Tests de cartes : les moteurs de réservation d’hôtels sous pression

Les tests de cartes bancaires volées sur les moteurs de réservation hôtelières ne forment pas un incident unique, mais une pression persistante documentée par plusieurs rapports convergents. Trustwave, dans son Risk Radar 2025 consacré au secteur hôtelier, a observé des guides criminels expliquant comment insérer des données de cartes volées dans des réservations existantes et contourner les vérifications. Imperva a chiffré la part de bots malveillants dans le trafic des sites de voyage, et Visa classe l’énumération de cartes parmi les premières menaces pour l’écosystème de paiement. Pour un hôtel, la question n’est donc pas de savoir si sa page de paiement sera sondée, mais à quel rythme et avec quels dégâts collatéraux.

Un écosystème qui se documente

Le constat le plus net du rapport Trustwave 2025 est culturel : dans les forums underground, les groupes Telegram et les places de marché privées, des cybercriminels collaborent, partagent des guides et échangent des accès sur l’exploitation des grandes plateformes de réservation. Des tutoriels détaillés circulent sur l’insertion de données de cartes volées dans des réservations actives, le contournement des vérifications et l’évitement de la détection. Le rapport chiffre aussi la montée des tentatives de force brute : elles ont augmenté d’environ 14 % depuis le précédent rapport de Trustwave sur le secteur, une catégorie qui inclut le bourrage d’identifiants, nourri par les dumps massifs quotidiens et la réutilisation des mots de passe.

L’automatisation vue par Imperva et Visa

Imperva, dans son Bad Bot Report 2023, établit que 37,4 % du trafic web des sites de voyage provenait de bots malveillants, un niveau de retour à l’avant-pandémie après deux années d’accalmie relative. Le rapport détaille comment les bots abusent de la logique métier des moteurs de réservation, du scraping de prix à la prise de compte, et recense la fraude à la carte bancaire parmi les usages fréquents des bots.

Visa, dans son Biannual Threats Report de l’automne 2024, confirme par le versant des réseaux : l’énumération, c’est-à-dire le test automatisé et programmatique d’éléments de paiement via des transactions électroniques pour reconstituer un numéro de carte, un cryptogramme ou une date d’expiration, reste parmi les premières menaces pour l’écosystème, avec des fraudes en cascade significatives. Sur les six mois étudiés, la région américaine a concentré 58 % des transactions d’énumération côté émetteurs, en hausse de 16 % sur un an. Le rapport documente également une affaire de marchand de voyage en ligne dont la page de paiement a été manipulée : des fichiers JavaScript déposés avec des identifiants volés remplaçaient l’URL du processeur de paiement par une fausse page de contrôle qui soutirait les données de paiement des clients.

Le mécanisme, lu côté défense

Le test de cartes suit une grammaire simple à reconnaître sans la détailler opérationnellement. Un moteur de réservation accepte en théorie un volume de transactions proportionné à son activité réelle. Des vagues de micro-autorisations, souvent de quelques centimes, avec des numéros qui se suivent ou des paires carte/cryptogramme variées au sein d’une même adresse IP ou d’une plage voisine, signalent une validation en série de fichiers de cartes volées. Deux variantes préoccupent les équipes de fraude : la validation directe sur la page de paiement, et l’injection d’une carte volée dans une réservation déjà existante, ce que les guides décrits par Trustwave cherchent précisément à rendre invisible en imitant le comportement normal d’un client qui complète ou modifie un séjour.

La conséquence côté établissement est double. D’abord financière et contractuelle : chaque transaction refusée massivement expose à des frais d’interchange, à un déclassement par le réseau, voire à des sanctions si le taux de fraude dépasse les seuils contractuels. Ensuite opérationnelle : une rafale d’autorisations peut saturer le moteur, ralentir la page pour les vrais clients, et brouiller les journaux au moment précis où un skimming réel chercherait à s’y nicher.

Un précédent documenté : le moteur IRM Ng

Le rapport de Bitdefender publié en septembre 2023, « Booking Engine Security Revisited », a documenté une attaque d’un autre type mais sur la même surface. Lors d’une enquête menée à partir de novembre 2022 sur le serveur d’un resort américain, les chercheurs ont isolé XModule, un module IIS malveillant conçu pour l’e-skimming, c’est-à-dire le vol de données de cartes et de mots de passe par injection de code dans un fichier JavaScript du moteur de réservation IRM Next Generation de Resort Data Processing. L’attaque initiale sur ce moteur avait été découverte en 2021. Cinq failles ont reçu des identifiants publics : CVE-2023-39420, CVE-2023-39421 et CVE-2023-39422 pour des identifiants codés en dur dans des composants de l’application, CVE-2023-39423 pour une injection SQL, et CVE-2023-39424 pour une injection dans un composant de téléversement de fichiers. Bitdefender indique avoir tenté pendant plus de 90 jours de joindre l’éditeur sans réponse avant de publier.

Ce précédent compte pour la lecture du risque : la même page de paiement qui attire les tests de cartes peut aussi être percée pour capter les données à la source.

Ce que les établissements peuvent surveiller

Les rapports cités convergent vers les mêmes réflexes. Côté détection : seuils d’alerte sur le volume d’autorisations par minute, suivi du ratio entre consultations et réservations, journalisation et corrélation des adresses IP, contrôle renforcé sur les modifications de carte dans les réservations existantes. Côté comptes : authentification multifacteur sur les accès des plateformes de réservation, simulations de hameçonnage pour les équipes, surveillance du dark web lorsque la marque de l’établissement apparaît dans des discussions de fraude, mesure que Trustwave recommande explicitement pour anticiper une exploitation du portail de réservation. Côté relations : vérifier l’état de sécurité des moteurs et passerelles auprès de leurs éditeurs, le cas IRM Ng montrant qu’un éditeur injoignable pendant trois mois fait partie du risque.

Le phénomène ne s’est pas traduit par un naufrage médiatique unique du secteur, et c’est justement le signal à retenir : l’économie du test de cartes fonctionne par usure, une vague permanente sur des milliers de petits établissements plutôt qu’un seul grand titre de presse.