Un trajet BlaBlaCar payé deux fois : repérer le piège avant de réserver

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Arnaque BlaBlaCar : que faire ?

Un conducteur qui annule après réservation puis écrit sur WhatsApp qu’il faut « refaire le paiement » sur un autre lien ne travaille pas pour BlaBlaCar : un trajet se règle une seule fois, dans l’application ou directement en espèces à bord, jamais sur un second site. Avant de cliquer sur quoi que ce soit, fermez la conversation et revenez dans l’application pour vérifier la réservation vous-même.

1. Ne répondez jamais à un message qui sort de la messagerie BlaBlaCar, même sur WhatsApp
2. Ne cliquez sur aucun lien promettant de « refaire », « débloquer » ou « valider » un paiement déjà fait
3. Vérifiez la réservation dans l’application elle-même, jamais depuis le lien reçu
4. Carte ou cryptogramme déjà saisis sur un second site : contactez votre banque dans l’heure
5. Signalez le profil depuis l’application : c’est ce qui le fait disparaître pour les suivants

Les quatre signes du faux trajet

1. Un profil récent, sans aucun avis. Un conducteur réel accumule des trajets notés au fil du temps : l’absence totale d’avis sur un profil qui propose plusieurs trajets la même semaine est, à elle seule, le signal le plus fiable. Un avis suppose un trajet réellement effectué et réellement payé : il ne s’improvise pas.

2. Un prix sensiblement inférieur aux trajets comparables. Le faux conducteur casse les prix pour attirer vite un maximum de réservations avant d’être signalé. Comparez le prix proposé à celui des autres trajets sur le même axe et la même date : un écart important, sans raison logique (covoiturage à vide, retour nécessaire), doit alerter.

3. Une annulation juste après la réservation. Le conducteur encaisse d’abord, confirme, puis annule quelques heures ou quelques minutes plus tard — avant de recontacter la victime en dehors de l’application. C’est cette annulation qui ouvre, dans les conditions générales, le droit au remboursement intégral : la suite du message ne vous propose jamais de récupérer cet argent, mais d’en reverser davantage.

4. Un message qui sort de la messagerie de l’application. « Le site a un bug », « je ne reçois pas la confirmation », « contactez-moi plus vite sur WhatsApp » : un conducteur qui travaille normalement n’a aucune raison de quitter la messagerie BlaBlaCar avant un trajet. Un test simple tranche en 30 secondes si le doute porte sur l’identité de l’interlocuteur lui-même.

Les deux seuls canaux de paiement, et pourquoi aucun lien n’en fait partie

Les conditions générales de BlaBlaCar ne prévoient que deux façons de régler un trajet, et rien d’autre. En ligne, dans l’application : les fonds versés au moment de la réservation sont alors placés sur un compte bloqué, géré par le prestataire de paiement Hyperwallet, et ne sont débloqués au profit du conducteur qu’après la confirmation — expresse ou tacite, passé un délai d’une heure sans réclamation — du passager. En espèces, directement au conducteur, dans le véhicule, au plus tard au moment de la descente.

Aucune des deux ne passe jamais par un lien reçu après la réservation. La première a déjà eu lieu au moment de la réservation : il n’y a rien à « refaire ». La seconde se fait en main propre, jamais sur une page web. Un message qui demande de payer une seconde fois en ligne, pour quelque raison que ce soit — bug, erreur de montant, blocage de réservation — ne correspond à aucun des deux canaux prévus : c’est la preuve la plus simple que la demande n’a rien d’officiel.

C’est aussi ce qui explique pourquoi une annulation imputable au conducteur rembourse intégralement et automatiquement la somme payée en ligne, contribution et frais de service compris : la plateforme sait exactement ce qu’elle a encaissé, puisque c’est elle qui l’a gardé en dépôt. Un escroc qui réclame un second paiement n’a, lui, plus aucune trace vérifiable du premier.

Le site cloné, et le second paiement qui vide la carte

La page ouverte depuis le lien WhatsApp reprend le logo, les couleurs et la mise en page de BlaBlaCar au pixel près : construire une copie visuelle prend quelques minutes à qui sait le faire, et ne garantit rien sur l’identité du propriétaire du site. Un domaine frauduleux documenté a ainsi repris le mot « support » accolé au nom de la marque, pour paraître légitime à qui ne lit pas l’adresse jusqu’au bout. Cinq maquillages d’adresse permettent ce genre de ressemblance sans qu’il s’agisse du vrai domaine.

Le formulaire de ce second site demande le numéro de carte, sa date d’expiration et son cryptogramme — exactement ce qu’il faut pour autoriser un paiement ailleurs, sur un site qui n’exige pas de confirmation supplémentaire. Un cas documenté a montré qu’une fois ces informations saisies, une opération dans une devise étrangère pouvait apparaître sur le compte, sans rapport avec le montant du trajet annoncé : la carte a été utilisée pour un paiement totalement différent, décidé par l’escroc et non par la victime. Sept signes confirment qu’une carte est réellement compromise, utiles pour surveiller les semaines qui suivent.

