Chaque année, les semaines qui précèdent le Black Friday et les soldes voient une recrudescence d'arnaques en ligne liées au commerce : faux sites marchands, SMS de « colis en attente », fausses promotions usurpant une marque connue. Pour une TPE qui vend en ligne, cette période est doublement sensible : elle doit protéger sa propre boutique contre la fraude et l'usurpation, tout en évitant que ses clients ne se fassent piéger en pensant avoir affaire à elle.
Cet article fait le point, sans alarmisme gratuit, sur les types d'arnaques réellement observés par les organismes officiels français (Cybermalveillance.gouv.fr, Signal-Arnaques, DGCCRF) autour des périodes promotionnelles, et propose une checklist concrète pour un e-commerçant de l'Yonne : comment limiter les risques côté boutique, et comment informer ses clients sans les inquiéter inutilement.
Le calendrier 2026, pour cadrer la période à risque
En France, aucune date n'est fixée par la loi pour le Black Friday : c'est un usage commercial, calé sur le lendemain de Thanksgiving aux États-Unis. En 2026, le Black Friday est annoncé le vendredi 27 novembre, suivi du Cyber Monday le lundi 30 novembre. De nombreuses enseignes ouvrent leurs offres plusieurs jours, voire plusieurs semaines, avant cette date (« Black Week », « Black November »), sans qu'aucune règle n'encadre ce calendrier étendu. Les soldes d'hiver suivent, eux, une règle légale précise : ils démarrent le deuxième mercredi de janvier (sauf exception). C'est donc une fenêtre longue, de fin octobre à début janvier, pendant laquelle la vigilance doit rester soutenue — pas seulement le jour J.
Une règle encadre un point souvent trompeur : depuis la directive européenne dite « Omnibus », un prix barré affiché en promotion doit correspondre au prix le plus bas pratiqué au cours des 30 jours précédents, pas à un prix de référence arbitrairement gonflé. Une TPE qui affiche ses propres promotions doit s'y conformer ; c'est aussi un repère utile à rappeler à ses clients pour repérer une fausse bonne affaire ailleurs.
Les arnaques réellement recensées pendant cette période
Cybermalveillance.gouv.fr et Signal-Arnaques documentent, saison après saison, les mêmes familles de fraudes qui reviennent et s'intensifient autour des périodes promotionnelles. Aucun chiffre précis et récent sur le volume national de ces arnaques n'a pu être confirmé par une source officielle au moment de la rédaction : les éléments ci-dessous sont qualitatifs, décrivant des mécanismes documentés plutôt que des statistiques.
- Faux sites de vente à prix cassés. Des réseaux entiers créent des boutiques en ligne éphémères, parfois par centaines, pour la seule durée de la période promotionnelle : catalogue entier soldé à - 70 % ou - 80 %, mentions légales absentes, incohérentes ou copiées sur une autre société, paiement proposé uniquement par virement bancaire. Signal-Arnaques recense régulièrement des sites qui reprennent l'identité visuelle d'une enseigne connue (logo, mise en page) pour rassurer l'acheteur, sans aucun lien avec la marque réelle.
- Usurpation de l'identité d'une entreprise existante. Un cas documenté par Signal-Arnaques en octobre 2026 montre un faux site reprenant les adresses et numéros de téléphone réels de plusieurs magasins d'une enseigne régionale, tout en indiquant dans ses mentions légales une société totalement différente. C'est exactement le risque qui touche une TPE : son nom, ses coordonnées, parfois même ses photos de produits, repris par un faux site qui n'a aucun lien avec elle, au préjudice de ses propres clients qui pensent commander chez elle.
- Phishing « colis en attente ». C'est la période où les livraisons explosent, donc où ce type de SMS ou d'e-mail frauduleux explose aussi. Le message, qui imite La Poste, Colissimo, Chronopost, DPD ou un transporteur fictif, réclame une petite somme (« frais de réexpédition », « droits de douane ») via un lien qui collecte en réalité les coordonnées bancaires. Cybermalveillance.gouv.fr précise que ces données volées servent ensuite, dans les heures ou jours qui suivent, à des fraudes au faux conseiller bancaire.
