Illicado piraté : 15 000 cartes cadeaux électroniques copiées avant Noël, ce qu’il faut savoir

À quelques semaines de Noël, le spécialiste des cartes cadeaux Illicado a confirmé avoir été victime d'une cyberattaque. Le 1er novembre 2026, des pirates ont visé le service qui génère ses cartes cadeaux électroniques et ont récupéré des copies d'environ 15 000 e-cartes. Les cartes concernées ont été bloquées, puis remplacées, et l'entreprise assure que les bénéficiaires ne perdront pas d'argent. Reste une question qui inquiète les clients : les données copiées peuvent servir à fabriquer des arnaques crédibles dans les semaines qui viennent.

Ce qui s'est passé le 1er novembre

Selon les informations communiquées par l'entreprise et relayées par l'Agence France-Presse, l'attaque a eu lieu le 1er novembre 2026. Elle a visé le service informatique qui génère les documents PDF des e-cartes cadeaux, ces cartes dématérialisées que les entreprises offrent souvent à leurs salariés en fin d'année. L'attaque est décrite comme ciblée et automatisée : l'attaquant a contourné les protections de l'application pour obtenir des copies de cartes émises dans le cadre de commandes passées en 2025 et en 2026.

Illicado, exploité par la société illi&co basée à Croix dans le Nord, a confirmé l'incident au Figaro et à l'Agence France-Presse, après une première révélation du site spécialisé French Breaches. L'entreprise n'a pas souhaité communiquer le montant total disponible sur les cartes touchées. Le chiffre de 15 000 cartes est celui avancé par l'entreprise et repris par plusieurs médias, même si la notification adressée aux entreprises clientes ne précise pas elle-même un total global. Il faut donc le lire comme une estimation, pas comme un bilan définitif.

Quelles données ont été copiées

Les copies récupérées par les pirates contiennent bien plus qu'un simple code. D'après le courrier d'illi&co consulté par French Breaches, les documents comportent le nom et le prénom du bénéficiaire, le numéro complet de la carte, son cryptogramme, le montant associé et le message saisi lors de la commande. Autrement dit, un fraudeur qui détient une copie possède tout ce qu'il faut pour utiliser la carte avant son véritable bénéficiaire.

Certaines cartes ont d'ailleurs été utilisées frauduleusement avant leur blocage, selon French Breaches. Pour une seule entreprise cliente, 16 cartes disposant encore d'un solde au moment de l'incident, soit 3 295,76 euros au total, doivent être rééditées. Ce montant ne concerne qu'un client parmi d'autres, il ne faut pas le confondre avec le préjudice global, qui n'a pas été communiqué. En revanche, l'incident ne doit pas être présenté comme un vol de données bancaires : les éléments communiqués portent sur des cartes cadeaux électroniques, pas sur des comptes en banque ou des cartes de paiement. Les coordonnées des bénéficiaires ne seraient pas concernées, selon les informations disponibles.

Ce qu'Illicado a fait après l'attaque

La réaction a été rapide. Dès le 2 novembre, illi&co a bloqué les cartes cadeaux compromises et ramené leurs soldes à zéro par précaution. À partir du 5 novembre, l'entreprise a commencé à envoyer aux bénéficiaires, par courriel, une nouvelle e-carte créditée du montant exact qui se trouvait sur l'ancienne carte au moment de l'incident.

L'entreprise a aussi notifié la fuite de données à la Commission nationale de l'informatique et des libertés, la Cnil, comme la loi l'exige quand des données personnelles sont concernées. Elle a également déposé une plainte pénale auprès du procureur de la République près le tribunal judiciaire de Paris.

Pourquoi le risque ne s'arrête pas au blocage des cartes

Bloquer les cartes règle le problème le plus direct, mais pas tout. Les données copiées restent entre les mains des pirates, et elles peuvent servir à préparer des messages frauduleux très convaincants. Un faux courriel qui cite votre nom, le montant exact d'une carte et le message d'accompagnement paraîtra bien plus crédible qu'un message générique.

Le calendrier joue aussi en faveur des fraudeurs. Les cartes cadeaux sont des cadeaux courants à l'approche des fêtes, et beaucoup de salariés reçoivent justement une e-carte de leur entreprise en novembre ou en décembre. Un message qui parle de remplacement de carte, d'activation à confirmer ou de solde à vérifier tombe dans un contexte où la victime s'attend à recevoir ce type de communication.

Dans le même secteur, Smartbox a signalé de son côté une intrusion détectée le 3 novembre, avec des noms et des adresses e-mail de clients potentiellement exposés. Les deux incidents sont distincts, avec des systèmes différents, et rien ne permet d'affirmer qu'ils ont été menés par les mêmes pirates.

Que faire si vous avez reçu une e-carte Illicado

Si vous avez reçu une e-carte Illicado offerte par votre entreprise et générée en 2025 ou en 2026, commencez par vérifier son solde depuis les canaux habituels de l'enseigne, sans cliquer sur un lien reçu par courriel ou par SMS. Si votre carte fait partie des cartes touchées, vous devez recevoir une nouvelle carte par courriel à partir du 5 novembre, créditée du même montant.

Ne communiquez jamais le numéro d'une carte, son cryptogramme ou vos identifiants à la suite d'un message inattendu, même si ce message cite votre nom ou le montant de votre carte. Un vrai message de remplacement ne vous demandera pas de saisir vos codes sur un site tiers. En cas de doute, tapez vous-même l'adresse du site d'Illicado dans votre navigateur au lieu de suivre un lien.

Frequently Asked Questions

Ma carte cadeau Illicado est-elle encore valable après le piratage ?

Si votre carte fait partie des cartes touchées, elle a été bloquée le 2 novembre et son solde ramené à zéro par précaution. Vous devez recevoir une nouvelle e-carte par courriel à partir du 5 novembre, créditée du montant qui restait sur l'ancienne carte. Si votre carte n'a pas été concernée par l'incident, elle reste utilisable normalement.

Les pirates ont-ils volé mes données bancaires ?

Non, d'après les éléments communiqués. L'attaque a visé le service de génération des e-cartes cadeaux, et les données copiées sont le nom du bénéficiaire, le numéro de la carte, son cryptogramme, son montant et le message de commande. Aucun vol de données bancaires n'a été confirmé, et les coordonnées des bénéficiaires ne seraient pas concernées. Le risque principal reste l'utilisation frauduleuse des cartes et les tentatives d'hameçonnage qui s'appuient sur les données copiées.

Que faire si je reçois un message suspect au sujet de ma carte Illicado ?

Ne cliquez sur aucun lien et ne communiquez aucun code. Vérifiez le solde de votre carte en allant vous-même sur le site officiel d'Illicado, sans passer par le message reçu. Si le message annonce un remplacement ou une activation à confirmer, sachez que le remplacement se fait automatiquement par courriel, sans démarche de votre part.