Illicado : des copies d'e-cartes cadeaux d'entreprises récupérées par un attaquant, avec le nom des bénéficiaires, le numéro et le cryptogramme des cartes

Le 1er novembre 2026, le service qui génère au format PDF les e-cartes cadeaux Illicado a été visé par une attaque ciblée et automatisée. Selon le courrier de notification adressé par Illi&Co, la société qui exploite la marque, à ses entreprises clientes, l’attaquant a contourné les protections de ce service après une phase de préparation discrète et a obtenu des copies d’e-cartes déjà émises pour des commandes passées en 2025 et 2026 par de nombreuses entreprises. L’attaque a été détectée par les outils de supervision puis stoppée. FrenchBreaches et Cyberattaque.org, qui ont chacun consulté ce courrier signé par le délégué à la protection des données, l’ont rendu public le 5 novembre ; le même jour, des bénéficiaires ont reçu un courriel les informant d’un incident sur l’e-carte offerte par leur entreprise, accompagné d’une nouvelle carte, et Illicado a confirmé l’attaque à la presse, d’après artisanat2france qui cite Le Figaro.

D’après le courrier relayé par FrenchBreaches, les documents récupérés contenaient le nom et le prénom des bénéficiaires, le numéro complet de chaque carte et son cryptogramme, le montant affecté à la carte et le message d’accompagnement saisi lors de la commande, sans adresse électronique, adresse postale ni numéro de téléphone. Une partie des cartes compromises a été utilisée frauduleusement avant leur blocage, et le montant de ces utilisations n’est pas communiqué. Pour la seule entreprise dont le courrier a été consulté, 16 e-cartes réparties sur trois commandes disposaient encore d’un solde cumulé de 3 295,76 euros. Le nombre total de cartes, d’entreprises et de bénéficiaires concernés n’est pas publié ; artisanat2france avance environ 15 000 cartes touchées, un chiffre absent du courrier.

Illi&Co dit avoir désactivé le service de génération des PDF, bloqué les cartes compromises le 2 novembre en débitant leur solde à titre conservatoire, déployé un correctif le 3 novembre et engagé la réédition des cartes, créditées du solde disponible avant l’incident, à partir du 5 novembre ; les cartes déjà périmées ne sont pas rééditées. L’entreprise annonce une plainte auprès du procureur de la République de Paris et une surveillance des espaces de revente de données, où aucune publication n’avait été constatée à la date du courrier. Elle juge elle-même que la violation est susceptible d’engendrer un risque élevé pour les bénéficiaires et en informe directement ces derniers. Agissant comme sous-traitant au sens de l’article 28 du RGPD, elle demande aux entreprises et aux CSE clients, responsables du traitement, de notifier la CNIL dans les 72 heures et d’inscrire l’incident à leur registre des violations, déclarations qu’elle ne fait pas en leur nom.

La gravité est retenue à « élevée » : l’incident est confirmé, des cartes ont été détournées et les messages personnels associés aux noms sont exposés, mais Illi&Co rembourse les soldes et aucune coordonnée des bénéficiaires ni donnée bancaire personnelle ne figure dans les documents. Le principal risque restant est l’hameçonnage : selon artisanat2france, Illicado avertit qu’un nom croisé avec d’autres fichiers en circulation peut servir à cibler un bénéficiaire par courriel ou par téléphone, par exemple avec un faux message sur une carte à « réactiver » ou un solde à récupérer.

Un salarié qui a reçu une e-carte Illicado de son entreprise en 2025 ou en 2026 peut vérifier auprès de son employeur ou de son CSE si sa carte a été rééditée, et utiliser uniquement la nouvelle carte reçue. Illicado a indiqué au Figaro, cité par artisanat2france, qu’aucune démarche n’est à faire : un message qui demande un paiement, des coordonnées bancaires ou un code pour récupérer un solde est donc suspect. Les courriels frauduleux se signalent à Signal Spam, les SMS au 33700, et cybermalveillance.gouv.fr accompagne les victimes d’escroquerie. Les entreprises et CSE clients qui ont reçu le courrier d’Illi&Co doivent quant à eux notifier la CNIL s’ils ne l’ont pas encore fait.