Arnaque Booking : l'UE enquête, protégez vos voyageurs

Un voyageur vous écrit, inquiet : il a reçu « de votre part » un message lui demandant de confirmer sa carte bancaire sous 24 heures, sinon sa réservation serait annulée. Vous n'avez rien envoyé. Ce scénario, bien connu des hôtes sur Booking.com, est désormais au cœur d'une enquête européenne. Le 21 octobre 2026, la Commission européenne a ouvert une procédure formelle contre Booking.com au titre du règlement sur les services numériques (DSA), notamment sur l'hameçonnage (phishing) qui exploite les données de réservation. Voici ce que vise l'enquête, ce qu'elle change pour vous, et les réflexes à adopter dès maintenant pour protéger votre compte et vos voyageurs.

Cet article s'appuie sur les sources officielles lues pour l'occasion : le communiqué de la Commission européenne du 21 octobre 2026, les pages d'aide partenaires de Booking.com sur l'hameçonnage et l'usurpation d'e-mails, sur l'utilisation non autorisée d'un compte et sur la sécurisation du compte, la page sécurité pour les voyageurs de Booking.com, la fiche réflexe hameçonnage de Cybermalveillance.gouv.fr, l'analyse du Microsoft Security Blog du 13 mars 2025 et la page d'aide Airbnb sur les paiements hors plateforme. Les citations des pages en anglais sont des traductions propres.

Dernière vérification des sources : 31 octobre 2026. Ceci n'est pas un conseil juridique ou de sécurité personnalisé : à vérifier selon votre situation et avec le service partenaires de Booking.com.

Que reproche la Commission européenne à Booking.com ?

La Commission vérifie si Booking.com a correctement évalué et réduit les risques liés aux fausses annonces et à l'hameçonnage, et si les annonces mises en avant contre paiement sont bien signalées comme publicités. Booking.com est désignée « très grande plateforme en ligne » depuis le 25 avril 2023, ce qui la soumet aux obligations les plus lourdes du DSA. L'enquête porte sur trois points :

1. Les annonces frauduleuses et non conformes : biens inexistants, fraude à l'usurpation d'identité, logements non conformes. La Commission vérifie si la plateforme a recensé et évalué ces risques pour les consommateurs.
2. L'hameçonnage exploitant les données de réservation et d'invité : la Commission examine la manière dont les données sont partagées avec les hébergeurs, la conception de la messagerie de Booking.com, et les garanties prévues pour empêcher que ces données servent à solliciter des paiements frauduleux.
3. Les annonces « boostées » : les hébergeurs peuvent gagner en visibilité contre une commission plus élevée. Les utilisateurs doivent pouvoir reconnaître que ce sont des publicités, et savoir qui les a payées et pourquoi elles s'affichent.

Si ces manquements étaient établis, ils constitueraient des infractions aux articles 34 et 35 du DSA (évaluation et atténuation des risques systémiques) et à l'article 26, paragraphe 1 (identification des publicités).

Photo : EmDee, Wikimedia Commons, licence CC BY-SA 4.0 ; image convertie en WebP et redimensionnée.

Où en est la procédure, et que peut-il se passer ?

L'enquête vient de s'ouvrir : aucune sanction n'est prononcée et l'issue n'est pas jugée d'avance. Le communiqué précise que l'ouverture d'une procédure formelle « ne préjuge pas de l'issue de l'enquête ». La Commission annonce une enquête approfondie menée en priorité, avec de nouvelles demandes d'informations, des entretiens ou des inspections. Elle pourra ensuite prendre des mesures provisoires, adopter une décision constatant un manquement, ou accepter des engagements proposés par Booking.com.

La procédure fait suite à une enquête préliminaire : la Commission a analysé les rapports d'évaluation des risques de Booking.com et les réponses de l'entreprise à deux demandes d'informations, envoyées le 23 septembre 2025 et le 26 mai 2026. Elle travaille avec l'autorité néerlandaise pour les consommateurs et les marchés, puisque Booking.com est établie aux Pays-Bas. Le communiqué ne fixe aucun calendrier.

Qu'est-ce que cela change pour vous, hôte sur Booking.com ?

Dans l'immédiat, rien d'obligatoire : aucune nouvelle règle ne s'impose aux hébergeurs. Mais l'enquête vise précisément la chaîne dont vous êtes un maillon : votre compte extranet contient les noms, coordonnées et parfois les données de paiement de vos voyageurs. Booking.com le rappelle lui-même : votre compte « contient des informations précieuses que les fraudeurs peuvent cibler ». Un pirate qui y entre peut écrire à vos voyageurs depuis votre propre fil de messages, avec votre nom et les vraies dates de leur séjour. Pour le voyageur, le faux message est alors indiscernable d'un vrai.

Si l'enquête aboutit à des mesures, elles pourraient toucher la messagerie, le partage des données ou l'affichage des annonces boostées. Ce sont des hypothèses : rien n'est décidé. En attendant, la meilleure protection reste entre vos mains. Pour situer Booking.com face aux autres plateformes sur les frais et les règles, voyez notre comparatif Airbnb, Booking et Abritel.

