Guide pour les agences · Sécurité des données
Agence de voyages et tour opérateur: protéger données, paiements et accès GDS
Les agences de voyages et les tour opérateurs traitent des informations personnelles à chaque étape d’un voyage. Ce guide explique comment cartographier les données que vous détenez, sécuriser les accès, protéger les informations de paiement, évaluer vos partenaires technologiques et vous préparer à un incident de sécurité.
Origine du risque
Où naissent les problèmes de sécurité dans une agence de voyages
La plupart des incidents de sécurité naissent d’une tâche tout à fait ordinaire. Un nouveau client demande une réservation de groupe en urgence. Un fournisseur envoie une demande de paiement. Un message indique que votre identifiant GDS a expiré. Un ancien prestataire conserve l’accès à un système que votre équipe utilise tous les jours.
Ces situations créent de la pression, car votre équipe veut aider le voyageur et protéger la réservation. Dans ce contexte, il est facile de sauter une étape de vérification ou de saisir ses identifiants sur la mauvaise page.
Les données de voyage en disent aussi long sur une personne. Elles peuvent révéler où elle compte aller, quand elle sera absente, avec qui elle voyage et comment la joindre. Un itinéraire familial, une réservation de déplacement professionnel et un dossier de circuit de groupe contiennent chacun des types d’informations personnelles différents.
Exposition
Cinq points d’exposition à repérer dans une réservation
Suivez une réservation tout au long de votre processus
- Un nouveau voyageur ou une nouvelle entreprise demande un grand nombre de billets avant que vous ayez pu vérifier qui il représente.
- Un e-mail contient un lien vers une page de connexion qui ressemble à celle de votre GDS, de votre prestataire de paiement ou d’un portail fournisseur.
- Des copies de passeport, des coordonnées de paiement ou des itinéraires en cours traînent dans des messageries, des tableurs ou des dossiers partagés.
- Une succursale, un agent indépendant, un prestataire ou un ancien collaborateur a encore accès aux systèmes de réservation.
- Une attaque par rançongiciel bloque les itinéraires et les coordonnées dont votre équipe a besoin pour assister les voyageurs.
Chaque problème touche à bien plus que la confidentialité. Il peut entraîner des émissions de billets non autorisées, des rétrofacturations, des ADM, des notifications aux clients, une perte de temps et des perturbations pendant un voyage en cours.
Une menace propre au voyage
Fausses demandes de voyageurs et piratage de comptes GDS
Les agences de voyages font face à un second type d’incident de sécurité, en plus des fuites de données: des fraudeurs peuvent utiliser une fausse demande client ou des identifiants GDS volés pour faire émettre des billets par l’agence, sous son propre compte.
En 2026, l’Airlines Reporting Corporation (ARC) a signalé une hausse des accès non autorisés aux GDS. L’ARC décrit deux voies d’entrée dans une agence: un fraudeur se fait passer pour une agence légitime afin d’obtenir un accès GDS, ou un message de phishing capte les identifiants d’un agent. Une fois l’accès obtenu, le fraudeur peut émettre des billets via le compte de l’agence sans autorisation.
L’ARC a également signalé de faux sites Sabre Agency Workspace et de formation, conçus pour voler les identifiants des agents. Ces pages ressemblaient à des portails de voyage fiables, mais les liens menaient vers des noms de domaine imitant les originaux. Une fausse page GDS peut donner à un attaquant un identifiant valide, sans aucune faille chez le fournisseur du GDS lui-même.
Fausses demandes de réservation: l’urgence masque une vérification insuffisante
L’ARC a mis en garde les agences contre de fausses demandes de voyages d’entreprise et de groupe: départs immédiats, urgences médicales, coordonnées de paiement incomplètes, trajets inhabituels et demandes de contourner les contrôles habituels.
Faites une pause quand un nouveau client demande un grand nombre de billets avant que vous ayez pu vérifier l’entreprise, les voyageurs, l’itinéraire et le paiement.
Faux sites GDS: un logo familier peut cacher une page de connexion volée
Des messages de phishing peuvent prétendre qu’un compte GDS a expiré, qu’une réservation doit être vérifiée ou qu’un espace de travail exige une nouvelle authentification urgente. Le lien peut mener vers un faux portail Sabre ou un faux portail d’agence.
