Piratage Illicado : des codes de cartes-cadeaux volés et déjà utilisés

Le 1er novembre 2026, le service qui fabrique les cartes-cadeaux électroniques illicado a été attaqué. Ces e-cartes sont des fichiers PDF, envoyés par e-mail à la place d'une carte en plastique. Un attaquant a contourné les protections et a copié des cartes déjà émises pour des commandes d'entreprises passées en 2025 et en 2026. Le courrier d'illi&co, la société qui exploite ces cartes, dit que certaines ont été utilisées avant d'être bloquées. Il annonce une nouvelle carte à partir du 5 novembre, créditée du solde disponible avant l'incident, sans démarche et sans frais pour le bénéficiaire.

Ce récit vient d'un courrier adressé à une entreprise cliente. French Breaches le publie le 5 novembre 2026, sous la signature de Seblatombe. Le site écrit avoir consulté le document. Cyberattaque.org, le 5 novembre à 17 h, écrit s'être procuré une copie d'un e-mail de notification. fuitededonnées.fr, le même jour à 17 h 13, s'appuie sur cet article. À la date de ce texte, le 6 novembre, aucun communiqué lu sur illicado.com ou sur illiandco.com ne raconte l'incident.

French Breaches donne le compte rendu le plus détaillé. Cyberattaque.org confirme l'attaque, le service visé, les commandes de 2025 et de 2026, et, pour l'entreprise qui a reçu le message, 16 e-cartes réparties sur trois commandes. fuitededonnées.fr précise que l'extrait dont il dispose s'interrompt, et que les textes qu'il a lus ne mentionnent ni plainte ni signalement à la CNIL. La plainte, la liste des données, le calendrier du blocage et le montant de 3 295,76 euros restent donc ceux du courrier, tel que French Breaches le rapporte.

Une attaque sur le générateur de PDF

Le courrier situe l'attaque au 1er novembre 2026. Elle visait le service de génération des cartes au format PDF. Un tiers non autorisé a contourné les protections après une phase de préparation décrite comme discrète, puis a mené une opération ciblée et automatisée. Automatisée veut dire ici qu'un programme a enchaîné les demandes, au lieu d'une saisie une par une. La façon technique exacte n'est pas décrite.

Les outils de supervision ont détecté l'attaque. La supervision est la surveillance du service, celle qui doit alerter quand un usage sort de l'ordinaire. Des mesures de blocage et de neutralisation ont ensuite arrêté l'opération. Le courrier ne donne ni le nombre total de cartes copiées, ni le nombre d'entreprises. Il parle de nombreuses entreprises clientes, pour des commandes de 2025 et de 2026.

Le document porte la référence INC-ILLICO-261101. French Breaches écrit qu'il est signé par le délégué à la protection des données d'illi&co. Ce délégué est la personne chargée, dans la société, des questions de données personnelles. Son nom n'est pas publié dans la fiche.

Qui émet les cartes illicado

Les mentions légales d'illiandco.com, ouvertes pour cet article, identifient l'éditeur du site : la société illi&co, société par actions simplifiée à capital variable, dont le siège est au 78 bis, rue de la Gare, 59170 Croix. Elle est immatriculée au registre du commerce et des sociétés de Lille Métropole sous le numéro 485 191 407. Cyberattaque.org présente illicado comme son activité de cartes-cadeaux multi-enseignes. L'offre mêle des cartes physiques et des cartes dématérialisées, utilisables dans des enseignes partenaires. Elle s'adresse à des particuliers, à des entreprises et à des comités sociaux et économiques, les CSE. Un CSE est l'instance qui, dans beaucoup d'entreprises, gère une partie des activités sociales et peut offrir ces cartes aux salariés.

Une e-carte se dépense avec deux éléments. La page du centre d'aide sur le solde, mise à jour le 4 mars 2026, les nomme : un numéro de 19 chiffres, et un cryptogramme de 3 chiffres. Le cryptogramme est le court code qui accompagne le numéro. Sur une carte bancaire, le code du même genre est souvent appelé CVV. Ici, il sert à utiliser un solde cadeau. La page sur l'enregistrement, mise à jour le même jour, indique que ce numéro commence par 925000.

