Un message WhatsApp prétendument envoyé au nom d’un hôtel peut sembler crédible lorsqu’il contient le bon établissement, les dates exactes du séjour et le montant de la réservation. Une analyse publiée par la chercheuse IrisCyb3r montre comment ces informations légitimes sont utilisées pour conduire les voyageurs vers un faux portail Booking.com et voler leurs données bancaires.
L’enquête technique révèle une opération plus structurée qu’une simple page de phishing : contrôle anti-bot, validation des cartes, interaction en temps réel avec un opérateur, notifications persistantes et infrastructure de commande et contrôle dissimulée derrière Cloudflare.
Un message personnalisé à partir de vraies réservations
La victime reçoit sur WhatsApp un lien présenté comme une étape de vérification de paiement. Le site reproduit l’interface de Booking.com et affiche un prix correspondant à la réservation. Cette personnalisation réduit la méfiance et crée un sentiment d’urgence : l’utilisateur craint de perdre son séjour.
Le domaine observé avait été enregistré le jour même. Une vérification Cloudflare Turnstile filtrant les robots apparaissait avant la fausse page. Dans ce contexte, l’outil anti-automatisation est détourné pour ralentir les scanners de sécurité, les passerelles de messagerie et les services de réputation.
Un kit de phishing piloté en temps réel
Le formulaire ne se contentait pas de collecter aveuglément des numéros. Il vérifiait leur cohérence avec l’algorithme de Luhn et demandait une carte Visa ou Mastercard. Après la saisie, le navigateur interrogeait régulièrement plusieurs scripts PHP afin de recevoir les instructions d’un opérateur.
Ce fonctionnement permet au fraudeur d’adapter le parcours : demander un code reçu par SMS, déclencher une validation dans l’application bancaire ou afficher un nouveau message. Un service worker sollicitait aussi l’autorisation d’envoyer des notifications persistantes, capables de ramener la victime vers le portail après la fermeture de l’onglet.
- Turnstile pour écarter les robots et scanners ;
- copie visuelle de Booking.com avec montant personnalisé ;
- contrôle du format des cartes bancaires ;
- échanges réguliers avec le panneau de l’opérateur ;
- demandes dynamiques de code OTP ou de validation bancaire ;
- notifications système destinées à relancer la victime.
Une infrastructure centrale derrière des domaines jetables
Les chemins d’administration testés redirigeaient les visiteurs non autorisés vers armorshield[.]digital, présenté comme une surface de diversion. Les journaux de transparence des certificats indiquaient une activité continue sur ce domaine depuis janvier 2022 ainsi qu’un sous-domaine lié aux communications WebSocket.
L’analyse de l’historique DNS a associé l’infrastructure à une ancienne adresse d’origine aux Pays-Bas, avant son passage derrière le proxy Cloudflare. Selon la chercheuse, plusieurs services d’administration et une base MySQL exposée étaient visibles. Ces éléments suggèrent une plateforme centralisée pilotant plusieurs façades de phishing temporaires.
Comment les fraudeurs obtiennent les données de réservation
L’hypothèse privilégiée n’est pas une compromission directe de la base centrale de Booking.com, mais l’infection d’un poste utilisé par un établissement hôtelier. Des infostealers peuvent dérober mots de passe, cookies de session et données stockées dans le navigateur d’une réception.
Avec un cookie valide, l’attaquant peut parfois contourner l’authentification multifacteur et accéder à l’extranet de l’hôtel. Il récupère alors noms, numéros de téléphone, dates et informations de séjour nécessaires à la personnalisation du piège.
Comment se protéger en tant que voyageur
- ne jamais régler une réservation depuis un lien reçu sur WhatsApp ;
- ouvrir soi-même l’application ou le site officiel Booking.com ;
- contacter l’hôtel avec un numéro obtenu indépendamment du message ;
- refuser les notifications d’un portail de paiement inattendu ;
- vérifier l’ancienneté et l’orthographe du domaine ;
- contacter immédiatement la banque si une carte ou un code a été saisi.
Une demande contenant des données exactes n’est donc pas forcément authentique. Ces informations peuvent provenir d’un compte hôtelier compromis et servent précisément à neutraliser les réflexes de prudence.
Mesures prioritaires pour les hôtels
- révoquer toutes les sessions après une suspicion, car changer le mot de passe ne neutralise pas toujours un cookie volé ;
- privilégier des clés FIDO2 ou une authentification résistante au phishing ;
- isoler et analyser les postes de réception avec un EDR ;
- bloquer l’exécution de scripts et binaires depuis les dossiers temporaires ;
- filtrer les archives et raccourcis reçus sur les boîtes de réservation ;
- segmenter les postes d’accueil des systèmes internes et de paiement ;
- alerter rapidement les clients concernés par un canal vérifié.
Cette campagne illustre une évolution majeure de la fraude au voyage : les attaquants ne cherchent pas nécessairement à casser la plateforme la mieux protégée. Ils compromettent un maillon local, récupèrent une session de confiance et industrialisent ensuite une expérience de phishing extrêmement convaincante.
