Cyberattaque : des agences Selectour victimes d’un piratage via Amadeus

Le procédé est aussi efficace que redoutable : des hackers se connectent à distance à l’ordinateur d’une agence de voyages, récupèrent les codes d’accès à Amadeus. Puis, la nuit de préférence, ils réservent en rafale des billets d’avion. Le préjudice peut s’élever à quelques dizaines de milliers d’euros. Un montant qui porte atteinte à la rentabilité du distributeur, voire peut nuire à sa viabilité, selon sa taille et sa solidité financière.

Lors du récent congrès des Entreprises du Voyage à Madère, Selectour (plus précisément Jean-Marie Seveno, président du groupement ASHA Selectour/Havas Voyages) et Amadeus ont reconnu que deux agences de voyages avaient été touchées, pas une de plus. Dans chacun des deux cas, le préjudice total s’élèverait à quelques dizaines de milliers d’euros de billets d’avion vers l’Afrique principalement. D’après une source proche du dossier, au cours des derniers mois, d’autres agences Selectour auraient en fait été hackées, notamment dans la région parisienne. Reste à savoir, en pareilles circonstances, qui va payer l’addition. Tout dépend qui est tenu responsable d’une probable déficience de sécurité.

La position de Selectour

Interrogé par nos soins, le réseau volontaire nous a répondu ce matin par mail : « Concernant la situation et compte-tenu de la confidentialité (de l’affaire), Selectour n’est pas en mesure de communiquer sur le sujet. Cet événement concerne seulement deux agences de notre réseau mais toute notre équipe travaille étroitement avec ses partenaires pour amener les agences vers un mode de fonctionnement qui vise à empêcher que ce genre de situation ne se reproduise. C’était également l’objet de notre réunion avec Amadeus, avec qui nous avançons vers une collaboration plus sécurisée de jour en jour. »  Dédier la solution Amadeus Selling Platform Connect à un seul ordinateur, et non pas à tout terminal accédant à Internet en wifi, ferait partie des solutions envisagées, selon nos informations.

Le Cediv n’a pas eu vent de piratage informatique récent, indique sa présidente Adriana Minchella. TourCom non plus. Mais son président Richard Vainopoulos reconnaît que « 3 ou 4 » agences ont fait face, il y a 18 à 24 mois, à une intrusion de leur ordinateur. « Chaque fois, quelques billets ont ainsi été émis » frauduleusement.

Pour TourCom, l’agence peut être responsable

A qui la faute ?  « L’agence est totalement ou partiellement responsable, estime le patron du réseau volontaire. Certaines agences laissent leur ordinateur ouvert la nuit, ce qui est déconseillé. Il faut au contraire bien fermer les programmes informatiques et son PC le soir, pour tout rallumer le lendemain matin. Régulièrement, nous informons nos agences à ce sujet, nous leur rappelons les consignes de sécurité qu’Amadeus nous transmet », ajoute Richard Vainopoulos.

A lire aussi, notre dossier « Comment déjouer les fraudes et les cyberattaques ? », publié dans le magazine du mois de février 2019. C’est la synthèse d’un atelier cybercriminalité organisé fin 2018 à Paris par les Entreprises du Voyage et l’APST, avec la complicité de HSBC.