Réponse courte
Une fuite de données signifie qu’une entreprise a perdu des données incluant les vôtres — souvent une adresse e-mail, parfois un mot de passe, un numéro de téléphone ou une adresse postale. Vérifiez ce qui a été exposé (l’avis de l’entreprise, Have I Been Pwned, le Contrôle des mots de passe de Google ou les Recommandations de sécurité d’Apple). Puis, dans cet ordre : changez le mot de passe exposé et celui de chaque compte où vous l’aviez réutilisé, en commençant par votre messagerie ; activez la validation en deux étapes ou une clé d’accès ; et attendez-vous à un hameçonnage de suivi — le NCSC britannique prévient que les messages frauduleux arrivent souvent des semaines après l’annonce d’une fuite. Si des données d’identité ou de carte ont fuité, surveillez vos relevés et prévenez votre banque.
D’abord, savoir ce qui a fuité
| Ce qui a fuité | Le risque | Que faire |
|---|---|---|
| Adresse e-mail seule | Hameçonnage et spam qui semblent personnels | Se méfier des messages « sur la fuite » et de leurs liens |
| Mot de passe | Prise de contrôle, surtout là où il est réutilisé | Le changer partout où il servait ; activer la 2FA |
| Numéro de téléphone | SMS et appels frauduleux, tentatives de SIM swap | Demander un code PIN à l’opérateur — voir SIM swap |
| Adresse, date de naissance | Arnaques ciblées qui « vérifient » vos données | Se méfier des appelants qui les connaissent déjà |
| Pièce d’identité ou carte | Fraude et comptes ouverts à votre nom | Appeler la banque, faire opposition si besoin |
Changer les mots de passe dans le bon ordre
- Votre messagerie d’abord : toutes les réinitialisations passent par elle.
- Le service victime de la fuite.
- Chaque compte où vous utilisiez le même mot de passe ou un mot de passe proche : les pirates testent automatiquement les mots de passe volés sur d’autres sites.
- Banque, paiement, achats et réseaux sociaux.
Utilisez un mot de passe différent par compte — un gestionnaire de mots de passe rend la chose réaliste — et, quand c’est proposé, une clé d’accès supprime carrément le mot de passe.
Les outils qui vous disent si vous êtes exposé
- Have I Been Pwned (haveibeenpwned.com) : recherche gratuite dans les fuites publiques à partir d’une adresse e-mail. Le NCSC britannique y renvoie.
- Contrôle des mots de passe Google : sur passwords.google.com, il signale les mots de passe enregistrés exposés, réutilisés ou faibles.
- Mots de passe d’Apple : les Recommandations de sécurité signalent les mots de passe divulgués, réutilisés et faibles sur iPhone, iPad et Mac.
Méfiez-vous de l’arnaque qui suit
Les fuites sont suivies d’e-mails, SMS et appels qui utilisent les données volées pour paraître authentiques : « votre compte est compromis, cliquez ici », un « remboursement suite à la fuite », ou un interlocuteur qui connaît déjà votre adresse. Le NCSC conseille de contacter l’entreprise par son site ou son appli officiels, jamais via les liens ou numéros du message. Ne donnez jamais un code ou un mot de passe à quelqu’un qui vous a contacté. Signalez ce que vous recevez — voir comment signaler l’hameçonnage.
Si des données d’identité ou bancaires ont fuité
- Prévenez votre banque et vérifiez vos relevés à la recherche de paiements inconnus.
- Aux États-Unis, le gel du crédit est gratuit et doit être demandé à chacun des trois bureaux de crédit ; une première alerte à la fraude dure un an et peut être renouvelée, selon la FTC.
- Ailleurs, demandez à votre banque ou au service national anti-fraude quelles protections existent — voir où signaler une fraude en ligne selon le pays.
Questions fréquentes
Seule mon adresse e-mail figure dans la fuite. Dois-je agir ?
Rien d’urgent, mais attendez-vous à un hameçonnage plus ciblé. Si le site concerné stockait aussi votre mot de passe, changez-le là-bas et partout où vous l’avez réutilisé.
Have I Been Pwned est-il sûr ?
Oui. C’est un service gratuit très utilisé, vers lequel renvoie le NCSC britannique, et vous n’y saisissez qu’une adresse e-mail — jamais un mot de passe.
Faut-il supprimer le compte concerné ?
Si vous ne l’utilisez plus, le fermer réduit le risque. Changez d’abord le mot de passe, puis supprimez le compte via les paramètres officiels du service.
Combien de temps dure une alerte à la fraude aux États-Unis ?
Selon la FTC, une première alerte dure un an et peut être renouvelée. Un gel du crédit reste en place jusqu’à ce que vous le leviez ; le poser et le lever est gratuit.
Sources: NCSC — fuites de données : conseils aux particuliers et aux familles, Have I Been Pwned, Aide Compte Google — modifier les mots de passe compromis (Contrôle des mots de passe), Guide d’utilisation de l’iPhone — modifier les mots de passe faibles ou compromis, FTC — gels du crédit et alertes à la fraude