Leboncoin : le faux paiement sécurisé qui vide la carte

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Arnaque Leboncoin au paiement sécurisé : que faire ?

Un lien reçu par SMS, par e-mail ou en dehors de la messagerie Leboncoin pour « confirmer », « débloquer » ou « valider » un paiement sécurisé ne vient jamais de Leboncoin : un vrai dépôt de fonds se vérifie directement dans l’application, sans aucun lien à ouvrir et sans jamais demander de carte bancaire. Ne cliquez sur rien, et ne saisissez ni carte ni IBAN pour « recevoir » un virement.

1. Ne répondez à aucun message qui sort de la messagerie Leboncoin, même par SMS
2. Vérifiez un paiement annoncé uniquement dans l’application, jamais via un lien reçu ailleurs
3. Ne saisissez jamais de carte ou d’IBAN pour « débloquer » un paiement déjà déposé
4. Carte ou IBAN déjà saisis sur un lien reçu par SMS : contactez votre banque dans l’heure
5. Signalez l’utilisateur depuis l’application, et bloquez-le

Les quatre signes du faux paiement sécurisé

1. Le message sort de la messagerie Leboncoin. Un SMS, un e-mail dont l’adresse ne se termine pas par un domaine officiel, ou un message WhatsApp : Leboncoin explique lui-même, dans son centre d’aide, qu’à moins d’avoir vous-même contacté le support pour un problème précis, mieux vaut éviter de fournir ses données dans un message reçu par un autre canal.

2. Il imite l’interface du paiement sécurisé. Logo, couleurs, mise en page : tout est copié, mais l’adresse complète du lien ne correspond à aucun domaine Leboncoin réel. Cinq maquillages d’adresse permettent cette ressemblance sans qu’il s’agisse du vrai site, cadenas de connexion SSL compris : une page peut parfaitement afficher une connexion sécurisée sans être pour autant la vraie page Leboncoin — n’importe qui peut obtenir gratuitement un certificat SSL pour un faux site, ce cadenas ne garantit que le chiffrement, jamais l’identité de celui qui l’a mise en ligne.

3. Il réclame une carte bancaire ou un IBAN « pour recevoir » l’argent. Recevoir un virement ou un dépôt n’a jamais besoin d’un numéro de carte ni d’un cryptogramme : au maximum un IBAN, pour un virement classique, jamais pour un paiement déjà déposé sur la plateforme. C’est précisément ce détail qui distingue une vraie alerte d’une fausse, et la section suivante explique pourquoi. Les versions les plus abouties réclament aussi le nom du titulaire de la carte et des informations personnelles complémentaires (adresse, date de naissance) : plus le formulaire ressemble à un vrai paiement, plus les données volées ont de valeur une fois revendues. C’est exactement le genre de détail qui fait dire après coup : « j’ai donné ma carte bancaire sans réfléchir ».

4. Il crée l’urgence. « Le paiement expire dans 24 heures », « votre compte sera suspendu » : l’urgence sert uniquement à empêcher de vérifier dans l’application avant de cliquer, pas à protéger quoi que ce soit.

Comment marche réellement le paiement sécurisé

Le paiement sécurisé de Leboncoin fonctionne comme un tiers de confiance : l’acheteur règle en ligne, et la somme reste bloquée sur un compte intermédiaire, pas directement versée au vendeur. Le vendeur reçoit alors une notification lui signalant que les fonds sont déposés — c’est cette alerte légitime que les faux messages imitent. La différence tient en une phrase : la vraie notification n’a rien à faire cliquer et ne demande aucune donnée bancaire, elle se contente d’informer, consultable directement dans l’application ou la messagerie. Les fonds ne se débloquent au vendeur qu’après confirmation de réception par l’acheteur, par virement, en général sous quelques jours — une fois l’identité du vendeur vérifiée pour le transfert de son porte-monnaie vers son compte bancaire. Un vrai paiement par carte déclenche d’ailleurs une étape que l’escroc ne peut pas imiter côté acheteur : l’authentification forte demandée par sa propre banque — un code reçu par SMS ou une validation dans son appli — avant même que la somme ne parte vers les comptes sécurisés tenus par le prestataire de paiement. Cette sécurité protège celui qui paie, jamais celui qui prétend recevoir l’argent.

