Vazamento de dados da Payactiv (202.2 mil pessoas afetadas)

O registro BR-0004778 da Procuradoria-Geral do Texas apresenta o comunicado da Payactiv, Inc., incluindo as datas do incidente e de sua descoberta, os tipos de informações afetadas, o total de pessoas afetadas e a forma de notificação dos consumidores.

A página inicial oficial da Payactiv descreve o serviço como uma plataforma de bem-estar financeiro. A política de privacidade oficial da empresa também informa que a plataforma, o site e os aplicativos móveis são fornecidos pela Payactiv, Inc.

Segundo o registro oficial, o vazamento começou em 3 de abril de 2025 e terminou em 20 de agosto de 2025. A Payactiv o descobriu em 12 de setembro de 2025, e o registro da Procuradoria-Geral do Texas foi publicado em 7 de janeiro de 2026.

As fontes públicas não explicam quais sistemas foram afetados durante o longo período do incidente nem se o acesso foi contínuo. Por isso, o método de acesso inicial, a causa técnica e o responsável pelo incidente não são apresentados como fatos comprovados.

O registro do Texas lista nomes e números do Seguro Social como os tipos de informações afetadas. Não se deve presumir que esses dois campos estivessem presentes juntos nos dados de todas as pessoas.

O comunicado oficial não lista senhas, nomes de usuário, endereços de e-mail, contas bancárias, cartões de pagamento, datas de nascimento ou informações de saúde. Também não informa se as pessoas afetadas eram funcionários, ex-funcionários, clientes ou tinham outro tipo de vínculo com a empresa.

O comunicado informa um total de 202.194 pessoas em todo o país. Os 14.461 residentes do Texas mencionados no mesmo registro já estão incluídos nesse total e não devem ser somados a ele.

A Payactiv informou que os consumidores afetados foram notificados pelo correio dos Estados Unidos. O registro público do órgão regulador não informa qual campo de dados se aplicava a cada pessoa nem apresenta o conteúdo das notificações individuais.

Nomes e números do Seguro Social podem ser usados indevidamente para roubo de identidade, abertura fraudulenta de contas, fraude fiscal e phishing direcionado. Como esses números continuam sendo úteis por muito tempo, o risco não se limita ao período imediatamente posterior ao incidente.

Uma mensagem que contenha um nome ou dado pessoal correto não comprova que tenha vindo da Payactiv, de um empregador, de um banco ou de um órgão governamental. Links inesperados e pedidos de verificação de identidade devem ser verificados por meios independentes.

Quem recebeu a notificação deve verificar regularmente seus relatórios de crédito e as consultas de crédito para abertura de novas contas, além de considerar opções gratuitas de congelamento de crédito ou alerta de fraude. Contas e transações desconhecidas devem ser comunicadas prontamente à instituição responsável.

Comunicações que aleguem vir da Payactiv ou de um empregador devem ser verificadas por um canal oficial já conhecido, e não por um link na mensagem. Guarde a notificação recebida pelo correio e não forneça seu número do Seguro Social em resposta a comunicações não solicitadas.