Pierre & Vacances-Center Parcs : fuite de données clients

Le groupe Pierre & Vacances-Center Parcs, coté en Bourse, a confirmé le 15 mai 2026 avoir été victime d’un incident de sécurité ayant entraîné l’exposition de données personnelles liées à sa plateforme de réservation. L’affaire a émergé après la publication d’une revendication, les 14 et 15 mai 2026, par un acteur malveillant utilisant le pseudonyme ChimeraZ sur un forum cybercriminel. Le groupe a notifié la CNIL et déposé une plainte contre X, conformément aux obligations du RGPD.

Selon les éléments concordants rapportés par plusieurs médias français, les données concernées comprennent des noms et prénoms, des dates de naissance, des numéros de téléphone, des numéros de dossier de réservation, des logements et dates de séjour, l’historique des séjours et des commentaires de vacanciers. Le groupe affirme qu’aucune donnée bancaire ni adresse e-mail n’a été collectée. Plusieurs marques sont citées, dont Pierre & Vacances, Center Parcs et Maeva, certains articles mentionnant aussi des partenaires sans confirmation officielle de leur exposition.

Sur l’ampleur, le groupe évoque 1,6 million de réservations affectées, tandis que le pirate revendique environ 4,5 millions de profils clients actuels et anciens, avec un historique remontant sur dix à vingt ans selon les échantillons. Le chiffre de 4,5 millions provient en partie de la revendication de l’attaquant et doit être considéré avec prudence, même s’il a été largement repris. La cause technique évoquée est une faille de contrôle d’accès de type IDOR, permettant d’accéder à des données par la manipulation d’identifiants.

Les faits sont confirmés par l’organisation elle-même et recoupés par plusieurs sources de presse indépendantes, ce qui justifie un niveau de confiance élevé. Les principaux risques pour les personnes concernées portent sur des campagnes d’hameçonnage ciblé exploitant des informations de séjour crédibles, en particulier à l’approche de la saison estivale. À la date de rédaction, aucune sanction ou décision de la CNIL n’a été publiée, l’instruction étant à un stade initial.