Site web piraté : que faire quand le site d’un hôtel est attaqué

Un site web piraté se reconnaît à quelques signes : une page remplacée, des visiteurs envoyés ailleurs, un avertissement du navigateur ou de Google. Quand c’est le site d’un hôtel ou d’un restaurant, l’ordre des gestes compte : isoler le site et prévenir l’hébergeur, garder les preuves, changer tous les accès, puis nettoyer et restaurer. Si des données de clients sont exposées, la CNIL doit être notifiée, si possible sous 72 heures, dès qu’un risque existe pour les personnes. Voici la marche à suivre, vos obligations et les moyens de limiter le risque.

Les signes d’un site web piraté

Un piratage ne se voit pas toujours : certains saccagent l’accueil, d’autres restent invisibles pour vous et bien visibles pour Google.

La défiguration de site web

On parle de défiguration quand un pirate change l’aspect du site : écran noir ou blanc, messages, images ou vidéos sans rapport, parfois un simple « hacked ». Selon Cybermalveillance.gouv.fr, la défiguration prouve que l’attaquant a pu prendre la main sur le serveur : des données sensibles, personnelles, bancaires ou commerciales, peuvent donc avoir été atteintes. Pour un hôtel, un site souvent inutilisable pendant l’attaque, ce sont aussi des réservations perdues et une image abîmée.

Les piratages discrets

Le piratage le plus coûteux est parfois celui qu’on ne voit pas. Google décrit des intrusions qui laissent le site intact en apparence : code malveillant glissé dans des pages existantes, pages de spam ajoutées à côté des vôtres, liens ou texte cachés, redirections réservées aux visiteurs venus d’un moteur de recherche. Exemple dans l’hôtellerie : la chaîne Marriott a découvert en 2018 que les systèmes de Starwood, qu’elle avait rachetée, étaient compromis depuis 2014 ; elle estime à 339 millions le nombre de fiches clients concernées, d’après l’avis de sanction du régulateur britannique (l’ICO).

Site web piraté : les premières heures

Ces gestes s’inspirent de la fiche réflexe de Cybermalveillance.gouv.fr.

1. Isolez le site. Débranchez d’internet la machine touchée, si c’est possible ; sur un hébergement partagé, mettez le site en maintenance ou demandez à l’hébergeur de le déconnecter. Laissez un message qui donne votre téléphone pour ne pas perdre les réservations.
2. Prévenez l’hébergeur. Il peut prendre, de son côté, les mesures nécessaires pour traiter l’incident.
3. Gardez les preuves avant de nettoyer. Récupérez les journaux (logs) du serveur et faites une copie complète du site : ce sont les éléments de l’enquête, et ils aident à trouver la faille.
4. Changez tous les accès, depuis un appareil sûr. Hébergement, administration, base de données, transfert de fichiers, messagerie, moteur de réservation. Mieux vaut le faire sans attendre d’avoir la preuve d’une fuite.
5. Listez ce qui a pu être vu, copié ou détruit. Coordonnées, réservations, messages du formulaire de contact, comptes : cette liste décidera si la CNIL doit être prévenue.
6. Faites-vous aider et déposez plainte. 17Cyber, le dispositif public d’aide aux victimes, propose un diagnostic en ligne puis, gratuitement, un tchat avec un policier ou un gendarme ; l’assistance technique peut être facturée. Pour la plainte, présentez-vous au commissariat ou à la gendarmerie de votre choix, ou envoyez un courrier au procureur de la République, gratuitement, avec vos preuves.

Remettre le site propre

Nettoyer, c’est retirer ce que le pirate a posé et fermer la porte par laquelle il est entré ; sans cela, le piratage peut se reproduire.

1. Trouvez la porte d’entrée. Cybermalveillance.gouv.fr cite comme points faibles habituels les mises à jour manquantes, les mots de passe faibles ou laissés par défaut, l’accès donné à un tiers mal identifié. Les journaux gardés plus haut aident à la repérer.
2. Restaurez une sauvegarde saine. Choisissez-en une antérieure à l’intrusion. Sans sauvegarde, il faut nettoyer à la main, ce qui est plus long et plus incertain.
3. Mettez tout à jour et supprimez l’inutile. Extensions et thèmes qui ne sont plus maintenus, comptes inutilisés, notamment ceux d’anciens prestataires.
4. Changez de nouveau les mots de passe. Faites-le une fois la faille fermée, avec la double authentification partout où elle existe.
5. Cherchez ce qui reste. Comptes, fichiers ou pages que vous n’avez pas créés : un seul oubli peut permettre à l’attaquant de revenir.
6. Demandez à Google de réexaminer le site. Une fois tous les problèmes corrigés sur l’ensemble du site, envoyez une demande d’examen depuis le rapport sur les problèmes de sécurité de la Search Console. La réponse prend de quelques jours à plusieurs semaines : n’en renvoyez pas avant de l’avoir reçue.

Quand le site est trop abîmé pour être nettoyé avec confiance, mieux vaut le reconstruire sur une base neuve en gardant textes et photos : voir la création d’un site vitrine, les étapes de la conception d’un site d’hôtel et comment créer un site internet pour un hôtel.

