Incident de sécurité d'octobre 2026 : ce que vous devez savoir et faire

Ce qui s'est passé

À partir du 22 octobre 2026, des données de réservation ont été exposées sur l'ancienne version d'elloha : noms des clients, coordonnées (téléphone ou adresse e-mail) lorsqu'elles étaient renseignées, dates et montants des réservations. Aucune donnée bancaire n'était concernée.

Un fraudeur utilise ces données pour envoyer, en se faisant passer pour les établissements, de faux messages (WhatsApp, SMS ou e-mail) demandant de régler une réservation via un lien vers une fausse page de paiement.

1. Faire prévenir vos clients par elloha

Pour vous décharger, elloha peut avertir directement, en votre nom, vos clients ayant une réservation à venir.

• Ce qu'ils recevront : un e-mail « [Votre établissement] via elloha », dans leur langue, qui explique l'incident et les précautions à prendre, sans aucun lien de paiement. Voir les informations données à vos clients.
• À qui : vos clients ayant une réservation à venir dont les données ont été exposées. Les clients venus par Booking.com, Airbnb ou Expedia ne reçoivent pas cet e-mail : nous demandons à ces plateformes de les prévenir elles-mêmes.
• Votre choix : sans réponse de votre part avant le mardi 10 novembre à 12h, nous informerons vos clients. Pour un envoi immédiat ou si vous préférez les prévenir vous-même, répondez en un clic depuis l'e-mail.
• Votre conformité : cet envoi tient lieu de l'information de vos clients prévue par l'article 34 du RGPD. L'éventuelle déclaration à la CNIL reste de votre ressort ; nous vous fournissons les éléments utiles sur demande à support@elloha.com.

2. Activer la double authentification

Un mot de passe seul ne suffit plus à protéger un compte. Activez dès maintenant l'authentification à deux facteurs sur votre compte elloha : elle deviendra obligatoire pour tous les comptes au plus tard le 31 décembre 2026.

3. Rassurer vos clients qui vous contactent

• Leur réservation reste valable : ils n'ont rien à payer de plus par un lien reçu par message.
• S'ils ont déjà payé via un lien suspect, ils doivent contacter immédiatement leur banque pour faire opposition et demander le remboursement de l'opération.
• Vous pouvez leur transmettre notre page d'information, disponible en français, anglais, néerlandais, allemand et espagnol : elloha.com/securite/voyageurs.

Ce que nous avons fait

• Les accès frauduleux identifiés ont été bloqués et une plainte pénale est en cours de dépôt.
• Nos conditions générales ont été mises à jour pour mieux encadrer ces situations : notification des incidents, information de vos clients en votre nom, authentification à deux facteurs.