Vous venez de mettre en vente un téléphone, un meuble ou une poussette sur Leboncoin ou Vinted. Un acheteur se montre pressé, aimable, prêt à payer le prix demandé sans discuter. Il propose de régler par Wero, le nouveau portefeuille de paiement européen qui remplace Paylib dans les banques françaises. Quelques minutes plus tard, vous recevez un SMS qui annonce un paiement Wero reçu, avec un lien pour encaisser les fonds. Vous cliquez, vous saisissez vos identifiants bancaires ou un code reçu par SMS, et à la place de l’argent attendu, ce sont vos propres comptes qui se vident par virement instantané. Ce scénario, celui du vendeur piégé par un faux SMS Wero, est distinct de l’arnaque au faux conseiller bancaire qui appelle en se faisant passer pour votre banque, décrite dans notre étude sur l’arnaque Wero au faux appel de la banque et au virement instantané. Ici, la victime n’est pas l’acheteur crédule mais le vendeur qui croit avoir été payé. Les saisies des internautes le confirment : « arnaque wero sms », « arnaque wero comment se faire rembourser » et « arnaque leboncoin wero » figurent parmi les requêtes réelles relevées par les suggestions de recherche, et la requête « arnaque wero » compte parmi les saisies les plus fréquentes des internautes français sur ce thème. Cet article explique d’abord comment le piège du faux SMS tendu au vendeur fonctionne et pourquoi le virement instantané laisse si peu de marge pour récupérer les fonds, puis quels recours le droit bancaire et le droit pénal ouvrent à la victime : la contestation de l’opération auprès de la banque et le remboursement des opérations non autorisées, la charge de la preuve qui pèse sur l’établissement, et la plainte pour escroquerie avec les signalements qui font avancer l’enquête. Wero, Leboncoin et Vinted ne sont en cause dans aucun de ces montages : leurs noms sont détournés par des escrocs, sans qu’aucune source officielle ne leur impute une défaillance, et seul le juge, saisi des pièces de chaque dossier, tranche les responsabilités.
I. Le faux SMS Wero qui vise le vendeur : un scénario qui n’a rien d’un vrai paiement
A. Arnaque Wero SMS vendeur Leboncoin Vinted : comment le faux acheteur vous pousse vers le faux lien
Le montage commence toujours de la même façon sur la messagerie de l’annonce. Un prétendu acheteur répond à votre annonce Leboncoin ou Vinted, accepte votre prix sans négocier, se dit éloigné géographiquement et propose de payer immédiatement par Wero pour « réserver » l’objet. Il refuse l’envoi contre remboursement, refuse de se déplacer, et insiste pour sortir de la messagerie sécurisée de la plateforme vers des SMS ou une messagerie instantanée. Puis arrive le message décisif, qui semble provenir de Wero, de votre banque ou d’un service de paiement : un SMS qui annonce un paiement Wero de quelques centaines d’euros et invite à cliquer sur un lien pour recevoir les fonds sur votre compte. Ce lien n’est qu’un accessoire du montage : Ce lien n’a rien d’officiel : il mène vers une page qui imite votre banque, Wero ou un service de réception de fonds, et vous invite à saisir vos identifiants de banque en ligne, votre numéro de carte, puis les codes d’authentification reçus par SMS. Chaque code que vous validez autorise en réalité un virement instantané depuis vos comptes vers celui des escrocs, parfois précédé d’un ajout de bénéficiaire que vous validez sans le comprendre. Le site spécialisé qui recense ces annonces frauduleuses décrit ce piège du faux paiement Wero par SMS comme visant précisément les vendeurs et les loueurs, ce qui recoupe les signalements relevés pendant ce run. Selon la documentation officielle de Wero, l’aide aux utilisateurs comporte une rubrique entière intitulée « Fraude et aide urgente », avec notamment un guide consacré au repérage des faux messages, des faux sites et des tentatives d’hameçonnage, dans le centre d’aide officiel de Wero : la règle d’or qui s’en dégage est qu’il faut se méfier de tout message inattendu qui invite à cliquer pour recevoir de l’argent. En pratique, plusieurs indices devraient alerter le vendeur avant le clic. Un acheteur qui accepte le prix sans voir l’objet, qui refuse tout contact téléphonique direct, qui veut sortir de la plateforme et qui parle de Wero alors que la transaction pourrait rester sur le système de paiement intégré de la plateforme : chacun de ces signaux pris isolément peut être innocent, leur accumulation ne l’est pas. Le SMS lui-même trahit souvent le montage : numéro d’expéditeur inhabituel, fautes d’orthographe, lien raccourci ou nom de domaine