Le même mécanisme — profil sans avis, prix bas, sortie de la messagerie, second paiement — se retrouve, à l’identique, sur les petites annonces et sur la vente de voiture entre particuliers : ce n’est pas une faille propre à BlaBlaCar, c’est la méthode qui fonctionne sur toute plateforme où un paiement précède une rencontre.

Pourquoi une carte, jamais un chèque ni un virement

BlaBlaCar n’accepte qu’un seul mode de paiement en ligne : la carte bancaire enregistrée dans l’application au moment de la réservation. Ni chèque, ni virement ne figurent parmi les moyens prévus pour régler un trajet : un message qui en réclame un, sous couvert de « régularisation » ou de « garantie », sort donc, lui aussi, du cadre officiel. C’est une différence importante avec le virement : une fois exécuté, il se récupère beaucoup plus difficilement qu’un paiement par carte bancaire, quelle que soit la marque — carte bleue, carte de crédit, ou carte à autorisation systématique. Toutes les cartes bancaires fonctionnent de la même façon ici : un numéro, une date, un cryptogramme, rien de plus.

Le formulaire du faux site réclame justement ces trois informations : elles suffisent, seules, à autoriser un paiement par carte bancaire ailleurs. Elles ne doivent jamais être confondues avec le code confidentiel — ce code secret à quatre chiffres, parfois appelé code PIN, que personne ne demande jamais sur une page web. Ce code n’existe que devant un terminal de paiement ou un distributeur : les retraits en espèces restent protégés même si le seul numéro de votre carte a fuité, parce qu’ils réclament la carte physique en plus du code. C’est précisément cette étape que l’escroc évite en collectant vos coordonnées bancaires sur une page copiée, hors de tout circuit bancaire réel.

Les données bancaires ne circulent jamais au-delà de ce que vous avez vous-même saisi : repérer, dans votre espace bancaire en ligne, une opération frauduleuse parmi les derniers paiements suffit à confirmer ou à écarter une fuite réelle. Les fraudes par carte permettent un paiement immédiat, pas un prélèvement différé sur votre compte bancaire : c’est pour cela que l’opposition se fait dans l’heure, pas dans la semaine.

Compte suspendu : ce n’est presque jamais un piratage

Un deuxième motif d’inquiétude, sans rapport avec l’arnaque qui précède, touche les conducteurs réguliers : un compte suspendu du jour au lendemain, sans message clair. Les conditions générales fixent un seuil précis, rarement lu : la réception d’au moins trois avis jugés insuffisants suffit à déclencher une suspension, indépendamment de toute intrusion extérieure. Des annulations répétées, des signalements d’autres membres, ou « des raisons sérieuses de croire que c’est nécessaire pour protéger la sécurité » de la communauté peuvent, de la même façon, entraîner une résiliation immédiate et sans préavis.

Rien de tout cela ne suppose un mot de passe volé. Changer son mot de passe ne lève donc pas une suspension fondée sur des avis ou des signalements : le seul recours consiste à contacter le centre d’aide de BlaBlaCar et à fournir une pièce d’identité pour que le dossier soit réexaminé. La logique générale d’un appel après bannissement s’applique, mais la cause, elle, est propre à cette plateforme.

BlaBlaCar Daily : un prix bas n’est pas toujours un piège

Les quatre signes du faux trajet s’appliquent au covoiturage longue distance classique. BlaBlaCar Daily, l’offre dédiée aux trajets domicile-travail du quotidien, change une partie de la donne : dans de nombreux territoires, une collectivité ou un employeur finance tout ou partie du trajet, si bien qu’un passager peut légitimement voyager gratuitement ou presque. Le prix nul ou très bas n’y est alors pas une anomalie, mais un financement affiché comme tel dans l’application — à ne pas confondre avec un trajet longue distance à prix cassé, qui lui reste un signal d’alerte.

Vous avez déjà payé hors de l’application

L’ordre des gestes compte plus que la vitesse, et dépend de ce qui a déjà été transmis.

1. Un numéro de carte et un cryptogramme ont été donnés : opposition immédiate auprès de votre banque pour bloquer votre carte, puis contestation écrite de toute opération frauduleuse sur votre compte bancaire que vous n’avez pas vous-même autorisée. Les fraudes par carte bancaire se remboursent de la même façon, qu’il s’agisse d’un paiement isolé ou de plusieurs petits paiements testés avant un montant plus élevé : les articles L133-18 et L133-19 du code monétaire et financier font porter la charge de la preuve sur la banque, pas sur le client, pour une fraude à distance ; le détail de ce que la banque doit rembourser, et sous quel délai, précise la suite.
2. Vous avez seulement cliqué le lien, sans rien saisir : ne faites pas opposition par précaution : cela immobilise vos moyens de paiement plusieurs jours pour un risque nul tant qu’aucune coordonnée bancaire n’est sortie. Surveillez vos relevés et votre espace bancaire deux mois.
3. Dans tous les cas : conservez les captures complètes de la conversation WhatsApp, l’adresse du lien reçu et le relevé bancaire correspondant : ce sont les preuves recevables pour la plainte. L’infraction est l’escroquerie, punie par l’article 313-1 du code pénal de cinq ans d’emprisonnement et de 375 000 € d’amende.
4. Pour porter plainte : les bons guichets diffèrent selon le préjudice, et trois d’entre eux acceptent une plainte en ligne sans déplacement.
5. Signalez le profil depuis l’application BlaBlaCar elle-même : c’est ce signalement, cumulé à celui d’autres passagers, qui déclenche la suspension du compte frauduleux évoquée plus haut.

