Fuite Pierre & Vacances : phishing et cambriolages cet été

Ce qui s'est passé

Le 15 mai 2026, un pirate connu sous le pseudonyme ChimeraZ a revendiqué sur un forum cybercriminel la mise à disposition d'une base de données extraite des systèmes du groupe Pierre & Vacances et Center Parcs. Le groupe a confirmé l'incident quelques jours plus tard.

L'attaque aurait exploité une vulnérabilité de type IDOR (Insecure Direct Object Reference) : une faille classique mais sévère qui permet à un utilisateur authentifié de consulter des données d'autres utilisateurs en manipulant simplement des identifiants dans les requêtes. Ce type de faille ne suppose aucun exploit sophistiqué : une connexion légitime suffit, et tout l'historique des réservations devient accessible.

Les chiffres clés

Quelles données sont sorties ?

D'après les revendications et les analyses publiques, le jeu de données inclut :

• Identité : noms et dates de naissance des occupant·es ;
• Contact : numéros de téléphone ;
• Réservation : numéro de dossier, logement précis, dates exactes de séjour ;
• Historique : séjours antérieurs et commentaires laissés.

Le groupe affirme qu'aucune donnée bancaire ni adresse e-mail n'aurait pu être collectée. Cette absence ne réduit pas le risque : pour les usages criminels qui suivent, le téléphone et les dates sont les éléments les plus précieux.

Plusieurs marques opérées ou distribuées par le groupe sont citées comme exposées dans la base : Center Parcs, Pierre & Vacances, Adagio, Maeva, Départ 18:25, Odalys, Lagrange Vacances, Flower Campings, Sandaya, Belambra, Goelia. Si vous avez réservé un séjour via l'une de ces enseignes ces dernières années, considérez que vos données peuvent figurer dans la fuite et ajustez vos réflexes en conséquence.

Le rapprochement avec la fuite FFTir

Ce schéma rappelle de très près la fuite de la Fédération Française de Tir survenue en octobre 2025, qui avait exposé les données d'environ 250 000 adhérent·es actuels et 750 000 anciens (état civil, adresse postale, mail, téléphone). Quelques semaines après cette fuite, plusieurs licencié·es avaient été victimes d'agressions et de vols d'armes à feu à leur domicile. Un suspect de 18 ans avait été interpellé à Aubervilliers, soupçonné d'avoir revendu les données sur Telegram.

Les deux fuites partagent trois propriétés qui changent la nature du risque :

• Elles fournissent une identité complète + des coordonnées directes ;
• Elles permettent de cibler les bons profils (licencié·es FFTir = potentielle détention d'armes ; vacancier·es = absence prolongée à dates précises) ;
• Elles autorisent une approche par SMS ou téléphone, beaucoup plus crédible qu'un e-mail générique.

Les 4 risques concrets à anticiper cet été

Si vous êtes (ou pensez être) concerné·e

Pas de panique, mais quelques réflexes immédiats :

• Méfiance absolue sur tout SMS, mail ou appel évoquant un séjour, un remboursement, une libération de logement ou une confirmation. Ne cliquez jamais sur le lien. Revenez sur le site officiel via votre navigateur, ou appelez le numéro client présent dans votre confirmation de réservation initiale.
• Pas de communication de codes reçus par SMS, jamais. Aucune entreprise légitime ne vous demandera votre code OTP par téléphone.
• Surveillez vos comptes bancaires : même si le groupe affirme qu'aucune donnée bancaire n'a fuité, croisée à d'autres sources, votre profil peut servir à des tentatives de fraude.
• Conservez les SMS et mails suspects : ils pourront servir si vous déposez plainte.
• Signalez les tentatives sur Cybermalveillance.gouv.fr et au portail PHAROS pour les contenus frauduleux.

Pour rappel, le groupe doit lui-même avoir notifié l'incident à la CNIL sous 72 heures, comme l'impose le RGPD (voir notre FAQ déclaration CNIL en cas de fuite de données).

Comment limiter les risques cet été

La fuite est un fait. Ce qui se joue maintenant, c'est votre dispositif de précaution pendant l'absence. Quatre leviers complémentaires.

Levier 1 : inscrire votre domicile à l'OTV

L'Opération Tranquillité Vacances (OTV) est un service gratuit de la police et de la gendarmerie nationale. Une fois inscrit·e, les forces de l'ordre intègrent votre domicile dans leurs tournées de surveillance pendant votre absence.

• Quand : inscription possible jusqu'à 45 jours à l'avance ;
• Date limite : 3 jours avant le départ si vous dépendez de la police, la veille si vous dépendez de la gendarmerie ;
• Où : en commissariat, en brigade, ou via le téléservice en ligne sur service-public.gouv.fr ;
• À qui : tout au long de l'année, pas seulement pendant les vacances scolaires.

Levier 2 : activer un plan voisins et amis

C'est le levier le plus puissant et le plus sous-utilisé. Un domicile qui semble habité ne déclenche pas de tentative.

Levier 3 : verrouiller le périmètre numérique

• Mettre en pause la géolocalisation publique sur les réseaux sociaux ;
• Éviter les stories temps réel qui annoncent que vous êtes loin (publier au retour) ;
• Désactiver les confirmations vocales sur la messagerie qui annoncent votre absence prolongée ;
• Filtrer les inconnus sur WhatsApp et Telegram (un message direct de « la résidence » sur ces canaux est très probablement frauduleux).

Levier 4 : sécuriser le logement physiquement

• Vérifier les fermetures : serrures, fenêtres, volets, garage. Une porte vitrée mal verrouillée est la première cible.
• Mettre à l'abri les objets de valeur ou les transporter avec vous si possible. Pour les armes (si vous êtes licencié·e d'un club de tir), suivre les recommandations spécifiques de la FFTir.
• Couper l'eau et le gaz pour les longues absences (et limiter les dégâts en cas d'intrusion).
• Ne pas afficher sur le tableau d'annonces de l'immeuble votre absence ou vos coordonnées de séjour.

Vue d'ensemble : les bons réflexes en un tableau

Ce que cette fuite nous dit, plus largement

La cybersécurité n'est plus un sujet d'expert. Quand un opérateur touristique majeur expose 4,5 millions de personnes parce qu'une faille IDOR n'a pas été corrigée, ce sont des familles entières qui héritent d'un risque pendant leur été. Les organisations qui collectent des données personnelles à grande échelle ont une responsabilité directe sur la sécurité de leurs client·es, et leurs client·es doivent désormais intégrer la culture du risque dans leur quotidien.

Ce sujet rejoint un thème central que nous portons chez Twist : la culture du risque n'est pas qu'une affaire d'organisation. Elle se diffuse dans les foyers, dans les familles, dans les voisinages. Préparer son été, c'est aussi préparer une réponse collective à des menaces qui dépassent largement l'écran.