qui n’est ni celui de votre banque ni celui de Wero, sentiment d’urgence avec menace d’annulation du paiement. Wero étant une solution de paiement récente, encore mal connue d’une partie du public au moment où Paylib lui passe le relais, les escrocs exploitent cette nouveauté : la victime ne sait pas à quoi ressemble un vrai écran Wero et ne s’étonne pas d’une étape supplémentaire. Ni Leboncoin, ni Vinted, ni Wero, ni la banque dont le nom est parfois usurpé dans le SMS ne sont en cause dans ce montage : ce sont les escrocs qui détournent des marques de confiance pour fabriquer un faux paiement, et aucune autorité n’a constaté à la date de rédaction une défaillance de ces services dans ces escroqueries. Retenir ce point change tout pour la suite : la victime n’a pas été payée puis débitée, elle a été trompée puis vidée, et c’est sur ce terrain, celui de la manoeuvre frauduleuse et de l’opération de paiement non autorisée, que les recours se construisent.
B. Virement Wero instantané et faux paiement reçu : pourquoi l’argent part en quelques secondes
Le faux SMS exploite une caractéristique technique du paiement instantané : une fois exécuté, le virement crédite le compte du bénéficiaire en quelques secondes, à toute heure, sans l’intermède d’une nuit ou d’un jour ouvré qui permettrait de faire opposition comme sur d’autres instruments. La victime qui s’aperçoit de la supercherie une heure plus tard appelle sa banque en espérant « annuler le virement », et apprend que le droit des oppositions, prévu pour la carte bancaire, ne s’applique pas au virement qu’elle a elle-même authentifié. L’article L. 133-17 du Code monétaire et financier organise le blocage de l’instrument en cas de perte, de vol ou de détournement : « Lorsqu’il a connaissance de la perte, du vol, du détournement ou de toute utilisation non autorisée de son instrument de paiement ou des données qui lui sont liées, l’utilisateur de services de paiement en informe sans tarder, aux fins de blocage de l’instrument, son prestataire ou l’entité désignée par celui-ci. » Bloquer sa carte ou son accès en ligne stoppe les opérations futures, il ne rappelle pas les fonds déjà virés. Toute la question juridique se déplace donc vers la nature de l’opération : s’agit-il d’une opération de paiement autorisée, que vous auriez consentie en pleine connaissance de son principe et de son montant, ou d’une opération non autorisée, extorquée par une manoeuvre qui a faussé votre consentement ? L’article L. 133-18 du Code monétaire et financier n’ouvre le remboursement automatique qu’« En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 », en précisant que « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France ». Un virement que vous avez validé code après code vers un inconnu, en croyant recevoir de l’argent, se présente d’abord comme une opération autorisée, et la banque opposera presque toujours cette lecture pour refuser le remboursement. Mais cette lecture n’est pas la fin du débat : les juges examinent si votre consentement était éclairé, si la banque a exigé une authentification forte opération par opération, et si votre comportement constitue une négligence grave. Le tribunal judiciaire de Rodez l’a jugé le 8 octobre 2026 dans une affaire de smishing suivi de spoofing où la victime avait elle aussi validé des opérations sous l’emprise d’un faux conseiller : « Il a été également déterminé que le mode opératoire de spoofing diminue la vigilance de la victime et qui exclut la négligence grave et tout consentement éclairé. » La décision, consultée en texte intégral pendant ce run sur courdecassation.fr (tribunal judiciaire de Rodez, 8 octobre 2026, RG 25/00263), condamne la banque à rembourser 3 688,01 euros outre les pénalités de l’article L. 133-18. Le raisonnement vaut pour le vendeur piégé par SMS : une personne qui croit débloquer la réception d’un paiement ne consent ni au principe ni au montant d’un virement sortant, et la pression du faux acheteur comme la mise en scène du faux SMS diminuent sa vigilance au sens de cette jurisprudence. Reste un obstacle pratique que le droit ne supprime pas : même remboursé par votre banque, l’argent a quitté la France en quelques secondes vers des comptes relais, et l’enquête pénale mettra des mois à remonter la chaîne. D’où l’ordre des priorités qui structure la seconde partie : contester vite auprès de la banque pour déclencher le régime protecteur des opérations non autorisées, puis faire constater l’escroquerie par une plainte documentée qui servira aussi bien l’enquête que votre dossier bancaire.
