Arnaque à la petite annonce

Définition

L'arnaque à la petite annonce vise les particuliers qui vendent entre eux : l'attaquant se présente comme acheteur intéressé et détourne la conversation vers un faux dispositif de paiement, afin d'obtenir des identifiants bancaires ou un virement.

Comment ça fonctionne

L'attaquant répond rapidement, accepte le prix sans négocier et propose de faire enlever l'objet par un transporteur. Il déplace ensuite l'échange en dehors de la plateforme, où plus rien n'est contrôlé, et envoie un lien censé permettre de « valider » ou « libérer » le paiement. La page imite l'espace bancaire du vendeur ou le service de paiement de la plateforme. La demande est contre-intuitive et c'est ce qui la rend efficace : on ne se méfie pas d'une procédure qui prétend vous faire recevoir de l'argent, alors même que le formulaire réclame des informations qui ne servent qu'à en envoyer. Une variante symétrique vise l'acheteur, avec un faux justificatif de virement et un objet qui n'est jamais expédié.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Acheteur qui accepte le prix immédiatement, sans question sur l'objet
• Conversation déplacée hors de la plateforme dès les premiers messages
• Lien envoyé pour « valider », « libérer » ou « confirmer » la réception d'un paiement
• Demande de vos identifiants bancaires ou d'un code reçu par SMS pour encaisser
• Justificatif de virement transmis en image plutôt que constaté sur votre compte
• Pression pour conclure avant une échéance annoncée

Comment vérifier

Recevoir de l'argent ne demande jamais de se connecter à son espace bancaire depuis un lien, ni de saisir un numéro de carte, ni de communiquer un code. Un encaissement se constate sur votre compte, en vous y connectant par vos propres moyens. Restez dans la messagerie de la plateforme : c'est le seul endroit où un litige pourra être instruit.

Que faire

Ne suivez aucun lien de paiement reçu en conversation. N'expédiez pas l'objet sur la foi d'un justificatif transmis en image : attendez de voir les fonds sur votre compte.

Si c'est déjà arrivé

Si vous avez saisi des identifiants bancaires, contactez immédiatement votre banque pour faire opposition et bloquer l'accès en ligne, puis changez vos mots de passe. Conservez la conversation et l'annonce, signalez le compte à la plateforme et déposez plainte.

Les gestes qui déjouent cette attaque

• Que faire dans l'heure qui suit un paiement frauduleuxJ'ai payé une arnaque, que faire maintenant ?

Questions fréquentes

Pourquoi me demander mes informations bancaires pour me verser de l'argent ?

C'est le signal décisif. Un versement ne nécessite qu'un IBAN, que vous pouvez communiquer sans risque. Toute demande de numéro de carte, de mot de passe ou de code reçu par SMS sert à débiter, jamais à créditer.

L'acheteur m'a envoyé une capture d'écran prouvant le virement.

Une image se fabrique en quelques minutes et ne prouve rien. Le seul justificatif qui compte est l'apparition des fonds sur votre compte, constatée depuis votre application bancaire.

Attaques liées

• Arnaque à la location
• Fausse boutique en ligne
• Offre d'emploi frauduleuse
• Fraude aux documents d'identité

Sources officielles

• Cybermalveillance.gouv.fr — Hameçonnage (phishing)