Pourquoi les hôtels sont des cibles faciles, et non des dommages collatéraux
Un hôtel est une cible particulièrement attrayante, et la plupart des exploitants n’ont jamais su pourquoi. Vous détenez une multitude de données personnelles sur des milliers d’inconnus : noms, adresses personnelles, copies numérisées de passeports et de pièces d’identité, dates de voyage, informations de paiement, et parfois même des notes sur la santé et les habitudes alimentaires. Vous gérez un établissement où de nombreux appareils appartenant aux clients sont connectés à votre réseau. Vous fonctionnez 24 heures sur 24 avec une réception dont le personnel est formé pour se montrer serviable envers des inconnus, ce qui correspond exactement à l’instinct dont tire parti un ingénieur social. Et vous dépendez d’une pile de systèmes fonctionnant en permanence : le système de gestion immobilière qui gère les comptes clients et stocke les données des clients, le gestionnaire de canaux de distribution, les serrures, le point de vente… Des systèmes qui ne peuvent tolérer aucune interruption sans que l’activité ne s’arrête. Les attaquants savent tout cela. Ils ne tombent pas sur les hôtels par hasard ; ils les choisissent. Les systèmes qui contiennent les données de vos clients, à commencer par le système de gestion hôtelière, constituent le véritable trésor que convoite un attaquant.
Pendant des années, la cybersécurité a été considérée comme un problème relevant du service informatique ou, dans un hôtel indépendant dépourvu de service informatique, comme le problème de personne jusqu’à ce qu’un incident survienne. Cette attitude n’est plus tenable en 2026 pour deux raisons qui se recoupent. La première est le ransomware, qui s’est industrialisé pour devenir un secteur de services qui touche de manière disproportionnée les opérateurs de taille moyenne disposant de données précieuses et de défenses faibles, ce qui correspond exactement au profil d’un hôtel indépendant. La seconde est la directive NIS2 de l’UE sur la sécurité des réseaux et de l’information, qui a transformé la cybersécurité d’une dépense informatique facultative en une obligation légale engageant la responsabilité personnelle de la direction. Même votre flux de paiement fait partie du tableau : la manière dont vous traitez les données de cartes bancaires via votre système de paiement détermine la quantité de données exploitables qu’un attaquant pourra réellement voler lorsque, et non pas « si », il parviendra à s’introduire dans votre système.
J’écris pour Prostay, et notre équipe consacre beaucoup de temps à la frontière entre les systèmes hôteliers que nous développons et les obligations de sécurité auxquelles nos clients sont désormais soumis. Ainsi, les schémas de menaces, les délais réglementaires et les priorités en matière de contrôle présentés ci-dessous proviennent du cadre NIS2 publié, des données sur les incidents rapportées par les sociétés de sécurité dans le secteur de l’hôtellerie, ainsi que de la réalité pratique de l’accompagnement des établissements lors de la reprise de leurs activités en cas de problème. Cet article s’adresse au directeur général et au propriétaire, et non à l’ingénieur en sécurité. Il explique si la directive NIS2 s’applique à vous, comment une violation de données dans un hôtel se produit concrètement, les délais de signalement que vous devez respecter, les quelques mesures de contrôle qui réduisent réellement les risques, ainsi qu’un plan en 30 jours pour passer d’une situation de vulnérabilité à une situation de sécurité. Aucun de ces éléments ne nécessite un diplôme en informatique. La plupart exigent simplement que vous acceptiez que cela relève désormais de votre responsabilité, car c’est le cas, tant sur le plan juridique que pratique.
Qu’est-ce que la directive NIS 2 exactement, et s’applique-t-elle à votre hôtel ?
La directive NIS2 est la deuxième version de la directive européenne sur la sécurité des réseaux et de l’information. La première directive NIS (2016) ne couvrait qu’un ensemble restreint d’opérateurs critiques : l’énergie, l’eau, les grandes infrastructures numériques. La directive NIS2, que les États membres devaient transposer dans leur législation nationale avant le 17 octobre 2024, élargit considérablement le champ d’application, renforce le niveau de base des mesures de sécurité requises, durcit les obligations de signalement des incidents et, surtout, prévoit des sanctions réelles et engage la responsabilité personnelle des dirigeants. Il ne s’agit pas d’une loi spécifique au secteur de l’hôtellerie, ce qui explique précisément pourquoi tant d’hôteliers n’ont pas pris conscience qu’elle pourrait s’appliquer à eux.
Son applicabilité dépend de trois facteurs : votre secteur d’activité, la taille de votre établissement et la transposition de la directive par votre pays. Les hôtels ne figurent pas en tête de liste des secteurs « essentiels » au même titre que l’énergie et la santé ; ainsi, un hôtel indépendant n’est pas automatiquement soumis à la réglementation dans la plupart des pays. Mais les limites sont plus floues que ne le laisse entendre ce résumé : les seuils de taille concernent directement les grands établissements et les groupes, et les dispositions relatives à la chaîne d’approvisionnement s’étendent bien au-delà du champ d’application formel. Il en résulte un paysage dans lequel certains hôtels relèvent directement du champ d’application, beaucoup d’autres y sont indirectement liés par l’intermédiaire de partenaires, et presque aucun n’est véritablement exempté de l’obligation sous-jacente de gérer les risques cybernétiques.
Entités essentielles vs entités importantes, et le critère de taille
La directive NIS2 classe les organisations réglementées en deux catégories. Les entités essentielles sont les opérateurs présentant le plus haut niveau de criticité et sont soumises à la supervision la plus stricte. Les entités importantes constituent un groupe plus large qui doit tout de même respecter les obligations en matière de sécurité et de déclaration, mais qui fait l’objet d’une surveillance plus légère, généralement après un incident plutôt que de manière proactive. Cette distinction est surtout déterminante pour le degré de pression exercée par l’autorité de régulation et le montant maximal des amendes.
À cela s’ajoute un critère de taille. Les obligations de la directive s’adressent aux moyennes et grandes organisations, c’est-à-dire globalement celles comptant au moins 50 salariés, ou dont le chiffre d’affaires annuel et le total du bilan dépassent 10 millions d’euros, et qui opèrent dans les secteurs concernés. Un petit hôtel balnéaire de 18 employés se situe généralement en dessous de ce seuil et n’est pas directement concerné. Un hôtel de conférence en centre-ville de 250 chambres, ou une société de gestion exploitant une douzaine d’établissements, peut facilement dépasser ce seuil et se retrouver directement concerné. Le point essentiel à prendre en compte lors de la planification est que la taille est évaluée au niveau de l’entité juridique et parfois au niveau du groupe dans son ensemble ; ainsi, un petit établissement appartenant à un opérateur plus important peut se voir imposer des obligations qu’il n’aurait pas à assumer s’il agissait seul. Vérifiez votre situation spécifique auprès d’un conseiller local, car les modalités de transposition et la correspondance exacte avec les secteurs varient d’un État membre à l’autre.
La clause relative à la chaîne d’approvisionnement qui concerne les petits hôtels
C’est là que les établissements indépendants sont pris au dépourvu. La directive NIS2 fait de la sécurité de la chaîne d’approvisionnement et des fournisseurs une obligation explicite pour les entités relevant de son champ d’application. Un groupe hôtelier réglementé, une plateforme de voyage, un acheteur de voyages d’affaires ou une société de gestion doit gérer la sécurité de ses fournisseurs et partenaires, et le moyen le plus simple de s’acquitter de cette obligation consiste à répercuter ces exigences par voie contractuelle. Ainsi, un établissement indépendant de 40 chambres qui accueille des clients d’affaires d’une entreprise réglementée, opère sous une enseigne de franchise ou est connecté à une plateforme réglementée se verra de plus en plus souvent remettre un avenant de sécurité : « Appliquez l’authentification multifactorielle (MFA), conservez des sauvegardes testées, signalez-nous les incidents dans un délai de X heures, autorisez-nous à vous auditer. » Vous vous conformez aux contrôles prévus par la directive NIS2 non pas parce qu’un régulateur est venu frapper à votre porte, mais parce que perdre le contrat n’est pas une option.
C’est pourquoi l’argument « nous sommes trop petits pour la NIS2 » est une mauvaise façon d’envisager l’horizon 2026. La question pertinente n’est pas de savoir si la directive mentionne explicitement votre entreprise, mais quand ces mesures de contrôle vous concerneront – que ce soit par désignation directe, via votre groupe ou par le biais du contrat d’un partenaire – et si vous préférez les mettre en place sereinement dès maintenant ou vous précipiter pour respecter un délai imposé par un tiers. La suite de cet article part du principe que vous en aurez besoin, car ce sera le cas pour la grande majorité des opérateurs exerçant une activité commerciale.
La surface d’attaque d’un hôtel, cartographiée
Pour défendre un hôtel, vous devez le voir comme le ferait un attaquant : comme un ensemble de portes, dont la plupart sont celles que vous avez oublié de fermer. La surface d’attaque est plus vaste que le PC de la réception, et identifier chaque élément constitue la première étape pour la réduire.
Le personnel de la réception. Le personnel de réception est formé pour faire confiance et aider. Un appel téléphonique convaincant (« ici le service informatique du siège, nous avons besoin que vous installiez une mise à jour rapide ») ou une facture envoyée par e-mail soigneusement rédigée suffisent souvent. Le phishing et l’ingénierie sociale constituent le point d’entrée initial le plus courant dans tous les secteurs, et la culture d’entraide du secteur hôtelier aggrave encore la situation.
L’accès à distance. Quelqu’un doit accéder au PMS depuis l’extérieur : un propriétaire, un responsable de nuit, un fournisseur de logiciels assurant le support technique. Trop souvent, cet accès se fait via un service de bureau à distance non sécurisé, exposé directement à Internet et protégé par un seul mot de passe réutilisé. C’est la faille la plus systématiquement exploitée dans les attaques par ransomware visant les petites entreprises, point final.
Connexions tierces. Votre gestionnaire de canaux de distribution, votre moteur de réservation, votre passerelle de paiement, votre système de serrures électroniques et vos prestataires de maintenance se connectent tous à votre environnement. Chacun d’entre eux constitue une voie d’accès potentielle, et une faille chez un fournisseur peut se transformer en faille chez vous. C’est le risque lié à la chaîne d’approvisionnement sur lequel la directive NIS2 met l’accent, vu de votre point de vue.
Réseaux clients et opérationnels. Si le Wi-Fi client, les systèmes de réservation, les terminaux de paiement et les machines du back-office partagent tous un même réseau plat, alors l’ordinateur portable compromis d’un client ou un appareil infecté par un logiciel malveillant dans le hall d’entrée peut accéder au PMS. Les réseaux plats transforment une petite intrusion en une intrusion totale.
Appareils non mis à jour et oubliés. Le contrôleur de serrures fonctionnant avec un micrologiciel vieux de dix ans, le terminal de point de vente que personne ne met à jour, le vieil ordinateur du back-office fonctionnant toujours sous un système d’exploitation qui ne bénéficie plus de correctifs de sécurité. Les attaquants recherchent précisément ces failles et s’y engouffrent. La surface d’attaque d’un hôtel n’est pas un seul grand mur à défendre ; ce sont des dizaines de petits murs, et il suffit qu’un seul soit vulnérable pour que l’attaquant puisse s’introduire.
Comment se déroule concrètement une intrusion dans un hôtel
Un rançongiciel ne se déclenche pas dès qu’un utilisateur clique sur un lien malveillant. Il se déploie par étapes, sur plusieurs heures voire plusieurs jours, et comprendre cette séquence vous permet de savoir à quel moment vous avez encore une chance de l’arrêter.
Tout commence généralement par un accès initial : des identifiants obtenus par hameçonnage, un identifiant RDP exposé et piraté en essayant des mots de passe courants, ou un point d’ancrage hérité d’un fournisseur compromis. L’attaquant est désormais à l’intérieur sous l’identité d’un utilisateur, souvent sans que personne ne s’en aperçoive. Viennent ensuite l’escalade et le déplacement latéral : l’attaquant recherche un compte administrateur, se déplace de l’ordinateur de la réception vers les serveurs et recense vos ressources. Il s’agit d’une phase silencieuse, qui peut parfois durer plusieurs jours, et c’est à ce stade qu’une bonne surveillance et une segmentation du réseau peuvent encore permettre de le détecter et de le contenir.
Vient ensuite l’exfiltration : les groupes de ransomware modernes volent une copie des données de vos clients avant même de crypter quoi que ce soit, car les données volées constituent un moyen de pression même si vos sauvegardes sont parfaites. C’est là que l’on passe à ce que l’on appelle la « double extorsion ». Ce n’est qu’à la fin que surviennent le chiffrement et la demande de rançon : fichiers verrouillés, système de gestion hôtelière (PMS) inutilisable, exigence affichée à l’écran, et une réception qui se retrouve soudainement incapable d’enregistrer ou de faire partir qui que ce soit. L’importance de cette séquence réside dans le fait que la partie bruyante et évidente (l’écran verrouillé) constitue le dernier acte, et non le premier. Au moment où vous la voyez, l’attaquant est généralement présent dans votre environnement depuis un certain temps et a déjà pris ce qu’il voulait. Les défenses qui ne réagissent qu’au chiffrement réagissent trop tard ; c’est plus tôt, au moment de l’accès et du déplacement latéral, que l’on remporte la victoire.
L’impact économique d’une attaque par ransomware dans un hôtel
Les exploitants se focalisent sur le montant de la rançon, mais celle-ci représente rarement le coût le plus important. Si l’on additionne les réelles conséquences d’un incident grave pour un hôtel, le chiffre qui compte est celui de l’interruption totale de l’activité, et non la somme affichée à l’écran.
Commençons par les temps d’arrêt. Si le système de gestion hôtelière (PMS) est chiffré, la réception revient au stylo et au papier si possible, le gestionnaire de canaux cesse de se synchroniser, les agences de voyage en ligne (OTA) continuent de vendre des chambres que vous ne pouvez pas voir, et vous vous retrouvez avec des doubles réservations et des clients refoulés en l’espace de quelques heures. Une panne de plusieurs jours pendant une période de forte affluence peut coûter plus cher en réservations perdues ou mal gérées que n’importe quelle rançon. Viennent ensuite les coûts de reprise : spécialistes de la réponse aux incidents, enquête informatique légale, reconstruction des systèmes à partir de sauvegardes intactes, et heures supplémentaires du personnel pour assurer la gestion manuelle en attendant. Viennent ensuite les aspects réglementaires et juridiques : les sanctions prévues par la directive NIS2 pour les entités concernées sont lourdes (pour les entités essentielles, les amendes peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu), l’exposition au RGPD en cas de violation des données des clients, ainsi que le coût lié à la notification et à l’accompagnement des clients concernés.
Et enfin, le coût qu’aucun tableur ne permet de quantifier clairement : la réputation. « Cet hôtel a divulgué les détails de mon passeport et de ma carte bancaire » : voilà le genre d’histoire qui poursuit un établissement dans les avis clients et la presse pendant des années. Payer la rançon ne résout pas non plus ces problèmes de manière fiable ; les outils de décryptage fournis par les cybercriminels sont souvent lents ou incomplets, le fait de payer fait de vous une cible facile pour le prochain groupe de pirates, et cela ne change rien au sort des données déjà volées. Les arguments économiques en faveur de la prévention sont écrasants, précisément parce que les conséquences négatives sont bien plus importantes et complexes que ne le laisse supposer le montant de la rançon annoncé dans les gros titres. Dépenser quelques milliers pour l’authentification multifactorielle (MFA), les sauvegardes et la segmentation constitue une assurance peu coûteuse contre un mois catastrophique pouvant se chiffrer en centaines de milliers ou en millions.
Le délai de signalement : 24 heures, 72 heures, un mois
Pour les entités concernées, la directive NIS2 ne se contente pas de vous demander d’assurer votre sécurité ; elle impose la rapidité avec laquelle vous devez alerter les autorités lorsque ce n’est pas le cas. Le délai est plus court que ne le supposent la plupart des opérateurs, et il commence dès l’instant où une personne sur place se rend compte qu’un incident majeur est en cours.
Dans les 24 heures : l’alerte précoce. Dès que vous avez connaissance d’un incident significatif, vous devez adresser une alerte précoce à votre autorité nationale ou à votre CSIRT, avant même d’avoir pleinement compris ce qui s’est passé. L’essentiel est la rapidité, pas l’exhaustivité ; le régulateur souhaite savoir rapidement qu’un événement grave est en cours.
Dans les 72 heures : la notification de l’incident. Un rapport plus complet suit, comprenant une première évaluation de la gravité, de l’impact et de tout indicateur de compromission. À ce stade, vous devriez avoir mobilisé votre équipe d’intervention en cas d’incident et avoir une idée précise de l’ampleur de l’incident.
Dans un délai d’un mois : le rapport final. Un compte rendu détaillé de l’incident, de sa cause première, des mesures prises et de son impact. Cela permet de boucler la boucle avec l’autorité de régulation. Parallèlement, si des données à caractère personnel ont été exposées (ce qui est presque toujours le cas lors d’une violation dans un hôtel), le délai de 72 heures prévu par le RGPD pour notifier l’autorité de protection des données s’applique également, et vous devrez peut-être informer directement les clients concernés. Il s’agit d’obligations distinctes envers des autorités différentes, qui se chevauchent dans le temps ; c’est précisément pour cette raison qu’il est impossible de déterminer qui doit contacter qui pendant l’incident lui-même.