II. Vendeur piégé par un faux SMS Wero : le remboursement de la banque et la plainte pour escroquerie
A. Banque : contester l’opération, exiger le remboursement et saisir le médiateur
Le premier réflexe, dans les heures qui suivent la découverte, consiste à appeler votre banque pour signaler les opérations, bloquer vos accès et demander par écrit la contestation de chaque virement litigieux, en décrivant précisément le faux SMS, le faux lien et les codes validés sans comprendre leur portée. Ce signalement écrit fait courir la protection légale, car l’article L. 133-24 du Code monétaire et financier dispose : « L’utilisateur de services de paiement signale, sans tarder, à son prestataire de services de paiement une opération de paiement non autorisée ou mal exécutée et au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III. » Signaler sans tarder n’est donc pas un conseil de prudence, c’est la condition qui conserve vos droits, avec une limite couperet de treize mois à compter du débit que la banque vous opposera si vous laissez passer le temps. Une fois l’opération signalée dans ces conditions, le régime du remboursement s’enclenche : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », selon l’article L. 133-18 du Code monétaire et financier, sauf soupçon motivé de fraude de l’utilisateur notifié par écrit à la Banque de France. Le même article assortit ce remboursement de pénalités automatiques en cas de retard : « Les sommes dues produisent intérêt au taux légal majoré de cinq points », « Au-delà de sept jours de retard, les sommes dues produisent intérêt au taux légal majoré de dix points », et « Au-delà de trente jours de retard, les sommes dues produisent intérêt au taux légal majoré de quinze points ». Le tribunal de Rodez a appliqué ces pénalités à la lettre, en condamnant la banque aux intérêts au taux légal majoré de quinze points sur la somme remboursée. La banque refusera pourtant dans un premier temps, en invoquant votre négligence : vous auriez communiqué vos codes, validé l’ajout d’un bénéficiaire, manqué aux mesures de sécurité. C’est ici que la charge de la preuve bascule en votre faveur. L’article L. 133-23 du Code monétaire et financier prévoit que « Lorsqu’un utilisateur de services de paiement nie avoir autorisé une opération de paiement qui a été exécutée, ou affirme que l’opération de paiement n’a pas été exécutée correctement, il incombe à son prestataire de services de paiement de prouver que l’opération en question a été authentifiée, dûment enregistrée et comptabilisée et qu’elle n’a pas été affectée par une déficience technique ou autre », et ajoute que « L’utilisation de l’instrument de paiement telle qu’enregistrée par le prestataire de services de paiement ne suffit pas nécessairement en tant que telle à prouver que l’opération a été autorisée par le payeur ou que celui-ci n’a pas satisfait intentionnellement ou par négligence grave aux obligations lui incombant en la matière ». Autrement dit, l’historique informatique de la banque qui montre que « les codes ont été saisis » ne prouve ni votre consentement éclairé ni votre négligence : c’est à l’établissement de démontrer l’un et l’autre, et le tribunal de Rodez a écarté un historique non corroboré par aucun autre document. Sur le fond, deux textes encadrent le débat sur