Un hôtel concentre ce que recherchent les cybercriminels : des données personnelles (identités, passeports, coordonnées), des moyens de paiement, des systèmes opérationnels critiques et une forte dépendance à des prestataires. Surtout, il ne peut pas « s’arrêter » : un système de réservation ou d’enregistrement hors service se voit immédiatement.
Un cas qui illustre l’enjeu
En septembre 2023, MGM Resorts a subi une cyberattaque qui a touché son site web, ses systèmes de réservation en ligne et des services en établissement (machines à sous, terminaux de carte, distributeurs). Le groupe a estimé l’impact à environ 100 millions de dollars de perte d’EBITDAR ajusté, auxquels s’ajoutent moins de 10 millions de dollars de frais exceptionnels. Ce n’est pas un cas isolé par nature : c’est la démonstration qu’un incident cyber est d’abord un risque de perte d’exploitation.
La surface d’attaque d’un hôtel
- Système de gestion hôtelière (PMS), channel manager, moteur de réservation et plateformes de distribution.
- Encaissement et paiements par carte (exigences PCI DSS).
- Wi-Fi clients, caisses de restaurant, bornes, serrures connectées, caméras, gestion technique du bâtiment.
- Comptes de prestataires et de partenaires, accès à distance.
- Messagerie du personnel : l’hameçonnage reste la porte d’entrée la plus courante.
Cinq mesures prioritaires
- Authentification multifacteur sur les accès à distance, la messagerie et les comptes à privilèges.
- Segmentation du réseau : séparer le Wi-Fi clients, les systèmes de paiement, la gestion technique du bâtiment et le réseau administratif.
- Sauvegardes déconnectées, chiffrées et testées (restauration réelle).
- Maîtrise des accès des prestataires et mises à jour régulières.
- Un plan de réponse à incident et un mode dégradé exercé : enregistrement manuel, clés mécaniques, procédure de paiement alternative, communication aux clients.
Cadre juridique
Les données clients relèvent du RGPD dans l’Union européenne et de la nouvelle loi fédérale sur la protection des données (nLPD) en Suisse. En Suisse, depuis le 1er avril 2025, les exploitants d’infrastructures critiques doivent annoncer les cyberattaques à l’Office fédéral de la cybersécurité dans les 24 heures ; la plupart des hôtels n’en font pas partie, mais le signalement volontaire reste possible. Pour la directive européenne NIS2, nous vous invitons à faire confirmer par un conseil juridique si votre groupe est concerné.
Sources : GRC Report – MGM Resorts ; Conseil fédéral – obligation de signaler les cyberattaques.
Information générale, sans valeur de conseil juridique ni d’expertise. Les exigences applicables dépendent de votre site, de votre canton / pays et de votre assureur. Contactez-nous pour une analyse adaptée.
