Seat spinning : comment les bots faussent les données de demande des compagnies aériennes

Un vol affiche complet. Quelques heures avant le départ, des sièges réapparaissent. Rien n’a été remboursé, alors que s’est-il passé ?

Souvent, ce sont des bots. Ils réservent des sièges, ne paient jamais, et laissent la réservation expirer. Vos données de demande ne sont plus que du bruit, les tarifs grimpent, et les vrais voyageurs réservent ailleurs.

Points clés

• Le seat spinning est une attaque de bots dans laquelle des scripts automatisés placent des sièges d’avion en attente, ne paient jamais, et laissent les réservations expirer avant de recommencer. Les revendeurs non autorisés l’utilisent pour revendre des billets avec une majoration, et les concurrents l’utilisent pour empêcher les vrais clients d’acheter.
• Chaque étape d’un « spin », de la recherche à la sélection de siège en passant par la réservation, est une action de réservation valide. Les WAF et les CAPTCHA le laissent donc passer. L’abus ne se révèle que dans la séquence.
• Le seat spinning fausse les ratios de recherche à réservation (look-to-book) et les données de demande, fait paraître les vols plus remplis qu’ils ne le sont, et peut faire monter les tarifs, ce qui pousse les voyageurs vers des revendeurs ou des concurrents.
• Pour détecter le spinning de sièges dans vos propres données, comparez les ratios de réservation/billets par session, IP, et appareil, puis recherchez les réservations répétées sur le même vol et les vols qui rouvrent à la vente après avoir affiché complet.
• Arrêter le seat spinning suppose une détection basée sur l’intention, ce qui vous permet de bloquer l’automatisation malveillante sans ajouter de friction pour les vrais voyageurs.

Qu’est-ce que le seat spinning ?

Le seat spinning consiste, pour des bots, à placer des sièges d’avion en attente, à ne jamais payer et à laisser la réservation expirer. Puis à recommencer. Les opérateurs ont recours à cette technique pour deux raisons principales : des revendeurs non autorisés bloquent les sièges pour les revendre avec une majoration, ou des concurrents les bloquent pour que les vrais clients ne puissent pas acheter. Dans les deux cas, les compagnies aériennes se retrouvent avec des données de demande faussées.

C’est la version aérienne du déni d’inventaire, aussi appelé inventory hoarding, où des bots placent à plusieurs reprises un stock limité dans le panier et ne finalisent jamais l’achat. Ce n’est pas du scraping, qui copie vos tarifs et contenus, ni du détournement de compte de fidélité, qui vole les points de vos clients. Le seat spinning exploite le parcours de réservation lui-même. 

Comment fonctionne une attaque de seta spinning ?

Un spin est une boucle. Chaque étape est une action de réservation normale. L’abus réside dans la séquence.

1. Recherche : le bot interroge les vols et les tarifs.
2. Sélection : il choisit des sièges sur les vols cibles.
3. Réservation : le système de réservation crée une réservation et verrouille les sièges. Aucun paiement n’est effectué.
4. Attente : le bot garde la réservation. Dans certains marchés, un siège peut être réservé gratuitement jusqu’à 24 heures avant que le paiement ne soit dû.
5. Libération et répétition : la réservation expire, et le bot réserve immédiatement les sièges à nouveau.

Pourquoi les attaquants se donnent-ils cette peine ? Deux raisons :

• La revente : des revendeurs non autorisés réservent l’inventaire sans risquer d’argent, puis vendent avec une majoration.
• Le sabotage : des concurrents bloquent les achats réels sur vos vols les plus fréquentés dans l’espoir que les clients réservent avec une autre compagnie aérienne.

Dans les deux cas, vos données de demande sont faussées, car un faux intérêt donne l’impression que les vols sont plus populaires qu’ils ne le sont.

Et parce que le seat spinning cible le fonctionnement de votre parcours de réservation, et non une faille de code, il peut passer inaperçu des outils de sécurité traditionnels.

Pourquoi le seat spinning coûte-t-il de l’argent aux compagnies aériennes ?

Le seat spinning aveugle la gestion des revenus des compagnies aériennes et pousse les clients vers les revendeurs. Il continue de fonctionner parce que la plupart des sites de voyage ne sont pas préparés à y faire face.

Le Rapport 2026 sur l’état de la sécurité des bots et des agents de DataDome a testé plus de 21 000 sites populaires. Seuls 38,5 % des sites de voyage et d’hôtellerie testés étaient entièrement ou partiellement protégés contre les bots et les agents AI usurpés. Les 61,5 % restants étaient totalement sans protection et n’ont arrêté aucun des bots de test.

« Les clients étant de plus en plus sensibles aux prix, les mécanismes de tarification dynamique deviennent une vulnérabilité lorsque le seat spinning n’est pas géré, car il gonfle artificiellement les prix là où il n’y a pas de demande réelle, ce qui pousse les voyageurs vers la concurrence et réduit les bénéfices sur les routes ciblées », a déclaré Simon Marchand, Senior Fraud & Risk Advisor chez DataDome.

Les dommages causés par le seat spinning se manifestent à quatre endroits :

• ratio look-to-book : les bots gonflent les recherches et les réservations, ce qui fait dériver les signaux de demande et les prévisions de revenus ;
• fausse rareté : les vols semblent complets, donc les moteurs de tarification augmentent les tarifs pour les acheteurs qui se présentent ;
• sièges vides : les places bloquées peuvent revenir à la toute dernière minute, trop tard pour être vendues ;
• attrition des clients : les voyageurs frustrés se tournent vers une agence de voyage en ligne ou un concurrent, et ne reviennent pas toujours.

Pourquoi les WAF et les CAPTCHA passent-ils à côté ?

Pour un WAF ou un CAPTCHA, le seat spinning ne ressemble pas à une attaque. Chaque requête est valide. Seule la séquence est abusive. C’est un abus de logique métier : pas d’exploitation, pas de charge utile malformée, rien qu’une signature puisse détecter.

Les WAF vérifient les requêtes une par une par rapport à des modèles d’attaque connus. Une recherche, une sélection de siège, une option posée sont toutes des actions légitimes, donc chacune passe. L’indice révélateur est l’intention sur l’ensemble de la session, qu’un WAF ne suit pas. La limitation de débit n’est pas plus efficace : les bots répartissent les réservations sur des milliers d’IP et de sessions, si bien qu’aucune source isolée ne paraît active.

Les CAPTCHA échouent pour deux raisons. Les réservations de sièges se produisent généralement avant la connexion ou le paiement, là où les défis se déclenchent rarement. Et quand c’est le cas, les bots qui utilisent des navigateurs headless, des proxys résidentiels et des services de résolution les franchissent, tandis que les vrais voyageurs sont ralentis.

Comment savoir si votre site est touché par le seat spinning ?

Pour identifier le seat spinning, commencez par examiner votre ratio blocages/billets et les blocages répétés. Votre équipe dispose déjà de ces indicateurs.

Extrayez 30 jours de données et vérifiez les points suivants :

Si plusieurs de ces signes apparaissent ensemble, des bots exploitent probablement votre parcours de réservation. L’étape suivante consiste à les stopper sans ralentir les vrais voyageurs.

Comment arrêter le seat spinning sans pénaliser les vrais clients ?

Pour prévenir le seat spinning sans créer de friction pour les vrais clients, vous voudrez évaluer l’intention derrière chaque session et bloquer les requêtes ayant une intention malveillante. 

