Arnaque Vinted et Leboncoin : « paiement sécurisé »

Vous vendez un objet en ligne et un acheteur répond très vite : « Je prends, je paie tout de suite ! » Puis il vous envoie un lien pour « recevoir votre paiement sécurisé ». C'est l'une des arnaques les plus courantes sur Vinted, Leboncoin et les sites de petites annonces.

Comment fonctionne l'arnaque

1. Un acheteur accepte votre prix sans négocier, parfois sans poser de question.
2. Il vous demande de continuer la discussion ailleurs (WhatsApp, SMS, email).
3. Il vous envoie un message ou un email qui imite la plateforme : « Votre paiement est en attente, confirmez vos coordonnées pour le recevoir ».
4. Le lien mène vers une fausse page. On vous demande votre numéro de carte, un code reçu par SMS ou votre mot de passe.
5. Au lieu de recevoir de l'argent, vous en perdez : la carte est débitée ou votre compte est volé.

Il existe une variante côté acheteur : un faux vendeur demande un virement ou un paiement « protégé » hors de la plateforme, puis disparaît.

Les signes qui doivent vous alerter

• L'acheteur est pressé et ne discute ni le prix ni l'objet.
• Il veut quitter la messagerie du site pour finir ailleurs.
• Un lien reçu par message ou par email pour « débloquer » ou « confirmer » un paiement.
• Une demande de numéro de carte pour recevoir de l'argent. Pour être payé, on ne donne jamais le code de sa carte ni le code à 3 chiffres au dos.
• Un code reçu par SMS qu'on vous demande de transmettre.
• L'adresse de l'expéditeur : le nom affiché est celui de la plateforme, mais l'adresse vient d'un autre domaine.
• Des frais à avancer (« assurance », « transporteur ») pour recevoir votre paiement.
• Des fautes ou une mise en page un peu différente de d'habitude.

Les bons réflexes

1. Restez dans l'application pour discuter, payer et expédier.
2. Ne cliquez pas sur un lien de paiement envoyé par un acheteur. Ouvrez l'application ou tapez vous-même l'adresse du site.
3. Ne donnez jamais votre carte ni un code SMS pour recevoir de l'argent.
4. Signalez l'annonce ou le profil à la plateforme.
5. Signalez l'email sur signal-spam.fr et le site frauduleux sur Pharos (internet-signalement.gouv.fr). Pour de l'aide : cybermalveillance.gouv.fr.

Si vous avez déjà cliqué ou payé

• Appelez votre banque pour faire opposition à la carte et contester les débits.
• Changez le mot de passe de votre compte, puis ceux des sites où vous l'utilisez.
• Si un code SMS a été transmis, vérifiez vos paiements et prévenez la banque.
• Gardez les messages, captures d'écran et justificatifs, et déposez plainte si de l'argent a été perdu.
• Méfiez-vous des appels qui suivent : un faux « conseiller bancaire » peut vous rappeler. Lisez notre page sur le faux conseiller bancaire.

Le lien piégé fonctionne comme dans tout message de phishing. Pour mieux les reconnaître, lisez comment repérer un email de phishing.

Vérifiez le message avec Fishi

Transférez l'email suspect à check@fishi.email, de préférence en pièce jointe. Fishi vérifie l'expéditeur, regarde où mène vraiment le lien et s'il figure sur des listes de sites de phishing, puis vous répond avec un verdict clair et quoi faire. C'est gratuit et sans compte. Fishi ne lit que les emails : pour un message reçu sur WhatsApp ou par SMS, recopiez-en l'adresse du lien dans un email. Aucun outil n'est parfait : en cas de doute, restez dans l'application de la plateforme.