Les voyageurs ayant réservé un séjour sur GreenGo ont reçu le 10 septembre 2026 un courrier les informant qu'un acteur non autorisé avait pu consulter leurs données pendant près d'un mois. Identité, coordonnées, réservations, messages et, pour certains, codes de cartes cadeaux figurent parmi les informations concernées.
Comment l'outil interne de GreenGo a été piraté
La plateforme française met en relation voyageurs et hôtes indépendants pour des séjours et des hébergements écoresponsables. Selon son courrier, l'incident vient d'une faille de Metabase, un logiciel professionnel de tableaux de bord et de statistiques utilisé en interne. Cette faille a été exploitée en août par une campagne de cyberattaques qui, d'après l'entreprise, a touché plusieurs milliers d'organisations dans le monde. L'accès s'est étendu du 9 août au 7 septembre 2026 : GreenGo indique l'avoir découvert ce jour-là à 19h20 et coupé le jour même. Elle précise qu'il s'est limité à de la lecture.
Des voyages, des messages et des cartes cadeaux
Les informations qui ont pu être consultées couvrent l'identité des clients (prénom, nom, date de naissance) et leurs coordonnées (adresse électronique, téléphone). Elles portent aussi sur leurs réservations et leurs séjours, et sur leur activité sur la plateforme : avis, favoris, messages échangés via la messagerie, parrainage. Pour les clients ayant acheté ou reçu une carte cadeau, le message, le montant, le bénéficiaire et le code de la carte sont également concernés.
Réunis, ces éléments permettent de composer un message très crédible, citant un séjour réel, une date ou un hébergement, pour réclamer un paiement ou des informations personnelles. Les codes de cartes cadeaux ont par ailleurs une valeur directe, et l'entreprise annonce le renouvellement de tous ces codes. GreenGo affirme ne stocker aucun numéro de carte bancaire et ne pas conserver les mots de passe en clair. Elle ne communique pas le nombre de personnes concernées, a notifié la CNIL et déposé plainte.
Détails techniques :
- Faille exploitée dans Metabase, logiciel de tableaux de bord utilisé en interne
- Accès non autorisé du 9 août au 7 septembre 2026, découvert le 7 septembre à 19h20 et coupé le jour même
- Accès limité à la lecture selon l'entreprise
- Aucun numéro de carte bancaire stocké, mots de passe non conservés en clair
- CNIL notifiée, plainte déposée, codes de cartes cadeaux renouvelés
Données concernées :
- Prénom et nom
- Date de naissance
- Adresse email et numéro de téléphone
- Fiche client
- Historique de réservations et de séjours
- Avis, favoris, parrainage et messages échangés via la messagerie
- Cartes cadeaux : message, montant, bénéficiaire et code
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise