Faux paiement Wero : le SMS qui piège vendeurs et loueurs

Un faux client propose Wero, puis déplace la discussion vers un lien

Le 15 septembre 2026, un signalement déposé sur Stop Arnaque décrit une scène très concrète. Une personne loue un bien pour les vacances. Un prétendu client explique qu'il veut payer avec Wero, le service de paiement instantané qui a remplacé Paylib dans plusieurs banques françaises. La demande paraît crédible, car beaucoup de particuliers découvrent encore ce moyen de paiement dans leur application bancaire.

La suite change tout. D'après ce signalement interne, le prétendu client envoie un SMS contenant un lien vers un faux parcours de paiement. Il relance ensuite la victime potentielle avec un ton familier et pressant. La personne essaie d'ouvrir le lien, constate que cela ne fonctionne pas, doute, puis l'échange s'arrête. Aucun paiement n'est confirmé dans ce signalement. C'est important de le dire clairement.

Ce cas n'accuse pas Wero. Il montre une méthode classique : les escrocs empruntent le nom d'un service connu pour faire accepter un geste risqué. Ici, le geste risqué n'est pas le mot Wero. C'est le lien reçu par SMS, hors de l'application bancaire habituelle.

Ce que Wero dit officiellement sur son fonctionnement

Sur sa page officielle en français, Wero présente son service comme un paiement mobile instantané. Le site indique qu'un paiement peut se faire avec un numéro de téléphone ou un QR code, depuis l'application bancaire ou l'application Wero. La même page précise que l'argent est envoyé en moins de 10 secondes, et que l'utilisateur doit choisir quelqu'un à payer, entrer un montant, écrire un message puis valider l'envoi.

Wero indique aussi que le service sert à envoyer et recevoir de l'argent avec une personne que vous connaissez et en qui vous avez confiance, à condition qu'elle possède un compte dans une banque partenaire en France, en Allemagne ou en Belgique. Cette phrase est utile pour comprendre le piège. Un inconnu qui vous pousse à cliquer sur un lien, au lieu de vous laisser vérifier dans votre application bancaire, sort déjà du cadre rassurant.

Un paiement entre proches peut être simple. Une vente ou une location entre inconnus demande plus de prudence. Le nom d'un service de paiement ne remplace jamais la vérification du canal utilisé.

Pourquoi le SMS rend le piège plus crédible

Cybermalveillance.gouv.fr décrit le smishing comme un hameçonnage par SMS. Dans son article publié le 13 juin 2023 et mis à jour le 21 février 2025, l'organisme explique que ces messages usurpent souvent l'identité d'une administration, d'une banque, d'un service de livraison ou d'un service en ligne. Le but est d'obtenir des données personnelles, des données bancaires, des identifiants, ou parfois de faire installer une application malveillante.

Le même article explique pourquoi le SMS fonctionne bien pour les escrocs. Un message court laisse peu d'indices. Sur téléphone, l'adresse d'un site est parfois tronquée. Le lecteur agit vite, parce que le SMS arrive dans un canal très personnel. C'est exactement le terrain que recherche un faux client : il veut vous faire quitter la réflexion normale d'une transaction.

Dans un contexte de location ou de vente entre particuliers, la pression vient souvent d'une phrase simple : « je vous paie tout de suite ». Cette promesse donne envie de conclure. Elle peut aussi empêcher de vérifier.

La mécanique : faire croire que recevoir de l'argent exige d'obéir

Dans une transaction normale, recevoir de l'argent ne devrait pas vous obliger à communiquer vos identifiants bancaires, votre code de sécurité, votre mot de passe ou une copie de carte. Pourtant, le faux parcours cherche souvent à inverser les rôles. L'escroc affirme qu'il a payé, puis il demande au vendeur ou au loueur de confirmer, d'activer, de débloquer ou de saisir des informations.

Le piège est psychologique. Vous pensez vérifier un encaissement. En réalité, vous êtes peut-être en train de donner l'accès à un compte, d'autoriser une opération ou de transmettre des données réutilisables. Le vocabulaire change selon le scénario : validation, réception, sécurisation, assurance, authentification, mise à jour. Le ressort reste le même.

Il faut donc garder une règle simple. Si un inconnu vous envoie un lien pour recevoir un paiement, ne partez pas de l'idée que le lien est utile. Partez de l'idée qu'il doit être prouvé. Le bon endroit pour vérifier un paiement est votre application bancaire habituelle, ouverte par vous-même, pas une page reçue dans un SMS.

Les signaux qui doivent faire ralentir

Un seul signe ne prouve pas toujours l'arnaque. Plusieurs signes ensemble doivent suffire à interrompre l'échange. Dans le signalement reçu le 15 septembre 2026, le doute est venu du lien, des relances et du décalage entre la promesse de paiement simple et le parcours demandé. C'est souvent ainsi qu'une victime potentielle reprend la main.

• Le prétendu acheteur insiste pour utiliser un lien reçu par SMS.
• Il refuse de suivre le canal normal de votre banque ou de votre plateforme de réservation.
• Il crée de l'urgence alors que la transaction peut attendre quelques minutes.
• Il vous demande de confirmer une réception d'argent avec des données sensibles.
• Il minimise vos doutes avec des phrases familières ou moqueuses.
• L'adresse du site ne correspond pas clairement au service officiel annoncé.
• La page demande une carte bancaire alors que vous êtes censé recevoir de l'argent.

