Que faire après une fuite de données ?

Une fuite de données ne signifie pas automatiquement que tous vos comptes vont être piratés. En revanche, les premières heures doivent servir à empêcher qu’une information compromise permette d’en atteindre d’autres. Commencez par identifier précisément les données exposées, changez immédiatement tout mot de passe concerné ou réutilisé ailleurs, activez l’authentification forte et contrôlez les connexions à vos comptes sensibles.

Si des coordonnées bancaires, une pièce d’identité, un numéro de sécurité sociale ou d’autres données permettant de vous identifier ont fuité, changer un mot de passe ne suffit pas. Il faut également surveiller les opérations financières et les tentatives d’usurpation d’identité dans la durée.

Cybermalveillance.gouv.fr recommande notamment de vérifier quelles informations ont été compromises, de modifier rapidement les mots de passe concernés et réutilisés et d’activer la double authentification lorsqu’elle est disponible. La prudence est aussi nécessaire face aux appels, SMS et e-mails reçus après la fuite : les fraudeurs peuvent exploiter les informations dérobées pour rendre leurs messages beaucoup plus crédibles.

Retrouvez les recommandations officielles en cas de fuite de données.

Que faire immédiatement après une fuite de données ?

La priorité dépend moins de la taille annoncée de la fuite que de la nature des données compromises. Une adresse e-mail exposée seule ne se traite pas comme un mot de passe réutilisé, des coordonnées bancaires ou la copie d’un passeport.

Dans les premières heures : identifier exactement ce qui a fuité

Relisez l’alerte envoyée par l’entreprise ou l’organisme concerné. Cherchez une liste précise des catégories de données touchées : adresse e-mail, mot de passe, téléphone, adresse postale, données bancaires, numéro de sécurité sociale, documents d’identité ou autres informations.

Ne cliquez pas directement sur un lien reçu dans un message alarmant pour vous connecter. Une véritable fuite de données entraîne souvent des campagnes de phishing qui imitent l’entreprise victime. Accédez au service depuis son application officielle ou en saisissant vous-même son adresse habituelle.

Cybermalveillance.gouv.fr recommande d’ailleurs d’authentifier soi-même l’interlocuteur en utilisant les coordonnées officielles de l’organisme, surtout lorsqu’un message pousse à agir dans l’urgence.

Changez les mots de passe concernés et tous ceux qui ont été réutilisés

Si un mot de passe a pu être compromis, remplacez-le immédiatement par un mot de passe unique. Le même changement doit être effectué sur chaque compte où vous aviez réutilisé ce mot de passe.

Cette étape limite notamment le credential stuffing : des identifiants provenant d’une fuite sont automatiquement testés sur d’autres services dans l’espoir que leur propriétaire ait réutilisé le même mot de passe.

Commencez par les comptes capables de servir à réinitialiser les autres : messagerie principale, compte Apple ou Google selon votre environnement, services financiers et gestionnaire de mots de passe.

Cybermalveillance.gouv.fr recommande explicitement de changer le mot de passe du service touché ainsi que celui des autres comptes utilisant le même secret.

Activez l’authentification forte

Activez une seconde méthode d’authentification dès qu’elle est proposée. Elle ajoute une protection si un attaquant possède déjà votre mot de passe.

Profitez-en pour contrôler les appareils et sessions actuellement connectés. Déconnectez ceux que vous ne reconnaissez pas et vérifiez les informations de récupération du compte, notamment l’adresse e-mail et le numéro de téléphone.

Si votre messagerie a été compromise, examinez également les règles de transfert et de redirection : un attaquant ayant obtenu un accès peut chercher à recevoir discrètement une copie de certains messages.

Si des données bancaires sont concernées, contactez votre banque

Lorsque des données de carte ou d’autres informations bancaires sensibles figurent parmi les éléments compromis, utilisez exclusivement les coordonnées officielles de votre banque pour déterminer les mesures nécessaires. Contrôlez ensuite les opérations et notifications de paiement.

