Illicado : 15.000 cartes-cadeaux volées lors d’une cyberattaque
Illi&co, l’une des entreprises leaders des cartes-cadeaux en France, exploitée sous la marque Illicado, a été victime d’une cyberattaque le 1er novembre. Environ 15.000 cartes-cadeaux numériques ont été touchées par l’incident, et l’entreprise assure que chaque porteur ne subit aucune perte financière.
Le jeudi 5 novembre, de nombreux bénéficiaires ont reçu un courriel les informant que « nos équipes ont détecté un incident sur votre e-carte offerte par votre entreprise ». Ce message était accompagné d’une nouvelle carte créditée du même montant que le solde restant sur la carte compromise. Selon l’entreprise, « notre équipe technique est intervenue très rapidement et a fait le nécessaire pour recréditer votre solde ». Interrogée par Le Figaro, Illicado affirme que ses clients n’ont aucune démarche à effectuer.
Une attaque « ciblée et automatisée »
Illicado indique avoir prévenu les entreprises clientes ayant acheté ces cartes-cadeaux. Le site spécialisé sur les cyberattaques FrenchBreaches a publié un courrier reçu par un client, dans lequel l’entreprise décrit une attaque « ciblée et automatisée » visant « le service de génération des documents PDF des e-cartes ». Les pirates auraient ainsi pu accéder à des copies de cartes générées en 2025 et 2026, pour des commandes passées par « de nombreuses entreprises clientes ».
Selon Illicado, le vol a été détecté et stoppé par les outils de l’entreprise. Le groupe n’a en revanche pas souhaité préciser à la presse l’origine de la faille, « pour des raisons de sécurité ». Il ne précise pas non plus si les pirates ont utilisé des cartes-cadeaux volées, ni le montant du préjudice.
D’après le courrier révélé par FrenchBreaches, « une partie » des e-cartes volées auraient été utilisées frauduleusement. Les cartes compromises ont été bloquées le 2 novembre et leur solde ramené à zéro par précaution. Leur réédition a commencé le jeudi 5 novembre, avec le solde présent avant le vol.
Des données personnelles exposées
Les données volées comprendraient notamment le nom et le prénom des bénéficiaires, le numéro et le cryptogramme des cartes, leur montant, ainsi que le message saisi par le client lors de la commande. Les coordonnées des bénéficiaires ne seraient pas concernées. Illicado met toutefois en garde contre des risques de hameçonnage : ces informations, croisées avec d’autres données volées et mises en vente sur le darknet, permettraient de relier un nom à une adresse électronique ou à un numéro de téléphone pour envoyer des tentatives frauduleuses.