La leçon opérationnelle est sans appel : les décisions relatives au signalement doivent être prises à l’avance. Qui signale un incident, qui contacte l’autorité, quelle autorité, avec quelles informations, à quel numéro : tout cela doit figurer dans un plan écrit que vous pouvez mettre en œuvre à 3 heures du matin sans avoir un avocat en numérotation rapide. Un établissement qui n’a jamais réfléchi à cette question dépassera le délai de 24 heures, simplement parce que personne ne savait qu’il lui incombait de passer cet appel.
La responsabilité de la direction et pourquoi le directeur général ne peut pas déléguer cette tâche
Le changement apporté par la directive NIS2 qui devrait le plus préoccuper les propriétaires et les directeurs généraux n’est absolument pas d’ordre technique. Il réside dans le fait que la directive place la gouvernance en matière de cybersécurité sous la responsabilité directe de l’organe de direction et rend cette responsabilité personnelle. La direction doit approuver les mesures de gestion des risques cybernétiques de l’organisation, superviser leur mise en œuvre et peut être tenue pour responsable en cas de manquement à cette obligation. La directive exige également que les dirigeants suivent une formation en cybersécurité afin qu’ils puissent réellement comprendre les risques qu’ils approuvent.
En clair : un directeur général ne peut plus se contenter de dire « c’est le travail du service informatique » et considérer que le sujet est clos. Vous pouvez déléguer cette tâche à une équipe interne ou à un prestataire externe, mais la responsabilité de veiller à ce qu’elle soit menée à bien, ainsi que les conséquences en cas de manquement, vous incombent. Les transpositions nationales renforcent cette exigence en prévoyant des amendes importantes et, dans certains cas, la possibilité d’exclure temporairement des personnes de fonctions de direction en cas de manquements graves. Il s’agit là d’un choix délibéré de l’UE : l’expérience a montré que la sécurité souffrait d’un manque de ressources tant qu’elle se situait deux échelons en dessous des responsables du budget ; la directive NIS2 l’a donc hissée au sommet de l’organigramme.
Pour un hôtel indépendant, il s’agit moins d’une question de crainte que de prise en charge. Une personne dotée d’autorité doit s’approprier le risque cyber de la même manière qu’elle s’approprie la sécurité incendie ou l’hygiène alimentaire : en tant que responsabilité clairement définie, assortie d’un budget, d’un plan et d’un suivi périodique, et non comme une réflexion après coup qui ne refait surface que lorsqu’un incident survient. La bonne nouvelle, c’est que les contrôles permettant de s’acquitter de cette obligation sont pour la plupart banals et abordables, ce qui fera l’objet de la suite de cet article. L’obligation est sérieuse ; s’en acquitter n’a rien d’exotique.
Les mesures qui font réellement la différence
Le marketing de la cybersécurité cherche à vous vendre tout un arsenal d’acronymes. En réalité, ce sont quelques mesures de sécurité peu spectaculaires qui bloquent la grande majorité des attaques réelles contre les hôtels, et elles sont bien plus importantes que n’importe quel produit pris isolément. Voici celles qui méritent en priorité votre attention et votre budget.
Identité, authentification multifactorielle (MFA) et le problème du RDP
La plupart des violations de sécurité dans les hôtels ne relèvent pas d’une grande ingéniosité ; il s’agit d’un mot de passe valide utilisé là où il n’aurait pas dû fonctionner. Deux mesures permettent de neutraliser l’essentiel de ce problème. Premièrement, imposez l’authentification multifactorielle (MFA) sur tous les comptes importants : connexions au PMS, messagerie électronique, accès à distance, comptes administrateurs, etc. Avec la MFA, un mot de passe volé est à lui seul inutile. Deuxièmement, retirez l’accès au Bureau à distance (RDP) de l’Internet public. Si le personnel ou les prestataires ont besoin d’un accès à distance, faites-le passer par un VPN ou une passerelle « zero-trust » avec authentification multifactorielle, et n’exposez jamais directement le RDP. Associez cela à des règles élémentaires de sécurité des mots de passe (pas de comptes partagés, pas de « Welcome2024 » sur le compte administrateur, un gestionnaire de mots de passe pour que chacun puisse disposer de mots de passe forts et uniques) et vous aurez fermé la porte par laquelle passent les attaques les plus courantes. Il s’agit là de la mesure de sécurité la plus rentable qu’un hôtel puisse mettre en place, et elle ne coûte presque rien.