Utilisez un favori de confiance ou une adresse du fournisseur saisie manuellement. Ne vous connectez jamais via un lien reçu dans un e-mail inattendu.
Accès tiers: votre propre système n’est pas forcément la porte d’entrée
L’ARC a signalé un cas où des billets non autorisés ont été émis après la compromission d’une agence tierce du réseau, alors que le système d’émission de l’agence n’avait pas été directement touché.
Passez en revue les accès détenus par les succursales, les prestataires, les agents indépendants, les fournisseurs et les anciens collaborateurs. Supprimez-les dès que la relation ou le poste prend fin.
Avant d’émettre un billet, votre équipe doit répondre à deux questions: « Cette demande vient-elle d’un vrai client ? » et « Cette connexion mène-t-elle bien au vrai GDS ? » Intégrez ces deux contrôles dans votre processus avant toute émission.
01
Cartographier les données de votre agence
On ne peut pas protéger des informations que l’on ne sait pas localiser. Commencez par une cartographie simple des données. Suivez une réservation, de la première demande au support après le voyage, et notez chaque système, chaque personne et chaque fournisseur qui y intervient.
Questions
Posez ces questions pour chaque type de données
- Quelles informations collectons-nous ?
- Pourquoi en avons-nous besoin ?
- Où les stockons-nous ?
- Qui peut les consulter, les modifier, les télécharger ou les partager ?
- Quels fournisseurs ou quelles plateformes les reçoivent ?
- Quand devons-nous les supprimer ?
Systèmes
Incluez les systèmes que votre équipe utilise au quotidien
- Messagerie, CRM et GDS
- Plateforme mid-office et logiciel de comptabilité
- Prestataire de paiement, lecteurs partagés et tableurs
- Logiciel d’itinéraires, applications mobiles et portails fournisseurs
Classez ensuite les informations selon leur niveau de risque. Les contenus de destination publics ne demandent pas la même protection que les données de passeport, les informations de paiement ou le contact d’urgence d’un voyageur en déplacement professionnel. Les données les plus sensibles doivent avoir le moins de points d’accès possible.
Examinez ce que votre équipe conserve. D’anciennes copies de passeport, des tableurs en double, des fichiers de réservation téléchargés et des pièces jointes d’e-mails augmentent l’exposition. Définissez une durée de conservation pour chaque catégorie et supprimez les informations dont vous n’avez plus besoin, tout en respectant les règles légales et contractuelles applicables sur votre marché.
02
Sécuriser les comptes et les accès
Un compte compromis offre aux attaquants un accès direct aux données de réservation, aux échanges par e-mail, aux processus de paiement et aux dossiers clients. Protégez chaque compte avec des mesures que votre équipe peut appliquer de façon régulière.
Exiger l’authentification multifacteur
Activez l’authentification multifacteur pour la messagerie, le CRM, le stockage cloud, les systèmes de réservation, les outils de paiement, les comptes administrateur et toute plateforme qui la propose. Un mot de passe volé ne doit pas suffire à ouvrir l’accès à un système de l’entreprise.
Lorsqu’un fournisseur propose une authentification résistante au phishing, utilisez-la. À défaut, privilégiez une application d’authentification ou une clé de sécurité plutôt que les seuls SMS.
Attribuer un compte individuel à chaque personne
Ne partagez pas les identifiants d’un compte générique de l’agence. Des comptes individuels vous permettent de savoir qui a consulté un dossier, de modifier les droits lors d’un changement de poste et de supprimer l’accès au départ d’un salarié ou d’un prestataire.
Donnez à chacun l’accès dont il a besoin pour son travail. Un coordinateur commercial peut avoir besoin de consulter les informations des voyageurs, tandis qu’un administrateur peut avoir besoin de gérer les paramètres.
Utiliser un gestionnaire de mots de passe
Un gestionnaire de mots de passe aide votre équipe à créer des mots de passe uniques et à partager les accès par des coffres-forts contrôlés, plutôt que par e-mail ou dans des tableurs. Ne réutilisez jamais le mot de passe de votre messagerie pour une plateforme de fournisseur ou de réservation.
Passez en revue les accès au moins deux fois par an et après chaque changement de poste. Supprimez les anciens salariés, les anciens prestataires, les intégrations inutilisées et les comptes qui ne servent plus à un processus actif.
