Réponse rapide
Une plateforme ne paie jamais un vendeur via un lien fourni par l'acheteur. Si quelqu'un vous envoie un lien pour recevoir de l'argent et que la page demande votre numéro de carte, sa date d'expiration ou le cryptogramme, c'est un vol : on ne reçoit pas d'argent en saisissant des données de carte, on autorise un paiement.
Cette arnaque vise les vendeurs et non les acheteurs, ce qui explique sa longévité. L'acheteur est aimable, accepte le prix sans négocier et ne peut pas venir en personne : un proche viendra, ou un transporteur, ou il est « dans une autre ville ». Puis, au lieu de payer à la livraison, il envoie un lien : une page copiant le design de la plateforme, intitulée « paiement sécurisé », où le vendeur doit saisir ses données bancaires pour recevoir l'argent.
La logique est inversée à dessein. Recevoir un virement ne demande qu'un IBAN. Le numéro de carte, la date d'expiration et le cryptogramme se saisissent quand on paie soi-même.
Le scénario, ligne par ligne
- Le contact passe par la messagerie de la plateforme puis bascule sur WhatsApp ou Telegram « parce que c'est plus rapide ».
- Le prix est accepté sans négociation et la remise est organisée pour éviter toute rencontre.
- Un lien arrive : « saisissez vos données de carte pour que le transporteur vous vire l'argent à l'arrivée ».
- La page affiche une erreur crédible — « carte refusée, essayez-en une autre » — c'est ainsi qu'une seconde carte est collectée, souvent dans le même foyer.
- Une fois la carte autorisée, la somme part en un ou plusieurs petits paiements à distance, avant la suppression de l'annonce et la fermeture de la discussion.
À quoi ressemble un vrai parcours de plateforme
- L'argent arrive via le séquestre ou le « paiement protégé » de la plateforme, visible sur votre compte, ou par un virement ordinaire sur votre IBAN.
- L'acheteur n'a jamais besoin de vos données de carte, et la plateforme n'envoie pas de liens séparés par transaction.
- Le paiement à la livraison ou en espèces à la remise reste normal sur les marketplaces — et c'est ce que propose un vrai acheteur.
- Une offre qui exige soudain votre carte est un changement de sens : vos données ne doivent aller que vers un marchand que vous avez choisi.
Vérifier le lien en dix secondes
Collez le lien dans le vérificateur BaitScan au lieu de l'ouvrir : il résout la destination réelle, signale les schémas qui imitent un domaine de marketplace ou de transporteur et indique si la page réclame des données de carte ou de connexion. Il s'exécute dans votre navigateur : le lien ne nous est pas transmis.
- Le domaine est à un caractère du vrai, ou ajoute un mot : `olx-pay`, `olxsecure`, `olx.ro-livrare.com`.
- Il n'y a pas de cadenas https, ou le cadenas est présent mais le domaine est faux : un cadenas prouve le chiffrement, pas la propriété.
- La page n'a aucune navigation : pas de catégories, pas d'aide, pas de conditions. Les vraies marketplaces sont des sites complets ; les pages frauduleuses, un formulaire sur une page vide.
- Un compte à rebours ou « lien valable 5 minutes ». Un vrai parcours de paiement n'expire pas pour faire pression.
Si vous avez déjà saisi la carte
- Bloquez la carte dans votre application bancaire, puis appelez la banque pour une opposition avec remplacement.
- Contestez les opérations le jour même en précisant que les données ont été saisies sur une page de paiement frauduleuse.
- Si vous avez saisi votre mot de passe de marketplace sur la même page, changez-le immédiatement et déconnectez toutes les sessions : ces identifiants se revendent séparément de la carte.
- Conservez la discussion et le lien : c'est la preuve que votre banque demandera et ce dont la plateforme a besoin pour fermer le compte.
- Signalez l'annonce et l'utilisateur dans la plateforme, puis bloquez le numéro.
Questions fréquentes
Les questions les plus posées à propos de cet article, avec une réponse directe.
Un acheteur peut-il m'envoyer de l'argent sans mes données de carte ?
Oui, c'est le cas normal : un virement nécessite votre IBAN, un séquestre votre compte sur la plateforme. Les données de carte ne servent qu'à retirer de l'argent, jamais à en déposer.
La page avait un cadenas https valide et semblait officielle. Est-elle sûre ?
Non. Un certificat est délivré automatiquement et prouve seulement que la connexion est chiffrée vers ce domaine. Il ne dit rien du propriétaire du domaine, ce qu'un domaine imitation ne peut pas franchir.
J'ai aussi donné mon nom, mon téléphone et mon adresse. Et ensuite ?
Attendez-vous à des appels et messages ciblés avec ces informations et traitez toute suite mentionnant l'annonce comme la même opération. Ne confirmez aucun code et vérifiez les numéros entrants avec le vérificateur de téléphone.
Pourquoi insistent-ils pour WhatsApp plutôt que la messagerie de la plateforme ?
Pour sortir la conversation de la modération et de la conservation de la plateforme. Une discussion qu'ils contrôlent n'a pas de bouton de signalement et ne peut pas être transmise à l'équipe anti-fraude.
Écrit par L'équipe éditoriale BaitScan
Les résultats sont des estimations de risque automatisées fondées sur des indicateurs publics et des heuristiques.