Carte cadeau « gagnée » sur Facebook : c’est vous qui donnez tout

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Fausse carte cadeau : que faire tout de suite ?

Ne partagez rien et ne remplissez aucun formulaire avant d’avoir vérifié la page : un vrai jeu-concours gratuit ne réclame ni votre carte bancaire, ni des frais de port, pour vous remettre une carte cadeau.

1. Fermez l’onglet sans cliquer sur « Continuer » ni sur « Partager »
2. Ouvrez le vrai site de la marque, tapé vous-même, pour confirmer qu’aucune offre de ce genre n’existe
3. Si vous avez déjà partagé, prévenez les destinataires avant qu’ils ne cliquent à leur tour
4. Si une carte a été saisie, faites opposition et relisez vos trois derniers relevés
5. Signalez la page sur Facebook, puis sur Pharos

Le jeu qui se joue toujours en trois temps

On appelle ça « arnaque à la carte cadeau » comme s’il n’y en avait qu’une, mais le scénario documenté par l’UFC-Que Choisir se répète à l’identique depuis des années, sous des dizaines de logos différents. Un message Messenger ou un post sponsorisé annonce un anniversaire d’enseigne, une promotion exceptionnelle ou un geste commercial : « pour ses 50 ans, Decathlon offre 1 000 € de cartes cadeaux ». Trois étapes suivent, toujours dans le même ordre.

• Un quiz anodin. Quatre questions sur la marque et sur vous, qui installent l’impression de participer à un vrai concours et collectent déjà quelques informations.
• Un jeu « à gratter » truqué. Neuf paquets-cadeaux identiques s’affichent ; le premier choix échoue toujours, le second est « gagnant ». Personne ne perd jamais : c’est un ressort d’écran, pas un tirage au sort.
• L’obligation de partager. Pour « débloquer » le lot affiché, il faut transmettre l’offre à des amis ou à des groupes de contacts avant de pouvoir continuer.

Le détail qui trahit presque toujours l’arnaque se vérifie en une recherche : l’UFC-Que Choisir avait relevé que le faux jeu Decathlon annonçait un 50^e anniversaire, alors que l’enseigne fêtait réellement ses 45 ans cette année-là. Un escroc qui fabrique une fausse occasion se trompe souvent sur la date exacte ; le vrai site « Qui sommes-nous » de la marque la donne en deux clics.

Le partage : ce n’est pas un bonus, c’est le produit

La plupart des victimes pensent avoir « payé » le partage demandé pour débloquer un cadeau. C’est l’inverse : le partage est le cadeau, du point de vue de celui qui organise l’opération. Chaque relais vers vingt contacts recrute vingt nouvelles visites sur une page qui génère des revenus publicitaires, teste des audiences pour d’autres campagnes, ou alimente directement la collecte de données du formulaire suivant. Rien de tout cela ne nécessite qu’un seul lot soit réellement distribué.

C’est aussi ce qui rend la fausse page difficile à arrêter : elle se propage par les contacts eux-mêmes, qui lui font confiance précisément parce qu’elle vient d’un proche et non d’un inconnu. Un faux profil Facebook utilise le même ressort de confiance par procuration pour d’autres arnaques.

Les quatre signes à vérifier avant de répondre

Trois minutes suffisent, et elles évitent les semaines qui suivent.

• La transparence de la page. Sur n’importe quelle Page Facebook, le menu « À propos » ouvre un onglet « Transparence de la Page », visible sans connexion : il affiche la date de création et l’historique des changements de nom. Une page créée depuis trois semaines, déjà renommée deux fois, et qui prétend représenter une enseigne vieille de plusieurs décennies, répond à la question d’elle-même.
• Le nom de domaine réel du lien. Avant de cliquer, survolez le lien ou copiez-le : un domaine comme dshfdd.shop n’a aucun rapport avec celui de la marque, même si la page intermédiaire affiche le bon logo. Le petit cadenas SSL affiché à côté ne prouve rien d’autre que le chiffrement de la connexion : n’importe quel site, y compris frauduleux, l’obtient gratuitement en quelques minutes — seul le nom de domaine compte, jamais la présence de ce cadenas.
• L’occasion invoquée. Anniversaire, liquidation, partenariat exceptionnel : une recherche de trente secondes sur le site officiel de l’enseigne confirme ou infirme l’événement annoncé.
• Ce qui est demandé après le « gain ». Nom, adresse, téléphone pour l’expédition, passe encore ; une carte bancaire, un IBAN ou une pièce d’identité pour un cadeau gratuit ne passe jamais.

Le réflexe le plus fiable reste de vous connecter à votre espace client sur le site officiel de la marque, avec vos propres identifiants, plutôt que de juger la page reçue : une vraie opération promotionnelle laisse toujours une trace dans « Mon compte », dans l’historique de vos paiements ou dans vos informations personnelles. Une carte cadeau annoncée uniquement par Messenger, sans rien dans votre espace personnel, n’existe pas.

