Trustwave, Imperva et Visa documentent des tests de cartes volées sur les moteurs de réservation hôteliers. Un phénomène persistant, pas un incident unique.
En 2012, une sonde branchée sur le port de service ouvrait les serrures Onity. Quatre CVE de SALTO ProAccess SPACE montrent que ce risque physique persiste.
Kr00K (CVE-2019-15126) : des puces Wi-Fi chiffraient des trames avec une clé nulle. Corrigé en 2019-2020, le sujet reste le micrologiciel des bornes d’hôtels.
Trois brèches Marriott-Starwood, 2014-2020, jusqu’à 500 millions de clients. £18,4M d’amende ICO, 52 M$ versés à 49 États.
La technique Unsaflok ouvrait toute serrure Dormakaba Saflok avec deux cartes forgées. Une backdoor matérielle frappe aussi des cartes MIFARE Classic d’hôtels.
CVE-2018-2957 et CVE-2023-22087 touchent Oracle OPERA, un PMS très déployé. Données exposées, prise de contrôle: ce que la cadence des correctifs impose.
Le fournisseur Otelier, utilisé par plus de 10 000 hôtels dont Marriott, Hilton et Hyatt, a confirmé une fuite. Réservations et données clients exposées.
En 2023, Scattered Spider a fait tomber MGM et Caesars par hameçonnage vocal : plus de 100 M$ de pertes et 45 M$ de règlement collectif.