Piratage de données de clients : vos obligations

Un site d’hôtel ou de restaurant garde souvent des noms, des e-mails, des téléphones, des dates de séjour. Quand un piratage détruit, altère, divulgue ou ouvre l’accès à ces données, le règlement européen sur la protection des données (RGPD) parle de violation de données personnelles. L’hôtel, responsable du traitement, doit alors suivre la procédure de la Commission nationale de l’informatique et des libertés (CNIL).

• Documenter l’incident en interne, dans tous les cas : sa nature, le nombre approximatif de personnes et de données concernées, les conséquences probables, les mesures prises.
• Notifier la CNIL dès que la violation est susceptible de présenter un risque pour les personnes : sans attendre et, autant que possible, dans les 72 heures qui suivent la découverte de la violation. Une première notification peut être complétée plus tard ; en cas de retard, on en explique les raisons.
• Informer les personnes concernées si le risque est élevé. Dans le doute, notifiez la CNIL : elle indiquera si c’est nécessaire.
• Faire remonter l’alerte par vos prestataires. Un sous-traitant, comme l’hébergeur, doit vous avertir dans les meilleurs délais (article 33 du RGPD).
• Porter plainte si la violation vient d’une cyberattaque, en gardant les preuves techniques à disposition des enquêteurs.

Les types de pirates informatiques

Le mot « pirate » recouvre des profils très différents, que l’on distingue surtout par leur autorisation et leur but.

• Chapeau noir (black hat). Il tente d’entrer dans des systèmes sans droit, dans un but personnel et malveillant : c’est le pirate au sens courant, selon l’Office québécois de la langue française.
• Chapeau blanc (white hat). Spécialiste qui repère les failles d’une organisation dans un cadre légal, avec son accord ou pour l’aider : tests d’intrusion, audits (même source).
• Chapeau gris (grey hat). À la frontière : il transgresse parfois les normes éthiques ou la loi, mais n’agit généralement pas avec une intention malveillante, d’après le glossaire d’ESET, éditeur de logiciels de sécurité.
• Hacktivistes (ou cyberactivistes). Ils cherchent à perturber des sites ou des réseaux pour défendre une cause politique ou sociale ; l’Office québécois de la langue française cite les attaques par déni de service, la modification de sites et la divulgation de données. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) note que leurs actions ne se limitent plus nécessairement à la saturation de serveurs, à la défiguration de sites et au vol de données.
• Cybercriminels. Ils cherchent un gain, notamment avec des rançongiciels, qui bloquent l’accès aux fichiers jusqu’au paiement d’une rançon. L’ANSSI a eu connaissance de 128 compromissions par rançongiciel en 2025 ; la catégorie la plus touchée reste celle des PME, des très petites entreprises et des entreprises de taille intermédiaire.

Pour le propriétaire d’un site, la distinction compte peu le jour de l’attaque. Cet article parle de défense : la loi punit l’accès ou le maintien frauduleux dans un système informatique, comme l’introduction, l’extraction ou la modification frauduleuse de données (articles 323-1 à 323-7 du code pénal, rappelés par Cybermalveillance.gouv.fr).

Prévenir le piratage du site d’un hôtel

Aucune protection n’est absolue, mais les mesures ci-dessous réduisent le risque et facilitent la reprise.

• Des mots de passe longs et uniques, avec la double authentification. Au moins douze caractères, un par service, dans un gestionnaire (Cybermalveillance.gouv.fr). Double authentification sur l’hébergement, l’administration du site et la messagerie ; aucun accès donné à une personne non identifiée.
• Des mises à jour régulières, automatiques quand c’est possible, comme le conseille la CNIL.
• Des sauvegardes hors site, testées. La CNIL recommande plusieurs sauvegardes, dont une hors de l’entreprise et une déconnectée du réseau, et des tests de restauration réguliers : une sauvegarde jamais testée ne prouve rien.
• Le HTTPS. Il chiffre les échanges entre le visiteur et le site (voir sécuriser son site en HTTPS), mais il n’empêche pas une intrusion à lui seul.
• Peu d’éléments exposés, peu de données gardées. Moins d’extensions, de comptes et de ports ouverts, c’est moins de points d’entrée. Ne gardez que les données utiles et consultez les journaux pour repérer les connexions suspectes.

Pour parler de la sécurité du site de votre hôtel ou de votre restaurant, vous pouvez nous écrire ou prendre rendez-vous.

Sources

• CNIL, Notifier une violation de données personnelles ; Sécurité des données : les règles essentielles ; RGPD, articles 33 et 34.
• Cybermalveillance.gouv.fr, fiche réflexe sur la défiguration de site Internet ; Pourquoi et comment bien gérer ses mots de passe ?
• Ministère de l’Intérieur, 17Cyber.
• Service-public.gouv.fr, Porter plainte ; Porter plainte auprès du procureur de la République.
• ANSSI, Panorama de la cybermenace 2025.
• Google, règles concernant le spam (section « Contenu piraté ») ; rapport sur les problèmes de sécurité de la Search Console.
• Information Commissioner’s Office (Royaume-Uni), avis de sanction concernant Marriott International, 30 octobre 2020.
• Office québécois de la langue française, Grand dictionnaire terminologique : pirate informatique, chapeau blanc et cyberactivisme ; ESET, glossaire, entrée « Hacker ».

Questions fréquentes sur le piratage d’un site web