Hameçonnage sur les réservations d'hôtel : faux cashback et comptes TWINT ciblés

Le 20 octobre 2026, l'Office fédéral de la cybersécurité (OFCS) a décrit dans sa revue hebdomadaire une nouvelle variante d'hameçonnage liée aux réservations d'hôtel. Les clients reçoivent un e-mail qui semble venir de l'hôtel où ils ont séjourné ou vont séjourner, avec leur nom, leurs dates et les détails exacts de la réservation. Le message promet un remboursement, mais son but est d'obtenir l'accès à l'e-banking et au compte TWINT de la victime.

Pour une région touristique comme le Tessin, le sujet concerne directement les hôtels, les logements de vacances, les chambres d'hôtes et ceux qui gèrent les réservations pour eux. Le point de départ n'est d'ailleurs pas le client : c'est le système de l'hôtel.

Comment fonctionne l'escroquerie

Selon l'OFCS, dans les cas actuels, les escrocs ont d'abord compromis le système de réservation ou la messagerie d'un hôtel. Ils ont ainsi obtenu les données de clients passés et actuels. Ils les contactent ensuite au nom de l'hôtel, depuis des adresses internet très proches de la vraie et avec une copie presque identique du site officiel.

Le message propose un prétendu cashback de 7,5 % sur le prix déjà payé. Sur le faux site, le client peut « demander » le remboursement et choisir de le recevoir sur son compte TWINT. Après le choix de sa banque, il arrive sur une page de connexion contrefaite où il saisit ses identifiants d'e-banking. Pendant que la victime est retenue dans la procédure de remboursement, les escrocs utilisent ces données pour se connecter au véritable e-banking et lui demandent, sous un prétexte, de confirmer le second facteur ou de transmettre un code. L'objectif décrit par l'OFCS est de transférer le compte TWINT lié sur un autre numéro de téléphone ; des paiements directs depuis l'e-banking sont aussi possibles.

Le procédé n'est pas nouveau : l'OFCS le connaît depuis longtemps dans les escroqueries sur les plateformes de petites annonces, où ce sont les vendeurs qui sont visés. Le scénario de départ change, l'objectif reste le même.

Pourquoi cela concerne aussi les PME

Ce qui rend le message crédible, ce sont les vraies données de réservation. Sans système compromis, l'escroquerie perd l'essentiel de sa force. Pour l'hôtel, le dommage est double : ses propres clients sont escroqués en son nom, et il s'agit presque toujours d'une violation de la sécurité des données personnelles, avec des conséquences juridiques. Le même mécanisme peut toucher toute PME qui conserve des données de clients dans un logiciel de gestion, une boutique en ligne ou une boîte e-mail partagée.

Que faire si vous gérez un établissement d'hébergement

1. Protéger les accès. Activer l'authentification à plusieurs facteurs, ou mieux les passkeys, sur la messagerie, les portails de réservation, le channel manager et le logiciel de gestion. Les différences entre les méthodes sont expliquées dans notre article sur les cinq niveaux de l'OFCS.
2. Limiter qui voit les données. Des comptes personnels plutôt que partagés, la suppression immédiate des accès d'anciens collaborateurs et fournisseurs, un contrôle régulier de qui peut exporter les données des clients.
3. Mettre à jour le site et les systèmes. Site web, plugins et logiciel de réservation doivent rester à jour : l'OFCS a déjà signalé cette année une hausse des sites suisses compromis, en majorité sous WordPress.
4. Dire aux clients ce que vous ne demandez jamais. Dans les confirmations de réservation et sur le site, une phrase claire : l'hôtel ne demande jamais d'identifiants bancaires, de codes SMS ni le scan d'un code QR pour un remboursement. Et un numéro de téléphone officiel bien visible.
5. Surveiller les domaines similaires. La protection technique de votre propre domaine de messagerie (SPF, DKIM, DMARC) empêche des tiers d'envoyer des e-mails au nom du vrai domaine, mais elle n'arrête pas un domaine presque identique enregistré par quelqu'un d'autre. Il est utile de savoir qui peut surveiller ces domaines et les faire bloquer.
6. Préparer la réaction. Qui appeler, qui change les mots de passe, qui informe les clients : le décider à l'avance fait gagner des heures précieuses. L'étude « PME Cybersécurité 2026 » désigne justement la préparation organisationnelle comme le point faible de nombreuses PME.

