Fuite de données : comment vérifier et quoi faire

Une fuite de données n'est pas un événement exceptionnel : c'est la situation normale. Si vous avez un compte sur internet depuis dix ans, vos identifiants figurent probablement dans au moins une base rendue publique.

Ce qui compte n'est pas de l'éviter, c'est d'en limiter les conséquences.

Vérifier en deux minutes

Des services recensent les fuites connues et permettent de tester une adresse email. Le plus établi agrège des milliards d'identifiants issus de piratages rendus publics.

Saisissez votre adresse. Vous obtenez la liste des services concernés, la date de chaque fuite et la nature des données exposées.

Faites le test pour toutes vos adresses, y compris celles que vous n'utilisez plus : ce sont souvent les plus exposées, parce qu'elles servaient à des inscriptions oubliées.

Pourquoi c'est grave, et pourquoi ça ne l'est pas

Une fuite isolée, sur un forum dont vous vous fichez, n'est pas un problème en soi.

Elle le devient par un mécanisme précis : les identifiants récupérés sont immédiatement testés en masse sur les grands services. Messagerie, réseaux sociaux, commerce en ligne, banque. C'est automatisé, cela prend quelques secondes, et cela s'appelle le bourrage d'identifiants.

Si vous avez réutilisé le même mot de passe, la fuite d'un forum oublié ouvre votre boîte mail. Et votre boîte mail permet de réinitialiser tout le reste.

C'est la réutilisation qui transforme un incident mineur en effet domino.

L'ordre dans lequel réagir

Si votre adresse ressort, procédez dans cet ordre.

1. Votre messagerie d'abord. C'est la clé de tous vos autres comptes. Nouveau mot de passe unique, et double authentification activée.

2. Les comptes qui touchent à l'argent. Banque, moyens de paiement, commerce en ligne où votre carte est enregistrée.

3. Le service qui a fuité. Changez le mot de passe, ou supprimez le compte si vous ne l'utilisez plus.

4. Tous les comptes où vous aviez réutilisé ce mot de passe. C'est l'étape la plus pénible, et c'est la plus importante. Si vous ne savez plus où vous l'aviez utilisé, c'est précisément le problème que résout un gestionnaire.

Les données qui ne se changent pas

Un mot de passe se change. Votre date de naissance, votre adresse postale, votre numéro de téléphone et votre numéro de sécurité sociale, non.

Quand ces informations fuitent, elles servent à des tentatives d'usurpation ciblées : un appel qui connaît votre adresse et votre banque paraît crédible.

Le réflexe à garder : personne de légitime ne vous demandera jamais un code de confirmation par téléphone. Ni votre banque, ni un opérateur, ni un service public. Si quelqu'un le demande, c'est une fraude, quelles que soient les informations exactes qu'il récite.

Comment ne plus jamais avoir ce problème

La réponse tient en une phrase : un mot de passe unique par service.

Avec un mot de passe unique partout, une fuite reste un incident isolé. Vous changez celui du service concerné, et rien d'autre n'est affecté.

Comme personne ne peut retenir quarante chaînes uniques, cela passe par un gestionnaire de mots de passe. C'est le geste qui a le plus d'impact sur votre sécurité, pour une heure de mise en place.

Ajoutez la double authentification sur les comptes importants : même avec le bon mot de passe, un attaquant reste bloqué.

La surveillance continue

Plusieurs services proposent une alerte quand votre adresse apparaît dans une nouvelle fuite. C'est utile : vous réagissez en quelques jours plutôt qu'en apprenant la nouvelle des mois après.

Cette fonction est souvent incluse dans les gestionnaires de mots de passe et dans certaines offres de VPN. Vérifiez avant de payer un service dédié : vous l'avez peut-être déjà.

Pour aller plus loin

Le sujet voisin des sociétés qui revendent votre profil, sans qu'il y ait eu piratage, est traité dans les courtiers en données.