D-EDGE ve Misterbooking'de veri ihlali: otel misafirleri etkilendi

Fransız otel yazılımı sağlayıcıları D-EDGE ve Misterbooking, Ekim 2026'nın ortasında birbirinden bağımsız iki güvenlik olayı yaşadı. D-EDGE otellerin kendi sitesinden rezervasyon almasını sağlayan altyapıyı, Misterbooking ise Septeo Hospitality'nin geliştirdiği otel yönetim yazılımını sunuyor. Her iki olayda da misafirlerin rezervasyon verileri açığa çıktı.

Olay, Paris yakınlarındaki bir otelin 29 Ekim 2026'da müşterilerine gönderdiği e-postayla ortaya çıktı. Otel, teknik hizmet sağlayıcılarını etkileyen “ayrı ve birbirinden bağımsız” iki olaydan söz etti. D-EDGE ve Septeo, yorum talebine yanıt vermedi.

D-EDGE'de yapılandırma hatası

Otelin aktardığına göre D-EDGE'deki bir yapılandırma hatası, üçüncü kişilerin 20 ve 21 Ekim'de rezervasyon verilerine erişmesine yol açtı. Şirket oteli ancak 23 Ekim'de bilgilendirdi. Açığa çıkan bilgiler arasında rezervasyon tarihleri ve referansı, konaklama tutarı ve otel adı var. Bazı rezervasyonlarda e-posta adresi ve telefon numarası da yer alıyor. Etkilenen otel sayısı açıklanmadı; ancak D-EDGE, çözümlerinin 150'den fazla ülkede 17 binden fazla otel tarafından kullanıldığını belirtiyor.

Misterbooking'e sızma

Misterbooking tarafında ise bir sızma söz konusu. Septeo Hospitality, 19 Ekim'de yetkisiz bir kişinin yazılımın sunucularından birine eriştiğini tespit etti. Otelin e-postasına göre saldırgan, erişim aynı günün sabahında kesilmeden önce verilerin bir kısmını çekmeyi başardı. Sektör kuruluşu GHR ise 23 Ekim tarihli notunda verilerin “önemli bir bölümünden” söz ediyor.

Bu olayda veriler daha hassas: müşterilerin ve yanlarındaki kişilerin kimlik ve iletişim bilgileri, rezervasyon bilgileri ve müşteri dosyalarına eklenen belgeler. Otel, kendisini ilgilendiren verilerin türünü ve hacmini henüz bilmediğini söylüyor. Misterbooking 1.800 tesiste kullanılıyor; satın alma sonrası Septeo Hospitality'nin Fransa, İspanya ve diğer Avrupa ülkelerindeki otel sayısı 4.000'e ulaştı.

Fazla bilgili mesajlara dikkat

İki olayda da tam banka kartı verisinin etkilenmediği belirtilse de bu sızıntılar çok inandırıcı dolandırıcılık dalgalarına yol açabilir. Aynı senaryo bu ay, bir başka Fransız otel yazılımı sağlayıcısı Medialog'un hacklenmesinin ardından yaşandı: otel müşterilerine WhatsApp ve e-postayla, gerçek ad, otel ve konaklama tarihleri gibi bilgiler içeren mesajlar gönderildi.

Bu nedenle rezervasyon numaranızı, tarihlerinizi ve tutarı içeren bir mesaj artık gerçek olduğunun kanıtı sayılmaz. Mesaj kart bilgisi doğrulaması, ön ödeme ya da iptali önlemek için bir bağlantıya tıklamayı istiyorsa yanıt vermeyin; oteli resmi sitesindeki veya ilk onay mesajındaki numaradan arayın.