Le secteur du tourisme français traverse une séquence noire en matière de cybersécurité. En l’espace de quelques jours, Pierre & Vacances-Center Parcs, Belambra puis Gîtes de France ont confirmé avoir été victimes d’intrusions informatiques ayant entraîné l’exposition de données personnelles de centaines de milliers, voire de millions de clients.

La chronologie des incidents est particulièrement resserrée. Le 15 mai 2026, Pierre & Vacances-Center Parcs a confirmé une fuite de données touchant sa plateforme « La France du Nord au Sud », filiale de Maeva. L’ampleur évoquée atteint jusqu’à 1,6 million de réservations concernées, avec des données comprenant identités, dates de séjour et historiques de réservation.

Le 17 mai 2026, Belambra a à son tour signalé un accès non autorisé à une partie de son système d’information. Les premières estimations évoquent environ 400 000 clients potentiellement concernés, avec des données liées aux réservations et aux profils voyageurs.

Le 18 mai 2026, Gîtes de France a confirmé une intrusion informatique affectant près de 389 000 clients. Les données compromises couvriraient plusieurs décennies d’activité, avec des informations personnelles et des historiques de séjours.

Les données compromises concernent notamment les noms et prénoms des clients, leurs adresses e-mail, numéros de téléphone, adresses postales, ainsi que des informations liées aux séjours comme les dates et le nombre de nuitées. Gîtes de France précise qu’« aucune donnée bancaire n’a pu être collectée » et prévoit d’informer ses clients concernés.

Selon des éléments rapportés à l’AFP, le fondateur de French Breaches, site français spécialisé dans le suivi des fuites de données, cyberattaques et piratages visant des entreprise affirme avoir échangé avec le pirate à l’origine des attaques. Celui-ci lui aurait confié : « Il m’a dit avoir agi pour gagner en visibilité et montrer à quel point la France est une passoire en matière de cybersécurité ». Le même individu serait également à l’origine des différentes fuites, revendiquant des données de réservations couvrant la période 1995 à 2026 dans le cas de Gîtes de France.

Un secteur dépendant d’écosystèmes numériques imbriqués

Au-delà des attaques, un point structurel revient systématiquement : la dépendance du secteur touristique à des chaînes techniques fragmentées. Réservations en ligne, plateformes cloud, outils CRM, prestataires de paiement, centres d’appels et solutions marketing fonctionnent souvent en interconnexion.

Dans cet ensemble, les communications d’entreprises évoquent fréquemment la notion de « partenaires », qui recouvre en réalité des prestataires très variés : éditeurs de logiciels, hébergeurs cloud, intégrateurs informatiques ou plateformes de gestion client. Cette architecture multi-acteurs augmente mécaniquement la surface d’exposition aux attaques.

Des connexions économiques réelles mais limitées à certains acteurs du secteur

Les entreprises du tourisme fonctionnent aujourd’hui dans des écosystèmes où plusieurs acteurs interviennent directement dans leur structuration, leur financement ou leurs partenariats opérationnels. Cela passe par des coentreprises, des fonds d’investissement, des groupes hôteliers internationaux ou encore des organisations environnementales.

Pierre & Vacances-Center Parcs est ainsi lié au groupe Accor  via la coentreprise Adagio, spécialisée dans l’hébergement urbain et les appart’hôtels en Europe. Cette collaboration s’inscrit dans une logique de mutualisation de l’offre touristique entre deux grands acteurs de l’hôtellerie et du tourisme.

Le groupe Pierre & Vacances-Center Parcs a également été restructuré autour de fonds d’investissement britanniques, ce qui l’inscrit dans une gouvernance influencée par des investisseurs financiers internationaux présents dans de nombreux secteurs de l’hôtellerie et des loisirs.

Belambra, de son côté, a été racheté par le fonds Antin Infrastructure Partners, comme l’a rapporté Le Figaro. Antin Infrastructure Partners est un acteur spécialisé dans les infrastructures, qui investit dans différents secteurs comme les transports, l’énergie ou le tourisme, en accompagnant la transformation et le développement d’actifs opérationnels.

Gîtes de France entretient quant à lui un lien direct avec le WWF France à travers le label Gîtes Panda. Ce programme associe des hébergements ruraux à des engagements de protection de la biodiversité, avec des critères environnementaux définis en partenariat avec l’organisation écologique.

Dans le même secteur touristique, certains partenaires technologiques jouent un rôle central dans la gestion des services numériques. Les systèmes de réservation, les plateformes de paiement ou les outils de gestion client sont souvent fournis par des acteurs spécialisés comme Salesforce ou d’autres prestataires cloud et CRM utilisés dans l’industrie hôtelière.

Une vulnérabilité systémique du tourisme numérique français

Ces cyberattaques successives mettent surtout en lumière une fragilité structurelle. Le tourisme est l’un des secteurs les plus numérisés, mais aussi l’un des plus exposés, car il concentre des données personnelles sensibles sur de longues périodes.

Les historiques de réservation, les identités complètes, les coordonnées et les habitudes de déplacement constituent une matière première très recherchée pour les attaques de phishing et les tentatives d’usurpation d’identité.

Dans ce contexte, la multiplication des intermédiaires techniques et des prestataires externes devient un facteur aggravant. Chaque connexion supplémentaire dans la chaîne numérique représente un risque potentiel d’intrusion, même lorsque les grandes entreprises elles-mêmes disposent de systèmes de sécurité avancés.

Sources :
Mac4Ever, « Pierre Vacances, Belambra et Gîtes de France piratés : quelles données sont concernées ? » : https://www.mac4ever.com/securite/196204-pierre-vacances-belambra-et-gites-de-france-pirates-quelles-donnees-sont-concernees

Le Monde, « Gîtes de France annonce à son tour avoir été visé par une cyberattaque après les groupes Pierre et Vacances-Center Parcs et Belambra » : https://www.lemonde.fr/pixels/article/2026/05/18/gites-de-france-annonce-a-son-tour-avoir-ete-vise-par-une-cyberattaque-apres-les-groupes-pierre-et-vacances-center-parcs-et-belambra_6690376_4408996.html

BFMTV, « La France est une passoire en matière de cybersécurité : Gîtes de France confirme une attaque » : https://www.bfmtv.com/tech/cybersecurite/la-france-est-une-passoire-en-matiere-de-cybersecurite-gites-de-france-confirme-avoir-ete-victime-d-une-attaque-plus-de-389-000-clients-pourraient-concernes_AD-202605180324.html

La Tribune, « Après Pierre et Vacances, Belambra touché à son tour par une fuite de données » : https://www.latribune.fr/article/economie/230111076531714/apres-pierre-et-vacances-belambra-touche-a-son-tour-par-une-fuite-de-donnees

Le Dauphiné Libéré, « Pierre et Vacances-Center Parcs : 1,6 million de réservations concernées par une fuite de données » : https://www.ledauphine.com/economie/2026/05/15/pierre-et-vacances-center-parcs-1-6-million-de-reservations-concernees-par-une-fuite-de-donnees

The Site Oueb, « Gîtes de France piratée : vos données de vacances depuis 30 ans dans la nature ? » : https://www.thesiteoueb.net/actualite/article-9531-gites-de-france-piratee-vos-donnees-de-vacances-depuis-30-ans-dans-la-nature.html