Gîtes de France cyberattaque : 389 000 clients touchés, données volées et risques pour les vacanciers

Gîtes de France piraté : 389 000 clients et les données concernées

La fuite a été détectée un samedi 16 mai, puis confirmée officiellement le dimanche 17 mai auprès de l’AFP. Elle concerne 389 000 clients de la fédération. Le pirate, qui se fait appeler ChimeraZ, a revendiqué cette attaque parmi trois cyberattaques coordonnées lancées en 72 heures contre le tourisme français.

Un point rassurant toutefois : aucune donnée bancaire n’a été compromise. Les informations dérobées restent néanmoins suffisamment précises pour permettre des tentatives d’escroquerie ciblées, notamment grâce aux dates de séjour et aux coordonnées personnelles.

Trois départements de la fédération sont identifiés comme touchés : la Guadeloupe, la Haute-Garonne et le Cantal. La base de données circule désormais dans la sphère cybercriminelle, ce qui expose les clients concernés à un risque durable dans le temps.

Belambra, Pierre & Vacances-Center Parcs : la vague d’attaques du tourisme

Pierre & Vacances-Center Parcs et Maeva : 1,6 million de réservations

Le groupe Pierre & Vacances-Center Parcs figure parmi les cibles les plus lourdement frappées. Sa plainte a été déposée le 15 mai, et la fuite concernerait 1,6 million de réservations.

• 1,6 million de réservations : volume de dossiers clients exposés.
• Maeva et La France du Nord au Sud : deux marques du groupe touchées par la fuite.
• Fuite potentielle sur 10 ans : profondeur historique des données compromises.

Belambra et Gîtes de France : même hacker, plaintes déposées

La chaîne Belambra, qui exploite 44 clubs de vacances en France, a vu 42 000 réservations de clients compromises. Comme pour Gîtes de France, une plainte a été déposée par la direction.

Le rapprochement entre ces victimes ne doit rien au hasard. Un même acteur, identifié sous le nom de ChimeraZ, revendique les trois attaques coordonnées menées en 72 heures dans le tourisme français. Au total, ce sont 5,3 millions de Français dont les données ont été exposées sur cette courte période.

Cette simultanéité interroge : elle suggère une campagne préparée, visant plusieurs opérateurs touristiques en même temps plutôt qu’une cible unique.

Les risques concrets pour les vacanciers : phishing, escroquerie, cambriolage

Phishing, usurpation et fausses demandes de paiement

Avec des noms, e-mails, téléphones et numéros de réservation en mains, les escrocs disposent de tout ce qu’il faut pour rendre leurs messages crédibles. Ils peuvent citer un séjour réel, une date exacte, un lieu précis, ce qui suffit à faire tomber la méfiance.

Les arnaques les plus signalées prennent plusieurs formes :

• Appels taxe de séjour : un faux conseiller réclame un règlement soi-disant manquant
• Faux surclassement : une offre attractive pousse la victime à confirmer ses coordonnées
• Petits montants : quelques euros réclamés pour capter discrètement les coordonnées bancaires

Ces techniques s’appuient souvent sur l’intelligence artificielle, qui permet de produire des messages personnalisés et sans fautes. Un vrai cap dans l’escroquerie, selon les experts, car la détection devient beaucoup plus difficile pour le grand public.

Cambriolages : quand les dates de séjour deviennent une carte au trésor

Le préjudice ne s’arrête pas aux tentatives de paiement. Les données dérobées comprennent aussi les adresses postales et les dates de séjour. Croisées entre elles, ces informations indiquent précisément quand un logement reste vide.

Pour un cambrioleur, c’est une fenêtre d’absence confirmée, sans avoir à surveiller le domicile. Les logements de vacanciers partis plusieurs nuits deviennent des cibles faciles, d’autant que la durée du séjour est connue à l’avance. La prudence reste donc de mise, même si aucune donnée bancaire n’a été compromise dans cette fuite.

