Il 20 ottobre 2026 l'Ufficio federale della cibersicurezza (UFCS), centro di competenza della Confederazione, ha segnalato una nuova truffa che prende di mira TWINT, l'applicazione svizzera di pagamento mobile. Alcuni truffatori cercano di prendere il controllo di conti TWINT tramite un phishing legato alle prenotazioni alberghiere. I loro metodi somigliano a quelli del phishing sugli annunci online, precisa l'Ufficio. Le autorità e le aziende prese di mira forniscono segnali concreti per riconoscere queste trappole, e l'UFCS una procedura da seguire a posteriori.
Questa pagina tratta soltanto delle truffe. L'installazione dell'applicazione e il suo uso quotidiano sono descritti nella nostra pagina su come funziona TWINT.
TWINT si usa tutti i giorni, nei negozi come online. Secondo il suo sito, 4 negozi su 5 e oltre l'84% dei negozi online in Svizzera lo accettano. L'applicazione serve anche tra privati: permette di «inviare e richiedere denaro o dividere fatture», secondo la stessa pagina.
Quali truffe TWINT sono segnalate in Svizzera?
Gli avvisi pubblicati nell'ottobre 2026 delineano cinque famiglie di trappole. Non tutti citano TWINT per nome: la tabella li presenta come esempi datati.
| Trappola | Esempio datato | Che cosa deve insospettire | Fonte |
|---|---|---|---|
| Phishing legato alle prenotazioni alberghiere | 20 ottobre 2026 | I truffatori ora prendono di mira i conti TWINT e di e-banking, non più soltanto le carte di credito | UFCS |
| Falsi messaggi WhatsApp con dati veri | Ottobre 2026, clienti di TCS Camping | Un link o una richiesta di pagamento via WhatsApp, che TCS Camping non invia | TCS, citato da ICTjournal |
| Falso avviso di accesso | 14 ottobre 2026, a nome di PostFinance | Un messaggio che spinge ad accedere tramite un link | PSC |
| Falso rimborso | 21 ottobre 2026, a nome del ministero britannico delle Finanze | Una promessa di denaro da ricevere | PSC |
| Falso negozio «svizzero» | 13 ottobre 2026 | Dominio .ch e storia locale, ma note legali all'estero e magazzino in Asia | UFCS |
I due avvisi della Prevenzione Svizzera della Criminalità (PSC) figurano sul suo sito skppsc.ch, nella sua lista di avvertimenti. Il primo imita PostFinance, l'istituto finanziario della Posta. Il secondo si spaccia per l'HM Treasury e promette un rimborso.
Truffa TWINT su un annuncio online: che cosa si sa?
Il phishing sugli annunci online è un metodo noto all'UFCS: l'Ufficio lo usa come termine di paragone per descrivere la variante del 20 ottobre 2026. Il riassunto pubblicato sulla sua pagina iniziale non ne descrive lo svolgimento passo dopo passo. Per questo non lo ricostruiamo qui.
Un punto discende dalla descrizione dell'applicazione stessa. Secondo TWINT, la funzione «Tra amici» serve a inviare denaro, ma anche a richiederlo. La nostra analisi: una richiesta ricevuta nell'applicazione invita chi la riceve a pagare. Un venditore che aspetta il denaro del suo acquirente non ha nulla da pagare. Una richiesta che gli arriva in quel momento deve quindi fermarlo.
La stessa prudenza vale alla cassa. TWINT vi descrive un gesto semplice: scansionare il codice QR, poi confermare il pagamento. La nostra analisi: ogni conferma nell'applicazione impegna denaro, e merita di essere letta prima di essere convalidata.
Perché un falso messaggio sembra così credibile?
Alcuni truffatori si servono di informazioni vere. Lo dimostra il caso di TCS Camping, il ramo campeggio del Touring Club Svizzero (TCS). Dati dei suoi clienti sono stati rubati presso Camping.care, il fornitore che gestisce le sue prenotazioni. Secondo la rivista informatica ICTjournal, il 27 ottobre 2026 circa 15'000 clienti sono stati avvertiti di tentativi di truffa su WhatsApp.
Secondo la lettera del TCS citata da ICTjournal, i falsi messaggi riprendono nomi, numeri di telefono e numeri di prenotazione esistenti. Le coordinate bancarie e gli IBAN non sono coinvolti, secondo il TCS. Anche il campeggio Hüttenberg, in Turgovia, mette in guardia i suoi clienti da messaggi simili. 2clics ha descritto la vicenda nel dettaglio nel suo articolo «TCS Camping : fuite de données et faux messages WhatsApp».
Anche ciò che si pubblica di persona alimenta queste truffe. L'UFCS ha dedicato il suo Cyber Security Month 2026 alla condivisione eccessiva di informazioni, l'«oversharing». Secondo l'Ufficio, una foto, un luogo o un nome sembrano innocui presi singolarmente. Combinati, tracciano un ritratto preciso «che un criminale può sfruttare in modo mirato».
Come riconoscere una truffa TWINT prima di pagare?
