Arnaques en lien avec Twint

Le signal: sur une plateforme de vente en ligne, vous trouvez un article attrayant, par exemple un smartphone ou une console de jeux, à un prix très intéressant. La vendeuse ou le vendeur demande un paiement à l’avance via Twint.

La réalité: dès que vous avez effectué le virement, la vendeuse ou le vendeur supprime son compte utilisateur ou vous bloque. Vous ne reverrez plus votre argent, car vous devez impérativement obtenir l’accord de la personne destinataire pour annuler un paiement Twint envoyé à un particulier.

Les signaux d’alerte: de manière générale, évitez d’utiliser sur ces plateformes des codes QR ou des codes de paiement Twint à cinq chiffres qui vous ont été transmis par des vendeuses ou vendeurs privés. En effet, ces codes cachent souvent un paiement à une boutique en ligne, car ces possibilités de paiement ne sont proposées que par des commerçants professionnels. Autrement dit, vous payez alors l’achat qu’un escroc a effectué dans un commerce en ligne.

Allez si possible récupérer vous-même la marchandise et ne faites le virement qu’après l’avoir réceptionnée et vérifiée. Si vous ne pouvez pas retirer l’article en personne, lisez attentivement les annonces en vous concentrant sur les points suivants:

• Prix: l’offre est-elle trop belle pour être vraie?
• Ancienneté du compte de la vendeuse ou du vendeur, notes, nombre d’annonces: la prudence est de mise si le compte n’existe pas depuis longtemps ou si la personne n’a que peu d’amis sur Facebook.
• Photos de l’article: chargez une capture d’écran de l’article dans la recherche d’images de Google. Si la même photo apparaît dans d’autres pays, c’est qu’il s’agit probablement d’une fausse annonce.
• Retrait: demandez si vous pouvez venir retirer l’article le jour même contre un paiement en espèces. Face à cette question, les escrocs trouvent généralement une excuse (vacances, déménagement, travail à l’étranger, etc.).
• Numéro de téléphone Twint: composez le numéro et dites que vous appelez concernant l’article mis en vente sur la plateforme X. Si le numéro n’est pas attribué bien qu’étant enregistré chez Twint, ou si la personne au téléphone ne peut pas vous renseigner sur l’article, c’est qu’il s’agit très probablement d’une arnaque.

Sur le site Ricardo, nous vous conseillons d’utiliser le service «MoneyGuard». Avec ce dernier, votre paiement Twint est d’abord transféré sur un compte séquestre et n’est débloqué qu’une fois la réception de la marchandise confirmée.

Un paiement au lieu d’un crédit

Le signal: une prétendue acheteuse vous envoie une capture d’écran contenant un code Twint à cinq chiffres en vous demandant de le saisir dans votre application Twint pour «confirmer / recevoir le paiement».

La réalité: le code Twint à cinq chiffres est un code de paiement pour un achat que les escrocs effectuent en parallèle. Ces derniers comptent sur le fait que vous allez déclencher un paiement Twint en pensant confirmer la réception d’un crédit. Souvent, ce paiement est destiné à l’achat de bons en ligne, que les malfrats utilisent ensuite immédiatement.

Le signal: l’acheteur prétend vous avoir déjà envoyé l’argent. Il affirme qu’il vous suffit de cliquer sur un lien ou de scanner un code QR pour le recevoir.

La réalité: sur Twint, vous n’avez jamais à faire ni à confirmer quoi que ce soit pour recevoir de l’argent. Si vous ouvrez le lien ou scannez le code QR, vous vous retrouverez généralement sur une page de connexion frauduleuse vous incitant à saisir vos données d’accès à Twint ou à votre e-banking afin de les subtiliser. Pour en savoir plus à ce sujet, consultez la section «Hameçonnage de données d’accès Twint» plus bas.

Pour vous envoyer de l’argent via Twint, il suffit d’avoir votre numéro de téléphone portable. Seules les demandes d’argent nécessitent une confirmation de votre part. Méfiez-vous donc si, dans le cadre d’un virement Twint, une personne vous réclame autre chose que votre numéro de téléphone portable. Dans ce cas, ne scannez pas de code QR et n’entrez pas de code à cinq chiffres dans votre application Twint. Enfin, ne confirmez aucune demande de paiement provenant de quelqu’un que vous ne connaissez pas.

Ne saisissez jamais vos données d’accès Twint en dehors de l’application Twint. Si vous avez saisi vos données d’accès sur un site web et qu’un message d’erreur s’est affiché, signalez la suspicion de fraude à la banque émettrice de votre application Twint. Ne communiquez en aucun cas un code de vérification envoyé sur votre téléphone portable. Les escrocs peuvent utiliser ce code et les autres données transmises pour prendre le contrôle de votre compte Twint.