votre comportement. D’un côté, l’article L. 133-19 du Code monétaire et financier prévoit que « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17 », lesquels imposent à l’utilisateur de prendre, selon les termes de l’article, « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » au sens de l’article L. 133-16 du Code monétaire et financier. De l’autre, le même article L. 133-19 protège le payeur dès que la banque a failli à l’authentification forte : « Sauf agissement frauduleux de sa part, le payeur ne supporte aucune conséquence financière si l’opération de paiement non autorisée a été effectuée sans que le prestataire de services de paiement du payeur n’exige une authentification forte du payeur », exigence prévue à l’article L. 133-44. » Or l’article L. 133-44 du Code monétaire et financier impose à la banque d’appliquer, selon ses termes, « l’authentification forte du client définie au f de l’article L. 133-4 lorsque le payeur » accède à son compte en ligne, initie une opération de paiement électronique ou agit par un moyen de communication à distance exposé à la fraude. La Cour de cassation a donné à ces textes une portée redoutable pour les banques dans un arrêt du 22 octobre 2025 : « Il résulte des articles L. 133-44, I et L. 133-19, V du code monétaire et financier que le prestataire de service de paiement doit appliquer l’authentification forte du client définie au f) de l’article L. 133-4 du même code en cas d’opération de paiement à distance et qu’à défaut, il doit rembourser au payeur le montant de l’opération non autorisée, sauf agissement frauduleux du payeur. » Dans cette affaire, la victime avait elle-même répondu à un courriel frauduleux et transmis des données confidentielles, et le tribunal avait retenu sa négligence grave ; la Cour de cassation approuve néanmoins le remboursement parce que la banque ne justifiait pas avoir exigé l’activation de l’authentification forte, en concluant : « De ces seuls motifs, le tribunal, qui n’avait pas à effectuer la recherche inopérante visée à la troisième branche, a exactement déduit que la banque devait rembourser au payeur le montant de l’opération non autorisée » (Cass. com., 22 octobre 2025, n° 24-19.749, consulté en texte intégral pendant ce run). Pour le vendeur piégé par SMS, l’argument se transpose : si l’escroc a pu ajouter un bénéficiaire et faire partir un virement instantané sans authentification forte liée au montant et au bénéficiaire, la banque manque à son obligation, et votre maladresse face à un faux SMS ne suffit pas à l’exonérer. En pratique, envoyez votre contestation en recommandé avec accusé de réception, joignez-y la copie du faux SMS, l’URL du faux lien, les captures de la fausse page et le récépissé de plainte dès que vous l’avez, et exigez le remboursement sur le fondement de l’article L. 133-18. Si la banque maintient son refus, l’article L. 316-1 du Code monétaire et financier rappelle que « Tout consommateur a droit de recourir gratuitement à un médiateur dans les conditions prévues au chapitre II du titre Ier du livre VI du code de la consommation en vue de la résolution d’un litige qui l’oppose à un établissement de crédit », et la saisine du médiateur bancaire, gratuite, suspend utilement le temps de la procédure amiable avant toute action au tribunal judiciaire.