Si vous voyez un de ces signaux, vous n'avez pas à vous justifier. Vous pouvez répondre : « je vérifie uniquement depuis mon application bancaire, sans cliquer sur un lien reçu par SMS ».

Vendeur, loueur, particulier : le réflexe de vérification

Avant de cliquer, ouvrez vous-même votre application bancaire. Ne passez pas par le lien. Regardez si le service Wero est bien activé, si une demande apparaît réellement, et si le paiement attendu est visible dans l'environnement que vous connaissez. Si vous ne trouvez rien, demandez conseil à votre banque par le canal officiel déjà enregistré dans vos contacts ou dans votre espace client.

Si la transaction passe par une plateforme de location ou de petites annonces, gardez aussi la messagerie de la plateforme. Un escroc essaie souvent de vous faire sortir de l'espace sécurisé. Il peut prétendre que c'est plus rapide, plus simple ou moins cher. Ce détour lui permet surtout d'imposer ses règles.

Ne transmettez pas de code reçu par SMS. Ne filmez pas votre écran. Ne partagez pas d'identifiants. Ne saisissez pas votre carte sur une page dont le seul point d'entrée est un message envoyé par un inconnu. Ces règles ne ralentissent pas une vraie transaction. Elles arrêtent surtout les mauvaises.

Si vous avez cliqué mais rien payé

Cliquer ne veut pas dire que tout est perdu. Ne vous jugez pas. Les escrocs conçoivent ces messages pour provoquer un geste rapide. Fermez la page. N'installez aucune application proposée par le site. Cybermalveillance.gouv.fr explique que certains SMS frauduleux peuvent pousser à installer une application ou une fausse mise à jour, avec un risque de prise de contrôle ou de vol de données.

Changez les mots de passe des comptes saisis sur la page, si vous en avez saisi. Activez la double authentification quand c'est possible. Surveillez vos comptes bancaires. Si vous avez entré des données de carte ou des identifiants bancaires, contactez votre banque immédiatement par son canal officiel. Service-Public rappelle, dans sa fiche sur l'escroquerie vérifiée le 28 mai 2025, qu'une victime doit alerter immédiatement sa banque en cas d'escroquerie impliquant un paiement ou des données bancaires.

Gardez aussi le SMS, l'adresse du site, les captures d'écran et les messages de l'acheteur. Ces éléments serviront si vous devez signaler ou déposer plainte.

Si de l'argent est parti ou si vos données bancaires ont été données

Commencez par la banque. Demandez l'opposition si votre carte ou vos données de carte ont été utilisées. Demandez aussi quelles contestations sont possibles selon le moyen de paiement. Service-Public indique que Perceval sert au signalement d'une fraude à la carte bancaire, et précise que cette démarche est généralement demandée par les banques pour prouver que la gendarmerie spécialisée a été prévenue.

Pour une escroquerie en ligne, Service-Public indique aussi que THESEE peut être utilisé pour savoir si vous pouvez déposer plainte en ligne. La page « Porter plainte », vérifiée le 8 juillet 2026, cite notamment le phishing, les faux sites commerciaux et les escroqueries à la petite annonce parmi les cas prévus pour THESEE. L'utilisation de THESEE est recommandée, mais Service-Public précise qu'elle n'est pas obligatoire.

Si le message est un SMS frauduleux, le 33700 recommande de ne pas faire ce qui est indiqué dans le message en cas de suspicion de smishing, puis de signaler le SMS via la plateforme. Ce signalement aide les opérateurs à agir sur les numéros utilisés.

Ce qu'il ne faut pas conclure trop vite

Il serait injuste et inutile de dire que tout paiement instantané est dangereux. Ce n'est pas le sujet. Le risque vient du contexte : un inconnu, une pression, un lien, une page que vous n'avez pas cherchée vous-même, et parfois une demande de données qui n'a aucun sens pour recevoir de l'argent.

Il ne faut pas non plus se moquer d'une personne qui a cliqué. Le SMS arrive sur un téléphone personnel. Le scénario parle d'argent que l'on attend. L'acheteur paraît motivé. Le vocabulaire est familier. Tout est fait pour réduire le temps de réflexion. Se faire piéger n'est pas une question d'intelligence.

La bonne réaction est plus simple : ralentir, vérifier par un canal indépendant, conserver les preuves, puis signaler. Ce réflexe vaut pour Wero, pour un virement, pour une plateforme de paiement et pour toute nouveauté bancaire dont les escrocs essaient de profiter.

Le plan à garder avant d'accepter un paiement d'un inconnu

Avant une location, une vente ou une réservation, fixez votre règle à l'avance. Vous n'acceptez pas de lien reçu par SMS pour recevoir de l'argent. Vous vérifiez uniquement depuis votre application bancaire, la plateforme de vente, ou un site officiel que vous ouvrez vous-même. Vous refusez toute demande de code, de mot de passe, de partage d'écran ou de carte bancaire quand vous êtes censé encaisser.

Si l'acheteur est réel, il peut attendre cette vérification. S'il disparaît dès que vous refusez le lien, vous n'avez probablement pas perdu une vente. Vous avez évité un problème. C'est frustrant, mais c'est beaucoup moins coûteux qu'une opposition, une plainte et des semaines d'inquiétude.

Le signalement du 15 septembre montre surtout une chose positive : le doute peut arriver à temps. Il suffit parfois d'une phrase, d'un lien étrange ou d'une relance trop pressante pour reprendre le contrôle. Écoutez ce doute. Il est souvent votre meilleure protection.