Je vends sur Wallapop ou Vinted et l'« acheteur » me demande mes coordonnées ou m'envoie un lien

Vous publiez sur Wallapop, Vinted ou Milanuncios (des plateformes de seconde main très utilisées en Espagne ; la même arnaque circule sur Leboncoin, Facebook Marketplace et ailleurs) un objet dont vous ne vous servez plus et, quelques minutes plus tard, un acheteur enthousiaste se manifeste. Il ne négocie pas, ne pose aucune question sur l'article et il est très pressé. Il vous demande votre WhatsApp ou votre e-mail « pour aller plus vite » et, peu après, vous envoie un lien : « Je vous ai déjà payé, cliquez ici pour recevoir l'argent » ou « J'ai réservé le transporteur, confirmez vos coordonnées pour qu'il passe ». Si vous l'ouvrez, vous verrez une page identique à celle de la plateforme qui vous demande le numéro de votre carte, sa date d'expiration et le cryptogramme (CVV). Ce n'est pas un encaissement : c'est un vol. Et la règle qui démonte tout est simple : pour recevoir de l'argent, vous n'avez jamais à donner les données de votre carte ni le moindre code.

Comment fonctionne l'arnaque au faux acheteur ?

Le schéma a des variantes, mais il suit presque toujours les mêmes étapes :

• Il vous fait sortir de la plateforme. Premier geste : basculer la conversation sur WhatsApp, SMS, Telegram ou e-mail. Hors de la messagerie officielle, la plateforme ne peut ni détecter la fraude ni vous protéger, et l'escroc peut vous envoyer des liens sans aucun filtre.
• Il vous envoie un faux lien. Le site copie le design de Wallapop, Vinted, Milanuncios, de la poste ou d'une société de livraison. Il indique que le paiement est « bloqué » ou « en attente de confirmation » et que, pour le débloquer, vous devez saisir votre carte. Avec ces données, ils font des achats ou des débits à votre nom.
• Il vous demande des codes. Après la saisie de la carte, vous recevez un SMS de votre banque avec un code pour autoriser une opération. Le faux site vous le réclame « pour vérifier que vous êtes le titulaire ». Ce code, c'est votre signature : vous autorisez un paiement, pas un encaissement.
• La variante Bizum. Au lieu de vous envoyer de l'argent, ils vous envoient une demande Bizum (Bizum est le système espagnol de paiement entre mobiles ; d'autres pays ont des équivalents) et vous disent de l'accepter pour être payé. Si vous l'acceptez, c'est vous qui payez.
• La variante du « trop-perçu ». Ils prétendent vous avoir trop payé par erreur (ou « pour le transporteur ») et vous demandent de rembourser la différence. Le paiement initial n'a jamais existé.

Leur point commun, c'est la pression : l'acheteur « part en voyage », « le livreur passe aujourd'hui » ou « le paiement expire dans 30 minutes ». L'urgence est là pour que vous ne preniez pas le temps de réfléchir.

Comment savoir que l'acheteur est faux ?

Aucun signe isolé n'est une preuve, mais plusieurs ensemble constituent un diagnostic assez fiable :

1. Il veut continuer sur WhatsApp, par SMS ou par e-mail dès le début, sans raison claire.
2. Il ne pose aucune question sur l'article et ne négocie pas le prix. Peu lui importe ce qu'il achète.
3. Il vous envoie un lien pour être payé. Les plateformes gèrent le paiement et l'envoi dans leur propre application ; l'argent ne se « récupère » pas sur un site externe.
4. Le domaine n'est pas l'officiel. Adresses avec des tirets, des mots ajoutés (« paiement-securise », « confirmer-envoi ») ou des extensions bizarres. Regardez-le calmement, pas en un coup d'œil.
5. Il demande votre carte, le CVV, le code PIN ou des codes SMS. Pour recevoir de l'argent, il vous faut au plus votre IBAN, et seulement si vous vendez hors de la plateforme. Jamais le CVV ni un code.
6. Profil récent ou sans évaluations, souvent avec un nom générique et sans photo.
7. Urgence et prétextes logistiques : un proche récupérera le colis, un livreur « privé », un envoi à l'étranger.

Que faire tout de suite ?