GDS
Protéger les accès GDS et d’émission des billets
- Activez l’authentification multifacteur partout où le GDS ou le service connecté la prend en charge.
- Vérifiez les nouveaux clients entreprise à partir de coordonnées trouvées de façon indépendante, et pas uniquement via la demande reçue par e-mail.
- Contrôlez fréquemment l’activité des billets, en particulier les départs proches, les itinéraires inhabituels, les réservations en aller simple, les nouveaux profils de voyageurs et les hausses soudaines de volume.
- Révoquez l’accès lorsqu’un salarié, un prestataire, une agence du réseau ou un fournisseur met fin à sa collaboration.
- Si une personne saisit ses identifiants sur une page suspecte, réinitialisez le mot de passe, réenregistrez l’authentification multifacteur, analysez l’appareil et contactez immédiatement le GDS et l’ARC.
03
Former votre équipe à repérer les attaques réelles
La plupart des agences de voyages reçoivent des messages qui semblent familiers: une facture de fournisseur, une demande de modification de vol, un lien de paiement d’hôtel ou un message urgent d’un dirigeant. Les attaquants s’appuient sur ces situations habituelles pour créer un sentiment d’urgence.
Prendre du recul
Apprenez à votre équipe à marquer une pause lorsqu’un message demande
- Un mot de passe, un code à usage unique ou une information de paiement
- Une modification des coordonnées bancaires d’un fournisseur
- Un virement ou un remboursement urgent
- Une copie de passeport ou une liste de clients
- Un lien de connexion à un système de réservation ou de paiement
Vérifiez les demandes sensibles par un canal connu. Appelez le fournisseur au numéro figurant déjà dans vos dossiers plutôt qu’à celui indiqué dans le message. Signalez rapidement les messages suspects pour que votre équipe puisse prévenir les autres collègues.
La CISA recommande aux petites et moyennes entreprises d’intégrer à leurs pratiques de sécurité de base la sensibilisation au phishing, des mots de passe robustes, l’authentification multifacteur et les mises à jour logicielles. Ces mesures offrent à une agence de voyages un point de départ utile, sans nécessiter une grande équipe technique.
04
Protéger les appareils et les logiciels métier
Votre équipe peut accéder aux données de voyage depuis des ordinateurs portables, des téléphones, des tablettes et des réseaux domestiques. Définissez un niveau de sécurité minimum pour chaque appareil qui se connecte aux systèmes de l’entreprise.
Standard
Un niveau minimum pour chaque appareil
- Installez rapidement les mises à jour du système d’exploitation et des applications.
- Activez le chiffrement complet du disque sur les ordinateurs portables et les appareils mobiles.
- Activez le verrouillage automatique de l’écran après une courte période d’inactivité.
- Gardez la protection antimalware active et limitez les droits d’administrateur.
- Séparez les comptes professionnels des comptes personnels dans la mesure du possible.
- Évitez de télécharger des fichiers clients sur des appareils personnels non gérés.
- Retirez les accès d’un appareil perdu et effacez-le à distance lorsque la technologie le permet.
Passez en revue chaque intégration connectée à vos principaux systèmes. Un ancien connecteur ou une automatisation inutilisée peut conserver son accès bien après la fin du projet d’origine. Tenez une liste des intégrations avec leur finalité, leur responsable et les données qu’elles peuvent lire ou envoyer.
05
Manipuler les informations de paiement avec soin
Les données de paiement méritent leur propre procédure. Ne placez jamais de numéros de carte complets ni de codes de sécurité dans un e-mail, un chat, un tableur, un document d’itinéraire, une capture d’écran ou un dossier partagé.
Prestataire
Utiliser des formulaires de paiement hébergés ou la tokenisation
Lorsqu’un prestataire stocke les données de carte, vérifiez ce qui reste à la charge de votre agence et quelles obligations PCI DSS s’appliquent. Le PCI Security Standards Council précise que la norme PCI DSS s’applique aux entités qui stockent, traitent ou transmettent des données de compte de paiement, ainsi qu’aux systèmes qui peuvent en affecter la sécurité.
Règle pour l’équipe
Donner à l’équipe une règle claire pour les demandes de paiement
Un client doit savoir quelle page de paiement utiliser, et votre équipe doit savoir reconnaître un message de paiement légitime. Gardez les données de carte en dehors du processus de création des itinéraires dès que votre organisation le permet.
06
Vérifier la sécurité de vos partenaires technologiques
Une agence peut appliquer de bonnes pratiques en interne et hériter malgré tout du risque d’un fournisseur. Passez en revue les systèmes qui traitent les informations des voyageurs, les données de paiement, les documents et les données de localisation.
Posez ces questions à chaque prestataire technologique important:
| Question | Ce que vous cherchez à comprendre |
|---|---|
| Comment chiffrez-vous les données? | La protection pendant la transmission et pendant le stockage chez le prestataire |
| Comment les utilisateurs se connectent-ils? | MFA, SSO, règles de mot de passe et contrôles de verrouillage de compte |
| Comment limitez-vous l’accès de vos équipes? | Rôles, principe du moindre privilège, revues des accès et contrôles d’administration |
| Comment reprenez-vous votre activité après un incident? | Fréquence des sauvegardes, points de restauration, tests de restauration et continuité d’activité |
| Comment testez-vous le service? | Tests indépendants, gestion des vulnérabilités et pratiques de mise en production sécurisée |
| Où hébergez-vous et traitez-vous les données? | Régions, sous-traitants ultérieurs, transferts transfrontaliers et garanties contractuelles |
| Que se passe-t-il à la fin du contrat? | Export des données, suppression, conservation et confirmation de l’effacement |
| Comment informerez-vous vos clients? | Contacts en cas d’incident, processus de réponse et engagements de notification |
Demandez au prestataire sa documentation de sécurité, ses conditions de confidentialité, son accord de traitement des données et sa liste de sous-traitants ultérieurs. Les certifications ne sont qu’un élément de votre analyse. Vous devez aussi comprendre comment le prestataire exploite le service précis que votre agence va utiliser.
07
Sauvegardez vos données et testez la restauration
Les sauvegardes vous aident à vous remettre d’un rançongiciel, d’une suppression accidentelle, d’une panne de système ou d’un autre incident. Elles ne servent que si elles couvrent les informations dont votre équipe a besoin et si vous savez les restaurer.
Identifiez vos systèmes critiques
Pour une agence de voyages, ces systèmes peuvent comprendre les dossiers de réservation, les itinéraires en cours, les coordonnées des voyageurs, les confirmations des fournisseurs, les données financières et l’historique des demandes d’assistance.
Fixez un objectif de reprise
Déterminez la quantité de données récentes que vous pourriez perdre et la rapidité avec laquelle votre équipe doit reprendre son activité. Protégez les sauvegardes des comptes utilisateurs habituels et veillez à ce qu’un attaquant ne puisse pas supprimer toutes les copies avec un seul identifiant compromis.
Testez une restauration chaque année
Testez une restauration au moins une fois par an. Demandez à un collaborateur d’ouvrir les fichiers récupérés et de vérifier que l’équipe pourrait s’en servir lors d’une véritable perturbation. Consignez le résultat et corrigez les lacunes tant que l’exercice est récent.
08
Préparez un plan de réponse aux incidents
Un plan d’incident limite la confusion lorsque votre équipe dispose de peu d’informations et de peu de temps. Gardez une première version assez courte pour que tout le monde puisse l’utiliser. Notez:
Plan
Ce que votre plan d’incident doit couvrir
- Qui dirige la réponse et qui peut prendre les décisions urgentes.
- Comment les collaborateurs signalent un e-mail suspect, un appareil perdu ou un compte compromis.
- Quels prestataires technologiques, assureurs, conseillers juridiques et autorités contacter.
- Comment isoler un appareil ou un compte sans détruire les preuves.
- Comment continuer d’assister les voyageurs si les systèmes de réservation ou de communication sont hors service.
- Comment évaluer les données concernées et communiquer avec les clients dans le respect des règles applicables.
- Comment restaurer les systèmes et analyser la cause après l’incident.
Organisez un court exercice une fois par an. Proposez à l’équipe un scénario réaliste, par exemple une messagerie compromise contenant des copies de passeports ou une attaque par ransomware qui bloque l’accès aux itinéraires en cours. Vérifiez que chacun sait qui appeler, où se trouve la sauvegarde et comment assister les voyageurs pendant la remise en état des systèmes.
