Fuite de données chez TUI : des clients reçoivent des messages de phishing

Le voyagiste TUI enquête sur une fuite de données, selon HLN. Des clients ont signalé avoir reçu des messages de phishing (hameçonnage) contenant leur nom, leur hôtel et leur date de voyage. L'entreprise reste responsable des données de ses clients, selon Noordernieuws.be.

Des messages frauduleux qui citent les réservations

Le 10 octobre 2026, HLN signale que des clients de TUI ont reçu des messages suspects. Ces messages mentionnent leur nom, le nom de leur hôtel et leur date de voyage. Selon le même quotidien, un client prénommé Justin affirme que ses interlocuteurs savaient exactement quel hôtel il avait réservé et à quelle date.

Le phishing consiste à se faire passer pour une organisation de confiance afin d'obtenir des identifiants, des coordonnées bancaires ou de l'argent. Le fait que les expéditeurs connaissent des détails de réservation laisse penser que des informations ont circulé hors de l'entreprise. Les sources consultées ne permettent toutefois pas d'établir comment ces données ont été obtenues.

Nieuwsblad et GVA reprennent l'information le même jour ou le lendemain, en titrant que TUI a été victime d'une fuite de données.

TUI enquête, sans détails publics à ce stade

Selon HLN, TUI « onderzoekt » le datalek, c'est-à-dire mène une enquête sur la fuite. HBVL rapporte la même information. Les articles consultés ne précisent ni la date de l'intrusion, ni la méthode utilisée, ni l'identité des auteurs.

Le nombre de clients concernés n'est pas connu d'après les sources disponibles. Aucun groupe de pirates n'est cité, et aucune revendication n'est signalée. Les sources ne mentionnent pas non plus de réaction de l'Autorité de protection des données (APD) belge ni de plainte déposée.

Les articles disponibles ne donnent pas d'information sur d'éventuels incidents antérieurs chez TUI.

Une responsabilité qui reste celle de l'entreprise

Noordernieuws.be indique que l'organisme de voyage reste responsable des données personnelles de ses clients, même lorsque des tiers sont à l'origine de l'incident. Ce principe découle du cadre européen de protection des données (RGPD), qui oblige les entreprises à sécuriser les informations qu'elles collectent.

Les sources ne permettent pas de savoir si TUI a notifié la fuite à l'APD, comme la loi l'exige en cas de violation de données personnelles, ni si l'entreprise a alerté ses clients par un communiqué.

Ce que les clients doivent surveiller

Les personnes qui ont réservé chez TUI doivent se méfier des messages qui évoquent leur voyage. Un message peut sembler authentique parce qu'il contient des détails exacts, sans que son expéditeur soit légitime.

Les données exposées, nom, hôtel et dates de séjour, peuvent servir à préparer des arnaques ciblées, par exemple de faux appels de service client ou de fausses demandes de paiement pour un supplément. Il faut donc vérifier chaque demande auprès de l'entreprise par ses canaux officiels.