Vous venez de mettre en vente un canapé, un téléphone ou une voiture sur Leboncoin. Quelques minutes plus tard, un acheteur pressé vous écrit : il accepte le prix, il a déjà payé, il suffit de cliquer sur le lien qu’il vous envoie pour recevoir l’argent. La page qui s’ouvre ressemble à s’y méprendre au site de petites annonces, avec votre annonce et la référence de votre offre. On vous demande alors vos coordonnées bancaires, parfois un code reçu par SMS, pour valider le versement. Puis des débits que vous n’avez jamais autorisés apparaissent sur votre compte.
Ce scénario n’a rien d’un bug ni d’un acheteur maladroit : c’est une tentative d’escroquerie par hameçonnage, décrite dès 2019 par Que Choisir, qui relevait déjà que de faux acheteurs envoyaient des SMS avec un lien vers un faux site Leboncoin pour récupérer les coordonnées bancaires des vendeurs. Le mode opératoire n’a pas changé depuis, il s’est industrialisé. La bonne nouvelle, c’est que le droit protège le vendeur piégé : la banque doit rembourser les opérations non autorisées dans des conditions précises, et la plainte pénale reste largement ouverte. Cet article explique comment reconnaître le piège, quels gestes accomplir dans l’heure, et comment obtenir le remboursement puis la condamnation des escrocs.
I. Le faux acheteur vous a piégé : reconnaître l’arnaque et figer les preuves
A. Faux acheteur sur Leboncoin : le faux lien de paiement qui vole vos données bancaires
Le faux acheteur repère votre annonce et vous contacte, souvent par SMS, depuis un numéro de téléphone mobile ordinaire. Il se montre pressé et arrangeant : il prend l’objet au prix affiché, sans négocier ni demander de photo supplémentaire, et affirme avoir déjà déclenché le paiement grâce au système de paiement sécurisé de la plateforme. Pour que vous receviez l’argent, il vous invite à cliquer sur un lien et à renseigner vos coordonnées bancaires sur une page qui affiche votre annonce, avec la référence exacte de votre offre, afin de vous mettre en confiance.
Plusieurs signaux doivent vous alerter. D’abord, le canal : le message arrive par SMS et non par la messagerie interne de la plateforme, alors qu’un véritable acheteur peut y dialoguer sans quitter le site. Ensuite, le sens du paiement est inversé : c’est à vous, vendeur, que l’on demande des coordonnées bancaires et parfois un code de validation reçu par SMS, pour recevoir de l’argent. Or une règle simple ne souffre aucune exception : pour recevoir un paiement, on ne communique jamais ses codes de sécurité, son cryptogramme ni un code à usage unique. Enfin, la page vers laquelle pointe le lien imite le site officiel sans en être une : l’adresse n’est pas celle du site de petites annonces, même si le décor, le logo et la référence de l’annonce sont copiés.
Une variante fréquente ajoute de faux frais : après la saisie des coordonnées, le faux site réclame le paiement d’une assurance, de frais de livraison ou de frais de déblocage, par carte bancaire, avant de libérer les fonds. Chaque paiement exigé du vendeur pour recevoir un paiement est un drapeau rouge. Dans tous les cas, les données bancaires livrées servent ensuite à déclencher des débits non autorisés, parfois en cascade et en quelques minutes.
Pénalement, ce comportement entre dans la définition de l’escroquerie : l’article 313-1 du code pénal dispose que l’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. Le faux acheteur use d’une fausse qualité d’acheteur solvable et de manoeuvres frauduleuses, la fausse page de paiement, pour vous déterminer à remettre vos données puis vos fonds. Le même texte punit l’escroquerie de cinq ans d’emprisonnement et de 375 000 euros d’amende. Lorsque l’escroc s’introduit dans votre espace bancaire avec les identifiants volés, il commet en outre un accès frauduleux : l’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données. Et la collecte de vos données par ce moyen tombe sous le coup de l’article 226-18 du code pénal, qui punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite.
