Les bons réflexes pour protéger un établissement touristique

Réservations, paiements, fichiers clients, commandes fournisseurs, plannings, réseaux sociaux… Aujourd’hui, un hôtel, un restaurant, un camping ou un site de loisirs peut difficilement fonctionner sans outils numériques. Ces outils facilitent le travail quotidien, mais ils peuvent aussi rendre l’entreprise vulnérable lorsqu’ils sont mal protégés.

Il n’est pas nécessaire d’être informaticien pour agir. Cet article spécial Cybersécurité et Tourisme présente des situations concrètes et des mesures simples pour réduire les risques et mieux réagir en cas d’incident.

La cybersécurité protège votre activité

Lorsque l’on parle de cybersécurité, on imagine parfois des pirates très expérimentés qui attaquent de grandes entreprises. Pourtant, les petites structures sont également concernées.

Un cybercriminel ne choisit pas toujours précisément sa victime. Il peut envoyer, par exemple, le même message frauduleux à plusieurs milliers d’entreprises. Il lui suffit qu’une personne clique sur un lien ou communique son mot de passe pour réussir son attaque.

Les petites et moyennes entreprises sont particulièrement exposées lorsqu’elles disposent de peu de moyens techniques, utilisent des mots de passe trop simples ou ne possèdent pas de sauvegardes fiables.

Protéger vos outils numériques, c’est protéger votre activité quotidienne :

Pourquoi le tourisme est particulièrement exposé ?

Les entreprises du tourisme utilisent de nombreux services numériques pour gérer son activité quotidienne :

Plus les outils sont nombreux, plus il existe de points d’entrée possibles pour une personne malveillante.

Le tourisme présente également plusieurs caractéristiques particulières :

• L’activité peut être très saisonnière,
• Les réservations sont parfois concentrées sur quelques semaines,
• Les clients attendent des réponses rapides,
• Les paiements sont nombreux,
• Le recours à des salariés saisonniers est fréquent,
• La réputation en ligne est essentielle,
• L’entreprise dépend souvent de plateformes et de prestataires extérieurs.

Une attaque pendant une période de forte activité peut donc entraîner des conséquences immédiates.

Quatre situations auxquelles votre entreprise peut être confrontée 

Une cyberattaque ne commence pas toujours par une panne visible. Elle peut débuter par un simple e-mail, un SMS ou un appel téléphonique.

Par rapport à d’autres activités, le tourisme touche une cible bien souvent internationale. Il est donc courant de recevoir des messages en langue étrangère ou avec une traduction approximative, ce message qui pourraient alerter un utilisateur dans un autre activité le sera moins dans une activité touristique.

Faux message d’une plateforme de réservation

Le ou la réceptionniste d’un hôtel reçoit un courriel qui semble provenir d’une plateforme de réservation.

Le message indique : « Une réservation fait l’objet d’une réclamation urgente. Connectez-vous rapidement pour répondre au client. »

Le message est de bonne qualité et contient le logo de la plateforme ce qui rend semble crédible. Le ou la réceptionniste clique sur le lien et saisit son identifiant et son mot de passe.

Mais le site étant faux, les informations saisies sont récupérées par un cybercriminel. Celui-ci peut ensuite accéder au compte de l’hôtel, consulter les réservations ou envoyer de faux messages aux clients.

Cette technique s’appelle l’hameçonnage, ou phishing. Elle cherche à créer un sentiment d’urgence, de peur ou de curiosité pour pousser la personne à agir sans vérifier.

Les professionnels du tourisme reçoivent fréquemment des messages en langue étrangère. Ils peuvent donc être moins surpris par une formulation inhabituelle ou une traduction approximative. Les fraudeurs profitent parfois de cette situation pour rendre leurs messages plus crédibles.

Un email en anglais annonçant une réservation urgente peut sembler normal pour un hôtel accueillant une clientèle internationale. La langue ou la qualité de rédaction ne suffisent plus à déterminer si le message est fiable.

Le faux changement de coordonnées bancaires 

Vous recevez soit un courriel ou un courrier papier qui semble provenir de son fournisseur habituel de boissons.

Le message précise : « Nous avons changé de banque. Merci d’utiliser le nouveau relevé d’identité bancaire joint à ce message pour vos prochains règlements. »

La comptable enregistre les nouvelles coordonnées et effectue le paiement de la prochaine facture. Quelques jours plus tard, le véritable fournisseur appelle pour signaler que la facture n’a pas été réglée.

