Bond des domaines contrefaits de Delta, Hilton et El Al : comment les escrocs piègent les vacanciers

À mesure que les tentatives de phishing se multiplient, nous devenons — et à juste titre — de plus en plus méfiants. Nous avons déjà appris à reconnaître qu'un message de paiement par SMS peut souvent être une tentative de phishing, et il en va de même pour la réservation de vacances et de vols sur Internet, qui sont devenus ces dernières années un terrain fertile pour les tentatives d'escroquerie. L'un des phénomènes est celui des sites contrefaits se faisant passer pour des marques connues, dont le seul but est de voler les détails de votre carte de crédit. Ces pages sont supprimées rapidement, mais de nouvelles sont constamment créées.

De nouvelles données de la société de cybersécurité israélienne BrandShield indiquent une forte augmentation de l'enregistrement de domaines liés aux compagnies aériennes et aux hôtels. Le bond notable a été enregistré autour de la compagnie aérienne Delta : le nombre de domaines liés à la marque est passé de 1 421 en août 2025 à 2 517 en juillet 2026 — une augmentation de 77 %. Rien qu'en juin dernier, un record de 2 815 domaines a été enregistré. Hilton a également enregistré un bond brutal : de 156 domaines en août dernier à 347 en juillet de cette année — une augmentation de 122 %. Autour d'El Al, 892 domaines ont été enregistrés en avril 2026, contre 1 059 en juillet 2026 — une augmentation d'environ 19 % en trois mois.

Les domaines d'usurpation d'identité sont distribués via les réseaux sociaux ou via des messages SMS avec un lien. Cependant, les sites d'usurpation ne sont pas la seule méthode. Un utilisateur de Facebook, par exemple, a publié qu'il avait reçu un message privé d'une source se faisant passer pour un représentant d'El Al, après s'être plaint d'un problème dans le groupe Facebook « Victimes d'El Al ». L'usurpateur sait déjà que l'internaute est un client et connaît le problème sur lequel il a écrit publiquement. Sous couvert de « traitement de la demande », il peut demander à passer à une conversation privée, à cliquer sur un lien ou à fournir des détails personnels et des informations de réservation. C'est précisément le timing qui rend la méthode convaincante : contrairement à un message de phishing aléatoire, l'approche arrive à un moment où le client s'attend réellement à ce qu'un représentant du service client le recontacte.

Chez BrandShield, ils soulignent que l'enregistrement d'un domaine incluant un nom de marque n'indique pas en soi une fraude, mais l'abondance de domaines autour de marques connues augmente l'espace d'exposition potentiel aux sites d'usurpation et de phishing. « Les périodes de forte demande pour les vacances et les vols sont un terrain fertile pour les tentatives d'usurpation d'identité. Les attaquants savent que les consommateurs recherchent de bons prix, parfois sous la pression du temps, et construisent des sites qui semblent presque identiques à l'original », déclare Yoav Keren, PDG de BrandShield. « L'augmentation que nous constatons dans les enregistrements de domaines autour de marques comme Delta, Hilton, et aussi El Al, oblige le public à être plus méfiant : ne pas se contenter d'un logo ou d'un design qui semble familier, mais vérifier l'adresse du site web et réfléchir à deux fois avant de déposer des détails personnels et des données de carte de crédit ».

Sur les sites d'usurpation, la différence avec l'original peut être particulièrement minime : une lettre remplacée dans l'adresse, un trait d'union, une extension différente ou un mot comme « booking » ou « tickets ». Le site lui-même peut inclure le logo, les couleurs et l'apparence de la vraie entreprise — jusqu'à l'étape où la victime saisit des détails personnels ou des détails de carte de crédit.

Comment ne pas tomber dans le piège ?

1. Vous avez contacté une compagnie aérienne sur Facebook ? Ne supposez pas que celui qui vous a répondu est un représentant de l'entreprise. Assurez-vous que vous communiquez avec le compte ou le canal de service officiel.

2. Ne cliquez pas automatiquement sur les liens envoyés par SMS, WhatsApp, e-mail ou message privé. Il est préférable d'accéder vous-même au site web ou à l'application officielle.

3. Vérifiez l'adresse du site web, et pas seulement le logo et le design. Un petit changement dans le domaine peut trahir une usurpation.

4. Ne vous fiez pas uniquement au symbole du cadenas. Même un site d'usurpation peut utiliser une connexion HTTPS.

5. Un prix trop beau doit éveiller les soupçons. Une offre radicalement inférieure aux prix acceptés est une raison pour une vérification supplémentaire.