Si le système est déjà compromis

Il faut d'abord couper l'accès des escrocs : changement des mots de passe, fermeture des sessions actives, contrôle des règles de transfert de la messagerie et contact avec le fournisseur du système de réservation. Ensuite, il faut avertir les clients, car de faux messages peuvent continuer à arriver même après le nettoyage.

La loi fédérale sur la protection des données exige des mesures de sécurité appropriées (art. 8 nLPD). Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour les personnes concernées, le responsable du traitement doit l'annoncer dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT), qui met à disposition un portail d'annonce, et informer les personnes concernées si leur protection l'exige (art. 24 nLPD). Des données de réservation utilisées pour escroquer les clients constituent un cas où le risque doit être évalué avec soin.

L'obligation de signaler une cyberattaque à l'OFCS dans les 24 heures s'applique aux exploitants d'infrastructures critiques. Les autres entreprises peuvent signaler un incident volontairement au moyen du formulaire de signalement de l'OFCS. En cas de dommage financier, l'OFCS recommande de porter plainte auprès de la police ; Suisse ePolice indique le poste de police le plus proche.

Ce que l'OFCS recommande aux clients

• Se méfier des contacts non sollicités concernant des remboursements ou des vérifications urgentes de carte, même lorsque l'expéditeur connaît les détails de la réservation.
• Ne jamais transmettre de codes reçus par SMS.
• Ne pas cliquer sur les liens des messages suspects et ne jamais saisir de données sur des pages ouvertes depuis ces liens.
• En cas de doute, se connecter à son compte de réservation par l'application ou le site officiel, ou appeler l'hôtel au numéro recherché soi-même.
• Un remboursement ne nécessite jamais d'identifiants ni le scan d'un code QR.
• Toute personne ayant déjà saisi ses données de carte doit contacter immédiatement sa banque ou l'émetteur de la carte pour la faire bloquer.

Les mêmes règles valent pour les collaborateurs : un message crédible parce qu'il contient de vraies données reste un message à vérifier. Autre exemple récent : les comptes WhatsApp piratés au moyen de faux concours.

Questions fréquentes

Un client nous signale un e-mail suspect à notre nom : que faire ?

Confirmez au client que le message ne vient pas de vous et demandez-lui de ne pas utiliser le lien. Vérifiez ensuite sans attendre les accès et les règles de transfert de la messagerie et du système de réservation, et avertissez les autres clients ayant une réservation en cours.

Nous utilisons une plateforme de réservation externe : est-ce sa responsabilité ?

Cela dépend de l'endroit où la compromission a eu lieu. L'accès passe souvent par les identifiants de l'hôtel, par exemple une boîte e-mail ou un compte du portail. Dans tous les cas, il convient d'impliquer immédiatement le fournisseur et de clarifier qui est responsable du traitement pour les données concernées.

Le DMARC suffit-il à arrêter ces e-mails ?

Non. Le DMARC protège votre domaine contre les abus et reste recommandé. Les escrocs décrits par l'OFCS utilisent toutefois des domaines similaires mais différents, que le DMARC de votre domaine ne couvre pas.

Notre approche

ElaraTeq Sagl développe et gère des sites, des systèmes de réservation et des messageries pour les PME et les établissements d'hébergement au Tessin, avec un hébergement en Suisse, des accès protégés et des mises à jour planifiées. Pour une vérification de votre configuration e-mail, de votre site ou de vos accès, vous pouvez nous contacter.

Sources

• OFCS, Semaine 42 : des comptes TWINT ciblés par une nouvelle variante d'hameçonnage liée aux réservations d'hôtels, 20 octobre 2026
• OFCS, Augmentation du nombre de faux CAPTCHA, 7 août 2026
• OFCS, formulaire de signalement ; obligation de signaler les cyberattaques contre les infrastructures critiques
• PFPDT, portail d'annonce des violations de la sécurité des données
• Fedlex, Loi fédérale sur la protection des données (LPD), RS 235.1, art. 8 et 24
• Suisse ePolice, recherche des postes de police