Vendre sur Vinted : le faux lien de livraison qui vide la carte

↑ Ce conseil fait partie du guide : Arnaques et hameçonnage

Arnaque Vinted vendeur : que faire ?

Un message qui sort de la messagerie Vinted pour parler d’un « problème de livraison » ne vient jamais de Vinted : l’étiquette d’expédition est déjà payée par l’acheteur et se télécharge depuis la conversation de la vente elle-même, jamais depuis un lien reçu par SMS ou par e-mail. Ne cliquez sur aucun lien de ce genre, et ne saisissez ni carte ni IBAN pour « débloquer » un colis.

1. Ne répondez à aucun message qui sort de la messagerie Vinted, même par SMS ou WhatsApp
2. Ne cliquez sur aucun lien promettant de « débloquer », « confirmer » ou « valider » une livraison déjà payée
3. Téléchargez l’étiquette uniquement depuis la conversation de la vente, dans l’application
4. Carte ou IBAN déjà saisis sur un lien reçu par SMS : contactez votre banque dans l’heure
5. Transférez le message à phishing@vinted.com et signalez le profil

Les quatre signes du faux lien de livraison

1. Le message sort de la messagerie Vinted. Un SMS, un message WhatsApp, ou un e-mail dont l’adresse ne se termine pas par @vinted.fr : Vinted l’écrit lui-même dans son centre d’aide, à moins d’avoir contacté le support pour un problème précis, mieux vaut éviter de fournir ses données dans un message reçu.

2. Il imite un transporteur. Mondial Relay, Chronopost, Colissimo : le nom, le logo et les couleurs sont copiés, mais l’adresse complète du lien ne correspond au nom de domaine d’aucun de ces trois transporteurs. Cinq maquillages d’adresse permettent ce genre de ressemblance sans qu’il s’agisse du vrai site. Même si la page affiche un cadenas et semble sécurisée, cela ne garantit que le chiffrement de la connexion, pas l’identité de celui qui l’a mise en ligne.

3. Il réclame une carte bancaire ou un IBAN « pour débloquer » le colis. Aucun transporteur ne demande de coordonnées bancaires pour livrer un colis déjà payé : c’est précisément ce détail qui distingue un vrai avis de livraison d’un faux, et c’est la section suivante qui explique pourquoi cette demande n’a aucun sens.

4. Il crée l’urgence. « 24 heures, sinon le colis repart à l’expéditeur », « activité suspecte détectée » : l’urgence sert à empêcher de vérifier dans l’application avant de cliquer, pas à protéger quoi que ce soit.

Pourquoi l’étiquette ne coûte jamais rien au vendeur

Sur Vinted, les frais de port sont réglés par l’acheteur en même temps que l’article, intégrés au prix affiché au moment du paiement. L’étiquette d’expédition se génère ensuite directement dans la conversation de la vente, dès que le paiement est confirmé : un bouton permet de la télécharger en PDF ou d’afficher un QR code, visible dans le suivi de votre commande, parfois envoyé aussi par e-mail depuis l’application elle-même. Selon le transporteur choisi, ce QR code se présente au point relais ou à la borne libre-service : dans les deux cas, personne n’a besoin de ressaisir une carte bancaire pour l’obtenir, puisqu’elle a déjà été payée par l’autre partie.

Un lien reçu en dehors de cette conversation ne peut donc jamais être la « vraie » étiquette : la vraie se trouve déjà dans l’application, prête, sans rien à régler. Le même principe protège le compte Vinted lui-même, qui reste un sujet distinct de ce message reçu par un tiers : changer votre mot de passe n’arrête pas ce type d’arnaque, puisqu’elle ne passe jamais par une intrusion sur le compte.

Le système que Vinted appelle lui-même le « paiement sécurisé » fonctionne comme un dépôt : l’argent payé par carte bancaire part d’abord sur un compte intermédiaire, pas directement sur le compte bancaire du vendeur, et n’est débloqué qu’après la confirmation de réception. Aucune des données bancaires du vendeur n’entre dans ce circuit avant ce moment-là. Les serveurs de paiement utilisés sont sécurisés, mais aucun lien reçu par SMS n’en fait partie : c’est ce qui rend absurde la demande de « débloquer » un virement ou un paiement par ce biais — tant que l’échange reste à l’intérieur de l’application, il n’y a rien à débloquer ailleurs.

Ce que Vinted ne demande jamais

Le centre d’aide de Vinted liste lui-même les formes que prend l’hameçonnage sur la plateforme : un message interne demandant d’écrire à une adresse e-mail, d’ouvrir un lien ou de scanner un QR code ; un faux e-mail demandant d’ouvrir un lien malveillant « pour confirmer une vente » ; un faux SMS envoyé à votre numéro de téléphone, avec le même genre de lien ; ou un faux site, copie de Vinted, proposant une « assistance » ou réclamant des informations de paiement.