Comment les pirates attaquent-ils les hôtes ?

Le plus souvent par un e-mail qui imite Booking.com et pousse à agir vite. Booking.com cite les signes classiques : un ton urgent (menace de suspension du compte, problème de paiement), des fautes, un mélange de langues, et des liens qui ne mènent pas vers une adresse en « .booking.com ». La plateforme précise qu'elle ne vous demandera jamais une action urgente sans communication préalable.

Les leurres sont parfois très travaillés. En mars 2025, Microsoft Threat Intelligence décrivait une campagne active depuis décembre 2024, attribuée au groupe Storm-1865, qui visait le personnel hôtelier travaillant avec Booking.com. Les e-mails évoquaient un faux avis négatif, une demande d'un futur voyageur ou une vérification de compte. Le lien menait vers une fausse page de vérification de type CAPTCHA, qui demandait d'ouvrir la fenêtre « Exécuter » de Windows et d'y coller une commande. Cette technique, appelée ClickFix, installait des logiciels qui volent identifiants et données financières.

Retenez ceci : aucune vérification légitime ne vous demande de copier une commande dans Windows. Et un e-mail sur un avis négatif ne demande jamais d'ouvrir une pièce jointe ou de se connecter par un lien ; pour traiter un vrai avis, passez par l'extranet, comme expliqué dans notre guide pour répondre aux avis négatifs sur Airbnb et Booking.

Comment savoir si votre compte extranet a été piraté ?

Les signes listés par Booking.com sont concrets :

• des voyageurs signalent avoir reçu des messages ou des appels demandant un paiement qui ne viennent pas de vous ;
• des modifications que vous n'avez pas faites : coordonnées, prix, disponibilités, contenu de l'annonce ou channel manager ;
• un e-mail « nouvelle connexion » que vous ne reconnaissez pas ;
• de nouveaux numéros de double authentification ou de nouveaux utilisateurs ajoutés à votre établissement.

Un seul de ces signes suffit pour agir tout de suite. Booking.com indique aussi que, s'il détecte une activité suspecte sur votre compte, il désactive immédiatement la fonction « lien » dans les messages que vous envoyez aux voyageurs, pour empêcher l'envoi de liens de paiement frauduleux. Si vos liens ne passent plus, ne cherchez pas à contourner le blocage : vérifiez votre compte.

Quels réflexes adopter dès aujourd'hui ?

Six réflexes couvrent l'essentiel, tous tirés des pages de Booking.com et de Cybermalveillance.gouv.fr :

1. Entrer par la bonne porte. Tapez vous-même https://admin.booking.com/ dans le navigateur, puis enregistrez la page en favori. Ne vous connectez jamais depuis un lien reçu par e-mail ou SMS.
2. Choisir la meilleure double authentification. Elle est obligatoire sur l'extranet. Booking.com recommande un code temporaire généré par application (TOTP), par exemple le code de vérification de l'appli Pulse, plutôt que le SMS, plus facile à intercepter.
3. Protéger aussi votre messagerie. Le pirate qui lit vos e-mails peut réinitialiser votre mot de passe Booking.com. Activez la double authentification sur votre boîte mail.
4. Un mot de passe unique et long. Au moins dix caractères avec majuscules, minuscules, chiffres et caractères spéciaux selon Booking.com, sans nom ni date de naissance, et jamais réutilisé ailleurs.
5. Un compte par personne. En conciergerie, créez un compte extranet individuel pour chaque membre de l'équipe au lieu de partager un mot de passe, et passez régulièrement en revue les utilisateurs et les numéros de double authentification.
6. Rester sur la messagerie de la plateforme. Booking.com conseille d'éviter WhatsApp et les autres canaux extérieurs pour échanger avec les voyageurs. Gardez aussi vos appareils à jour, avec un antivirus actif.

Le même principe vaut pour le reste de votre logement : un réseau mal protégé expose aussi vos voyageurs, comme nous l'expliquons dans notre article sur la sécurité du Wi-Fi en location saisonnière.

Photo : Santeri Viinamäki, Wikimedia Commons, licence CC BY-SA 4.0 ; image convertie en WebP et redimensionnée.

Comment prévenir vos voyageurs sans les inquiéter ?

En leur donnant une règle simple, avant que le fraudeur ne leur écrive. Booking.com rappelle aux voyageurs qu'il ne leur demande jamais leur carte bancaire par e-mail, téléphone, SMS ou WhatsApp, qu'un virement différent de la politique de paiement indiquée dans la confirmation est suspect, et qu'aucun paiement ne se fait en cartes-cadeaux. Reprenez ces repères à votre compte, en trois endroits :

• Dans l'annonce : une phrase dans la description, par exemple « Nous ne vous demanderons jamais de paiement par lien, SMS ou WhatsApp. Le paiement suit uniquement les conditions de votre confirmation Booking.com. »
• Dans le message de confirmation : le même rappel, envoyé depuis la messagerie Booking.com. Nos modèles de messages programmés se prêtent bien à cet ajout.
• Dans le livret d'accueil : une rubrique « Paiement et sécurité » que le voyageur consulte pendant le séjour, au moment où il reçoit parfois des messages sur une prolongation ou un supplément.