Les obligations légales de notification dépendent des pays, des types de données, des contrats et des personnes concernés. Demandez à des conseillers juridiques qualifiés de confirmer les règles qui s’appliquent à votre activité. Votre plan d’incident doit leur permettre d’obtenir rapidement les informations dont ils ont besoin.
09
Instaurez une routine de sécurité
La sécurité progresse lorsque votre équipe en fait une habitude de travail. Ajoutez quelques contrôles à votre rythme de gestion habituel.
| Fréquence | Contrôle |
|---|---|
| Chaque jour | Signaler les messages suspects, suivre les procédures de paiement et appliquer les mises à jour de sécurité urgentes |
| Chaque mois | Examiner les alertes, les nouveaux utilisateurs, les anciens utilisateurs, les intégrations et les accès inhabituels |
| Chaque trimestre | Supprimer les exports obsolètes, passer en revue les fournisseurs importants et actualiser les consignes destinées aux équipes |
| Deux fois par an | Réviser les droits des utilisateurs et les comptes administrateur |
| Chaque année | Tester les sauvegardes, mettre en pratique le plan d’incident et réviser votre cartographie des données |
Conservez le nom du responsable et la date de chaque contrôle. Un simple registre permet à votre équipe de montrer clairement ce qu’elle a vérifié et ce qu’elle a modifié.
mTrip
L’approche de mTrip en matière de sécurité des données
Lorsque vous évaluez une plateforme de création d’itinéraires ou une application à votre marque, demandez au prestataire d’expliquer ses mesures de sécurité en termes aussi concrets. mTrip publie ses pratiques de sécurité à l’attention des agences de voyages, des tour opérateurs et des TMC.
Hébergement sur Amazon Web Services
La plateforme fonctionne sur Amazon Web Services. Les clients européens sont hébergés à Francfort, en Allemagne, et les fichiers importés sont stockés à Londres, au Royaume-Uni. Les autres clients sont hébergés en Virginie du Nord, aux États-Unis.
Données chiffrées en transit et au repos
mTrip indique que le trafic de la plateforme et de l’API utilise TLS 1.2 ou une version supérieure. Les bases de données, le stockage de fichiers et les sauvegardes sont chiffrés au repos avec AES-256, et l’application chiffre les champs sensibles des voyageurs, comme les adresses e-mail, les numéros de téléphone, les dates de naissance et les références de réservation.
Sauvegardes quotidiennes, testées chaque année
La plateforme effectue des sauvegardes chiffrées quotidiennes, avec une restauration à un instant donné sur sept jours. mTrip copie les sauvegardes dans une seconde région AWS, les protège contre la suppression et teste une restauration au moins une fois par an.
Accès contrôlés et tests indépendants
mTrip décrit des accès contrôlés, l’authentification multifacteur, la journalisation des actions d’administration, une détection continue des menaces et des tests indépendants de la plateforme et des applications mobiles au moins une fois par an.
Les clients peuvent demander des documents de sécurité via le mTrip Trust Center. Comparez les informations à jour avec vos propres exigences avant de choisir un prestataire technologique.
Examen de la sécurité
Les questions à poser à chaque prestataire de technologie de voyage
Demandez où les données sont hébergées, comment les accès sont contrôlés, comment les sauvegardes sont testées, comment les incidents sont signalés et ce que deviennent vos données à la fin du contrat.
Pour commencer
Commencez par les mesures qui réduisent le plus les risques
Un premier projet de courte durée permet déjà de progresser nettement:
Plan d’action
Six mesures pour un premier projet
- Cartographiez les données de votre processus de réservation et de création d’itinéraires.
- Activez l’authentification multifacteur sur chaque compte important.
- Supprimez les anciens utilisateurs, les identifiants partagés et les intégrations inutilisées.
- Ne laissez pas les numéros complets de carte bancaire dans les e-mails, les documents et les tableurs.
- Vérifiez que les sauvegardes fonctionnent en testant une restauration.
- Rédigez un plan de gestion des incidents et entraînez-vous avec votre équipe.