La règle que Vinted donne pour les reconnaître tient en une ligne : à moins d’avoir vous-même contacté le support pour un problème précis, évitez de fournir vos données dans un message. Les e-mails légitimes de Vinted proviennent toujours d’une adresse se terminant par @vinted.fr. Pour signaler une tentative, transférez le message suspect à phishing@vinted.com, en joignant une capture d’écran et l’adresse exacte de l’expéditeur.

Vinted ne possède pas non plus d’« espace client » séparé qui enverrait un email de réinitialisation après un soi-disant incident de livraison : tout se passe dans l’application elle-même, avec le compte déjà ouvert. Activer une authentification forte sur ce compte ne change rien face à ce type de message : comme il ne passe jamais par une intrusion, mais par un numéro ou une adresse mail récupérés ailleurs, aucun réglage de sécurité du compte ne l’arrête. Seule la vigilance sur le lien reçu protège.

Accusé d’un colis vide : comment se défendre

Autre situation, sans rapport avec le lien de livraison : l’acheteur confirme avoir reçu le colis, mais affirme qu’il était vide, qu’il contenait une brique, ou un article différent de celui vendu. Ce n’est pas un piratage, c’est un litige commercial — et le même mécanisme existe à l’envers, côté acheteur, détaillé dans la fiche sur le colis jamais reçu.

En droit, celui qui réclame l’exécution d’une obligation doit la prouver : ce n’est donc pas au vendeur de démontrer son innocence en premier, mais le dossier le plus solide l’emporte presque toujours. Les éléments à conserver, idéalement avant même l’envoi :

• Une vidéo continue, sans coupure, de l’emballage : l’article visible, son placement dans le carton, puis la fermeture.
• Le reçu de dépôt au point relais ou au bureau de poste, avec le numéro de suivi lisible.
• Le poids affiché sur le bordereau du transporteur : un écart important avec le poids réel de l’article se repère sans expertise.
• Une photo de l’article avant l’envoi, cohérente avec l’annonce publiée.

Répondez dans le délai fixé par le litige, avec ces éléments et en restant dans la messagerie de la plateforme : un historique de messages courtois, conservé sur Vinted plutôt qu’ailleurs, renforce aussi le dossier.

Le code reçu par SMS « pour confirmer »

Variante plus rare : un acheteur explique qu’un code va arriver par SMS sur votre téléphone, « pour vérifier que vous êtes bien un vrai vendeur » ou « pour valider la transaction », et demande une capture d’écran de ce code une fois reçu. Le procédé reprend celui utilisé contre n’importe quel compte en ligne : un code de vérification non demandé ne sert jamais à l’interlocuteur qui le réclame, mais à lui seul, pour s’introduire ailleurs. Aucune étape d’une vente Vinted ne repose sur un code envoyé par SMS à un vendeur.

Vous avez déjà donné votre carte ou votre IBAN

L’ordre des gestes dépend de ce qui a déjà été transmis sur le faux site.

1. Un numéro de carte et un cryptogramme ont été saisis : opposition immédiate auprès de votre banque, puis contestation écrite de toute opération que vous n’avez pas autorisée. Les articles L133-18 et L133-19 du code monétaire et financier font porter la charge de la preuve sur la banque, pas sur le client, pour une fraude à distance.
2. Seul l’IBAN a été donné, pas la carte : il ne permet pas un paiement immédiat, mais il suffit à mettre en place un prélèvement ; ce qu’un IBAN seul permet de faire, et comment s’y opposer, est détaillé à part.
3. Vous avez seulement cliqué, sans rien saisir : pas besoin d’opposition ; surveillez votre relevé de compte et votre espace bancaire deux mois.
4. Dans tous les cas : conservez les captures de la conversation, l’adresse du lien reçu et le relevé bancaire correspondant — ce sont les preuves recevables pour la plainte. L’infraction est l’escroquerie, punie par l’article 313-1 du code pénal de cinq ans d’emprisonnement et de 375 000 € d’amende.
5. Pour porter plainte : les bons guichets diffèrent selon le préjudice, et trois d’entre eux acceptent une plainte en ligne sans déplacement.
6. Signalez le profil depuis l’application Vinted, et transférez le message à phishing@vinted.com : c’est ce double signalement qui fait réellement disparaître le compte frauduleux.