Les escrocs soignent la mise en scène jusque dans les détails : le SMS reprend votre prénom, le titre exact de votre annonce et parfois son prix, autant d’informations publiques que n’importe quel visiteur du site peut lire. Le faux site recopie les couleurs, le logo et les mentions du vrai, à l’adresse près, et affiche même de fausses étapes de suivi, paiement reçu, paiement en cours de vérification, fonds libérés après validation. Certains faux acheteurs poussent le vice jusqu’à vous appeler pour vous guider pas à pas et vous empêcher de réfléchir, en prétextant que le lien expire dans quelques minutes. Raccrochez dans ce cas, et reprenez le contrôle : aucun véritable acheteur n’a besoin de vous dicter vos gestes bancaires au téléphone.
B. Arnaque Leboncoin : que faire dans l’heure pour protéger votre argent
La première heure décide souvent de l’ampleur du préjudice. Cessez immédiatement tout échange avec le prétendu acheteur : ne cliquez plus sur ses liens, ne lui envoyez plus aucun code, et n’effectuez aucun paiement de frais de déblocage, d’assurance ou de livraison. Si vous avez déjà saisi vos identifiants bancaires sur la fausse page, considérez que ces données sont compromises, même si aucun débit n’apparaît encore.
Prévenez ensuite votre banque sans tarder. L’article L. 133-17 du code monétaire et financier prévoit que, lorsqu’il a connaissance du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire. Concrètement, appelez le numéro d’opposition de votre banque, bloquez la carte dont les données ont été exposées, et demandez la révocation des opérations en cours quand elle est encore possible. Notez l’heure exacte de chaque appel, le nom de l’interlocuteur et le numéro de dossier : ces traces serviront si la banque conteste ensuite la rapidité de votre réaction.
Figez les preuves avec la même rigueur. Réalisez des captures d’écran complètes du SMS reçu, avec le numéro de l’expéditeur visible, du lien sur lequel vous avez cliqué, de la fausse page, de votre annonce telle qu’elle apparaît sur le vrai site, et de chaque débit litigieux sur votre relevé. Exportez ou imprimez vos relevés bancaires en entourant les opérations contestées. Conservez le téléphone et ne supprimez ni le SMS ni l’historique de navigation : les enquêteurs peuvent exploiter ces éléments. Si vous avez transmis une pièce d’identité ou un justificatif, préparez-vous à expliquer à la banque et aux enquêteurs ce qui a été communiqué et quand, car ces documents serviront à d’éventuelles usurpations d’identité en chaîne.
Signalez enfin l’annonce et le faux profil sur la plateforme elle-même, depuis la messagerie ou la page d’aide du site, afin que le compte frauduleux soit neutralisé et que d’autres vendeurs ne soient pas piégés par le même numéro. Ce signalement ne remplace ni l’opposition bancaire ni la plainte, mais il interrompt la chaîne et constitue une pièce de votre dossier. Si vous êtes vendeur professionnel et que des données de vos clients ont été exposées par ricochet, traitez ce volet séparément avec votre conseil, car vos propres obligations de sécurité entrent alors en jeu.
II. Être remboursé et faire condamner : les recours du vendeur piégé
A. Opération non autorisée sur votre compte : votre banque doit vous rembourser
Le point décisif de votre dossier tient à une distinction simple : avez-vous vous-même ordonné le virement vers l’escroc, ou l’escroc a-t-il déclenché des paiements avec vos données, sans votre accord ? Dans le second cas, celui du faux acheteur qui utilise les coordonnées volées pour vider le compte ou payer en ligne, il s’agit d’opérations non autorisées, et la loi organise votre remboursement par la banque.
L’article L. 133-18 du code monétaire et financier dispose qu’en cas d’opération de paiement non autorisée signalée par l’utilisateur, le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France. Le texte ajoute que la banque rétablit alors le compte débité dans l’état où il se serait trouvé si l’opération non autorisée n’avait pas eu lieu. Autrement dit, le remboursement est la règle, le refus motivé et notifié à la Banque de France l’exception.
