# Les dix arnaques qui visent les e-commerçants (et non leurs clients), et comment les repérer
> Hameçonnage avec de faux e-mails Stripe, arnaques au trop-perçu, fraude fournisseur, faux courriers de renouvellement de domaine. Les arnaques qui vous visent vous, pas vos acheteurs, et comment les bonnes bases de sécurité en arrêtent la plupart.
Ryan Badger - 28 septembre 2025 - 8 min de lecture
## Des arnaques qui visent le commerçant, pas la carte
L'article précédent traitait de la [fraude sur les transactions : cartes volées, rétrofacturations, tests de cartes](https://v3.shoprocket.io/fr/blog/fraude-ecommerce-huit-types-et-comment-les-eviter.md). Celui-ci traite de l'autre côté : les arnaques qui vous visent directement, vous, le propriétaire de la boutique. Des e-mails d'hameçonnage qui se font passer pour Stripe. De faux « clients » qui tentent d'obtenir des remboursements par manipulation. Des fournisseurs qui prennent votre argent et disparaissent. Des arnaques au renouvellement de domaine par courrier.
La plupart sont rudimentaires. Elles marchent parce que tenir une boutique, c'est être occupé, et que l'e-mail frauduleux arrive un mardi après-midi, quand vous êtes fatigué. Les défenses consistent surtout à savoir à quoi s'attendre.
## Les grandes catégories
### 1. L'hameçonnage qui se fait passer pour Stripe, PayPal, Shopify, votre banque
Vous recevez un e-mail : « Votre compte Stripe a été signalé, cliquez ici pour le vérifier. » Le lien mène à une page de connexion parfaite en apparence. Vous saisissez vos identifiants. Ils sont capturés.
**Ce qu'il faut surveiller :**
- Le domaine de l'expéditeur : les vrais e-mails de Stripe viennent de `@stripe.com`, pas de `@stripe-support.com` ni de `@stripe.verify.co`
- Le langage d'urgence : « votre compte sera suspendu dans 24 heures » est typique des arnaques
- Les liens : survolez avant de cliquer. Les vrais liens Stripe mènent à `dashboard.stripe.com`
**Les défenses :**
- Activez la 2FA sur chaque plateforme de paiement et de commerce que vous utilisez (Stripe, PayPal, votre banque, votre compte Shoprocket, votre messagerie). Un mot de passe volé ne sert à rien sans le second facteur
- Ne cliquez jamais sur les liens de connexion dans les e-mails. Allez sur le site directement via votre favori ou en tapant l'adresse
- Utilisez un gestionnaire de mots de passe. Il ne remplit automatiquement que sur le vrai domaine, donc il refuse en silence sur les pages d'hameçonnage, ce qui est un excellent indice
### 2. L'arnaque au « trop-perçu »
Un « client » passe une grosse commande, paie trop (500 $ de plus, par exemple), puis vous écrit pour demander le remboursement du trop-perçu sur une autre carte ou par un autre moyen (PayPal, virement, cartes cadeaux). Une semaine plus tard, le paiement initial est annulé pour fraude, et vous avez remboursé de l'argent que vous n'avez jamais vraiment eu.
- Toute demande de remboursement vers un moyen différent du paiement d'origine
- Des commandes d'un montant inhabituellement élevé de la part de nouveaux clients
- Une pression pour rembourser vite
**Les défenses :**
- **Ne remboursez que sur le moyen de paiement d'origine.** Stripe l'impose par défaut, donc cette arnaque se produit surtout quand des vendeurs traitent les remboursements à la main en dehors de la plateforme
- Si un « client » insiste pour un autre moyen de remboursement, c'est déjà le signal
### 3. L'arnaque « mauvaise adresse, merci de réexpédier »
Le client commande, reçoit l'article, puis prétend que « l'adresse était fausse, merci de réexpédier à X ». Si vous réexpédiez, il garde les deux.
