# « J'ai déjà payé, validez la livraison » : l'arnaque au faux acheteur sur les sites de petites annonces

> Vous vendez un objet d'occasion et un acheteur pressé vous envoie un lien SMS pour « valider la réception du paiement ». Décryptage complet de l'arnaque au faux acheteur, des signaux d'alerte et des réflexes à avoir si vous avez cliqué.

- Source: https://www.envoyer-sms-gratuit.com/fr/blog/2026-09-16/arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement
- Published: 2026-09-16 (16 septembre 2026)
- Author: L'équipe Envoyer SMS Gratuit
- Language: fr
- Categories: Guide
- Tags: Cybersécurité, SMS, Guide, Cas d'usage, France 2026, Smartphone, Protection des données

---
« Bonjour, je prends votre vélo au prix demandé, pas besoin de négocier. J'ai déjà effectué le paiement sécurisé via la plateforme, vous allez recevoir un SMS pour valider la réception des fonds. Mon transporteur passe demain matin. »

Le message est poli, rapide, sans marchandage. C'est précisément ce qui devrait alerter — et c'est précisément ce qui rassure. Après trois semaines d'annonce en ligne et quatre curieux qui ont proposé la moitié du prix, un acheteur qui dit oui tout de suite ressemble à une délivrance, pas à un piège.

L'arnaque au faux acheteur a une particularité qui la rend redoutable : elle inverse les rôles. Toutes les campagnes de prévention nous ont appris à nous méfier quand on **achète** en ligne. Presque personne ne nous a expliqué qu'on pouvait se faire voler en **vendant**. Or c'est aujourd'hui l'un des scénarios de smishing les plus répandus en France, et il ne cible plus seulement les débutants.

![Homme en pull beige consultant son téléphone portable dans la rue, un gobelet de café à la main](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/hero.jpg)

## Le scénario complet, étape par étape

Contrairement au faux SMS de livraison qui arrive à froid, cette arnaque se construit. Elle commence toujours par une annonce **réelle**, publiée par vous, sur une plateforme **réelle**. L'escroc ne fabrique rien : il exploite ce que vous avez mis en ligne.

**Étape 1 — Le contact éclair.** Quelques minutes à quelques heures après la mise en ligne, un message arrive via la messagerie interne du site. L'acheteur accepte le prix affiché, ne pose aucune question technique sur l'objet, et se dit « très intéressé ». Il invoque souvent une contrainte : il part en déplacement, il achète pour un proche, il ne peut pas se déplacer.

**Étape 2 — La sortie de plateforme.** C'est le moment charnière. L'acheteur demande votre numéro de téléphone « pour aller plus vite » ou « parce que l'application bugue ». Vous le donnez, l'échange bascule en SMS ou sur une messagerie chiffrée. Vous venez de quitter l'espace où la plateforme archive, modère et peut suspendre un compte.

**Étape 3 — La preuve de paiement.** L'escroc envoie une capture d'écran d'un virement effectué, parfois un faux e-mail de confirmation aux couleurs de la plateforme. Ces documents sont bien faits : logo correct, police correcte, mentions légales recopiées. Ils n'ont aucune valeur, mais ils créent un sentiment d'avancement.

**Étape 4 — Le SMS piégé.** Un message arrive, prétendument automatique, avec un lien : « Votre vendeur a reçu 480 € en attente. Cliquez pour valider la réception des fonds sur votre compte. » Le domaine imite celui de la plateforme ou d'un service de paiement connu, avec une variante minuscule.

**Étape 5 — Le formulaire.** La page demande votre numéro de carte bancaire, la date d'expiration, le cryptogramme, parfois votre solde disponible « pour vérifier la compatibilité du versement ». Puis elle vous demande de valider une notification dans votre application bancaire.

**Étape 6 — Le débit.** Cette validation n'autorise pas une réception, elle autorise un **paiement sortant** ou l'enregistrement de votre carte dans un portefeuille numérique contrôlé par l'escroc. Les prélèvements suivent, parfois étalés sur plusieurs jours pour ne pas déclencher d'alerte.

## Le mensonge central : on ne « valide » jamais un encaissement

Il faut le graver quelque part, parce que c'est le seul point sur lequel toute l'arnaque repose.

