Par Capucine Berr, CEO de Zorrooo.
L’alerte est sérieuse pour les voyageurs qui réservent leur séjour en ligne. Une fraude particulièrement crédible cible les utilisateurs de Booking.com : après une vraie réservation, la victime reçoit une nouvelle demande de paiement qui reprend son nom, ses dates de séjour, son hôtel et parfois le montant attendu. Elle croit sécuriser sa réservation. Elle paie une seconde fois — mais les fonds partent chez les escrocs.
Ces messages sont d’autant plus redoutables qu’ils peuvent apparaître dans la messagerie de la plateforme ou provenir d’un compte lié à l’établissement. Booking.com reconnaît elle-même que la prise de contrôle d’un compte partenaire peut entraîner des transactions frauduleuses et un accès non autorisé aux données des voyageurs. Fidèle à sa mission de premier réseau social du droit, gratuit et public, Zorrooo décrypte la mécanique et la méthode pour se protéger, conserver les preuves et organiser une riposte collective.
1. Comment les pirates s’infiltrent dans une vraie réservation
Le piège ne ressemble pas toujours aux vieux courriels de phishing truffés de fautes. Les cybercriminels visent notamment les accès informatiques des hôtels et des établissements partenaires. Lorsqu’un compte professionnel est compromis, ils peuvent exploiter de vraies informations de réservation pour fabriquer un message presque impossible à distinguer d’un échange légitime.
Le voyageur reçoit alors un message alarmant, parfois directement dans l’environnement Booking.com ou sur WhatsApp au nom de l’hôtel. Une erreur informatique, une carte refusée, une taxe de séjour ou une vérification urgente sont invoquées. La menace est toujours la même : « payez dans les 24 heures ou votre réservation sera annulée ».
Le lien conduit vers une copie très convaincante d’une page de paiement. Les coordonnées bancaires sont récupérées, ou la victime est conduite à autoriser une opération qu’elle croit destinée à l’hôtel. L’urgence empêche de vérifier. L’exactitude des données de réservation achève de convaincre.
Une vraie réservation peut servir de décor à une fausse demande de paiement.
2. Remboursement bancaire : ce que dit réellement le droit
Après la fraude, certaines banques refusent le remboursement en affirmant que le client a validé l’opération au moyen de l’authentification forte. Mais la présence d’un code, d’une notification ou d’une validation dans l’application bancaire ne tranche pas, à elle seule, toutes les situations.
Pour une opération que le client conteste comme non autorisée, l’article L. 133-18 du Code monétaire et financier prévoit le principe d’un remboursement par le prestataire de paiement. La banque peut toutefois invoquer la fraude du client ou une négligence grave dans les conditions prévues par l’article L. 133-19. L’issue dépend donc des faits : ce que la victime a vu, compris et effectivement autorisé.
La Cour de cassation a rappelé, dans une décision du 23 octobre 2024, que la banque doit démontrer la négligence grave qu’elle reproche au client. Une fraude particulièrement sophistiquée et crédible ne permet donc pas de conclure automatiquement que la victime a commis une imprudence caractérisée.
Il faut agir immédiatement : avertir la banque, demander le blocage de la carte, contester les opérations, déposer plainte et conserver la totalité des échanges. Chaque dossier reste individuel. Une opération réellement autorisée par le client n’obéit pas toujours au même régime qu’un paiement exécuté sans son consentement.
3. Données personnelles : qui devait les protéger ?
Le fait qu’un escroc connaisse le nom du client, l’établissement, les dates et le numéro de réservation pose aussi une question de sécurité des données. Le RGPD impose aux organismes qui traitent des données personnelles de mettre en place des mesures adaptées aux risques et de réagir aux violations.
Cela ne signifie pas que Booking.com est automatiquement responsable de chaque fraude : la faille peut provenir de l’établissement, d’un prestataire, d’un poste informatique infecté ou d’un compte compromis. Mais la victime est fondée à demander quelles données ont été exposées, quel acteur les détenait et quelles mesures ont été prises.
4. Prévenir : le réflexe Smartpreuve et la double vérification
Si vous recevez une demande de paiement urgente ou suspecte, ne cliquez pas sur le lien. Ouvrez vous-même l’application ou le site officiel, puis appelez directement l’hôtel en recherchant son numéro indépendamment du message reçu. Booking.com recommande également aux voyageurs qui pensent avoir partagé des informations avec un escroc de contacter immédiatement son service client et leur banque.
Pour documenter les échanges, la web-application Smartpreuve, développée par Alexis Deborde, permet d’horodater et de sceller numériquement des captures d’écran, des photographies et des vidéos. Cette preuve technique ne garantit pas à elle seule un remboursement, mais elle peut établir plus solidement la chronologie, le contenu et l’origine apparente des messages.
5. Alerter : transformer les victimes isolées en force collective
Face à une plateforme mondiale ou à une banque, une réclamation individuelle peut facilement se perdre dans une chaîne de réponses standardisées. Zorrooo centralise les signalements, compare les modes opératoires et identifie les répétitions : même formulation, même type de lien, même faux motif de paiement, même refus de remboursement.
Cette matière factuelle permet d’informer les voyageurs, d’alerter les médias et d’interpeller les organismes compétents : la DGCCRF pour les pratiques relevant de la protection économique des consommateurs, la CNIL lorsqu’une violation de données personnelles est en cause, ou encore le médiateur bancaire dans un litige de remboursement.
6. Rejoignez la vigie citoyenne de Zorrooo
Vous avez reçu une fausse demande de paiement après une réservation Booking ? Vous avez payé deux fois ou votre banque refuse de vous recréditer ? Conservez le message, son lien sans l’ouvrir à nouveau, les captures, le relevé bancaire, la plainte et toutes les réponses reçues.
Déposez ensuite votre témoignage sur Zorrooo. En partageant votre histoire sur un réseau social public dédié au droit, vous transformez une mésaventure individuelle en outil de prévention et en donnée utile à une alerte collective.
Pour les autres difficultés liées aux réservations, consultez les réclamations voyage sur Zorrooo et notre guide sur les droits en cas de vol annulé.