Les messages ci-dessous sont des exemples types d’hameçonnage tirés de la pratique:

E-mail (hameçonnage ou «phishing»)

Mise à jour de sécurité: «Nous avons mis à jour nos CGV. Veuillez confirmer votre compte dans les 24 heures pour qu’il ne soit pas supprimé.»

Inactivité: «Votre profil TWINT est inactif. Réactivez-le ici afin de conserver la pleine fonctionnalité.»

Factures falsifiées: vous recevez un rappel, par exemple de Swisscom, de la Poste ou de Sunrise, contenant un lien vers un «portail de paiement» qui vole vos données de connexion.

SMS («smishing»)

Remise de colis: «Nous n’avons pas pu vous remettre votre colis. Veuillez confirmer votre adresse et payer 1,95 franc de droits de douane.»

Blocage du compte: «Votre compte TWINT a été bloqué pour des raisons de sécurité. Identifiez-vous ici afin de rétablir l’accès.»

Remboursements: «Vous avez droit à un remboursement d’impôt (AFC) ou à un crédit d’un prestataire. Cliquez ici pour obtenir le paiement.»

Téléphone (hameçonnage vocal, «vishing» ou «voice phishing»)

Personne se faisant passer pour un policier ou un employé de banque: cette personne vous fait croire que votre compte fait l’objet d’une cyberattaque. Elle vous dit que, pour «sauver» votre argent, vous devez lui communiquer un code reçu par SMS ou confirmer une transaction dans l’application.

Appels du service d’assistance: «Ici le service d’assistance TWINT, nous constatons des irrégularités.»

Codes QR («quishing»)

Lettres falsifiées (ou «hameçonnage hors ligne»): «En raison de la nouvelle loi sur le blanchiment d’argent, nous sommes tenus de vérifier les comptes de notre clientèle. Veuillez authentifier vos coordonnées bancaires d’ici au XX.YY.20ZZ afin d’éviter un blocage de votre compte.»

Codes QR recouverts: des escrocs collent leur propre code QR sur les vrais codes apposés sur des parcmètres, des bornes de recharge pour véhicules électriques ou des affiches de collecte de dons. Les victimes qui le scannent directement avec la caméra de leur smartphone sont redirigées vers un site web frauduleux. Il est donc important de toujours utiliser l’application Twint pour scanner le code QR de paiement: si ce dernier est falsifié, vous verrez s’afficher un message d’erreur. 

Applications de messagerie et réseaux sociaux

Transmission d’un code: un prétendu contact vous envoie le message suivant: «J’ai fait envoyer par erreur un code SMS à ton numéro. Peux-tu me le transmettre?»

La réalité: des escrocs ont piraté le compte de votre contact sur les réseaux sociaux. À présent, ils l’utilisent pour accéder au code d’activation de votre compte Twint.

Les escrocs tentent ensuite de se connecter à votre compte Twint à l’aide de vos données d’accès. Outre les identifiants de connexion, il leur faut pour cela un code de vérification. Pour l’obtenir, ils vous recontactent par téléphone ou par chat. Cette méthode est également appelée «hameçonnage en temps réel».

Les escrocs se font passer, par exemple, pour du personnel d’assistance de la plateforme de vente en ligne et vous demandent de leur communiquer le code. Il se peut également que vous receviez un message d’une personne affirmant qu’un code de vérification a été envoyé par erreur à son numéro.

Lorsqu’ils parviennent à prendre le contrôle du compte Twint, les escrocs épuisent généralement toute la limite disponible. Lorsque le compte en question comporte une limite journalière, ils essayent de faire main basse sur la nouvelle tranche après minuit.

Ne saisissez jamais vos données d’accès Twint en dehors de l’application Twint et ne les communiquez à un tiers sous aucun prétexte. À chaque fois que vous voulez vous connecter à votre compte Twint, assurez-vous d’être dans l’application Twint que vous avez vous-même ouverte sur votre téléphone portable, c’est-à-dire pas via un lien ou un code QR contenu dans un message.

Ne communiquez jamais un code de vérification envoyé sur votre téléphone portable, surtout lorsque des personnes faisant prétendument partie de votre cercle social vous pressent de le faire. La plupart du temps, le code de vérification est la dernière pièce du puzzle dont les escrocs ont besoin pour prendre le contrôle de votre compte Twint. Activez dans votre application Twint les notifications relatives aux transactions Twint. Ainsi, vous remarquerez rapidement les opérations abusives et pourrez réagir immédiatement.