Le centre d'aide distingue aussi deux espaces. Le compte à créer sur www.illicado.com sert à enregistrer la carte. L'espace app.illicado.com est un autre compte : une personne qui a déjà utilisé une cagnotte peut avoir à en ouvrir un nouveau sur le site principal.

Ce que les PDF copiés contenaient

Selon la notification lue par French Breaches, les documents copiés contenaient :

• le nom et le prénom du bénéficiaire ;
• le numéro complet de la carte ;
• le cryptogramme ;
• le montant affecté à chaque carte ;
• le message d'accompagnement saisi au moment de la commande.

illi&co précise, dans le même compte rendu, que ces fichiers ne contenaient pas l'adresse e-mail, l'adresse postale ni le numéro de téléphone des bénéficiaires.

Le numéro et le cryptogramme suffisent à dépenser une carte qui a encore de l'argent, en caisse ou sur un site partenaire. Le message personnel est le petit mot écrit par la personne qui offre la carte. Sa copie a une conséquence directe : un message reçu plus tard, qui cite ce mot ou le prénom, peut très bien venir d'ailleurs qu'illicado.

Des cartes déjà dépensées, un seul montant publié

Le courrier confirme que des cartes compromises ont été utilisées sans autorisation, avant leur neutralisation. Le montant total de ces dépenses n'est pas communiqué. Le nombre de cartes passées en caisse par l'attaquant non plus.

Pour l'entreprise destinataire du courrier consulté par French Breaches, 16 cartes avaient encore un solde. Elles se répartissent sur trois commandes, pour un cumul de 3 295,76 euros, et elles doivent être rééditées. French Breaches écrit que cette somme est le solde de ces cartes. Elle mesure le restant à remplacer pour cette entreprise dans ce courrier. Elle laisse de côté le préjudice éventuel déjà subi, et elle laisse de côté l'ensemble des utilisations frauduleuses.

Cyberattaque.org retient les 16 e-cartes et les trois commandes, et écrit que ce chiffre ne permet pas de calculer un total. La page ouverte ne publie pas les 3 295,76 euros. fuitededonnées.fr reprend les 16 cartes, et rappelle que le volume global, la valeur cumulée et le nombre de bénéficiaires restent inconnus.

Du blocage du 2 novembre à la réédition du 5

Dès le 2 novembre 2026, illi&co indique avoir bloqué les cartes compromises et avoir fait un débit conservatoire de leurs soldes. Le débit conservatoire, dans cette phrase, est un retrait du solde décidé pour empêcher une nouvelle dépense. French Breaches écrit que ces opérations ont modifié les soldes pour un temps, et qu'elles ont aussi touché l'intégrité des données associées : pendant l'opération, les montants enregistrés ne correspondaient plus à l'état d'avant le blocage.

La suite annoncée est une réédition. Chaque bénéficiaire concerné doit recevoir une nouvelle e-carte, créditée du solde qui était disponible avant l'incident, sans démarche et sans frais de sa part. L'envoi est prévu à compter du 5 novembre 2026. Les cartes déjà périmées au moment de l'attaque restent en dehors de cette réédition. illi&co affirme qu'une fois le remplacement fait, les bénéficiaires ne subiront aucun préjudice financier.

Le courrier, selon la fiche, énumère d'autres mesures :

• la désactivation du service qui génère les PDF, et le blocage des téléchargements ;
• le blocage des cartes compromises, et la conservation temporaire de leurs soldes ;
• la suspension temporaire des flux de conversion, et un filtrage renforcé des accès automatisés ;
• le 3 novembre 2026, un correctif et des mesures de sécurité supplémentaires sur l'application ;
• la réédition et le recrédit des cartes concernées ;
• une surveillance renforcée des systèmes, des tentatives de paiement, et des espaces où des données volées se revendent.