La sécurité des données protège l’expérience voyageur que votre agence s’attache à construire. Elle offre aussi à votre équipe un cadre plus sûr pour gérer les réservations, les documents et l’assistance en cas de perturbations, à mesure que le nombre de voyages augmente.
Pour aller plus loin, lisez les bonnes pratiques de mTrip sur les documents de voyage et la checklist des logiciels de devoir de diligence.
L’ensemble du secteur du voyage
Ce que d’autres entreprises du voyage ont appris des cyberattaques
Ces exemples concernent de grandes entreprises du voyage, mais les problèmes de fond peuvent aussi apparaître dans le fonctionnement d’une agence ou d’un tour opérateur: systèmes anciens, identifiants volés, données de paiement, accès des fournisseurs et plans de reprise insuffisants.
Groupe hôtelier
Marriott et la base de données de réservations Starwood
En novembre 2018, Marriott a annoncé qu’un tiers non autorisé avait accédé au réseau Starwood depuis 2014. La base de données contenait des informations sur près de 500 millions de clients. Pour environ 327 millions d’entre eux, les données comprenaient diverses combinaisons de noms, adresses, numéros de téléphone, adresses e-mail, numéros de passeport, informations de compte de fidélité, dates de naissance et informations d’arrivée et de départ.
Enseignement à retenir: passez en revue les systèmes hérités, les anciennes intégrations et les bases de données acquises. Tenez à jour une cartographie des données, supprimez celles dont vous n’avez plus besoin et surveillez les accès aux bases de réservations.
Compagnie aérienne
British Airways et les données de paiement du site web
British Airways a signalé en 2018 un incident touchant des informations clients saisies sur son site web. L’Information Commissioner’s Office britannique a ensuite consigné que les données d’environ 429 000 personnes étaient concernées, notamment des informations de connexion, de carte de paiement, de réservation de voyage, de nom et d’adresse.
Enseignement à retenir: protégez les formulaires de réservation publics, les comptes administrateur, les processus de paiement et les services connectés. Ne conservez pas de données de paiement dans des systèmes qui n’ont pas besoin d’en détenir, et surveillez toute activité inhabituelle.
Compagnie aérienne
easyJet et une importante base de données clients
easyJet a révélé en 2020 une violation de données touchant environ 9 millions de clients. L’incident concernait aussi les coordonnées bancaires de 2 208 clients. Cette ampleur montre à quelle vitesse un seul système compromis peut devenir un problème de communication client, de conformité juridique et d’assistance.
Enseignement à retenir: identifiez les catégories de données que vous détenez, les personnes qui ont besoin d’y accéder et la manière dont vous contacterez les clients concernés. Votre plan de gestion d’incident doit couvrir l’assistance client autant que la reprise technique.
TMC
CWT et la perturbation causée par un ransomware
En 2020, le TMC CWT a subi une attaque par ransomware. Selon Reuters, les attaquants affirmaient avoir copié 30 000 fichiers et CWT a payé une rançon pendant la gestion de crise. L’incident montre à quelle vitesse une panne de systèmes peut toucher une entreprise dont les équipes gèrent des voyages en cours et assistent des voyageurs.
Enseignement à retenir: les sauvegardes et les procédures de reprise méritent autant d’attention que la prévention. Testez si votre équipe peut accéder aux informations essentielles des voyages et assister les voyageurs en cas de panne de vos systèmes principaux.
Faites le point sur vos données de voyage avec mTrip
Échangez avec l’équipe mTrip sur les données d’itinéraires, les documents de voyage, les applications mobiles à votre marque et vos exigences de sécurité. Si vous démarrez une évaluation de fournisseur, lisez d’abord la page sécurité de mTrip.
Pour aller plus loin
Sources et lectures complémentaires
- NIST Cybersecurity Framework 2.0
- CISA: Secure Your Business
- PCI Security Standards Council: Merchant Resources
- Marriott: incident de sécurité de la base de données de réservations clients Starwood
- UK Information Commissioner’s Office: dossier de sanction British Airways
- UK Information Commissioner’s Office: dossier de sanction easyJet
- Reuters: CWT a versé une rançon de 4,5 millions de dollars à un groupe de ransomware
- ARC: alertes et schémas de fraude touchant les agences de voyages
- ARC: Reasonable Care and Cyber Security Guide
- ARC: formation obligatoire des agents à la sécurité