Illicado confirme avoir été victime d’une cyberattaque ayant permis à un individu de récupérer frauduleusement des copies de cartes-cadeaux numériques commandées par des entreprises en 2025 et 2026. L’attaque, survenue le 1er novembre 2026, a ciblé le service informatique chargé de générer les documents PDF des e-cartes. Le pirate est parvenu à contourner les protections du système avant que l’intrusion soit détectée et interrompue.
Illicado est une entreprise française spécialisée dans les cartes-cadeaux multienseignes. Exploitée par la société ILLI&CO, basée à Croix, dans le Nord, elle commercialise des cartes physiques et dématérialisées utilisables auprès de nombreuses enseignes partenaires. Ses solutions s’adressent notamment aux particuliers, aux entreprises et aux comités sociaux et économiques (CSE), qui distribuent des cartes-cadeaux à leurs salariés ou bénéficiaires.
Une cyberattaque automatisée contre le générateur de cartes-cadeaux
Selon une notification de sécurité adressée à une entreprise cliente, l’attaque s’est produite le 1er novembre 2026, après une phase de préparation discrète de l’attaquant.
Le pirate a ensuite lancé une opération ciblée et automatisée contre le service permettant de générer les documents PDF des cartes-cadeaux numériques.
Cette opération lui a permis de contourner les protections de l’application et de récupérer des copies d’e-cartes déjà émises dans le cadre de commandes professionnelles effectuées en 2025 et 2026.
L’attaque a été détectée par les outils de supervision d’Illicado, qui indique avoir rapidement engagé des mesures de blocage et de neutralisation.
La méthode technique exacte n’a pas été détaillée. Le scénario pourrait notamment impliquer une faiblesse dans les contrôles d’accès aux documents générés, permettant de récupérer des fichiers sans disposer des autorisations nécessaires. Cette hypothèse reste toutefois à confirmer.
Des cartes-cadeaux commandées en 2025 et 2026 concernées
La notification indique que l’incident concerne des commandes passées par de nombreuses entreprises clientes au cours des deux dernières années.
Dans le cas de l’entreprise destinataire du document consulté, Illicado précise que 16 e-cartes réparties sur trois commandes ont été concernées par l’incident.
Ce chiffre correspond uniquement à cette entreprise. Il ne permet pas d’évaluer le nombre total de cartes compromises chez l’ensemble des clients d’Illicado.
Le volume global de documents récupérés, leur valeur financière cumulée et le nombre de bénéficiaires concernés ne sont pas connus.
La notification évoque également une atteinte à la sécurité des données personnelles, sans détailler dans l’extrait disponible l’ensemble des catégories d’informations compromises.
Un risque de détournement du solde des cartes-cadeaux
Contrairement à une fuite classique de coordonnées personnelles, la récupération d’une carte-cadeau numérique peut présenter un risque financier direct pour son bénéficiaire.
Si les documents PDF copiés contiennent les informations nécessaires à leur utilisation, un tiers pourrait potentiellement dépenser tout ou partie du solde avant le véritable propriétaire.
Le risque est particulièrement sensible pour les entreprises et les CSE qui distribuent des cartes-cadeaux à leurs salariés, notamment à l’approche des fêtes de fin d’année.
La notification évoque des mesures destinées à rétablir intégralement les bénéficiaires concernés dans leurs droits. Elle ne permet toutefois pas, à elle seule, d’établir combien de cartes ont effectivement été utilisées frauduleusement ni le montant d’un éventuel préjudice.
Illicado confirme l’attaque, mais son ampleur reste inconnue
Dans un email, dont Cyberattaque.org s’est procuré une copie, Illicado intervient en qualité de sous-traitant au sens de l’article 28 du RGPD et informe ses entreprises clientes conformément aux obligations prévues en matière de protection des données personnelles.
L’entreprise confirme que l’attaque a été détectée et stoppée, et indique avoir mis en œuvre des mesures de sécurisation dès l’identification de l’incident.
Elle précise également qu’aucune publication ni revendication des données compromises n’a été constatée au moment de sa notification.
Cette absence de diffusion publique ne signifie cependant pas que les copies récupérées ne puissent pas être exploitées directement par l’attaquant.
À ce stade, le nombre total d’entreprises touchées, celui des cartes-cadeaux compromises et les conséquences financières éventuelles restent à déterminer. L’incident illustre un risque particulier pour les plateformes proposant des produits dématérialisés : une faille permettant de récupérer des documents déjà émis peut exposer directement des avantages financiers appartenant à leurs bénéficiaires.