Le prestataire de réservation Secra Bookings a signalé une cyberattaque le 28 octobre 2026. Selon l’entreprise, des données à caractère personnel d’hébergeurs et de clients ont été divulguées lors de l’incident. Les établissements et vacanciers concernés se trouvent notamment dans le Schleswig-Holstein, où de nombreux acteurs rencontrent des perturbations dans le traitement des réservations et des demandes.
Des répercussions importantes sont signalées dans des localités touristiques de la côte baltique. À Eckernförde et dans la baie de Lübeck les responsables s’attendent à des dizaines de milliers de personnes concernées. Plusieurs plateformes de réservation et loueurs de maisons de vacances font état de restrictions, si bien que l’incident ne se limite pas à un seul établissement. Secra indique avoir pris des mesures de sécurisation et de confinement ; l’ampleur de la divulgation des données et leur éventuelle utilisation abusive restent toutefois inconnues.
Les autorités chargées de la protection des données mettent en garde contre les risques qui pourraient en découler. La déléguée régionale à la protection des données du Schleswig-Holstein souligne que les coordonnées dérobées pourraient être utilisées pour hameçonnage et des tentatives d’escroquerie. À Basse-Saxe les autorités avaient également récemment mis en garde contre des messages trompeurs liés à des réservations. Les personnes concernées devraient examiner avec prudence toute demande de paiement inhabituelle, surveiller les mouvements sur leurs comptes bancaires et clients, et consigner les faits suspects.
Secra ne précise pas encore quels types de données ont été dérobés ni dans quelle mesure. Au vu d’incidents similaires, le secteur s’attend généralement à la fuite de coordonnées et de certaines informations de réservation. Les conclusions définitives des experts en criminalistique numérique ne sont pas encore disponibles. Les investigations se poursuivent et d’autres communications de l’entreprise et des autorités de contrôle sont attendues.
Sur le plan juridique, les obligations de notification et d’information prévues par le règlement général sur la protection des donnéess’appliquent. Les responsables du traitement doivent signaler les violations graves aux autorités de contrôle et en informer les personnes concernées. Les hébergeurs qui utilisent les services de Secra devraient vérifier s’ils remplissent leurs propres obligations d’information envers leurs clients et si des mesures de protection supplémentaires sont nécessaires. Il ne sera possible d’évaluer d’éventuelles demandes d’indemnisation qu’une fois la nature et l’ampleur de la violation établies.
Les associations de consommateurs et les organisations professionnelles recommandent à court terme pragmatisme et prudence : vérifier attentivement les courriels et SMS contenant des liens ou des pièces jointes, ne pas communiquer ses identifiants, modifier ses mots de passe si nécessaire, activer les alertes de compte et porter plainte en cas de préjudice concret. Les collectivités et les organisations professionnelles réclament en outre davantage de transparence de la part des prestataires informatiques concernant leurs dispositifs de sécurité et leurs audits réguliers, afin de mieux protéger les entreprises touristiques contre les cyberattaques.
Rédactrice : Mira Cadena (Article avec le soutien de l'IA).