L’adresse du fournisseur avait été imitée ou sa messagerie avait été piratée. L’argent a été envoyé sur le compte du fraudeur.

Le logiciel de réservation devient inaccessible

Un matin, le responsable d’un camping constate qu’il ne peut plus ouvrir ses fichiers situés sur son disque dur. Le planning des emplacements, les documents administratifs et les informations nécessaires à la facturation sont bloqués.

Un message apparaît sur l’écran : « Vos fichiers ont été chiffrés. Vous devez payer pour les récupérer. »

Il s’agit probablement d’un rançongiciel. Ce logiciel malveillant bloque les données et réclame une rançon.

Sans sauvegarde récente, le camping peut perdre son planning de réservation et ne plus savoir quels emplacements sont disponibles. S’il n’a pas de sauvegardes fiables, il ne reste qu’une solution, reconstituer dans la mesure du possible les informations à partir des courriels, des documents imprimés et des appels des clients.

Le compte de messagerie est piraté 

Une base de loisirs utilise l’email pour sa relation client/fournisseur.

Une personne de l’établissement utilise un mot de passe simple pour plusieurs services et il est partagé en interne. L’un de ces services est piraté et son mot de passe est récupéré.

Une personne malveillante prend alors le contrôle de la messagerie et ainsi de tous les services numériques de la base de loisirs.  Elle peut publier une fausse promotion et demande aux clients de payer une réservation sur un site frauduleux, modifier le site web ou d’autres services numériques.

L’entreprise peut perdre temporairement son compte, mais aussi la confiance de ses clients.

Organiser la cybersécurité de son entreprise

Que faut-il protéger en priorité ?

Il n’est pas nécessaire de commencer par un audit très complexe. Vous pouvez d’abord répondre à quatre questions.

• Quels outils sont indispensables à mon activité ?
• Quelles données ne doivent surtout pas être perdues ?
• Quels comptes « utilisateur » pourraient être utilisés pour tromper mes clients ?
• Combien de temps puis-je travailler sans ces outils ?

Les huit mesures prioritaires 

1 : Protéger les comptes importants

Les comptes numériques représentent souvent la principale porte d’entrée dans l’entreprise. La messagerie doit être protégée en priorité. Une personne qui accède à votre boîte électronique peut lire vos échanges, contacter vos clients, demander la réinitialisation d’autres mots de passe ou préparer une fraude.

Les bonnes pratiques :

• Utilisez un mot de passe différent pour chaque service important,
• Choisissez des mots de passe longs,
• N’utilisez pas le nom de l’entreprise, l’année en cours ou le nom de l’activité,
• Ne conservez pas les mots de passe sur un papier visible,
• Utilisez un gestionnaire / coffre-fort de mots de passe,
• Ne partagez pas les mots de passe,
• Activez la double authentification*,
• Ne communiquez jamais un code reçu par SMS à une autre personne.

* La double authentification ajoute une seconde vérification après le mot de passe. Il peut s’agir d’un code temporaire ou d’une validation dans une application. Ainsi, si un pirate récupère votre mot de passe, il lui manque encore le second élément pour se connecter auquel il ne peut pas accéder.

2 : Effectuer des sauvegardes régulières

Une sauvegarde est une copie des données importantes, conservée pour pouvoir les récupérer après une panne, une erreur, un vol ou une cyberattaque. Sauvegardez en priorité les réservations, les fichiers clients, les factures, les documents comptables, les contrats et les plannings.

Une sauvegarde doit être vérifiée : il ne suffit pas qu’un message indique « sauvegarde terminée ». Il faut vérifier régulièrement qu’un fichier peut réellement être récupéré. Par exemple, tous les trois mois, choisissez un document sauvegardé et demandez à votre prestataire de le restaurer.

Attention aux supports constamment connectés : si un disque de sauvegarde reste branché en permanence à l’ordinateur, un logiciel malveillant peut également bloquer les fichiers présents sur ce disque. Il est donc préférable de disposer d’au moins une sauvegarde déconnectée ou protégée contre la modification.

3 : Installer les mises à jour 

Les mises à jour ne servent pas uniquement à ajouter de nouvelles fonctions. Elles corrigent aussi des défauts de sécurité. Un équipement ou un logiciel ancien peut contenir une faiblesse connue et facilement utilisée par un cybercriminel.

