Les entreprises du secteur de l'hôtellerie et de la restauration conservent, transmettent et réexaminent constamment des paiements, et chacune de ces opérations est exposée à un risque de fraude. Les hôtels conservent les données des cartes des clients dans leurs dossiers pour les surclassements, les retenues liées au minibar et les départs tardifs. Les restaurants gèrent des milliers de transactions par carte par jour, le plus souvent sur des terminaux connectés à plusieurs établissements. Les spas et les villages vacances acceptent des versements plusieurs mois à l'avance. Ces transactions constituent des opportunités pour les criminels désireux de détourner des informations de carte, d'intercepter des transactions ou de tirer profit du système de réservation d'une entreprise.

Lorsqu'une violation se produit, elle coûte de l'argent à l'entreprise, crée des problèmes de conformité et nuit à l'image de marque et à la fidélité des clients. Une entreprise hôtelière américaine, par exemple, a accepté en 2024 de payer 52 millions de dollars de dédommagement dans le cadre d'un règlement amiable à la suite de violations de données qui ont touché plus de 300 millions de clients dans le monde.

Nous allons passer en revue les risques auxquels sont confrontées les entreprises du secteur de l'hôtellerie et de la restauration et vous expliquer comment les gérer à temps, notamment en verrouillant les données de paiement sans ralentir l'expérience client.

Sommaire

• Pourquoi la sécurité des paiements est-elle si importante dans le secteur de l'hôtellerie et de la restauration ?
  
• Quels sont les principaux risques liés aux données de paiement dans le secteur de l'hôtellerie et de la restauration ?
  
• Comment les entreprises du secteur de l'hôtellerie et de la restauration peuvent-elles protéger leurs systèmes de paiement ?
  

Pourquoi la sécurité des paiements est-elle si importante dans le secteur de l'hôtellerie et de la restauration ?

Le secteur de l'hôtellerie et de la restauration est confronté à des problèmes importants en matière de sécurité des paiements. Qu'il s'agisse de la réservation d'une chambre, de l'ouverture d'une facture liée au minibar ou du départ d'un village vacances, chaque transaction fait partie intégrante de l'expérience client. Contrairement au commerce de détail ou à l'e-commerce, les paiements liés à l'hôtellerie sont souvent liés à de longs séjours, à des transactions de grande valeur et à différents types de données personnelles.

Voici les raisons pour lesquelles la sécurité des paiements constitue un enjeu de taille pour les entreprises de ce secteur.

Une fenêtre de paiement rallongée

Lorsqu'un client s'enregistre dans un hôtel, sa carte reste enregistrée pendant des jours (si ce n'est plus), ce qui est le cas dans peu d'autres secteurs. La période à risque est donc plus longue.

Les informations de paiement sont enregistrées sur plusieurs canaux

Les hôtels et les villages vacances acceptent les paiements par carte en personne à la réception, mais ils acceptent également les dépôts en ligne, traitent les frais connexes en cours de séjour, règlent les factures via des applications et gèrent des programmes de récompenses qui enregistrent les données des cartes. Chaque canal de paiement supplémentaire constitue une nouvelle surface potentiellement vulnérable aux attaques.

Les transactions de grande valeur constituent une cible de choix

Un fast-food qui traite des commandes de 10 $ présente généralement moins d'intérêt pour les fraudeurs qu'un hôtel de luxe traitant des réservations de 5 000 $. Les cybercriminels sont attirés par l'argent, et les entreprises du secteur de l'hôtellerie, en particulier celles qui gèrent des réservations premium, des comptes d'entreprise ou des séjours prolongés, constituent des cibles lucratives. Une seule violation peut exposer un volume important de données de paiement à la fois, réparties parfois sur plusieurs établissements si les systèmes ne sont pas correctement segmentés.

Les criminels peuvent également cibler les informations personnelles

Dans le secteur de l'hôtellerie, la sécurité des paiements ne se résume pas à la protection des numéros de carte. Elle nécessite la protection complète du profil du client : nom, adresse e-mail, numéro de téléphone, adresse personnelle, détails du passeport et parfois même habitudes de voyage. Ce type de données personnelles est une mine d'or pour les usurpateurs d'identité. Même si les criminels ne sont pas en mesure d'utiliser un numéro de carte bancaire volé, ils peuvent toujours vendre les informations personnelles d'un client à des fins de fraude ou d'hameçonnage.

Les dommages causés à la réputation sont difficiles à faire oublier

L'hôtellerie repose sur la confiance. Séjourner dans un hôtel ou un village vacances et interagir avec le personnel en personne crée une expérience client plus personnelle que celle d'un achat en ligne. Une violation peut ébranler la confiance des clients d'une manière que les remises et les campagnes de relations publiques ne peuvent pas toujours réparer.

Quels sont les principaux risques liés aux données de paiement dans le secteur de l'hôtellerie et de la restauration ?

Contrairement à l'e-commerce, où les paiements sont principalement en ligne et automatisés, le secteur de l'hôtellerie repose sur un mélange d'interactions humaines, de technologies traditionnelles et des paiements en attente pendant de longues périodes. Ces éléments créent des failles que les criminels peuvent exploiter. Voici quelques-unes des tactiques les plus couramment utilisées par les cybercriminels pour accéder aux entreprises du secteur de l'hôtellerie.

Violations du système de réservation tiers

Même si un hôtel verrouille son propre système de paiement, celui-ci est souvent connecté à des plateformes tierces pour les réservations, les services de spa, les restaurants ou les demandes de conciergerie. Chaque intégration est un potentiel maillon faible. Les criminels peuvent découvrir que le point d'accès le plus simple est un prestataire de faible envergure, négligé et doté d'un système de sécurité moins fiable.

