La crise du phishing de Booking prouve qu’on ne peut pas externaliser la confiance

Une application de voyage devrait supprimer l’incertitude, pas la reconditionner sous la forme d’une liste de vérifications à la charge du client. Pourtant, c’est de plus en plus le compromis proposé par la réservation en ligne: la plateforme encaisse la commission et contrôle la marketplace, tandis que le voyageur doit déterminer si un hébergement existe, si un message est authentique et si une demande de paiement est sûre. La nouvelle enquête de la Commission européenne sur Booking.com dépasse donc le cas d’une seule entreprise. Elle vise à déterminer si les marketplaces numériques sont prêtes à assumer les risques créés par leur propre confort d’utilisation.

Le 21 octobre, la Commission a ouvert une procédure officielle au titre du Digital Services Act afin d’examiner la gestion par Booking.com des annonces frauduleuses d’hébergements, du phishing et de la transparence des emplacements sponsorisés. La plateforme compte plus de 45 millions d’utilisateurs actifs mensuels moyens dans l’UE et affirme coopérer pleinement, en assurant que la sécurité, la confiance et la protection des données personnelles sont des priorités, selon les informations consacrées à l’enquête européenne. L’enquête n’établit pas l’existence d’une infraction, mais elle pose la question essentielle: Booking en a-t-il fait assez avant que des utilisateurs ne soient lésés ?

« Soyez prudents » n’est pas un système de prévention de la fraude

L’aspect le plus révélateur de cette affaire n’est pas que des escrocs se fassent passer pour des propriétaires. C’est une vieille technique. Le problème est qu’ils peuvent exploiter les relations, les données et les canaux de messagerie existants d’une plateforme pour rendre la tromperie crédible. Une fausse annonce, un compte d’hébergeur piraté ou un message contenant de véritables informations de réservation peuvent transformer un utilisateur peu sensible aux avertissements en cible facile.

L’enquête examinera la manière dont les données de réservation et des clients sont partagées avec les hébergements, le fonctionnement du système de messagerie de Booking et la question de savoir si ces dispositifs offrent une protection suffisante contre les demandes de paiement frauduleuses. C’est précisément à ce stade que les conseils habituels aux consommateurs commencent à perdre toute leur portée. « Vérifiez l’expéditeur » est un conseil peu utile lorsque le message arrive dans un contexte de réservation digne de confiance et contient des informations qui semblent confirmer la réservation.

Booking a elle-même indiqué que les arnaques liées aux voyages avaient augmenté de 500 % sur une période de 18 mois, selon les informations consacrées à l’enquête européenne. Les données de Fraudehelpdesk citées dans les articles consacrés à l’enquête font état de 1 072 signalements de fraude aux Pays-Bas durant la première partie de 2026, pour un montant de 82 000 € de pertes, soit dix fois plus de cas que durant la période comparable de l’année précédente. Ces chiffres ne prouvent pas que Booking a causé chaque incident. Ils montrent en revanche pourquoi une plateforme de cette ampleur ne peut pas considérer la fraude comme un effet secondaire regrettable que les utilisateurs devraient apprendre à gérer.

Les contrôles d’identité doivent avoir lieu avant que l’annonce n’atteigne le client

La réponse évidente n’est pas d’afficher une nouvelle fenêtre demandant aux voyageurs de rester vigilants. Il faut renforcer les vérifications en amont. La Commission indique qu’elle évaluera si Booking identifie et retire correctement les hébergements inexistants, les offres d’hébergement non conformes et les annonces créées par usurpation d’identité. La responsabilité se trouve là où elle doit être: du côté de la marketplace qui décide qui peut vendre, de la visibilité accordée à chaque offre et des communications qui parviennent aux clients.

Aucun système d’identification ne supprimera toutes les arnaques. Mais ce n’est pas une excuse convaincante pour justifier des contrôles insuffisants au moment où un hébergement rejoint la plateforme ou modifie ses coordonnées de paiement. Notre critère devrait être simple: plus il est difficile pour un compte d’hébergeur de paraître crédible, de modifier des informations sensibles ou de contacter un client avec une demande de paiement, moins le voyageur porte le poids de la vérification.

C’est aussi pour cela que la responsabilité juridique compte. Si une plateforme tire profit de la centralisation de la recherche, de la réservation et des communications, elle ne devrait pas revendiquer uniquement les avantages du rôle d’intermédiaire de confiance tout en refusant d’assumer les conséquences de l’exploitation abusive de cette confiance. L’enquête de l’UE au titre du DSA est utile parce qu’elle présente la fraude comme une question de risque systémique, et non comme une succession d’erreurs isolées commises par des utilisateurs imprudents.

La visibilité sponsorisée rend la confiance encore plus difficile à évaluer

Le deuxième sujet — le placement payant — est moins spectaculaire que le phishing, mais il touche au même fondement: les utilisateurs peuvent-ils comprendre pourquoi un hébergement particulier leur est présenté ? La Commission examine si les hébergements qui paient des commissions plus élevées bénéficient d’une meilleure visibilité et si ces emplacements sont clairement identifiés comme des publicités. Elle étudiera également si les utilisateurs peuvent comprendre qui a payé, pourquoi une publicité leur a été présentée et comment les paramètres concernés peuvent être modifiés, comme le rapporte ANSA.

Cela peut sembler être un différend distinct sur la transparence, mais les deux sujets sont liés. Le classement des résultats de recherche ressemble déjà à une recommandation de la plateforme. Si un paiement peut influencer la visibilité sans signalement clair, l’utilisateur doit distinguer la pertinence de la priorité commerciale avec des informations incomplètes. Sur une marketplace où l’annonce elle-même peut être frauduleuse, cette ambiguïté n’est pas anodine. Elle affaiblit les signaux dont les utilisateurs se servent pour décider à quoi accorder leur confiance.

Des labels clairs sont le minimum requis, pas la solution. Booking devrait rendre compréhensible la raison commerciale de la visibilité accordée, sans obliger les utilisateurs à décoder des mentions en petits caractères ou à deviner pourquoi un hébergement est mieux classé qu’un autre. Une interface digne de confiance doit réduire l’incertitude au moment du choix, et non la révéler une fois le choix effectué.

Le véritable perdant, c’est le modèle fondé sur le confort

Le danger pour Booking et les applications comparables ne se résume pas à une éventuelle sanction réglementaire. C’est l’érosion de la promesse centrale qui a rendu ces services utiles: saisir une destination, choisir un hébergement et payer en toute confiance. Dès que chaque message devient un piège potentiel et que chaque annonce bien visible peut être un raccourci payant, l’application reporte son travail de vérification sur le client.

La Commission peut enquêter, exiger des informations, mener des inspections et imposer des changements; la procédure n’a pas de délai fixe, et son ouverture ne présume pas de la culpabilité de Booking. Mais la direction prise est la bonne. Les plateformes devraient être tenues de démontrer l’existence de mesures de contrôle des risques réellement efficaces, et pas simplement de publier des conseils une fois que les arnaques se sont généralisées.

Notre verdict est simple: les voyageurs doivent rester prudents, mais ils ne devraient pas constituer la première ligne de détection des fraudes sur une marketplace qu’ils ne peuvent pas auditer. Booking doit renforcer la vérification des hébergeurs et des comptes, renforcer la sécurité des contrôles concernant les données de réservation et les messages de paiement, et afficher des labels publicitaires parfaitement clairs. Les avertissements sont utiles. Ils ne remplacent pas la responsabilité.