Les membres du programme de fidélité d'Accor ont été prévenus individuellement par courriel du piratage de l'un des prestataires du groupe, un incident de sécurité survenu le 11 juillet 2026. Un tiers malveillant y a accédé sans autorisation à un outil de consultation des données clients. Le groupe hôtelier français, qui exploite notamment les marques ibis, Novotel, Mercure, Pullman, Sofitel, Raffles et Fairmont, n'indique aucun volume dans ce message.
Ce qu'Accor a écrit aux membres de son programme de fidélité
La notification énumère les catégories susceptibles d'être concernées : l'identité, les coordonnées, les documents d'identité, les informations et avantages du programme de fidélité, les séjours et préférences de séjour, les préférences marketing et de communication, ainsi que les réponses aux enquêtes de satisfaction. Accor précise qu'aucune information bancaire ne figure parmi les données compromises.
Une base partielle mise en vente quelques jours plus tôt
Le 16 juillet 2026, une base clients partielle attribuée au groupe a été mise en vente sur un forum cybercriminel. L'annonce fait état de 162 437 lignes et s'accompagne d'un échantillon d'environ 1 150 fiches. D'après cette revendication, l'accès aurait été obtenu sur un outil interne à partir d'un compte employé, puis les fiches auraient été récupérées une à une en faisant défiler les numéros de clients, jusqu'à ce que les systèmes de surveillance repèrent l'opération et l'interrompent. Ce total reste invérifiable, la notification n'avançant aucun chiffre.
L'échantillon ne comporterait ni mot de passe ni coordonnée bancaire, mais une petite minorité de fiches contiendrait un numéro de pièce d'identité. Les clients concernés seraient surtout internationaux : ceux qui résident en France ne représenteraient qu'environ un dixième des fiches. Associés à l'historique des séjours et au niveau de fidélité, le nom et les coordonnées pourraient servir à rédiger de faux messages de réservation ou de points fidélité, d'autant plus crédibles qu'ils reprendraient des séjours réels.
Détails techniques :
- Incident situé au 11 juillet 2026 chez un prestataire du groupe, selon la notification
- Accès non autorisé à un outil de consultation des données clients
- 162 437 lignes annoncées lors de la mise en vente du 16 juillet 2026, total invérifiable
- Échantillon d'environ 1 150 fiches clients diffusé avec l'annonce
- Numéro de pièce d'identité présent sur une petite minorité de fiches de l'échantillon
- Environ un dixième des fiches concernant des clients résidant en France
- Aucune information bancaire concernée selon Accor
Données concernées :
- Nom complet et civilité
- Date de naissance, nationalité et langue
- Adresse email et numéro de téléphone
- Adresse postale, ville, code postal et pays
- Pièce d'identité
- Identifiant fiscal
- Identifiant interne
- Données de fidélité
- Historique de réservations (séjours et préférences de séjour)
- Montant
- Fiche client
- Données professionnelles
- Situation familiale
- Adresse IP
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise