Le Touring Club Suisse (TCS) a confirmé un vol de données de clients de TCS Camping, sa branche camping, auprès de l'agence Keystone-ATS et de l'émission Espresso de la radio-télévision alémanique SRF. Les données ont été dérobées chez Camping.care, le prestataire externe qui gère les réservations de TCS Camping, en lien avec les failles critiques du langage de programmation PHP. Selon le magazine informatique ICTjournal, le 27 octobre 2026, quelque 15'000 clients ont été avertis de tentatives d'escroquerie sur la messagerie WhatsApp.
Les escrocs se servent de vraies informations de réservation pour paraître crédibles. D'après le courrier envoyé par le TCS à ses clients, cité par ICTjournal et par le site alémanique Inside IT, les messages frauduleux reprennent des noms, des numéros de téléphone et des numéros de réservation existants. Les coordonnées bancaires et les IBAN ne sont pas concernés, selon le TCS.
Arnaque WhatsApp : ce que doit faire un client de TCS Camping
La règle la plus utile vient du TCS lui-même : TCS Camping n'envoie ni détails de réservation automatisés, ni liens, ni demandes de paiement par WhatsApp. Un message de ce type qui se réclame de TCS Camping est donc suspect, même s'il cite une réservation réelle.
Le TCS appelle à la prudence au-delà de cette première vague. Il avertit que les données volées peuvent servir à de nouvelles tentatives d'hameçonnage, ou phishing. Notre analyse : trois gestes découlent de ces mises en garde.
- ne pas suivre le lien et ne rien payer à la suite d'un message WhatsApp qui évoque une réservation TCS Camping ;
- se méfier aussi des appels, SMS ou courriels qui citent un numéro de réservation : connaître ce numéro ne prouve pas que l'expéditeur est le TCS ;
- signaler le message à l'Office fédéral de la cybersécurité (OFCS), qui reçoit les annonces volontaires de cyberincidents de la population, comme le rappelait 2clics dans son article sur la faille PHP PHP2Shell.
Le scénario n'est pas nouveau. Le 20 octobre 2026, l'OFCS décrivait une arnaque liée aux réservations d'hôtels, qui visait surtout les cartes de crédit. Dans ses nouvelles variantes, les escrocs tentaient aussi de prendre le contrôle de comptes TWINT et d'e-banking, comme le relevait 2clics dans un article sur la sensibilisation des employés au phishing.
TCS Camping n'est pas le seul concerné. Selon ICTjournal, le camping Hüttenberg, dans le canton de Thurgovie, met lui aussi en garde sur son site web contre des messages WhatsApp frauduleux contenant de vraies informations de réservation. Son exploitant suppose que des données de réservation ont été utilisées sans autorisation.
Quel lien avec la faille PHP2Shell ?
Selon Inside IT, les failles de PHP avaient été rendues publiques la semaine précédente. Baptisées PHP2Shell, elles permettent d'exécuter du code sur un serveur web sans authentification. Référencées CVE-2026-109618 et CVE-2026-109619, elles sont notées 9,2 sur 10. Les correctifs sont disponibles depuis le 21 octobre 2026, et l'OFCS a recommandé de les installer immédiatement.
Les attaquants n'ont pas attendu les correctifs. Selon Bleeping Computer, site d'information spécialisé en sécurité informatique cité par 2clics, les tentatives d'exploitation ont commencé quatre jours avant leur publication. Le 22 octobre 2026, l'entreprise Risikomonitor comptait un peu plus de 23'000 serveurs encore exposés parmi près de 690'000 serveurs liés à la Suisse.
Notre analyse : jusqu'ici, les sources de 2clics ne faisaient état d'aucune intrusion réussie en Suisse. Le cas de TCS Camping est le premier vol de données suisse lié aux failles de PHP que 2clics rapporte. Selon le TCS, la faille a depuis été corrigée.
Un prestataire attaqué, plusieurs clients exposés
Le schéma rappelle les cyberattaques contre les caisses de pension. Dans les deux cas, ce sont les systèmes d'un fournisseur qui ont été visés, et pas d'abord ceux de l'organisation dont les clients sont touchés.
| Organisation touchée | Prestataire attaqué | Données concernées selon les sources |
|---|---|---|
| TCS Camping et camping Hüttenberg | Camping.care, réservations | Selon le TCS : noms, numéros de téléphone, numéros de réservation ; pas d'IBAN |
| Caisse de pension de la Ville de Zurich | Fournisseur de logiciel non nommé | Dans le pire des cas : coordonnées, numéro d'assurance sociale, IBAN, données de prévoyance |
| Caisse fédérale de pensions Publica, Caisse de pension bernoise (BPK), Caisse d'assurance du corps enseignant bernois (BLVK) | PK Softech, logiciels de caisses de pension | Pas encore établies ; enquête du Préposé en cours |
Le cas zurichois, rapporté le 16 octobre 2026 dans l'article sur la caisse de pension de Zurich, pouvait toucher des données bien plus sensibles. Pour PK Softech, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a ouvert le 23 octobre 2026 une enquête sur PK Softech. Il veut établir quelles données les caisses avaient confiées au prestataire.
Fuite de données : ce que prévoit le cadre suisse
En Suisse, deux guichets fédéraux reçoivent les signalements, avec des rôles distincts. Le Préposé s'occupe de la protection des données personnelles. L'OFCS traite l'incident sous l'angle technique. Pour une PME, le signalement à l'OFCS reste volontaire ; seuls les exploitants d'infrastructures critiques y sont tenus depuis le 1er avril 2025.
Les annonces au Préposé augmentent. Son titulaire, Adrian Lobsiger, a reçu 455 annonces de violation de la sécurité des données depuis le début de 2026, contre 343 sur toute l'année 2025. Il l'a indiqué le 25 octobre 2026, en estimant que bien des violations de données en Suisse ne lui parviennent jamais.
Les précédents montrent la pratique. PK Softech a elle-même signalé l'attaque au Préposé le 8 octobre 2026, et le magazine en ligne Republik lui a annoncé le vol de données de ses utilisateurs. Les sources consultées ne détaillent pas les critères ni le délai que fixe la loi sur la protection des données (nLPD) pour une telle annonce.
Pour une PME qui confie ses réservations ou son fichier clients à un prestataire, deux conseils ressortent des sources de 2clics. Il s'agit de demander au fournisseur s'il a appliqué le correctif PHP2Shell, et de ne lui transmettre que les données strictement nécessaires, comme le recommande le Préposé.
Ce qu'on ne sait pas encore
- Le nombre de clients dont les données ont réellement été volées : les 15'000 clients ont été avertis à titre préventif, selon ICTjournal.
- La date de l'intrusion chez Camping.care et la faille exacte utilisée.
- Le nombre d'autres campings, en Suisse ou ailleurs, qui travaillent avec Camping.care et pourraient être concernés.
- Si le TCS ou Camping.care ont annoncé l'incident au Préposé ou à l'OFCS : les sources consultées ne le disent pas.
- L'identité des auteurs des messages WhatsApp.
