Uni, l'article 75 s'étend jusqu'à six ans sur les achats par crédit de 100 £ à 30 000 £.
• Des outils comme TripProf, ou tout planificateur où vous gardez vos confirmations de réservation au même endroit, vous donnent une source de vérité indépendante à comparer avec tout message non sollicité : « faites confiance à votre réservation, pas au WhatsApp ».
• L'été 2026 est la pire fenêtre car chaque réservation d'avant avril est toujours une donnée en direct. Les voyageurs ayant des séjours de juin à septembre devraient traiter toute demande de paiement non sollicitée comme hostile jusqu'à vérification.
• Internet ne devient pas plus sûr à temps pour votre arrivée. Votre processus, lui, le devient.

Sources

• TechCrunch : Booking.com confirme que des pirates ont accédé aux données des clients, avril 2026
• Help Net Security : La brèche de données Booking.com expose les données de réservation des clients, avril 2026
• Malwarebytes : La brèche Booking.com donne aux escrocs ce dont ils ont besoin pour cibler les clients, avril 2026
• Microsoft Threat Intelligence : Une campagne de phishing usurpe l'identité de Booking.com, livre un logiciel malveillant de vol d'identifiants
• The Hacker News : Attaques de phishing ClickFix à grande échelle, novembre 2025
• Which? : Brèche de données Booking.com, ce que vous devez savoir
• Alerte Action Fraud UK : Fenêtre de signalement des escroqueries Booking.com (juin 2023 à septembre 2024)
• Gen Digital (Norton) : Recherche sur l'escroquerie par détournement de réservation
• McAfee : 1 voyageur sur 3 confronté à des escroqueries au voyage en 2026
• CFPB : Droits et délais de contestation en cas de fraude à la carte de crédit
• GDPR.eu : Article 33 notification de violation de données personnelles (règle des 72 heures)
• Europol : Conseils de sensibilisation et de prévention sur la cybercriminalité
• FBI IC3 : Alertes de l'industrie du Internet Crime Complaint Center
• FTC ReportFraud : Portail de signalement des fraudes aux consommateurs américains
• Action Fraud UK : Centre national de signalement des fraudes et de la cybercriminalité
• Have I Been Pwned : Service public de recherche de brèches
• Centre d'aide WhatsApp : Comment identifier et signaler les messages d'escroquerie
• Bitdefender Scamio : Outil gratuit de vérification des messages d'escroquerie