Arnaqué en vendant sur Leboncoin ou Vinted via un faux lien de paiement : la banque doit-elle me rembourser ?

Joris Morer

il y a 2 heures

15 min de lecture

Vous vendez un vélo, un canapé, un manteau. Un acheteur se manifeste vite, ne discute pas le prix, et propose de payer par le paiement sécurisé de la plateforme. Quelques minutes plus tard, un SMS ou un message vous annonce que le paiement est arrivé et qu'il ne reste qu'à le récupérer, en cliquant sur un lien. La page ressemble à la plateforme, puis à votre banque. On vous demande votre carte, pour vous créditer, puis un code reçu par SMS, pour valider la réception. Le lendemain, votre compte est débité, parfois plusieurs fois, et l'acheteur a disparu. La banque, elle, vous répond que vous avez validé l'opération vous-même.

Cet article traite ce cas précis, celui du vendeur piégé par un faux acheteur. Il s'appuie sur l'arrêt rendu par la Cour de justice de l'Union européenne le 15 octobre 2026, dont les faits sont très proches, et que nous analysons dans un article dédié. Pour le faux SMS de banque en général, voyez j'ai reçu un faux SMS de ma banque et j'ai cliqué : que faire ?

La réponse courte

Oui, en principe. Vous n'avez consenti à aucun paiement : vous croyiez en recevoir un. Une opération exécutée sans votre consentement est une opération de paiement non autorisée, et la loi oblige votre banque à vous la rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant votre signalement, sauf si elle soupçonne une fraude de votre part et le signale par écrit à la Banque de France, à condition de signaler sans tarder et au plus tard dans les treize mois prévus par l'article L. 133-24. Depuis l'arrêt du 15 octobre 2026, la banque ne peut plus refuser ce remboursement en invoquant votre négligence grave : si elle estime pouvoir la prouver, elle doit rembourser d'abord et vous réclamer les sommes ensuite, devant le juge si vous refusez. Le vrai combat se joue donc sur deux points : la qualification de l'opération comme non autorisée, et, dans un second temps, la preuve d'une négligence grave, qui dépend surtout de ce que disait exactement le message de validation que vous avez reçu. Plus vous agissez vite et plus vous conservez de preuves, mieux vous êtes placé.

Comment l'arnaque fonctionne, étape par étape

Le scénario est stable depuis des années et se perfectionne. L'acheteur contacte le vendeur par la messagerie de la plateforme, puis propose rapidement de poursuivre par SMS ou par une messagerie extérieure. Il annonce qu'il a payé par le paiement sécurisé. Le vendeur reçoit alors un SMS ou un courriel qui imite la plateforme, avec un lien vers une page qui reproduit l'annonce elle-même, ce qui rassure. La page demande successivement les identifiants de la plateforme, puis les données de la carte bancaire, présentée comme la carte à créditer, puis le choix de la banque et les identifiants de banque en ligne. Dans les versions récentes, un faux conseiller appelle ensuite pour faire valider des codes à usage unique ou des notifications présentées comme des tests de sécurité. Chaque code validé autorise en réalité un paiement sortant, dont le vendeur est le payeur.

Les variantes ne manquent pas. Le QR code envoyé à un acheteur, qui ouvre une fausse page de paiement et fait payer deux fois. Le SMS d'un faux transporteur réclamant des frais de réexpédition par carte, dont les données sont ensuite réutilisées. Le faux courriel de confirmation de paiement destiné à faire expédier l'objet sans avoir été payé. Le trop-perçu : l'acheteur paie par chèque un montant supérieur, demande le remboursement de la différence par virement, et le chèque revient impayé. Et la demande d'argent sur une application de paiement entre particuliers, présentée comme un paiement entrant : l'accepter, c'est payer.

Pour recevoir un paiement, vous n'avez jamais à saisir votre carte ni un code

C'est le point qui démonte l'arnaque, et il vaut pour les deux plateformes. Sur Leboncoin, le paiement sécurisé arrive dans un porte-monnaie interne, une fois que l'acheteur a confirmé que l'article lui convient ; le transfert vers votre compte se fait depuis votre tableau de bord, avec un IBAN et une vérification d'identité. Aucune carte n'est demandée. La plateforme l'écrit elle-même : « Aucune action sur leboncoin ne nécessite de paiement par carte bancaire hors de la plateforme », « Leboncoin ne vous demandera jamais vos données personnelles par email, appel ou SMS », et « Pour éviter toute tentative de fraude, échangez uniquement dans la messagerie leboncoin ». Sur Vinted, le principe est le même, et la page d'aide est encore plus directe : « Tu ne dois jamais quitter Vinted pour confirmer un paiement ou recevoir une commande. »

Autrement dit, un écran qui vous demande votre carte, vos identifiants bancaires ou un code pour recevoir de l'argent est, par construction, un faux. Cette règle a deux usages. Avant l'arnaque, elle suffit à l'éviter. Après, elle sert à expliquer à la banque et au juge ce que vous croyiez faire : vous n'avez pas voulu payer, vous avez cru encaisser.

Le point décisif : vous n'avez pas consenti à un paiement

Le code monétaire et financier pose la règle à l'article L. 133-6 : « Une opération de paiement est autorisée si le payeur a donné son consentement à son exécution ». L'article L. 133-7 ajoute qu'« En l'absence d'un tel consentement, l'opération ou la série d'opérations de paiement est réputée non autorisée ». Consentir à un paiement suppose de savoir que l'on paie, à qui et combien. Le vendeur qui saisit sa carte pour être crédité, ou qui transmet un code en croyant débloquer un paiement entrant, ne consent à aucun débit : il est trompé sur la nature même de l'opération.

Des juges l'ont reconnu. Le tribunal judiciaire de Paris a condamné une banque, le 11 janvier 2024 (RG n° 23/02421), à rembourser une cliente qui avait transmis un code en croyant annuler une fraude, en retenant qu'elle avait été « trompée sur la nature de l'opération qu'elle a involontairement autorisée » et que « l'opération réalisée peut être considérée comme une opération de paiement non autorisée ». Il s'agit d'un jugement rendu par défaut, la banque n'ayant pas comparu, et il ne concernait pas une vente en ligne, mais le tribunal s'est fondé sur le détournement de l'instrument de paiement à l'insu de la cliente, et ce raisonnement se transpose au vendeur piégé. La Cour de cassation l'a jugé le 1er juillet 2026 (pourvoi n° 25-13.134), dans une affaire de virements contestés par une société : l'authentification d'une opération ne suffit pas à prouver le consentement à cette opération. Et l'article L. 133-23 le dit expressément : l'utilisation de l'instrument de paiement telle qu'enregistrée « ne suffit pas nécessairement en tant que telle à prouver que l'opération a été autorisée par le payeur ». Une banque qui vous répond que l'opération a été authentifiée, donc autorisée, saute l'étape que la loi lui impose.

La Cour de cassation a aussi fixé, le 4 mars 2026 (pourvoi n° 24-19.588), la limite de ce raisonnement, dans une affaire où le client croyait annuler des virements frauduleux : le juge doit rechercher si le message de validation, qui indiquait clairement un paiement, ne caractérisait pas une négligence grave. Si l'écran ou le SMS indiquait sans ambiguïté un paiement sortant, avec un montant et un bénéficiaire, la banque soutiendra que vous auriez dû comprendre ce que vous validiez. S'il était générique ou tronqué, l'argument faiblit. Si vous avez dicté le code à un interlocuteur sans voir le message, la banque soutiendra que la transmission d'un code à un tiers est en soi une négligence grave, et le débat portera sur les circonstances de la manipulation. D'où l'importance de conserver ces messages, avec leur heure. Ces deux arrêts sont présentés dans notre article la banque est-elle responsable si j'ai moi-même validé le virement après avoir été manipulé ?

Ce que la banque doit faire, et dans quel ordre

Pour une opération non autorisée signalée dans les délais, l'article L. 133-18 impose le remboursement « immédiatement après avoir pris connaissance de l'opération ou après en avoir été informé », « et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant », la seule exception étant le cas où la banque « a de bonnes raisons de soupçonner une fraude de l'utilisateur du service de paiement » « et s'il communique ces raisons par écrit à la Banque de France ». Le 15 octobre 2026, la Cour de justice de l'Union européenne a jugé, dans une affaire où une vendeuse en ligne, contactée par un faux acheteur, avait saisi ses identifiants sur un faux site imitant celui de sa banque, ce qui avait permis à l'escroc de faire un virement validé par un code reçu par SMS, que la banque ne peut pas refuser ce remboursement immédiat au motif d'une négligence grave : elle rembourse, puis réclame les sommes si elle s'estime en mesure de prouver cette négligence. Les banques qui, aujourd'hui encore, opposent un refus immédiat au vendeur piégé appliquent une pratique que cet arrêt juge contraire à la directive ; voyez notre analyse de l'arrêt.

Le débat sur la négligence grave vient ensuite, et il n'est pas gagné d'avance. L'article L. 133-19 IV prévoit que le payeur supporte les pertes s'il « n'a pas satisfait intentionnellement ou par négligence grave aux obligations » prévues aux articles L. 133-16 et L. 133-17, qui lui imposent de préserver la sécurité de ses données et de signaler sans tarder toute utilisation non autorisée. C'est à la banque de le prouver : selon l'article L. 133-23, elle « fournit des éléments afin de prouver la fraude ou la négligence grave commise par l'utilisateur ». Certaines juridictions la retiennent lorsque le client a communiqué à un tiers un code reçu par SMS : le tribunal judiciaire de Paris a ainsi jugé, le 7 novembre 2025 (RG n° 24/05890), dans une affaire de faux conseiller, que les paiements litigieux n'avaient pas été autorisés par le client, mais qu'il avait « par négligence grave donné des éléments d'informations, notamment le code confidentiel », et l'a débouté. À l'inverse, la Cour de cassation a approuvé, le 23 octobre 2024 (pourvoi n° 23-16.267), les juges qui avaient écarté la négligence grave d'un client mis en confiance par un appel affichant le numéro d'une préposée de sa banque. Pour le vendeur, l'argument peut être transposé, avec prudence : l'escroc part d'une annonce réelle, d'un acheteur qui semble réel et d'une page qui reproduit votre propre annonce, et le tout se déroule en quelques minutes. Mais la banque fera valoir que la Cour de cassation a opposé l'appel téléphonique au courriel, qui laisse davantage de temps pour repérer les anomalies : plus vous montrerez la pression du temps et l'imitation du contexte réel, mieux vous serez placé. Les critères de cette négligence grave sont détaillés dans notre article sur la négligence grave. Un dernier point joue parfois en votre faveur : si l'opération a été exécutée sans que la banque exige une authentification forte, vous ne supportez aucune conséquence financière, sauf fraude de votre part.

Ce qu'il faut faire dans l'heure

Faire opposition à la carte dont les données ont été saisies, auprès de votre banque ou du serveur interbancaire d'opposition, et noter le numéro d'enregistrement, qui date votre réaction. L'article L. 133-17 vous impose d'informer la banque « sans tarder, aux fins de blocage de l'instrument ». Si vous avez saisi vos identifiants de banque en ligne, faire bloquer l'accès, changer le mot de passe, révoquer les appareils enregistrés et vérifier qu'aucun bénéficiaire de virement n'a été ajouté.

Signaler et contester par écrit, sur la messagerie sécurisée puis par lettre recommandée : la liste des opérations, la déclaration que vous ne les avez pas autorisées, le récit des faits, et la demande de remboursement au titre de l'article L. 133-18, en visant l'arrêt du 15 octobre 2026. N'écrivez pas que vous avez validé un paiement ; écrivez que vous avez été trompé et que vous croyiez recevoir un paiement. Un modèle de réclamation figure dans notre article sur l'arrêt du 15 octobre 2026.

Conserver tout : la conversation dans l'application, avec le pseudonyme de l'acheteur et l'identifiant de l'annonce, le SMS avec son numéro et son heure, l'adresse exacte du faux site, des captures des pages de saisie, et surtout le texte complet de chaque message ou notification de votre banque, avec l'heure. C'est sur ce texte que se jouera la question de la négligence grave.

Signaler la fraude à la carte sur la plateforme Perceval du ministère de l'Intérieur, qui ne concerne que les paiements par carte sur internet et suppose d'avoir fait opposition et d'être encore en possession de la carte, et transmettre le récépissé à la banque. Déposer plainte, en ligne si votre situation entre dans les cas admis par la plateforme THESEE, qui suppose d'être majeur et de s'identifier par FranceConnect, sinon au commissariat, à la gendarmerie ou par courrier au procureur ; voyez faut-il déposer plainte pour obtenir un remboursement de sa banque ? Transférer le SMS au 33700, signaler le compte de l'acheteur à la plateforme sans supprimer la conversation.

La plateforme est-elle responsable ?

En pratique, non, et il ne faut pas perdre de temps à l'espérer. Pour leur activité d'annonces, les plateformes sont considérées comme des hébergeurs : elles ne répondent pas, en principe, des contenus publiés par leurs utilisateurs tant qu'elles n'en ont pas effectivement connaissance. Et quand la transaction s'est déroulée hors de leurs outils, elles s'estiment hors de cause. Leur rôle utile est ailleurs : supprimer le compte de l'escroc, conserver les données de connexion et répondre aux réquisitions des enquêteurs. C'est pour cela qu'il faut signaler sans supprimer la conversation. Le débiteur du remboursement, c'est la banque.

Et si vous êtes l'acheteur ?

