À quoi ressemblent ces messages ?
Ils arrivent par e-mail, SMS, WhatsApp ou téléphone, soi-disant de la part de l'hôtel ou de la plateforme. En 2026, deux organismes européens ont décrit deux variantes :
- Confirmation exigée : en juillet 2026, l'INCIBE, l'institut national espagnol de cybersécurité, a alerté sur des messages, surtout via WhatsApp, où des escrocs se font passer pour un hôtel. Il faudrait confirmer la réservation par un lien, sinon elle serait annulée. La fausse page demande ensuite des données personnelles ou de paiement.
- Remboursement proposé : en septembre 2026, le site autrichien Watchlist Internet a décrit un e-mail selon lequel un hôtel aurait prélevé deux fois la taxe de séjour et des frais de service. Un bouton, ou un QR code en pièce jointe, mène à un faux portail qui affiche les vraies données du séjour. On vous y demande vos identifiants de banque en ligne. Selon Watchlist Internet, une autre version vise la Suisse : le remboursement passerait alors par Twint.
Pourquoi l'hôtel et le numéro de réservation sont-ils exacts ?
Selon l'INCIBE, les escrocs disposent de vraies informations : établissement, dates du séjour, nom du client ou numéro de réservation. Dans le cas autrichien, Watchlist Internet estime que les données proviennent probablement d'une fuite chez booking.com.
Des données exactes ne prouvent donc rien. Un nom ou un logo non plus, rappelle l'INCIBE. Dans l'e-mail autrichien, le nom de l'hôtel apparaissait comme expéditeur, mais l'adresse n'appartenait pas à l'établissement. Cybermalveillance.gouv.fr résume la règle : ne communiquez jamais d'informations sensibles par messagerie ou par téléphone.
Un exemple : le SMS avant le week-end au lac
Exemple fictif : Léa, de Lyon, a réservé deux nuits dans un hôtel d'Annecy. Trois jours avant, elle reçoit un SMS au nom de l'hôtel avec ses dates et son numéro de réservation : sa carte n'aurait pas pu être vérifiée, elle doit confirmer sous 24 heures via un lien, sinon tout sera annulé.
Léa ne clique pas sur le lien. Dans l'appli de la plateforme, la réservation est confirmée et aucun paiement n'est en attente. Elle appelle l'hôtel au numéro de son site : la réception n'a envoyé aucun SMS. Léa fait une capture d'écran, transfère le SMS au 33700 et bloque l'expéditeur.
Comment vérifier sans cliquer sur le lien ?
- Ne répondez pas, ne cliquez sur aucun lien ni bouton et ne scannez aucun QR code du message.
- Ouvrez vous-même l'appli ou le site de la plateforme, jamais via le message. Vérifiez le statut de la réservation et tout paiement en attente.
- Appelez l'hôtel au numéro de son site officiel, pas à celui du message. Selon Watchlist Internet, un appel au vrai hôtel lève vite le doute.
- Comparez l'expéditeur et l'adresse du lien avec les canaux officiels. Un domaine inconnu est un signal d'alerte.
- Faites une capture d'écran, signalez le message, puis bloquez l'expéditeur.
Conseil: Enregistrez la confirmation et le site de l'hôtel dès la réservation : vous aurez le vrai numéro sous la main. Voir aussi Avant un voyage : préparer ses accès numériques.
Comment reconnaître une fausse demande de paiement ?
| Le message… | Pourquoi ce n'est pas une preuve | Comment vérifier |
|---|---|---|
| cite l'hôtel, les dates et le numéro | les escrocs peuvent détenir de vraies données, issues d'une fuite par exemple | ouvrir soi-même la réservation dans l'appli |
| affiche le nom ou le logo de l'hôtel | un nom et un logo se copient | comparer expéditeur et numéro avec le site de l'hôtel |
| menace d'annulation | l'urgence empêche de vérifier | appeler soi-même l'hôtel |
| propose un remboursement par QR code | le faux portail veut vos identifiants bancaires | demander à l'hôtel si un remboursement est prévu |
| demande carte, identifiant ou code | dans le cas autrichien, le code validait un débit au profit des escrocs | ne rien saisir |
Pour recevoir de l'argent, vous n'avez en principe rien à valider. Pour lire une demande de votre banque, voir Notification de l'appli bancaire.
Vous avez déjà saisi vos données : que faire ?
- Faites immédiatement opposition auprès de votre banque.
