Il y a un moment très précis où l'on baisse la garde : celui où l'annonce vient d'être publiée. Le canapé est photographié, la description est écrite, le prix est fixé. Et vingt minutes plus tard, le téléphone vibre. « Bonjour, je suis intéressé par votre article, est-il toujours disponible ? » Le message est poli, correct, sans faute. Il arrive par SMS, directement sur le numéro personnel.
À partir de là, une mécanique bien rodée se met en place. Elle ne vise pas les acheteurs — c'est l'erreur d'analyse la plus répandue — mais les vendeurs. Ceux qui attendent une réponse, qui espèrent conclure vite, qui ont mentalement déjà dépensé les 250 euros du vélo à céder.
Publier une petite annonce, en 2026, c'est publier un numéro de téléphone dans un espace consultable par n'importe qui, y compris par des réseaux organisés qui automatisent la collecte. Ce que l'on croit être une transaction entre particuliers devient alors un terrain de chasse. Voici comment ces arnaques fonctionnent réellement, pourquoi elles marchent si bien, et quels réflexes adopter avant même de mettre en ligne le premier objet.
Pourquoi les vendeurs sont des cibles idéales
Un vendeur particulier réunit trois caractéristiques que les escrocs recherchent.
D'abord, il attend un message. Contrairement au smishing de masse — le faux SMS du service des impôts ou de la carte Vitale envoyé à des millions de numéros au hasard — le message reçu par un vendeur s'inscrit dans un contexte qu'il a lui-même créé. Le cerveau ne cherche pas l'incohérence : il cherche la confirmation.
Ensuite, il a rendu son numéro accessible. Même quand la plateforme propose une messagerie interne, une part importante des vendeurs indique son numéro dans le texte de l'annonce ou l'accepte dès le premier échange, pour « aller plus vite ». Les numéros sont ensuite aspirés automatiquement, revendus, réutilisés pendant des mois.
Enfin, il est en position d'attente financière. Il doit recevoir de l'argent. C'est cette asymétrie que l'arnaque exploite : on ne lui demande pas de payer, on lui explique qu'il doit accomplir une formalité pour encaisser. Psychologiquement, c'est infiniment plus efficace.
La plateforme Signal Arnaques et le dispositif officiel 33700, opéré par la Fédération française des télécoms sous l'égide du ministère de l'Économie, recensent année après année ce type de signalements dans les volumes les plus élevés, aux côtés des faux SMS de livraison de colis.
Les quatre scénarios les plus répandus en 2026
1. Le faux lien de paiement « sécurisé »
C'est le grand classique, et il reste le plus rentable. L'acheteur explique qu'il ne peut pas se déplacer, propose de payer via le système de paiement intégré de la plateforme, puis envoie un SMS contenant un lien.
La page qui s'ouvre est une copie fidèle : logo, typographie, mentions légales, cadenas HTTPS. Elle demande le numéro de carte bancaire « pour recevoir le virement ». Or aucun système de paiement au monde ne réclame les coordonnées d'une carte pour créditer un compte. Recevoir de l'argent nécessite un IBAN, jamais un cryptogramme à trois chiffres.
Variante plus sophistiquée : la page demande de se connecter à son espace bancaire pour « valider la réception ». L'escroc récupère les identifiants en temps réel et déclenche un virement, pendant qu'un complice appelle en se faisant passer pour le conseiller anti-fraude de la banque afin d'obtenir le code de validation.
2. Le faux SMS de transporteur
Le vendeur a expédié son colis. Quelques jours plus tard : « Votre colis n° FR8842… est bloqué en centre de tri, frais de réacheminement de 1,95 € à régler. » Le montant est volontairement dérisoire — l'objectif n'est pas de voler 1,95 €, mais d'obtenir les données de carte pour mettre en place un prélèvement récurrent ou revendre le numéro.
Ce scénario a la particularité d'être crédible même chez les gens avertis, précisément parce qu'un colis est réellement en circulation. Le seul réflexe fiable : ne jamais suivre un lien reçu par SMS, mais taper soi-même le numéro de suivi sur le site du transporteur.
3. Le trop-perçu et le remboursement
L'acheteur annonce avoir « payé trop cher par erreur » et envoie une capture d'écran d'un virement de 800 € au lieu de 300 €. Il demande le remboursement de la différence, par virement instantané ou par ticket prépayé. La capture est fabriquée, le virement n'existe pas, ou il sera annulé quelques jours plus tard.
Le principe à retenir est simple : un virement reçu n'est définitivement acquis que lorsqu'il figure sur le relevé de compte, pas sur une notification, pas sur une capture d'écran, pas sur un e-mail.
