Incident de cybersécurité — Information clients

Circonstances de l’incident 

Les identifiants d’accès d’un magasin ont été compromis par un logiciel malveillant sur un système tiers. Cette compromission a été exploitée par la suite par un tiers malveillant, qui s’est introduit dans les systèmes d’information de l’entreprise. 

Comment avons-nous réagi ? 

Easy Cash a eu connaissance, au matin du 27 avril 2026, qu’un accès non autorisé à des informations personnelles de certains de ses clients s’était produit à la suite d’une intrusion dans un outil interne de l’entreprise. 

Dès que nous avons eu connaissance de cet incident, nous avons pris en urgence l’ensemble des mesures qui s’imposent. Nous avons suivi nos procédures internes en cas de cyberattaque : 

- mise en place d’une cellule de crise cyber pour analyser et traiter l’incident ; 

- recours à une entreprise externe spécialisée en cybersécurité ; 

- coupure des moyens d’accès ayant permis la compromission ; 

- renforcement de nos dispositifs de sécurité existants ; 

- analyse des informations laissées par l’attaquant. 

Une fois l’incident contenu, nous avons : 

- porté plainte et informé les autorités compétentes, notamment la CNIL, dans le délai de 72 heures prévu par le RGPD ; 

- organisé une communication à destination des clients concernés ; 

- mis en place un dispositif de surveillance renforcé pour détecter toute nouvelle tentative. 

La sécurité des données de nos clients étant au cœur de nos préoccupations, nous tenons à présenter nos sincères excuses aux personnes concernées pour les désagréments que cet incident a pu occasionner. 

Mes données ont-elles été affectées ? 

Les clients concernés par cet incident recevront une communication individuelle de la part d’Easy Cash. Si vous n’êtes pas contacté(e), cela signifie que vos informations n’ont pas été impactées. 

Les données concernées par cet incident sont les suivantes : 

- Nom 

- Prénom 

- Date de naissance 

- Adresse postale (si connue) 

- Adresse email (si connue) 

- Numéro de carte de fidélité (si existante) 

Aucune donnée bancaire, aucun mot de passe, ni aucun identifiant de connexion à votre compte Easy Cash ne sont concernés par cet incident. 

Le site internet www.easycash.fr fonctionne normalement : vous pouvez y effectuer vos transactions en toute sécurité. 

Quelles mesures ont été mises en place pour éviter un nouvel incident ? 

- Blocage des comptes utilisateurs compromis ; 

- Réinitialisation des mots de passe de l’ensemble des comptes utilisateurs internes ; 

- Supervision active depuis la détection de l’incident ; 

- Durcissement des protocoles de sécurité (sensibilisation des collaborateurs, mise à niveau des procédures d’authentification, filtrage IP, etc.). 

Quelles sont les conséquences possibles ? 

Compte tenu de la nature des données concernées, les conséquences potentielles pour les clients pourraient être les suivantes : 

- un risque accru de tentatives d’hameçonnage (phishing) par email : des tiers malveillants pourraient chercher à se faire passer pour l’entreprise en s’appuyant sur des informations personnelles connues du destinataire ; 

- un risque de sollicitations frauduleuses ciblées par email, exploitant la connaissance du prénom, du nom ou de la date de naissance pour renforcer leur crédibilité ; 

- un risque marginal d’utilisation détournée du numéro de carte de fidélité, étant précisé que ce numéro ne permet ni paiement, ni accès à un compte client ; 

- un risque résiduel limité d’usurpation d’identité, limité par l’absence de données critiques (pièce d’identité, données bancaires, identifiants de connexion) parmi les informations concernées. 

Quelles mesures puis-je prendre pour me protéger ? 

À titre de précaution, il est recommandé aux clients concernés de faire preuve d’une vigilance particulière à l’égard des courriels inattendus ou inhabituels, de ne pas cliquer sur des liens dont l’origine n’est pas certaine, et de signaler, en nous adressant un courriel sur l’adresse securite@easycash.fr, toute communication suspecte se présentant au nom de l’entreprise. 

