Protéger les données clients dans votre PMS

Bonnes pratiques à l’usage des établissements hôteliers pour protéger les données des clients et les données de paiement. 
 

  
Votre système de gestion hôtelière (PMS) conserve tout ce qu’un client vous confie : nom, coordonnées, préférences de séjour et, souvent, informations de paiement. C’est précisément ce qui en fait une cible de choix. Au cours de l’année écoulée, des groupes hôteliers et des plateformes de réservation dans toute l’Europe ont constaté une hausse des campagnes de phishing et de piratage visant l’ensemble du secteur, destinées à atteindre les données clients hébergées dans les PMS et les systèmes de réservation.

Ce guide explique comment traiter les données clients dans votre PMS, ce qu’il faut éviter et les réflexes que vos équipes peuvent adopter pour réduire les risques, quel que soit le PMS utilisé.

Pourquoi le sujet est essentiel aujourd’hui

Plusieurs incidents survenus dans le secteur au cours des dix-huit derniers mois montrent que les fondamentaux comptent plus que jamais.
 

• De récentes campagnes de phishing ont visé le personnel hôtelier et les clients en se faisant passer pour des plateformes de réservation connues et en les invitant à effectuer de fausses étapes de vérification. Une fois les identifiants ou les accès compromis, les attaquants peuvent utiliser les informations de réservation pour contacter directement les clients et réclamer des paiements frauduleux.
• D’autres campagnes ont ciblé les administrateurs d’hôtels et les comptes de plateformes de réservation, ouvrant un accès direct aux dossiers clients et aux échanges.
• Lors d’un autre incident dans le secteur, un accès non autorisé à un système de réservation a exposé les noms, les coordonnées et les notes de réservation des clients. Les informations de paiement n’ont pas été exposées, car elles n’étaient pas conservées dans le système concerné.

C’est ce dernier point qui mérite réflexion. Les organisations qui ont le mieux traversé ces incidents sont celles qui, tout simplement, ne conservaient pas de données sensibles dont elles n’avaient pas besoin. C’est l’idée directrice de tout ce qui suit.

Le principe de base : ne conservez pas ce dont vous n’avez pas besoin

Avant de décider comment stocker une donnée client en toute sécurité, demandez-vous si votre PMS doit réellement la conserver. Si une référence de réservation ou un numéro de fidélité suffit, rien ne justifie qu’un numéro de carte figure dans une base de données, dans un export ou dans les notes d’un collaborateur. Chaque champ que vous ne remplissez pas est un champ qui ne peut pas être compromis ; chaque champ dont vous avez réellement besoin doit être stocké de manière sécurisée.

Sécurité du réseau et du pare-feu

• Bloquer par défaut le trafic entrant. N’autorisez que les connexions entrantes nécessaires à votre activité. Tout service exposé sur Internet augmente le risque.
• Passer régulièrement en revue les services exposés sur Internet. Avec votre prestataire informatique, identifiez les systèmes, ports et applications accessibles depuis Internet et supprimez toute exposition inutile.
• Restreindre les accès administrateurs. Limitez les accès administrateurs aux personnes autorisées et, dans la mesure du possible, rendez-les accessibles uniquement via un VPN plutôt que directement depuis Internet.
• Limiter l’accès par adresse IP source. Lorsqu’un accès depuis Internet est nécessaire, restreignez les connexions à des adresses IP de confiance plutôt que de les autoriser depuis n’importe où.
• Contrôler le trafic sortant des serveurs critiques. Dans la mesure du possible, les systèmes critiques ne doivent communiquer qu’avec des destinations approuvées, ce qui limite l’impact d’un logiciel malveillant ou d’une activité non autorisée.
• Surveiller les journaux du pare-feu. Examinez-les régulièrement afin de repérer des tentatives de connexion inhabituelles, des échecs d’authentification répétés ou des connexions sortantes inattendues.

Segmentation du réseau

• Séparer le Wi-Fi des clients des systèmes de l’hôtel. Les réseaux ouverts aux clients ne doivent jamais donner accès au PMS ni aux systèmes de paiement, financiers ou administratifs.
• Séparer les systèmes critiques les uns des autres. Isolez autant que possible le PMS, les systèmes de paiement, les postes administratifs, la vidéosurveillance, les serveurs et les objets connectés.
• Appliquer le principe de connectivité minimale. Les systèmes ne doivent communiquer entre eux que lorsqu’un besoin opérationnel légitime le justifie.

