Mauvaise nouvelle pour les adeptes de vacances au vert. Center Parcs, poids lourd de la location touristique, annonce avoir été victime d'une cyberattaque détectée le 4 juin dernier. L'intrusion, comme le rapporte Data News, visait spécifiquement son système de gestion des réservations par téléphone. Il s'agit évidemment d'un rouage essentiel pour le groupe qui accueille plusieurs millions de visiteurs par an en Europe. Après avoir découvert le piratage, l'entreprise a immédiatement suspendu l'accès au système compromis et stoppé l'attaque dès le 6 juin.
20 000 clients concernés, mais aucun piratage financier
Selon Center Parcs, pas moins de 20 000 clients seraient touchés par ce piratage. Si le chiffre exact reste encore à affiner, une chose est certaine : les informations dérobées comprennent les noms, prénoms, adresses e-mail et détails précis des séjours réservés (numéro de réservation, emplacement choisi et durée). À ce stade, l'entreprise se veut rassurante : aucune donnée financière ou bancaire n'a été compromise, pas plus que les numéros de téléphone, les adresses physiques ou les mots de passe.
Si le bilan aurait pu être bien plus lourd, ces informations limitées présentent néanmoins des risques réels d'escroquerie ciblée. Avec ces précieuses données en main, des cybercriminels pourraient lancer des campagnes de phishing convaincantes, imitant par exemple les communications officielles de Center Parcs dans le but de tromper leurs victimes.
Réaction immédiate et enquête en cours
Center Parcs a rapidement réagi en signalant l'incident à la CNIL, conformément aux obligations du RGPD. L'épisode rappelle au passage qu'une partie non négligeable des victimes est française, puisque la CNIL ne prend en charge que les incidents concernant les données personnelles de citoyens ou résidents de l'Hexagone. Center Parcs indique à Data News avoir directement pris "des mesures de correction technique en vue d’améliorer la sécurité des systèmes", et coopère activement avec des experts en cybersécurité pour éclaircir les circonstances exactes de l'attaque.
Pour l'heure, le groupe affirme ne pas avoir constaté d'utilisation frauduleuse avérée des données volées. Mais, en pleine saison estivale, période propice aux réservations et aux paiements en ligne, la vigilance doit être de mise pour les clients concernés. L'entreprise annonce envisager prochainement un dépôt de plainte auprès des autorités compétentes, afin d'obtenir des réponses et d'éviter de futures attaques similaires.
