Illicado a confirmé le 6 novembre qu’une cyberattaque avait touché 15 000 cartes-cadeaux numériques. Les cartes concernées ont été désactivées et remplacées, indique l’entreprise. Pour les salariés qui les avaient reçues, l’enjeu immédiat est de retrouver le solde restant sur une nouvelle carte ; pour les entreprises qui les avaient commandées, il est aussi de suivre les conséquences de la copie des documents.
L’attaque s’est produite le 1er novembre. D’après les déclarations d’Illicado à l’AFP, rapportées par MoneyVox, elle concerne des e-cartes achetées en 2025 et 2026 dont le crédit n’avait pas été entièrement dépensé. Le chiffre annoncé désigne des cartes, sans établir un nombre équivalent de personnes ou d’entreprises.
Le service de création des PDF visé
Les intrus ont obtenu des copies de documents numériques par l’intermédiaire du service qui génère les PDF des e-cartes. L’entreprise décrit une attaque ciblée et automatisée. Les clients concernés avaient acheté ces titres pour les distribuer à leurs salariés.
La notification relatée par Cyberattaque.org le 5 novembre décrit une détection suivie de mesures de blocage. Elle porte notamment sur les commandes professionnelles et évoque une atteinte à la sécurité des données personnelles. Le média a consulté un courrier destiné à une entreprise : le nombre de cartes mentionné dans ce courrier concerne ce client précis, pas l’ensemble de l’incident.
La technique exacte employée n’est pas détaillée publiquement dans ces éléments. La récupération de PDF est documentée ; attribuer l’attaque à une faille particulière, à un mot de passe dérobé ou à un logiciel malveillant précis irait au-delà des informations disponibles.
Pourquoi une copie de carte peut poser problème
Un PDF de carte-cadeau n’est pas toujours un simple justificatif destiné à être archivé. Lorsqu’il contient les références permettant d’utiliser le crédit, sa copie peut donner accès à un avantage économique. Le risque ne dépend donc pas seulement de la confidentialité du nom de son bénéficiaire, mais aussi de la validité des références reproduites.
Ce mécanisme explique l’intérêt de désactiver un ancien titre et d’en émettre un nouveau. Supprimer le document de son ordinateur ne suffit pas à rendre inutilisable une copie détenue ailleurs. À l’inverse, le remplacement d’une carte ne permet pas de récupérer les informations qui auraient déjà été copiées : le suivi du solde et celui des données sont deux sujets distincts.
Les soldes rétablis, selon Illicado
Illicado affirme avoir envoyé aux bénéficiaires de nouvelles e-cartes avec le montant restant au moment de l’incident, sans démarche nécessaire ni perte financière pour les porteurs. L’entreprise a déclaré à l’AFP qu’aucun paiement n’avait alors été réalisé avec les cartes concernées.
Cette affirmation décrit la position communiquée par Illicado le 6 novembre. Elle ne constitue pas un audit indépendant de toutes les transactions. Le montant cumulé des soldes concernés n’a pas été communiqué à l’agence.
Pour un bénéficiaire, la vérification utile porte sur la réception du nouveau titre et sur son montant. En cas d’absence ou d’écart, il faut contacter l’émetteur par son canal habituel, en conservant le justificatif initial et le message de remplacement. Il n’est pas nécessaire de publier une photographie de sa carte ou ses codes sur un réseau social pour demander de l’aide.
Vérifier les messages de remplacement
Une annonce de réémission peut aussi servir de prétexte à une tentative de fraude. Aucun élément cité ici n’établit l’existence d’une campagne d’hameçonnage liée à cet incident ; les précautions suivantes relèvent de la prévention.
Cybermalveillance.gouv.fr recommande de contacter directement l’organisme concerné lorsqu’un message suscite un doute, plutôt que de suivre son lien. Une demande de mot de passe, de coordonnées bancaires ou de paiement présentée comme indispensable au remplacement doit conduire à cette vérification.
Si des informations bancaires ont déjà été transmises à un interlocuteur suspect, le service public conseille de contacter immédiatement sa banque et de conserver les preuves. Le simple fait de posséder une carte Illicado ne justifie pas, à lui seul, de faire opposition à une carte bancaire personnelle.
Illicado indique avoir notifié la fuite à la CNIL. Le suivi de l’incident devra encore préciser son périmètre documentaire et ses conséquences. Pour les porteurs, la priorité reste concrète : disposer du bon titre, du bon solde et d’un interlocuteur authentifié.
Photo d’illustration : présentoir de cartes-cadeaux et avertissement contre les fraudes dans un magasin Target. Ces cartes ne sont pas celles d’Illicado. Mike Mozart / Wikimedia Commons / CC BY 2.0.
