McDonald’s France piraté : ce qu’on sait sur le vol des points McDo+

Des dizaines de témoignages ont fleuri ces derniers jours sur Reddit, TikTok et X. Des clients de McDonald's France découvrent que leurs points fidélité McDo+ ont été utilisés à leur insu pour passer des commandes gratuites, parfois à plusieurs centaines de kilomètres de chez eux.

L'enseigne a fini par confirmer un incident de sécurité à la suite d'un article de 01net. Cette faille de sécurité a permis l'utilisation frauduleuse de comptes fidélité, et le trafic semble s'être organisé via des groupes spécialisés.

Ce qui s'est passé

McDo+ est l'application de la chaîne de fast-food utilisée pour commander, accumuler des points de fidélité et les échanger contre un menu ou une réduction. Sauf que depuis plusieurs jours, des cagnottes entières se vident sans que les titulaires aient validé la moindre commande. Plusieurs clients disent avoir perdu des centaines de points fidélité, soit quelques dizaines d'euros de repas. Dans certains cas, c'est discret : une centaine de points qui disparaît après une commande passée dans une ville inconnue. Dans d'autres, c'est la totale.

Contacté par l'AFP, McDonald's France évoque une utilisation frauduleuse de comptes fidélité de clients. L'enseigne assure qu'aucune donnée sensible ou financière n'a été consultée, tout en reconnaissant que des tentatives d'accès à des informations clients ont bien été détectées au sein du programme de fidélité.

À ce stade, McDonald's France ne détaille ni le nombre de comptes potentiellement touchés ni la période exacte pendant laquelle l'incident s'est produit.

Un marché noir des comptes McDo+ sur Discord et Telegram

Plusieurs vidéos TikTok montrent des individus expliquant comment commander gratuitement chez McDonald's grâce à des comptes qui ne leur appartiennent pas, et derrière se cacheraient des groupes Discord ou Telegram spécialisés dans la revente de comptes fidélité. Le mode d'emploi est répétitif : les acheteurs déboursent quelques euros pour récupérer un identifiant volé et déjà rempli de points. Il ne leur reste plus qu'à scanner un code QR usurpé à la borne pour utiliser les récompenses de quelqu'un d'autre.

L'origine de la faille reste, elle, floue. McDonald's France explique à l'AFP que « deux de partenaires ont récemment détecté des tentatives d'accès à des informations clients » au sein du programme de fidélité, après une modification dans la sécurité du système de connexion. Traduction : pas de fuite massive de coordonnées bancaires confirmée, mais un vol d'identifiants suffisant pour vider des cagnottes à la chaîne. Et ironie du sort, certaines plateformes revendant les codes QR sont en réalité des tentatives de phishing pour arnaquer les personnes pensant profiter d'un bon plan facile.

De son côté, McDonald's affirme que des « mesures correctives » ont été mises en place pour contenir l'incident. Le groupe a aussi lancé une réinitialisation générale des identifiants McDo+ et a désactivé temporairement certaines cartes virtuelles Apple Wallet et Google Wallet.

Ce qu'il faut faire si vous avez un compte McDo+

Si vous avez un compte McDo+, pensez à ouvrir l'application et vérifier l'historique des commandes ainsi que le solde de points. Si vous voyez une commande dans une ville où vous n'avez jamais mis les pieds, alors votre compte est sans doute compromis.

Il faut alors immédiatement changer de mot de passe et vérifier que le numéro de téléphone associé au compte est bien le vôtre (un attaquant peut l'avoir remplacé).