Les enseignes usurpées, et pourquoi ça continue

Le mécanisme n’est propre à aucune marque : il recommence sous des dizaines de logos, de Decathlon à Leclerc en passant par Lidl, Carrefour, Auchan ou des enseignes d’énergie et de voyage. Les entreprises visées le savent et le publient elles-mêmes : IKEA tient une page d’alerte fraude permanente qui décrit noir sur blanc « des messages divers […] au sujet de jeux concours promettant des gains » et de « fausses pages Facebook prétendant offrir des cartes cadeaux », en précisant que la marque « ne demande jamais » de données bancaires pour un gain, ni de frais de traitement pour une carte cadeau.

Orange Cybersécurité documente des variantes qui suivent la même mécanique sans passer par le partage, reçues aussi bien par e-mail que par SMS : un faux « crédit cadeau » de 50 € lié à une commande récente, une carte qui « expire dans 48 h » pour créer l’urgence, ou un sondage rémunéré (« répondez et recevez 75 € ») qui ne débouche jamais sur rien. Le point commun reste le même : une offre, frauduleuse dans tous les cas, qui engage à agir vite, avant de pouvoir vérifier.

Ce que devient le formulaire une fois rempli

Le formulaire final collecte au minimum vos informations personnelles : nom, adresse postale, numéro de téléphone et souvent une adresse email, parfois une date de naissance présentée comme nécessaire pour l’expédition du lot. Ces informations circulent ensuite par lots revendus, et réapparaissent sous une autre forme : un appel « de votre banque » qui cite votre adresse exacte pour paraître sérieux, ou un message bien plus ciblé que les précédents, par SMS comme par e-mail.

Quand une carte bancaire est demandée pour de prétendus « frais de port », le risque dépasse largement le petit montant affiché. En saisissant le numéro, on autorise le plus souvent un paiement récurrent vers un service fictif, facturé chaque mois sous un libellé qui ne ressemble à rien de connu. Ce mécanisme précis, avec les gestes pour l’arrêter, est détaillé dans l’abonnement caché derrière les faux frais de livraison : le principe est identique, seul l’appât change.

Certaines variantes, plus rares mais plus graves, vont encore plus loin : une fois la carte saisie, une page « de sécurisation » réclame vos identifiants bancaires complets, votre mot de passe, le code secret de votre carte ou le code d’authentification reçu par SMS, sous prétexte de « vérifier votre identité » avant l’envoi du lot. Aucune enseigne, aucune banque, ne demande jamais ce code pour recevoir quoi que ce soit : il ne sert qu’à valider un paiement ou un virement que vous n’avez pas initié vous-même. Les cartes bancaires fonctionnent toutes de la même façon sur ce point, qu’il s’agisse d’une carte de débit ou d’une carte de crédit : elles servent à payer, jamais à recevoir. Si ce cas se présente, la double authentification explique ce que ce code protège réellement, et pourquoi il ne se dicte jamais à personne — pas même à un « conseiller » qui semble connaître votre dossier.

J’ai déjà rempli le formulaire, ou déjà partagé

L’ordre compte plus que la rapidité : on coupe la propagation, puis on vérifie ce qui a pu être exposé.

1. Prévenez les destinataires à qui vous avez transmis l’offre : un message simple (« c’est une arnaque, ne clique pas ») arrête la chaîne plus efficacement que de supprimer votre propre publication.
2. Si une carte bancaire a été saisie, faites opposition via votre application ou par téléphone au numéro au dos de la carte, puis surveillez votre compte bancaire et relisez vos trois derniers relevés : voir comment savoir si ma carte bancaire est piratée.
3. Si un mot de passe a été réutilisé sur le formulaire, changez-le partout où il sert encore : mot de passe volé détaille la marche à suivre.
4. Si une copie de pièce d’identité a été demandée, considérez l’usurpation comme possible : usurpation d’identité liste les démarches.
5. Supprimez le partage depuis votre propre profil une fois les destinataires prévenus, pour ne pas continuer à recruter de nouvelles visites.

Signaler : à qui, et dans quel ordre

• La page ou la publicité elle-même, via le menu « … » puis « Signaler » sur Facebook : la catégorie « Arnaque ou fraude » déclenche une revue du contenu.
• Pharos (internet-signalement.gouv.fr), pour tout contenu frauduleux repéré en ligne, publicité comprise.
• Cybermalveillance.gouv.fr, si des données ou de l’argent ont déjà été transmis : la plateforme oriente vers les démarches adaptées à votre situation.
• La marque usurpée, via son service client officiel — par téléphone, par courrier ou par le formulaire du site : la plupart publient leur propre page d’alerte fraude, comme celle d’IKEA citée plus haut, et font retirer les pages qui les usurpent une fois les fraudeurs identifiés.
• Le 33700, si l’appât est arrivé par SMS plutôt que par Facebook : voir bloquer les SMS indésirables.

