Arnaque à la location de vacances : repérer les fausses annonces

Une maison avec piscine à deux pas de la mer, en plein mois d’août, à un prix bien plus bas que tout ce que vous avez vu. Le propriétaire est charmant, répond vite et vous demande un acompte pour bloquer les dates. Quelques semaines plus tard, il ne répond plus. Parfois, la victime ne découvre l’arnaque qu’en arrivant sur place, devant une maison habitée par d’autres, ou une adresse qui n’existe pas.

Location de vacances proposée par une fausse annonce

Comment fonctionne l’arnaque

L’escroc publie une annonce sur un site de petites annonces, un groupe Facebook ou une copie d’une plateforme de location connue. Les photos sont volées sur une vraie annonce ou sur le site d’une agence. Le prix est attractif sans être absurde, pour paraître crédible. Les échanges sont rapidement déplacés vers l’e-mail ou WhatsApp, puis l’escroc réclame un acompte, souvent 25 à 50 % du séjour, par virement, mandat ou coupon.

Variante répandue : la fausse plateforme. Le « propriétaire » vous propose de réserver par Airbnb ou Abritel « pour votre sécurité », mais vous envoie un lien vers une copie du site. La page de paiement est fausse, et votre argent part directement chez l’escroc.

Cette arnaque est rarement le fait de grandes organisations. Ce sont souvent des individus qui répètent le même scénario avec plusieurs familles pour les mêmes dates. Une seule annonce peut ainsi rapporter plusieurs milliers d’euros en quelques semaines. Elle se décline aussi en hiver pour les stations de ski, et à la rentrée pour les logements étudiants.

Les signaux d’alerte

  • un prix nettement inférieur à celui des locations comparables, à la même période et dans le même secteur ;
  • un propriétaire qui ne peut pas faire visiter, parce qu’il vit à l’étranger, est en mission ou vient d’hériter du bien ;
  • une demande de quitter la plateforme pour discuter et payer ;
  • un paiement par virement à l’étranger, mandat cash, coupons ou cryptomonnaies ;
  • une pression sur le délai : « d’autres familles sont intéressées, il faut verser l’acompte aujourd’hui » ;
  • un lien de paiement envoyé par e-mail, dont l’adresse ne correspond pas exactement au site officiel.

Les vérifications à faire avant de verser quoi que ce soit

**Recherchez les photos.** Une recherche par image (Google Images ou un service équivalent) montre souvent la même maison sur une autre annonce, dans une autre ville ou sous un autre nom. Notre page Qui est-ce ? explique la méthode, utilisée aussi pour les faux profils.

**Vérifiez l’adresse.** Demandez l’adresse exacte et regardez-la sur une vue des rues en ligne. La façade, la piscine, la vue doivent correspondre aux photos.

**Demandez un appel vidéo depuis le logement.** Un vrai propriétaire peut vous montrer les lieux en direct ou vous mettre en relation avec une personne sur place. Un escroc trouvera toujours une excuse.

**Restez sur la plateforme.** Les sites de location sérieux encaissent le paiement et ne le versent au propriétaire qu’après votre arrivée. C’est votre meilleure protection : si l’on vous propose de payer en dehors, refusez.

**Exigez un contrat.** Une location saisonnière se fait avec un contrat écrit, qui précise l’adresse, les dates, le prix, l’acompte et les conditions d’annulation. Pour un meublé de tourisme, l’annonce doit en principe mentionner un numéro d’enregistrement délivré par la mairie dans de nombreuses communes. Vous pouvez demander à la mairie s’il correspond au bien.

Si vous avez payé

Contactez votre banque immédiatement. Pour un virement, demandez un rappel des fonds : c’est rarement possible au-delà de quelques heures, mais cela vaut la peine d’essayer. Pour un paiement par carte, une contestation est possible. Gardez l’annonce, les échanges et les preuves de paiement, signalez l’annonce à la plateforme, puis portez plainte, en ligne ou au commissariat (voir notre article Comment porter plainte après une arnaque sur internet).

Les autres pièges des annonces entre particuliers sont décrits sur notre page consacrée aux arnaques aux petites annonces. Si une annonce de location vous paraît suspecte, partagez-la en commentaire : d’autres vacanciers ont peut-être reçu la même.

Les arnaques les plus grossières sont plus les efficaces

Article publié en 2012 : les chiffres et les services cités ont pu évoluer depuis. Pour une information à jour, consultez notre page Arnaque sur le web.

Un chercheur de Microsoft a récemment publié une étude sur les tentatives arnaques par e-mails (scam en anglais) : Les histoires les plus farfelues sont les plus efficaces et donnent de meilleurs résultats !

Plus c’est gros, plus ça marche ! On pourrait dire que c’est la conclusion en une phrase de l’étude de Cormac Herley. Cette étude, très mathématique, explique que les e-mails écrits dans un français approximatif et sentant l’arnaque à plein nez sont pourtant les plus efficaces !

pièges efficaces

En effet, si les escrocs peaufinaient leurs e-mails en soignant l’orthographe et en faisant état d’un récit moins alambiqué, ils toucheraient sans doute plus de monde dans une première phase. Mais le travail qui les attend alors serait décuplé, pour que finalement de nombreuses « touches » se révèlent infructueuses, car ayant senti l’arnaque entre-temps.