- Fausses promotions par SMS ou e-mail usurpant une marque. Le message annonce une offre exceptionnelle « réservée aux clients fidèles » d'une enseigne connue, avec un lien vers un site cloné qui capture les données de paiement. La technique est la même que le phishing « colis », appliquée à l'accroche commerciale plutôt qu'à la livraison.
- Faux support ou faux remboursement après achat. Après un paiement, un « service après-vente » contacte la victime pour un remboursement ou un problème de commande, et demande un IBAN ou l'installation d'un logiciel de prise en main à distance (type AnyDesk ou TeamViewer). Aucun service client légitime n'a besoin d'un accès à distance pour rembourser une commande.
- Faux liens de paiement envoyés aux clients d'un e-commerçant. Un cas spécifique aux TPE victimes d'un piratage de compte : un escroc qui a accédé à la messagerie, au compte réseau social ou au site d'une TPE envoie de faux liens de paiement à ses clients, en se faisant passer pour l'entreprise elle-même (« réglez le solde de votre commande ici »). Le client, qui connaît et fait confiance à la TPE, est bien plus susceptible de cliquer que face à un inconnu.
Pour vérifier la fiabilité d'un site avant d'acheter, ou avant de signaler un cas suspect, les ressources de référence restent Cybermalveillance.gouv.fr et le service communautaire Signal-Arnaques, ainsi que la plateforme SignalConso de la DGCCRF pour un litige avec un vendeur.
Côté TPE : protéger sa propre boutique et sa marque
Un e-commerçant n'est pas seulement une cible de fraude à la carte bancaire : il peut aussi devenir, sans le savoir, le modèle usurpé par un faux site qui porte préjudice à sa réputation. Quelques réflexes limitent concrètement ce risque pendant la période :
- Surveiller son nom et ses visuels. Une recherche régulière du nom de l'entreprise associé aux mots « avis », « arnaque » ou « scam » permet de repérer tôt un faux site qui reprend l'identité de la boutique. Une alerte Google sur le nom de l'entreprise, gratuite et simple à activer, fait une partie du travail automatiquement.
- Vérifier les mentions légales et la cohérence de son propre site (SIREN, adresse, moyens de paiement proposés) avant la période de forte affluence : un site mal tenu sur ce plan est lui-même plus vulnérable à la confusion avec un clone.
- Sécuriser le site pendant les pics de trafic. Mettre à jour le CMS et les extensions avant la période plutôt que pendant, vérifier que les sauvegardes automatiques fonctionnent réellement, et s'assurer que l'hébergement peut absorber un afflux de visiteurs sans ralentir ni tomber — un site inaccessible pendant le Black Friday pousse parfois les clients vers un clone qui, lui, reste disponible.
- Sécuriser les accès administrateurs. Mot de passe unique et robuste, double authentification activée sur le back-office, l'hébergement et la messagerie professionnelle — un compte piraté est la porte d'entrée la plus directe pour un escroc qui veut envoyer de faux liens de paiement aux clients de la boutique en se faisant passer pour elle.
- Surveiller les commandes suspectes. Une hausse soudaine de commandes avec une même adresse de livraison inhabituelle, des montants très élevés groupés sur un court laps de temps, ou des adresses de facturation et de livraison incohérentes sont des signaux classiques de fraude à la carte bancaire (carte volée testée sur plusieurs petites boutiques). En cas de doute, un appel de vérification au client avant expédition reste le réflexe le plus simple.
- Garder une trace des transactions et des échanges pour pouvoir réagir vite en cas de contestation ou de signalement, et faciliter un éventuel dépôt de plainte.
Côté clients : comment une TPE les protège et les rassure
La confiance installée avec sa clientèle est justement ce qu'un escroc cherche à exploiter. Une TPE peut réduire ce risque par une communication claire, mise en place avant même que la période ne démarre :
- Ne jamais demander de paiement par lien envoyé en SMS ou en message privé. Si ce n'est pas la pratique habituelle de l'entreprise, le dire explicitement à ses clients : « nous ne vous envoyons jamais de lien de paiement par SMS, seulement via notre site officiel ». Cette phrase, répétée dans un e-mail ou une story avant le Black Friday, désamorce une bonne partie des tentatives d'usurpation.
- Communiquer sur les canaux officiels uniquement : site internet, compte réseau social vérifié, e-mails envoyés depuis le nom de domaine de l'entreprise. Rappeler ces canaux aide les clients à reconnaître un faux message qui viendrait d'ailleurs.
