Violation de données chez EarnIn (202 480 personnes touchées)

Le dossier du procureur général du Texas situe l’incident entre le 16 avril et le 14 octobre 2025. L’avis d’EarnIn destiné aux consommateurs indique que les transferts ont eu lieu d’avril 2025 au 15 octobre et que le problème a été découvert le 14 octobre.

L’écart d’un jour entre les dates de fin signalées n’a pas été expliqué. Le dossier du Texas a été publié le 12 novembre 2025 et précise que les notifications ont été envoyées par e-mail.

Selon EarnIn, son système a envoyé des informations personnelles chiffrées appartenant à des clients de Lead Bank à une autre banque partenaire. Il s’agissait donc d’un transfert accidentel au mauvais destinataire, et non d’une intrusion dans le réseau par un attaquant.

La banque destinataire était soumise à la réglementation fédérale et à celle des États, ainsi qu’à des obligations contractuelles de confidentialité. EarnIn n’a signalé ni acteur malveillant, ni logiciel malveillant, ni publication des données sur un site internet accessible à tous.

L’avis destiné aux consommateurs et le dossier du Texas mentionnent les noms, les adresses postales, les dates de naissance et les numéros de sécurité sociale.

Il s’agit de données d’identification sensibles. Toutefois, l’entreprise affirme que les données transférées étaient chiffrées, et cette liste ne signifie pas nécessairement que toutes ces informations étaient présentes pour chaque personne touchée.

Le procureur général du Texas fait état de 202 480 personnes touchées à l’échelle nationale, dont 21 178 résidents du Texas. Le nombre de personnes touchées au Texas est compris dans le total national et ne s’y ajoute pas.

Les numéros de sécurité sociale et les dates de naissance peuvent faciliter l’usurpation d’identité ou les demandes frauduleuses d’ouverture de compte s’ils sont obtenus par une personne non autorisée. Dans cet incident, le chiffrement et l’envoi à une banque soumise à la réglementation sont des circonstances importantes qui réduisent le risque par rapport à un jeu de données publié en libre accès sur internet.

EarnIn a déclaré n’avoir aucun élément indiquant que ces informations avaient été utilisées de manière abusive ou qu’il existait un risque plausible d’usurpation d’identité ou de fraude. Les personnes informées de l’incident doivent néanmoins rester vigilantes face aux messages frauduleux prétendant provenir d’EarnIn ou d’une banque.

L’entreprise a déclaré avoir sécurisé l’environnement concerné, ouvert une enquête avec des spécialistes indépendants et signalé l’incident aux autorités compétentes. Elle a également indiqué que la banque partenaire destinataire par erreur avait détruit les données reçues.

Si vous avez reçu une notification, vous pouvez en vérifier l’authenticité auprès des canaux d’assistance officiels d’EarnIn, consulter régulièrement vos rapports de crédit et vérifier si des comptes que vous ne reconnaissez pas ont été ouverts à votre nom.

Si vous constatez un compte ou une demande d’ouverture de compte que vous ne reconnaissez pas, contactez directement l’établissement financier concerné et envisagez de faire ajouter une alerte à la fraude ou de demander un gel de sécurité de votre dossier de crédit. Ne communiquez pas de numéro de sécurité sociale, de mot de passe ou de code de vérification en réponse à un message inattendu.