Le groupe Pierre & Vacances-Center Parcs (PVCP) a confirmé une fuite de données touchant 1,6 million de réservations sur La France du Nord au Sud, une plateforme de réservation rattachée à sa marque Maeva. L’historique exposé pourrait remonter jusqu’à dix ans. Un pirate se faisant appeler ChimeraZ revendique de son côté un volume bien supérieur.
Quelles données ont fuité
D’après les informations communiquées par le groupe et reprises par la presse, les données concernées sont :
- numéros de réservation ;
- dates et lieux de séjour ;
- noms et prénoms des occupants ;
- dates de naissance ;
- numéros de téléphone ;
- commentaires laissés par les clients.
PVCP assure qu’aucune donnée bancaire ni adresse email n’a pu être récupérée. Le groupe maintient que seule la filiale La France du Nord au Sud est touchée.
Ce que revendique le pirate
La fuite a été rendue publique le 15 mai par une annonce sur un forum cybercriminel. Son auteur affirme détenir une base d’environ 900 Mo au format JSON, contenant 4 575 065 profils clients et 38 945 hébergements, avec des données remontant à 2005. Il cite aussi d’autres marques du tourisme (Adagio, Sunparks, Belambra, Goélia, Lagrange Vacances, Flower Campings, Sandaya, Odalys), dont l’implication n’est pas confirmée officiellement.
Le pirate prétend aussi avoir aspiré la base pendant trois semaines sans être repéré, avant de prévenir lui-même Maeva et de conserver son accès trois jours de plus. Ces affirmations n’ont pas été vérifiées.
Une faille de type IDOR ?
Selon Clubic, la faille identifiée serait de type IDOR (Insecure Direct Object Reference), le même type de défaut de contrôle d’accès que celui mis en cause dans l’attaque contre l’ANTS en avril. Le groupe dit avoir identifié l’origine de la faille et pris les mesures pour la corriger, sans en détailler la nature.
Une IDOR survient quand une application renvoie une ressource (ici une réservation) à partir d’un identifiant fourni par l’utilisateur, sans vérifier que celui-ci a le droit d’y accéder. Si les numéros sont séquentiels ou prévisibles, il suffit de les incrémenter pour aspirer toute la base. La parade : contrôler l’autorisation côté serveur à chaque requête, et surveiller les volumes de consultation anormaux.
Chronologie
| Date | Événement |
|---|---|
| 14 mai 2026 | PVCP est informé de l’incident |
| 15 mai | Annonce du pirate sur un forum ; notification à la CNIL et plainte contre X |
La notification à la CNIL a donc été faite dans le délai de 72 heures prévu par le RGPD. Les clients concernés doivent être informés individuellement.
Pourquoi c’est sérieux malgré l’absence de données bancaires
Un nom, une date de naissance, un numéro de téléphone et le détail d’un séjour réel suffisent à monter des arnaques très crédibles : faux SMS de « confirmation de réservation », faux remboursement, appel d’un pseudo-conseiller qui cite les dates exactes de vos vacances. À l’approche de l’été, la période s’y prête particulièrement. Ces données peuvent aussi servir à des tentatives d’usurpation auprès d’un opérateur mobile.
La durée de conservation interroge aussi : garder des réservations sur dix ans, voire davantage si l’on en croit le pirate, élargit mécaniquement l’impact d’une fuite.
Que faire si vous avez réservé via Maeva ou Pierre & Vacances
- Méfiez-vous des SMS, emails ou appels qui évoquent une réservation, un acompte ou un remboursement : vérifiez toujours depuis votre espace client ou le site officiel.
- Ne communiquez jamais de coordonnées bancaires ou de code reçu par SMS à un interlocuteur qui vous a contacté.
- Signalez les SMS frauduleux au 33700.
- Vous pouvez exercer votre droit d’accès auprès du groupe pour savoir quelles données vous concernant sont conservées, et demander l’effacement de celles qui ne sont plus nécessaires.