C'est le constat que dresse SecureTrust, filiale cybersécurité du groupe VikingCloud, dans son rapport annuel publié le 20 mai 2026. Intitulé "The Hottest Destination for Cyber Risk", ce document est issu d'une enquête menée auprès de propriétaires, opérateurs et responsables informatiques d'agences de voyages indépendantes aux États-Unis et au Royaume-Uni. Son objectif : mesurer précisément l'exposition du secteur aux cyberrisques, identifier les failles les plus critiques et proposer des pistes concrètes pour y remédier. Les résultats sont (malheureusement) sans ambiguïté.
92 % des agences touchées en un an
Publié le 20 mai 2026, le rapport de SecureTrust dresse un tableau particulièrement préoccupant de la situation cybersécuritaire des agences de voyages. Basé sur une enquête quantitative menée auprès de propriétaires, opérateurs et responsables informatiques d'agences aux États-Unis et au Royaume-Uni, le rapport révèle que 92% des agences de voyages ont subi une cybermenace ou un incident de sécurité au cours des douze derniers mois.
Plus grave encore : 66% d'entre elles ont confirmé une compromission de données sensibles appartenant à leurs clients. Parmi les informations exposées figurent des numéros de téléphone et adresses e-mail (46%), des données personnelles comme les noms complets, dates de naissance et adresses (40%), des numéros de carte bancaire (32%), des informations passeport (28%) et des itinéraires de voyage (22%).
La cybermenace, première préoccupation
Cette vulnérabilité n’est pas le fruit de l’ignorance des professionnels sur la réalité de cette menace. Bien au contraire : 68 % des responsables d'agences placent les cyberattaques, violations de données et ransomwares en tête de leurs préoccupations pour 2026, devant l'inflation (60%) et le risque de récession (54%). Un renversement de priorités révélateur d'une prise de conscience tardive mais réelle.
"Les agences de voyages se numérisent plus vite qu'elles ne sécurisent leurs opérations," souligne Kevin Pierce, président et directeur des opérations de VikingCloud. "Chaque réservation mobilise désormais un processeur de paiement, un service de vérification d'identité et une messagerie. C'est une surface d'attaque en constante expansion qui mettrait à l'épreuve même les équipes les plus aguerries."
Où sont les vulnérabilités ?
Le rapport met en lumière plusieurs angles morts particulièrement exploités par les cybercriminels.
Les systèmes tiers, premier maillon faible. 56% des agences n'ont qu'une confiance modérée dans la sécurité de leurs systèmes de réservation, API et processeurs de paiement. Les outils jugés les plus vulnérables sont les passerelles de paiement (56%), les systèmes de distribution globale (GDS) en mode cloud (52 %) et les services de vérification d'identité (42%).
La performance prime sur la sécurité. 24% des agences avouent contourner les étapes d'authentification multifacteur (MFA) lors des pics d'activité, pour ne pas risquer de perdre une vente. Une pratique qui ouvre la porte aux attaques.
Le phishing dopé à l'IA. 38% des agences reconnaissent que leur dépendance excessive au canal e-mail les rend vulnérables aux attaques de phishing propulsées par l'intelligence artificielle. 48% signalent que des collaborateurs ou des dirigeants ont déjà été ciblés par des messages frauduleux.
Les nouveaux modes de paiement, nouvelles cibles. 8% des agences ont déjà subi une compromission de données biométriques ou de paiements tokenisés. Et 52% estiment que ces méthodes émergentes aggravent significativement leur exposition au risque.
Isolement et manque de formation
L'une des révélations les plus frappantes du rapport concerne la gouvernance interne : 44% des propriétaires d'agences gèrent la cybersécurité entièrement seuls. Plus inquiétant, 26% reconnaissent que la personne en charge n'est pas suffisamment qualifiée pour ce rôle.
Cette lacune se traduit concrètement par des failles dans les pratiques de base : 40% des répondants signalent une possible compromission de leurs identifiants, 28% admettent partager des mots de passe entre systèmes, et 36% utilisent des technologies de cybersécurité obsolètes. Malgré tout, seuls 20% envisagent de mettre en place un plan de réponse aux incidents dans les 12 prochains mois.
La conformité PCI, première étape accessible
Le seuil de dommage irréparable est plus bas qu'on ne le croit : 54% des agences estiment qu'une seule fuite de passeport ou de visa exposant un client à un risque d'usurpation d'identité suffirait à ruiner définitivement leur réputation. Sur le plan financier, 46% des agences indiquent qu'une perte inférieure à 100.000 dollars commencerait à affecter leur capacité à servir correctement leurs clients.
Face à ce tableau, SecureTrust recommande aux agences de s'appuyer sur la conformité PCI DSS comme point d'entrée pragmatique. Si 56% ont déjà renforcé leur politique de mots de passe, 52% adopté le MFA et 50% exploré les solutions de détection des menaces par IA, la majorité n'a pas encore de feuille de route claire pour réduire leur exposition au risque.
"La plupart des petites agences de voyages n'ont pas le temps ni l'expertise nécessaires pour suivre chaque menace émergente," conclut Kevin Pierce. "La conformité PCI est le point de départ le plus accessible, car elle protège les données de paiement et d'identité les plus sensibles de leurs clients, que ce soit par téléphone, e-mail, réservation en ligne ou via des plateformes tierces."
