« J'ai mis le vélo en ligne à 14 h. À 14 h 40, j'avais déjà un SMS d'un acheteur. J'ai trouvé ça formidable. »
Ce n'était pas un acheteur. C'était un robot, ou plus exactement une petite équipe équipée d'outils qui surveillent les nouvelles annonces en continu. La vente entre particuliers est devenue l'un des terrains les plus rentables du smishing français, parce qu'elle réunit trois ingrédients que les escrocs adorent : une personne qui attend un contact, une transaction d'argent prévue, et un numéro de mobile souvent visible ou facilement obtenu.
La particularité de ces arnaques, c'est qu'elles ne ressemblent pas à un SMS frauduleux classique. Il n'y a pas de faute d'orthographe grossière ni de menace sur un compte bloqué. Il y a un message poli, crédible, qui arrive exactement au moment où vous l'espérez. C'est ce timing qui fait tout le travail.
Comment votre numéro se retrouve entre leurs mains
Vous l'avez affiché vous-même
Sur Leboncoin, l'affichage du numéro reste une option très utilisée, notamment pour les ventes locales (meubles, électroménager, voitures). Beaucoup de vendeurs l'activent en pensant « filtrer les curieux ». En pratique, cela rend le numéro lisible par n'importe quel visiteur — humain ou automate. Des scripts parcourent les annonces récentes d'une catégorie et d'un département, extraient les numéros affichés et les rangent dans une liste fraîche, ultra-qualifiée : ces gens vendent quelque chose, maintenant.
Vous l'avez écrit dans le texte ou sur une photo
Le classique : « Contactez-moi au 06 XX… pour aller plus vite ». Certains le glissent même sur la photo, pensant échapper aux robots. Les outils de reconnaissance de texte sur image sont devenus triviaux ; cette précaution ne protège plus de rien depuis longtemps.
Vous l'avez donné dans la messagerie interne
C'est le point de bascule le plus fréquent. L'échange démarre correctement dans la messagerie de la plateforme, puis l'interlocuteur propose de « continuer par SMS, c'est plus simple ». Vous donnez votre numéro, et vous sortez du seul environnement où la plateforme peut détecter les messages suspects, conserver des traces et suspendre un compte.
Sortir de la messagerie interne, c'est exactement l'objectif de l'escroc. Tout le reste en découle.
Les quatre scénarios qui reviennent le plus en 2026
1. Le faux paiement « bloqué en attente de validation »
Vous recevez un SMS annonçant qu'un paiement a été effectué et qu'il ne sera débloqué qu'après une action de votre part : confirmer un compte, valider une adresse de livraison, payer des « frais de protection ». Un lien accompagne le message et renvoie vers une page qui imite fidèlement l'interface de la plateforme ou d'un service de paiement.
La page demande soit vos identifiants, soit — plus grave — le numéro de votre carte bancaire « pour recevoir les fonds ». Un vendeur n'a jamais besoin de saisir sa carte pour encaisser. Cette seule règle neutralise la majorité des tentatives.
2. Le lien de « livraison à domicile » envoyé par le prétendu acheteur
L'acheteur explique qu'il est loin, qu'il fait appel à un transporteur, et vous envoie par SMS un lien pour « organiser l'enlèvement ». Le site reproduit l'apparence d'un transporteur connu et réclame vos coordonnées bancaires pour vous « rembourser les frais d'expédition ». Ces faux sites de transporteurs sont devenus extrêmement soignés depuis que les escrocs utilisent des générateurs de pages automatisés.
3. Le trop-perçu à rembourser
Scénario plus artisanal mais redoutablement efficace : l'acheteur prétend avoir viré 800 € au lieu de 80 €, capture d'écran de virement à l'appui, et vous demande de lui renvoyer la différence « rapidement, c'est l'argent du loyer ». La capture est fabriquée, le virement n'existe pas, et l'argent que vous renvoyez est bien réel. Les signalements de ce type sont régulièrement évoqués par Cybermalveillance.gouv.fr parmi les fraudes classiques à la vente entre particuliers.