1. N'ouvrez pas le lien et ne saisissez aucune donnée. Si vous l'avez ouvert sans rien taper, fermez-le ; le simple fait de l'ouvrir est en général sans conséquence.
2. Revenez sur la messagerie officielle de la plateforme. Si l'acheteur est réel, il acceptera d'acheter via le système de paiement et d'envoi intégré. S'il refuse, vous avez votre réponse.
3. Vérifiez les paiements uniquement dans l'application ou dans votre banque en ligne, en vous connectant vous-même par l'application officielle, jamais depuis un lien reçu.
4. Conservez des preuves : captures d'écran de la conversation, le numéro ou le profil, le lien (copiez-le en texte, sans l'ouvrir) et la date.
5. Bloquez et signalez le profil sur la plateforme, et le numéro sur WhatsApp ou sur votre téléphone. La plateforme pourra ainsi supprimer le compte avant qu'il ne s'attaque à d'autres vendeurs.

Et si j'ai déjà saisi mes données ou un code ?

Ne vous culpabilisez pas : ces sites sont très bien faits. L'essentiel, c'est la rapidité :

1. Appelez immédiatement votre banque au numéro figurant au dos de votre carte ou dans son application officielle. Demandez le blocage de la carte et la vérification des opérations récentes.
2. Signalez les débits que vous ne reconnaissez pas comme opérations non autorisées et demandez leur remboursement. Plus vous agissez tôt, plus vous avez de chances. Nous l'expliquons dans comment récupérer l'argent d'une arnaque téléphonique.
3. Si vous avez accepté une demande Bizum (ou une demande dans une application de paiement similaire), prévenez aussi votre banque : Bizum passe par elle. Plus de détails dans l'arnaque au Bizum.
4. Changez les mots de passe de votre compte sur la plateforme et de votre messagerie, et activez la validation en deux étapes.
5. Si vous avez communiqué un code WhatsApp, quelqu'un peut tenter de s'emparer de votre compte : ouvrez WhatsApp, activez la vérification en deux étapes et prévenez vos contacts d'ignorer toute demande d'argent.
6. Surveillez vos comptes pendant les semaines suivantes. Vos données peuvent être réutilisées dans des appels se faisant passer pour votre banque ; avant d'agir, apprenez à vérifier si un appel ou un SMS de votre banque est authentique.

Où porter plainte ?

• En Espagne, la Policía Nacional (091) ou la Guardia Civil (062) : déposez plainte avec toutes les captures, le lien et les justificatifs bancaires. La banque peut vous la demander pour traiter la réclamation. Ailleurs, adressez-vous à la police ou à la gendarmerie de votre pays.
• En Espagne, l'INCIBE au 017 : ligne d'aide gratuite et confidentielle en cybersécurité. Elle vous oriente et, sur le site de son Office de sécurité de l'internaute (OSI), vous pouvez consulter les alertes sur les campagnes en cours. Ailleurs, contactez l'agence nationale de cybersécurité ou le service officiel de signalement des fraudes.
• La plateforme elle-même : signalez le profil et la conversation depuis son application.
• Le 112 (numéro d'urgence européen) uniquement en cas d'urgence réelle, par exemple des menaces ou quelqu'un qui se présente chez vous.

Et si le contact est venu d'un numéro de téléphone, ajoutez-le à l'annuaire des numéros spam pour que d'autres vendeurs le reconnaissent.

Questions fréquentes

Peut-on me voler avec seulement mon numéro de carte ? Avec le numéro, la date d'expiration et le CVV, on peut faire des achats en ligne, surtout si l'on obtient aussi le code de confirmation envoyé par la banque. C'est pourquoi ces sites demandent tout en même temps. Ne le communiquez jamais pour être payé.

L'acheteur dit que la plateforme « exige » la vérification de ma carte. C'est vrai ? Non. Si la plateforme avait besoin de quelque chose, elle vous le demanderait dans son application officielle, pas via un lien envoyé par un inconnu sur WhatsApp.

Est-ce sûr de vendre en main propre ? Se retrouver dans un lieu public et être payé en espèces ou via le système de la plateforme est raisonnable. Méfiez-vous de toute « preuve de paiement » envoyée en capture ou par e-mail : ce qui compte, c'est l'argent que vous voyez sur votre compte ou dans l'application.

On m'a envoyé le lien par SMS et non par la messagerie. Ça change quelque chose ? Non. Le canal change, le piège reste le même. C'est la même logique que le faux SMS de livraison de colis.

En résumé

Quand vous vendez, l'argent vient à vous : vous n'avez jamais à payer, à saisir votre carte ni à donner des codes pour le recevoir. Gardez la conversation et le paiement sur la plateforme, méfiez-vous de l'urgence et des liens, et si vous avez déjà saisi des données, appelez votre banque avant toute chose puis portez plainte. Pour une alerte supplémentaire face aux numéros et SMS suspects, NoCall vous aide à identifier qui se trouve à l'autre bout avant de répondre.