D-EDGE et Misterbooking piratés : les données de clients d’hôtels exposées

Deux éditeurs français de logiciels pour l’hôtellerie, le moteur de réservation D-EDGE et Misterbooking, outil de gestion édité par Septeo Hospitality, ont été touchés par des incidents de sécurité distincts à la mi-octobre 2026. Dans les deux cas, des données de clients d’hôtels ont été exposées.

L’alerte est partie d’un mail envoyé le 29 octobre 2026 par un hôtel proche de Paris à ses clients. Il y évoque deux incidents « distincts et indépendants l’un de l’autre » chez deux prestataires techniques. À la publication, ni D-EDGE ni Septeo n’avaient répondu aux sollicitations.

D-EDGE : un défaut de configuration

Selon le mail de l’hôtel, une mauvaise configuration chez D-EDGE a permis à des tiers malveillants d’accéder à des données de réservation les 20 et 21 octobre. L’entreprise n’a prévenu l’établissement que le 23 octobre. Sont concernés les dates de séjour, la référence de réservation, le montant du séjour et le nom de l’hôtel, ainsi que l’adresse e-mail et le numéro de téléphone pour certaines réservations. D-EDGE affirme que ses solutions cloud sont utilisées par plus de 17 000 hôtels dans plus de 150 pays : le périmètre potentiel est large, mais le nombre d’établissements touchés n’est pas connu.

Misterbooking : une intrusion

Chez Misterbooking, il s’agit d’une intrusion. Septeo Hospitality a détecté le 19 octobre qu’un tiers avait obtenu un accès illégitime à l’un des serveurs. L’accès a été coupé le matin même, mais l’attaquant a pu extraire une partie des données. Dans une note du 23 octobre à ses adhérents, le GHR évoque une « partie significative » des données enregistrées.

Les informations sont plus sensibles : identité et coordonnées des clients et de leurs accompagnants, informations de réservation et documents joints aux dossiers. L’ampleur reste inconnue. Misterbooking équipe 1 800 établissements, et Septeo Hospitality revendique 4 000 hôtels en France, en Espagne et dans d’autres pays européens.

Un risque d’hameçonnage

Aucune donnée complète de carte bancaire ne serait concernée, mais ces fuites laissent présager des arnaques très crédibles. Ce mois-ci, après le piratage de Medialog, autre éditeur français de logiciels hôteliers, des clients ont été ciblés sur WhatsApp et par mail avec leurs véritables informations de réservation.

Un message citant votre numéro de réservation, vos dates et le montant du séjour n’est donc plus une preuve d’authenticité. S’il réclame une confirmation de carte, un acompte ou un clic sur un lien, ne répondez pas : appelez l’hôtel au numéro de son site officiel ou de votre confirmation d’origine.