Manipulation du personnel

Le secteur de l'hôtellerie et de la restauration a un taux de roulement du personnel élevé, du personnel saisonnier et une main-d'œuvre qui peut être davantage formée au service à la clientèle qu'à la sécurité. Les cybercriminels peuvent exploiter cet aspect en recourant à l'ingénierie sociale, autrement dit en usurpant l'identité des directeurs d'hôtel, du service informatique ou même des clients pour inciter les employés à donner leurs identifiants de connexion ou à contourner les protocoles de sécurité.

Fraude interne

Dans les restaurants, les bars et les hôtels, les employés ont parfois un accès direct aux terminaux de paiement. Cela signifie qu'un initié mal intentionné peut mettre la main sur les données de paiement des clients et mettre en œuvre un stratagème de fraude plus grave, en dérobant des milliers de données de clients à la fois.

Attaques au point de vente (PDV)

De nombreuses entreprises du secteur de l'hôtellerie et de la restauration s'appuient sur des systèmes de PDV connectés à plusieurs établissements. Si un logiciel malveillant infecte un terminal, il peut rapidement se propager à tous les autres systèmes PDV du réseau. Ces attaques sont particulièrement dangereuses, car elles ne se contentent pas de voler les données à un seul endroit, elles transforment chaque point de paiement en une fuite potentielle. En 2015, par exemple, une entreprise hôtelière américaine a découvert que son système de traitement des paiements était infecté par un logiciel malveillant utilisé pour dérober des informations de carte bancaire, ce qui aurait pu toucher des centaines de ses hôtels.

Comment les entreprises du secteur de l'hôtellerie et de la restauration peuvent-elles protéger leurs systèmes de paiement ?

S'il est important de suivre les conseils habituels pour améliorer la sécurité des paiements, p. ex. le chiffrement des transactions ou la conformité constante à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS), cela n'est pas suffisant pour les entreprises du secteur de l'hôtellerie. Les hôtels ou les restaurants qui ne font que suivre les listes de contrôle de conformité restent vulnérables. Pour une sécurité digne de ce nom, il est impératif de concevoir les paiements de manière à réduire l'exposition et les failles, et de compliquer la tâche des criminels, le tout sans perturber l'expérience client ni sacrifier l'aspect pratique.

Voici quelques mesures concrètes.

Masquer les données de paiement avant que les criminels ne puissent les voler

La tokenisation permet de remplacer les informations de paiement sensibles par une chaîne de caractères aléatoires appelée « jeton ». Si un hacker s'introduit dans votre système, il ne trouvera aucun numéro de carte de crédit, mais seulement des jetons inutiles. Grâce à la tokenisation, vous avez la certitude que même en cas d'intrusion, les criminels n'auront rien de précieux à dérober. Faites appel à un prestataire de services de paiement qui intègre la tokenisation.

Limiter les accès des personnes et des programmes aux données de paiement

De nombreuses violations se produisent lorsqu'un criminel découvre une faille ailleurs que dans le système de traitement des paiements, p. ex. une connexion non protégée d'un employé, une ancienne intégration ou un fournisseur tiers dont la sécurité est défaillante. Les entreprises du secteur de l'hôtellerie et de la restauration peuvent réduire leurs risques en :

• réduisant au strict nécessaire les autorisations accordées à chaque rôle

• empêchant son système de PDV de partager un réseau avec le Wi-Fi d'un client

• s'abstenant de conserver dans le même système les données de paiement et les informations de fidélisation de la clientèle

• vérifiant des mesures de sécurité des fournisseurs tiers

Concevoir des systèmes intelligents pour éviter les erreurs des employés

Qu'il s'agisse de cliquer sur un e-mail d'hameçonnage ou de tomber dans le piège d'un appel téléphonique de pirates informatiques se faisant passer pour un support informatique, miser sur l'erreur humaine est parfois le moyen le plus simple pour les criminels. Au lieu de vous contenter de former les employés à être plus prudents, concevez des systèmes qui limitent le risque d'erreur en premier lieu :

• Utilisez l'authentification à deux facteurs (2FA) pour les connexions aux paiements. Même si le mot de passe d'un employé est volé, l'authentification à 2 facteurs bloque l'accès.

• Limitez l'accès aux e-mails sur les systèmes de point de vente. S'il est impossible de consulter des e-mails sur les ordinateurs de la réception ou les terminaux des restaurants, les tentatives d'hameçonnage deviennent moins problématiques.

Remplacer le matériel obsolète avant que les criminels ne l'exploitent

Dans l'hôtellerie, le matériel est tout aussi vulnérable que le logiciel. Les hôtels et les restaurants s'appuient sur des terminaux de PDV, des lecteurs de cartes et des systèmes à cartes clés, qu'il est impératif de mettre à jour régulièrement. Si le matériel est obsolète, les criminels ont moins de mal à détourner les données des cartes, à installer des logiciels malveillants ou à passer à travers d'un chiffrement faible. Songez aux mesures suivantes :

• Mettez à niveau vos terminaux de PDV vers des modèles prenant en charge le chiffrement de bout en bout (E2EE) et la norme EMV (carte à puce).

• Remplacez les lecteurs de cartes ou les bornes d'enregistrement dont le micrologiciel n'a pas reçu de mise à jour récente.

• Acceptez Tap to Pay et les moyens de paiement mobiles (comme les wallets) afin de réduire la dépendance aux cartes physiques, qui sont plus faciles à compromettre.