L’agence de voyages américaine Fun For Less Tours a commencé à informer des personnes touchées par une fuite de données liée à une attaque par ransomware. L’incident expose potentiellement des informations particulièrement sensibles utilisées lors de la préparation de séjours internationaux.
Le groupe ANUBIS avait revendiqué l’attaque le 30 novembre 2025 sur son site clandestin, affirmant avoir obtenu des données de l’entreprise et menaçant de les publier. Les notifications réglementaires apparues en 2026 confirment désormais qu’un incident a affecté certaines informations personnelles.
Quelles informations ont été exposées ?
Les catégories communiquées comprennent les noms, adresses, dates de naissance, numéros de pièces d’identité émises par l’administration — notamment passeports ou cartes d’identité — ainsi que des informations financières et médicales.
Ce mélange augmente le risque. Une copie de passeport peut servir à l’usurpation d’identité, tandis que les données de paiement facilitent la fraude financière. Les informations de santé peuvent également être utilisées pour du phishing ciblé ou du chantage.
Les chiffres publics disponibles restent partiels : au moins 328 résidents du Texas et une personne du Vermont ont été signalés comme concernés. Ce décompte réglementaire ne représente pas nécessairement le total national ou international.
Pourquoi les agences de voyages sont des cibles attractives
Les voyagistes concentrent des données permettant d’organiser des déplacements : identité, coordonnées, préférences, documents administratifs, informations de paiement et parfois besoins médicaux. Ils travaillent aussi avec de nombreux hôtels, guides et transporteurs, ce qui multiplie les échanges et les accès tiers.
Que doivent faire les personnes notifiées ?
- surveiller les relevés bancaires et signaler rapidement toute opération inconnue ;
- remplacer les cartes concernées et modifier les mots de passe réutilisés ;
- être attentif aux messages mentionnant un véritable voyage ou document ;
- envisager une alerte ou un gel de crédit aux États-Unis ;
- conserver la lettre de notification et suivre les consignes officielles.
Les enseignements pour le secteur touristique
Les entreprises doivent réduire la conservation des copies de documents, chiffrer les dépôts, segmenter les systèmes et contrôler les téléchargements massifs. Les accès des partenaires doivent être limités dans le temps et protégés par une authentification forte.
L’incident rappelle enfin que des données collectées pour faciliter un voyage peuvent créer un risque durable. Les organisations doivent pouvoir justifier chaque catégorie conservée, son niveau de protection et sa date de suppression.
