Vinted: les cagnottes de centaines d'utilisateurs dérobées après une vague d'arnaques

Depuis plusieurs jours, les témoignages de clients du site de vente de produits de seconde main se multiplient concernant des affaires de piratage.

Une cagnotte Vinted remplie par les ventes effectuées et qui disparaît du jour au lendemain. C’est l’expérience peu plaisante qu’ont vécue ces derniers jours de nombreux utilisateurs de la plateforme de vente de seconde main lituanienne.

"Nous avons récemment bloqué l'accès aux comptes de plusieurs de nos membres, en raison d'un incident au cours duquel un accès frauduleux à ces comptes a été constaté", a déclaré vendredi à l'AFP un porte-parole de l'entreprise lituanienne à l'AFP. Selon les informations du Parisien, plusieurs centaines de personnes seraient concernées par ce piratage élaboré via une demande de changement de coordonnées, par SMS ou appel téléphonique. 

La cagnotte (ou "porte-monnaie") de Vinted, permet normalement aux membres de récupérer de manière sécurisée le fruit de leurs ventes et de pouvoir acheter avec ce même pactole. S’ils le souhaitent, les utilisateurs peuvent également transférer le montant de leur cagnotte sur leur compte bancaire. 

Jusqu'à 800 euros volés

Les cybercriminels n’ont ainsi pas procédé à un piratage "de masse" mais ce sont surtout concentrés sur les cagnottes très fournie, avec parfois plus de 800 euros collectés sur une seule et même cagnotte. Et le piratage ne se concentre pas qu’en France, où Vinted possède une large partie de sa clientèle, mais également en Espagne ou en Italie.

Certains utilisateurs ont toutefois reçu des SMS, mails ou appels les informant qu’un changement de coordonnées était en cours sur leur compte. Mais pensant à une arnaque ou à un phishing, beaucoup n’ont pas réagi.

D’autres n’ont même pas pu se rendre compte de l’arnaque en cours puisque les pirates ont directement changé le RIB associé au compte, une manœuvre qui ne nécessite aucune approbation par mail ou SMS, pour récupérer l’argent plus tard.

"Les informations de connexion utilisées (identifiants, mots de passe, …) ont été obtenues à partir de données consultées ailleurs en dehors de la plateforme et non liées à Vinted", s'est défendue vendredi la plateforme auprès de l'AFP. "En outre, nous pouvons confirmer que les détails de carte bancaire ne sont pas visibles dans leur intégralité en cas d'accès au compte".

Comptes bloqués

Pour empêcher les utilisateurs piratés de réagir à leur tour, les cybercriminels ont aussi réussi à faire bloquer leur compte par Vinted, en publiant du contenu pornographique sur le compte.

En plus des cagnottes, des pirates ont également réussi à récupérer les coordonnées bancaires de certains membres. Selon des captures d’écran fournies par des victimes au Parisien, l’argent dérobé aurait été envoyé en Allemagne, en Irlande ou encore au Luxembourg. Vinted indique désormais un message inhabituel lorsque les utilisateurs tentent de récupérer leur cagnotte. 

"Il se peut que les transferts vers un compte bancaire prennent plus de temps que d’habitude. Nous sommes désolés pour ce désagrément."

Les victimes "seront éligibles à une indemnisation en cas d'argent perdu sur leur porte-monnaie Vinted", a-t-elle encore déclaré sans préciser le nombre de membres touchés ni évaluer le préjudice. Fondée en 2008 en Lituanie, l'entreprise emploie 1.500 salariés et sa plateforme compte plus de 65 millions d'utilisateurs, selon des chiffres de juin 2022.

Julie Ragot