Violation de données chez Payactiv (202 200 personnes touchées)

Le registre du procureur général du Texas publie, sous la référence BR-0004778, la déclaration de Payactiv, Inc. Celle-ci précise les dates de l’incident et de sa découverte, les catégories d’informations concernées, le nombre total de personnes touchées et le mode de notification des consommateurs.

La page d’accueil officielle de Payactiv présente le service comme une plateforme de bien-être financier. La politique de confidentialité officielle de l’entreprise indique également que la plateforme, le site web et les applications mobiles sont fournis par Payactiv, Inc.

Selon le registre officiel, la violation de données a débuté le 3 avril 2025 et pris fin le 20 août 2025. Payactiv l’a découverte le 12 septembre 2025, et l’entrée du registre du procureur général du Texas a été publiée le 7 janvier 2026.

Les sources publiques ne précisent pas quels systèmes ont été touchés au cours de cette longue période, ni si l’accès a été continu. La méthode d’accès initial, la cause technique et l’identité de l’auteur de l’attaque ne sont donc pas présentées comme des faits établis.

Le registre du Texas mentionne les noms et les numéros de sécurité sociale comme catégories d’informations touchées. Il ne faut pas en déduire que ces deux données étaient présentes ensemble pour chaque personne.

La déclaration officielle ne mentionne pas de mots de passe, de noms d’utilisateur, d’adresses e-mail, de comptes bancaires, de cartes de paiement, de dates de naissance ou d’informations de santé. Elle ne précise pas non plus si les personnes touchées étaient des salariés, d’anciens salariés, des clients ou des personnes entretenant un autre type de relation avec l’entreprise.

La déclaration fait état de 202 194 personnes touchées au total à l’échelle des États-Unis. Les 14 461 résidents du Texas mentionnés dans la même entrée sont inclus dans ce total et ne doivent pas y être ajoutés.

Payactiv a indiqué que les consommateurs touchés avaient été informés par courrier postal aux États-Unis. L’entrée publique du registre de l’autorité de contrôle ne précise pas quelle donnée était concernée pour chaque personne et ne fournit pas le contenu des notifications individuelles.

Les noms et les numéros de sécurité sociale peuvent être utilisés à des fins d’usurpation d’identité, d’ouverture frauduleuse de comptes, de fraude fiscale et d’hameçonnage ciblé. Ces numéros restant exploitables pendant longtemps, le risque ne se limite pas à la période qui suit immédiatement l’incident.

Un message contenant un nom exact ou une information personnelle correcte ne prouve pas qu’il provient de Payactiv, d’un employeur, d’une banque ou d’un organisme public. Les liens inattendus et les demandes de vérification d’identité doivent être vérifiés par un autre canal.

Les destinataires d’une notification devraient examiner régulièrement leurs rapports de crédit et les consultations de leur dossier de crédit liées à l’ouverture de nouveaux comptes, et envisager les options gratuites de gel du dossier de crédit ou d’alerte à la fraude. Tout compte ou toute opération non reconnus devraient être signalés rapidement à l’établissement concerné.

Les communications prétendant provenir de Payactiv ou d’un employeur devraient être vérifiées par un canal officiel déjà connu, plutôt qu’en suivant un lien contenu dans le message. Conservez la notification reçue par courrier et ne communiquez pas votre numéro de sécurité sociale en réponse à des communications non sollicitées.