Fuite de données : que faire quand vos informations ont été volées ?

Vous recevez un e-mail de votre opérateur, de votre mutuelle ou d’un site marchand : « Nous avons subi un incident de sécurité, vos données ont pu être consultées. » Pas de panique. Une fuite de données est désagréable, mais on sait très bien comment réagir. Le risque n’est pas la fuite elle-même : ce sont les arnaques qui arrivent ensuite, avec vos propres informations en main.

Première question : qu’est-ce qui a été volé ?

Tout dépend de la nature des données. Le message de l’organisme doit le préciser, et c’est une obligation légale : en cas de risque élevé, il doit prévenir les personnes concernées.

• Nom, adresse, téléphone, e-mail : le cas le plus fréquent. Le danger est surtout le phishing ciblé.
• Mot de passe : changez-le tout de suite, ici et partout où vous l’utilisiez.
• IBAN : surveillez vos prélèvements.
• Numéro de carte bancaire : faites opposition auprès de votre banque.
• Pièce d’identité, justificatifs : le risque est l’usurpation d’identité, à surveiller sur la durée.

Les 6 réflexes, dans l’ordre

1. Ne cliquez sur rien dans le message d’alerte. Les escrocs profitent des vraies fuites pour envoyer de faux messages d’alerte. Allez directement sur le site officiel en tapant l’adresse vous-même.

2. Changez le mot de passe concerné, puis tous ceux qui lui ressemblent. Les pirates essaient automatiquement le même couple e-mail et mot de passe sur des centaines d’autres sites. Un gestionnaire de mots de passe comme NordPass ou Proton Pass crée un mot de passe unique par site, et c’est la vraie parade contre ce risque.

3. Activez la double authentification sur vos comptes importants, en commençant par votre messagerie. Notre guide pas à pas vous explique comment faire.

4. Vérifiez vos comptes et votre banque. Regardez vos relevés de la dernière semaine. Un prélèvement que vous ne reconnaissez pas se conteste : en principe, vous avez jusqu’à 13 mois pour un prélèvement non autorisé, mais plus vous réagissez vite, mieux c’est.

5. Vérifiez si votre adresse apparaît dans d’autres fuites. Le service gratuit Have I Been Pwned vous dit si votre adresse e-mail figure dans des fuites connues, et lesquelles.

6. Gardez une trace et, si besoin, signalez. Conservez le message reçu. Vous pouvez exercer votre droit d’accès auprès de l’organisme, et saisir la CNIL si vous estimez qu’il n’a pas bien protégé vos données. En cas d’arnaque subie, cybermalveillance.gouv.fr vous oriente, et vous pouvez porter plainte.

Pour savoir si l’un de vos mots de passe figure dans des fuites connues, essayez notre outil mon mot de passe a-t-il fuité ? : il fonctionne sans que le mot de passe quitte votre appareil.

Les arnaques qui suivent une fuite

Après une fuite, comptez sur des mois d’appels et de messages très crédibles, parce qu’ils citent vos vraies informations. Les plus courants :

• le faux conseiller bancaire qui prétend que votre compte est piraté et vous demande de valider une opération ;
• le faux technicien de votre opérateur qui connaît votre adresse et votre offre ;
• le SMS de livraison ou d’amende avec un lien piégé.

La règle qui protège de presque tout : personne ne vous demande jamais un code ou un mot de passe, ni votre banque, ni votre opérateur, ni l’administration. Dans le doute, raccrochez et rappelez vous-même le numéro officiel.

Pour les comptes qui comptent vraiment

Pour votre messagerie principale et vos comptes financiers, une clé de sécurité comme la YubiKey ajoute une protection que le phishing ne peut pas contourner : même avec votre mot de passe et un faux site parfait, la clé refuse de se connecter. Si votre compte est déjà compromis, suivez notre guide compte piraté : que faire.