Ta voisine a raison, et elle n’est absolument pas parano. Ce petit rectangle de code-barres imprimé sur une carte d’embarquement, celui qu’on trouve moche et qu’on planque instinctivement avant la photo souvenir sur Instagram, contient bien plus d’informations que ton nom et ton numéro de vol. On parle ici d’un format standardisé par l’IATA, le fameux BCBP (Bar Coded Boarding Pass), et il stocke une bonne partie de ta vie de voyageur en clair, sans aucun chiffrement.
À retenir
- Le code-barres d’une carte d’embarquement encode des données sensibles sans chiffrement, y compris la clé d’accès à votre compte
- Une technique de piratage vieille de 11 ans fonctionne toujours : extraire le PNR et le nom pour accéder au portail de gestion
- Flouter simplement le texte ne protège rien — seul le masquage complet du code-barres avec un objet opaque est efficace
Ce que cache vraiment ce petit rectangle noir et blanc
Le code-barres d’une carte d’embarquement, souvent au format PDF417, encode ton nom complet, le numéro de vol, la date, l’aéroport de départ et d’arrivée, ton siège attribué, et surtout ton numéro de réservation, le fameux PNR (Passenger Name Record). Le code-barre d’une carte d’embarquement contient des informations sensibles codées, généralement au format PDF417, incluant le nom complet, la date de naissance, le numéro de passeport, les détails du vol et le numéro de billet et PNR. Et ce PNR, c’est la clé de voûte du problème.
Sur la plupart des sites de compagnies aériennes, se connecter à l’espace « Gérer ma réservation » ne demande que deux informations : le PNR et ton nom de famille. L’exploit fonctionne parce que la plupart des portails de compagnies aériennes n’utilisent que le PNR et le nom de famille comme clé de connexion, et les deux sont encodés dans le code-barres en texte brut. une simple photo, même en basse résolution, équivaut à donner les clés de ton compte à un inconnu.
Un piratage qui date de 2015 (et qui marche toujours en 2026)
L’histoire la plus citée dans le milieu de la cybersécurité remonte à 2015, quand le journaliste spécialisé Brian Krebs a démontré ce qu’un simple ami un peu curieux pouvait faire avec une photo de carte d’embarquement postée en ligne. L’histoire de sécurité de carte d’embarquement la plus citée dans l’industrie est aussi la plus simple : en 2015, le journaliste de sécurité Brian Krebs a expliqué comment la photo d’une carte d’embarquement partagée par un ami s’est transformée en piratage complet de compte. Krebs a décodé le code-barres avec une application gratuite, extrait le numéro de réservation et le nom de famille, puis utilisé ces deux valeurs pour se connecter au portail « Gérer ma réservation » de la compagnie, où il a pu consulter l’adresse, modifier les sièges, annuler des vols futurs et voir l’itinéraire complet. Onze ans plus tard, cette faille n’a toujours pas disparu du paysage.
Un chercheur en sécurité a même publié en juin 2026 une analyse sur une compagnie américaine low-cost montrant qu’une carte d’embarquement pouvait servir de véritable passe-partout numérique. C’est un format BCBP défini par l’IATA qui contient le nom complet, le PNR et les détails du vol, le tout en texte brut, et n’importe quelle application de lecture de code-barres peut le décoder en quelques secondes. Et le pire, c’est que masquer le texte visible ne sert quasiment à rien. Même en noircissant le nom et le numéro de confirmation sur la photo, le code-barres révèle tout, et la plupart des gens pensent être prudents en cachant le texte alors qu’ils ne le sont pas. Selon ce chercheur, une fois dans le système avec juste un PNR et un nom de famille, on peut récupérer des numéros de passeport, des adresses personnelles, des détails de carte bancaire, la date de naissance des enfants, l’objet de réservation interne complet.
Vol de miles, annulation de vols, hameçonnage ciblé
Le fantasme classique, c’est l’usurpation d’identité totale. La réalité est un peu plus prosaïque mais tout aussi embêtante. Avec un PNR récupéré, un escroc peut modifier ta réservation, annuler ton vol retour ou toucher à ton compte de fidélité. Même si seul le code-barre du billet d’avion est visible sur l’image, les pirates peuvent le scanner et trouver le nom complet, le numéro de réservation et parfois les coordonnées, données exploitables pour annuler un vol retour ou voler de l’argent sur une carte de paiement.
Il y a aussi un usage plus insidieux : le harponnage personnalisé, cette technique de phishing hyper-ciblée qui devient redoutablement crédible quand l’attaquant connaît déjà ton nom, ton vol et ta destination. Des individus malveillants peuvent élaborer des attaques de spear-phishing en utilisant les informations récupérées sur une carte d’embarquement, comme un email proposant un surclassement gratuit en classe affaires en récompense de la compagnie aérienne. Une étude a chiffré l’ampleur du phénomène sur les réseaux sociaux : environ 140 000 images taguées #boardingpass rien que sur Instagram, un vivier immense pour qui cherche des cibles faciles. Et la même étude rappelle une statistique qui donne le vertige : seuls 13 % des jeunes adultes utilisateurs de réseaux sociaux interrogés avaient conscience des risques liés au partage de leur carte d’embarquement en ligne.
Le bon réflexe (spoiler : ce n’est pas le simple floutage)
Alors, que faire concrètement ? D’abord, oublie l’idée de simplement flouter le texte ou noircir ton nom sur la photo, puisque le code-barres, lui, reste parfaitement lisible et raconte tout. La seule protection valable, c’est de masquer entièrement le code-barres avec un objet opaque avant de shooter la photo, exactement comme le fait ta voisine. Ensuite, une fois le vol terminé, la carte papier ne doit surtout pas finir froissée dans une poubelle d’aéroport ou oubliée dans un sac : les professionnels de la sécurité conseillent de déchirer ces documents après le voyage pour les rendre inutilisables.
Dernier point, souvent ignoré : si tu as déjà publié une photo de carte d’embarquement par le passé, il est probablement trop tard pour la retirer proprement du web. Récupérer des données de carte d’embarquement fuitées s’avère quasiment impossible une fois qu’elles ont été publiées, et espérer que les visiteurs ignorent les détails importants relève du vœu pieux. Dans le doute, le réflexe le plus simple reste le plus efficace : privilégie la carte d’embarquement numérique sur ton téléphone, ne montre jamais le code-barres à l’objectif, et garde ta fierté du départ en vacances pour le paysage vu du hublot, pas pour ta réservation.
Sources : letribunaldunet.fr | routard.com