> Recevoir de l'argent ne nécessite **jamais** de communiquer votre numéro de carte bancaire, votre cryptogramme, ni de valider une opération dans votre application bancaire.

Un virement entrant arrive tout seul. Un remboursement arrive tout seul. Un paiement via une plateforme de vente arrive sur le portefeuille de la plateforme, puis sur votre compte après une demande de retrait que **vous** initiez depuis l'application officielle, en vous connectant vous-même.

Les données d'une carte bancaire servent exclusivement à **débiter** cette carte. Le cryptogramme à trois chiffres au dos n'existe que pour prouver que vous détenez physiquement la carte au moment d'un achat. Aucun système au monde n'en a besoin pour vous verser de l'argent. Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes d'actes de cybermalveillance, répète ce principe dans toutes ses fiches consacrées à l'hameçonnage.

Le corollaire pratique : dès qu'un interlocuteur, quel qu'il soit, relie les mots « recevoir » et « carte bancaire » dans la même phrase, l'échange est terminé.

## Les variantes qui circulent en 2026

Le scénario de base se décline. Voici les formes les plus fréquemment signalées.

| Variante | Prétexte | Ce qu'on vous demande |
|---|---|---|
| Le trop-perçu | « J'ai payé 800 € au lieu de 80 €, remboursez la différence » | Un virement de votre part vers un IBAN inconnu |
| Les frais de livraison | « Le transporteur exige que le vendeur avance les frais, remboursés ensuite » | Un paiement de 30 à 60 € par carte |
| L'assurance colis | « L'objet doit être assuré, la plateforme vous rembourse après » | Un paiement + vos coordonnées bancaires |
| Le compte professionnel | « Votre compte doit passer en statut vendeur vérifié » | Une pièce d'identité + un RIB + une carte |
| Le faux litige | « L'acheteur conteste, régularisez sous 24 h » | Une connexion sur un faux espace client |

La variante du trop-perçu mérite une attention particulière : elle ne passe pas par un lien piégé. L'escroc envoie un faux justificatif de virement, vous constatez « une erreur », et votre réflexe d'honnêteté vous pousse à rembourser immédiatement. Le virement initial n'a jamais existé, ou il sera annulé. Votre remboursement, lui, est bien réel et irrécupérable.

## Pourquoi les vendeurs mordent, y compris les prudents

Il y a des raisons structurelles, et elles n'ont rien à voir avec la naïveté.

**Le contexte a rendu l'échange plausible.** Vous attendiez un acheteur. Le SMS arrive au moment exact où il a du sens. C'est ce que les chercheurs en sécurité appellent le *contexte d'attente* : un message frauduleux qui coïncide avec une action réelle de la victime multiplie son taux de réussite.

**L'escroc connaît des détails vrais.** Le modèle du vélo, la couleur du canapé, le prix demandé, parfois votre prénom : tout est sur votre annonce. Ces éléments donnent au message un vernis d'authenticité qu'aucun faux SMS générique n'atteint.

**La pression temporelle est intégrée au commerce.** « Mon transporteur passe demain » n'a rien d'anormal dans une transaction. On ne perçoit pas l'urgence comme une manipulation, on la perçoit comme de la logistique.

**Le vendeur est en position de demandeur.** Il veut se débarrasser de l'objet, souvent pour récupérer une somme déjà mentalement dépensée. Cette asymétrie affective désactive l'esprit critique bien plus efficacement qu'une menace.

![Jeune homme assis sur un banc en bois dans un parc, consultant son smartphone](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/body-1.jpg)

## Lire l'URL : les trois secondes qui sauvent

Quand un lien arrive, il existe une méthode simple pour l'examiner sans cliquer. Lisez l'adresse **de droite à gauche**, en partant du premier `/`.

Le domaine réel est ce qui précède immédiatement le premier `/`, en remontant jusqu'au point précédent l'extension. Tout le reste est décoratif.

