Les hotels sont de potentiels points de vulnérabilité pour la sécurité des données voyageurs. L'hotel booking tool HRS a décidé d'y répondre. Pierre Mesnage, directeur général France nous explique de quelle façon.
15 septembre 2026·3 min3 min de lecture
HRS lance ces jours-ci une solution en lien avec la cybersécurité. De quoi s'agit-il ?
Pierre Mesnage : Nous sommes dans un monde où, avec l'intelligence artificielle, la question n'est plus de savoir si les données vont être volées, mais quand. La meilleure façon de protéger les données personnelles des voyageurs est donc de les rendre inutilisables en cas de vol.
HRS est un outil de réservation hôtelière. La vulnérabilité identifiée se situe-t-elle au niveau des établissements hôteliers eux-mêmes ?
Exactement. On compte des millions d'hôtels dans le monde, des millions de PC, avec parfois des logiciels qui ne sont pas mis à jour, des correctifs de sécurité qui ne sont pas appliqués. Les solutions comme celles d'HRS ou des GDS sont très sécurisées, mais à un moment, la donnée du voyageur quitte ce système pour entrer dans ce le PMS - le logiciel qu'utilise l'hôtel pour gérer ses réservations. Et c'est là que les failles peuvent apparaître. Un hôtel qui n'a pas effectué ses mises à jour devient une cible pour les cyberattaques. Une fois qu'un hacker y accède, il peut potentiellement atteindre un ensemble de données très important. On le sait : de grandes chaînes, de grands distributeurs ont déjà été piratés de cette façon.
Partant de ce constat de vulnérabilité, quelle est votre réponse ?
Nous avons créé une solution qui s'appelle Vault, comme le coffre-fort. L'idée est de développer une technologie qui emprisonne les données derrière un token, c'est-à-dire une cryptographie, rendant la donnée du voyageur inaccessible à quiconque ne possède pas la clé. Ce qui rend notre solution particulièrement puissante, c'est que nous pouvons même stocker ces informations directement chez le client. Si une entreprise ne souhaite faire confiance à personne d'autre qu’elle-même, elle peut conserver les tokens chez elle et sécuriser à cent pour cent la donnée voyageur. Concrètement, si un hôtelier se fait pirater, le hacker ne verra que des codes : jamais le nom d'un voyageur, ses dates de séjour ou son numéro de téléphone. Sans la clé token, la donnée est inexploitable.
On pourrait intuitivement penser que les hôtels indépendants sont plus vulnérables que ceux appartenant à des chaînes. Est-ce vraiment le cas ?
Pas nécessairement. Les hôtels de chaîne sont en réalité des établissements indépendants franchisés. Certaines enseignes sont peut-être plus vigilantes quant à la mise à jour de leurs systèmes, mais chaque hôtel fonctionne de façon relativement autonome. Il peut très bien disposer de logiciels qui n'ont pas été automatiquement mis à jour, devenant ainsi un point de vulnérabilité potentiel. Et il faut avoir conscience de l'échelle : on compte environ trente mille hôtels en France, et plus d'un million dans le monde. Cela représente un nombre considérable de failles potentielles.
Vault vient tout juste d'être commercialisé. Sentez-vous une appétence de la part des clients ?
Clairement. Cette solution répondait à une demande réelle. Nous avons des clients qui, pour des raisons stratégiques, ont un besoin absolu de s'assurer que les données personnelles de leurs voyageurs ne sont pas exposées. Les incidents récents - qu'il s'agisse de grandes plateformes de réservation hôtelière piratées ou d'organismes gouvernementaux, ont alimenté une prise de conscience. Et cette peur est légitime : si un hacker connaît votre nom, votre numéro de téléphone et l'hôtel dans lequel vous séjournez, il peut vous envoyer un message vous demandant de régler un supplément fictif pour confirmer votre réservation, par exemple. C'est du phishing ciblé. Les clients sont donc en demande d'une solution qui sécurise la transaction de bout en bout, et nous sommes les seuls à la proposer.
La protection des données des voyageurs professionnels relève-t-elle du duty of care de l'entreprise ?
Absolument. Si une entreprise met à risque son salarié en ne protégeant pas ses données personnelles, et que ce dernier est victime de phishing ou d'une fraude financière à la suite d'un déplacement professionnel, l'entreprise pourrait être considérée comme responsable. C'est un scénario tout à fait plausible, et il renforce la pertinence de ce type de solution dans une politique de voyage responsable.
