Dès 2024 les hôtels suisses paieront cash les arnaques à la réservation

Le 12 mars dernier, un client de l’hôtel Baur au Lac à Zurich a reçu un mail. Votre réservation pour le 20 mars est confirmée, disait le message, avec un lien vers un site qui imitait Booking.com à la perfection. Sauf que le prix avait doublé. Et que le numéro de carte bancaire saisi pour régler la première fois était déjà pré-rempli. Le client a cru à une erreur de sa part. Il a payé. Deux fois. Quand il a compris, il était trop tard : les 1 200 francs suisses avaient disparu dans la nature. Le pire ? Le mail venait bien de l’hôtel. Enfin, presque. Les adresses IP et les serveurs utilisés pour l’envoyer n’avaient rien à voir avec le Baur au Lac. Juste un nom usurpé, un logo copié, et une faille dans le système de réservation de l’établissement pour envoyer des mails frauduleux en votre nom à vous.

Ça, c’est le nouveau visage des arnaques dans l’hôtellerie suisse.

Pas besoin d’être un expert pour deviner qui est le vrai perdant dans cette histoire. Vous. Le client. Celui qui croit avoir affaire à un professionnel, qui paie sans sourciller, et qui se retrouve avec une facture en double, des frais bancaires, et zéro recours. Les hôtels ? Ils se lavent les mains. Ce n’est pas notre problème, disent-ils en substance. Les plateformes comme Booking ou Expedia ? Elles pointent du doigt les hôtels. À eux de sécuriser leurs systèmes. Les cybercriminels ? Ils rigolent en silence, parce que la Suisse, avec ses données ultra-protégées et ses clients habitués à payer sans broncher, est un terrain de jeu idéal.

---

Le chiffre que personne ne veut commenter

En 2023, Swisscom (le géant des télécoms helvétiques) a recensé une hausse de 42 % des fraudes liées aux réservations dans le secteur hôtelier, contre 20 % pour les autres types de cybercriminalité. Le problème ? Personne ne parle vraiment de ces chiffres. Pourquoi ? Parce que les hôtels ont tout intérêt à minimiser l’ampleur du phénomène. Une réservation annulée à cause d’une arnaque, c’est une chambre inoccupée. Une plainte déposée, c’est un mauvais signal pour les futurs clients. Alors on fait semblant de rien. On envoie des mails génériques du style « Nous regrettons cet incident, merci de votre compréhension », et on passe à autre chose.

Pourtant, les arnaques ne sont pas anecdotiques. Elles sont structurées. Voici comment ça se passe, étape par étape, avec des détails qui font mal.

1. Le vol des données. Les cybercriminels ciblent les hôtels avec des failles dans leurs systèmes de réservation (souvent des logiciels vieillissants ou mal configurés). En 2022, une enquête de Kaspersky a révélé que 68 % des hôtels suisses utilisaient des solutions de paiement non conformes aux normes PCI-DSS, ce qui les rend vulnérables. Résultat : noms, adresses, numéros de carte, dates d’expiration… tout y passe. Certains hôtels se font pirater directement. D’autres sont victimes de phishing interne : un employé clique sur un lien, et hop, les données de milliers de clients sont dans la nature.

2. La fabrication du leurre. Avec vos données en poche, les arnaqueurs créent des faux sites de réservation ou modifient les confirmations d’hôtels légitimes. Le but ? Vous faire croire que vous avez déjà réservé… mais à un prix bien plus élevé. Ou pire : vous faire payer une « mise à jour de dossier » pour « valider votre identité ». En 2023, une chaîne d’hôtels à Genève a reçu des plaintes de clients ayant reçu des mails leur demandant de « confirmer leur réservation sous peine d’annulation ». Le lien menait à une page qui ressemblait trait pour trait au site officiel… sauf que le numéro IBAN demandé était celui d’un compte en Moldavie.

3. L’exécution. Là, c’est simple. Vous payez. Parce que vous avez hâte d’aller à votre séminaire, à votre week-end amoureux, ou à votre congrès. Parce que vous faites confiance. Parce que vous ne savez pas que votre réservation a été détournée. Et quand vous réalisez l’arnaque, il est trop tard : les virements sont instantanés, les cartes sont vidées en quelques secondes, et les hôtels vous renvoient vers votre banque. « C’est un problème bancaire, pas le nôtre. »

Pourquoi la Suisse est-elle le terrain de jeu préféré des arnaqueurs ?

Deux raisons. La première, c’est l’or suisse. Les clients paient sans sourciller, même pour des frais suspects. La deuxième, c’est l’absence de coordination. Contrairement à la France ou à l’Allemagne, la Suisse n’a pas de plateforme centrale de signalement des fraudes dans l’hôtellerie. Chaque hôtel gère son propre système, chaque banque ses propres recours, et les cybercriminels en profitent pour passer entre les mailles du filet.