La situation est inverse, et moins favorable. Si vous avez payé un faux vendeur par virement, par une application de paiement entre particuliers ou par coupon, vous avez vous-même ordonné le paiement : l'opération est autorisée, et la banque n'a pas, en principe, à vous rembourser, sauf à engager sa responsabilité si elle n'a pas réagi à une anomalie apparente ou n'a pas correctement vérifié le nom du bénéficiaire ; un virement ne peut plus être révoqué une fois l'ordre reçu par la banque, et le virement instantané est crédité en quelques secondes. Le terrain est alors celui de l'escroquerie, de la plainte et, si l'auteur est identifié, de la constitution de partie civile, comme nous l'expliquons dans notre article sur l'escroquerie. Si vous avez payé par carte un faux commerçant, une contestation auprès de votre banque pour marchandise non reçue est parfois possible, selon les règles du réseau de la carte et dans des délais courts, mais ce n'est pas un droit légal. Si vous avez payé par le paiement sécurisé de la plateforme et que le colis est vide ou non conforme, c'est la procédure de litige de la plateforme qui s'applique : signalez le problème avant l'expiration du délai de confirmation, très court, faute de quoi les fonds sont versés au vendeur. Enfin, si on vous a fait scanner un QR code ou saisir votre carte sur une fausse page de paiement, votre situation est plus proche de celle du vendeur que de celle de l'acheteur qui a fait un virement : vous vouliez payer la plateforme, pas l'escroc. Vous pouvez soutenir que vous n'avez pas consenti à ce paiement-là et demander le remboursement au titre de l'article L. 133-18, mais la banque opposera que vous connaissiez le montant et que vous avez validé un paiement. Le débat est plus serré.

On ne saisit jamais sa carte, ni un code, pour recevoir de l'argent. Celui qui l'a fait n'a pas payé : il a été volé, et la loi oblige sa banque à le rembourser d'abord.

Ce que vous avez fait, et ce que la banque doit

Ce qui s'est passé	Qualification	Ce que la banque doit
Vous avez saisi votre carte ou vos identifiants sur un faux site, l'escroc a fait les paiements	Opération non autorisée	Rembourser immédiatement, au plus tard à la fin du premier jour ouvrable suivant, puis prouver une éventuelle négligence grave devant le juge
Vous avez validé un code en croyant recevoir un paiement	Opération non autorisée : trompé sur la nature de l'opération ; le débat porte ensuite sur le contenu du message de validation	Rembourser, puis, si elle s'estime en mesure de prouver une négligence grave, vous réclamer les sommes, devant le juge si vous refusez
L'opération a été exécutée sans authentification forte	Non autorisée si vous n'y avez pas consenti ; aucune négligence grave ne peut vous être opposée	Rembourser, sauf fraude de votre part
Vous avez vous-même fait un virement à un faux vendeur	Opération autorisée	Rien en principe ; recours contre l'auteur, et devoir de vigilance de la banque dans certains cas
Vous avez expédié l'objet sur la foi d'un faux courriel de paiement	Escroquerie, sans opération bancaire	Rien ; plainte et action contre l'auteur

Ce qu'il ne faut pas faire

Quitter la messagerie de la plateforme, communiquer son numéro de téléphone, et accepter un lien, un QR code ou un paiement par une application extérieure.
Saisir une carte, un identifiant bancaire ou un code pour recevoir de l'argent, quelle que soit la page.
Écrire à la banque que vous avez validé ou autorisé le paiement : décrivez la tromperie.
Attendre la réponse de la plateforme ou de l'acheteur avant de faire opposition et de contester par écrit.
Laisser passer les délais : le signalement se fait sans tarder, et au plus tard dans les treize mois du débit. Une décision isolée de 2024 a même appliqué ce délai à l'action en justice : par prudence, ne tardez pas à assigner.
Effacer les SMS, les notifications et la conversation : ce sont vos preuves, et celles que la banque devra discuter.

Ce qu'il faut faire, dans l'ordre

Faire opposition et bloquer l'accès à la banque en ligne ; noter les numéros d'enregistrement.
Contester par écrit chaque opération comme non autorisée et demander le remboursement sous un jour ouvrable, en visant l'article L. 133-18 et l'arrêt du 15 octobre 2026.
Rassembler les preuves, y compris le texte exact des messages de validation.
Signaler sur Perceval, déposer plainte, transférer le SMS au 33700, signaler le compte à la plateforme.
Si la banque ne rembourse pas le jour ouvrable suivant, la mettre en demeure avec les intérêts majorés prévus par l'article L. 133-18, puis saisir le médiateur, puis le tribunal compétent, si possible avant l'expiration du délai de treize mois.
Si la banque rembourse puis vous réclame les sommes, refuser par écrit et préparer la défense sur le contenu des messages reçus.

