Le 20 octobre 2026, l'Office fédéral de la cybersécurité (OFCS), centre de compétences de la Confédération, a signalé une nouvelle arnaque visant TWINT, l'application suisse de paiement mobile. Des escrocs tentent de prendre le contrôle de comptes TWINT par un hameçonnage lié aux réservations d'hôtels. Leurs méthodes ressemblent à celles de l'hameçonnage aux petites annonces, précise l'office. Les autorités et les entreprises visées donnent des signaux concrets pour repérer ces pièges, et l'OFCS une marche à suivre après coup.
Cette page traite des seules escroqueries. L'installation de l'application et son usage au quotidien sont décrits dans notre page sur comment fonctionne TWINT.
TWINT sert au quotidien, en magasin comme en ligne. Selon son site, 4 magasins sur 5 et plus de 84 % des boutiques en ligne en Suisse l'acceptent. L'application sert aussi entre particuliers : elle permet d'« envoyer et demander de l'argent ou partager des factures », d'après la même page.
Quelles arnaques TWINT sont signalées en Suisse ?
Les alertes publiées en octobre 2026 dessinent cinq familles de pièges. Toutes ne citent pas TWINT nommément : le tableau les présente comme des exemples datés.
| Piège | Exemple daté | Ce qui doit alerter | Source |
|---|---|---|---|
| Hameçonnage lié aux réservations d'hôtels | 20 octobre 2026 | Les escrocs visent désormais les comptes TWINT et d'e-banking, plus seulement les cartes de crédit | OFCS |
| Faux messages WhatsApp avec de vraies données | Octobre 2026, clients de TCS Camping | Un lien ou une demande de paiement par WhatsApp, que TCS Camping n'envoie pas | TCS, cité par ICTjournal |
| Fausse alerte de connexion | 14 octobre 2026, au nom de PostFinance | Un message qui pousse à se connecter par un lien | PSC |
| Faux remboursement | 21 octobre 2026, au nom du ministère britannique des Finances | Une promesse d'argent à recevoir | PSC |
| Fausse boutique « suisse » | 13 octobre 2026 | Domaine .ch et histoire locale, mais mentions légales à l'étranger et entrepôt en Asie | OFCS |
Les deux alertes de la Prévention Suisse de la Criminalité (PSC) figurent sur son site skppsc.ch, dans sa liste de mises en garde. La première imite PostFinance, l'établissement financier de La Poste. La seconde se réclame du HM Treasury et promet un remboursement.
Arnaque TWINT sur une petite annonce : que sait-on ?
L'hameçonnage aux petites annonces est une méthode connue de l'OFCS : l'office s'en sert comme point de comparaison pour décrire la variante du 20 octobre 2026. Le résumé publié sur sa page d'accueil ne détaille pas son déroulement pas à pas. Nous ne le reconstituons donc pas ici.
Un point découle de la description de l'application elle-même. Selon TWINT, la fonction « Entre amis » sert à envoyer de l'argent, mais aussi à en demander. Notre analyse : une demande reçue dans l'application invite celui qui la reçoit à payer. Un vendeur qui attend l'argent de son acheteur n'a rien à payer. Une demande qui lui arrive à ce moment doit donc l'arrêter.
La même prudence vaut à la caisse. TWINT y décrit un geste simple : scanner le code QR, puis confirmer le paiement. Notre analyse : chaque confirmation dans l'application engage de l'argent, et mérite d'être lue avant d'être validée.
Pourquoi un faux message paraît-il si crédible ?
Certains escrocs se servent de vraies informations. Le cas de TCS Camping, la branche camping du Touring Club Suisse (TCS), le montre. Des données de ses clients ont été volées chez Camping.care, le prestataire qui gère ses réservations. Selon le magazine informatique ICTjournal, le 27 octobre 2026, quelque 15'000 clients ont été avertis de tentatives d'escroquerie sur WhatsApp.
D'après le courrier du TCS cité par ICTjournal, les faux messages reprennent des noms, des numéros de téléphone et des numéros de réservation existants. Les coordonnées bancaires et les IBAN ne sont pas concernés, selon le TCS. Le camping Hüttenberg, en Thurgovie, met lui aussi en garde ses clients contre des messages semblables. 2clics a détaillé l'affaire dans son article « TCS Camping : fuite de données et faux messages WhatsApp ».
Ce que l'on publie soi-même nourrit aussi ces arnaques. L'OFCS a consacré son Cyber Security Month 2026 au partage excessif d'informations, l'« oversharing ». Selon l'office, une photo, un lieu ou un nom semblent anodins pris isolément. Combinés, ils dressent un portrait précis « qu'un criminel peut exploiter de manière ciblée ».
Comment repérer une escroquerie TWINT avant de payer ?