Fuite via un prestataire informatique : origine de la faille

La brèche ne vient pas directement des serveurs de la fédération, mais d’un prestataire informatique tiers nommé Itea. Cet outil est utilisé par plusieurs centrales départementales de Gîtes de France pour gérer les réservations de leurs clients.

Selon les premiers éléments connus, seuls quelques départements seraient touchés. Trois territoires sont cités : la Guadeloupe, la Haute-Garonne et le Cantal. La Haute-Garonne, qui enregistre environ 4 000 réservations par an, figure parmi les structures concernées.

La faille exploitée est décrite comme basique, du type IDOR. Cette configuration permet à un attaquant d’accéder à des données en modifiant simplement un identifiant dans une URL. Le pirate ChimeraZ a visiblement procédé par opportunité, en scannant des systèmes mal protégés plutôt qu’en ciblant spécifiquement Gîtes de France.

Comment se protéger et quelle suite pour les clients ?

Si vous avez séjourné dans un gîte ou réservé via l’une des enseignes touchées, aucune donnée bancaire n’a été compromise, mais vos coordonnées personnelles circulent désormais entre de mauvaises mains. La parade repose sur trois réflexes simples qui réduisent fortement le risque d’usurpation ou d’escroquerie.

• Ignorer les messages suspects : un e-mail ou un SMS demandant une action urgente après votre séjour doit être vérifié par un autre canal avant tout clic.
• Ne jamais communiquer vos codes bancaires : aucun organismes légitime ne vous les demandera par téléphone ou par message, même pour un soi-disant remboursement.
• Surveiller ses comptes régulièrement : un prélèvement inhabituel, même de quelques euros, doit déclencher une alerte auprès de votre banque.

Réagir vite face à un message douteux

Face à un appel évoquant une taxe de séjour ou un surclassement, raccrochez et rappelez directement l’établissement concerné. Pour un e-mail, vérifiez l’adresse d’expédition réelle et l’orthographe du message. Les fraudeurs misent souvent sur un petit montant pour capter vos coordonnées bancaires sans éveiller les soupçons, comme l’expliquent les experts en cybersécurité. En cas de doute, signalez le message à Signal Spam ou à Cybermalveillance.gouv.fr.

Anticiper la suite

Les spécialistes s’attendent à de nouvelles vagues d’attaques, car la couverture médiatique de ces incidents sert d’invitation aux hackers opportunistes. Les bases volées peuvent être revendues plusieurs fois, et certains identifiants réutilisés pour d’autres services. Changez donc les mots de passe des comptes liés à votre adresse e-mail si vous réutilisez le même partout.

Les enseignes concernées ont déposé plainte et poursuivent leurs audits techniques. Côté client, vous pouvez demander des précisions sur les données vous concernant directement auprès du service client de l’établissement où vous avez réservé. La vigilance reste votre meilleure protection : rien de spectaculaire, mais des réflexes tenaces sur plusieurs semaines, le temps que la menace retombe.

Types de données exposées : mails, téléphones, dates de séjour

La fuite ne se limite pas à quelques identifiants : elle englobe des noms, prénoms, e-mails, téléphones et adresses postales, mais aussi des numéros de réservation, lieux de séjour et noms des occupants. Surtout, elle expose des dates et un nombre de nuitées, autrement dit le moment exact où un logement reste vide.

Autre point marquant : la profondeur historique de la base. Les données dérobées couvrent une période allant de 1995 à 2026, soit près de 30 ans de réservations cumulées. Une telle étendue signifie que des clients ayant séjourné il y a longtemps peuvent eux aussi figurer dans le fichier.

Ces informations ne restent pas confinées : la base circule désormais dans la sphère cybercriminelle, où elle peut être revendue ou exploitée pour des tentatives d’escroquerie ciblées. En revanche, aucune donnée bancaire n’a été compromise, ce qui limite le risque de prélèvements directs.