Gestion des accès

• Limiter les collaborateurs à des accès fondés sur leur rôle. Chaque collaborateur ne doit voir que les données clients et de paiement nécessaires à sa fonction.
• Activer l’authentification multifacteur (MFA). Lorsqu’elle est disponible, exigez-la pour chaque connexion à votre PMS et à tout système contenant des données de porteurs de carte, et pas seulement pour les accès administrateurs ou distants. La MFA réduit fortement le risque qu’un mot de passe compromis donne lieu à un accès non autorisé.
• Appliquer une politique de mots de passe à jour. Elle doit définir la longueur minimale et les exigences de complexité, y compris l’usage de chiffres ou de caractères spéciaux le cas échéant, et interdire le partage et la réutilisation des mots de passe entre utilisateurs ou entre systèmes.
• Réaliser des revues d’accès régulières. Supprimez les comptes inutilisés et vérifiez que chacun dispose uniquement des accès nécessaires à sa fonction.
• Désactiver immédiatement les comptes lors des départs. Les anciens collaborateurs et prestataires ne doivent conserver aucun accès aux systèmes opérationnels.
• Tracer les accès et les exports de données. Conservez un journal des personnes ayant consulté ou exporté des données clients et de paiement, et examinez-le régulièrement.

Gestion des logiciels et des correctifs

• Maintenir le PMS à jour. Les mises à jour de sécurité et les versions prises en charge protègent contre les vulnérabilités connues. Reportez-vous à la documentation client et aux annonces de l’éditeur concerné pour confirmer le support en vigueur et les mises à jour requises.
• Appliquer les correctifs aux systèmes d’exploitation et à l’infrastructure. Mettez régulièrement à jour serveurs, postes de travail, pare-feu, bases de données et outils d’accès à distance.
• Éviter les logiciels non pris en charge. Les systèmes en fin de vie ne reçoivent plus de correctifs de sécurité et présentent un risque accru. La documentation client et les annonces de l’éditeur concerné permettent de le vérifier.

Données de carte : ce que votre PMS ne doit jamais conserver

Les règles de la norme de sécurité de l’industrie des cartes de paiement (PCI DSS) sont explicites sur ce point, et elles s’appliquent que la carte soit saisie en ligne, par téléphone ou à la réception.
 

• Ne conserver les données de porteurs de carte que dans des systèmes de paiement approuvés. Les informations de paiement ne doivent être traitées et conservées que dans des systèmes conçus et sécurisés à cet effet, et non dans le PMS lui-même.
• Utiliser des moyens de paiement tokenisés lorsque cela est possible. La tokenisation réduit le volume de données de carte sensibles conservées dans votre PMS et dans votre environnement hôtelier.

Au-delà de cela, votre PMS, et toute personne qui l’utilise, ne doit jamais conserver :

• le cryptogramme visuel (CVV ou CVC à trois ou quatre chiffres) une fois la transaction autorisée ;
• le contenu complet de la piste magnétique ou de la puce de la carte ;
• les données de code PIN ou de bloc PIN, en aucune circonstance.

Si votre établissement a une raison réelle et documentée de conserver le numéro de compte principal, le nom du porteur, la date d’expiration ou le code de service, ces éléments doivent être chiffrés ou tokenisés au repos, et l’accès doit être réservé aux personnes qui en ont besoin. Lorsqu’un numéro de carte doit être affiché, par exemple sur un reçu ou un récapitulatif de réservation, n’affichez pas plus des six premiers et des quatre derniers chiffres et masquez le reste.

• Ne jamais envoyer de données de carte par e-mail. L’e-mail n’est pas un moyen approprié de transmettre des informations de carte de paiement, que ce soit à un client, à un collègue ou à un autre service.

Les champs de texte libre : la principale porte d’entrée

 
La plupart des fuites de données de carte liées à un PMS ne proviennent pas du module de paiement. Elles proviennent d’un collaborateur bien intentionné qui saisit le numéro de carte d’un client dans un champ de notes ou de commentaires, par exemple pour signaler un paiement tardif, une contestation ou une demande particulière. Les champs de texte libre ne sont ni chiffrés ni protégés par des contrôles d’accès comme le sont les champs de paiement : tout ce qui y est saisi reste visible en clair et figure précisément parmi les champs récupérés intégralement lors d’une fuite ou d’un export.