- Des demandes de réexpédition qui évoquent un changement d'adresse alors que le suivi indique « livré »
- Plusieurs clients avec des variantes de la même histoire, parfois coordonnés
**Les défenses :**
- Vérifiez toujours le suivi du transporteur avant de traiter un problème d'adresse
- Si l'article a été livré à l'adresse de la commande, la commande est exécutée. Tout envoi supplémentaire est aux frais du client
### 4. Le chantage au référencement et aux avis
Quelqu'un vous écrit : « J'ai laissé un avis à une étoile. Payez 200 $ et je le supprime. » Ou : « Je peux supprimer les avis négatifs moyennant finance. » Ou : « Votre fiche Google Business sera signalée si vous ne payez pas. »
La plupart du temps, c'est du bluff. La vraie suppression d'un avis passe par la procédure de la plateforme d'avis, pas par un paiement privé.
**Les défenses :**
- Ne payez jamais. Payer vous désigne comme une proie et les demandes se multiplient
- Signalez l'e-mail comme spam, bloquez l'expéditeur, passez à autre chose
- S'il y a un vrai avis négatif, répondez-y publiquement avec une réponse raisonnable. Cela vous sert plus que sa suppression
### 5. La fausse arnaque au fournisseur ou au dropshipping
Vous cherchez un nouveau fournisseur, souvent via Alibaba ou un e-mail non sollicité. Il propose des prix trop beaux pour être vrais. Vous versez un acompte (souvent par virement, car « PayPal n'est pas disponible »). La marchandise n'est jamais expédiée, ou arrive contrefaite, ou incomplète.
- Des moyens de paiement sans protection de l'acheteur (virement, cryptomonnaie, Western Union)
- Des prix inférieurs de 30 % ou plus à ceux du marché
- Aucune présence d'entreprise vérifiable (pas d'audit d'usine, pas d'Alibaba Trade Assurance, pas d'immatriculation que vous puissiez contrôler)
- Une communication exclusivement par Gmail ou WhatsApp plutôt que par une adresse professionnelle
**Les défenses :**
- Utilisez la Trade Assurance d'Alibaba pour les premières commandes. Elle conserve le paiement jusqu'à confirmation de la livraison
- Prenez d'abord un échantillon. Commandez une petite quantité avant de vous engager sur une série complète
- Vérifiez l'entreprise : numéro d'immatriculation, recherche Google, employés sur LinkedIn, recherche inversée des photos de leurs produits (les photos volées sont courantes)
### 6. Faux messages Google / Meta / « votre fiche n'est pas vérifiée »
« Votre fiche Google Business est sur le point d'être supprimée. Vérifiez maintenant. » Ou : « Votre compte Meta Business présente une activité inhabituelle. » Le lien mène à une fausse page de connexion qui vole les identifiants de votre compte publicitaire.
La prise de contrôle d'un compte publicitaire Meta est particulièrement pénible : les attaquants diffusent leurs propres publicités sur votre carte bancaire avant que Meta ne s'en aperçoive, et c'est vous qui recevez la facture.
**Les défenses :**
- Connectez-vous directement à Google Business et à Meta Business Manager (pas via des liens d'e-mails) pour vérifier l'état de vos comptes
- 2FA sur les deux
- Fixez des plafonds de dépenses sur vos comptes publicitaires. S'ils sont piratés, les dégâts sont limités à votre plafond
### 7. L'arnaque du « votre domaine arrive à expiration »
Un courrier (sur papier, pour de vrai) ou un e-mail arrive de « Domain Registry of America » ou d'un nom similaire. Ce n'est pas votre bureau d'enregistrement. Le courrier est une demande de transfert déguisée en facture de renouvellement. Si vous payez, vous transférez votre domaine vers un bureau d'enregistrement lent et cher, qui facture trois fois votre tarif actuel et rend pénible tout transfert sortant.
**Les défenses :**
- Sachez où votre domaine est enregistré. Si le courrier ne vient pas de votre vrai bureau d'enregistrement, ignorez-le
- Activez le verrouillage de domaine chez votre bureau d'enregistrement (la plupart le proposent gratuitement)
- Réglez le renouvellement automatique de votre domaine chez votre vrai bureau d'enregistrement pour ne jamais connaître la « panique du renouvellement »
### 8. Les fausses propositions d'affiliation, de partenariat ou d'« ambassadeur de marque »
« Nous adorons votre marque ! Nous aimerions vous mettre en avant dans notre campagne marketing à 500 k$. Payez 2 000 $ pour l'emplacement. » Ou : « Devenez notre ambassadeur de marque, envoyez-nous 50 unités de votre produit pour un déballage par un influenceur. » (Ce n'est pas un influenceur ; il revend la marchandise.)