Avec des histoires truffées de fautes d’orthographe promettant héritages incroyables ou gains faramineux à une loterie sur internet, les escrocs ne reçoivent que peu de réponses, mais ces réponses sont plus susceptibles d’aboutir à une arnaque. Par ce biais, ils évitent d’avoir à traiter de nombreuses réponses et peuvent ainsi se consacrer davantage à tenter d’escroquer les quelques curieux ayant répondu.

Les escrocs n’ont pas de temps à perdre. L’efficacité est un objectif ! Seuls les internautes les plus intéressés répondent à ces e-mails. Pour un escroc, un internaute qui répond est déjà à moitié tombé dans l’arnaque. Il ne reste « plus » qu’à conclure l’escroquerie avec un peu de discours bien ficelés dont les escrocs sont devenus les maitres.

Encore une fois, on le dit sur notre site depuis longtemps, les héritages venant d’inconnus ou les gains providentiels sur internet sont des arnaques ! N’envoyez jamais d’argent à une personne sur le net que cela soit pour l’aider ou pour avancer de frais, ce sont des arnaques !

3D Secure et validation des paiements : comment les escrocs la contournent

Quand nous avons publié la première version de cet article en 2012, la question était de savoir s’il fallait généraliser 3D Secure, ce code reçu par SMS pour valider un achat en ligne. Seuls 13 % des commerçants français l’utilisaient alors. Depuis, la question est réglée : la validation renforcée est devenue obligatoire dans toute l’Europe. Mais les escrocs ont adapté leurs méthodes, et c’est désormais la victime elle-même qu’ils poussent à valider le paiement.

Validation 3D Secure lors d'un paiement en ligne

Comment fonctionne 3D Secure aujourd’hui

3D Secure est le protocole qui permet à votre banque de vérifier que c’est bien vous qui payez. Visa l’appelle « Visa Secure », Mastercard « Mastercard Identity Check ». Depuis la directive européenne sur les services de paiement (DSP2), entrée pleinement en application en France en 2021, la plupart des paiements en ligne doivent passer par une **authentification forte**. Il faut en combiner deux éléments parmi trois :

  • quelque chose que vous possédez (votre téléphone, sur lequel est installée l’application bancaire) ;
  • quelque chose que vous savez (un code secret) ;
  • quelque chose que vous êtes (empreinte digitale, reconnaissance du visage).

En pratique, le code reçu par SMS a été largement remplacé par une notification dans l’application de votre banque. Vous l’ouvrez, vous vérifiez le montant et le nom du commerçant, puis vous validez avec votre code ou votre empreinte.

Certains paiements en sont dispensés : les petits montants (moins de 30 € environ, dans une certaine limite cumulée), les abonnements après le premier paiement, ou les commerçants que vous avez enregistrés comme « de confiance ». C’est pourquoi un achat peut parfois passer sans validation.

Pourquoi cela a fonctionné

Avec un simple numéro de carte volé, un escroc ne peut plus faire grand-chose sur un site européen : il lui manque votre téléphone. La fraude « classique » sur internet, celle qui utilisait des numéros de carte piratés en masse, a nettement baissé avec l’authentification forte. Les escrocs se sont tournés vers des sites hors d’Europe, où ces règles ne s’appliquent pas, et surtout vers une autre méthode.

Le contournement : vous faire valider à leur place

Puisque la validation vient de votre téléphone, l’escroc doit obtenir que vous la donniez vous-même. C’est tout le principe de l’arnaque au faux conseiller bancaire, la plus répandue aujourd’hui :

  1. Un premier message (faux colis, faux remboursement, fausse amende) récupère votre numéro de carte.
  2. Peu après, vous recevez un appel de votre « banque ». Le numéro affiché peut être celui de votre agence, car il est falsifié. L’interlocuteur connaît votre nom et parfois vos dernières opérations.
  3. Il vous annonce un paiement suspect en cours et vous demande de valider une notification « pour l’annuler » ou « pour sécuriser votre compte ».
  4. En réalité, vous validez le paiement de l’escroc.

Une variante consiste à vous faire ajouter votre carte dans un portefeuille de paiement (Apple Pay, Google Pay) sur le téléphone de l’escroc, sous prétexte d’une « carte de remplacement ».

Les réflexes à garder

  • **Lisez toujours la notification.** Elle indique le montant et le commerçant. Si ce n’est pas l’achat que vous êtes en train de faire, refusez.
  • **Une validation ne sert jamais à annuler un paiement.** Aucune banque ne vous demande de valider une opération pour la bloquer.
  • **Ne communiquez aucun code reçu par SMS**, même à quelqu’un qui se présente comme votre conseiller, la police ou le service des fraudes.
  • **En cas d’appel suspect, raccrochez** et rappelez votre banque vous-même, avec le numéro inscrit au dos de votre carte ou dans l’application.

Si vous avez validé un paiement frauduleux

Faites opposition immédiatement, puis contestez l’opération par écrit auprès de votre banque. Elle invoquera peut-être votre « négligence grave », puisque vous avez validé. Ce n’est pas automatique : la loi impose à la banque de prouver cette négligence, et le seul fait que l’opération ait été authentifiée ne suffit pas. Notre article sur le remboursement d’un paiement non autorisé détaille vos droits et les recours possibles, jusqu’au médiateur.