Pour éviter que des informations non masquées se retrouvent dans les commentaires :

1. Fixez une règle unique et rappelez-la lors de l’intégration et des formations de rappel : si vous ne voudriez pas que l’information soit rendue publique, elle n’a pas sa place dans un champ de commentaires ou de notes. Cela vaut pour les numéros de carte, les cryptogrammes, les coordonnées de paiement complètes et tout ce qu’un client ne s’attendrait pas à voir lu par un inconnu.
2. Lorsque les équipes doivent faire référence à un paiement, utilisez la référence masquée déjà générée par votre PMS ou votre prestataire de paiement, comme un identifiant de transaction ou les quatre derniers chiffres, plutôt que le numéro de carte lui-même.
3. Activez l’analyse automatique si votre PMS le permet, afin que tout texte ressemblant à un numéro de carte, à une date d’expiration ou à un cryptogramme saisi dans un champ de commentaires soit signalé ou bloqué avant l’enregistrement.
4. Passez périodiquement en revue les notes et l’historique des commentaires afin d’y repérer ce qui ne devrait pas s’y trouver, puis masquez ou supprimez ces informations.

La même rigueur s’applique à toute autre information permettant d’identifier un client : numéros de passeport, adresses personnelles ou copies de pièces d’identité. Si ce n’est pas nécessaire au séjour, ne le conservez pas. Si c’est nécessaire, conservez-le dans un champ structuré et protégé par des contrôles d’accès, et non dans un fil de commentaires.

Phishing et sensibilisation des utilisateurs

• Former les équipes à reconnaître les tentatives de phishing. De nombreux incidents de sécurité commencent par des identifiants dérobés par phishing plutôt que par une vulnérabilité technique.

Ces campagnes débutent souvent par des messages qui semblent provenir d’une plateforme connue et qui demandent d’effectuer des vérifications urgentes. Rappelez à vos équipes, en particulier à celles qui ont accès au PMS ou aux plateformes de réservation, de prendre le temps de vérifier toute demande inattendue par un canal de confiance avant d’agir.

• Se méfier des e-mails inattendus. Vérifiez toujours les demandes portant sur des paiements, des réinitialisations de mot de passe, des actions urgentes ou des pièces jointes inhabituelles avant d’y donner suite.
• Vérifier les changements de coordonnées bancaires ou de paiement. Confirmez toute demande de ce type par un canal de communication indépendant, jamais en répondant au message ni en appelant un numéro qu’il indique, avant de la traiter.
• Signaler immédiatement toute activité suspecte. Un signalement précoce évite souvent qu’un incident mineur ne prenne de l’ampleur.
• Renouvelez ces formations régulièrement. La rotation du personnel est élevée dans l’hôtellerie : une seule session d’intégration ne suffit pas face à des menaces qui évoluent.

Sauvegardes et restauration

• Réaliser des sauvegardes quotidiennes. Sauvegardez régulièrement les données critiques de votre activité et de votre PMS.
• Conserver les sauvegardes séparément. Envisagez des sauvegardes externalisées, immuables ou hors ligne pour vous protéger des rançongiciels.
• Tester les procédures de restauration. Une sauvegarde n’a de valeur que si elle peut être restaurée : vérifiez-le régulièrement.

Supervision de la sécurité

• Surveiller les activités inhabituelles. Examinez rapidement les comptes utilisateurs inattendus, les connexions inhabituelles, les exports de données volumineux ou les modifications inexpliquées des systèmes.
• Réalisez des analyses de vulnérabilités régulières et maintenez à jour l’antivirus et la protection des postes, plutôt que d’attendre la veille d’un audit. Les revues de sécurité internes et externes permettent d’identifier les faiblesses avant les attaquants.
• Surveillez les pages de paiement et les modules de réservation afin de détecter toute modification non autorisée de script, signe possible d’une tentative d’e-skimming.
• Maintenir un processus de réponse aux incidents. Assurez-vous que chacun sait qui contacter et quoi faire en cas d’activité suspecte, afin qu’un soupçon d’incident ne reste pas bloqué sur la question « à qui en parler ? ».

État d’esprit sécurité

• Considérer la cybersécurité comme un processus continu. Une protection efficace repose sur plusieurs couches de sécurité plutôt que sur une seule technologie ou mesure.
• Réduire l’exposition autant que possible. Moins de services exposés, moins de comptes à privilèges et moins de connexions inutiles se traduisent généralement par une surface d’attaque plus réduite.
• Revoir la sécurité régulièrement. Les technologies, les menaces et les besoins de l’entreprise évoluent : les mesures de sécurité doivent évoluer avec eux. 

En résumé

La confiance des clients repose sur le fait de traiter leurs données, et le réseau qui les héberge, comme quelque chose à limiter et à protéger, et non simplement à collecter. Les établissements qui segmentent leur réseau, encadrent strictement les accès, appliquent les correctifs, limitent ce qu’ils conservent, masquent ce qu’ils doivent garder, gardent les données de carte hors des champs de texte libre et forment leurs équipes aux techniques de phishing actuelles sont systématiquement ceux qui ont le moins à déclarer après une tentative d’attaque.