4. Le code de vérification demandé « pour prouver que tu n'es pas un robot »
L'interlocuteur annonce qu'il va vous envoyer un code à six chiffres et vous demande de le lui communiquer. En réalité, il est en train de créer un compte (messagerie, service de paiement, plateforme de petites annonces) en utilisant votre numéro comme numéro de vérification. Le code qui arrive sur votre téléphone n'a rien à voir avec l'acheteur : c'est la clé d'un compte ouvert à votre nom.
Aucun acheteur légitime, sur aucune plateforme, n'a besoin d'un code reçu sur votre téléphone. Aucun. C'est le signal d'alarme le plus fiable de toute la vente en ligne.
Pourquoi ces SMS fonctionnent alors que les autres échouent
Le smishing bancaire classique joue sur la peur. La fraude à la vente joue sur autre chose : l'attente et la politesse.
Quand on vend un objet, on est en position de demandeur. On espère un contact, on craint que l'annonce ne parte jamais, on veut se montrer réactif et arrangeant. Un acheteur qui écrit « Bonjour, l'article est-il toujours disponible ? J'habite Lille, je peux faire livrer, je paie tout de suite » coche toutes les cases du soulagement.
S'ajoute le fait que le canal SMS n'affiche aucun indicateur de confiance. Pas d'adresse d'expéditeur complète, pas de profil, pas d'historique, pas d'évaluation. Un simple numéro en 06 ou 07 — ou un nom d'expéditeur alphanumérique quand l'escroc utilise une passerelle d'envoi professionnelle, ce qui lui permet d'afficher « LIVRAISON » ou un nom de plateforme à la place d'un numéro.
Le tableau des signaux d'alerte
| Ce que dit le message | Ce que ça veut dire |
|---|---|
| « On continue par SMS / WhatsApp, c'est plus pratique » | Sortie de la messagerie tracée |
| « Le paiement est en attente, validez sur ce lien » | Page d'hameçonnage |
| « Donnez votre carte pour recevoir les fonds » | Collecte de données bancaires |
| « Je vous ai envoyé trop d'argent, remboursez » | Faux virement, vraie perte |
| « Donnez-moi le code que vous venez de recevoir » | Détournement de compte |
| « Mon transporteur a besoin de vos coordonnées » | Faux site de livraison |
| « Je suis pressé, je pars en déplacement demain » | Pression temporelle artificielle |
Vendre sans exposer son numéro : la méthode
Garder la conversation là où elle est née
Tant que l'échange reste dans la messagerie de la plateforme, vous conservez un historique opposable et la plateforme peut intervenir. Un acheteur sérieux qui habite à 15 km n'a aucune raison de refuser d'y rester jusqu'au moment de fixer le rendez-vous.
Ne pas afficher son numéro dans l'annonce
Si la vente est locale, un rendez-vous se fixe très bien par messagerie. Le numéro ne se transmet qu'au dernier moment, à une personne identifiée, pour la logistique du jour J.
Utiliser un numéro secondaire pour les ventes
Pour ceux qui vendent régulièrement, un second numéro dédié règle le problème à la racine. Une carte SIM prépayée sans engagement suffit largement : elle sert d'adresse jetable, et le jour où elle est noyée sous les SMS frauduleux, on la remplace sans toucher au numéro principal. Les téléphones double SIM rendent la manœuvre indolore.
Photographier sans révéler son adresse
Une photo d'objet prise dans le salon avec une fenêtre donnant sur une plaque de rue, un courrier posé sur la table, une clé de voiture lisible : ces détails alimentent le repérage. Un fond neutre change tout, et un petit fond photo pliable pour objets — ou simplement un drap tendu — suffit pour des annonces propres, qui se vendent d'ailleurs mieux.
Vérifier les paiements à la source, jamais par SMS
La seule vérification qui vaille est celle que vous initiez : ouvrir votre application bancaire ou l'application de la plateforme, par vos propres moyens, sans cliquer sur quoi que ce soit. Un paiement réel apparaît dans l'application. Un paiement fictif n'existe que dans un SMS.
Le moment de la remise en main propre
La vente locale a ses propres risques, distincts du smishing mais souvent déclenchés par les mêmes échanges.
- Choisir un lieu public et fréquenté. Parking de supermarché en journée, hall de gare, commissariat pour les objets de valeur : plusieurs commissariats et brigades de gendarmerie proposent officiellement leurs abords comme points d'échange.
