Le faux acheteur et le faux « paiement sécurisé »
Fréquente Vous vendez un objet en ligne. Un « acheteur » très pressé vous envoie un lien de faux paiement sécurisé qui vole votre carte bancaire ou votre compte.
| Par où elle arrive | Site web, WhatsApp, Telegram…, SMS, E-mail |
|---|---|
| Qui est visé | Vendeurs en ligne |
| Ce que vous risquez | Perdre de l’argent, Coordonnées bancaires, Un compte piraté |
| Aussi appelée | arnaque au faux acheteur, faux lien de paiement Leboncoin, faux paiement Vinted, arnaque au faux transporteur |
Vous publiez une annonce sur un site de vente entre particuliers (Leboncoin, Vinted, Facebook Marketplace…). Un acheteur répond très vite, ne discute pas le prix et propose de payer par le « paiement sécurisé » ou par un transporteur. Il vous demande souvent de continuer la discussion sur WhatsApp, par SMS ou par e-mail.
Il vous envoie ensuite un lien vers une page qui imite la plateforme ou un service de livraison. On vous dit qu’il faut entrer votre carte bancaire pour recevoir l’argent. En réalité, vous donnez vos coordonnées bancaires, ou vous validez vous-même un paiement. Parfois, un complice joue le « conseiller » de la plateforme pour vous rassurer ou vous demander un code.
Cybermalveillance.gouv.fr signale que de faux acheteurs et de faux vendeurs sur Leboncoin, Vinted ou Facebook Marketplace orientent leurs victimes vers des sites d’hameçonnage pour pirater leurs comptes. Retenez une règle simple : pour recevoir de l’argent, on n’a jamais besoin de donner les données de sa carte, et un transporteur ne gère jamais le paiement.
Comment ça se passe
- Vous mettez un objet en vente sur une plateforme de petites annonces.
- Un acheteur vous contacte vite, accepte le prix sans discuter et dit qu’il ne peut pas se déplacer.
- Il vous propose de passer sur WhatsApp, par SMS ou par e-mail pour « aller plus vite ».
- Il vous envoie un lien de « paiement sécurisé » ou de « livraison » vers un faux site aux couleurs de la plateforme ou d’un transporteur.
- La page vous demande votre numéro de carte, la date d’expiration, le code au dos, puis un code reçu par SMS « pour débloquer les fonds ».
- En réalité, vous validez un paiement vers l’escroc, ou vous lui donnez accès à votre compte.
- Un faux « service client » peut ensuite vous appeler pour vous faire valider d’autres opérations.
À quoi ça ressemble
- L’acheteur accepte le prix tout de suite et ne veut pas voir l’objet
- Le message arrive hors de la messagerie de la plateforme
- On vous demande votre carte pour RECEVOIR de l’argent
- Le lien ne mène pas au site officiel de la plateforme
- Une limite de temps pour vous presser
- Un « transporteur » qui parle d’argent bloqué
- Délai très court
- Adresse du lien inconnue
- Le paiement n’apparaît pas dans votre compte sur l’appli officielle
Exemple rédigé par IP73 sur le modèle des messages signalés ; le lien et le numéro sont fictifs.
Les signes qui doivent alerter
- L’acheteur ne négocie pas et veut conclure très vite.
- Il veut quitter la messagerie de la plateforme pour WhatsApp, SMS ou e-mail.
- Il impose un transporteur précis ou dit que le livreur va vous payer.
- On vous demande votre carte bancaire ou un code reçu par SMS pour recevoir de l’argent.
- Le lien de paiement n’est pas sur le site ou l’application officielle.
- On vous envoie une « preuve de paiement » (capture d’écran, e-mail) au lieu d’un paiement visible dans votre compte.
- L’acheteur a payé « trop » et vous demande de rembourser la différence.
Comment vous protéger
- Restez dans la messagerie et le système de paiement de la plateforme.
- Ne cliquez jamais sur un lien de paiement reçu par message : ouvrez vous-même l’application officielle pour vérifier.
- Ne donnez jamais votre numéro de carte ni un code reçu par SMS pour recevoir un paiement.
- Refusez tout paiement « via le transporteur » : un livreur ne gère pas l’argent.
- Vérifiez une preuve de paiement auprès du service concerné, pas avec ce que l’acheteur vous envoie.
- Si l’acheteur a trop payé, ne remboursez rien tant que votre banque n’a pas confirmé que le paiement est définitif.