Le fonti consultate forniscono diversi segnali concreti. Nessuno basta da solo, ma ognuno giustifica una pausa:
- un link o una richiesta di pagamento ricevuti tramite messaggistica a nome di un'azienda; TCS Camping, per esempio, non invia né link né richieste di pagamento via WhatsApp;
- un messaggio che cita una prenotazione vera: il TCS avverte che i dati rubati possono servire a nuovi tentativi di phishing; la nostra analisi: conoscere quel numero non prova l'identità del mittente;
- un avviso di accesso con un link: l'UFCS consiglia di non cliccare mai, ma di digitare personalmente l'indirizzo del servizio;
- una promessa di rimborso inattesa, come quella della falsa e-mail segnalata dalla PSC il 21 ottobre 2026;
- una richiesta di denaro TWINT ricevuta mentre si aspetta un pagamento;
- un negozio che si dice svizzero: secondo l'UFCS, un esame attento delle sue note legali o delle sue condizioni generali rivela talvolta una società con sede all'estero.
Che cosa fare se si è caduti in una trappola su TWINT?
Bisogna agire subito. L'UFCS lo ricorda nella sua pagina «Que faire en cas de compte piraté ou de fuite de données ?»: spesso si scopre il furto quando è già troppo tardi. L'Ufficio vi indica una procedura da seguire:
- per un conto bancario o un servizio finanziario, contattare immediatamente il fornitore;
- cambiare subito la password, se l'accesso al conto è ancora possibile;
- attivare l'autenticazione a due fattori ovunque sia possibile;
- aggiornare il sistema e le applicazioni, poi avviare una scansione antivirus;
- far bloccare le carte e controllare i propri estratti conto;
- sporgere denuncia presso la polizia cantonale in caso di danno finanziario.
Sul fronte di TWINT, la pagina iniziale rimanda alle domande frequenti, poi al chatbot e al servizio clienti dell'applicazione. Le domande frequenti trattano in particolare il caso di un pagamento automatizzato che l'utente contesta. La pagina iniziale consultata non dice nulla di un pagamento confermato in seguito a un inganno.
La segnalazione all'UFCS resta utile, anche a posteriori. L'Ufficio riceve le notifiche volontarie di ciberincidenti da parte della popolazione, e aiuta le persone a svolgere le pratiche necessarie, secondo il suo sito.
Come proteggere meglio il proprio conto in anticipo?
Individuare presto un'intrusione aiuta a fermarla, secondo l'UFCS. L'Ufficio consiglia di sorvegliare gli accessi effettuati da luoghi o in orari insoliti; Apple, Google o Microsoft inviano una notifica in questi casi. Il 19 ottobre 2026 l'Ufficio ha anche pubblicato una classificazione dei metodi di accesso in cinque livelli, da «basso» a «elevato». Secondo il resoconto di 2clics, non si tratta di una certificazione, ma di un riferimento per scegliere una soluzione.
I commercianti che incassano con TWINT si pongono altre domande, soprattutto di costi: sono trattate nella nostra pagina sui costi TWINT per il commerciante. Gli altri mezzi di pagamento sono seguiti nella nostra rubrica sui pagamenti digitali in Svizzera.
Cifre chiave
- 15'000 clienti di TCS Camping avvertiti di tentativi di truffa su WhatsApp, secondo ICTjournal il 27 ottobre 2026;
- 4 negozi su 5 e oltre l'84% dei negozi online in Svizzera accettano TWINT, secondo il sito di TWINT;
- 5 livelli nella classificazione dei metodi di autenticazione pubblicata dall'UFCS il 19 ottobre 2026.
Che cosa non si sa ancora
- il numero di vittime di truffe TWINT in Svizzera: il riassunto dell'UFCS del 20 ottobre 2026 non lo quantifica;
- lo svolgimento preciso del phishing sugli annunci online, che le pagine consultate nominano senza descriverlo;
- se TWINT o le banche rimborsano un pagamento confermato a un truffatore: le fonti consultate non lo dicono;
- le protezioni tecniche dell'applicazione, come il codice o la biometria richiesti per pagare;
- i consigli di sicurezza di TWINT stesso, assenti dalla sua pagina iniziale.
Fonti
- Ufficio federale della cibersicurezza, pagina iniziale e attualità dell'UFCS, tra cui «Semaine 42 : Des comptes TWINT ciblés par une nouvelle variante d'hameçonnage liée aux réservations d'hôtels» (20 ottobre 2026), «Semaine 41 : Quand la référence à la Suisse est trompeuse» (13 ottobre 2026) e «Cyber Security Month 2026 : « Oversharing »» (5 ottobre 2026)
- Prevenzione Svizzera della Criminalità, pagina iniziale di skppsc.ch, avvisi del 14 e del 21 ottobre 2026
- TWINT, pagina iniziale clienti privati, consultata il 30 ottobre 2026
- ICTjournal, «PHP2Shell: des escrocs ciblent les campeurs suisses», 27 ottobre 2026, citato da 2clics.com in «TCS Camping : fuite de données et faux messages WhatsApp»
- Ufficio federale della cibersicurezza, «Que faire en cas de compte piraté ou de fuite de données ?» e «Cinq étapes pour une authentification sécurisée» (19 ottobre 2026), citati da 2clics.com in «Fraude en ligne : des navigateurs antidetect dopés à l'IA» e «TWINT : comment fonctionne l'application suisse de paiement»
