Booking.com et WhatsApp : la nouvelle arnaque qui vide votre carte avant vos vacances
Une arnaque rendue possible par une cyberattaque massive
En avril 2026, Booking.com a été victime d'une cyberattaque d'envergure. Les hackeurs ont dérobé les noms des clients, leurs e-mails, leurs numéros de téléphone, et surtout l'historique des réservations à venir : hôtel, dates, montants.
Quelques semaines plus tard, le Centre national pour la cybersécurité (NCSC) a alerté : ces données circulent désormais dans des canaux criminels et alimentent une nouvelle vague de phishing ultra-réaliste. Vous recevez un message WhatsApp ou un email qui mentionne votre vrai nom, vos vraies dates, votre vrai hôtel — difficile de ne pas y croire.
Voici comment l'arnaque fonctionne, et le seul réflexe qui marche.
🔒 Notre conseil sécurité
NordPass — Gérez tous vos mots de passe en sécurité
Plus besoin de noter vos mots de passe sur papier. NordPass les retient pour vous et alerte si l'un d'eux est compromis dans une fuite.
Essai gratuitLien partenaire
Comment les escrocs vous contactent
L'escroc dispose de votre dossier complet. Il vous écrit par WhatsApp ou email, parfois en se faisant passer pour Booking, parfois pour l'hôtel lui-même.
Message type : > « Bonjour Madame Dupont, nous avons un problème avec votre réservation à l'Hôtel des Bergues du 15 au 20 juillet. Votre paiement n'a pas pu être finalisé. Sans confirmation dans les 2 heures, votre réservation sera annulée. Veuillez cliquer ici pour mettre à jour votre carte bancaire. »
Tout est correct sauf le lien — qui mène à une fausse page de paiement sur un domaine ressemblant (`booking-secure-pay.com`, `booking-confirm.ch`, etc.).
Les 3 variantes courantes en 2026
Variante 1 — « Votre carte ne fonctionne pas »
Le message le plus fréquent. Il joue sur la peur de perdre la réservation à quelques jours du départ. Plus la date est proche, plus la pression psychologique fonctionne.
Variante 2 — « Erreur de facturation, remboursement à récupérer »
Variante post-séjour : « Une erreur s'est produite lors de la facturation de votre dernier séjour à l'Hôtel X. Vous avez droit à un remboursement de CHF 247. Cliquez ici pour le récupérer. »
L'escroc demande vos coordonnées bancaires « pour le virement de remboursement » — en réalité pour vider votre compte.
Variante 3 — Le QR code à scanner
Variante 2026 : un QR code dans le message WhatsApp ou l'email. Scanner = ouvrir une fausse page de paiement directement sur le téléphone, plus difficile à inspecter qu'une URL sur écran d'ordinateur.
5 signes qui doivent vous alerter
Signe 1 — Contact par WhatsApp Booking.com ne contacte JAMAIS ses clients par WhatsApp. Toutes les communications officielles passent par votre boîte mail (adresse `@booking.com`) ou dans l'application.
Signe 2 — Urgence + délai court « 2 heures », « avant ce soir », « immédiatement ». Un vrai hôtel ne vous met jamais sous pression de cette manière.
Signe 3 — Lien externe vers un site qui n'est pas booking.com Le vrai site est `https://www.booking.com` — exactement. Tout `booking-pay.com`, `secure-booking.ch`, `booking-confirm.io` est une arnaque.
Signe 4 — Demande de re-saisir la carte bancaire Si la réservation existe vraiment dans votre compte Booking, votre carte y est déjà enregistrée. Aucune raison de la re-saisir sur un lien externe.
Signe 5 — Politique de l'hôtel ignorée Un vrai hôtel facture selon la politique annoncée à la réservation (paiement à l'arrivée ou à la réservation). Tout changement soudain de modalité est suspect.
Le réflexe absolu : passer par l'application officielle
C'est la règle d'or qui annule toutes les variantes d'arnaque, sans exception :
- N'ouvrez aucun lien du message reçu
- Ouvrez l'application Booking sur votre téléphone (ou tapez `booking.com` directement dans le navigateur)
- Connectez-vous à votre compte
- Vérifiez l'état réel de votre réservation
Si votre réservation est bien dans l'app, sans aucune alerte de paiement — l'email/WhatsApp est un faux. Supprimez-le, signalez-le au NCSC.
Que faire si vous avez déjà payé ou donné vos codes
Chaque minute compte :
- Appelez immédiatement votre banque (numéro 24h/24 au dos de votre carte) pour bloquer la carte et opposer le paiement
- Changez votre mot de passe Booking depuis un autre appareil
- Activez la double authentification (2FA) sur votre compte Booking et votre messagerie
- Appelez la police au 117 pour déposer plainte
- Signalez au NCSC sur `report.ncsc.admin.ch`
- Conservez les preuves : captures WhatsApp, URLs, emails
Comment protéger ses prochaines réservations
Côté compte Booking : - Mot de passe unique et complexe (gestionnaire de mots de passe recommandé) - 2FA activée - Vérifier régulièrement les alertes de connexion dans les paramètres
Côté boîte mail : - Considérer un mail chiffré (Proton Mail) pour les réservations sensibles — moins indexé par les bases de phishing, moins exposé aux fuites - Activer le filtre anti-spam strict
Côté téléphone : - Bloquer les numéros inconnus internationaux non sollicités - Ne jamais donner son numéro privé lors d'une réservation (utiliser un numéro secondaire si possible)
Important : Aucune plateforme de réservation, aucun hôtel, aucune banque ne vous demandera jamais vos données bancaires via un lien WhatsApp ou un QR code dans un email. Si c'est le cas, c'est toujours une arnaque — même si le message contient vos vraies informations de séjour.