A Illicado confirmou, a 6 de novembro, que um ciberataque tinha afetado 15 000 cartões-presente digitais. Os cartões em causa foram desativados e substituídos, indica a empresa. Para os trabalhadores que os tinham recebido, a prioridade imediata é recuperar o saldo restante num novo cartão; para as empresas que os tinham encomendado, importa também acompanhar as consequências da cópia dos documentos.
O ataque ocorreu a 1 de novembro. Segundo as declarações da Illicado à AFP, citadas pela MoneyVox, diz respeito a cartões eletrónicos comprados em 2025 e 2026 cujo crédito não tinha sido totalmente utilizado. O número anunciado refere-se a cartões, não estabelecendo um número equivalente de pessoas ou empresas.
O serviço de criação de PDF visado
Os intrusos obtiveram cópias de documentos digitais através do serviço que gera os PDF dos cartões eletrónicos. A empresa descreve um ataque direcionado e automatizado. Os clientes em causa tinham comprado estes cartões para os distribuir pelos seus trabalhadores.
A notificação relatada pela Cyberattaque.org a 5 de novembro descreve uma deteção seguida de medidas de bloqueio. Incide, em particular, sobre encomendas profissionais e refere uma violação da segurança dos dados pessoais. O órgão de comunicação social consultou uma carta dirigida a uma empresa: o número de cartões mencionado nessa carta diz respeito a esse cliente específico, não ao incidente no seu conjunto.
A técnica exata utilizada não é descrita publicamente nestes elementos. A recuperação de PDF está documentada; atribuir o ataque a uma vulnerabilidade específica, a uma palavra-passe roubada ou a um programa malicioso concreto iria além das informações disponíveis.
Porque é que uma cópia do cartão pode causar problemas
Um PDF de um cartão-presente nem sempre é apenas um comprovativo destinado a ser arquivado. Quando contém os dados que permitem utilizar o crédito, a sua cópia pode dar acesso a um benefício económico. O risco não depende, portanto, apenas da confidencialidade do nome do beneficiário, mas também da validade dos dados reproduzidos.
Este mecanismo explica a importância de desativar um cartão antigo e emitir um novo. Apagar o documento do computador não basta para tornar inutilizável uma cópia que esteja na posse de terceiros. Por outro lado, a substituição de um cartão não permite recuperar as informações que já possam ter sido copiadas: o acompanhamento do saldo e o das informações são questões distintas.
Saldos repostos, segundo a Illicado
A Illicado afirma ter enviado novos cartões eletrónicos aos beneficiários, com o montante que restava no momento do incidente, sem necessidade de qualquer diligência nem perda financeira para os titulares. A empresa declarou à AFP que, nessa altura, não tinha sido efetuado qualquer pagamento com os cartões em causa.
Esta afirmação descreve a posição comunicada pela Illicado a 6 de novembro. Não constitui uma auditoria independente de todas as transações. O montante total dos saldos em causa não foi comunicado à agência.
Para um beneficiário, importa verificar se recebeu o novo cartão e confirmar o respetivo montante. Se não o recebeu ou se houver uma discrepância, deve contactar o emissor através do canal habitual, guardando o comprovativo inicial e a mensagem de substituição. Não é necessário publicar uma fotografia do cartão ou os respetivos códigos numa rede social para pedir ajuda.
Verificar as mensagens de substituição
Um anúncio de reemissão também pode servir de pretexto para uma tentativa de fraude. Nenhum dos elementos aqui citados comprova a existência de uma campanha de phishing relacionada com este incidente; as precauções seguintes são medidas preventivas.
A Cybermalveillance.gouv.fr recomenda que se contacte diretamente a entidade em causa quando uma mensagem suscita dúvidas, em vez de se seguir a ligação nela incluída. Um pedido de palavra-passe, dados bancários ou pagamento apresentado como indispensável para a substituição deve levar a essa verificação.
Se já tiverem sido transmitidos dados bancários a um interlocutor suspeito, os serviços públicos aconselham a contactar imediatamente o banco e a guardar as provas. O simples facto de possuir um cartão Illicado não justifica, por si só, pedir o cancelamento de um cartão bancário pessoal.
A Illicado indica ter notificado a fuga de dados à CNIL. O acompanhamento do incidente terá ainda de esclarecer o âmbito documental e as respetivas consequências. Para os titulares, a prioridade continua a ser concreta: dispor do cartão certo, do saldo certo e de um interlocutor autenticado.
Fotografia ilustrativa: expositor de cartões-presente e aviso contra fraudes numa loja Target. Estes cartões não são da Illicado. Mike Mozart / Wikimedia Commons / CC BY 2.0.
