Arnaque sur LeboncoinDe faux acheteurs pratiquent le phishing

Leboncoin représente un terrain de jeux idéal pour les escrocs. À la rentrée dernière, le site de petites annonces a ouvert un service de paiement en ligne (voir encadré). Ni une ni deux, les malfaiteurs se sont rués sur cette fonctionnalité et ont inventé une nouvelle technique de phishing. Un vendeur reçoit un SMS provenant d’un numéro de portable non masqué. L’expéditeur lui annonce qu’un paiement a été effectué, référence de l’offre à l’appui, et ajoute un lien renvoyant vers un faux site Leboncoin. Ce site affiche l’offre du vendeur pour le mettre en confiance. Seule condition pour que le versement soit validé : il doit renseigner ses coordonnées bancaires. Une fois cette étape accomplie, le piège se referme. L’escroc qui se cache derrière ces messages récupère les informations. Non seulement le vendeur n’a réalisé aucune vente, mais, bien plus grave, il risque de se faire piller son compte bancaire !

Madame P. a fait les frais de cette arnaque en mai dernier. Plusieurs petits détails lui ont mis la puce à l’oreille : renvoi vers un site Internet et non vers l’application Leboncoin après avoir cliqué sur le lien du SMS, paiement de 0,01 € à exécuter pour valider ses coordonnées bancaires, site très lent… Mais le fait de voir sa « vraie » annonce dès l’ouverture du site, ainsi que la joie d’avoir vendu aussi rapidement sa lampe à 250 € l’ont convaincue. « Tout de même méfiante, j’ai cherché sur Internet le site en question. J’ai alors vu des témoignages sur le forum de Que Choisir, j’ai compris que c’était une arnaque. J’ai aussitôt fait opposition sur ma carte bancaire. Ma banque a été très compréhensive et m’a remboursé les frais d’opposition », raconte Madame P., qui n’a subi aucun vol grâce à sa réactivité.

Le spoofing s’invite dans le processus

Cette arnaque est double : les personnes malveillantes qui s’essaient à ces tentatives de phishing pratiquent le spoofing. Autrement dit, ils usurpent le numéro de téléphone de particuliers pour se faire passer ensuite pour des acheteurs honnêtes. Madame B. en a été victime : « J’ai reçu un SMS sur mon portable me disant que j’avais reçu un prépaiement pour un article que j’avais à vendre. J’ai cliqué sur le lien. J’ai donné mon numéro de portable, puis on m’a demandé mes coordonnées bancaires. Mais je ne les ai pas fournies. » Si cette consommatrice a bien réagi, elle s’est malheureusement fait usurper son numéro, que les escrocs ont utilisé pour appâter d’autres personnes ayant déposé une annonce. Elle a reçu de nombreux appels de vendeurs Leboncoin qui avaient reçu le même message qu’elle.

Service de paiement Leboncoin, comment ça marche ?

À l’automne dernier, Leboncoin a lancé un outil intégré de paiement en ligne géré par le prestataire Adyen, spécialisé dans le paiement électronique. Toutes les opérations liées à ce service se déroulent via la messagerie de Leboncoin.fr. Plusieurs étapes de validation se succèdent jusqu’à la vente.

• L’acheteur envoie une offre au vendeur. Ce dernier dispose de 24 heures pour y répondre.
• Si l’offre est acceptée, l’acheteur est averti par message et peut procéder au paiement sécurisé, comme sur un site d’e-commerce lambda.
• Le vendeur doit renseigner son IBAN depuis son compte Leboncoin afin de recevoir l’argent. La somme est bloquée par le site jusqu’à ce que l’acheteur confirme la réception du colis.
• Si une telle confirmation n’est pas transmise au bout de 14 jours, l’argent est automatiquement versé au vendeur. Cependant, l’acheteur peut signaler au site, avant ce délai, qu’il n’a pas reçu sa commande.

De l’offre d’achat à la confirmation de paiement, les différentes étapes d’un achat via le service de paiement Leboncoin