Des sauvegardes à partir desquelles vous pouvez réellement restaurer vos données
Ce sont les sauvegardes qui déterminent si une attaque par ransomware se résume à une mauvaise semaine ou marque la fin de l’activité. Mais le détail qui échappe souvent aux gens, c’est que la sauvegarde doit être à la fois hors ligne ou immuable, et testée. Les attaquants recherchent spécifiquement les sauvegardes connectées pour les chiffrer avant de déclencher le ransomware ; ainsi, un disque de sauvegarde branché en permanence sur le serveur n’offre aucune protection. Vous avez besoin de copies hors de portée des attaquants : hors ligne, ou dans un stockage cloud immuable qui ne peut être ni modifié ni supprimé pendant la période de conservation. Et vous devez tester la restauration régulièrement, car le pire moment pour découvrir que vos sauvegardes sont corrompues ou incomplètes, c’est le matin même où vous en avez réellement besoin. Une sauvegarde à partir de laquelle vous n’avez jamais effectué de restauration n’est qu’un espoir, pas un plan.
Segmentation du PMS, des TPV et du Wi-Fi client
La segmentation du réseau est le contrôle qui limite l’étendue de la propagation d’une intrusion. Le principe est simple : les éléments qui n’ont pas besoin de communiquer entre eux ne doivent pas se trouver sur le même réseau. Le Wi-Fi des clients doit être isolé de tout ce qui est opérationnel, afin qu’un ordinateur portable infecté d’un client ne puisse pas accéder au PMS. Les terminaux de paiement doivent appartenir à leur propre segment. Les systèmes de back-office et le PMS doivent être séparés de la navigation générale du personnel. Lorsque l’ordinateur de la réception est compromis, c’est la segmentation qui empêche l’attaquant d’atteindre les serveurs et les systèmes de paiement en un seul saut. Elle transforme une violation potentielle totale en une violation circonscrite, et il s’agit principalement de configurer correctement l’équipement dont vous disposez déjà plutôt que d’acheter du matériel neuf.
Données de paiement, tokenisation et réduction de la portée de l’attaque
Les données les plus dangereuses à conserver sont celles dont vous n’avez pas besoin. Les numéros de carte bruts en sont l’exemple le plus flagrant. Si vos systèmes stockent ou traitent, ne serait-ce que brièvement, les détails complets d’une carte, une violation les expose et votre responsabilité est lourde. La solution réside dans la tokenisation : votre prestataire de paiement conserve les données réelles de la carte dans son coffre-fort sécurisé et transmet à votre PMS un jeton dénué de sens qui représente la carte sans pouvoir être utilisé en cas de vol. Si cela est correctement mis en œuvre, le numéro de carte sensible ne circule jamais sur votre réseau.
C’est la logique de sécurité qui sous-tend la norme PCI DSS, et c’est pourquoi une infrastructure de paiement moderne et tokenisée constitue autant un contrôle de sécurité qu’un gain de commodité pour les paiements. Lorsqu’un pirate s’introduit dans votre système et cherche à voler des données de carte, il ne trouve rien d’utilisable à emporter. Ce simple choix architectural élimine entièrement de votre périmètre de risque la catégorie de données la plus convoitée et la plus strictement réglementée. Cela ne vous rend pas invincible, car le reste du dossier client (passeports, adresses, historique des séjours) reste précieux et doit toujours être protégé, mais cela met hors de portée vos « joyaux de la couronne ». Tout hôtel qui laisse encore des numéros de carte complets passer par son PMS ou figurer dans un tableur devrait considérer la résolution de ce problème comme une urgence, et non comme un simple point de son plan d’action.
Fournisseurs, gestionnaire de canaux de distribution et risques liés aux tiers
La sécurité de votre établissement n’est aussi solide que le fournisseur le plus vulnérable connecté à vos systèmes, et un hôtel en compte de nombreux. Le gestionnaire de canaux de distribution, le moteur de réservation, la passerelle de paiement, la plateforme de gestion des serrures, les outils marketing, la société de support informatique : chacun dispose d’un accès ou détient des données, et une faille chez l’un d’entre eux peut se répercuter sur votre établissement. La directive NIS2 formalise cela en une obligation de gestion des risques liés aux fournisseurs, mais il s’agit simplement de bon sens, que la directive mentionne ou non votre établissement.