Faites preuve d’une grande méfiance lorsque vous recevez des appels provenant soi-disant de votre banque ou de la police. Il peut s’agir de tentatives de fraude, même si le nom de votre banque ou de la police s’affiche sur votre téléphone et si la personne parle en dialecte. Ne donnez aucune information au téléphone. Twint ou les banques émettrices d’applications Twint ne vous demanderont jamais de leur communiquer des codes ou des données d’accès par téléphone ou par message. En cas de doute, rendez-vous directement à votre banque ou au poste de police.

Substitution du numéro de téléphone portable

Le signal: vous êtes à un marché aux puces de votre quartier et vous souhaitez payer un article avec Twint. Pour effectuer le virement, vous saisissez dans votre application le numéro de téléphone portable affiché sur un panneau.

La réalité: des escrocs ont substitué à votre insu le numéro de téléphone portable de la vendeuse ou du vendeur par le leur. Vous êtes donc sur le point de leur transférer de l’argent.
Remarque: les conditions d’utilisation de Twint interdisent aux commerçant-e-s de proposer la possibilité de payer via un numéro de téléphone portable lors de transactions commerciales (magasin de ferme, stand de marché, etc.).

Le message «Salut maman»

Le signal: vous avez des enfants et vous recevez sur WhatsApp le message suivant: «Salut maman, je suis au restaurant et on vient de me voler mon sac avec mon téléphone portable et mon porte-monnaie. Pourrais-tu s’il te plaît me twinter 100 francs à ce numéro pour que je puisse payer mon repas?».

La réalité: cette histoire est bien sûr totalement inventée. Dans des scénarios similaires, une soi-disant personne de votre entourage vous demande de lui transférer de l’argent via Twint en prétextant une urgence. Mais en réalité, des escrocs ont piraté le compte Twint et probablement aussi les comptes WhatsApp ou de réseaux sociaux de cette personne.

Le signal: un client à vous paie une tournée de bières au bar et vous montre sur son portable une confirmation de paiement de Twint.

La réalité: cette confirmation de paiement a été falsifiée. Aucune transaction n’a eu lieu. Le client vous a probablement montré la capture d’écran d’une autre confirmation de paiement, par exemple celle de la tournée précédente. Ici, c’est vous, en tant que propriétaire du bar, qui êtes la victime.

Remarque: l’application TWINT Business Portal ainsi que le portail pour commerçants TWINT vous permettent de vérifier en temps réel si vous avez bien reçu un paiement. Nous vous conseillons donc de former votre personnel en conséquence et de leur demander de vérifier à chaque transaction les éléments suivants:

1. L’application TWINT Business Portal indique-t-elle qu’un paiement a bien été reçu?
2. La date et l’heure de la réception du paiement correspondent-elles au moment de la transaction?

Attention: lors de transactions Twint entre particuliers, la date et l’heure ne sont pas indiquées dans la confirmation de paiement affichée à l’écran.

Utilisez systématiquement l’application Twint pour scanner des codes QR Twint. À chaque fois que vous effectuez un virement Twint ou que vous réglez une facture avec code QR, vérifiez que le nom de la personne destinataire et le montant sont corrects. En cas de doute, prenez contact avec l’émettrice ou l’émetteur de la facture avant d’envoyer l’argent. Les escrocs pourraient avoir envoyé de fausses factures avec des codes QR d’hameçonnage.

N’oubliez pas: lorsque vous recevez une demande de confirmation dans l’application Twint, c’est pour que votre compte soit débité. Par conséquent, avant de confirmer, assurez-vous que le nom de la personne destinataire et le montant sont corrects. Si une personne prétend vous avoir envoyé de l’argent par erreur, contrôlez votre historique Twint avant de lui «renvoyer l’argent».

Si vous recevez un message d’une personne de votre entourage qui dit se trouver dans une situation délicate et avoir besoin d’argent de toute urgence, vérifiez soigneusement l’histoire sur d’autres canaux avant d’effectuer le virement. Méfiez-vous particulièrement lorsque la personne vous presse d’agir vite.

Lorsque vous êtes la personne destinataire d’un paiement Twint, vous devez systématiquement vous assurer que vous avez bien reçu ce dernier. La confirmation de paiement Twint sur l’écran d’un portable n’est pas une preuve suffisante, car elle peut avoir été falsifiée (il peut par exemple s’agir d’une vidéo ou d’une capture d’écran d’une autre confirmation de paiement présentant un montant identique).