La conversion, sur la page d'aide mise à jour le 4 mars 2026, est la transformation du montant en chèque cadeau Amazon.fr ou en carte Carrefour, depuis le compte où la carte a été enregistrée. Le courrier annonce une suspension temporaire de ces flux. Il ne nomme pas les enseignes. Un accès automatisé est une série de demandes envoyées par un programme. Les espaces de revente sont ceux que le courrier appelle dark web : des coins d'internet peu visibles, où des fichiers volés sont parfois proposés. À la date de la notification, illi&co indique qu'aucune publication et qu'aucune revendication des données n'avaient été constatées. Le même courrier dit que des cartes ont déjà été dépensées.

illi&co indique aussi avoir déposé une plainte auprès du procureur de la République près le tribunal judiciaire de Paris, et avoir fait des déclarations auprès des organismes compétents. Cette plainte est un signalement à la justice. Les articles lus ne publient ni jugement ni numéro d'affaire.

L'entreprise cliente prévient la CNIL, illi&co prévient les bénéficiaires

Dans le courrier, illi&co dit agir comme sous-traitant, au sens du règlement européen sur les données personnelles, le RGPD. Un sous-traitant est l'entreprise qui traite des données pour le compte d'un client. Ici, le client est l'entreprise ou le CSE qui a commandé les cartes. Cyberattaque.org rattache ce rôle à l'article 28 du règlement.

French Breaches écrit qu'illi&co juge le risque élevé pour les personnes concernées, en raison du caractère malveillant de l'attaque et de l'usage réel des données. Les effets cités sont l'indisponibilité temporaire des soldes, l'inquiétude, l'exposition des messages personnels, et les risques d'hameçonnage. L'hameçonnage est un e-mail, un SMS ou un appel qui imite un service connu pour obtenir un code ou un paiement. Cette analyse, selon le courrier, motive une notification à la CNIL et une information des bénéficiaires, au titre des articles 33 et 34 du RGPD. La CNIL est l'autorité française qui contrôle l'usage des données personnelles.

Le même courrier demande aux entreprises clientes de notifier elles-mêmes la violation à la CNIL dans les 72 heures après avoir reçu le document, et d'inscrire l'incident dans leur registre interne. illi&co écrit qu'elle ne fera pas ces déclarations à leur place. Elle annonce informer elle-même les bénéficiaires, au moment d'envoyer les nouvelles cartes.

Deux formulations tiennent dans le même compte rendu. illi&co dit avoir saisi des organismes compétents. Elle dit aussi laisser à chaque client le soin de saisir la CNIL. Les articles lus ne nomment pas ces organismes, et ils ne datent pas l'envoi du courrier. fuitededonnées.fr écrit, de son côté, ne pas avoir lu ces mentions dans l'extrait dont il dispose.

La page de la CNIL sur la notification d'une violation, publiée le 24 mai 2018, rappelle la règle générale. L'organisme qui décide de l'usage des données, appelé responsable du traitement, documente chaque violation. Si la violation présente un risque pour les personnes, il la signale à la CNIL dans les meilleurs délais, si possible dans les 72 heures après en avoir pris connaissance. Un dépassement de ce délai s'explique dans le signalement. Les informations encore manquantes peuvent suivre dans un second envoi. Le formulaire en ligne est réservé à ces organismes. Une personne qui voudrait écrire à la CNIL pour son propre cas utilise le formulaire des plaintes, un autre service. Quand le risque est élevé, les personnes concernées reçoivent aussi une explication. Le texte des articles 33 et 34 répartit les rôles : le sous-traitant prévient son client dans les meilleurs délais, et c'est ce client qui notifie l'autorité.

Ce que ça change pour quelqu'un qui a reçu une e-carte

Le courrier décrit des e-cartes émises pour des commandes d'entreprises en 2025 et en 2026. Une carte en plastique achetée en magasin pour un anniversaire relève d'un autre circuit que celui qui est écrit. Une e-carte reçue d'un employeur ou d'un CSE pendant ces deux années est du type de carte visé. Le courrier parle de nombreuses entreprises. Il ne dit pas que chaque carte de la période a été copiée.