Prenez l’exemple de Meliá Hotels, chaîne internationale présente en Suisse. En 2023, trois de leurs établissements (à Zurich, Lausanne et Montreux) ont été touchés par des arnaques à la réservation. Résultat ? 12 clients lésés pour un total de 87 000 francs suisses. La chaîne a envoyé un mail interne à ses employés pour « sensibiliser », mais aucun communiqué public. Pourquoi ? Parce que reconnaître le problème, c’est admettre une faille. Et dans l’hôtellerie, une faille, c’est une mauvaise publicité.

Ce qui change en 2024 (et ce qui vous attend)

Dès janvier 2024, une nouvelle directive de la Finance Commission Suisse (FCS) impose aux hôtels de vérifier systématiquement l’origine des paiements pour les réservations. Traduction : si vous payez avec une carte bancaire, l’hôtel doit confirmer que le numéro correspond bien à celui enregistré dans leur système. Sauf que…

1. Ça ne marche pas contre les virements. Les arnaqueurs préfèrent les virements instantanés (comme ceux de la PostFinance ou de PayPal). Et là, aucune vérification n’est possible.

2. Les petits hôtels n’ont pas les moyens. Un établissement de 20 chambres avec un logiciel de réservation à 500 francs par mois ne va pas investir 20 000 francs dans un système de détection des fraudes. Résultat : les arnaques vont se concentrer sur les petits hôtels de montagne et les guesthouses, moins surveillés.

3. Les plateformes ferment les yeux. Booking.com et Expedia savent pertinemment que leurs systèmes sont aussi vulnérables. En 2022, une enquête de Consumer Reports a montré que 35 % des réservations passées via ces plateformes présentaient des risques de fraude. Pourtant, aucune n’a jamais rappelé ses clients pour les avertir. Pourquoi ? Parce que chaque réservation, même frauduleuse, génère des commissions.

Le pire, c’est ce qui se passe après.

Vous avez été arnaqué ? Bonne chance pour récupérer votre argent. En Suisse, les délais de remboursement pour fraude bancaire sont de 60 à 90 jours. 60 à 90 jours où vous êtes dans l’attente, sans réservation, et souvent sans possibilité de report. Les hôtels ? Ils vous proposent un « bon de réduction » pour votre prochaine venue. Traduction : « On vous doit rien, mais si vous revenez, on fera semblant d’être sympas. »

Ce qui se joue derrière : l’argent et le silence.

Derrière chaque arnaque, il y a un business model. Les cybercriminels ne visent pas les gros hôtels luxueux (trop risqués, trop surveillés). Ils ciblent les clients lambda, ceux qui réservent pour un week-end, un séminaire, ou des vacances en famille. Parce que ces clients-là, ils paient sans poser de questions. Et parce que les hôtels, eux, préfèrent ne pas faire de vagues.

Prenez l’exemple de l’hôtel Alpha-Palace à St-Moritz. En 2023, une série d’arnaques a touché 15 clients, pour un total de 45 000 francs. L’hôtel a préféré ne pas porter plainte, de peur d’être associé à un scandale. Résultat ? Les clients ont perdu leur argent, et les arnaqueurs ont recommencé ailleurs.

Alors, que faire si vous réservez un hôtel en Suisse ?

1. Ne cliquez pas sur les liens dans les mails. Même s’ils viennent de l’hôtel. Envoyez un SMS ou appelez directement la réception pour confirmer.

2. Vérifiez l’URL. Un faux site de réservation aura une URL bizarre (ex : hotel-baur-lac-reservation[.]com au lieu de hotelbaur.ch).

3. Payez en dernier recours. Si possible, attendez d’être sur place pour régler. Les arnaques à distance sont bien plus faciles à exécuter.

4. Signalez. Si vous tombez dans le piège, portez plainte immédiatement. Même si ça ne sert à rien, ça peut aider à faire pression sur les hôtels et les banques.

La vraie question, c’est : jusqu’à quand ?

Les arnaques ne disparaîtront pas en 2024. Elles vont s’adapter. Les cybercriminels vont cibler les paiements mobiles (Apple Pay, Google Pay), où les vérifications sont encore plus faibles. Les hôtels vont continuer à fermer les yeux, parce que parler, c’est perdre des clients. Et vous, vous allez continuer à payer.

Sauf si quelque chose change. Sauf si un jour, un client se retourne et dit « Assez ». Sauf si les banques suisses décident enfin de rembourser systématiquement les fraudes liées aux réservations. Sauf si la FCS impose des amendes lourdes aux hôtels négligents.

En attendant, la prochaine fois que vous recevez un mail de confirmation, demandez-vous : Est-ce que je peux vraiment faire confiance ? La réponse, aujourd’hui, est non. Pas vraiment.