Les contrôles traditionnels offrent une couverture aux fraudeurs, selon Simon Marchand, Senior Fraud & Risk Advisor chez DataDome : « Les fraudeurs peuvent délibérément générer des réservations que les systèmes traditionnels détecteront, pour donner l’impression que tout est sous contrôle, tandis que des agents d’IA plus sophistiqués contourneront tous ces contrôles en imitant le comportement humain : rotation d’IP résidentielles, empreinte d’appareil propre et données de géolocalisation adéquates pour rendre leur transaction crédible. Sans véritables capacités d’identification des agents et de suivi de l’intention, les compagnies aériennes volent à l’aveugle. »

Cela signifie que pour prévenir le seat spinning, les équipes doivent :

• évaluer l’intention derrière chaque requête. Identifier ce qu’une session essaie de faire, de la recherche à la réservation, en passant par la libération, révèle la boucle même derrière des IP en rotation et des empreintes digitales propres ;
• couvrir chaque parcours de réservation. Protégez le web, l’application mobile et les points d’accès API directs. Les bots vont là où vous ne regardez pas ;
• limiter les réservations par identité. Plafonnez les options par session et par appareil, et signalez les réservations répétées sur les mêmes vols ;
• ne déclencher de vérification qu’en cas de risque. Éviter les CAPTCHA systématiques. N’intervenez que lorsque une session semble suspecte ;
• laisser passer les agents de confiance. Les agents de voyage légitimes et les outils de réservation bloquent eux aussi des sièges. Distinguez-les de l’abus par l’intention, pas par le fait qu’ils soient automatisés. C’est là qu’Agent Trust intervient.

DataDome propose une solution de gestion de la confiance envers les bots et les agents qui vous aide précisément à cela. Notre moteur de détection propulsé par l’IA analyse chaque requête en moins de 2 ms, avec un taux de faux positifs inférieur à 0,01 %.

Quels résultats les équipes de voyage ont-elles obtenus avec DataDome ?

Dohop, une plateforme B2B au service de plus de 75 compagnies aériennes partenaires, constatait des pics de trafic de 10 à 100 fois supérieurs à la normale. Lors d’une évaluation de 7 jours en début de haute saison, DataDome a détecté 2,6 millions de requêtes de bots malveillants sur ses points d’accès, soit plus de 10 millions par extrapolation sur un mois.

Un an plus tard, pendant la même période de pointe, DataDome a bloqué 3,2 millions de mauvais bots en 30 jours. Cela représente 70 % de bots en moins ciblant ses plateformes par rapport à avant, et les API des compagnies partenaires sont protégées contre la surcharge. « Sans DataDome, nous ne pourrions pas faire fonctionner notre service de manière fiable », déclare Kristjan Gudni Bjarnason, CTO de Dohop.

Le défi de Dohop était le scraping, et non le seat spinning. L’enseignement reste valable : stoppez les bots dès la première requête, avant qu’ils n’atteignent vos systèmes de réservation, et votre inventaire, vos API et vos partenaires restent protégés pendant que votre équipe cesse de courir après les symptômes.

Stoppez le spin, pas vos clients

Le seat spinning fonctionne parce que rien n’y ressemble à une attaque. Chaque recherche, chaque sélection, et chaque option posée est une action de réservation légitime, donc l’abus ne se révèle que dans la séquence. Pendant ce temps, votre ratio de recherche à réservation, vos signaux de tarification, et vos données de demande cessent discrètement de dire la vérité.

Une fois que vous savez que le seat spinning se produit, la question suivante est de savoir comment le stopper sans ralentir les vrais voyageurs. Il y faut de l’intention, pas seulement des règles.

DataDome analyse l’intention derrière chaque requête sur votre site web, votre application et vos parcours de réservation par API. Il repère l’intention malveillante et stoppe les acteurs malveillants en périphérie, même lorsque l’automatisation malveillante est répartie sur des IP et des sessions en rotation. Ainsi, les vrais voyageurs et les agents de confiance passent directement, tandis que les bots perdent leur emprise sur votre inventaire.

Vos sièges doivent revenir à ceux qui les veulent vraiment. Réservez une démo pour voir comment DataDome protège votre flux de réservation.