Pour un bénéficiaire dont la carte figure parmi celles que le courrier appelle compromises, le premier changement est un solde qui peut avoir bougé sans achat de sa part. Depuis le 2 novembre, ces cartes ont été bloquées, et leur montant a été retiré à titre conservatoire. Une carte refusée en caisse, ou un solde à 0 euro alors que le cadeau n'a pas été dépensé, correspond à cette description. La page d'aide sur le solde rappelle qu'un 0 euro a aussi d'autres causes, pour une carte neuve : la commande n'est pas encore activée, ou, pour une e-carte achetée sur illicado.com, le délai d'activation d'un jour ouvré après l'envoi n'est pas écoulé. Un solde nul dit donc plusieurs choses possibles. Il ne dit pas, à lui seul, que l'argent a été dépensé par un tiers.

Le deuxième changement est l'arrivée annoncée d'une nouvelle carte, à compter du 5 novembre, avec le solde disponible avant l'incident. Le courrier dit que le bénéficiaire n'a rien à demander et rien à payer pour ce remplacement. Le 6 novembre, aucun texte public lu ici ne confirme que tous ces envois sont partis.

Le troisième changement tient dans le prénom et dans le message personnel. L'adresse e-mail du bénéficiaire ne figurait pas dans les PDF, selon le courrier. Un message qui cite quand même le petit mot de la carte a de quoi sembler renseigné. Ce détail figurait dans le fichier copié.

Que faire

Le premier geste porte sur le canal. L'adresse se tape : www.illicado.com, ou le centre d'aide relationclient.illicado.com. Un lien reçu dans un e-mail, un SMS ou un message qui parle du piratage, du blocage ou d'un recrédit vient d'un autre chemin.

Le solde se consulte sur la page que le centre d'aide appelle « Consulter mon solde », avec le numéro de 19 chiffres et le cryptogramme de 3 chiffres. Ce code est dans l'e-mail d'origine de l'e-carte, ou au dos d'une carte physique. La page mise à jour le 4 mars 2026 s'adresse d'abord à l'acheteur : cette consultation rapide laisse la carte libre. L'enregistrement, lui, est définitif. L'acheteur qui enregistre une carte qu'il compte encore offrir empêche le bénéficiaire de l'ajouter ensuite à son propre compte, et lui ferme la conversion en carte Amazon ou Carrefour.

Si la carte est refusée, ou si le solde a baissé sans achat du bénéficiaire, le chemin décrit par le courrier est la réédition, sans frais. Le PDF d'origine, ou le numéro noté à part, sert de repère en attendant. Si la nouvelle carte n'arrive pas, le contact passe par le formulaire du centre d'aide, ouvert depuis le site. La page « Comment contacter le Service Relation Client », mise à jour le 4 mars 2026, publie aussi le 03 59 61 25 94, du lundi au vendredi, de 8 h à 17 h 30. Pour un acheteur, c'est un appel, avec le numéro de commande sous la main. Pour un utilisateur de carte, la page parle d'un SMS envoyé vers ce numéro. Le numéro à composer est celui lu sur cette page, après l'avoir ouverte soi-même. Un appel qui affiche ce numéro, ou un SMS qui le recopie et demande le cryptogramme, suit un autre circuit.

Deux procédures coexistent. Les suivre l'une pour l'autre peut faire payer un remplacement que le courrier annonce gratuit.

La procédure liée à l'incident, dans le courrier, ne demande aucune démarche au bénéficiaire. La nouvelle carte porte le solde qui était disponible avant le 1er novembre. Les cartes déjà périmées à cette date en sont exclues. illi&co dit que le remplacement doit éviter tout préjudice financier.

La procédure générale de perte ou de vol est une autre page, mise à jour le 6 mai 2026, écrite pour l'acheteur. Si le bénéficiaire a déjà enregistré sa carte sur un compte illicado.com, il peut la bloquer lui-même : rubrique « Opposer une carte », choix de la carte, confirmation. Pour récupérer le solde, il répond à la question secrète choisie à la création du compte. Un avoir apparaît alors dans « Mes crédits ». Avec cet avoir, il commande une nouvelle carte, e-carte ou carte physique, pour un montant d'au moins 15 euros. Si l'avoir est inférieur à 15 euros, ou si des frais de port s'appliquent, un complément par carte bancaire peut être demandé. Si le bouton « Opposer » manque, ou si la question secrète est oubliée, la page renvoie au formulaire.