Les banques opposent parfois votre propre imprudence : vous avez cliqué, vous avez saisi vos codes, vous auriez dû voir les anomalies. Cet argument a été jugé insuffisant par la Cour de cassation dans un dossier de phishing bancaire classique. Dans son arrêt du 22 octobre 2025, pourvoi n° 24-19.749, la chambre commerciale a jugé qu’il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. Dans cette affaire, le client avait pourtant répondu à un courriel présentant, selon le tribunal, des anomalies grossières et communiqué des codes permettant d’ajouter un bénéficiaire puis d’exécuter le virement : la Cour a rejeté le pourvoi de la banque et confirmé le remboursement, parce que la banque ne justifiait pas avoir exigé l’activation de l’authentification forte.
La même chambre avait déjà posé le principe deux ans plus tôt : dans son arrêt du 30 août 2023, pourvoi n° 22-11.707, elle a jugé que, sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur, et elle a censuré le juge qui avait retenu une négligence grave du client, faire confiance à un inconnu au récit peu crédible, sans vérifier si la banque avait exigé cette authentification forte. La leçon pour votre dossier est directe : même si vous avez commis une imprudence en cliquant sur le faux lien, la banque ne peut s’en prévaloir pour refuser le remboursement que si elle avait exigé l’authentification forte lors de l’opération, ou si elle établit un agissement frauduleux de votre part, ce qui vise votre complicité avec l’escroc, pas votre crédulité.
Reste l’hypothèse du petit ticket : l’article L. 133-19 du code monétaire et financier prévoit qu’en cas d’opération non autorisée consécutive à la perte ou au vol de l’instrument de paiement, le payeur supporte, avant d’avoir informé sa banque, les pertes liées à l’utilisation de cet instrument, dans la limite d’un plafond de 50 euros. Mais le même texte écarte toute responsabilité du payeur lorsque l’opération a été effectuée en détournant, à son insu, l’instrument de paiement ou les données qui lui sont liées, ce qui correspond exactement au faux site qui capte vos données. Votre lettre de contestation doit donc rappeler ces trois fondements : remboursement au plus tard à la fin du premier jour ouvrable, plafond de 50 euros inapplicable en cas de détournement insu de vos données, et jurisprudence de la chambre commerciale sur l’authentification forte.
Agissez vite, car la contestation est enfermée dans un délai. L’article L. 133-24 du code monétaire et financier dispose que l’utilisateur de services de paiement signale, sans tarder, à son prestataire une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion. Passé ce délai de treize mois, la porte du remboursement bancaire se referme, sauf si la banque ne vous avait pas fourni les informations relatives à l’opération. En pratique, contestez par écrit dès les premiers débits, par lettre recommandée ou via l’espace de réclamation de la banque, en listant chaque opération et en joignant plainte et captures.
Un cas particulier mérite d’être distingué : si c’est vous qui avez personnellement ordonné un virement vers le compte de l’escroc, par exemple de prétendus frais de déblocage, l’opération est autorisée et le remboursement automatique ne s’applique pas. Tout n’est pas perdu pour autant : l’article L. 133-21 du code monétaire et financier prévoit que, si l’identifiant unique fourni par l’utilisateur est inexact, le prestataire de services de paiement du payeur s’efforce de récupérer les fonds engagés dans l’opération de paiement. Demandez à votre banque d’activer cette procédure de rappel des fonds sans attendre, signalez l’IBAN frauduleux, et articulez ce virement avec votre plainte pénale : c’est l’enquête qui permettra, le cas échéant, la saisie et la restitution.
Préparez votre lettre de contestation comme un dossier contentieux, pas comme un simple appel au secours : rappelez la date et l’heure de la découverte, l’heure de l’opposition téléphonique avec le numéro de dossier, la liste numérotée des opérations contestées avec leurs montants et leurs dates de débit, et les fondements rappelés ci-dessus. Envoyez-la en recommandé avec accusé de réception tout en déposant une réclamation dans l’espace client, car le recommandé fait courir les preuves de votre diligence. Si la banque refuse ou ne répond pas dans un délai raisonnable, saisissez le médiateur bancaire indiqué dans vos conditions générales, puis le tribunal judiciaire, muni de la plainte, des captures et des échanges avec la banque.