Méfiez-vous particulièrement d’un prétendu conseiller bancaire qui vous appelle après la fuite et connaît déjà votre nom, votre adresse ou certaines informations personnelles. Ces éléments ne prouvent pas son identité. Cybermalveillance.gouv.fr avertit notamment contre les faux services antifraude qui cherchent à faire valider des opérations ou réaliser des virements.

Comment évaluer la gravité d’une fuite de données ?

Toutes les informations volées n’offrent pas les mêmes possibilités à un fraudeur. Le niveau d’urgence doit donc être adapté aux données réellement exposées.

Mot de passe haché ou mot de passe en clair : quelle différence ?

Lorsqu’une entreprise annonce que des mots de passe ont fuité, il faut regarder comment ils étaient stockés. Un mot de passe enregistré en clair est directement exploitable. Un mot de passe correctement haché avec un mécanisme robuste et un sel n’est pas immédiatement lisible : un attaquant doit tenter de retrouver le secret d’origine.

Le risque dépend alors de la méthode de protection utilisée et de la robustesse du mot de passe. Un mot de passe court ou prévisible reste davantage exposé aux tentatives de récupération.

Dans la pratique, si l’entreprise indique que votre mot de passe est concerné, le réflexe reste de le remplacer, surtout s’il a été réutilisé.

Une pièce d’identité volée pose un problème différent

Un mot de passe se remplace. Votre nom, votre date de naissance ou d’autres éléments de votre état civil ne peuvent pas être renouvelés de la même façon. C’est pourquoi une fuite contenant des données d’identité peut nécessiter une vigilance bien plus longue.

Cybermalveillance.gouv.fr indique qu’une usurpation peut notamment servir à créer des comptes, ouvrir une ligne téléphonique ou un compte bancaire, souscrire un crédit ou réaliser d’autres actes frauduleux au nom de la victime.

Comment savoir si mon adresse e-mail ou mes informations ont fuité ?

Une notification provenant du service concerné constitue la source la plus directe. Vous pouvez également vérifier si une adresse e-mail apparaît dans des violations de données déjà recensées avec Have I Been Pwned, un service permettant de rechercher une adresse dans les fuites qu’il référence.

Une présence dans une base de fuites ne signifie pas nécessairement que votre boîte mail est actuellement piratée. Elle indique que l’adresse a figuré dans au moins une compromission recensée avec les catégories de données associées.

Les alertes de sécurité proposées par certains navigateurs ou gestionnaires de mots de passe peuvent aussi signaler des identifiants compromis.

Évitez en revanche les sites inconnus qui prétendent rechercher votre mot de passe, votre numéro de carte ou votre pièce d’identité sur le dark web en vous demandant d’abord de leur communiquer ces informations. Une vérification de sécurité ne doit pas devenir une nouvelle fuite.

Que surveiller pendant les jours et les mois suivants ?

Le danger ne disparaît pas lorsque les mots de passe ont été changés. Des données personnelles peuvent être conservées, revendues, recoupées avec d’autres fichiers puis utilisées bien plus tard.

Surveillez notamment les opérations bancaires inhabituelles, les notifications de connexion inattendues, les demandes de réinitialisation de mot de passe que vous n’avez pas initiées, les créations de comptes inconnues et les courriers relatifs à des services auxquels vous n’avez jamais souscrit.

Un autre signal doit attirer immédiatement l’attention : la perte soudaine et inexpliquée du réseau mobile. Elle peut avoir plusieurs causes techniques, mais si elle intervient en même temps que des tentatives de connexion à vos comptes, contactez votre opérateur depuis un autre moyen de communication pour vérifier qu’aucune modification frauduleuse n’a été effectuée sur votre ligne.

