Technomedia

Billets d’avion, réservations d’hôtels, places de concert, QR codes ou faux sites de streaming : les cybercriminels exploitent chaque étape des vacances. Derrière des offres attractives ou des messages urgents, leur objectif reste le même : dérober des identifiants, des données bancaires ou installer des logiciels malveillants.

En été, si certains ne prennent pas de vacances, ce sont bien les cybercriminels. Au contraire même, profitant du relâchement des Français en congés, les voilà qui multiplient les angles et les thèmes d’attaques comme le montrent des analyses réalisées par les sociétés de cybersécurité Kaspersky et Eset.

Usurpation des sites de réservation

Le voyage commence souvent devant un écran. Billets d’avion, hébergements, VTC et activités sont réservés en ligne, parfois dans l’urgence et depuis plusieurs appareils. Ce mélange de précipitation, de confiance envers des marques connues et de recherche du meilleur prix constitue un terrain idéal pour les fraudeurs. Entre le deuxième trimestre 2025 et le premier trimestre 2026, Kaspersky indique avoir enregistré 262 663 attaques usurpant l’identité de grandes enseignes de transport. Emirates représentait 61 % des attaques observées et Uber 37 %.

Les pirates reproduisent des pages de réservation, diffusent de fausses applications ou envoient des messages signalant un problème de compte. L’objectif ne se limite pas toujours au détournement d’un billet. Les fichiers frauduleux détectés par Kaspersky comprenaient notamment 30,5 % de chevaux de Troie et 22,5 % de chevaux de Troie bancaires, conçus pour voler identifiants et coordonnées bancaires.

Découvrir la fraude... une fois sur place

Une fausse indemnisation peut ainsi être proposée au nom d’une compagnie aérienne. Le voyageur reçoit l’annonce d’un remboursement, puis doit communiquer ses informations ou régler de prétendus frais de dossier. Un compte à rebours l’incite à agir immédiatement. Cette pression temporelle doit alerter : une compagnie ne réclame pas d’acompte pour verser une indemnisation et ne limite pas sa procédure à quelques secondes.

Les plateformes d’hébergement ne sont pas épargnées. Kaspersky a recensé 5 414 attaques associées à des services de voyage et d’hébergement. Dans le piège dit de la « confirmation fantôme », une copie d’un site de réservation recueille les données de paiement. L’argent est encaissé, mais aucun courriel de confirmation n’arrive et aucune chambre n’a été réservée. La victime peut ne découvrir la fraude qu’une fois sur place...

Les festivals offrent un autre éventail d’attaques. La société de cybersécurité ESET souligne ainsi que la billetterie numérique, les applications, les paiements dématérialisés, les QR codes et les réseaux Wi-Fi publics ont élargi la surface d’exposition. Les faux vendeurs exploitent la rareté des places et la peur de manquer un événement. Faux sites, billets contrefaits, offres sur les réseaux sociaux et messages promettant des places de dernière minute cherchent à provoquer un achat précipité.

La billetterie spéculative, ou « ghost ticketing », consiste même à vendre un billet que le vendeur... ne possède pas encore ! Celui-ci espère l’acquérir ensuite à moindre coût, mais peut annuler la transaction si l’opération devient impossible ou moins rentable. Le remboursement éventuel ne couvre alors ni le transport ni l’hébergement déjà payés.

Gare aux QR codes

Les QR codes constituent également une porte d’entrée. Le « quishing » redirige la victime vers une page frauduleuse après le scan d’un code placé sur une affiche, un flyer ou une publication. De fausses applications de festival peuvent parallèlement dissimuler des logiciels malveillants ou collecter des données personnelles. Pour rappel, les applications doivent être téléchargées uniquement depuis les magasins officiels, après vérification de l’éditeur, des avis et des autorisations demandées.

Une fois sur place, mieux vaut utiliser la connexion mobile pour consulter sa banque ou effectuer un paiement. Un pirate peut créer un faux Wi-Fi dont le nom ressemble à celui du réseau officiel.

Le vol du smartphone peut aussi ouvrir l’accès aux messageries, réseaux sociaux, moyens de paiement et comptes professionnels. Sauvegarde, verrouillage robuste, localisation, effacement à distance et double authentification réduisent ce risque.

Les pirates de « L’Odyssée »

Même les loisirs à domicile servent d’appât. Kaspersky signale de faux sites prétendant proposer gratuitement « L’Odyssée » de Christopher Nolan. Un lecteur factice impose la création urgente d’un compte, puis réclame identité, mot de passe et coordonnées bancaires. Pour limiter les risques, il faut rester sur les circuits officiels, saisir directement l’adresse des sites, contrôler les URL, refuser les offres anormalement avantageuses et surveiller ses relevés bancaires. En vacances comme ailleurs, l’urgence reste l’un des meilleurs outils des escrocs.

Philippe Rioux