Incidents dans le secteur :
BK Japan, l'exploitant de l'application mobile japonaise de Burger King, a confirmé un accès non autorisé à sa base de membres exposant environ 11,18 millions d'enregistrements.
Le géant japonais du karaoké Daiichi Kosho a averti qu'une infection par un logiciel malveillant chez un sous-traitant externe pourrait avoir exposé les données personnelles d'environ 8,6 millions de clients et de 93 000 autres personnes traitées pour son compte.
Une attaque par rançongiciel survenue au petit matin du 26 septembre 2026 a perturbé les systèmes de gestion du groupe japonais Keio, touchant les services de paiement et de réservation de sa division hôtellerie tandis que l'exploitation ferroviaire s'est poursuivie normalement.
Le premier opérateur de croisières au monde a commencé à informer près de 6 millions de personnes qu'un attaquant ayant manipulé un employé avait copié noms, coordonnées, dates de naissance et numéros de passeport et de permis de conduire, quelques semaines après la publication par ShinyHunters de données qu'il disait avoir volées.
Le 24 mai 2026, le camping 4 étoiles Les Embruns d’Oléron, au Château-d’Oléron, a été victime d’une fuite de données exposant environ 39 Go de fichiers internes, dont les coordonnées et réservations d’au moins 1 832 vacanciers issus des séjours 2024-2026.
Le 23 mai 2026, AVEA Vacances, association française organisant des séjours éducatifs et colonies de vacances pour enfants et adolescents, a été visée par une fuite sur forum d'environ 46 000 enregistrements (128 Mo), dont un fichier de 18 140 lignes de données de postiers et CSE ainsi que des documents de réservation et comptables.
Le 23 mai 2026, l’association de colonies de vacances Avea Vacances a été désignée par le cybercriminel ChimeraZ, qui a publié environ 46 000 enregistrements (128 Mo) sur un forum cybercriminel, dont des documents d’organisation de séjours et un fichier de plus de 18 000 agents de La Poste.
Nemea Groupe, exploitant français de résidences étudiantes, de résidences de tourisme et d'appart'hôtels, a confirmé une fuite de données touchant ses candidats locataires après l'exfiltration par le pirate ChimeraZ d'une base concernant environ 12 590 personnes, exposant identités, coordonnées, données bancaires et pièces d'identité scannées.
Le 21 mai 2026, McDonald’s France a confirmé une campagne de credential stuffing ayant détourné des comptes fidélité McDo+, des fraudeurs vidant les points accumulés pour des commandes gratuites ; aucune donnée bancaire n’a été touchée et un changement massif de mots de passe a été lancé.
Le 19 mai 2026, un cybercriminel connu sous le nom de ChimeraZ a revendiqué la fuite d'une base de données de l'opérateur français de locations de vacances Lagrange Vacances, exposant prétendument les réservations de plus de 44 000 vacanciers via une faille IDOR.
En mai 2026, Maeva — la marque de locations de vacances du groupe Pierre & Vacances-Center Parcs — a révélé une fuite au cours de laquelle un attaquant a aspiré jusqu'à dix ans d'historique de réservations, exposant noms, dates de naissance, numéros de téléphone et détails de séjour d'environ 4,5 millions de clients sur 1,6 million de réservations.
Le 18 mai 2026, MediaVacances, plateforme française de locations de vacances entre particuliers, a vu une base d'environ 256 000 factures clients couvrant 2005 à 2026 publiée sur un forum cybercriminel, exposant noms, adresses, données de paiement et informations d'annonces.
Le 17 mai 2026, le réseau de tourisme rural Gîtes de France a révélé une fuite de données exposant les réservations de 389 129 clients — noms, coordonnées, adresses postales et détails des séjours — issue d'un accès frauduleux lié à un prestataire informatique partagé.
En mai 2026, le groupe touristique français Pierre & Vacances-Center Parcs a révélé une fuite de données touchant sa plateforme « La France du Nord au Sud » (marque maeva), exposant les données personnelles d'environ 1,6 million de réservations et jusqu'à 4,5 millions de clients : noms, dates de naissance, numéros de téléphone et détails de séjour.
Les clients de Pierre & Vacances-Center Parcs sont concernés par une fuite de données confirmée par le groupe, liée à la plateforme de réservation La France du Nord au Sud, utilisée notamment pour…
BWH Hotels, maison mère de Best Western, a révélé en mai 2026 qu'un tiers non autorisé avait eu accès à une application web de réservation du 14 octobre 2025 au 22 avril 2026, exposant noms, e-mails, téléphones, adresses postales et détails de réservation ; les données de paiement n'ont pas été touchées.
Le 1er mai 2026, la chaîne de pizzerias française La Pizza de Nico a été citée dans une revendication de fuite non vérifiée affirmant qu'une base de 67 767 clients aurait été publiée, exposant les coordonnées de près de 68 000 personnes.
Le 26 avril 2026, un acteur malveillant connu sous le nom de ChimeraZ a mis en ligne la base de données de Sejourneur.com, plateforme française de gestion de locations saisonnières, exposant environ 53 000 réservations, plus de 7 000 factures PDF et les données de plus de 46 000 personnes.
En avril 2026, la marque d'hôtels ultra-luxe Aman a été désignée par ShinyHunters comme la cible d'une campagne d'extorsion de type « payer ou divulguer », les données ayant prétendument été obtenues depuis leur CRM Salesforce. Les données ont ensuite été divulguées publiquement et contenaient plus de 200 000 adresses e-mail uniques.
Le 15 avril 2026, l'acteur malveillant HexDex a mis en vente une base de données dérobée à la chaîne hôtelière française Brit Hotel, exposant 682 662 membres du programme fidélité ainsi que des e-mails, numéros de téléphone, adresses postales et dix ans d'historique de réservations (2016-2026).
Le 14 avril 2026, un pirate connu sous le pseudonyme HexDex a revendiqué le vol et la mise en vente des données personnelles de 598 154 membres du programme de fidélité ETIK de Logis Hotels, couvrant 2012 à 2026 (identité, contact, facturation, identifiants).
Fountain, entreprise belge cotée en Bourse spécialisée dans les services de café et de rafraîchissements en entreprise, a révélé début avril 2026 une attaque par rançongiciel ayant entraîné un accès non autorisé à une partie de ses systèmes et une exfiltration de données confirmée, revendiquée par le groupe DragonForce.
Vacancéole, spécialiste de la location de vacances en France, a été victime d’un incident de sécurité impliquant un prestataire technique, confirmant une
Le 31 mars 2026, Homair, opérateur français de séjours en campings et villages vacances, a révélé une fuite de données liée à la compromission d'un prestataire technique tiers, exposant les nom, adresse email, numéro de téléphone et détails de réservation (destination, dates de séjour, montant payé) des clients, sans données bancaires, mots de passe ni adresses postales selon l'entreprise.