D-EDGE i Misterbooking: wycieki danych gości hoteli we Francji

Dwa francuskie systemy używane przez hotele padły ofiarą niezależnych incydentów bezpieczeństwa w połowie października 2026 roku. Chodzi o silnik rezerwacyjny D-EDGE oraz oprogramowanie do zarządzania hotelem Misterbooking, rozwijane przez Septeo Hospitality. W obu przypadkach ujawniono dane rezerwacyjne gości.

Sprawa wyszła na jaw dzięki wiadomości, którą 29 października 2026 roku wysłał do klientów hotel położony pod Paryżem. Placówka poinformowała o dwóch „odrębnych i niezależnych” incydentach u swoich dostawców technicznych. Ani D-EDGE, ani Septeo nie odpowiedziały na pytania redakcji.

D-EDGE: błąd konfiguracji

Według hotelu błąd konfiguracji w D-EDGE umożliwił osobom trzecim dostęp do danych rezerwacji 20 i 21 października. Firma powiadomiła hotel dopiero 23 października. Ujawnione informacje to daty i numer rezerwacji, kwota pobytu i nazwa hotelu, a w niektórych przypadkach także adres e-mail i numer telefonu. Liczba poszkodowanych obiektów nie jest znana, ale skala może być duża: D-EDGE deklaruje, że z jego rozwiązań korzysta ponad 17 tys. hoteli w ponad 150 krajach.

Misterbooking: włamanie na serwer

W przypadku Misterbooking doszło do włamania. Septeo Hospitality wykryło 19 października, że osoba nieuprawniona uzyskała dostęp do jednego z serwerów. Atakujący zdołał wyciągnąć część danych, zanim dostęp odcięto jeszcze tego samego ranka. Organizacja branżowa GHR w komunikacie z 23 października mówi o „znaczącej części” danych.

Chodzi o informacje wrażliwsze: tożsamość i dane kontaktowe klientów oraz osób towarzyszących, dane rezerwacji i dokumenty dołączone do kartotek gości. Hotel przyznaje, że nie zna jeszcze rodzaju ani wolumenu danych, których dotyczy sprawa. Misterbooking jest używany w 1800 obiektach, a po przejęciu Septeo Hospitality obsługuje 4000 hoteli we Francji, Hiszpanii i innych krajach Europy.

Uwaga na zbyt dobrze poinformowane wiadomości

Choć pełne dane kart płatniczych nie miały zostać ujawnione, wycieki mogą napędzić bardzo wiarygodne oszustwa. Podobnie było w tym miesiącu po ataku na Medialog, innego francuskiego dostawcę oprogramowania hotelowego: goście dostawali wiadomości na WhatsAppie i e-mailem z prawdziwymi danymi rezerwacji, w tym nazwiskiem, hotelem i datami pobytu.

Wiadomość z numerem rezerwacji, datami i kwotą pobytu nie jest więc już dowodem autentyczności. Jeśli prosi o potwierdzenie danych karty, zaliczkę lub kliknięcie linku, nie należy odpowiadać. Trzeba zadzwonić do hotelu pod numer z jego oficjalnej strony lub z pierwotnego potwierdzenia.