Plus précisément, nous vous recommandons de prendre les mesures suivantes : 

- Vérifiez toujours la provenance des emails ou courriers que vous recevez et assurez-vous que vous connaissez l’émetteur, notamment en contrôlant son adresse électronique. 

- N’ouvrez pas les emails ou les pièces jointes si vous avez des doutes sur leur origine, et ne répondez à aucun email dont vous ne connaissez pas l’émetteur. En cas de doute, vérifiez l’identité de l’émetteur en utilisant un autre canal (numéro de téléphone, adresse email alternative). 

- Ne cliquez sur aucun lien suspect figurant dans un email : vérifiez l’adresse du site vers lequel vous êtes renvoyé(e) en passant votre souris sur le lien. Le cas échéant, connectez-vous directement à l’adresse du site depuis votre navigateur, sans cliquer sur le lien dans l’email. 

- Ne répondez pas aux demandes d’informations confidentielles sans être certain(e) de leur origine, et ne communiquez aucune donnée (notamment vos données bancaires, codes d’accès, mots de passe ou identifiants) sans vous être assuré(e) de la validité du message et de l’identité de son émetteur, que la demande vous soit adressée par email ou par courrier. Easy Cash ne vous demandera jamais de telles informations. 

- Si vous constatez une anomalie sur votre solde de points de fidélité EASY CASH, signalez-le auprès de votre magasin

- Assurez-vous que votre mot de passe ne comprend pas vos informations personnelles dans sa composition (nom de famille, prénom, date de naissance, etc.). En cas de doute, changez-le immédiatement. 

- Assurez-vous qu’une solution antivirus à jour est active sur votre équipement. 

En cas de doute ou si vous constatez une utilisation frauduleuse de votre identité, signalez-le sur la plateforme www.cybermalveillance.gouv.fr et déposez plainte auprès des autorités compétentes si besoin. 

Pour plus de détails, vous pouvez consulter le site de l’ANSSI ainsi que les bonnes pratiques de sécurité numérique de la CNIL : www.cnil.fr/fr/mon-quotidien/ma-securite-numerique. 

Cet incident est-il lié à celui survenu en avril 2025 ? 

Non. Il s’agit de deux incidents distincts, sur deux plateformes distinctes, avec deux modes opératoires différents. 

Le 16 avril 2025, Easy Cash avait été victime d’un incident de cybersécurité ayant entraîné l’exposition de données personnelles concernant des collaborateurs ainsi que des clients en France. Cet incident a fait l’objet d’une notification à la CNIL et d’une communication dédiée auprès des personnes concernées. 

Comment se fait-il que vous ayez eu deux incidents de sécurité ? 

Ces deux incidents, distincts dans leurs modes opératoires, illustrent la sophistication croissante des cyberattaques actuelles. Une part importante d’entre elles exploitent des vulnérabilités humaines via des techniques de phishing et d’ingénierie sociale de plus en plus réalistes — un risque face auquel aucune organisation n’échappe pleinement, malgré les dispositifs techniques et organisationnels mis en place. 

C’est pourquoi nous renforçons en continu nos mesures de protection, en investissant tant dans nos infrastructures techniques que dans la sensibilisation et la formation de nos collaborateurs. 

À qui puis-je m’adresser si j’ai d’autres questions concernant cet incident ? 

Il n’est pas nécessaire de vous rendre dans votre magasin Easy Cash. Nous vous invitons à nous contacter par email à l’adresse suivante : securite@easycash.fr. 

Rappels sur les droits dont vous disposez sur vos données personnelles 

Nous vous rappelons qu’en toute hypothèse, vous disposez sur vos données personnelles des droits d’accès, de rectification, d’effacement, de portabilité, de limitation des traitements, d’opposition au traitement, ainsi que du droit de retirer votre consentement à tout moment lorsque celui-ci a fondé le traitement, conformément à la réglementation en vigueur. 

Vous pouvez exercer ces droits auprès d’Easy Cash, en justifiant de votre identité, en adressant votre demande à : dpo@easycash.fr. 

Nous vous rappelons enfin qu’en cas de difficultés non résolues, vous pouvez déposer une réclamation auprès de l’autorité de contrôle compétente, qui est, en France, la Commission Nationale de l’Informatique et des Libertés (CNIL).