À la suite de l’incident de sécurité concernant MEDIALOG, des tentatives d’hameçonnage (phishing) utilisant de véritables informations de réservation ont été rapportées. Ces messages frauduleux peuvent notamment inciter les clients à effectuer un paiement ou à communiquer des informations personnelles.

Le GHR invite les hôteliers utilisant MEDIALOG à vérifier rapidement leur situation et à prendre les mesures nécessaires pour protéger leurs clients.

Le GHR a pris contact avec MEDIALOG

Le GHR s’est rapproché de MEDIALOG afin d’obtenir des informations sur la gestion de cet incident. Le prestataire nous a indiqué avoir ouvert un service dédié à cette situation de crise.

MEDIALOG invite les professionnels à se rapprocher de ses équipes pour toute question ou information complémentaire.

Consultez les recommandations déjà diffusées par le GHR

Dès que nous avons eu connaissance de la situation, le GHR a publié un premier article afin d’alerter les professionnels et de les aider à adopter les bons réflexes.

Consulter notre article : « Urgent – Phishing : soyez vigilants »

Les mesures à prendre dès à présent

1. Vérifiez si votre établissement est concerné

Si vous utilisez MEDIALOG, contactez rapidement le prestataire pour obtenir des précisions sur le périmètre de l’incident :

• les données potentiellement compromises ;
• les clients et les réservations concernés ;
• la période couverte par l’incident ;
• les mesures correctives mises en œuvre et les recommandations à suivre.

2. Respectez vos obligations en matière de protection des données

Si des données personnelles traitées par votre établissement ont été compromises, vous devez documenter l’incident dans votre registre des violations de données, conformément au RGPD.

La notification à la CNIL doit être effectuée dans les meilleurs délais, et au plus tard dans les 72 heures après avoir pris connaissance de la violation.

3. Alertez les clients concernés

Lorsque l’incident présente un risque élevé pour leurs droits et libertés, informez les clients concernés dans les meilleurs délais, en leur expliquant clairement :

• la nature de l’incident et les données susceptibles d’être concernées ;
• les risques de tentatives de phishing et de demandes de paiement frauduleuses ;
• les précautions à prendre, notamment en cas de réception d’un SMS, d’un message WhatsApp ou d’un courriel suspect ;
• les coordonnées du contact compétent pour répondre à leurs questions, notamment celles du délégué à la protection des données (DPO), si votre établissement en dispose.

Le modèle d’information proposé contenu dans le Guide RGPD du GHR pourra vous aider à préparer cette communication, en l’adaptant aux informations dont vous disposez et aux risques identifiés.

4. Sensibilisez vos équipes et renforcez votre vigilance

Informez vos collaborateurs de la situation et rappelez-leur les consignes suivantes :

• ne pas se fier à une demande de paiement au seul motif qu’elle reprend des informations exactes sur une réservation ;
• vérifier toute demande inhabituelle par un canal de contact indépendant et connu ;
• ne jamais communiquer de données confidentielles ni effectuer de paiement sur la seule base d’un message suspect ;
• conserver les messages frauduleux et les éléments permettant de documenter une éventuelle tentative de fraude.

5. Envisagez le dépôt d’une plainte

En cas de cyberattaque ou de fraude, le dépôt de plainte est recommandé. Si vous envisagez de solliciter une indemnisation au titre de votre assurance, contactez rapidement votre assureur afin de vérifier les conditions de garantie, les délais de déclaration et les éventuelles exigences relatives au dépôt de plainte.

Le service juridique du GHR se tient à votre disposition pour toute information complémentaire.