- Des demandes de produits gratuits venant de comptes que vous ne pouvez pas vérifier
- Des offres marketing où c'est vous qui payez (et non l'inverse)
- Des messages vagues et génériques qui pourraient être envoyés à n'importe quelle marque
**Les défenses :**
- Toute vraie proposition de partenariat s'accompagne de précisions : chiffres d'audience, campagnes passées, une présentation
- S'ils veulent un produit gratuit, envoyez une unité et voyez ce qu'ils en font avant d'en envoyer cinquante
- S'ils veulent de l'argent d'avance pour une « mise en avant » ou un « emplacement », partez du principe que ce n'est pas réel
### 9. La fausse menace juridique
Vous recevez une mise en demeure de retrait au titre du DMCA ou un courrier pour contrefaçon de marque, signé d'un « cabinet d'avocats » dont vous n'avez jamais entendu parler. On exige une action ou un paiement immédiat. Le cabinet n'existe pas ; la réclamation est inventée.
**Les défenses :**
- Vérifiez que le cabinet existe (Google, registre du barreau)
- Transmettez l'e-mail à votre véritable avocat ou service de conseil juridique ; n'échangez pas directement
- Les vraies notifications juridiques arrivent sur papier ou par votre représentant légal, pas dans un PDF joint à un e-mail Gmail
### 10. L'e-mail de menace de rétrofacturation
« Je veux un remboursement. Si vous ne me remboursez pas sous 24 heures, je fais une rétrofacturation auprès de ma banque ET je laisse un avis à une étoile sur tous les sites. » Parfois, c'est un client vraiment en colère. Parfois, c'est une arnaque pour obtenir le remboursement d'articles reçus et gardés.
**Les défenses :**
- Traitez chaque cas selon ses mérites : s'il y a une vraie raison (mauvais article, produit abîmé), remboursez. Si le suivi indique « livré » et que le problème est flou, demandez des précisions avant de rembourser
- S'il fait quand même une rétrofacturation, répondez au litige avec la preuve d'expédition et les échanges avec le client. Vous gagnez ainsi la plupart des litiges « article non reçu »
- Rappelez-vous que le seuil de taux de rétrofacturation de Stripe est de 1 % ; si vous cédez à chaque menace, votre taux grimpe et votre compte est signalé
## Les bases de sécurité que toute boutique devrait avoir
Indépendamment des arnaques précises, quelques réglages par défaut compliquent presque tout cela pour l'attaquant :
- **La 2FA sur chaque compte** (messagerie, Stripe, PayPal, Shoprocket, bureau d'enregistrement du domaine, comptes publicitaires). De préférence via une application d'authentification, pas par SMS
- **Un gestionnaire de mots de passe** avec un mot de passe unique par service
- **Une adresse d'administration séparée** (pas votre Gmail personnel) pour les comptes de commerce
- **Une carte bancaire professionnelle dédiée** à la publicité, avec des plafonds bas
- **Suivi + remise contre signature** au-delà d'un certain montant
- **Un libellé de relevé clair** sur Stripe (réduit nettement les rétrofacturations de « fraude amicale »)
- **Une revue régulière des journaux** de vos plateformes de commerce. Toute connexion inconnue doit être examinée immédiatement
```
```
## Ce que Shoprocket prend en charge
- **Surveillance des connexions.** Une connexion depuis un nouvel appareil déclenche un e-mail au propriétaire du compte
- **2FA disponible pour les comptes vendeurs** (à activer dans Mon compte → Paramètres du compte → Sécurité, avec une application d'authentification)
- **Journal d'activité d'administration.** Chaque action importante (modification de produit, remboursement, changement de droits) est enregistrée et consultable
- **Droits par rôle.** Le personnel n'a que les droits dont il a besoin ; un agent du support ne peut pas modifier les coordonnées bancaires
- **Protection des remboursements.** Les remboursements passent par défaut par le moyen de paiement d'origine. Pas de surprise du type « remboursement sur une autre carte »
Ce que Shoprocket ne résout pas : les arnaques qui visent votre messagerie, vos comptes publicitaires, votre domaine, vos fournisseurs. Cela dépasse notre périmètre, mais la base 2FA + gestionnaire de mots de passe en couvre la plupart.
