Le message arrive sur WhatsApp. Il cite le nom de l’hôtel, les dates du séjour, le montant des arrhes déjà versées, et invite poliment à régler le solde « via le lien ci-dessous ». Tout est exact, sauf le lien.
Depuis le début du mois d’octobre, des voyageurs reçoivent ce type de sollicitation. À la réception, certains établissements voient arriver des clients persuadés d’avoir déjà payé. Le lien entre ces escroqueries et l’intrusion chez l’éditeur n’est pas formellement établi à ce stade. La coïncidence inquiète pourtant une profession qui découvre, souvent à ses dépens, qu’elle se trouve juridiquement en première ligne.
Une faille ouverte depuis l’été
D’après la notification adressée par Medialog à ses clients, et relayée par la presse spécialisée, la vulnérabilité affectait un service web du logiciel depuis le 29 juin 2026. Des tiers l’auraient exploitée entre le 27 septembre et le 5 octobre, avec une extraction principale les 4 et 5 octobre. Les accès ont été bloqués le 5 octobre, en fin de matinée.
Les fichiers concernés portent sur l’identité des clients, leurs coordonnées et le détail de leurs réservations. L’éditeur assure qu’aucune donnée bancaire n’est en cause. Un argument qui ne rassure qu’à moitié : pour un escroc, une réservation réelle, avec son montant et ses dates, vaut parfois davantage qu’un numéro de carte.
L’hôtelier, responsable malgré lui
C’est le point qui déconcerte le plus les exploitants. Le RGPD distingue le responsable du traitement, qui décide pourquoi et comment les données sont utilisées, du sous-traitant, qui les traite pour son compte (article 4 du règlement). L’hôtel est responsable des données de sa clientèle. L’éditeur du logiciel n’est, en principe, que son sous-traitant.
« La faille a beau se situer chez le prestataire, c’est l’établissement qui doit notifier la CNIL, informer ses clients et documenter l’incident », résume le cabinet HAAS Avocats, spécialisé en droit du numérique.
Le calendrier, lui, ne laisse guère de répit. Le sous-traitant doit prévenir son client « dans les meilleurs délais » (article 33, paragraphe 2). Pour le Comité européen de la protection des données, l’hôtel est réputé avoir connaissance de la violation dès cette alerte (lignes directrices 9/2022). Le compte à rebours démarre donc à la réception du message de l’éditeur, et non lorsque celui-ci livre enfin un périmètre détaillé.
Soixante-douze heures pour réagir
Premier front, la CNIL. Le responsable du traitement doit lui notifier la violation dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33, paragraphe 1). Passé ce délai, il doit justifier son retard. Le texte prévoit une soupape bienvenue : lorsque l’éditeur ne transmet les informations qu’au compte-gouttes, la notification peut être complétée par étapes (article 33, paragraphe 4).
« Beaucoup d’établissements ont attendu le périmètre exact avant de bouger. C’est un réflexe compréhensible, mais risqué : le délai court dès l’alerte », relève-t-on au cabinet.
Deuxième front, les clients. Leur information n’est obligatoire qu’en cas de risque élevé pour les personnes (article 34). Avec de fausses demandes de paiement déjà en circulation, le seuil paraît atteint. Le message doit rester simple : ce qui s’est passé, le risque d’hameçonnage, et une consigne claire. L’hôtel ne réclame jamais de paiement par WhatsApp ; en cas de doute, il faut l’appeler au numéro habituel.
Troisième front, l’assureur. Depuis 2023, le Code des assurances subordonne l’indemnisation des pertes liées à une cyberattaque au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’atteinte (article L. 12-10-1). Même tardive, la plainte conserve son utilité : elle date les faits et ouvre la voie pénale.
Reste l’organisation. Nombre d’hôtels touchés sont des indépendants, sans juriste ni responsable informatique. Les praticiens recommandent une cellule de crise réduite : la direction, le délégué à la protection des données, le référent informatique, un conseil, et la réception, premier interlocuteur des clients inquiets. Chaque décision, notifiée ou non, doit être consignée dans le registre des violations (article 33, paragraphe 5).
Au comptoir, le client qui a « déjà payé »
La scène est la plus délicate à gérer. Un client se présente, preuve de virement à l’appui, et refuse de régler une seconde fois. En principe, payer un escroc ne libère pas le débiteur envers son véritable créancier. Le Code civil réserve toutefois le cas du paiement fait de bonne foi à un « créancier apparent » (article 1342-3). Et la précision des informations détournées rend l’argument du client moins fragile qu’il n’y paraît.