Si la carte n'a pas été enregistrée, la même page demande d'écrire au service par le formulaire et de fournir le numéro. L'acheteur, qui dispose des numéros des cartes distribuées, peut le donner au bénéficiaire. La page annonce alors un traitement dans un délai de 7 heures ouvrées, pendant les heures d'ouverture du service.

Pour une carte couverte par le courrier du 1er novembre, commander soi-même une carte neuve et ajouter de l'argent est un autre geste que celui qui est écrit. Un message qui réclame un paiement pour débloquer, revalider ou rembourser la carte ne correspond ni à ce courrier, ni au déroulement de la page perte ou vol. Cette page peut aboutir à un complément, après une opposition faite par le titulaire dans son propre compte, et seulement pour atteindre 15 euros ou pour payer un envoi. Elle ne demande pas de dicter le cryptogramme au téléphone.

Quand la nouvelle carte arrive par le canal annoncé, l'enregistrement est le geste que le centre d'aide recommande pour la suite. La page du 4 mars 2026 le décrit en trois temps : créer le compte sur www.illicado.com, choisir une question secrète et indiquer un numéro de téléphone, puis ajouter la carte dans « Mes Cartes » avec le numéro et le cryptogramme. Cet enregistrement permet de suivre le solde, de recevoir une alerte un mois avant la fin de validité, et de bloquer la carte en cas de perte. Il ne l'active pas. Une carte encore inactive se règle avec l'acheteur, entreprise, CSE ou proche. L'enregistrement est définitif. Il se fait sur le compte de la personne qui garde la carte.

L'employeur ou le CSE reste l'interlocuteur si la nouvelle carte n'arrive pas. C'est lui qui a reçu le courrier, et c'est lui qui détient les numéros de commande.

Que faire pour l'entreprise ou le CSE

Le courrier place l'entreprise cliente du côté de la notification. Il lui demande de signaler la violation à la CNIL dans les 72 heures après réception, et de l'inscrire dans le registre interne des violations. illi&co écrit qu'elle ne déposera pas ce signalement à la place de ses clients. Elle dit informer les bénéficiaires au moment de la nouvelle carte.

La page de la CNIL situe le délai du responsable à 72 heures, si possible, après le moment où il a pris connaissance des faits. Un retard s'explique. Un complément part quand les chiffres manquants arrivent. Le nombre total de cartes est absent du courrier : le signalement peut donc partir avec les faits déjà connus, référence INC-ILLICO-261101 comprise, puis être complété. Ce paragraphe rapproche les deux textes. Chaque organisme garde son propre cadre pour décider du dépôt.

Les 16 cartes et les 3 295,76 euros sont ceux d'une entreprise, dans le courrier lu par French Breaches. Une autre structure a ses propres commandes. Le courrier parle de nombreuses entreprises, sans en publier la liste.

Le message aux salariés tient en peu de phrases. Une e-carte commandée en 2025 ou en 2026 peut être bloquée depuis le 2 novembre. Le remplacement annoncé est sans frais. Le numéro et le cryptogramme restent dans le cadre habituel : le site ouvert soi-même, ou le formulaire du centre d'aide. Un petit mot connu de l'attaquant ne signe pas l'expéditeur d'un message.

La page de la CNIL ajoute, lorsqu'une violation suit une cyberattaque, le dépôt d'une plainte et la conservation des éléments techniques. illi&co écrit avoir déjà déposé plainte à Paris pour l'attaque de son service. Ce dépôt est le sien. La fiche n'en publie pas le numéro.

À retenir, le 6 novembre : le courrier d'illi&co, lu par French Breaches et recoupé sur son cœur par Cyberattaque.org, décrit des e-cartes d'entreprises copiées le 1er novembre, avec numéro et cryptogramme, et déjà utilisées pour partie. Le blocage date du 2 novembre. La réédition est annoncée à compter du 5, au solde d'avant l'incident, sans frais pour le bénéficiaire. Les 3 295,76 euros sont le solde de 16 cartes d'une seule entreprise. Le geste utile, pour la personne qui a reçu la carte, est de regarder son solde sur le site qu'elle a tapé elle-même, d'attendre la carte de remplacement, et de garder son cryptogramme face à un message qui cite le piratage.