> **Astuce :** si vous recevez un e-mail suspect prétendant venir de Shoprocket, ne cliquez pas sur le lien. Connectez-vous directement à votre tableau de bord. Toute vraie notification sera visible dans les alertes de l'application autant que par e-mail.
## En bref
- **La plupart des arnaques visant les commerçants relèvent de l'ingénierie sociale, pas de la technique.** Les défenses tiennent à la vigilance, pas à un logiciel
- **L'hameçonnage et la prise de contrôle des comptes publicitaires** sont les plus coûteux. La 2FA sur chaque plateforme en bloque la plupart
- **Ne remboursez que sur le moyen de paiement d'origine.** La demande « remboursez-moi autrement » est presque toujours une arnaque
- **Les fournisseurs sont un vecteur d'attaque majeur.** Utilisez la Trade Assurance, prenez d'abord un échantillon, vérifiez que l'entreprise existe
- **Les vraies notifications juridiques ou de plateforme ne viennent pas en pièces jointes Gmail.** Ignorez les menaces en PDF, sauf sur papier ou par un canal vérifié
- **Les bases de sécurité :** 2FA partout, gestionnaire de mots de passe, adresse d'administration distincte de l'adresse personnelle, suivi et signature pour les envois de forte valeur
[Démarrez un essai gratuit](https://app-v3.shoprocket.io/signup) : la 2FA, les droits par rôle et les journaux d'activité d'administration sont actifs par défaut. 14 jours, sans carte.
---
- HTML version: https://v3.shoprocket.io/fr/blog/dix-arnaques-visant-les-e-commercants-comment-les-reperer
- Language: Français (fr)
- Also in: [العربية](https://v3.shoprocket.io/ar/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Deutsch](https://v3.shoprocket.io/de/blog/betrugsmaschen-gegen-shopbetreiber-erkennen-und-abwehren.md), [Ελληνικά](https://v3.shoprocket.io/el/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [English](https://v3.shoprocket.io/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Español](https://v3.shoprocket.io/es/blog/diez-estafas-dirigidas-a-duenos-de-tiendas-y-como-detectarlas.md), [עברית](https://v3.shoprocket.io/he/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [हिन्दी](https://v3.shoprocket.io/hi/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/blog/sepuluh-penipuan-yang-menyasar-pemilik-toko-dan-cara-mengenalinya.md), [Italiano](https://v3.shoprocket.io/it/blog/dieci-truffe-contro-i-titolari-di-negozi-ecommerce.md), [日本語](https://v3.shoprocket.io/ja/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Lietuvių](https://v3.shoprocket.io/lt/tinklarastis/sukciavimo-schemos-nukreiptos-i-parduotuviu-savininkus.md), [Norsk](https://v3.shoprocket.io/nb/blogg/ti-svindeltyper-som-rammer-butikkeiere-og-hvordan-du-avsloerer-dem.md), [Nederlands](https://v3.shoprocket.io/nl/blog/tien-oplichtingstrucs-tegen-shopeigenaren-herkennen.md), [Polski](https://v3.shoprocket.io/pl/blog/dziesiec-oszustw-wymierzonych-we-wlascicieli-sklepow-i-jak-je-rozpoznac.md), [Português](https://v3.shoprocket.io/pt/blog/dez-golpes-contra-donos-de-loja-e-como-identificar.md), [Română](https://v3.shoprocket.io/ro/blog/zece-escrocherii-care-tintesc-proprietarii-de-magazine-si-cum-le-recunosti.md), [Русский](https://v3.shoprocket.io/ru/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [ไทย](https://v3.shoprocket.io/th/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md), [Türkçe](https://v3.shoprocket.io/tr/blog/magaza-sahiplerini-hedef-alan-on-dolandiricilik-ve-nasil-fark-edilir.md), [中文](https://v3.shoprocket.io/zh/blog/the-ten-scams-that-target-store-owners-not-customers-and-how-to-spot-them.md)