Ce décalage dans le temps est justement ce que l’arnaque cherche à court-circuiter : plutôt que d’attendre le virement réel, le faux message fait croire qu’une étape bancaire reste à accomplir pour « libérer » une somme qui, en réalité, n’a jamais existé. Le même principe protège le compte Leboncoin lui-même, qui reste un sujet distinct de ce message reçu par un tiers : changer votre mot de passe n’arrête rien ici, puisque l’arnaque ne passe jamais par une intrusion sur votre compte, mais par un numéro de téléphone ou une adresse mail trouvés sur l’annonce, publique par nature. Leboncoin ne tient pas non plus d’espace client séparé de l’application : tout se consulte au même endroit, ce qui rend d’autant plus repérable un lien qui prétend mener vers un « espace sécurisé » distinct.

Les vraies adresses de Leboncoin, et les fausses

Leboncoin liste lui-même, dans son centre d’aide, les domaines dont proviennent ses e-mails légitimes : @leboncoin.fr, @news.leboncoin.fr et @messagerie.leboncoin.fr. Un message venant d’une adresse qui ressemble de près — une lettre ajoutée, un tiret, un mot inséré comme « paiement » ou « services » avant le nom de domaine — n’appartient pas à l’entreprise, même si tout le reste semble identique.

Le centre d’aide donne aussi les détails qui trahissent un faux message, au-delà de l’adresse : des fautes d’orthographe, un objet d’e-mail entièrement en majuscules, une mise en page qui ne reproduit pas exactement le design habituel, et bien sûr des liens qui ne mènent pas vers le domaine officiel. Ce sont justement les détails que les fraudeurs recopient le moins soigneusement : ils misent sur la vitesse de lecture, pas sur la perfection du faux. Pour signaler une tentative, la marche à suivre recommandée est de signaler l’utilisateur depuis l’application et de le bloquer immédiatement ; pour un SMS, un signalement gratuit au 33700 complète la démarche.

Le paiement « en plusieurs fois » : la vraie option, et le piège

Certains messages frauduleux proposent de régler ou de recevoir un paiement « en plusieurs fois », en dehors du parcours habituel. Leboncoin propose réellement cette option, mais dans un cadre précis : via son partenaire Oney, par carte bancaire, pour un achat compris entre 150 et 2 000 euros, directement intégré à la page de paiement de l’annonce. Aucune étape de cette option ne passe par un lien reçu à part, ni par un virement fractionné organisé entre particuliers.

Ces paiements fractionnés, quand ils sortent de ce cadre — par virement, par un acompte « de confiance », ou via un site tiers — ne viennent donc jamais de Leboncoin, quel que soit le sérieux apparent de l’interlocuteur.

Pour une voiture, un plafond et un déblocage différents

Le paiement sécurisé pour un véhicule d’occasion suit des règles un peu différentes de celles d’un objet courant, précisées par Leboncoin lui-même : le service ne s’applique que si « le prix est inférieur ou égal à 20 000 euros », et l’argent de l’acheteur « reste protégé jusqu’à la remise des clés » — le déblocage n’intervient donc qu’au rendez-vous physique, jamais avant. Dernier détail à connaître avant de valider : « le transfert des fonds est unique et irrévocable », donc impossible à annuler une fois le virement autorisé. Le reste des vérifications propres à l’achat d’un véhicule entre particuliers — carte grise, contrôle technique, historique — est détaillé dans la fiche sur l’arnaque à la vente de voiture.

Vous avez déjà donné votre carte ou votre IBAN

L’ordre des gestes dépend de ce qui a déjà été transmis sur le faux site. La question qui revient le plus souvent est simple : « est-ce que ma carte a été utilisée, ou seulement mon IBAN ? » La réponse change tout.

1. Un numéro de carte et un cryptogramme ont été saisis : opposition immédiate auprès de votre banque, puis contestation écrite auprès de son service fraudes pour toute opération que vous n’avez pas autorisée. Les articles L133-18 et L133-19 du code monétaire et financier font porter la charge de la preuve sur la banque, pas sur le client, pour une fraude à distance.
2. Seul l’IBAN a été donné, pas la carte : il ne permet pas un paiement immédiat, mais il suffit à mettre en place un prélèvement ; ce qu’un IBAN seul permet de faire, et comment s’y opposer, est détaillé à part.
3. Vous avez seulement cliqué, sans rien saisir : pas besoin d’opposition ; surveillez vos relevés bancaires deux mois, en particulier les virements et les retraits inhabituels, pas seulement les paiements par carte.
4. Un code reçu par SMS vous a été réclamé « pour confirmer » : ne le transmettez jamais. Un code de vérification non demandé protège un autre service que celui qui le réclame, jamais une vente Leboncoin.
5. Dans tous les cas : conservez les captures de la conversation, l’adresse du lien reçu et le relevé bancaire correspondant — ce sont les preuves recevables pour la plainte. L’infraction est l’escroquerie, punie par l’article 313-1 du code pénal de cinq ans d’emprisonnement et de 375 000 € d’amende.
6. Pour porter plainte : les bons guichets diffèrent selon le préjudice, et trois d’entre eux acceptent une plainte en ligne sans déplacement.