Conservez les preuves dès qu’un incident apparaît

Gardez les messages reçus, captures d’écran, dates, adresses des pages concernées, références d’opérations et échanges avec les organismes. Cybermalveillance.gouv.fr recommande de conserver ces éléments en cas d’usurpation d’identité, car ils peuvent être nécessaires pour les signalements et procédures ultérieures.

Que faire si ma carte d’identité ou mon passeport a fuité ?

La simple exposition d’une copie numérique et le vol physique d’un document ne sont pas exactement la même situation. Une copie compromise peut néanmoins fournir de nombreuses informations utilisables pour une tentative d’usurpation.

Conservez la notification de fuite et toute preuve permettant d’établir l’origine de la compromission. Soyez ensuite particulièrement attentif aux comptes ou contrats créés à votre nom et aux sollicitations qui utilisent vos informations personnelles pour gagner votre confiance.

Si vous découvrez une usurpation d’identité effective, Cybermalveillance.gouv.fr recommande de conserver les preuves, de signaler les faits aux organismes concernés et de déposer plainte pour les faits constatés. La plateforme indique également que, selon la situation, des démarches peuvent conduire à faire annuler et renouveler des pièces d’identité.

Il est donc préférable de distinguer la fuite d’une copie, qui appelle d’abord des mesures de prévention et de surveillance, d’une utilisation frauduleuse effectivement constatée, qui justifie des démarches auprès des organismes concernés et des autorités.

Peut-on porter plainte après une fuite de données ?

Une notification indiquant qu’une entreprise a subi une fuite et une infraction commise ensuite contre vous sont deux situations différentes.

Si vos informations sont effectivement utilisées pour usurper votre identité, Cybermalveillance.gouv.fr recommande de rassembler les preuves puis de déposer plainte au commissariat, à la brigade de gendarmerie ou par écrit auprès du procureur de la République compétent.

THESEE permet également certaines démarches en ligne concernant des catégories précises d’e-escroqueries. Il ne faut cependant pas considérer la plateforme comme un dispositif universel permettant de porter plainte simplement parce qu’un site a subi une fuite de données : son utilisation dépend de la nature des faits dont vous êtes victime. Service-Public détaille les situations dans lesquelles une plainte ou un signalement via THESEE est possible.

En cas d’usurpation avérée, une association du réseau France Victimes peut également accompagner gratuitement les victimes via le 116 006, dispositif mentionné par Cybermalveillance.gouv.fr.

Quels sont vos droits face à l’entreprise victime de la fuite ?

Le RGPD distingue plusieurs niveaux de risque. Une organisation doit documenter les violations de données personnelles. Lorsqu’une violation présente un risque pour les droits et libertés des personnes, elle doit la notifier à la CNIL dans les meilleurs délais et, lorsque cela est possible, dans les 72 heures après en avoir pris connaissance. Lorsque le risque est élevé, les personnes concernées doivent également être informées dans les meilleurs délais, sauf exceptions prévues par le RGPD.

L’information adressée aux personnes concernées doit notamment permettre de comprendre la nature de la violation, ses conséquences probables, les mesures prises et les précautions utiles.

Le délai de 72 heures concerne donc l’organisme responsable, pas la victime. Vous n’avez pas à attendre trois jours avant de sécuriser vos comptes.

Pouvez-vous saisir directement la CNIL ?

La CNIL permet aux particuliers d’exercer différents droits sur leurs données, notamment l’accès, la rectification et, dans certaines conditions, l’effacement. Pour l’exercice de ces droits, la démarche commence en principe auprès de l’organisme qui détient les données. En cas d’absence de réponse ou de réponse insatisfaisante, une réclamation auprès de la CNIL peut ensuite être envisagée selon la situation.

Une plainte auprès de la CNIL et une plainte pénale ne poursuivent pas le même objectif. La première concerne la protection et le traitement de vos données personnelles. La seconde vise des faits susceptibles de constituer une infraction, par exemple une escroquerie ou une usurpation d’identité.

Attention aux arnaques qui suivent une fuite de données

Une fuite rend le phishing beaucoup plus convaincant. Un escroc peut connaître votre nom, votre téléphone, votre fournisseur, une ancienne adresse ou d’autres détails et s’en servir pour donner l’impression qu’il possède un dossier officiel.

Un interlocuteur qui connaît vos données personnelles n’est donc pas nécessairement légitime.

Ne communiquez jamais un code de validation reçu par SMS ou dans une application d’authentification à une personne qui vous appelle. Ne validez pas une opération bancaire destinée, selon l’interlocuteur, à « annuler une fraude ». Raccrochez et contactez vous-même l’organisme via son application, son site officiel ou un numéro dont vous connaissez l’origine.

Cette précaution est particulièrement importante après une fuite : Cybermalveillance.gouv.fr alerte sur les escrocs capables d’utiliser les informations dérobées pour se faire passer pour des organismes connus et pousser la victime à communiquer des secrets ou à valider des opérations.

La check-list des premières 48 heures

• Identifier précisément quelles données ont été compromises.
• Vérifier l’alerte directement auprès de l’organisme concerné.
• Changer immédiatement tout mot de passe compromis.
• Changer ce même mot de passe sur les autres services où il était réutilisé.
• Commencer par sécuriser la messagerie principale et les comptes capables de réinitialiser les autres.
• Activer l’authentification forte lorsque le service la propose.
• Contrôler les appareils et sessions connectés.
• Vérifier les coordonnées et méthodes de récupération des comptes sensibles.
• Contacter la banque par ses canaux officiels si des informations bancaires sensibles sont concernées.
• Se méfier davantage des appels, SMS et e-mails personnalisés reçus après la fuite.
• Conserver la notification de violation et les preuves de toute tentative de fraude.
• Mettre en place une surveillance durable si des données d’identité ou des documents ont été compromis.

FAQ sur les fuites de données

Mon e-mail a fuité : que faire ?

Si seule votre adresse e-mail est concernée, soyez particulièrement vigilant face au phishing et vérifiez quelles autres données figuraient dans la fuite. Si un mot de passe est également compromis, changez-le immédiatement sur le service concerné et partout où vous l’aviez réutilisé.

Que dois-je faire en premier si mon compte principal a été compromis ?

Sécurisez en priorité la messagerie ou le compte qui permet de réinitialiser vos autres accès. Changez son mot de passe, activez l’authentification forte, contrôlez les sessions connectées et vérifiez que les informations de récupération n’ont pas été modifiées.

Comment savoir si mes données bancaires ont fuité ?

Consultez l’information publiée ou envoyée par l’organisme victime pour connaître les catégories de données compromises. Si des données bancaires sensibles sont concernées, contactez directement votre banque via ses coordonnées officielles et surveillez vos opérations.

Puis-je porter plainte si un site s’est fait pirater ?

Une fuite chez un tiers et une infraction dont vous êtes personnellement victime doivent être distinguées. Si vous constatez une usurpation d’identité, une escroquerie ou une autre utilisation frauduleuse de vos données, conservez les preuves et utilisez les voies de plainte adaptées aux faits constatés.

Comment une entreprise doit-elle me prévenir d’une fuite ?

Selon la CNIL, lorsque la violation entraîne un risque élevé pour les droits et libertés des personnes, l’organisme doit informer les personnes concernées dans les meilleurs délais, sous réserve des exceptions prévues par le RGPD. Cette communication doit leur permettre de comprendre la violation et de prendre des mesures pour en limiter les conséquences.

Une fuite de pièce d’identité signifie-t-elle que mon identité a déjà été usurpée ?

Non. La compromission d’une copie de pièce d’identité crée un risque, mais ne démontre pas qu’une fraude a déjà été commise. Conservez la preuve de la fuite et surveillez les signes d’utilisation frauduleuse. Si une usurpation est constatée, rassemblez les éléments matériels et engagez les démarches auprès des organismes concernés et des autorités.