- `https://leboncoin.paiement-securise[.]xyz/valider` → le domaine réel est `paiement-securise.xyz`. La marque n'est qu'un sous-domaine, c'est-à-dire du texte que n'importe qui peut écrire.
- `https://secure-paypa1[.]com/confirm` → le `1` remplace le `l`. Sur un écran de 6 pouces, en marchant, personne ne le voit.
- `https://bit[.]ly/3xK9pL` → un raccourcisseur masque totalement la destination. Un service légitime de paiement n'en utilise jamais dans un SMS transactionnel.

Cette vérification demande un écran lisible et une lumière correcte. Beaucoup de gens cliquent parce qu'ils ne distinguent pas les caractères : si vous lisez difficilement les petits textes, agrandir la taille de police du système change réellement la donne, tout comme un [film protecteur antireflet pour smartphone](https://www.amazon.fr/s?k=film+protection+%C3%A9cran+antireflet+smartphone&tag=ds050-21) quand on consulte son téléphone en extérieur. Ce n'est pas un détail cosmétique : une bonne partie du smishing repose sur des différences typographiques d'un seul caractère.

Autre réflexe utile : ne jamais consulter un lien sensible dans les transports ou en marchant. La vigilance visuelle chute, et c'est statistiquement là que les clics accidentels se produisent.

## Les signaux d'alerte à connaître par cœur

Aucun signal ne suffit seul. Deux signaux réunis, c'est une arnaque jusqu'à preuve du contraire.

- **L'acheteur ne négocie pas et ne pose aucune question sur l'objet.** Un vrai acheteur veut savoir si le vélo a été révisé, si la garantie court encore, si l'écran a des rayures.
- **Il veut quitter la messagerie de la plateforme.** Toujours, immédiatement, avec un prétexte technique.
- **Il impose son transporteur.** Un « coursier privé » qu'il paie lui-même, qui passe très vite, et pour lequel vous devez avancer des frais.
- **Le paiement passe par un canal inhabituel.** Un lien envoyé par SMS, un e-mail de confirmation reçu avant votre inscription à quoi que ce soit, une demande de RIB en dehors de l'application.
- **Le français est presque parfait — mais pas tout à fait.** Un « veuillez valider votre réception de fond » au singulier, une majuscule mal placée, une formule de politesse traduite.
- **Le numéro est un mobile en 06 ou 07 alors que le message se prétend automatique.** Les notifications réelles des plateformes arrivent depuis un expéditeur alphanumérique ou un numéro court.

## Si vous avez cliqué et saisi vos données

Le temps compte davantage que tout le reste. Voici l'ordre exact.

**1. Faire opposition immédiatement.** Appelez le numéro d'opposition figurant au dos de votre carte ou dans votre application bancaire. Le serveur interbancaire national d'opposition à carte bancaire est joignable au **0 892 705 705**, 24 h/24. Faites-le avant même de prévenir qui que ce soit d'autre.

**2. Changer les mots de passe concernés.** Celui de la plateforme d'annonces, celui de votre banque si vous l'aviez saisi, et celui de votre messagerie si le mot de passe était réutilisé. Activer la double authentification partout où c'est possible. Pour les personnes qui accumulent des dizaines de comptes, un [carnet de mots de passe papier](https://www.amazon.fr/s?k=carnet+de+mots+de+passe+papier&tag=ds050-21) rangé hors de vue reste une solution imparfaite mais infiniment plus sûre qu'un fichier « codes.txt » sur le bureau.

**3. Signaler le message.** Transférez le SMS frauduleux au **33700**, la plateforme nationale de signalement des spams vocaux et SMS. C'est gratuit et cela alimente le blocage des numéros. Le site **signal-arnaques.com** et la plateforme **Pharos** (internet-signalement.gouv.fr) acceptent également les signalements.

**4. Déposer plainte.** En commissariat, en gendarmerie, ou via la pré-plainte en ligne. Apportez les captures d'écran de l'annonce, de la conversation et du SMS. Sans plainte, l'espoir de remboursement est quasi nul.

**5. Demander le remboursement à votre banque.** L'article L133-18 du Code monétaire et financier prévoit le remboursement des opérations de paiement non autorisées signalées sans tarder. Les banques opposent souvent la « négligence grave » du client lorsqu'il a lui-même saisi ses données. Ce refus n'est pas définitif : la Cour de cassation a rappelé à plusieurs reprises que c'est à la banque de **prouver** la négligence grave, et non au client de prouver son absence. En cas de refus, saisissez le médiateur bancaire, puis éventuellement la justice.