Deux leçons s’en dégagent. L’alerte envoyée aux clients protège aussi l’hôtel : une fois prévenu, un voyageur pourra difficilement invoquer sa bonne foi. Surtout, chaque contestation doit suivre un protocole écrit, sans improvisation au comptoir ni reconnaissance de responsabilité.
L’éditeur dans le viseur
En première ligne, l’hôtelier n’est pas pour autant seul en cause. Toute personne ayant subi un dommage du fait d’une violation du RGPD peut en demander réparation au responsable du traitement comme au sous-traitant (article 82, paragraphe 1). L’hôtel qui indemnise un client, rembourse un séjour ou engage des frais de gestion de crise peut ensuite se retourner contre l’éditeur, pour la part de responsabilité qui lui revient (article 82, paragraphe 5).
La CNIL ne ménage pas davantage les prestataires. Le 11 décembre 2025, sa formation restreinte a infligé une amende d’un million d’euros à un ancien sous-traitant de Deezer, à l’origine d’une fuite de données. Elle a jugé qu’il ne pouvait s’abriter derrière les agissements de ses salariés, et relevé que les personnes concernées avaient été exposées à un hameçonnage personnalisé.
Le contrat, lui, fixera les règles du jeu. Il doit prévoir que l’éditeur assiste l’hôtel dans ses obligations de sécurité et de notification (article 28, paragraphe 3). Mais les licences de logiciels plafonnent souvent l’indemnisation, parfois au montant d’une année de redevances. « Ces clauses ne sont pas intouchables. Elles tombent lorsqu’elles vident de sa substance l’obligation essentielle du prestataire, ou en cas de faute lourde », souligne-t-on chez HAAS Avocats (article 1170 du Code civil).
Encore faut-il savoir ce qui s’est passé : cause de la vulnérabilité, périmètre exact par établissement, mesures correctives, couverture d’assurance de l’éditeur. Leur obtention constitue la première étape, avant toute discussion sur la réparation.
Figer les preuves avant qu’elles ne s’effacent
Les éléments utiles à un futur litige circulent dans les premiers jours, puis disparaissent. Deux outils s’offrent aux établissements. Le constat de commissaire de justice permet de figer la date et le contenu de l’alerte reçue, ou les faux messages transmis par les clients ; hors matière pénale, il fait foi jusqu’à preuve contraire. Plus offensive, la mesure d’instruction de l’article 145 du Code de procédure civile autorise le juge à ordonner, avant tout procès, la conservation ou l’établissement de preuves. Elle convient notamment lorsque l’éditeur tarde à livrer les journaux d’accès propres à l’établissement.
Pour se repérer, la CNIL a publié une fiche pratique, « Cyberattaque : le sous-traitant au centre de la crise ». Elle y décrit un prestataire exemplaire, qui adresse à chaque client un guide d’aide à la déclaration et ouvre une ligne dédiée. De quoi mesurer l’assistance que chaque hôtel est en droit d’attendre.
« L’erreur serait d’attendre, conclut le cabinet. Pas parce que les droits se perdraient en quelques jours, mais parce que les clients, eux, reçoivent les faux messages aujourd’hui. »
Ce que les hôteliers doivent faire maintenant
- Notifier la CNIL, puis compléter la déclaration au fil des informations transmises par l’éditeur.
- Prévenir les clients concernés, avec une consigne claire contre les faux liens de paiement.
- Déposer plainte et déclarer le sinistre à l’assureur sans attendre.
- Consigner chaque décision dans le registre des violations.
- Conserver toutes les preuves : alerte de l’éditeur, échanges, captures des messages frauduleux.
- Faire analyser le contrat conclu avec l’éditeur avant toute discussion sur la réparation.
***
Une équipe dédiée à la gestion de crise
Spécialisé depuis trente ans en droit du numérique, en protection des données et en cybersécurité, le cabinet HAAS Avocats dispose d’une équipe d’avocats dédiée à ce type de crise. Elle intervient dès les premières heures : notification et compléments à la CNIL, rédaction de l’information aux clients, protocole face aux contestations de paiement, préservation des preuves, analyse du contrat conclu avec l’éditeur et défense des droits de l’établissement.
Pour être accompagné, contactez le cabinet.
Article à caractère informatif. Les faits relatifs à l’incident sont présentés tels que communiqués par l’éditeur et relayés par la presse spécialisée. Il ne constitue pas une consultation juridique.