B. Faire punir et garder la preuve : plainte pour escroquerie, faux SMS conservés et signalements qui comptent
Le volet pénal commence par la qualification : le faux acheteur qui vous écrit sous une fausse identité, le faux SMS qui imite Wero et la fausse page qui capte vos codes caractérisent une escroquerie au sens du Code pénal. L’article 313-1 du Code pénal définit l’infraction ainsi : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Le texte ajoute : « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » Le faux acheteur qui se présente comme un particulier pressé d’acheter use d’un faux nom ou d’une fausse qualité, et le montage du faux SMS assorti d’une fausse page bancaire constitue des manoeuvres frauduleuses qui vous ont déterminé à valider des virements à votre préjudice. Selon les circonstances relevées dans votre dossier, d’autres qualifications pourraient être retenues par le parquet : si le SMS semble provenir du numéro de votre banque ou d’un proche, l’usurpation de numéro entre dans le champ de l’article 226-4-1 du Code pénal, qui punit « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération », d’un an d’emprisonnement et de 15 000 euros d’amende, infraction qui « est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne » ; et si les escrocs se sont introduits dans votre espace bancaire pour y ajouter un bénéficiaire ou y programmer des virements, l’article 323-1 du Code pénal punit « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données » de trois ans d’emprisonnement et de 100 000 euros d’amende. Ces qualifications s’écrivent au conditionnel tant que l’enquête n’a pas établi les faits : elles décrivent ce que le dossier pourrait révéler, jamais ce qui est déjà prouvé. Déposez plainte au commissariat ou à la brigade de gendarmerie en apportant un dossier ordonné : captures du faux SMS avec le numéro d’expéditeur et l’heure de réception, adresse exacte du faux lien, captures de la fausse page, échanges avec le faux acheteur sur Leboncoin ou Vinted avec son pseudonyme et ses horaires de connexion, relevés bancaires entourant les virements litigieux, référence de la contestation adressée à la banque. Demandez que votre plainte vise l’escroquerie et que les éléments techniques, numéro expéditeur, nom de domaine, adresse du site, soient consignés au procès-verbal, car ce sont eux qui permettront les réquisitions. Conservez les originaux : ne supprimez ni le SMS ni les messages de la plateforme, photographiez l’écran avec un autre appareil si vous craignez une perte, et exportez vos relevés avant toute clôture de compte. Constituez-vous partie civile pour obtenir réparation dans le procès pénal si les auteurs sont identifiés, en chiffrant votre préjudice : sommes détournées, frais bancaires induits, temps consacré aux démarches. En parallèle, multipliez les signalements qui protègent les autres vendeurs et nourrissent les enquêtes : transférez le faux SMS à la plateforme 33700 de lutte contre les spams SMS et le démarchage téléphonique, signalez le faux profil d’acheteur à Leboncoin ou à Vinted depuis l’annonce et la messagerie, et signalez la fraude à Wero via la rubrique « Signaler une fraude » de son centre d’aide officiel (rubrique « Signaler une fraude »). Chaque signalement horodaté renforce aussi votre dossier bancaire : il prouve que le SMS ne venait pas d’un service légitime et que vous avez réagi en victime diligente, ce qui répond par avance au reproche de négligence grave. Cet apport distingue la présente étude de notre analyse du faux appel bancaire : là où le faux conseiller manipule un prétendu piratage de votre compte, le faux acheteur manipule votre espoir d’être payé, et la parade comme la preuve, faux SMS conservé, faux lien documenté, profil signalé, ne se jouent pas sur le même terrain.
Conclusion
Vendeur sur Leboncoin ou Vinted, le faux SMS qui annonce un paiement Wero reçu n’est jamais le début d’une vente, c’est le début d’une escroquerie : un faux acheteur, un faux lien, de vrais codes qui font partir de vrais virements instantanés. Le droit bancaire protège pourtant la victime qui réagit vite et bien : signaler les opérations sans tarder et au plus tard dans les treize mois du débit, exiger le remboursement dès le premier jour ouvrable sur le fondement de l’article L. 133-18, rappeler à la banque qu’il lui appartient de prouver l’autorisation et l’absence de défaillance technique, et lui opposer l’exigence d’authentification forte que la Cour de cassation sanctionne depuis son arrêt du 22 octobre 2025. Le tribunal de Rodez a montré le 8 octobre 2026 qu’une victime manipulée par smishing et spoofing n’est ni négligente ni consentante, et obtient le remboursement avec pénalités. Le droit pénal prend le relais avec l’escroquerie punie de cinq ans d’emprisonnement et de 375 000 euros d’amende, à condition de déposer une plainte documentée et de conserver chaque preuve, faux SMS, faux lien, échanges et relevés. Signaler au 33700, à la plateforme d’annonce et à Wero protège les vendeurs suivants et consolide votre propre dossier. Ni Wero, ni Leboncoin, ni Vinted ne sont en cause dans ces montages : leurs noms sont détournés, les contrats que vous avez signés avec votre banque priment sur toute analyse générale, et seul le juge tranchera les responsabilités de votre dossier.