NDC : une escroquerie mondiale aux usurpations d’identités d’agences de voyages
Des escrocs utilisent des numéros IATA volés et de faux domaines e-mail pour s’introduire dans les systèmes NDC des compagnies aériennes et émettre des billets avec des cartes bancaires volées. La World Travel Agents Associations Alliance (WTAAA) tire la sonnette d’alarme.
Des escrocs ont repéré une faille de sécurité dans le processus d’intégration de la norme NDC. Le mode opératoire est rodé : les escrocs créent des domaines e-mail imitant ceux d’agences bien établies, puis contactent les compagnies aériennes pour obtenir un accès à leurs portails NDC.
En présentant un numéro IATA valide, ils parviennent à décrocher une autorisation d’émission, à l’insu de l’agence usurpée. Les billets sont ensuite émis en masse. Lorsque les véritables titulaires de ces cartes constatent des débits frauduleux, ils les contestent auprès de leur banque. Elle déclenche alors un chargeback, c’est-à-dire qu’elle annule la transaction et débite le montant en retour… souvent à la charge de l’agence de voyages dont les identifiants ont été utilisés.
Des recommandations pour les agences
C’est à ce moment-là seulement que l’agence victime découvre la fraude. Dans un cas confirmé en Amérique du Nord, le préjudice a dépassé 350 000 dollars. La World Travel Agents Associations Alliance (WTAAA), équivalent des Entreprises du Voyage (EDV) à l’échelle mondiale, a lancé une alerte à destination des agences de voyage du monde entier.
La WTAAA appelle les agences à auditer immédiatement leurs accès NDC actifs, surveiller leur activité BSP et ARC sans attendre le cycle de facturation, et signaler toute anomalie aux compagnies aériennes, à IATA et à leur association nationale. L’organisation presse également les compagnies aériennes et partenaires technologiques de renforcer leurs protocoles de vérification d’identité à NDC.
En effet, ça n’est pas la sécurité structurelle des GDS qui est mise en cause. Ils n’ont pas été compromis. La faille réside dans les processus d’intégration NDC, insuffisamment sécurisés au-delà de la seule vérification du numéro IATA, estime la WTAAA.
