Faux acheteur : lien de paiement, coursier imaginaire, QR code
Le faux acheteur sur Leboncoin ou Vinted ne cherche pas l’objet : il cherche les données de carte du vendeur, son code de validation bancaire ou l’accès à son compte. Le scénario passe par un lien de paiement, un transporteur inventé, un QR code ou un code SMS, avec un même point de départ : une conversation qui quitte l’application.
Le premier message
Les échanges de faux acheteurs se ressemblent assez pour former un portrait :
- accord immédiat au prix affiché, sans question sur l’état, les dimensions ou le retrait ;
- compte ouvert depuis peu, sans avis, parfois sans photo ;
- demande d’un numéro de téléphone ou d’une adresse e-mail dès le deuxième message ;
- histoire qui écarte la remise en main : déplacement professionnel, enfant étudiant dans une autre ville, déménagement à l’étranger ;
- tournures un peu raides, ou un prénom qui change entre la messagerie et WhatsApp.
Message type : « Bonjour, l’article est toujours disponible ? Très intéressé, paiement sécurisé prévu, merci de laisser votre numéro pour les détails de livraison. » L’annonce peut être un vélo à 90 € ou un buffet à 400 €, le texte varie à peine.
Le faux lien de paiement
Une fois sur WhatsApp ou par SMS, l’acheteur annonce avoir réglé et envoie un lien « pour recevoir les fonds ». La page reprend les couleurs de la plateforme, la photo de l’annonce, le prix exact. Elle demande :
- le numéro de carte, la date d’expiration et le cryptogramme ;
- parfois le solde du compte, « pour vérifier que le virement passera » ;
- puis le code reçu par SMS ou la validation dans l’application bancaire.
Le code envoyé par la banque ne confirme pas une réception d’argent : il autorise un paiement, souvent d’un montant différent et vers un commerçant inconnu. L’adresse de la page trahit le montage : nom de la plateforme suivi d’un mot (« -paiement », « -livraison », « -securise »), extension inhabituelle, raccourcisseur d’URL.
Sur Leboncoin, un vendeur particulier reçoit ses ventes dans le porte-monnaie de la plateforme, puis les vire vers l’IBAN qu’il y a enregistré. Aucune étape ne passe par la saisie de sa propre carte.
Le transporteur imaginaire
Variante plus ancienne, toujours active : l’acheteur dit avoir payé un coursier ou un service d’expédition « partenaire de la plateforme ». Un e-mail au logo plausible arrive : la livraison est réglée, mais le vendeur doit avancer des frais d’assurance ou de dossier, 50 à 150 €, que l’acheteur promet d’ajouter au paiement. Le coursier n’existe pas ; les frais partent par lien de paiement, coupon ou virement.
Les transactions de Leboncoin passent par une liste fermée de transporteurs : Mondial Relay, Colissimo, Shop2Shop by Chronopost, Courrier Suivi et Relais Colis. L’étiquette se génère dans l’application après le paiement. Pour envoyer un colis d’une vente faite sur la plateforme, aucun intermédiaire ne réclame de frais au vendeur.
Le QR code
Le QR code arrive en capture d’écran, parfois avec un message « scannez pour valider la réception du paiement ». Il ouvre soit la même page piégée, soit une demande de paiement dans une application bancaire ou de paiement mobile, où le vendeur se retrouve payeur. Leboncoin range explicitement le paiement « via QR code » parmi les moyens proposés hors plateforme dans les tentatives de fraude.
Le code SMS et la prise de compte
Autre angle : l’acheteur demande « le code à 6 chiffres que vous venez de recevoir, pour prouver que vous êtes une vraie personne ». Il a lancé de son côté une connexion ou une réinitialisation de mot de passe sur le compte du vendeur. Avec le code, il prend la main sur le compte, change l’IBAN, publie de fausses annonces au nom d’un profil bien noté. Les SMS de sécurité de Leboncoin précisent désormais l’action en cours (connexion, modification du mot de passe), ce qui rend la manœuvre lisible.
Les faux e-mails de paiement
Dernier format : un e-mail « Votre article a été payé, expédiez sous 48 h » ou « Paiement en attente, confirmez votre IBAN ». Leboncoin indique que toutes les étapes d’une transaction s’affichent dans la messagerie de l’application, et qu’un e-mail de confirmation de paiement absent de cette messagerie ne doit pas déclencher d’envoi. Un vendeur qui expédie sur la foi de l’e-mail perd l’objet sans être payé.
| Signe | Mécanisme | Geste |
|---|---|---|
| Lien pour « recevoir » l’argent | page copiée qui capte la carte | fermer la page, rester sur l’application |
| Frais d’assurance à avancer | transporteur inventé | expédier par l’étiquette de la plateforme |
| QR code à scanner | demande de paiement inversée | supprimer l’image |
| Code SMS réclamé | prise de contrôle du compte | garder le code, changer le mot de passe |
| E-mail « article payé » | faux avis de paiement | contrôler la conversation de l’annonce |
Exemple : une poussette à 150 €, un mercredi soir
Annonce publiée à 19 h. À 19 h 40, un acheteur accepte le prix et propose le paiement sécurisé, « mais par lien, l’appli bug chez moi ». Lien reçu par SMS à 19 h 52. La page affiche la photo de la poussette et « 150,00 € à recevoir ». Saisie de la carte, puis demande de validation dans l’application bancaire : l’écran de la banque indique en petit « paiement de 389,90 € ». La vendeuse valide par réflexe à 19 h 55. À 20 h 10, le débit apparaît. Opposition sur la carte à 20 h 15, contestation écrite le lendemain matin, plainte en ligne le jeudi.
Après un clic ou une saisie
- Carte saisie : opposition bancaire immédiate depuis l’application de la banque ou au serveur interbancaire, 0 892 705 705, ouvert jour et nuit (numéro surtaxé). Puis contestation écrite des débits.
- Remboursement : la Cour de justice de l’Union européenne a jugé dans son arrêt C-70/25 rendu le 15 octobre 2026, à propos d’un faux lien envoyé à une vendeuse en ligne, que la banque doit recréditer une opération non autorisée dès la fin du jour ouvrable qui suit l’alerte, même quand elle juge le client gravement négligent ; elle ne peut se retourner contre lui qu’après coup, preuve de cette négligence à l’appui.
- Code SMS donné : changement du mot de passe de la plateforme et de la messagerie e-mail, vérification de l’IBAN enregistré dans le porte-monnaie.
- Profil de l’acheteur : signalement depuis la conversation, captures d’écran conservées.
- Plainte : en ligne via le service THESEE pour les escroqueries sur internet ; la page pour porter plainte détaille la démarche.
Dans le même esprit : Arnaques aux petites annonces · Faux vendeur