Un livret d'accueil digital a ici un avantage pratique : vous ajoutez ou corrigez la rubrique quand vous voulez, sans réimprimer, et le voyageur l'ouvre en scannant un QR code, sans appli à installer. Avec la traduction en six langues, le rappel est lu par vos voyageurs étrangers, souvent les plus ciblés.

Que faire si vous avez cliqué ou si votre compte est piraté ?

Agissez dans l'ordre, et vite. Booking.com recommande :

1. Changer d'abord le mot de passe de votre messagerie, puis celui de Booking.com, depuis https://admin.booking.com/ et le lien d'aide à la connexion de la page d'identification.
2. Analyser votre appareil avec un antivirus à jour : certains hameçonnages installent un logiciel malveillant au lieu de voler un mot de passe.
3. Signaler l'incident à Booking.com dans les 24 heures, avec une copie de l'e-mail suspect et la liste des activités que vous ne reconnaissez pas.

Prévenez ensuite les voyageurs dont la réservation est en cours ou à venir, depuis la messagerie Booking.com : ne payez rien en dehors des conditions de la confirmation. Si des données de voyageurs ont pu être consultées, vos obligations au titre du RGPD peuvent s'appliquer : notre article sur les données des voyageurs et le RGPD fait le point.

Cybermalveillance.gouv.fr ajoute les réflexes côté France : faire opposition auprès de votre banque si vous avez donné des coordonnées bancaires, conserver les preuves, déposer plainte, signaler l'e-mail sur Signal Spam ou le site Phishing Initiative, transférer un SMS frauduleux au 33700, et appeler Info Escroqueries au 0 805 805 817 (appel gratuit).

Et sur Airbnb, la règle est-elle différente ?

Le principe est le même, avec une règle encore plus stricte. La page d'aide d'Airbnb sur les paiements hors plateforme interdit aux hôtes de demander une réservation ou une communication hors d'Airbnb avant la réservation. Elle rappelle que payer en dehors d'Airbnb expose à la fraude et à l'hameçonnage, et qu'une demande de virement bancaire peut signaler une réservation frauduleuse. Airbnb bloque aussi les messages qui contiennent des coordonnées ou des liens externes avant réservation, et invite à signaler tout message suspect. Si vous êtes sur les deux plateformes, une seule consigne suffit pour vos voyageurs : tout paiement passe par la plateforme de réservation. Pour les autres règles d'Airbnb sur l'identité des voyageurs et les documents demandés, voyez notre article sur la pièce d'identité, le contrat et les applis.

L'essentiel à retenir

FAQ

L'enquête européenne vise-t-elle les hôtes ?

Non. La procédure vise Booking.com en tant que très grande plateforme en ligne. Elle porte sur la manière dont la plateforme évalue et réduit les risques, pas sur les hébergeurs. Les mesures éventuelles s'adresseraient à Booking.com.

Booking.com peut-il me demander mes identifiants par e-mail ?

Non. Booking.com indique qu'il ne vous demandera jamais vos informations de connexion. Un e-mail qui réclame votre mot de passe ou votre code de vérification est une tentative d'hameçonnage.

Un voyageur a reçu un faux message de paiement : est-ce que mon compte est piraté ?

C'est l'un des signes listés par Booking.com, donc vérifiez tout de suite : changez vos mots de passe, contrôlez les utilisateurs et les numéros de double authentification, puis signalez l'incident à Booking.com dans les 24 heures. Prévenez le voyageur de ne rien payer en dehors des conditions de sa confirmation.

Le SMS suffit-il comme double authentification ?

Il protège mieux que rien, mais Booking.com recommande un code temporaire généré par application (TOTP), plus difficile à intercepter et utilisable même sans réseau mobile.

Comment vérifier qu'un e-mail vient bien de Booking.com ?

Survolez le lien sans cliquer, ou appuyez longuement dessus sur mobile : l'adresse doit se terminer par « .booking.com ». Dans le doute, ne cliquez pas, et connectez-vous directement par admin.booking.com pour voir si le message y figure.

Un rappel de sécurité dans le livret, en cinq minutes

L'enquête prendra du temps ; vos voyageurs, eux, arrivent cette semaine. Ajoutez dès maintenant votre rubrique « Paiement et sécurité » : le générateur de livret d'accueil de l'offre Essentiel (gratuit, options à la carte) crée un livret et son QR code sans inscription, modifiable à tout moment sans réimprimer.

Crédits images. Couverture : photo « Red padlock on black computer keyboard » de FlyD, Unsplash, licence Unsplash. Photos du texte : bâtiment Berlaymont par EmDee, Wikimedia Commons, licence CC BY-SA 4.0, et illustration identifiant et mot de passe par Santeri Viinamäki, Wikimedia Commons, licence CC BY-SA 4.0 ; images converties au format WebP et redimensionnées.