Cybersécurité et vie privée : par où commencer

La cybersécurité pour les particuliers souffre d'un problème simple : les conseils disponibles sont soit terrifiants, soit inapplicables, soit les deux.

Voici les gestes qui comptent réellement, classés par rapport entre l'effort demandé et le bénéfice obtenu. Si vous n'en faites que trois, prenez les trois premiers.

Ce contre quoi vous vous protégez réellement

Première idée à corriger : vous n'êtes pas ciblé personnellement, et cela ne change rien.

La quasi-totalité des attaques qui touchent les particuliers sont automatisées. Des robots parcourent les listes d'identifiants issues de fuites et les testent en masse sur les grands services. Personne n'a décidé de s'en prendre à vous : votre adresse était dans une liste, c'est tout.

Conséquence pratique : les protections qui comptent sont celles qui font échouer un processus automatique, pas celles qui résisteraient à un adversaire déterminé.

Les gestes par ordre d'efficacité

1. Un mot de passe unique par compte

C'est le geste qui a le plus d'impact, et de loin. Il transforme une fuite chez un site quelconque en incident isolé au lieu d'un effet domino.

Comme personne ne peut retenir quarante mots de passe uniques, cela passe par un gestionnaire de mots de passe. Comptez une heure de mise en place, puis plus rien à faire.

2. La double authentification sur les comptes clés

Elle ajoute une seconde preuve au moment de la connexion. Même avec le bon mot de passe, un attaquant est bloqué.

Ne l'activez pas partout d'un coup, vous abandonnerez. Commencez par votre messagerie, votre banque et votre compte Apple ou Google. Voir le guide de la double authentification.

3. Les mises à jour

Peu spectaculaire, très efficace. La majorité des attaques réussies exploitent une faille corrigée depuis des mois. Activez les mises à jour automatiques du système et du navigateur, et arrêtez de reporter le redémarrage.

4. Un VPN sur les réseaux que vous ne contrôlez pas

Sur un wifi d'hôtel, d'aéroport ou de café, votre trafic passe par un équipement dont vous ne savez rien. Un VPN chiffre l'ensemble.

Sur votre box à la maison, le bénéfice est nettement plus faible, et je ne vais pas prétendre le contraire. Voir les dangers du wifi public.

5. Reprendre la main sur vos données personnelles

Des sociétés dont vous n'avez jamais entendu parler constituent un profil sur vous et le revendent. C'est légal, et vous avez le droit d'exiger la suppression. Voir les courtiers en données.

Le hameçonnage, l'attaque qui marche encore

Les fausses pages de connexion et les faux messages de livraison restent la méthode la plus rentable, parce qu'elles visent la personne et non la machine.

Trois réflexes suffisent à éliminer la quasi-totalité du risque.

Ne cliquez jamais sur un lien dans un message qui vous demande de vous connecter. Ouvrez le site vous-même, par votre favori ou en tapant l'adresse.

Méfiez-vous de l'urgence. "Votre compte sera suspendu sous 24 heures" est un signal, pas une information. L'urgence sert à couper la réflexion.

Fiez-vous au silence de votre gestionnaire de mots de passe. S'il ne propose pas de remplir le formulaire, c'est que le domaine n'est pas celui qu'il connaît. Ce silence est un avertissement.

Ce qui ne sert pas grand-chose

Autant le dire, pour que vous placiez votre effort au bon endroit.

Changer ses mots de passe tous les trois mois. Cette recommandation est abandonnée par les organismes qui la portaient. Elle pousse à créer des variantes prévisibles. Un mot de passe long et unique ne se change qu'en cas de fuite.

Le mode privé du navigateur. Il efface l'historique local. Il ne vous cache ni de votre fournisseur d'accès, ni des sites visités, ni de votre employeur.

Masquer son adresse IP pour échapper à la publicité ciblée. Le suivi publicitaire repose sur les cookies et l'empreinte du navigateur, pas sur l'adresse IP. Un VPN n'y change presque rien.

Les quatre sujets que je détaille

• Le wifi public et ce que l'on risque vraiment
• Les courtiers en données et comment les faire reculer
• Vérifier si vos données ont fuité
• La double authentification, laquelle choisir

Et un sujet connexe, parce que la question revient souvent : réduire son ping en jeu, où j'explique pourquoi un VPN n'est presque jamais la bonne réponse.