Les sources consultées donnent plusieurs signaux concrets. Aucun ne suffit seul, mais chacun justifie de s'arrêter :
- un lien ou une demande de paiement reçus par messagerie au nom d'une entreprise ; TCS Camping, par exemple, n'envoie ni liens ni demandes de paiement par WhatsApp ;
- un message qui cite une vraie réservation : le TCS prévient que les données volées peuvent servir à de nouvelles tentatives d'hameçonnage ; notre analyse : connaître ce numéro ne prouve pas l'identité de l'expéditeur ;
- une alerte de connexion avec un lien : l'OFCS conseille de ne jamais cliquer, mais de saisir soi-même l'adresse du service ;
- une promesse de remboursement inattendue, comme celle du faux courriel signalé par la PSC le 21 octobre 2026 ;
- une demande d'argent TWINT reçue alors que l'on attend un paiement ;
- une boutique qui se dit suisse : selon l'OFCS, un examen attentif de ses mentions légales ou de ses conditions générales révèle parfois une société établie à l'étranger.
Que faire si l'on s'est fait piéger sur TWINT ?
Il faut agir tout de suite. L'OFCS le rappelle dans sa page « Que faire en cas de compte piraté ou de fuite de données ? » : on découvre souvent le vol quand il est déjà trop tard. L'office y donne une marche à suivre :
- pour un compte bancaire ou un service financier, contacter immédiatement le prestataire ;
- changer aussitôt le mot de passe, si l'accès au compte est encore possible ;
- activer l'authentification à deux facteurs partout où c'est possible ;
- mettre à jour le système et les applications, puis lancer une analyse antivirus ;
- faire bloquer les cartes et vérifier ses relevés ;
- déposer plainte auprès de la police cantonale en cas de préjudice financier.
Côté TWINT, la page d'accueil renvoie à la foire aux questions, puis au chatbot et au service clientèle de l'application. La foire aux questions traite notamment le cas d'un paiement automatisé que l'utilisateur conteste. La page d'accueil consultée ne dit rien d'un paiement confirmé à la suite d'une tromperie.
Le signalement à l'OFCS reste utile, même après coup. L'office reçoit les annonces volontaires de cyberincidents de la population, et aide les personnes à mener les démarches nécessaires, selon son site.
Comment mieux protéger son compte à l'avance ?
Repérer une intrusion tôt aide à la stopper, selon l'OFCS. L'office conseille de surveiller les connexions faites depuis des lieux ou à des heures inhabituels ; Apple, Google ou Microsoft envoient une notification dans ces cas. Le 19 octobre 2026, l'office a aussi publié une classification des méthodes de connexion en cinq niveaux, de « faible » à « élevé ». Selon le compte rendu de 2clics, ce n'est pas une certification, mais une référence pour choisir une solution.
Les commerçants qui encaissent par TWINT se posent d'autres questions, de coût surtout : elles sont traitées dans notre page sur les frais TWINT pour le commerçant. Les autres moyens de paiement sont suivis dans notre rubrique sur les paiements numériques en Suisse.
Chiffres clés
- 15'000 clients de TCS Camping avertis de tentatives d'escroquerie sur WhatsApp, selon ICTjournal le 27 octobre 2026 ;
- 4 magasins sur 5 et plus de 84 % des boutiques en ligne en Suisse acceptent TWINT, selon le site de TWINT ;
- 5 niveaux dans la classification des méthodes d'authentification publiée par l'OFCS le 19 octobre 2026.
Ce qu'on ne sait pas encore
- le nombre de victimes d'arnaques TWINT en Suisse : le résumé de l'OFCS du 20 octobre 2026 ne le chiffre pas ;
- le déroulement précis de l'hameçonnage aux petites annonces, que les pages consultées nomment sans le décrire ;
- si TWINT ou les banques remboursent un paiement confirmé à un escroc : les sources consultées ne le disent pas ;
- les protections techniques de l'application, comme le code ou la biométrie demandés pour payer ;
- les conseils de sécurité de TWINT lui-même, absents de sa page d'accueil.
Sources
- Office fédéral de la cybersécurité, page d'accueil et actualités de l'OFCS, dont « Semaine 42 : Des comptes TWINT ciblés par une nouvelle variante d'hameçonnage liée aux réservations d'hôtels » (20 octobre 2026), « Semaine 41 : Quand la référence à la Suisse est trompeuse » (13 octobre 2026) et « Cyber Security Month 2026 : « Oversharing » » (5 octobre 2026)
- Prévention Suisse de la Criminalité, page d'accueil de skppsc.ch, alertes du 14 et du 21 octobre 2026
- TWINT, page d'accueil clients privés, consultée le 30 octobre 2026
- ICTjournal, « PHP2Shell: des escrocs ciblent les campeurs suisses », 27 octobre 2026, cité par 2clics.com dans « TCS Camping : fuite de données et faux messages WhatsApp »
- Office fédéral de la cybersécurité, « Que faire en cas de compte piraté ou de fuite de données ? » et « Cinq étapes pour une authentification sécurisée » (19 octobre 2026), cités par 2clics.com dans « Fraude en ligne : des navigateurs antidetect dopés à l'IA » et « TWINT : comment fonctionne l'application suisse de paiement »
