Le mécanisme est aussi simple que redoutable : ce lien envoyé par un « acheteur » pressé n’est pas un lien pour recevoir de l’argent, mais un lien pour en envoyer. En validant l’opération via itsme, la victime authentifie en réalité un virement instantané sortant de son propre compte, souvent vers un compte à l’étranger, difficile à récupérer. Les 240 euros espérés se transforment en 240 euros envolés, et parfois bien plus si l’escroc a eu accès à d’autres comptes liés.
À retenir
- Pourquoi un simple clic sur un lien peut vider instantanément votre compte bancaire
- Le piège qui fonctionne depuis des années : comment les escrocs détournent votre confiance en itsme
- Plus de 900 victimes en 2020 pour 435.000 euros : l’ampleur cachée d’une arnaque qui s’accélère
Le vélo, appât parfait pour les faux acheteurs
Les vélos, surtout électriques, sont devenus une cible de choix sur les plateformes de seconde main. Le montant en jeu change la donne : la différence, c’est le montant en jeu, là où un vieux vélo de ville se négocie pour quelques dizaines d’euros, un VAE part souvent pour plusieurs centaines, voire plusieurs milliers d’euros, et c’est précisément ce qui rend intéressant aux yeux des escrocs. La police belge alerte depuis des années sur ce type de fraude au paiement, un « acheteur » qui demande de payer un petit montant ou de fournir ses informations personnelles « pour vérification ».
Le scénario suit toujours le même canevas. Un acheteur répond en quelques minutes à l’annonce, propose parfois un peu plus que le prix demandé, puis prétend ne pas pouvoir se déplacer. Il invoque une livraison via un transporteur, ou, de plus en plus souvent, un lien de paiement sécurisé censé transférer l’argent directement sur le compte du vendeur. Le SPF Économie a documenté un cas quasi identique : une personne s’est dite intéressée pour un produit vendu sur Facebook Marketplace, prête à offrir davantage, mais ne pouvant venir le chercher, demandant de l’envoyer via un service de livraison. Résultat, l’arnaqueur a fait intrusion sur le compte bancaire, un virement interne du compte épargne vers le compte courant, et a vidé la totalité des deux comptes, ruinant quatre ans d’économie et de travail. Ce n’est pas une exception isolée : selon les plaintes déposées au SPF économie, près de 900 personnes ont été détroussées de cette manière en 2020, pour un montant total de 435.000 euros.
Pourquoi itsme ne protège pas contre ce type de piège
Voilà le malentendu qui coûte cher. itsme sert à prouver que c’est bien vous qui validez une opération, pas à vérifier que cette opération est dans votre intérêt. Quand une victime clique sur le fameux lien puis confirme via l’application, elle authentifie en réalité un ordre de virement préparé par l’escroc, souvent maquillé pour ressembler à une simple confirmation de réception de fonds. L’app fait exactement ce qu’on lui demande : certifier une identité, pas juger une transaction.
Les autorités belges multiplient les mises en garde sur les usurpations du nom itsme. Le Centre pour la Cybersécurité Belgique, via son site Safeonweb, a récemment détaillé une campagne où un message confirme d’abord l’ajout d’un appareil à la liste d’équipements de confiance, puis annonce qu’un virement de plus de 2000 euros a été enregistré, avant d’inviter à contacter un numéro de téléphone belge, ce qui est en réalité une arnaque. Autre variante recensée cet été : des fraudeurs se font passer pour Card Stop ou itsme et prétendent qu’une opération suspecte menace le compte, alors que ces services ne contactent jamais spontanément un client pour lui demander de valider une opération. L’ampleur du phénomène donne le tournis : plus de 3,6 millions de cas d’hameçonnage ont été signalés par des Belges au cours des trois premiers mois de 2026, soit plus de 40.000 par jour, selon le Centre pour la cybersécurité en Belgique. De quoi relativiser l’idée qu’on n’est jamais la cible, vu le volume de tentatives qui circulent chaque jour dans le pays.
Les signaux qui doivent faire tiquer, et les bons réflexes
Certains indices trahissent presque toujours la manœuvre avant même le clic fatal. Une réponse anormalement rapide à l’annonce, une offre légèrement supérieure au prix demandé, un acheteur qui refuse tout contact vocal ou toute rencontre physique et qui pousse vers un lien externe : « si ce n’est la rapidité de la réaction à votre offre, c’est un premier indice », résumait déjà un porte-parole du SPF Économie. Les banques belges elles-mêmes recommandent une règle simple mais souvent oubliée sous la pression du moment : ne jamais cliquer sur un lien envoyé par un acheteur ou un vendeur, quel que soit le prétexte invoqué.
Si le mal est déjà fait, chaque minute compte. Il faut contacter immédiatement sa banque ou Card Stop pour bloquer les moyens de paiement, tenter de faire opposition au virement (les chances de récupération diminuent très vite passé les premières heures), puis déposer plainte auprès de la police et signaler les faits au SPF Économie ou via le point de contact belge contre la fraude en ligne. Conserver systématiquement les échanges de messages avec l’acheteur, captures d’écran à l’appui, aide grandement l’enquête, même si la traçabilité des fonds vers l’étranger complique souvent les poursuites.
Un détail mérite d’être connu : dans plusieurs témoignages recueillis par les autorités, l’arnaque ne s’arrête pas au premier compte visé. Une fois dans la place, l’escroc peut effectuer un virement interne entre l’épargne et le compte courant avant de tout transférer, une manœuvre qui explique pourquoi certaines victimes perdent bien plus que le montant initial de la vente. Séparer ses comptes ou limiter les plafonds de virement instantané sur son application bancaire reste, à ce jour, l’une des rares parades concrètes contre ce genre de scénario.
Sources : news.economie.fgov.be | safeonweb.be | rtbf.be