Cyberattaque : 15 000 cartes-cadeaux Illicado dérobées, les clients concernés

À l'approche des achats de fin d'année, une mauvaise surprise frappe de nombreux salariés titulaires de bons d'achat dématérialisés. L'entreprise Illi&co, gestionnaire de la solution Illicado, a subi une intrusion informatique d'envergure ayant compromis des milliers de titres distribués par les comités sociaux et économiques (CSE). Les équipes techniques ont réagi pour limiter l'impact financier sur les porteurs.

Un piratage automatisé neutralise 15 000 cartes dématérialisées

L'alerte a débuté le 1er novembre 2026, date à laquelle les outils de supervision interne d'Illi&co ont décelé une activité anormale sur leur réseau. Confirmée le 6 novembre, cette intrusion informatique visait le système chargé de générer les fichiers PDF des e-cartes produites en 2025 et 2026.

Durant l'attaque, les pirates ont dérobé les données de 15 000 cartes-cadeaux numériques. Les fichiers subtilisés contenaient les noms, prénoms, montants disponibles, ainsi que les numéros d'identification et cryptogrammes nécessaires aux paiements. Face au risque de détournement, l'opérateur a désactivé l'ensemble des titres concernés dès le 2 novembre afin de bloquer toute transaction frauduleuse. Les cartes physiques en plastique ne sont pas touchées par cette faille.

La faille technique signalée à la CNIL suscite des divergences

D'après les premiers éléments, les assaillants ont contourné les sécurités de l'application documentaire réservée aux commandes groupées des entreprises. Conformément à l'article 33 du RGPD, la direction a transmis une notification officielle de violation de données auprès de la Commission nationale de l'informatique et des libertés (CNIL).

Un doute subsiste néanmoins sur l'utilisation des soldes avant la coupure. Un courrier adressé aux clients professionnels, repéré par le site spécialisé FrenchBreaches, mentionne qu'une partie des bons a pu être dépensée avant le blocage du 2 novembre. À l'inverse, la communication de la marque a affirmé à l'AFP : « Pour le moment, aucun paiement n'a été réalisé ». La société précise également qu'aucune coordonnée bancaire personnelle n'a été exposée lors de l'intrusion.

Les démarches de remplacement et les précautions à adopter

Pour compenser l'incident, l'émetteur a organisé le renouvellement des titres compromis. Dès le 5 novembre 2026, de nouvelles e-cartes ont été expédiées par courriel aux salariés lésés. La direction certifie auprès de l'AFP : « Aucune démarche n'est à faire et chaque porteur ne subit aucune perte financière », assurant qu'« une nouvelle e-carte créditée du montant exact qui se trouvait sur l'ancienne e-carte au moment de l'incident a été envoyée à chaque bénéficiaire ».

Chaque bénéficiaire doit consulter son compte en ligne ou le message reçu afin de vérifier la bonne restitution de son solde. En cas d'anomalie ou d'échec lors d'un passage en caisse, le salarié doit contacter en priorité son employeur ou son CSE émetteur.

La prudence reste de mise contre d'éventuelles arnaques par rebond. Même sans fuite de coordonnées bancaires directes, des escrocs pourraient exploiter l'association de votre identité et du montant dérobé pour orchestrer des courriels d'hameçonnage ciblé.