- Ne pas faire venir un inconnu chez soi pour un objet transportable. Si l'objet est un meuble, être accompagné.
- Vérifier les billets pour les montants importants. Un stylo détecteur de faux billets coûte quelques euros et évite une très mauvaise soirée ; pour une voiture ou du matériel professionnel, le virement instantané vérifié sur son propre téléphone reste la seule méthode fiable.
- Refuser le chèque de banque non vérifié. Les faux chèques de banque circulent toujours ; la vérification se fait auprès de l'agence émettrice, appelée via un numéro trouvé par soi-même.
L'expédition : le second angle mort
Quand l'objet part par colis, deux risques apparaissent.
Le premier est le litige fabriqué : l'acheteur déclare avoir reçu une boîte vide ou un objet cassé. Le seul contre-feu efficace est la preuve. Photographier l'objet, son numéro de série, l'emballage ouvert puis fermé, et conserver le reçu de dépôt. Une balance de cuisine numérique permet aussi de noter le poids exact du colis avant envoi : un écart entre le poids déclaré au dépôt et celui contesté est un argument redoutable en cas de réclamation.
Le second est le faux SMS de suivi. Une fois le colis parti, le vendeur comme l'acheteur reçoivent de vrais messages de suivi — ce qui crée un terrain parfait pour glisser un faux. Les campagnes de faux SMS de livraison restent, année après année, la première catégorie de smishing signalée en France. La règle ne change pas : aucun lien dans un SMS de suivi ; on ouvre l'application du transporteur ou on colle le numéro de suivi sur le site officiel.
Ce qu'il faut faire quand c'est déjà arrivé
Si vous avez saisi vos données bancaires
- Appeler immédiatement le numéro d'opposition de votre banque, ou le serveur interbancaire de déclaration de perte et de vol au 0 892 705 705.
- Faire opposition sur la carte et surveiller les opérations.
- Déposer plainte, en conservant les captures d'écran des SMS et des pages visitées.
- Contester les opérations non autorisées : le code monétaire et financier prévoit le remboursement des paiements non autorisés, sauf négligence grave caractérisée de votre part. Raison de plus pour ne jamais avoir validé une notification d'authentification dans l'application bancaire.
Si vous avez communiqué un code de vérification
Le compte associé doit être repris en main sans attendre : changement de mot de passe, déconnexion de toutes les sessions, vérification des numéros et adresses de secours enregistrés. Si le code concernait une plateforme de paiement, contacter son support pour signaler l'ouverture frauduleuse.
Dans tous les cas
- Signaler le numéro émetteur en le transférant au 33700 (service gratuit des opérateurs).
- Signaler l'annonce et le profil sur la plateforme concernée.
- Déclarer l'hameçonnage sur la plateforme Phishing Initiative ou via Cybermalveillance.gouv.fr, qui oriente également vers les démarches adaptées.
- Pour une fraude bancaire aboutie, la plateforme Perceval permet le signalement en ligne des usages frauduleux de carte.
Cinq minutes de préparation avant de publier
Avant de mettre une annonce en ligne, une courte routine réduit considérablement l'exposition :
- Masquer le numéro de téléphone dans les options de l'annonce.
- Relire le texte et les photos pour vérifier qu'aucun numéro, aucune adresse, aucune plaque d'immatriculation, aucun document n'est visible.
- Décider à l'avance du mode de paiement accepté, et s'y tenir quelles que soient les propositions reçues.
- Se rappeler qu'une vente qui traîne coûte du temps, jamais de l'argent — alors qu'une vente précipitée peut coûter les deux.
Pour ceux qui vendent beaucoup, un carnet de suivi des ventes — même un simple cahier — aide à garder trace des dates, montants et numéros de suivi. Cela paraît désuet à l'heure des applications, mais c'est exactement ce document que l'on cherche quand un litige survient six semaines plus tard.
Vendre entre particuliers reste une pratique saine, utile et massivement pratiquée en France. Le seul changement, c'est que le canal SMS y est devenu une porte d'entrée pour la fraude plutôt qu'un simple outil de contact. La parade ne demande ni compétence technique ni méfiance permanente : elle tient à un principe unique, garder la transaction dans l'espace où elle peut être vérifiée, et considérer tout message qui vous en fait sortir comme suspect par construction.
