L'UE ouvre une procédure DSA contre Booking.com pour fausses annonces et phishing

La Commission européenne a ouvert le 21 octobre une procédure formelle contre Booking.com au titre du règlement sur les services numériques (DSA). Bruxelles soupçonne la plateforme de ne pas avoir correctement évalué ni limité les risques liés aux fausses annonces d'hébergement et au phishing qui exploite les données de réservation des clients. Un troisième volet porte sur les annonces mises en avant contre paiement mais pas clairement signalées comme publicité.

« Les Européens doivent pouvoir réserver leurs vacances sans se faire escroquer », a déclaré Henna Virkkunen, vice-présidente exécutive de la Commission chargée de la souveraineté technologique, rapporte heise. Booking.com est une très grande plateforme en ligne au sens du DSA depuis avril 2023, ce qui signifie plus de 45 millions d'utilisateurs mensuels dans l'UE. Si les manquements sont confirmés, l'amende peut atteindre 6 % du chiffre d'affaires mondial annuel.

Ce que Bruxelles va examiner

Le premier volet concerne les fausses annonces : logements inexistants, usurpation de vrais hôtels et offres contraires aux règles locales. La Commission vérifiera si Booking.com a évalué ces risques et retiré efficacement ces annonces. Selon heise, l'Espagne a récemment vu des annonces pour des logements qui n'existaient pas du tout.

Le deuxième volet touche directement le portefeuille des clients. La Commission examinera comment les données de réservation et des clients sont transmises aux hébergeurs, comment est conçue la messagerie de Booking.com et si les garde-fous suffisent pour empêcher leur utilisation à des fins de phishing et de fausses demandes de paiement. Le troisième volet porte sur la publicité : un hôtel peut monter dans les résultats en payant une commission plus élevée, et le DSA exige que l'utilisateur voie clairement qu'il s'agit d'une publicité et qui l'a payée.

Les manquements présumés relèvent des articles 34 et 35 du DSA sur les risques systémiques et de l'article 26, paragraphe 1, sur la transparence publicitaire. L'affaire fait suite à des demandes formelles d'informations envoyées le 23 septembre 2025 et le 26 mai 2026. Aucun délai n'est fixé : la Commission peut envoyer de nouvelles demandes, interroger des employés, mener des inspections, imposer des mesures provisoires ou accepter des engagements de l'entreprise. Booking.com a indiqué à la dpa « coopérer pleinement ». La même procédure vise déjà d'autres plateformes, comme TikTok pour les comptes de mineurs.

Comment l'arnaque atteint les clients

En avril 2026, Booking.com a averti ses clients que des « tiers non autorisés » avaient accédé à des données de réservation : noms, adresses e-mail et postales, numéros de téléphone et détails des séjours. Selon Malwarebytes, les criminels sont passés par des hôtels partenaires et non par Booking.com lui-même. Microsoft attribue des attaques contre le personnel hôtelier à un groupe qu'il appelle Storm-1865, qui installait des logiciels d'accès à distance via de fausses pages CAPTCHA.

Avec l'identifiant d'un hôtel, l'escroc écrit aux clients dans la messagerie même de la plateforme. L'Office fédéral suisse de la cybersécurité (OFCS) a décrit deux variantes en juin. Dans la première, « Booking.com » ou « l'hôtel » propose sur WhatsApp un remboursement ou un cashback à la suite d'une erreur. Dans la seconde, on annonce au client que sa réservation sera annulée s'il ne vérifie pas immédiatement sa carte ou ne verse pas un acompte. Les deux mènent à une fausse page de paiement qui récupère les données de carte.

Ce qui aide, selon l'OFCS et Booking.com :

• Ne vous fiez pas à un message parce qu'il cite vos dates, votre hôtel et votre chambre : ce sont précisément les données qui ont fuité.
• N'ouvrez pas les liens des messages sur un remboursement, une « vérification » ou un paiement urgent, même dans la messagerie de Booking.com.
• Vérifiez ce que vous devez payer et quand dans la confirmation de réservation, dans l'application ou sur le site que vous ouvrez vous-même.
• En cas de doute, appelez l'hôtel à un numéro que vous trouvez vous-même. Un remboursement n'exige jamais vos identifiants ni le scan d'un QR code.
• Si vous avez déjà saisi vos données de carte, appelez votre banque et faites bloquer la carte.