Points fidélité volés
et une origine jamais communiquée.

Ce qui distingue cette affaire d’un incident isolé, c’est l’existence d’une chaîne commerciale complète, visible et organisée.

• Des groupes Telegram et Discord spécialisés proposent des comptes crédités, vendus au lot pour quelques euros.
• Des vidéos publiées sur TikTok expliquent la marche à suivre pour commander sans payer, servant de vitrine à ces canaux.
• Le paiement s’effectue par des services de transfert grand public ou via des pages de paiement frauduleuses.
• L’acheteur reçoit un identifiant de fidélité déjà rempli, qu’il utilise en scannant un code sur une borne de commande.
• Le phénomène ne se limite pas à une enseigne : des comptes Burger King et KFC circulent sur les mêmes canaux.

L’étape finale mérite qu’on s’y arrête, car elle explique pourquoi la fraude fonctionne aussi bien. Devant une borne, le système ne vérifie pas une identité : il lit un code et crédite l’avantage correspondant. Le porteur du code est traité comme le titulaire du compte. Aucune authentification n’intervient, aucun appareil de confiance n’est requis, aucune confirmation n’est demandée. La revente en aval de ce type d’accès suit la même logique de place de marché que celle observée dans l’écosystème criminel plus large, jusque dans les services d’infrastructure visés par le démantèlement de First VPN.

Le modèle économique de cette revente éclaire aussi l’ampleur du phénomène. Un compte crédité se négocie quelques euros, alors qu’il donne accès à des récompenses d’une valeur supérieure pour l’acheteur. L’écart entre les deux montants constitue la marge du revendeur, et il n’est intéressant qu’à condition de traiter des volumes importants. Cela suppose une collecte automatisée en amont, une logistique de diffusion et un flux d’acheteurs régulier, ce que fournissent précisément les canaux de messagerie et les réseaux sociaux grand public. La fraude artisanale sur un compte isolé n’aurait aucun intérêt économique.

Les mesures prises sont réelles et rapides. Elles laissent néanmoins plusieurs questions ouvertes, qu’il serait malhonnête de présenter comme réglées.

• Réinitialisation des identifiants des comptes concernés, avec obligation pour le client de définir un nouveau mot de passe.
• Désactivation des cartes de fidélité virtuelles enregistrées dans les portefeuilles mobiles, à regénérer manuellement.
• Affirmation qu’aucune donnée sensible ou financière n’a été consultée. Il s’agit d’une déclaration de l’enseigne, non d’une vérification indépendante publiée.
• Aucun engagement de restitution des points dérobés. Le traitement se fait au cas par cas via le service client.
• Aucune communication sur le nombre de personnes concernées, ni sur la période durant laquelle les accès ont été possibles.

L’absence d’engagement sur les points est le point le plus sensible pour les clients. Un consommateur qui n’obtient pas satisfaction après une réclamation écrite peut, en France, saisir le médiateur de la consommation compétent, généralement après un délai d’un mois sans réponse ou en cas de réponse insatisfaisante. Cette voie est gratuite et préalable à toute action judiciaire. Elle suppose de conserver les traces : capture de l’historique, date de constatation, échanges avec le service client.

Les gestes utiles tiennent en quelques minutes, et le premier d’entre eux ne concerne pas l’application McDo+.

• Ouvrir l’application et consulter l’historique des commandes, pas seulement le solde. Une commande inconnue dans une ville éloignée est le signal le plus net.
• Définir un mot de passe unique, utilisé nulle part ailleurs. C’est la seule mesure qui neutralise le bourrage d’identifiants.
• Changer ce mot de passe partout où le même avait été réutilisé, en commençant par la messagerie électronique, qui commande la réinitialisation de tous les autres comptes.
• Activer la double authentification si le service la propose, et systématiquement sur les comptes de messagerie et bancaires.
• Regénérer la carte de fidélité virtuelle dans le portefeuille mobile, l’ancienne ayant été désactivée.
• Signaler la fraude via la page de réclamation du service client, en datant précisément la constatation.

Une précaution supplémentaire s’impose dans les semaines qui suivent une fuite médiatisée : la vigilance face aux messages se réclamant de l’enseigne. Un incident public crée un prétexte crédible pour des courriels de faux support demandant de « vérifier » un compte. Le mécanisme est identique à celui décrit dans notre article sur l’ arnaque au faux conseiller bancaire : l’escroc s’appuie sur une inquiétude légitime et récente.

Toute entreprise exploitant un espace client, une carte de fidélité ou une cagnotte est exposée au même schéma, quelle que soit sa taille. Les protections utiles ne relèvent pas de l’investissement lourd.

• Limiter les tentatives de connexion par compte et par adresse, et détecter les pics anormaux d’authentifications échouées, signature caractéristique du bourrage d’identifiants.
• Proposer une double authentification sur les espaces porteurs de valeur, même quand aucun paiement n’y transite.
• Ne pas traiter un code-barres ou un QR code comme une preuve d’identité suffisante pour débiter un avantage significatif.
• Alerter le client sur une connexion depuis un appareil ou une zone inhabituels, mesure peu coûteuse et immédiatement lisible.
• Cartographier les sous-traitants ayant accès aux données clients et vérifier ce que prévoient les contrats en matière de notification d’incident.
• Préparer à l’avance le message de crise. Une communication qui ne dit ni combien ni depuis quand alimente les interprétations, comme l’a montré cette affaire.

Le dernier point est un enjeu de réputation autant que de conformité. La confiance se joue sur la précision des réponses, y compris lorsqu’elles sont désagréables. Un incident bien expliqué se referme ; un incident mal expliqué se prolonge en soupçon. Cette exigence de rigueur vaut d’ailleurs pour toute communication technique, y compris celle des éditeurs eux-mêmes lorsqu’ils annoncent des correctifs, comme dans le cas des failles Microsoft Defender activement exploitées. Elle rejoint enfin une tendance de fond que confirment les grandes opérations policières internationales, à l’image de l’opération Ramz coordonnée par Interpol : le vol d’identifiants est aujourd’hui la principale porte d’entrée du cybercrime ordinaire.