Le même principe — recevoir de l’argent ou en demander ne suppose jamais de passer par un second lien — vaut aussi quand c’est l’inverse qui se produit : une demande de paiement légitime se lit normalement comme un simple encaissement, sans aucune étape de validation à faire.

Ce qui ne sert à rien

• Négocier ou discuter avec le faux conducteur. Une fois sorti de l’application, aucun échange ne rétablit la protection perdue : la discussion ne fait que gagner du temps à l’escroc.
• Cliquer « pour vérifier seulement », sans rien saisir. Certaines pages copient l’identité visuelle au pixel près ; la vérification se fait avant de cliquer, sur l’adresse affichée, pas après.
• Faire opposition à sa carte alors qu’aucun numéro n’a été donné. Cela immobilise les moyens de paiement plusieurs jours pour un risque nul.
• Laisser un avis négatif au lieu de signaler. Un avis ralentit à peine le profil ; un signalement, lui, déclenche une vérification et peut mener à la suspension prévue par les conditions générales.

Questions fréquentes

Le conducteur me propose de continuer sur WhatsApp « pour aller plus vite », sans encore parler de payer deux fois : dois-je refuser tout de suite ?

Oui. Un conducteur expérimenté sait qu’il n’a rien à demander hors de la messagerie BlaBlaCar : c’est justement cette sortie de l’application, avant même toute demande d’argent, qui ouvre la porte à la suite. Répondez dans la messagerie de l’application, ou pas du tout.

Le second site demandait ma carte, mais il affichait bien le cadenas et l’adresse ressemblait à blablacar : comment ai-je pu me tromper ?

Le cadenas ne garantit qu’un chiffrement entre vous et le serveur, pas l’identité du propriétaire de ce serveur : n’importe quel site, copié la veille, l’affiche gratuitement. Seule l’adresse complète, lue en entier jusqu’à l’extension finale, distingue blablacar.com d’un domaine qui ne lui appartient pas.

Mon compte a été suspendu juste après un trajet où j’ai eu trois mauvaises notes de passagers difficiles : est-ce un piratage ?

Non, probablement pas. Les conditions générales prévoient explicitement la suspension dès trois avis insuffisants reçus, indépendamment de toute intrusion. Un mot de passe fort ne change rien à ce motif : seul un appel au centre d’aide, avec une pièce d’identité, permet d’en discuter.

Un trajet BlaBlaCar Daily m’est proposé entièrement gratuit : est-ce forcément un piège ?

Pas forcément. Sur cette offre dédiée aux trajets domicile-travail, un employeur ou une collectivité peut financer une partie ou la totalité du trajet : le prix nul vient alors de ce financement, affiché comme tel dans l’application, et non d’une anomalie. Le signal reste valable seulement sur l’offre classique de covoiturage longue distance.

J’ai payé une seconde fois sur le faux site il y a trois jours : est-il trop tard pour agir ?

Non. Contactez votre banque pour faire opposition et contester l’opération par écrit dès que possible : une opération que vous n’avez pas autorisée sur ce second site se rembourse, la charge de la preuve pesant sur la banque, pas sur vous. Plus la déclaration est rapide, plus les relevés récents sont faciles à recouper.

Le faux conducteur avait un nom, une photo et un numéro de téléphone : ça suffit à l’identifier pour la plainte ?

Ces éléments aident mais ne remplacent pas les captures d’écran complètes de la conversation, le lien reçu et le relevé bancaire : un profil peut être entièrement fabriqué. Gardez tout avant que le compte ne soit supprimé, et déposez-le avec la plainte.

On me réclame mon code confidentiel pour « sécuriser » le remboursement : dois-je le donner ?

Non, jamais. Le code confidentiel ne sert que devant un terminal de paiement physique ou un distributeur, pour un retrait ou un paiement en personne : aucun site, aucun conseiller, aucun conducteur n’en a besoin pour rembourser quoi que ce soit en ligne. Les cartes bancaires et les espèces restent les deux seuls moyens reconnus par BlaBlaCar ; un code confidentiel réclamé par écrit démasque, à lui seul, l’arnaque.

À lire aussi : l’arnaque aux petites annonces · l’arnaque à la vente de voiture · le test qui tranche sur WhatsApp en 30 secondes.