4. Le déplacement de conversation
Message initial court et anodin, puis : « On peut continuer sur WhatsApp ? » ou « Envoyez-moi votre numéro, je vous appelle. » Sortir de la messagerie de la plateforme fait disparaître toute trace exploitable en cas de litige, désactive les filtres anti-fraude automatiques et permet d'envoyer des liens qui seraient bloqués ailleurs.
Ce n'est pas anodin : c'est la première marche de presque toutes les arnaques suivantes.
Règle générale : plus un interlocuteur cherche à quitter le canal officiel, plus la probabilité de fraude augmente. C'est vrai pour les petites annonces, c'est vrai pour les faux conseillers bancaires, c'est vrai pour les faux recruteurs.
Le tableau des signaux d'alerte
| Signal observé | Interprétation | Niveau de risque |
|---|---|---|
| Acheteur qui ne négocie pas le prix | Anormal sur une plateforme de particuliers | Élevé |
| Demande de numéro de téléphone dès le premier message | Tentative de sortie du canal sécurisé | Élevé |
| Lien de paiement envoyé par SMS | Aucune plateforme légitime ne procède ainsi | Critique |
| Formulation légèrement décalée, traduction automatique | Réseau opérant depuis l'étranger | Moyen |
| Urgence affichée (« je pars ce soir ») | Levier classique de pression | Élevé |
| Demande de carte bancaire pour recevoir | Impossible techniquement | Critique |
| Proposition de payer plus que le prix demandé | Scénario du trop-perçu | Critique |
Ce qu'il faut faire avant de publier une annonce
La meilleure défense ne se joue pas au moment du SMS suspect, mais bien avant.
Ne jamais faire figurer son numéro dans le texte de l'annonce. Ni dans la description, ni sur les photos — certains vendeurs photographient sans y penser un document, une étiquette ou une facture comportant leurs coordonnées. Vérifier ses images avant publication prend dix secondes.
Nettoyer les photos. Un cliché pris avec un smartphone contient des métadonnées, parfois la position GPS exacte du domicile. La plupart des grandes plateformes les suppriment à l'upload, mais pas toutes, et pas sur les envois par messagerie privée. Pour les objets de valeur, photographier sur fond neutre avec un petit studio photo pliable évite en prime de montrer l'intérieur du logement, le mobilier ou la vue depuis la fenêtre — autant d'indices pour un repérage.
Envisager un second numéro. Pour qui vend régulièrement, dédier une ligne aux annonces est la solution la plus robuste. Une carte SIM prépayée sans engagement, glissée dans un téléphone secondaire ou un second emplacement SIM, isole complètement l'activité de vente du numéro principal — celui qui reçoit les codes bancaires et les authentifications à deux facteurs. Le jour où ce numéro secondaire est saturé de spam, on le remplace sans conséquence.
Verrouiller son compte principal. Puisque le numéro personnel sert de clé de secours à la banque, à la messagerie et aux réseaux sociaux, il doit être le mieux protégé. Basculer l'authentification à deux facteurs des comptes sensibles sur une application dédiée, voire sur une clé de sécurité physique FIDO2, supprime la dépendance au SMS — canal qui, rappelons-le, n'est pas chiffré et reste vulnérable au détournement de ligne.
Que faire quand le SMS suspect est déjà arrivé
Ne rien cliquer, ne rien répondre
Un simple « STOP » ou une réponse agacée confirme que le numéro est actif et attribué à une personne réelle. Cette information a une valeur marchande : elle circule ensuite vers d'autres réseaux.
Signaler au 33700
Le dispositif est gratuit et fonctionne en deux temps :
- Transférer le SMS frauduleux au 33700.
- Répondre au message automatique en indiquant le numéro de l'expéditeur.
Le signalement alimente une base commune aux opérateurs, qui permet de suspendre les numéros émetteurs et de bloquer les campagnes. Depuis un formulaire web, le site officiel du 33700 permet également de signaler les messages reçus via des applications de messagerie.
Pour les liens frauduleux, la plateforme Phishing Initiative (opérée en France par Orange Cyberdefense) permet de faire blacklister l'URL dans les navigateurs. Et pour toute question ou accompagnement, Cybermalveillance.gouv.fr est le point d'entrée officiel de l'État.
Si des données ont été saisies
Le temps compte, et il se mesure en minutes.
- Appeler immédiatement sa banque pour faire opposition. Le numéro figure au dos de la carte ; ne jamais rappeler un numéro reçu par SMS.