Pour gérer ces risques, vous n’avez pas besoin d’un service des achats. Il suffit de poser à vos fournisseurs clés une série de questions courtes et précises, puis d’agir en fonction de leurs réponses. Où nos données sont-elles stockées, et sont-elles chiffrées ? Imposez-vous l’authentification multifactorielle (MFA) pour accéder à notre environnement ? Avez-vous déjà subi une faille de sécurité, et comment l’avez-vous gérée ? Quelles certifications ou évaluations de sécurité indépendantes pouvez-vous me présenter ? Dans quel délai nous informerez-vous en cas de compromission ? Un fournisseur sérieux répondra volontiers à ces questions et pourra même vous proposer de son propre chef un aperçu de sa sécurité ou une certification reconnue. Un fournisseur qui se montre sur la défensive ou évasif vous en dit long. Privilégiez les partenaires qui considèrent la sécurité comme un atout dont ils sont fiers plutôt que comme une contrainte qu’ils déplorent, car dans une infrastructure interconnectée, leur hygiène de sécurité devient votre risque.
Rédiger un plan d’intervention en cas d’incident que peut mettre en œuvre un auditeur de nuit
Le seul document qui fait la différence entre un incident maîtrisé et un incident chaotique est un plan d’intervention écrit qu’un membre du personnel non technique peut suivre à l’heure la plus inopportune. Les attaques ne respectent pas les horaires de bureau ; elles frappent souvent la nuit et pendant les jours fériés, précisément parce que l’équipe réduite est la moins préparée. Le plan doit donc être utilisable par toute personne effectivement de service, et pas seulement par le prestataire informatique qui est en train de dormir.
Restez concret. Le plan doit énumérer les trois premières mesures que n’importe qui peut prendre : déconnecter les machines affectées du réseau (débrancher le câble, désactiver le Wi-Fi) pour stopper la propagation sans les éteindre, ce qui pourrait détruire des preuves numériques ; appeler la personne désignée comme contact en cas d’incident ; et commencer un simple journal écrit décrivant ce qui a été observé et à quel moment. Il doit indiquer qui appeler, avec les noms réels et les numéros de téléphone : le responsable interne, le prestataire informatique ou le prestataire de services d’intervention en cas d’incident, la ligne d’assistance de l’assureur cyber, ainsi que l’autorité compétente pour le rapport juridique. Il doit rappeler au personnel ce qu’il ne faut pas faire : ne rien payer, ne pas négocier, ne pas effacer les données des machines, ne pas parler à la presse. Et il doit aborder la continuité opérationnelle : comment enregistrer et faire partir les clients manuellement, comment encaisser les paiements si le système est hors service, comment empêcher les agences de voyage en ligne (OTA) de sur-vendre des chambres que vous ne pouvez plus voir.
Ensuite, faites ce que presque personne ne fait : organisez une simulation. Un exercice de simulation de 30 minutes au cours duquel vous guidez l’équipe de la réception à travers le scénario « le PMS est verrouillé et il y a une demande de rançon, que faire maintenant ? » permet de mettre en évidence les lacunes tant qu’elles sont encore faciles à combler. Un plan qui n’a jamais été lu à haute voix est un plan qui sera retrouvé, non lu, lors de l’événement même pour lequel il a été rédigé. Imprimez-le. Déposez-en un exemplaire à la réception. Assurez-vous que le personnel de nuit sache qu’il existe et où il se trouve.
Un plan de préparation aux cyberattaques en 30 jours
Un mois suffit pour faire passer un établissement indépendant type d’un état de vulnérabilité à un état de véritable protection, sans consultant et sans budget important. Un seul responsable doté de l’autorité nécessaire peut mener ce projet à bien, en faisant appel au prestataire informatique pour les étapes techniques.
Jours 1 à 5 : faites l’inventaire de vos ressources. Dressez la liste de tous les systèmes contenant des données clients ou traitant des paiements, de tous les comptes disposant d’un accès à distance ou d’un accès administrateur, ainsi que de tous les fournisseurs connectés à votre réseau. Vous ne pouvez pas protéger ce que vous n’avez pas répertorié, et cette liste constitue également la base de l’évaluation des risques attendue par la norme NIS2. Notez quelles machines exécutent des logiciels qui ne reçoivent plus de mises à jour de sécurité.
Jours 6 à 12 : fermez les portes les plus exposées. Activez l’authentification multifactorielle (MFA) partout où elle est disponible, en commençant par la messagerie électronique, l’accès à distance et le PMS. Retirez le RDP de l’Internet public. Supprimez les identifiants partagés et réinitialisez les mots de passe administrateur faibles. Cette semaine à elle seule permet d’éliminer les failles les plus exploitées, et il s’agit principalement de configuration, et non d’achats.