Carte bleue, carte de crédit, carte à autorisation systématique : toutes les cartes bancaires fonctionnent de la même façon sur ce faux site, par carte bancaire comme unique moyen de paiement réclamé. Ces informations ne doivent jamais être confondues avec le code confidentiel — ce code secret à quatre chiffres qui ne sert que devant un terminal de paiement physique ou un distributeur : aucun site, aucun transporteur, aucun acheteur n’en a besoin pour quoi que ce soit en ligne. C’est aussi ce qui distingue une opération frauduleuse par carte, remboursable sans grande difficulté, d’un virement : une fois exécuté, il se récupère beaucoup plus difficilement, quel que soit le compte bancaire de destination. Les fraudeurs le savent, et c’est pour cela qu’ils préfèrent presque toujours la carte — plus rapide à encaisser qu’un virement, qui laisse une trace identifiable plus facilement.

Le même principe — un échange d’argent sur une plateforme ne demande jamais de passer par un second lien — se retrouve, sous une autre forme, dans le trajet BlaBlaCar payé deux fois et dans les arnaques aux petites annonces : la méthode fonctionne sur toute plateforme où une livraison ou un paiement suit une vente conclue en ligne.

Ce qui ne sert à rien

• Payer « en urgence » pour éviter que le colis reparte. Aucune échéance de ce genre n’existe dans le circuit réel de Vinted : un colis correctement expédié suit son parcours sans intervention du vendeur.
• Répondre au message pour demander des explications. Cela ne fait que confirmer que le numéro ou l’adresse e-mail est actif, et encourage la suite.
• Faire opposition par précaution, si rien n’a été saisi sur le faux site. Cela immobilise les moyens de paiement plusieurs jours pour un risque nul.
• Laisser un avis négatif au lieu de signaler. Un avis ralentit à peine le profil ; le signalement depuis l’application, cumulé au transfert vers phishing@vinted.com, est ce qui agit réellement.

Questions fréquentes

L’acheteur a confirmé le paiement dans l’application, mais insiste pour « régler la livraison » par SMS parce que ce sera plus rapide : dois-je accepter ?

Non. Dès qu’un paiement est confirmé dans l’application, l’étiquette d’expédition se génère elle aussi dans l’application, depuis la conversation de la vente : il n’y a rien à régler ailleurs. Toute sortie de la messagerie à ce stade sert uniquement à préparer la demande qui suit.

Le lien reçu par SMS affichait le logo Mondial Relay et une adresse qui commençait par « mondial-relay » : comment ai-je pu m’y tromper ?

Un logo se copie gratuitement, comme n’importe quelle image trouvée en ligne. Seule l’adresse complète, lue jusqu’à son extension finale (.fr, .com), distingue le vrai domaine d’un transporteur d’un sous-domaine fabriqué qui ne lui appartient pas.

Un acheteur affirme avoir reçu un colis vide alors que j’ai bien emballé l’article, mais je n’ai ni filmé ni pesé le colis au départ : que faire ?

Rassemblez ce qui existe encore : le reçu de dépôt, la capture d’écran du suivi, une photo de l’article avant l’envoi, la facture de vente. Répondez dans le délai du litige avec ces éléments. Le dossier est plus faible sans vidéo ni pesée, mais c’est à celui qui réclame l’exécution d’une obligation de la prouver : l’acheteur doit, lui aussi, apporter des éléments, pas seulement l’affirmer.

J’ai déjà saisi mon IBAN sur le site reçu par SMS, mais pas ma carte bancaire : dois-je quand même réagir ?

Oui, sans attendre. Un IBAN seul ne permet pas un paiement immédiat par carte, mais il suffit à mettre en place un prélèvement sur votre compte : contactez votre banque pour surveiller les prélèvements à venir et vérifier comment vous opposer à l’un d’eux si besoin.

Le faux transporteur me demande un code reçu par SMS pour « confirmer mon identité » avant de débloquer le colis : dois-je le lui donner ?

Non, jamais. Ce code sert normalement à protéger votre propre compte ou votre carte bancaire : le transmettre revient à donner les clés d’un autre service, pas à valider une livraison. Aucun transporteur n’a besoin d’un code envoyé sur votre téléphone pour remettre un colis déjà payé.

Mon compte Vinted a-t-il été piraté si je reçois ce genre de message ?

Pas forcément. Ces messages sont envoyés au hasard, à des numéros ou des adresses e-mail trouvés ailleurs, sans lien avec une intrusion sur votre compte Vinted lui-même. Les signes d’un compte réellement pris sont différents : solde modifié, RIB changé, annonces publiées sans vous.

À lire aussi : colis jamais reçu après un achat entre particuliers · compte Vinted piraté · vérifier un lien suspect.