Comment les voyagistes se sont-il fait «hacker»?

Le hacking aurait été effectué via des mails invitant les agents à effectuer une mise à jour du système de réservation. Les explications de la fédération des voyagistes et du fournisseur du système de réservation Amadeus.

Une opération de piratage informatique aurait touché plusieurs agences de voyage du royaume ces dernières semaines. La presse nationale a rapporté une cyberattaque ayant touché une cinquantaine de voyagistes, permettant d’émettre des billets d’avions à partir de leur propre système. Selon les informations qui circulent, les pertes accusées se chiffrent en milliers de dirhams. «Difficile de donner des chiffres à ce stade, nous ne connaissons pas l’ampleur réelle des dégâts dans ces cas de figure, et la fédération ne dispose à ce jour d’aucun chiffre officiel», explique Amal Karioune, président de la Fédération nationale des agences de voyages du Maroc (FNAVM). Techniquement, les hackers auraient utilisé une vieille technique d’email frauduleux pour mettre la main sur les identifiants des agents de voyage. «Chaque agent dispose de ses propres identifiant et mot de passe lui permettant d’accéder à la plateforme web d’Amadeus, qui est le système de réservation utilisé», précise Karioune. Ce n’est donc pas le système d’Amadeus qui a été hacké, mais bien les identifiants de certains agents. L’email en question invitait ces derniers à mettre à jour leur système de réservation et d’achat de billets d’avion. «Il s’agit de hacking à petit échelle et, selon nos estimations, ce dernier n’aurait pas touché plus de 5 ou 6 agences», explique Driss Benkirane, directeur général d’Amadeus.

Le mode opératoire des hackers consisterait à profiter d’une fenêtre de tir réduite afin de vendre un maximum de billets acquis au nom des voyagistes à prix bradés. «Certains billets sont vendus 2 à 3 heures avant le vol, ce qui permet à leur acheteurs de les utiliser en toute impunité», explique Benkirane, qui précise que le système de réservation d’Amadeus n’a pas été touché. «S’il y avait un problème provenant d’Amadeus, c’est l’ensemble des utilisateurs sur le plan mondial qui aurait été impactés. Notre système est sécurisé et nos serveurs qui se trouvent en Allemagne et qui alimentent la planète entière sont bien protégés», précise le DG d’Amadeus.  La fédération des voyagistes insiste sur la responsabilité des agents. De nombreuses agences ne disposent pas de protection pour la gestion de leur poste de travail, ce qui les expose à ce genre d’incidents. «Il faut assurer un minimum de protection en installant des antivirus et des pare-feu», explique Benkirane. «Nous avons été sensibilisés par Amadeus à ces questions, mais certains agences ne se protègent toujours pas», précise Faouzi Zemrani, voyagiste et vice-président de la Confédération nationale du tourisme. «La fédération n’a encore été saisie d’aucune enquête concernant cet incident», explique le président de la FNAVM. «Nous demandons aujourd’hui à l’ensemble des agences concernés d’envoyer un listing des opérations qu’ils contestent avec les détails des montants concernés, des billets et des destinations. La voie de recours doit être pénale», souligne Amal Karioune.