Trois grandes entreprises du tourisme français — Pierre et Vacances-Center Parcs, Belambra et Gîtes de France — ont été victimes de cyberattaques en l’espace d’un seul week-end en mai 2026. Ces intrusions ont compromis les données personnelles de plus de 5 millions de clients, exposées sur le dark web par un même pirate nommé ChimeraZ. Les informations volées incluent noms, coordonnées, dates et lieux de séjour, mais pas de données bancaires selon les entreprises. L’attaque a exploité une faille technique connue sous le nom d’IDOR (Insecure Direct Object Reference), permettant à un pirate d’accéder à des profils clients en modifiant simplement des paramètres dans l’URL.

Chez Pierre et Vacances-Center Parcs, la fuite concerne 1,6 million de réservations gérées par la filiale La France du Nord au Sud. Belambra a confirmé un accès frauduleux à des dossiers de réservation, avec environ 41 000 réservations compromises selon le pirate. Gîtes de France, quant à lui, a vu ses systèmes affectés via un prestataire informatique, ITEA, avec des données remontant jusqu’en 1995. Le chercheur de ESET France Benoit Grunemwald souligne que ces données permettent des campagnes de phishing très ciblées et des usurpations d’identité.

L’État français a annoncé un plan d’urgence de 200 millions d’euros pour renforcer la cybersécurité des systèmes publics, tandis que des interpellations ont eu lieu parmi les individus impliqués dans ces attaques. L’affaire soulève des questions sur la durée de conservation des données, car certaines remontent à près de trente ans, en infraction potentielle avec le RGPD.