Des professionnels du camping inscrits sur l'espace pro d'HPA Guide ont vu certaines de leurs informations consultées sans autorisation. L'exploitant de l'annuaire a confirmé l'incident dans un communiqué publié le 28 mai 2026, deux jours après la diffusion sur un forum cybercriminel d'une base de 3 253 comptes ou contacts professionnels.
Un défaut de contrôle d'accès dans l'espace professionnel d'HPA Guide
HPA Guide est un annuaire en ligne consacré à l'hôtellerie de plein air, qui référence des campings en France. Il met à disposition des établissements un espace professionnel pour ajouter ou modifier leur fiche. Selon le communiqué, un défaut de contrôle d'accès dans cet espace a permis de consulter sans autorisation des fiches d'utilisateurs. Le problème a été découvert et corrigé le 27 mai 2026. Environ 3 200 comptes professionnels seraient concernés.
Ce que l'exploitant écarte
L'exploitant précise que les visiteurs du site public ne font pas partie des personnes touchées, et qu'aucune donnée bancaire ni aucun mot de passe n'est en cause. Il fait état d'une notification à la CNIL dans le délai de 72 heures. Les données exposées se limitent au nom complet, à la civilité, à l'adresse électronique, au numéro de téléphone et à un identifiant interne.
Ces informations restent simples, mais elles désignent des personnes associées à des établissements de camping, joignables directement. Elles permettent de leur adresser des courriels ou des appels frauduleux crédibles, par exemple au nom de l'annuaire pour une prétendue mise à jour de fiche, ou au nom d'un prestataire du secteur, à l'approche d'une saison où ces établissements sont très sollicités.
Détails techniques :
- 3 253 comptes ou contacts professionnels dans la base diffusée le 26 mai 2026
- Défaut de contrôle d'accès de l'espace professionnel, découvert et corrigé le 27 mai 2026
- Communiqué publié le 28 mai 2026 : environ 3 200 comptes professionnels concernés
- Notification à la CNIL dans le délai de 72 heures
- Hors périmètre selon l'exploitant : données bancaires, mots de passe, visiteurs du site public
Données concernées :
- Nom complet et civilité
- Adresse email
- Numéro de téléphone
- Identifiant interne
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise