Commençons par une erreur qu'on voit souvent. Quelqu'un tape « mon adresse mail a-t-elle été piratée » dans un moteur de recherche, puis saisit son adresse, parfois même son mot de passe, sur le premier site inconnu venu. Ironie du sort, par peur d'une fuite, il vient de confier ses données à un nouvel inconnu. Vérifier est une bonne idée ; l'endroit et la manière comptent tout autant.
Une fuite de données, c'est quoi exactement ?
Une fuite de données, c'est quand des informations d'utilisateurs stockées par une entreprise tombent entre les mains de personnes non autorisées. Vous n'avez pas forcément commis d'erreur. Un forum, un site de jeux ou une plateforme de vente en ligne où vous vous êtes inscrit il y a des années se fait attaquer ; adresses e-mail, identifiants, parfois mots de passe (souvent chiffrés, mais parfois, hélas, en clair) se mettent à circuler sur Internet.
Que votre adresse apparaisse dans une fuite ne veut pas dire que votre boîte mail a été piratée. Cette distinction est essentielle. Dans la plupart des cas, voici ce qui se passe. Votre adresse et le mot de passe que vous utilisiez sur ce site figurent dans une liste. Des attaquants testent ensuite ce couple adresse-mot de passe sur d'autres sites. Si vous réutilisez le même mot de passe ailleurs, c'est là que le vrai risque commence.
Vérifier avec Have I Been Pwned, étape par étape
Have I Been Pwned est un service créé par le chercheur en sécurité Troy Hunt, qui recense depuis des années les fuites rendues publiques. Ça prend une minute :
- Allez sur le site en tapant haveibeenpwned.com directement dans la barre d'adresse de votre navigateur, et non via un site au nom approchant trouvé dans les résultats de recherche.
- Saisissez votre adresse e-mail dans le champ de la page d'accueil et lancez la recherche.
- Si le résultat est vert, votre adresse n'apparaît dans aucune des fuites connues du service.
- S'il est rouge, la liste des fuites concernées s'affiche en dessous, avec leur date et le type de données exposées (e-mail, mot de passe, téléphone, adresse IP, etc.).
- Si vous le souhaitez, inscrivez-vous aux alertes pour être prévenu si votre adresse apparaît dans une nouvelle fuite.
Puis-je aussi vérifier mon mot de passe ?
La rubrique « Passwords » du même site permet de vérifier si un mot de passe a déjà été vu dans des fuites. Le service explique utiliser une méthode qui n'envoie pas le mot de passe complet. Si vous préférez rester prudent, regardez aussi du côté de votre gestionnaire de mots de passe ou de la fonction de vérification intégrée à votre navigateur, car beaucoup proposent ce type d'alerte. Et sur un site que vous ne connaissez pas, ne tapez jamais de mot de passe. Point.
Mon adresse a fuité. Que faire maintenant ?
Face à l'écran rouge, le premier réflexe est souvent la panique. Inutile. En suivant l'ordre ci-dessous, vous réglez l'essentiel du risque en un après-midi.
- Changez le mot de passe sur le site touché par la fuite, si le compte existe encore. Si vous ne l'utilisez plus, pensez à le supprimer.
- Repérez tous les endroits où vous utilisez le même mot de passe. C'est la partie la plus pénible, mais aussi la plus importante. Si votre messagerie, votre banque ou vos réseaux sociaux sont protégés par le même mot de passe, changez-les un par un. Commencez par la messagerie, car c'est là qu'arrivent les liens de réinitialisation de tous vos autres comptes.
- Activez la double authentification. Même si votre mot de passe est connu, elle bloque la connexion sans l'application d'authentification ou le code reçu sur votre téléphone. Si elle est désactivée sur votre messagerie, activez-la aujourd'hui.
- Utilisez un mot de passe différent pour chaque compte. Impossible de tous les retenir de tête ; un gestionnaire de mots de passe vous simplifie la vie.
- Passez en revue les paramètres de sécurité de votre messagerie. Sessions inconnues, règles de transfert, numéro ou adresse de récupération modifiés ? Les attaquants ajoutent parfois une règle de transfert discrète pour passer inaperçus.
- Restez particulièrement vigilant face aux e-mails des semaines suivantes. Les listes issues de fuites servent aussi aux campagnes d'hameçonnage. Ne cliquez pas sur les liens des messages du type « problème sur votre compte » ; tapez vous-même l'adresse du site de l'organisme. Pour faire face à l'afflux de courriers indésirables, consultez aussi notre article sur les moyens de se débarrasser du spam.
Et si mon numéro de téléphone fait partie de la fuite ?
Méfiez-vous alors aussi des SMS et des appels. Ne donnez jamais de code à quelqu'un qui se présente comme votre banque ou un livreur. Aucun organisme ne vous demandera par téléphone le code de vérification que vous venez de recevoir.
Pourquoi le type de données exposées compte-t-il ?
| Données exposées | Risque principal | Action prioritaire |
|---|---|---|
| Adresse e-mail seule | Davantage de spam et d'hameçonnage | Vigilance sur les e-mails reçus, filtres renforcés |
| E-mail et mot de passe | Prise de contrôle des autres comptes utilisant le même mot de passe | Changement de mot de passe et double authentification |
| Numéro de téléphone | Faux appels et arnaques par SMS | Ne partagez aucun code, ne cliquez pas sur les liens inconnus |
| Nom, adresse, date de naissance | Arnaques personnalisées et crédibles | Vérifiez par un canal officiel toute demande d'informations d'identité |
Comment réduire le risque pour la suite ?
On ne peut pas annuler une fuite. On peut en revanche réduire les chances que la prochaine vous concerne. Le principe est simple, plus vous donnez votre adresse à de nombreux sites, plus elle a de chances d'apparaître un jour dans une fuite. Chaque nouvelle inscription, c'est une base de données de plus qui contient votre adresse.
Notre conseil : réduire la surface d'exposition de votre adresse.
- Réservez votre adresse principale à votre banque, à vos démarches administratives, à votre travail et aux comptes que vous utiliserez vraiment sur la durée.
- Pour les sites où vous ne faites que passer, par exemple pour récupérer un code promo, télécharger un rapport ou poser une seule question sur un forum, ne donnez pas votre adresse permanente.
- Supprimez les vieux comptes que vous n'utilisez plus. Un compte supprimé ne figurera pas dans une fuite future (ou, au moins, ne contiendra pas vos informations à jour).
Pour le deuxième point, Geçici Mail est fait exactement pour ça. Une adresse aléatoire est créée à l'ouverture de la page, sans inscription. Vous recevez l'e-mail de confirmation, vous terminez ce que vous aviez à faire, l'adresse cesse de servir au bout de quelques heures et les messages reçus sont supprimés après 24 heures. Si ce site subit une fuite demain, la liste contiendra une adresse depuis longtemps hors d'usage, et non votre adresse permanente.
Une mise en garde tout de même : si vous oubliez le mot de passe d'un compte ouvert avec une adresse temporaire, l'e-mail de réinitialisation partira vers cette adresse. Si vous avez conservé votre clé de récupération, vous pourrez y revenir ; nous expliquons comment dans notre article sur la clé de récupération. Mais ouvrir un compte important et durable avec une adresse temporaire reste une mauvaise idée.
Questions fréquentes
Have I Been Pwned est-il fiable ?
Have I Been Pwned recense depuis des années les fuites de données rendues publiques et il est largement utilisé dans le milieu de la sécurité informatique. Pour vérifier une adresse, il suffit de saisir votre e-mail ; aucun mot de passe n'est demandé.
Si mon e-mail apparaît dans une fuite, mon compte a-t-il été piraté ?
Pas forcément. Cela montre que votre adresse figure dans la base de données d'un site qui a fuité. Le vrai risque apparaît si vous utilisez ailleurs le mot de passe que vous aviez sur ce site.
Que faire en premier après une fuite ?
Changez d'abord le mot de passe de votre messagerie, puis celui des autres comptes qui utilisent le même, et activez la double authentification.
Une adresse mail temporaire réduit-elle le risque de fuite ?
Utiliser une adresse temporaire plutôt que votre adresse permanente pour les inscriptions ponctuelles réduit le nombre de bases de données qui contiennent votre adresse principale. Elle a donc moins de chances d'apparaître dans de futures fuites.