En bref

• Plus de 4 300 faux domaines de réservation de voyages et d’hôtels enregistrés depuis début 2025.
• Les sites usurpent l’identité de grandes marques comme Booking.com, Expedia, Airbnb et Agoda.
• Les pages de phishing prennent en charge 43 langues, ciblant des victimes dans le monde entier.
• Les attaquants utilisent des kits de phishing sophistiqués qui adaptent la page frauduleuse à chaque visiteur.
• Les données de paiement volées sont envoyées aux attaquants via des outils automatisés et des bots Telegram.

Bienvenue à l’hôtel du phishing : un mirage numérique

Imaginez la scène : vous êtes enthousiaste pour votre prochain voyage, un e-mail arrive de ce qui semble être Booking.com, vous invitant à confirmer votre réservation. Vous cliquez sur le lien, tombez sur une page familière et saisissez les détails de votre carte pour garantir votre séjour. Tout paraît normal - jusqu’à ce que votre banque vous appelle pour des transactions suspectes. Vous venez d’entrer dans la plus grande arnaque hôtelière numérique au monde.

Ce n’est pas une opération de phishing ordinaire. Des chercheurs en sécurité chez Netcraft ont découvert une vaste campagne orchestrée par un groupe russophone, qui, depuis février 2025, a créé plus de 4 300 faux sites de voyage. Leurs cibles ? Les clients d’hôtels et les voyageurs à travers l’Europe et au-delà, attirés par des e-mails imitant des confirmations de réservation authentiques.

Au cœur de l’arnaque : comment fonctionne l’escroquerie numérique

Le mode opératoire des hackers est à la fois large et ingénieux. Parmi les milliers de faux domaines, des centaines incluent des noms comme “Booking”, “Expedia” ou “Airbnb”, utilisant logos officiels et mises en page familières pour tromper même les plus prudents. L’arnaque commence par un e-mail de phishing - souvent urgent, avertissant que votre réservation sera annulée à moins de la confirmer avec une carte bancaire sous 24 heures. Cliquez sur le lien, et vous êtes redirigé à travers une série de pages personnalisées, avec de faux tests CAPTCHA et un support multilingue.

Si vous saisissez vos informations de paiement, le site effectue une fausse transaction en arrière-plan pendant qu’un faux chat d’assistance vous guide à travers une vérification ‘3D Secure’ factice. Chaque étape est conçue pour imiter la réalité. En coulisses, un code astucieux garantit que chaque visiteur voit un site adapté à sa réservation ou son hôtel supposé, grâce à un code unique dans l’adresse web. Résultat : une arnaque qui paraît étrangement personnelle et convaincante.

Le phishing à l’échelle industrielle : le nouveau marché du cybercrime

Cette campagne s’inscrit dans une tendance plus large : le phishing-as-a-service (PhaaS), où des kits d’arnaque prêts à l’emploi s’achètent et se vendent sur le dark web. Ces kits automatisent tout - de la création de fausses pages en dizaines de langues à l’envoi direct des données volées aux criminels via des bots Telegram. Fini le temps des hackers solitaires : le phishing est devenu une industrie, scalable et terriblement efficace.

Des rapports récents de sociétés de cybersécurité comme Sekoia et Group-IB ont retracé des attaques similaires visant le personnel et les clients d’hôtels, allant parfois jusqu’à infecter les ordinateurs des managers pour détourner de vraies réservations. La zone géographique ciblée - Europe centrale et orientale - suggère une approche calculée, exploitant des régions à fort trafic touristique et peut-être à la cybersécurité plus faible. L’utilisation du russe dans le code sous-jacent laisse deviner l’origine des attaquants ou, au minimum, leur clientèle cible pour ces kits de phishing.

L’histoire est un avertissement clair : à mesure que le marché du cybercrime s’industrialise, toute personne possédant une adresse e-mail et des projets de voyage peut devenir une victime. Le faux hall d’hôtel est ouvert 24h/24 - et l’enregistrement se fait en un clic.

WIKICROOK

• Phishing : Le phishing est un cybercrime où des attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.
• Phishing Kit : Un kit de phishing est un ensemble d’outils prêts à l’emploi permettant aux criminels de créer rapidement de faux sites web et de voler des informations sensibles aux utilisateurs.
• CAPTCHA : Un CAPTCHA est un test de sécurité sur les sites web qui permet de distinguer les humains des robots, souvent en demandant de résoudre des énigmes simples ou d’identifier des images.
• Telegram Bot : Un bot Telegram est un programme automatisé sur Telegram qui peut envoyer ou recevoir des messages, souvent utilisé pour l’automatisation ou par des cybercriminels pour gérer des malwares.
• 3D Secure : 3D Secure est une étape d’authentification supplémentaire pour les paiements en ligne par carte, aidant à protéger les utilisateurs contre la fraude en vérifiant leur identité lors des transactions.