**6. Surveiller vos relevés pendant plusieurs mois.** Les données de carte revendues sur des marchés parallèles peuvent être exploitées longtemps après. Certains y ajoutent une surveillance douce : relevé papier archivé dans un [classeur à compartiments](https://www.amazon.fr/s?k=classeur+%C3%A0+compartiments+documents&tag=ds050-21) plutôt que dans une pile de courrier, pour repérer une anomalie d'un mois à l'autre.

![Homme en chemise sombre, main sur le visage, consultant son smartphone devant une façade métallique](/images/blog/2026-09-16-arnaque-sms-vente-entre-particuliers-faux-acheteur-lien-paiement/body-2.jpg)

## Vendre en ligne sans exposer son numéro

La meilleure protection consiste à ne jamais donner l'occasion à l'arnaque de commencer. Quelques habitudes suffisent.

**Rester dans la messagerie de la plateforme, sans exception.** Aucune raison invoquée ne justifie d'en sortir. Si l'acheteur insiste, il vient de se disqualifier lui-même.

**Privilégier la remise en main propre avec paiement en espèces ou virement instantané reçu et vérifié dans votre application.** Vérifié signifie : vous ouvrez votre banque, vous voyez la somme créditée. Pas une capture d'écran présentée par l'acheteur.

**Ne jamais avancer de frais.** Aucun transporteur légitime ne demande au vendeur de payer pour recevoir de l'argent.

**Nettoyer les photos de l'annonce.** Une plaque d'immatriculation, un numéro de rue, une facture posée en arrière-plan, un colis avec votre adresse : autant d'informations qui servent ensuite à personnaliser l'attaque. Pour les objets en gros plan, photographier sur un fond neutre — un simple [tapis photo pliable](https://www.amazon.fr/s?k=fond+photo+pliable+studio+produit&tag=ds050-21) fait le travail — évite d'exposer votre intérieur.

**Utiliser un numéro secondaire quand la plateforme l'exige.** Une [carte SIM prépayée](https://www.amazon.fr/s?k=carte+SIM+pr%C3%A9pay%C3%A9e+sans+engagement&tag=ds050-21) dédiée aux petites annonces isole votre numéro principal, celui qui est rattaché à votre banque et à vos comptes. Si le numéro secondaire finit sur une liste de spam, vous le jetez.

**Archiver les échanges.** Captures d'écran de l'annonce, de la conversation et de l'identité du compte acheteur. Ces éléments seront indispensables en cas de plainte.

## Le point aveugle : l'acheteur aussi peut être une victime

Il arrive que l'escroc utilise un compte piraté appartenant à un utilisateur légitime, avec son historique, ses évaluations positives et son ancienneté. La réputation affichée n'est donc pas une garantie absolue : elle réduit le risque, elle ne l'annule pas.

De la même manière, un profil créé le jour même avec zéro évaluation n'est pas nécessairement frauduleux — tout le monde commence quelque part. C'est la **combinaison** entre un profil neuf, une absence de négociation et une demande de sortir de la plateforme qui constitue le faisceau d'indices.

## Ce qu'il faut retenir

L'arnaque au faux acheteur n'exploite aucune faille technique. Elle exploite une asymétrie de vigilance : nous avons tous appris à nous méfier en achetant, personne ne nous a prévenus qu'il fallait aussi se méfier en vendant.

La règle qui résume tout tient en une phrase : **recevoir de l'argent ne demande jamais rien de plus que d'attendre**. Pas de lien à cliquer, pas de carte à saisir, pas de validation à confirmer, pas de frais à avancer. Le jour où quelqu'un vous explique le contraire, avec des logos parfaits et un français impeccable, vous saurez exactement ce que vous avez sous les yeux.


{/* image-sources: https://images.pexels.com/photos/5648374/pexels-photo-5648374.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/5384455/pexels-photo-5384455.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 https://images.pexels.com/photos/13801812/pexels-photo-13801812.jpeg?auto=compress&cs=tinysrgb&dpr=2&h=650&w=940 */}