- Protégez votre compte avec un mot de passe unique et la double authentification.
Vous êtes victime ?
Tout de suite
- Appelez votre banque ou faites opposition sur votre carte si vous avez donné ses données.
- Contestez auprès de votre banque toute opération que vous ne reconnaissez pas.
- Changez le mot de passe de votre compte sur la plateforme et déconnectez les autres appareils.
- N’envoyez pas l’objet et coupez le contact avec l’acheteur.
Ensuite
- Gardez les preuves : captures des messages, du profil, du lien, relevés bancaires.
- Signalez le profil et la conversation à la plateforme.
- Transférez un SMS frauduleux au 33700.
- Signalez le faux site sur internet-signalement.gouv.fr (Pharos).
- Portez plainte en ligne sur THESEE ou au commissariat ou à la gendarmerie.
Vos droits
Si vous avez vous-même saisi votre carte et validé l’opération (par exemple avec un code reçu par SMS), la banque peut invoquer une « négligence grave » pour vous réclamer la perte, mais elle doit la prouver. Si l’escroc a utilisé vos données sans que vous validiez l’opération, il s’agit d’un paiement non autorisé : vous devez le signaler sans tarder et la banque doit en principe rembourser (art. L133-18 et L133-19 du Code monétaire et financier), sauf négligence grave qu’elle doit prouver. Si elle invoque une « négligence grave », elle doit quand même rembourser d’abord, puis la prouver pour vous réclamer la perte (Cour de justice de l’Union européenne, 15 octobre 2026, C-70/25).
Qui contacter
Bloque immédiatement votre carte bancaire (perte, vol, fraude). Vous recevez un numéro d’enregistrement qui date votre opposition : gardez-le.
0 892 705 705 (numéro majoré : coût d’un appel vers un fixe + service payant) service-public.gouv.fr/particuliers/vosdroits/F31324 ↗
Bloque la carte, les accès en ligne et les virements, enregistre la contestation des opérations, et peut demander le retour des fonds d’un virement.
Le numéro figurant au dos de votre carte, dans votre appli ou sur le site officiel de votre banque (jamais un numéro donné dans un SMS ou un appel reçu)
Le réseau social, la messagerie, le site de petites annonces ou la marketplace où l’arnaque a eu lieu. Il doit proposer un moyen de signaler un contenu illicite et peut aider à récupérer un compte.
Plateforme des opérateurs pour signaler les SMS, MMS et appels indésirables ou frauduleux. Les signalements sont transmis chaque jour aux opérateurs, qui peuvent couper les numéros en cause.
33700 : transférez le SMS suspect par SMS au 33700 (service gratuit) 33700.fr ↗
Plateforme du ministère de l’Intérieur pour signaler les contenus illicites publics sur internet : mise en danger des personnes, terrorisme, menaces, pédocriminalité, haine, traite des êtres humains, trafics, cruauté envers les animaux, escroquerie en ligne.
Téléservice du ministère de l’Intérieur pour déposer plainte ou faire un signalement en ligne pour une e-escroquerie. Après validation, vous êtes informé des suites, des aides possibles et de l’arrestation éventuelle de l’auteur.
Assistance en ligne pour toutes les victimes de cybermalveillance : un diagnostic en quelques questions, des conseils adaptés, la mise en relation avec un prestataire informatique et, si la menace le justifie, un échange par tchat avec un policier ou un gendarme. Ce n’est pas un dépôt de plainte.
Arnaques du même type
Sources
- Sites de vente entre particuliers : 20 conseils pour éviter les arnaques — Cybermalveillance.gouv.fr (2024-06-04)
- Le piratage de comptes en ligne en 2025 — Cybermalveillance.gouv.fr (2026-06-01)
- Notre plateforme — Vinted
Fiche vérifiée le 8 novembre 2026.
Ce guide informe ; il ne remplace ni les services officiels ni un avocat. En cas d’urgence ou de danger, appelez le 17.
Sources : services publics (Cybermalveillance.gouv.fr, CERT-FR, DGCCRF, AMF, police, gendarmerie…) et références internationales, citées sur chaque fiche. Les exemples de messages sont rédigés par nos soins à partir des alertes officielles : ils ne reprennent aucun vrai numéro ni lien. Guide revu chaque semaine (notre méthode). Dernière mise à jour : 8 novembre 2026. Données en JSON (CC BY 4.0).