- Rassurer sur le suivi de commande. Indiquer clairement, sur le site et dans les e-mails de confirmation, où et comment un client peut suivre sa commande réelle — cela limite l'efficacité d'un faux SMS « colis en attente » qui jouerait sur l'incertitude.
- Afficher ses propres mentions légales et coordonnées de façon visible, pour que les clients puissent vérifier eux-mêmes, en cas de doute, qu'ils sont bien sur le site de l'entreprise et pas sur un clone.
- Prévoir une réponse simple en cas de signalement d'un client : un client qui a un doute (SMS suspect, site douteux portant le nom de l'entreprise) doit savoir qu'il peut contacter directement la boutique pour vérifier, sans se sentir ridicule de poser la question.
Checklist avant et pendant la période
| Avant (octobre-novembre) | Pendant (Black Friday, soldes) |
|---|---|
| Mettre à jour CMS, extensions et mots de passe administrateurs | Surveiller les commandes inhabituelles (montant, adresse, fréquence) |
| Vérifier que les sauvegardes fonctionnent réellement | Répondre vite à tout signalement client (SMS, e-mail suspect) |
| Activer la double authentification sur les accès sensibles | Vérifier régulièrement la disponibilité et la vitesse du site |
| Informer les clients sur les canaux officiels et les règles de paiement | Ne jamais envoyer soi-même de lien de paiement par SMS |
| Vérifier ses propres mentions légales et prix de référence (règle des 30 jours) | Surveiller les mentions de l'entreprise en ligne (faux sites, faux avis) |
Que faire en cas de doute ou de victime : les bons contacts
Pour un client ou pour l'entreprise elle-même, les démarches officielles françaises restent les mêmes qu'en toute période : en cas de transaction bancaire frauduleuse, faire opposition sur sa carte puis signaler via Perceval ; pour un site frauduleux ou un hameçonnage, un signalement est possible via THESEE ; un SMS ou appel suspect se transfère au 33700 ; et le 17Cyber, porté par Cybermalveillance.gouv.fr, offre une orientation immédiate 24h/24. Pour un litige avec un vendeur, SignalConso (DGCCRF) permet de signaler le problème directement aux autorités de contrôle.
Questions fréquentes
Le Black Friday a-t-il une date officielle en France ?
Non, aucune loi française ne fixe sa date : c'est un usage commercial calé sur le lendemain de Thanksgiving aux États-Unis. En 2026, il est annoncé le vendredi 27 novembre, mais de nombreuses enseignes démarrent leurs offres plusieurs jours ou semaines avant, sans encadrement légal de cette période étendue.
Une TPE peut-elle être victime d'usurpation de son propre site ?
Oui, c'est un cas documenté : des faux sites reprennent le nom, les coordonnées ou l'identité visuelle d'entreprises réelles, y compris de petite taille, pour tromper leurs clients ou de nouveaux acheteurs. Surveiller son nom en ligne pendant la période promotionnelle permet de repérer ce type de cas plus tôt.
Que répondre à un client qui signale un SMS suspect se faisant passer pour l'entreprise ?
Confirmer rapidement que ce n'est pas un message envoyé par l'entreprise, rappeler les canaux de communication officiels, et l'inviter à transférer le message au 33700 sans cliquer sur le lien. Ne jamais minimiser ce signalement : un client qui prévient évite souvent à d'autres clients de se faire piéger.
Conclusion : une vigilance qui se prépare, pas une surprise de dernière minute
Les arnaques qui entourent le Black Friday et les soldes ne sont pas nouvelles chaque année : elles reprennent des mécanismes connus (faux sites, phishing colis, usurpation de marque) dont l'intensité augmente simplement avec le volume de commandes et de livraisons de la période. Pour une TPE, l'enjeu est double : sécuriser sa propre boutique contre la fraude et l'usurpation, et donner à ses clients les repères simples qui leur évitent de tomber dans le piège en pensant avoir affaire à elle. Une préparation en amont — mise à jour technique, communication claire, vigilance sur les commandes — vaut largement mieux qu'une réaction dans l'urgence le jour du pic de trafic.
Pour sécuriser votre site avant cette période ou faire le point sur vos accès et vos sauvegardes, contactez-nous, nous en discutons simplement, sans jargon ni vente forcée.
À lire aussi :