Pourquoi Sirvoy vous demande de vérifier votre identité plus souvent (et comment protéger votre compte)

Ces derniers mois, vous avez peut-être remarqué que Sirvoy vous demande de vérifier votre identité plus souvent qu’auparavant.

Nous savons que ces étapes supplémentaires peuvent être frustrantes lorsque vous essayez simplement d’effectuer votre travail. Nous souhaitons donc vous expliquer pourquoi elles sont devenues plus fréquentes.

Les établissements d’hébergement font de plus en plus l’objet d’attaques de phishing sophistiquées. Sirvoy a également été ciblé.

Les attaquants ont tenté d’accéder aux comptes de nos clients et aux informations sur les voyageurs qui y sont stockées. Nous avons rapidement détecté ces activités, mis fin à la méthode utilisée et continué depuis à renforcer la sécurité des comptes.

Certaines des vérifications supplémentaires que vous observez aujourd’hui font partie de cette protection renforcée. Grâce à vos retours, nous continuons à les ajuster afin qu’elles protègent votre compte sans perturber inutilement votre travail quotidien.

Pourquoi le secteur de l’hébergement est ciblé

Les établissements d’hébergement détiennent des informations qui peuvent intéresser les fraudeurs : noms des voyageurs, coordonnées, dates d’arrivée et informations de paiement.

En accédant à un véritable compte, un attaquant peut rendre un message frauduleux très crédible, car le voyageur s’attend à recevoir des informations sur une réservation légitime.

Les faux sites et messages sont également devenus plus difficiles à repérer. Ils peuvent paraître très convaincants, ce qui signifie que la sécurité ne peut pas reposer uniquement sur la capacité de chacun à détecter chaque détail suspect.

Comment fonctionne ce type de phishing

Imaginez que quelqu’un installe une deuxième réception juste devant la vôtre.

Tout semble normal. Un voyageur présente son passeport et sa référence de réservation, et l’imposteur transmet discrètement les informations à la véritable réception. Le voyageur est tout de même enregistré, si bien que rien ne semble avoir posé problème.

Mais l’imposteur a obtenu les informations nécessaires pour entrer.

Une attaque de phishing moderne peut fonctionner de manière très similaire.

Vous arrivez sur une page qui ressemble à Sirvoy, mais dont l’adresse Web est différente. Votre mot de passe est transmis directement à la véritable page de connexion. Si vous saisissez un code de vérification, il peut lui aussi être transmis tant qu’il reste valide.

Vous pouvez même finir par vous connecter correctement pendant que l’attaquant obtient lui aussi un accès.

Les mots de passe robustes et les codes de vérification sont toujours des protections importantes. Mais ce type d’attaque peut parfois les contourner en transmettant directement au véritable site ce que vous saisissez.

Les clés d’accès fonctionnent différemment. Elles s’assurent que vous vous connectez bien au véritable site de Sirvoy avant d’opérer. Un faux site ressemblant à Sirvoy ne peut donc pas les intercepter et les réutiliser simplement.

Ce que Sirvoy a changé

Sirvoy faisait partie des systèmes du secteur de l’hébergement ciblés par une campagne utilisant ce type d’attaque.

Certaines améliorations de sécurité étaient déjà en cours. Les clés d’accès étaient en développement avant cette campagne et sont devenues accessibles à tous en juin.

La plupart des protections que nous avons ajoutées ou renforcées fonctionnent discrètement en arrière-plan. Les vérifications supplémentaires que vous remarquez de temps en temps n’en sont que la partie visible.

Aucune fonctionnalité de sécurité ne peut tout résoudre seule. Nous appliquons donc plusieurs niveaux de protection :

• Des méthodes de connexion plus sûres. Les clés d’accès offrent une protection solide contre ce type de phishing, et les codes générés par une application d’authentification sont disponibles pour tous les utilisateurs.
• Des contrôles en cas d’activité inhabituelle. Si quelque chose semble anormal dans une session, nous pouvons vous demander de vérifier à nouveau votre identité ou mettre fin à la session.
• Des codes de vérification valables moins longtemps. Les codes expirent désormais après dix minutes au lieu d’une heure.
• Des contrôles supplémentaires dans les zones sensibles. Nous vous demandons de vérifier à nouveau votre identité avant d’accéder aux paramètres du compte où des informations sensibles et des autorisations peuvent être gérées.

Un déplacement habituel, un nouvel appareil ou l’utilisation d’un VPN peuvent parfois déclencher l’un de ces contrôles. C’est pourquoi nous privilégions généralement une confirmation de votre identité plutôt qu’un blocage complet de l’accès.

« La sécurité est complexe parce que, pour défendre un système, il faut tout couvrir. Un attaquant, lui, n’a besoin de réussir qu’une seule fois », explique Johan Wilfer, notre CTO. « C’est pourquoi nous recourons à plusieurs niveaux de protection. »

Trois actions à entreprendre aujourd’hui pour protéger votre compte

1. Activez une clé d’accès

Une clé d’accès vous permet de vous connecter à l’aide de votre empreinte digitale, de votre visage ou du code PIN de votre appareil.

Vos données biométriques restent sur votre appareil et ne sont jamais transmises à Sirvoy. Étant donné qu’une clé d’accès est associée à la véritable adresse Web de Sirvoy, elle ne fonctionne pas sur un faux site qui n’en reproduit que l’apparence.

Elle peut également rendre la connexion plus rapide, car vous n’avez pas besoin de saisir un code de vérification à chaque fois.

Vous pouvez en configurer une dans votre profil utilisateur ou regarder une courte vidéo pour voir comment faire.

2. Accédez à Sirvoy de la même façon à chaque fois

Saisissez directement l’adresse de Sirvoy ou utilisez un favori de confiance.

De nombreuses attaques de phishing commencent par un lien dans un courriel ou un message. En accédant directement à Sirvoy, vous évitez qu’un faux site s’interpose entre vous et la véritable connexion.

3. Faites preuve de vigilance si votre méthode de connexion habituelle change soudainement

Si vous utilisez habituellement une clé d’accès mais qu’une page vous demande soudainement un code de vérification, interrompez la procédure avant de continuer.

Il peut exister des raisons légitimes pour lesquelles une autre méthode de connexion soit proposée. Cependant, un attaquant qui ne parvient pas à contourner votre clé d’accès peut également essayer de vous inciter à recourir à une méthode moins sécurisée.

Si une situation vous semble inhabituelle, fermez la page et ouvrez à nouveau Sirvoy depuis votre favori habituel ou en saisissant directement l’adresse Web.

Nous continuerons à nous adapter

Ce ne sera pas la dernière tentative dirigée contre le secteur de l’hébergement, et ce ne sera probablement pas la dernière fois que nous adapterons notre manière de protéger votre compte Sirvoy.

Vos réservations, vos tarifs et les données personnelles de vos voyageurs y sont stockés. La protection de ces informations doit rester prioritaire, mais la sécurité ne doit pas compliquer votre travail quotidien plus que nécessaire.

Nous continuerons à renforcer cette protection, à réduire les frictions inutiles et à expliquer clairement ce qui change et pourquoi.

Merci de faire confiance à Sirvoy pour votre activité.