Les jeux-concours qui ne mentent pas

• Un vrai lot ne se gagne pas à 100 %. Un tirage au sort véritable comporte des perdants ; un jeu où chaque participant « gagne » au bout de deux essais ne tire rien au sort.
• Une marque ne lance jamais sa plus grosse opération uniquement par Messenger. Les vraies campagnes passent par le site officiel, l’application, ou une communication reprise sur plusieurs canaux vérifiables.
• Le partage demandé a une limite raisonnable. « Partagez pour tenter votre chance » existe réellement ; « partagez à 20 amis pour débloquer un gain déjà annoncé » n’a pas d’équivalent légitime.
• Un vrai règlement existe, même sans dépôt chez un huissier depuis 2014 : une enseigne sérieuse le publie, avec ses dates de début et de fin et l’identité de l’organisateur.
• En cas de doute, fermez l’onglet et retapez vous-même l’adresse du site officiel plutôt que de suivre un lien, comme pour tout lien suspect.

Quand s’arrêter et appeler

Deux situations méritent un appel plutôt qu’une soirée à chercher seul : un doute sur ce qui a réellement été transmis, et la crainte qu’une carte bancaire reste exposée à un prélèvement récurrent.

Le diagnostic est gratuit, 15 minutes au téléphone : vous me décrivez la page et le formulaire, et on tranche. Si besoin, l’assistance à distance débute à 19 € la demi-heure. Déroulé et tarifs affichés d’avance, ou décrivez votre situation par écrit. Si l’appât venait d’un message administratif plutôt que d’une marque, voyez faux SMS : amende, carte Vitale, compte formation.

Questions fréquentes

Faut-il donner mes coordonnées bancaires pour recevoir une carte cadeau gratuite ?

Non, jamais. Un vrai jeu-concours gratuit n’a besoin ni de votre numéro de carte, ni de « frais de port », ni de « frais de dossier » pour vous remettre un lot. IKEA l’écrit noir sur blanc dans sa propre page d’alerte fraude : l’enseigne ne demande jamais de données bancaires pour un gain. Toute demande de paiement, même d’un euro, transforme un cadeau en abonnement caché.

Pourquoi dois-je absolument partager l’offre à mes amis avant de récupérer mon lot ?

Parce que ce partage est le véritable produit de l’opération, pas une formalité administrative. Chaque partage recrute de nouveaux visiteurs sur la fausse page, qui génère elle-même des revenus publicitaires ou de nouvelles collectes de données. Le cas documenté par l’UFC-Que Choisir imposait « 20 amis ou 5 groupes de contacts » avant même d’afficher le prétendu lot.

Comment vérifier si la page qui propose le cadeau est la vraie marque ?

Ouvrez l’onglet « Transparence de la Page » depuis le menu « À propos » : il affiche, sans connexion requise, la date de création de la page et l’historique de ses changements de nom. Une page censée représenter une enseigne connue, mais créée depuis quelques semaines et déjà renommée plusieurs fois, est une fausse page. Comparez aussi l’adresse du site de destination au domaine officiel de la marque, jamais au lien reçu.

J’ai déjà rempli le formulaire et partagé l’offre : que dois-je faire maintenant ?

Prévenez les amis ou les groupes à qui vous avez transmis l’offre, pour couper la propagation. Si une carte bancaire a été saisie, faites opposition et relisez vos trois derniers relevés : un prélèvement discret commence souvent avant qu’on le remarque. Si une pièce d’identité a été demandée, voyez les gestes contre l’usurpation. Changez le mot de passe utilisé sur le formulaire s’il sert ailleurs.

J’ai payé des « frais de port » avec ma carte : quel est le vrai risque ?

Le risque n’est presque jamais le petit montant affiché. En saisissant une carte pour ces frais, on autorise le plus souvent un prélèvement récurrent vers un abonnement fictif, au libellé qui ne ressemble à rien de connu sur le relevé. Ce mécanisme est détaillé dans notre fiche sur les faux SMS de livraison, dont l’abonnement caché derrière 1,95 € suit exactement le même principe.

Un jeu-concours qui demande de partager à 20 amis est-il interdit par la loi ?

Pas en soi. Depuis la loi du 20 décembre 2014, les loteries publicitaires n’ont plus à déposer leur règlement chez un huissier, et l’article L121-20 du code de la consommation interdit seulement les pratiques « déloyales », pas le partage demandé. Le signe n’est donc pas l’exigence de partage seule, mais sa combinaison avec un gain garanti à tout le monde et une demande de coordonnées bancaires derrière.

À lire aussi : arnaque aux petites annonces · faux avis Google.