Vos données ont-elles fuité ? Comment le vérifier et réagir sans paniquer

Vous recevez un message qui vous annonce que vos données ont fuité, ou vous lisez qu'un service que vous utilisez a été piraté. Premier réflexe : paniquer, puis ne rien faire, parce qu'on ne sait pas par où commencer. Ce guide remet les choses dans l'ordre : vérifier si vous êtes concerné, sécuriser les comptes qui comptent, puis adopter deux habitudes qui limitent les dégâts la prochaine fois.

Étape 1 : vérifier si votre adresse a fuité

Le point de départ le plus simple est un service de vérification de fuites. Le plus connu est Have I Been Pwned, un site indépendant qui recense les fuites de données rendues publiques et permet de vérifier si une adresse e-mail ou un numéro de téléphone y apparaît. Vous saisissez votre adresse, et le site vous indique dans quelles fuites connues elle apparaît, avec la date et le type de données concernées.

Quelques règles de prudence s'imposent. Utilisez un service reconnu et ne saisissez jamais votre mot de passe actuel sur un site de vérification.

Le résultat demande à être interprété calmement. Une adresse qui apparaît dans une vieille fuite ne signifie pas que quelqu'un utilise votre compte en ce moment. Cela signifie que vos données circulent dans des bases revendues ou partagées, et que le risque existe si le mot de passe associé est encore utilisé ailleurs. C'est cette réutilisation qu'il faut traiter en priorité.

Étape 2 : changer les mots de passe, dans le bon ordre

Si une fuite est confirmée, ou si vous avez un doute, changez d'abord le mot de passe du compte de messagerie lié à cette adresse. Votre boîte e-mail est la clé de presque tout le reste : c'est par elle que passent les réinitialisations de mot de passe des autres services. Un mot de passe de messagerie compromis, c'est donc l'ensemble de vos comptes qui devient vulnérable, même ceux qui n'ont pas fuité.

Passez ensuite aux comptes sensibles : banque, administrations, réseaux sociaux, sites d'achat où une carte est enregistrée. Pour chaque compte, choisissez un mot de passe unique et long. Une phrase de passe fonctionne bien : quatre mots sans rapport sont plus faciles à retenir qu'une suite de caractères aléatoires et plus difficiles à deviner qu'une date ou un prénom. Ne recyclez jamais un ancien mot de passe, même en changeant un chiffre à la fin : les attaquants testent ces variantes automatiquement.

Si le service propose un gestionnaire de mots de passe intégré au navigateur ou au téléphone, utilisez-le pour générer et mémoriser ces nouveaux mots de passe. L'objectif est l'unicité : un mot de passe différent par service, pour qu'une fuite n'en entraîne pas d'autres en cascade.

Étape 3 : activer la validation en deux étapes partout où c'est possible

La validation en deux étapes, aussi appelée authentification à deux facteurs, ajoute une preuve supplémentaire au mot de passe : un code temporaire reçu sur votre téléphone ou généré par une application d'authentification. Même si quelqu'un récupère votre mot de passe dans une fuite, il ne pourra pas se connecter sans ce second facteur.

Activez-la en priorité sur votre messagerie, vos comptes bancaires, vos réseaux sociaux et vos services de stockage en ligne. Dans la plupart des cas, l'option se trouve dans les paramètres du compte, sous une rubrique sécurité ou connexion. Préférez une application d'authentification ou une clé de sécurité physique au code reçu par SMS quand le choix existe.

Cette étape prend quelques minutes par compte, et c'est celle qui change le plus la donne : un mot de passe peut fuiter, un second facteur bien configuré reste un obstacle décisif.

Étape 4 : vérifier les sessions actives et les accès accordés

Après avoir changé vos mots de passe, jetez un œil aux sessions actives de vos comptes principaux. La plupart des grands services proposent une page qui liste les appareils connectés et les connexions récentes. Si vous y voyez un appareil inconnu ou une connexion à une heure où vous dormiez, déconnectez cette session et signalez-la si le service le propose.

Vérifiez aussi les applications tierces qui ont accès à vos comptes et révoquez les accès que vous ne reconnaissez pas. Cette vérification prend dix minutes et élimine des portes d'entrée oubliées, parfois ouvertes depuis des années.

Étape 5 : surveiller, signaler, et garder les bons réflexes

Dans les jours qui suivent une fuite, redoublez de vigilance face aux messages suspects. Les données fuitées servent souvent à fabriquer des arnaques ciblées : un faux message de votre banque, un faux colis à livrer, un faux conseiller qui vous appelle. Ne cliquez jamais sur un lien reçu par SMS ou par e-mail pour vous connecter à un service sensible : ouvrez l'application officielle ou tapez l'adresse vous-même.

En France, plusieurs démarches existent selon la situation. Si vous êtes victime d'une usurpation d'identité, signalez-la sur la plateforme PHAROS. Si vous recevez des appels ou des SMS de démarchage abusifs, le 33700 permet de signaler les numéros. Et si une entreprise a mal protégé vos données, vous pouvez saisir la CNIL. Conservez les messages suspects et les preuves : captures d'écran, dates, adresses d'expéditeur.

Enfin, deux habitudes simples réduisent durablement le risque. D'abord, ne communiquez que le minimum nécessaire : chaque formulaire rempli laisse une trace qui pourra fuiter un jour. Ensuite, vérifiez vos adresses une ou deux fois par an, comme un bilan de santé numérique.

Frequently Asked Questions

Faut-il payer pour vérifier si mes données ont fuité ?

Non. La vérification de base sur un service reconnu comme Have I Been Pwned est gratuite. Méfiez-vous des sites qui demandent un paiement ou votre mot de passe actuel pour effectuer cette vérification : aucun service sérieux n'a besoin de votre mot de passe pour vous dire si votre adresse apparaît dans une fuite.

Mon adresse apparaît dans une fuite ancienne : dois-je m'inquiéter ?

Pas de panique, mais agissez. Une vieille fuite signifie que vos données circulent, et le risque principal est la réutilisation du mot de passe associé. Si ce mot de passe est encore utilisé quelque part, changez-le sans attendre, en commençant par votre messagerie, puis activez la validation en deux étapes.

Que faire si quelqu'un a déjà utilisé mon compte ?

Changez immédiatement le mot de passe et activez la validation en deux étapes, déconnectez toutes les sessions actives, puis vérifiez les modifications récentes sur le compte (adresse de récupération, achats, messages envoyés). Si des opérations frauduleuses ont eu lieu, conservez les preuves, signalez les faits sur PHAROS et contactez votre banque ou le service concerné sans attendre.