Carte bleue, carte de crédit, carte à autorisation systématique : toutes les cartes bancaires exposent les mêmes données bancaires sur ce type de faux site, la carte restant l’unique moyen de paiement réclamé. Ces informations ne doivent jamais être confondues avec le code confidentiel de carte, ce code secret à quatre chiffres qui ne sert que devant un terminal de paiement physique ou un distributeur : aucun site, aucun acheteur n’en a besoin pour quoi que ce soit en ligne. C’est aussi ce qui distingue une opération frauduleuse par carte, remboursable sans grande difficulté, d’un virement : une fois exécuté, il se récupère beaucoup plus difficilement. Le même principe — un paiement de plateforme ne demande jamais de passer par un second lien pour être « débloqué » — se retrouve, sous une autre forme, dans le faux lien de livraison Vinted et dans les arnaques aux petites annonces : la méthode fonctionne sur toute plateforme où un paiement suit une vente conclue en ligne.

Ce qui ne sert à rien

• Payer « en urgence » pour éviter que le paiement expire. Aucune échéance de ce genre n’existe dans le circuit réel du paiement sécurisé : un dépôt confirmé reste visible dans l’application sans limite de temps pour le consulter.
• Répondre au message pour demander des explications. Cela confirme seulement que le numéro ou l’adresse e-mail est actif, et encourage la suite.
• Faire opposition par précaution, si rien n’a été saisi sur le faux site. Cela immobilise les moyens de paiement plusieurs jours pour un risque nul.
• Laisser un avis négatif au lieu de signaler. Un avis ralentit à peine le profil ; le signalement depuis l’application, suivi du blocage, est ce qui agit réellement.

Questions fréquentes

L’acheteur affirme avoir déposé l’argent sur le paiement sécurisé, puis m’envoie un lien par SMS pour « confirmer la réception du virement » : dois-je cliquer ?

Non. Un dépôt réel se vérifie directement dans votre messagerie Leboncoin ou l’application, jamais par un lien reçu ailleurs. Le paiement sécurisé ne réclame ni carte, ni cryptogramme, ni code pour libérer un virement déjà en attente.

Le mail reçu se termine par @leboncoinfr.fr et non @leboncoin.fr : est-ce vraiment différent ?

Oui, complètement. Leboncoin liste lui-même ses domaines légitimes : @leboncoin.fr, @news.leboncoin.fr et @messagerie.leboncoin.fr. Un domaine qui ressemble de près, avec une lettre ajoutée ou un tiret, n’appartient pas à l’entreprise, même si le logo et la mise en page sont identiques.

Un acheteur propose de payer « en plusieurs fois » hors de l’option de paiement classique : est-ce suspect ?

Oui, si cela sort du parcours normal. Le seul paiement fractionné reconnu par Leboncoin passe par son partenaire Oney, en carte bancaire, pour un achat compris entre 150 et 2 000 euros, directement dans l’annonce. Toute autre proposition de paiement en plusieurs fois, par virement ou par un lien externe, ne vient pas de la plateforme.

J’ai déjà saisi mon numéro de carte et le cryptogramme sur le faux site : que faire dans l’heure ?

Faites immédiatement opposition auprès de votre banque, puis contestez par écrit toute opération que vous n’avez pas autorisée. Les articles L133-18 et L133-19 du code monétaire et financier font porter la charge de la preuve sur la banque, pas sur vous, pour une fraude à distance.

Pour une voiture, le paiement sécurisé fonctionne-t-il comme pour un objet classique ?

Non, pas exactement. Leboncoin plafonne ce service à 20 000 euros pour un véhicule d’occasion, et les fonds ne se débloquent qu’au rendez-vous de remise des clés, jamais avant. Le transfert est ensuite unique et irrévocable : mieux vaut être certain de son choix avant de le valider.

Mon compte Leboncoin a-t-il été piraté si je reçois ce genre de message ?

Pas forcément. Ces messages visent au hasard des numéros ou des adresses e-mail trouvés sur l’annonce elle-même, publique par nature, sans lien avec une intrusion sur votre compte. Les signes d’un compte réellement pris sont différents : mot de passe changé, annonces publiées sans vous, porte-monnaie vidé.

À lire aussi : compte Leboncoin piraté · compte Leboncoin bloqué · le faux lien de livraison Vinted · vérifier un lien suspect.