Arnaque Booking : l’hôtel piraté qui redemande ta carte

Le message arrive dans la messagerie officielle de ta réservation, signé de l’hôtel, avec tes dates et ton prix exacts : « Votre paiement n’a pas pu être vérifié, confirmez votre carte sous 12 heures ou la réservation sera annulée. » Tout est vrai, sauf l’essentiel : ce n’est pas l’hôtel qui écrit, c’est quelqu’un qui a piraté son compte. Le lien mène à une copie de la page de paiement, et ta carte paie un séjour qui n’existe pas. Ni la plateforme ni l’hôtel ne te redemandent jamais ta carte par un lien dans un message.

Ce duel fait partie du Pass Ruse. Le Renard s’est déguisé en réceptionniste, depuis le compte piraté de l’hôtel ; il a sept messages pour te faire « confirmer » ta carte.

Comment marche l’arnaque Booking ?

Les escrocs piratent l’accès professionnel d’hôtels (par hameçonnage ou logiciel malveillant installé sur l’ordinateur de la réception). Depuis cet accès, ils voient toutes les réservations à venir, avec le nom, les dates, le montant, et ils écrivent aux clients dans la vraie messagerie, souvent la nuit. Le message imite le ton de l’hôtel, invoque une « vérification de paiement » ou une « nouvelle procédure », donne un délai court, et renvoie vers un lien qui copie la page de paiement de la plateforme. Parfois il propose de continuer sur WhatsApp « pour aller plus vite », hors de la messagerie, là où la plateforme ne voit plus rien.

La plateforme a confirmé ces campagnes depuis 2023, et les hôtels en sont victimes autant que les clients. Un e-mail identique peut aussi arriver, puisque le pirate a ton adresse. La réservation, elle, est intacte : rien n’a été annulé, rien n’est à payer.

Comment reconnaître le faux message de l’hôtel ?

• Il demande ta carte par un lien. Une carte se saisit lors de la réservation, ou à l’arrivée, jamais par un lien reçu dans un message, même officiel.
• Il arrive à une heure impossible (23 h 40, 3 h du matin) avec un délai court (12 h, 2 h).
• Il connaît tes dates. Ça ne prouve rien : c’est justement ce que voit le pirate.
• Il te pousse ailleurs : WhatsApp, un numéro à appeler, un e-mail. Le vrai hôtel répond dans la messagerie ou au numéro de sa fiche.

Le réflexe : « Mes réservations », et le vrai numéro

Tu ne cliques pas. Tu ouvres l’appli, « Mes réservations » : si tout est confirmé, c’est qu’il n’y a rien à faire. Et tu appelles l’hôtel au numéro de sa fiche officielle, pas à celui du message : la réception te dira qu’elle n’a rien envoyé et, souvent, qu’elle est déjà au courant. Puis tu signales le message depuis la conversation.

Que faire si tu as saisi ta carte ?

1. Opposition immédiate (ta banque ou le 0 892 705 705), déclaration sur Perceval, contestation des débits dans les 13 mois.
2. Signale le message depuis la réservation (« Signaler ») et préviens l’hôtel par le numéro de sa fiche : il doit reprendre la main sur son compte.
3. Garde les captures d’écran pour la plainte et pour la plateforme, qui rembourse parfois les clients victimes d’un compte d’hôtel piraté.
4. Info Escroqueries au 0 805 805 817 (gratuit).

Questions fréquentes

Ma réservation est-elle vraiment menacée ?

Non. Le pirate ne peut pas annuler ta réservation sans que l’hôtel et la plateforme le voient, et il n’a aucun intérêt à le faire : il veut ta carte, pas ta chambre. Vérifie dans « Mes réservations », et pars tranquille.

Les autres plateformes sont-elles touchées ?

Oui, dès qu’un hôte a un compte professionnel piratable : locations entre particuliers, agences, comparateurs. Le réflexe est le même partout : aucune carte par un lien dans un message, et le numéro de la fiche officielle.

Pour aller plus loin

• Quand c’est « ta banque » qui écrit : le faux conseiller bancaire.
• Le petit montant qui cache la carte : le SMS du colis à 1,99 €.
• Tous les duels du Renard et le Pass Ruse.