Jours 13 à 18 : corrigez les sauvegardes. Vérifiez que vous disposez de sauvegardes du PMS et des systèmes critiques qui sont hors ligne ou immuables, puis testez concrètement une restauration. Si la seule sauvegarde est un disque dur branché sur le serveur, corrigez cela en premier lieu. Documentez les étapes de restauration afin qu’elles puissent être suivies en situation de crise.
Jours 19 à 23 : segmentez et appliquez les correctifs. Séparez le Wi-Fi des clients des systèmes opérationnels, placez les paiements sur leur propre segment et appliquez les mises à jour de sécurité en attente aux systèmes qui peuvent les prendre en charge. Prévoyez le remplacement de tout élément fonctionnant avec des logiciels en fin de vie qui ne peuvent pas être corrigés.
Jours 24 à 28 : rédigez le plan d’intervention et vérifiez les fournisseurs. Rédigez une ébauche du plan d’intervention d’une page avec des noms et numéros réels, et envoyez à vos fournisseurs clés le questionnaire de sécurité succinct. Déterminez si une cyberassurance est pertinente compte tenu de la taille de votre entreprise et de vos risques.
Jours 29 à 30 : attribuez les responsabilités et organisez des simulations. Désignez la personne responsable des risques cybernétiques, inscrivez une revue trimestrielle au calendrier et organisez un exercice de simulation de 30 minutes avec l’équipe d’accueil. À la fin du mois, vous ne serez pas invulnérables – personne ne l’est –, mais vous aurez bouclé les failles exploitées par les attaques réelles et vous disposerez d’un plan pour le jour où l’une d’elles parviendrait à passer. C’est là la définition réaliste de « terminé ».
Le rôle de Prostay, en bref et en toute honnêteté
J’écris pour Prostay, voici donc la version sans détours. Un système de gestion hôtelière (PMS) est au cœur de ce tableau, car il contient les données des clients convoitées par les pirates et c’est son indisponibilité qui paralyse l’activité. La posture de sécurité de votre fournisseur de PMS fait donc partie de votre risque, que vous le voyiez ainsi ou non. Prostay fonctionne comme une plateforme cloud dotée des contrôles que l’on est en droit d’attendre d’un fournisseur sérieux : chiffrement des données en transit et au repos, authentification multifactorielle (MFA) à l’accès, paiements tokenisés afin que les données brutes des cartes bancaires n’atteignent jamais l’environnement de l’établissement, infrastructure auditée et sauvegardes gérées, de sorte qu’une partie de la charge mentionnée ci-dessus est prise en charge par la plateforme plutôt que laissée à la réception. Rien de tout cela n’est propre à Prostay ; des fournisseurs de PMS cloud réputés comme Mews et Cloudbeds prennent des engagements similaires, et vous devriez leur poser à tous les mêmes questions pointues que celles de la section « Fournisseurs » ci-dessus.
L’argument de fond en faveur d’une plateforme cloud moderne par rapport à un serveur sur site traditionnel dans les services administratifs est qu’elle transfère une grande partie des tâches de sécurité les plus complexes (application de correctifs, renforcement de l’infrastructure, sauvegardes, traitement des données de paiement) à un prestataire qui s’en charge à plein temps, ce qu’un hôtel de 40 chambres sans service informatique ne peut tout simplement pas gérer seul. Cela ne vous décharge pas de vos obligations : vous restez responsable de l’authentification multifactorielle (MFA) de vos comptes, de votre plan d’intervention en cas d’incident, de la formation de votre personnel et de la gestion de vos fournisseurs. Mais cela réduit la surface que vous devez défendre personnellement. Si vous souhaitez découvrir comment le PMS Prostay gère les données des clients et les paiements, vous trouverez toutes les informations sur la page dédiée au produit. Si vous préférez que notre équipe passe en revue votre infrastructure actuelle à l’aide de la liste de contrôle ci-dessus, réservez une démonstration : nous aborderons les questions concrètes plutôt que de vous vendre une mise à niveau motivée par la peur.
Foire aux questions
Les cinq questions les plus fréquemment posées par les hôteliers indépendants au sujet de la cybersécurité et de la directive NIS2, auxquelles nous répondons en nous appuyant sur la directive et sur la manière dont les attaques se déroulent réellement, plutôt que sur les arguments alarmistes des fournisseurs.
