Comment une fausse page de paiement de livraison de repas a volé les données de carte de clients suisses

Une commande de repas habituelle s'est transformée en piège à vol de cartes le 1er septembre 2026. Le Centre national pour la cybersécurité suisse a averti que des criminels avaient modifié la page de paiement d'un service de livraison de repas, leur permettant de collecter les coordonnées de cartes de crédit des clients alors que le site lui-même restait authentique.

L'attaque est préoccupante parce que les clients ne se rendaient pas forcément sur un site manifestement factice. Ils accédaient à un prestataire légitime, sélectionnaient un mode de paiement et suivaient un processus de commande familier. Le code malveillant avait été inséré dans le site du prestataire et modifiait ce que voyaient les clients au moment du paiement.

L'office a qualifié cette méthode de skimming dans le commerce électronique. Contrairement à une arnaque de hameçonnage classique, les attaquants n'avaient pas besoin d'attirer chaque victime vers un site imitation distinct. Ils ont compromis une partie du parcours d'achat réel et s'en sont servis pour capter les données de paiement.

L'avertissement ne désigne pas le prestataire de livraison concerné dans les informations fournies et ne donne aucun chiffre sur le nombre de clients exposés. Toute personne ayant utilisé le module de paiement concerné devrait contrôler ses transactions récentes et en attente, y compris les petits montants d'autorisation qui pourraient précéder des paiements frauduleux plus importants.

Les attaquants ont remplacé Twint par une fausse option de carte de crédit. Selon l'Office fédéral de la cybersécurité, le code malveillant injecté dans le site a supprimé ou écarté le mode de paiement Twint d'origine du prestataire et présenté aux clients une fausse option intitulée paiement par carte de crédit.

La sélection de cette option ouvrait une fenêtre contextuelle demandant les informations de carte. Les données saisies étaient transmises directement aux escrocs. La page tentait ensuite d'effacer ses traces par un message d'erreur indiquant que les paiements par carte de crédit étaient encore en phase de test et renvoyant les clients vers Twint.

Un élément aurait dû éveiller les soupçons : le texte de la fenêtre contextuelle était en anglais, alors que le reste de la page du service de livraison était en allemand. Les incohérences linguistiques peuvent indiquer qu'un composant de paiement provient d'une source non autorisée, surtout lorsqu'un service suisse présente habituellement son processus de commande dans une seule langue.

Les clients devraient marquer une pause lorsqu'un parcours de paiement familier change soudainement. Une nouvelle option de carte, une fenêtre inattendue, une demande de ressaisir des informations ou un message indiquant qu'un paiement est testé justifient une vérification auprès des canaux de support officiels de l'entreprise. Ne pas utiliser les coordonnées figurant dans une fenêtre suspecte.

Le skimming se produit à l'intérieur d'un site authentique, ce qui le rend difficile à détecter pour les acheteurs ordinaires. L'hameçonnage envoie généralement la victime vers un faux site conçu pour imiter une banque, un commerçant ou un service public. Dans ce cas, la page de paiement d'un véritable prestataire de livraison de repas avait été manipulée.

Cette distinction modifie ce que les clients doivent observer. Le symbole du cadenas et l'adresse web correcte peuvent encore apparaître parce que le site sous-jacent est authentique. Un client peut donc finaliser sa commande sur un domaine légitime tout en remettant ses données de carte à des criminels par un élément de paiement compromis.

L'Office fédéral de la cybersécurité indique qu'il peut être « très difficile, voire impossible » pour des personnes sans connaissances spécialisées d'identifier ce type de manipulation. Cela place une responsabilité importante sur les exploitants, et non uniquement sur les consommateurs. Les plateformes de livraison de repas et les boutiques en ligne doivent surveiller le comportement de leurs modules de paiement, maintenir à jour leurs logiciels et extensions, appliquer les correctifs de sécurité et protéger les comptes d'administration par des mots de passe forts et uniques ainsi que par une double authentification.

Les exploitants devraient également restreindre les scripts tiers au moyen d'une politique de sécurité du contenu (Content Security Policy). Une telle politique peut contrôler quelles sources sont autorisées à exécuter du JavaScript et vers où les données peuvent être envoyées. Des tests et une surveillance automatisés du processus de paiement peuvent aider à détecter un parcours de paiement inattendu avant que davantage de clients ne le rencontrent.

Agissez rapidement si vous avez saisi des données de carte ou si vous constatez un débit que vous ne pouvez pas expliquer. Les recommandations fédérales indiquent que les clients doivent contester immédiatement les transactions frauduleuses auprès de leur banque ou de leur émetteur de carte. Utilisez le numéro d'urgence ou le numéro de fraude figurant au dos de la carte, ou l'application officielle de l'émetteur, plutôt qu'un lien reçu par courriel ou dans un message de paiement suspect.

Demandez à l'émetteur si la carte doit être bloquée et remplacée. Conservez les preuves avant de fermer la page ou de supprimer les messages : notez l'adresse du site, l'heure de la commande, l'écran de paiement, le message d'erreur et toutes les notifications de transaction. N'envoyez jamais le numéro de carte ou le code de sécurité à l'entreprise de livraison par courriel ou par messagerie.

Signalez l'incident de skimming présumé à l'Office fédéral de la cybersécurité et avertissez l'exploitant de la boutique concernée. Celui-ci a besoin de ces informations pour examiner son processus de paiement et alerter d'autres clients. Si de l'argent a été perdu, l'office recommande de déposer une plainte auprès de la police cantonale compétente. Suisse ePolice peut aider à identifier le poste approprié.

Continuez à surveiller le compte après la première transaction contestée. Les données de carte volées peuvent être testées ou utilisées plus tard. Contrôlez donc les paiements en attente comme ceux déjà effectués et réagissez rapidement aux alertes de l'émetteur.

Cet incident montre pourquoi la sécurité des paiements est une responsabilité partagée dans l'économie numérique suisse. Les clients peuvent réduire les risques en contrôlant les changements inattendus, en privilégiant les moyens de paiement établis et en agissant rapidement lorsque quelque chose semble anormal. Ils ne peuvent pas inspecter eux-mêmes les scripts qui fonctionnent derrière une page de paiement.

Pour les exploitants, les recommandations fédérales sont concrètes. Appliquez régulièrement les correctifs de sécurité, maintenez à jour chaque composant du système, testez le bon fonctionnement des paiements pour détecter les anomalies et recourez à une surveillance automatisée lorsque c'est possible. Les comptes d'administration doivent disposer de mots de passe uniques et d'une double authentification. Une politique de sécurité du contenu restrictive peut limiter le code tiers non autorisé et empêcher le transfert de données vers des destinations inconnues.

Ce cas de livraison de repas souligne également l'importance d'une expérience utilisateur localisée. Une fenêtre contextuelle en anglais sur un service suisse par ailleurs germanophone constituait un indice utile, même si de nombreux clients pouvaient raisonnablement supposer qu'une fenêtre de paiement apparaissant dans un site familier était sûre.

Les consommateurs suisses devraient considérer la sécurité de leur carte comme un processus permanent. Surveillez vos comptes, activez les notifications de transaction lorsqu'elles sont disponibles et vérifiez les demandes de paiement inhabituelles via une application ou un site officiel. Si une boutique authentique signale une compromission, suivez ses instructions, en vous appuyant sur votre banque pour la protection de votre carte et sur la police cantonale pour toute plainte liée à une infraction financière.