Fuite Otelier : des millions de réservations hôtelières exposées

Révélée par BleepingComputer en janvier 2025, la compromission d’Otelier, fournisseur d’une solution cloud de gestion hôtelière utilisée par plus de 10 000 établissements, a exposé des réservations, des transactions et des documents internes de clients dont Marriott, Hilton et Hyatt. Les attaquants ont disposé de l’accès entre juillet et octobre 2024. Aucun des hôtels cités n’a été percé directement : leurs données sont parties par un prestataire, et c’est tout l’intérêt du dossier pour un directeur d’établissement.

Les faits

Otelier, anciennement MyDigitalOffice, est une plateforme cloud par laquelle des milliers d’hôtels gèrent réservations, transactions, rapports nocturnes et facturation. L’entreprise a confirmé la compromission à BleepingComputer et indiqué communiquer avec les clients concernés. Marriott a de son côté confirmé que l’incident Otelier l’avait touchée, suspendu les services automatisés fournis par l’éditeur le temps de l’enquête, et précisé qu’aucun de ses propres systèmes n’avait été percé.

Les échantillons de données examinés par BleepingComputer et par Troy Hunt, le fondateur du service d’alerte Have I Been Pwned, contiennent des réservations d’hôtes, des transactions, des courriels d’employés et d’autres données internes. Bitdefender y ajoute, dans les données reprises par Have I Been Pwned, des noms, adresses postales, numéros de téléphone et des numéros de carte bancaire partiels. Les mots de passe et les informations de facturation complètes ne semblent pas avoir été volés.

Les volumes, analysés par Troy Hunt : la table de réservations compte 39 millions de lignes, la table d’utilisateurs 212 millions. Après dédoublonnage, SOCRadar comme BleepingComputer relèvent au moins 1,3 million d’adresses courriel uniques ; une fois les adresses générées par Booking.com et Expedia écartées, Have I Been Pwned retient 437 000 adresses uniques réellement rattachables à des personnes, intégrées à son service de vérification.

Ce qui reste non confirmé

L’attribution est non confirmée. Aucun groupe n’a été publiquement identifié dans le reporting disponible ; ce sont les attaquants eux-mêmes qui ont décrit leur intrusion à BleepingComputer, sans que l’éditeur en atteste. Deux éléments doivent donc être lus comme des déclarations d’attaquants, et non comme des faits établis : le volume exfiltré, estimé par eux à 7,8 téraoctets, dont des millions de documents hébergés dans les espaces de stockage Amazon S3 gérés par Otelier et appartenant à Marriott (rapports nocturnes, audits de shifts, données comptables) ; et le vecteur initial, une voleuse d’informations ayant capturé les identifiants d’un employé pour entrer dans le serveur Atlassian d’Otelier, les tickets de support servant ensuite à récolter les identifiants des seaux S3, selon l’analyse publiée par SOCRadar. Otelier, interrogé sur ce vecteur, n’a pas souhaité aller au-delà de son communiqué. BleepingComputer a pu vérifier indépendamment, via la plateforme de renseignement Flare, que des informations d’employés Otelier avaient bien été volées par des voleurs d’informations.

Autre prudence : aucune action réglementaire n’a été rendue publique à la date de cet article. Cette absence constatée ne préjuge pas des suites.

Le mécanisme, lu côté défense

Le dossier combine trois briques ordinaires, et c’est ce qui le rend instructif. Une infostealer, malware commodity qui aspire identifiants et sessions sur la machine d’un salarié, a fourni le premier pied dans la porte. Un serveur Atlassian protégé uniquement par ces identifiants a ouvert l’accès interne. Des pièces sensibles, dont des identifiants de stockage cloud, circulaient dans les tickets de support, second coffre-fort improvisé qu’on retrouve dans beaucoup d’organisations.

Pour un hôtel, client d’Otelier ou de tout équivalent, la leçon ne se joue pas chez soi mais dans la relation fournisseur : exigibilité de l’authentification multifacteur sur tous les accès distants d’un prestataire, question écrite sur le stockage des secrets (un ticket n’est pas un coffre), et clause de notification d’incident avec délais.

Conséquences et perspectives

Le premier effet concret pour les clients des hôtels touchés est le phishing : BleepingComputer recommandait aux personnes dont l’adresse figure dans la fuite de se méfier des courriels imitant les enseignes concernées, l’exposition d’un nom, d’un numéro de téléphone et du détail d’une réservation offrant un appât de qualité. Le second effet est structurel. Marriott, Hilton et Hyatt n’ont rien subi d’intrusif et se retrouvent malgré elles dans des échantillons circulant chez les attaquants, parce qu’un maillon intermédiaire accumulait leurs données opérationnelles dans des seaux S3 mal gardés.

À la suite de l’incident, Otelier a indiqué avoir terminé l’accès non autorisé, désactivé les comptes impliqués et mandaté une équipe d’experts en cybersécurité pour une analyse médico-légale complète. Les hôtels n’ont, eux, qu’un levier : traiter la sécurité de leurs prestataires comme un poste d’audit à part entière, avec preuves à l’appui, plutôt que comme une ligne de contrat.