- Changez le mot de passe compromis, partout où vous l'utilisiez, et surveillez votre compte pendant les semaines suivantes.
- Conservez les preuves et portez plainte au commissariat ou à la gendarmerie.
- Restez vigilant : selon Watchlist Internet, les escrocs peuvent retenter leur chance avec une autre arnaque.
Page seulement ouverte, rien saisi ? Selon l'INCIBE, il suffit de la fermer. La marche à suivre complète figure dans Données de carte saisies sur un site suspect. Un remboursement dépend de chaque situation ; cette page ne remplace pas un conseil juridique.
Où signaler le message en France, en Belgique, au Luxembourg et en Suisse ?
| Pays | Signaler | En cas de perte d'argent ou de données |
|---|---|---|
| France | Signal Spam (e-mails), 33700 (SMS, gratuit), Phishing Initiative (sites) ; Info Escroqueries au 0 805 805 817, gratuit, du lundi au vendredi de 9 h à 18 h 30 | Opposition immédiate ; plainte ; aide de France Victimes au 116 006, 7 jours sur 7 de 9 h à 19 h |
| Belgique | Transférez le message à suspect@safeonweb.be (Safeonweb) ; pour un SMS, envoyez une capture d'écran | Votre banque, sans attendre ; plainte à la police |
| Luxembourg | Service client officiel de l'hôtel et de la plateforme | Votre banque, sans attendre ; plainte à la police |
| Suisse romande | Formulaire d'annonce de l'Office fédéral de la cybersécurité (OFCS) | Votre banque, sans attendre ; plainte à la police |
Prévenez aussi l'hôtel et la plateforme par leur service client officiel.
Erreurs fréquentes
- Croire le message parce que le numéro de réservation et les dates sont exacts.
- Rappeler le numéro du message plutôt que celui du site de l'hôtel.
- Cliquer sur le lien par peur de l'annulation au lieu de vérifier dans l'appli.
- Saisir ses identifiants bancaires et valider un code pour un prétendu remboursement.
- Attendre après avoir saisi ses données de carte au lieu de faire opposition.
Liste de vérification
Les cases servent uniquement de repères personnels. Aucune saisie ne nous est transmise. Pour conserver la page, il suffit de l’imprimer ou de l’enregistrer au format PDF depuis le menu du navigateur.
Questions fréquentes
Le message connaît mon numéro de réservation : est-il authentique ?
Non. Selon l'INCIBE, l'institut national espagnol de cybersécurité, les escrocs disposent de vraies informations comme le nom de l'établissement, les dates du séjour, le nom du client et le numéro de réservation. C'est ce qui rend le message crédible. Fiez-vous seulement à votre réservation dans l'appli ou à ce que l'hôtel vous confirme à son numéro officiel.
Un hôtel peut-il demander un paiement après la réservation ?
Selon la réservation, vous payez à l'avance, à l'arrivée ou par un acompte. Les conditions figurent dans la confirmation et dans l'appli. Si un message réclame un paiement en plus ou une nouvelle vérification de carte, contrôlez-le là et interrogez l'hôtel à un numéro trouvé par vos soins. Ne payez jamais via un lien reçu dans le message.
J'ai cliqué sur le lien sans rien saisir : que faire ?
Selon l'INCIBE, il suffit de fermer la page et de ne pas la rouvrir. Vérifiez votre réservation dans l'appli et signalez le message. Si vous avez téléchargé un fichier ou installé une application après avoir cliqué sur le lien, consultez Lien suspect ouvert pour savoir ce qui s'est réellement passé.
Sources et informations complémentaires
Sources primaires d’autorités publiques, d’organismes de protection des consommateurs et de fournisseurs. Certaines sont dans une autre langue ; retenez les indications adaptées à votre service et à votre lieu de résidence.
- Cybermalveillance.gouv.fr : Hameçonnage (phishing), que faire ?Sources consultées le:
- Office fédéral de la cybersécurité OFCS (Suisse) : contact et formulaire d'annonceSources consultées le:
- INCIBE (Espagne) : de faux hôtels sur WhatsApp demandent de confirmer la réservation (alerte du 31 juillet 2026, en espagnol)Sources consultées le:
- Watchlist Internet (Autriche) : faux remboursement d'une taxe de séjour prélevée deux fois (en allemand)Sources consultées le:
- Police belge (texte du Centre pour la Cybersécurité Belgique) : Pourquoi envoyer les messages suspects à suspect@safeonweb.be ?Sources consultées le:
