Cette technique s'apparente plus à du social engineering.
Le "pirate" te demande de créer une annonce sur le boncoin mais avec son email.
Et quand il reçoit l'email de confirmation, il voit le mot de passe que tu as mis.
L'astuce repose sur le fait qu'une bonne partie des gens utilisent même mot de passe partout.
Donc si le mot de passe que tu as inscrit pour cette annonce a été créé pour l'occasion, tu risque rien.
Par contre si tu utilise ce passe pour ton compte facebook ou autre chose, changes les vite (et arrête d'utiliser le même mdp partout ! ).