Les mises à jour concernent entre autres : les ordinateurs, les smartphones, les logiciels utilisés en local, les navigateurs Internet, la box et les équipements réseau, l’outil de mise à jour du site Internet, etc…

Lorsque cela est possible, activez les mises à jour automatiques.

Les équipements ou logiciels qui ne reçoivent plus de mises à jour doivent être remplacés ou isolés du reste du réseau.

4 : Apprendre à reconnaître un message suspect

La messagerie mail reste l’un des principaux moyens utilisés pour tromper les entreprises.

Un message doit attirer votre attention lorsqu’il :

• Crée un sentiment d’urgence,
• Menace de fermer un compte,
• Annonce un paiement refusé,
• Signale une réservation inhabituelle,
• Demande un mot de passe,
• Demande de modifier un compte bancaire,
• Contient une pièce jointe inattendue,
• Propose une offre trop avantageuse,
• Présente des fautes ou une mise en page inhabituelle.

En cas de doute

1. Ne cliquez pas immédiatement,
2. Vérifiez l’adresse complète de l’expéditeur,
3. Contactez directement la personne ou l’organisme,
4. Connectez-vous depuis le site ou l’application habituelle,
5. Demandez l’avis d’un collègue ou du prestataire informatique.

Il vaut mieux perdre deux minutes à vérifier que plusieurs jours à réparer les conséquences d’une attaque !

5 : Protéger les ordinateurs, smartphones et tablettes 

Un ordinateur professionnel ne doit pas rester accessible à tous.

Mesures simples à mettre en place :

• Activez le verrouillage automatique de l’écran,
• Utilisez un code d’accès,
• Installez une solution de protection adaptée (antivirus ou solution de sécurité),
• Ne laissez jamais une session ouverte dans un espace accessible au public, (ALT+L pour verrouiller)
• Utilisez un filtre de confidentialité sur vos écrans,
• Ne branchez pas une clé USB inconnue,
• N’installez pas un logiciel sans vérifier son origine,
• Évitez d’utiliser l’ordinateur professionnel pour des usages personnels,
• Signalez immédiatement la perte ou le vol d’un appareil.

NB : Un téléphone professionnel peut contenir la messagerie, les contacts, les applications bancaires et les accès aux plateformes de réservation. Il doit être protégé avec la même attention qu’un ordinateur.

6 : Séparer le Wi-Fi des clients du réseau professionnel 

Proposer une connexion Wi-Fi aux visiteurs est devenu courant voire obligatoire dans certaines activités. Mais le réseau utilisé par les clients ne doit pas être le même que celui des équipements professionnels.

Demandez à votre prestataire de vérifier que :

• Les deux réseaux sont bien séparés,
• Les informations techniques des connexions des clients sont tracées pour respecter les obligations légales,
• Le mot de passe d’administration de la box a été changé,
• Les équipements réseau sont à jour,
• Les appareils sensibles ne sont pas accessibles depuis le Wi-Fi client.

7 : Gérer les accès des salariés, stagiaires et saisonniers 

Le tourisme emploie souvent des salariés saisonniers ou temporaires. Il est important d’organiser leurs accès dès leur arrivée et de les supprimer à leur départ.

À l’arrivée :

• Créez un compte individuel,
• Donnez uniquement les accès nécessaires,
• Expliquez les règles essentielles et former les sur les logiciels utilisés,
• Précisez comment signaler un message suspect,
• Évitez de partager le mot de passe du responsable,

Au départ :

• Désactivez le compte,
• Récupérez les équipements et les badges,
• Retirez l’accès à la messagerie et aux logiciels,
• Pensez aux accès à vos réseaux sociaux et services en ligne,
• Changez les codes qui ont été partagés,

8 : Préparer la réaction en cas d’incident 

Même une entreprise bien protégée peut rencontrer un problème. L’objectif est alors de limiter les dégâts et de reprendre l’activité rapidement.

Préparez une fiche simple contenant :

• Le nom de la personne à prévenir,
• Les coordonnées du prestataire informatique,
• Le numéro de la banque,
• Les coordonnées de l’assureur,
• Les accès aux sauvegardes,
• Les coordonnées des principales plateformes,
• Les consignes à suivre,
• Les solutions permettant de fonctionner temporairement sans informatique.

Cette fiche doit être disponible sur papier. Si les ordinateurs sont bloqués, un document enregistré uniquement sur le réseau ne sera pas accessible.

Que faire en cas d’incident ?

Vous pouvez utiliser le service 17Cyber depuis ce portail web afin de solliciter un appui

Crédits photos :

Magnific