B. Plainte pénale et réparation : faire condamner l’escroc et récupérer votre préjudice
Le volet bancaire ne doit pas faire oublier le volet pénal : sans plainte, l’escroc recommence avec le même numéro et la même fausse page, et votre demande de dommages et intérêts n’a pas de support. L’article 15-3 du code de procédure pénale dispose que les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents : aucun commissariat ni aucune gendarmerie ne peut donc refuser votre plainte au motif que l’escroc se trouverait ailleurs. Déposez-la en apportant le dossier de preuves figé dans l’heure, captures du SMS, du faux lien, de la fausse page, relevés entourés, références de l’opposition bancaire, et exposez la chronologie minute par minute.
Votre plainte vise l’escroquerie, délit puni de cinq ans d’emprisonnement et de 375 000 euros d’amende, et, selon les faits, l’accès frauduleux à un système de traitement automatisé de données et la collecte frauduleuse de données personnelles, rappelés plus haut. Qualifiez précisément les faits dans votre déposition : faux nom ou fausse qualité d’acheteur, fausse page de paiement constitutive de manoeuvres frauduleuses, remise de vos données puis débits à votre préjudice. Cette précision aide le parquet et évite une requalification en simple litige civil, que l’escroc ne manquera pas d’invoquer.
Le temps joue aussi pour la plainte. L’article 8 du code de procédure pénale dispose que l’action publique des délits se prescrit par six années révolues à compter du jour où l’infraction a été commise. Ce délai de six ans laisse une marge confortable, mais il ne doit pas inciter à attendre : les données de connexion, les lignes téléphoniques prépayées et les flux financiers s’effacent vite, et une plainte déposée dans les jours qui suivent donne aux enquêteurs une chance réelle d’identifier le bénéficiaire des fonds. Si la plateforme tardait à répondre à une réquisition, votre avocat peut demander au parquet la préservation des données.
Sur le plan civil, chaque euro illégalement débité, chaque frais bancaire exposé et le préjudice moral subi ouvrent droit à réparation : l’article 1240 du code civil dispose que tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Vous pouvez vous constituer partie civile devant le tribunal correctionnel pour obtenir, dans le même jugement, la condamnation pénale et des dommages et intérêts, ou agir séparément devant le tribunal judiciaire si l’auteur reste inconnu, y compris contre votre banque en cas de refus de remboursement injustifié, sur le fondement des articles du code monétaire et financier cités dans la partie précédente. Chiffrez chaque poste : montants détournés, frais d’opposition et de réédition de carte, intérêts, temps consacré aux démarches, trouble et méfiance durable dans vos ventes en ligne.
Les vendeurs visés par le miroir de cette arnaque, côté acheteur cette fois, liront avec profit notre analyse de l’arnaque à la fausse annonce, qui explique comment récupérer un virement parti vers un faux vendeur : les deux escroqueries partagent les mêmes ressorts, l’urgence, la copie du site officiel et le paiement hors cadre, et les mêmes réflexes, opposition, preuves et plainte, s’y appliquent. À Paris et en Île-de-France, où les remises en main propre attirent aussi les faux acheteurs pressés, préférez pour les objets de valeur un lieu public, un paiement vérifié dans votre espace bancaire avant toute remise de l’objet, et ne remettez jamais un bien contre une simple capture d’écran de virement envoyée par l’acheteur.
Conclusion
Le faux acheteur qui vous adresse un faux lien de paiement ne pirate pas seulement votre annonce : il capte vos données bancaires pour déclencher des opérations que vous n’avez jamais autorisées. Retenez l’essentiel : ne communiquez jamais un code de sécurité pour recevoir de l’argent, faites opposition et figez les preuves dans l’heure, contestez chaque débit par écrit auprès de votre banque dans le délai de treize mois, et déposez plainte pour escroquerie en visant aussi l’accès frauduleux et la collecte illicite de vos données. La jurisprudence récente de la chambre commerciale de la Cour de cassation rappelle que votre imprudence, même grossière, ne dispense pas votre banque d’avoir exigé l’authentification forte, et qu’à défaut elle doit rembourser. Face à un SMS d’acheteur trop pressé, le bon réflexe reste le plus simple : restez dans la messagerie du site, vérifiez le paiement dans votre propre espace bancaire, et ne remettez l’objet qu’une fois les fonds réellement crédités.