- Changer les mots de passe des comptes concernés, en commençant par la messagerie électronique, qui commande la réinitialisation de tous les autres. Un gestionnaire de mots de passe évite de réutiliser les mêmes identifiants d'un site à l'autre — c'est la faille exploitée dans la majorité des compromissions en cascade.
- Déposer plainte, en commissariat, en gendarmerie ou via la pré-plainte en ligne. Le récépissé est indispensable pour la suite.
- Demander le remboursement. L'article L133-18 du Code monétaire et financier impose à la banque de rembourser une opération de paiement non autorisée, immédiatement après signalement, sauf négligence grave du titulaire. La Cour de cassation a précisé à plusieurs reprises que la communication de données à la suite d'un hameçonnage soigné ne constitue pas automatiquement une négligence grave : c'est à la banque d'en apporter la preuve.
Documenter, systématiquement
Captures d'écran du SMS avec le numéro d'expéditeur visible, horodatage, historique de la conversation sur la plateforme, référence de l'annonce. Ces éléments sont ce qui distingue un dossier instruit d'un classement sans suite. Pour les vendeurs réguliers, tenir un carnet de suivi des transactions avec dates, montants et acheteurs facilite grandement la reconstitution d'un historique plusieurs mois après.
La remise en main propre reste la méthode la plus sûre
Malgré la démocratisation des paiements intégrés, la transaction physique demeure statistiquement la moins risquée — à condition de respecter quelques principes.
- Se retrouver dans un lieu public et fréquenté : hall de gare, parking de centre commercial, certaines mairies proposent désormais des « points de rencontre » sécurisés et vidéosurveillés.
- Ne jamais donner son adresse personnelle pour un premier contact.
- Vérifier les espèces : les coupures de 50 et 100 euros sont les plus contrefaites. Un détecteur de faux billets portable coûte le prix d'une transaction ratée et se glisse dans une poche.
- Pour un virement instantané effectué sur place, attendre la notification bancaire sur son propre téléphone, jamais sur celui de l'acheteur.
- Établir un court reçu écrit mentionnant l'objet, le prix, la date et les deux identités. Cela n'a rien d'excessif pour un scooter, un instrument de musique ou du matériel photo.
Pour les objets encombrants ou de valeur, se faire accompagner reste la précaution la plus simple. Et pour les envois, l'usage d'un emballage sécurisé avec sceau inviolable et la prise en photo du colis fermé avec son étiquette évitent la contestation classique du « colis reçu vide ».
Ce que les plateformes font — et ne font pas
Les grandes places de marché ont considérablement renforcé leurs filtres : détection des numéros dans les descriptions, masquage des coordonnées, avertissements automatiques quand une conversation contient certains mots-clés. Leboncoin, Vinted et les autres investissent réellement sur le sujet, sous la pression conjointe de la DGCCRF et du règlement européen sur les services numériques (DSA), qui impose depuis 2024 des obligations renforcées de traçabilité des vendeurs professionnels et de traitement des signalements.
Mais deux limites persistent.
La première est que l'arnaque se déroule hors de la plateforme. Dès que l'échange bascule sur SMS ou sur une messagerie tierce, aucun filtre ne s'applique. La responsabilité de l'opérateur de la place de marché s'arrête à sa propre infrastructure.
La seconde est que les signalements arrivent trop tard. Un compte frauduleux est créé, utilisé pendant quelques jours, puis abandonné avant même d'être suspendu. La rapidité de rotation rend la modération structurellement en retard d'un temps.
D'où une conclusion simple : la vigilance individuelle n'est pas un supplément, elle est la première ligne de défense.
Trois phrases à mémoriser
Si l'on ne devait retenir que l'essentiel, ce serait ceci.
« Recevoir de l'argent ne demande jamais un numéro de carte bancaire. » C'est la règle qui neutralise à elle seule la majorité des scénarios.
« Un lien reçu par SMS ne se clique pas. » On ouvre l'application officielle, on tape l'adresse soi-même, on vérifie le numéro de suivi à la source.
« L'urgence est un outil de manipulation. » Un acheteur réellement intéressé accepte d'attendre vingt-quatre heures. Un escroc, non.
Vendre en ligne reste une pratique utile, économique et écologique, à laquelle des millions de Français ont recours chaque mois. Le risque n'est pas une raison d'y renoncer — il est une raison de séparer proprement ce qui doit l'être : son numéro de vente et son numéro de vie, ses photos publiques et son intimité, la promesse d'un paiement et sa réalité sur le relevé de compte.
