Un pirate s'en est pris à 15 000 cartes-cadeaux Illicado offertes à des salariés

Une carte-cadeau numérique se résume souvent à un fichier PDF : un nom, un montant, un numéro, un code. Le 1er novembre, c'est justement le service qui fabrique ces PDF qu'un attaquant a visé chez Illicado, l'émetteur de cartes-cadeaux multi-enseignes exploité par la société ILLI&CO, à Croix, dans le Nord.

Le vendredi 6 novembre, l'entreprise a confirmé à l'AFP avoir été la cible d'une cyberattaque touchant 15 000 cartes numériques, achetées en 2025 et 2026 et pas entièrement dépensées. Le site French Breaches avait révélé l'affaire. Ces cartes sont achetées par des entreprises pour les offrir à leurs salariés, par exemple à Noël.

Que contenaient les copies ?

Dans un e-mail envoyé à ses clients le jeudi 5 novembre, Illicado décrit une « attaque informatique ciblée et automatisée » contre « le service de génération des documents PDF des e-cartes ». L'attaquant a contourné les protections de ce service et obtenu des copies de cartes déjà émises. D'après le courrier cité par French Breaches, ces documents comportaient le nom et le prénom du bénéficiaire, le numéro complet de la carte, son code de sécurité, son montant et le message personnalisé saisi à la commande. Selon l'entreprise, ils ne contenaient ni adresse e-mail, ni adresse postale, ni numéro de téléphone.

Autrement dit, la personne qui détient une copie pourrait dépenser le solde avant son destinataire légitime. Illicado n'a pas voulu dire quelle somme était en jeu. Chez un seul client cité par French Breaches, 16 cartes réparties sur trois commandes étaient touchées, pour un solde total de 3 295,76 euros.

Des cartes ont-elles déjà été dépensées ?

Les versions divergent. « Pour le moment, aucun paiement n'a été réalisé » avec les cartes concernées, a assuré Illicado à l'AFP. D'après French Breaches, le courrier d'Illicado à ses clients reconnaît pourtant que certaines cartes ont été utilisées frauduleusement avant leur blocage, sans en donner le montant. Nous n'avons pas pu trancher entre les deux.

Selon la chronologie du courrier rapportée par French Breaches, les cartes compromises ont été bloquées le 2 novembre et un correctif de sécurité a été déployé le 3. L'entreprise a désactivé les anciennes e-cartes et envoie à chaque bénéficiaire une nouvelle carte créditée du solde exact au moment de l'incident. Une plainte a été déposée auprès du parquet de Paris, et la fuite a été signalée à la CNIL.

Ce que doivent faire les salariés et les employeurs

Côté bénéficiaires, Illicado se veut clair : « Aucune démarche n'est à faire », et personne ne doit subir de perte. Quelques réflexes restent utiles :

• n'utilisez plus l'ancienne carte et attendez la nouvelle, envoyée par Illicado ;
• méfiez-vous de tout message inattendu qui réclame des informations ou un paiement au sujet de ce remplacement, et vérifiez auprès de votre employeur ou de votre comité social et économique (CSE) ;
• signalez à l'employeur tout solde qui ne correspondrait pas au montant offert.

Pour les entreprises clientes, la situation est différente. Illicado agit comme sous-traitant au sens du RGPD. C'est donc l'entreprise ou le CSE qui a acheté les cartes, responsable du traitement, qui doit notifier la violation à la CNIL dans les 72 heures si elle présente un risque pour les salariés, et l'inscrire dans son registre interne des violations. Illicado a prévenu qu'il ne ferait pas ces déclarations à la place de ses clients.

À quelques semaines des commandes de fin d'année, une question reste ouverte : combien de cartes l'attaquant a-t-il réellement pu dépenser, et pour quel montant ? Illicado ne l'a pas encore dit.