Questions fréquentes

J'ai donné le code reçu par SMS : la banque dit que c'est ma faute. Suis-je remboursé ?

Le fait d'avoir transmis un code ne rend pas l'opération autorisée : vous n'avez pas consenti à un paiement, vous croyiez en recevoir un. La banque doit rembourser d'abord. Elle peut ensuite tenter de prouver une négligence grave, et le débat portera sur ce que disait le message qui contenait le code : s'il annonçait clairement un paiement, elle aura un argument ; s'il était générique, son argument sera plus faible. Si vous avez dicté le code au téléphone, elle invoquera la transmission du code à un tiers, et tout dépendra des circonstances.

Ma banque me répond que l'opération a été authentifiée, donc autorisée.

C'est inexact. L'authentification prouve que l'instrument a été utilisé, pas que vous avez consenti ; la Cour de cassation l'a jugé le 1er juillet 2026, et l'article L. 133-23 le disait déjà. Répondez par écrit en demandant à la banque de prouver votre consentement, et non la seule authentification ; notre article sur le virement validé après manipulation détaille ce raisonnement.

Dans quel délai dois-je agir ?

Sans tarder pour le signalement, et au plus tard treize mois après le débit, comme l'explique notre article sur le délai pour contester une opération bancaire frauduleuse. Prudence : une ordonnance du juge de la mise en état du tribunal judiciaire de Paris du 24 octobre 2024 a considéré que ce délai s'appliquait aussi à l'action en justice. La solution est isolée, mais elle invite à ne pas attendre : si la banque refuse, n'attendez pas la fin de la médiation pour envisager d'assigner.

J'ai saisi ma carte sur la fausse page, mais rien n'a encore été débité.

Faites opposition immédiatement : les données seront utilisées, parfois des semaines plus tard, et souvent dans une seconde arnaque au faux conseiller. Conservez la preuve de l'opposition et surveillez vos comptes. Les réflexes selon ce que vous avez saisi sont détaillés dans notre article sur le faux SMS de banque.

Le montant est faible : est-ce que cela vaut la peine ?

Oui. La contestation écrite ne coûte rien, le remboursement est un droit, et c'est précisément ce que la Cour de justice a voulu éviter : obliger la victime à prendre l'initiative d'agir et à en supporter les frais pour être remboursée. L'affaire jugée le 15 octobre 2026 portait sur environ 700 euros.

La plateforme peut-elle me rembourser ?

En principe non, lorsque la transaction s'est déroulée hors de ses outils. Signalez le compte, demandez la conservation des données, et concentrez vos efforts sur la banque et la plainte.

Je vends à titre professionnel : les règles sont-elles les mêmes ?

L'obligation de remboursement immédiat de l'article L. 133-18 s'applique aussi. Mais lorsque vous n'agissez pas comme consommateur, votre convention de compte peut écarter les règles de preuve et de répartition des pertes (article L. 133-2) et fixer un délai de contestation différent des treize mois (article L. 133-24), parfois beaucoup plus court. Lisez-la et agissez vite.

Ai-je besoin d'un avocat ?

Pas pour l'opposition, la contestation écrite et la plainte. L'avocat devient utile dès que la banque refuse, qu'elle vous réclame les sommes après remboursement, ou que le montant justifie une action : la qualification de l'opération et la lecture des messages de validation sont des questions de droit sur lesquelles les banques sont bien armées.

Victime d'un faux acheteur sur une plateforme d'annonces, à Toulouse ou partout en France

Maître Joris Morer, avocat au barreau de Toulouse, intervient pour les vendeurs et acheteurs piégés sur les plateformes d'annonces : contestation des opérations non autorisées, mise en demeure de la banque, médiation, assignation devant le tribunal judiciaire, défense lorsque la banque invoque la négligence grave, dépôt de plainte et constitution de partie civile contre l'auteur.

Munissez-vous de la conversation avec l'acheteur, du SMS ou du courriel reçu, des captures des pages de saisie, des messages et notifications de votre banque, de vos relevés, du numéro d'opposition, des récépissés Perceval et de plainte, et de la réponse écrite de la banque.

Pour joindre le cabinet : Cabinet Morer, 22 rue Sainte-Anne, 31000 Toulouse — 05 61 55 45 08 — urgences 24h/24 : 06 23 36 88 03 — cabinet@morer-avocat.com.

CABINET D'AVOCAT TOULOUSE
JORIS MORER