Imaginons un soir de semaine : un message arrive d'un site de billetterie que vous n'avez pas utilisé depuis trois ans. L'objet indique « Important : vos données ont peut-être été exposées ». Vous vous souvenez à peine de ce compte, vous ne savez plus quel mot de passe vous y aviez mis, et le message affiche un gros bouton « Sécuriser mon compte ». L'heure qui suit compte plus que le reste de la semaine, et la première chose à faire est de ne pas toucher à ce bouton.
En bref : vérifiez l'avis en vous rendant vous-même sur le site de l'entreprise, trouvez quels types de données ont été volés, sécurisez d'abord votre boîte e-mail principale, puis changez partout le mot de passe qui a fuité et activez l'authentification à deux facteurs ou une clé d'accès (passkey). Une fuite de données e-mail signifie qu'une entreprise qui détenait votre adresse en a perdu le contrôle, généralement avec d'autres informations. Vous ne pouvez pas annuler la fuite. Vous pouvez en revanche faire en sorte qu'elle reste une nuisance et ne se transforme pas en vol de compte.
La première heure, dans l'ordre
L'ordre ci-dessous repose sur une idée : votre boîte e-mail permet de réinitialiser presque tous vos autres mots de passe, donc elle passe avant le compte réellement touché. Les durées sont approximatives. Si aucun mot de passe n'a fuité, vous pouvez sauter les étapes 4 et 5 et finir en quinze minutes.
- N'utilisez rien de ce qui figure dans le message (2 premières minutes). Ni liens, ni pièces jointes, ni numéros de téléphone de l'avis. Les faux avis de fuite suivent couramment les vraies fuites, et un vrai avis ne perd rien si vous ignorez son bouton.
- Vérifiez-le par un autre chemin (5 minutes suivantes). Saisissez vous-même l'adresse de l'entreprise dans votre navigateur ou utilisez un ancien favori, puis cherchez un avis de sécurité ou une bannière. Cherchez le nom de l'entreprise avec le mot « fuite » et regardez si des médias sérieux ou l'entreprise elle-même en parlent.
- Lisez ce qui a été volé (5 minutes suivantes). L'avis, le communiqué de l'entreprise ou un service de recherche indiquera les types de données. Mots de passe, données de carte et pièces d'identité n'appellent pas le même travail, et le tableau plus bas fait le lien.
- Sécurisez votre boîte e-mail principale (15 minutes suivantes). Donnez-lui un mot de passe long utilisé nulle part ailleurs, déconnectez les autres sessions, activez l'authentification à deux facteurs ou une clé d'accès, et vérifiez les règles de transfert et les informations de récupération. Les étapes pour Gmail, Outlook et iCloud figurent dans la section sur la boîte e-mail plus bas.
- Occupez-vous du mot de passe qui a fuité (20 minutes suivantes). Changez-le sur le site touché, depuis la page de connexion de ce site. Puis demandez-vous où vous l'avez utilisé ailleurs, lui ou un mot de passe proche, et changez ces comptes aussi, en commençant par la banque, l'opérateur mobile, le stockage en ligne et toute boutique qui garde une carte enregistrée.
- Notez ce que vous avez fait (5 dernières minutes). Écrivez l'entreprise, la date, les données concernées et les mots de passe que vous avez changés. Si quelque chose d'étrange se produit dans trois mois, cette note vous dira si les deux événements sont liés.
Si le temps ou l'énergie vous manque, arrêtez-vous après l'étape 4. Une boîte e-mail protégée laisse la plupart de vos options ouvertes, car un attaquant qui ne peut pas lire votre courrier a beaucoup plus de mal à réinitialiser quoi que ce soit d'autre.
L'avis est-il authentique ?
Les entreprises envoient bien ces messages, et dans de nombreux pays elles y sont obligées. Selon l'article 34 du RGPD (GDPR) de l'Union européenne, une organisation doit informer les personnes concernées dans les meilleurs délais lorsqu'une violation de données est susceptible d'engendrer un risque élevé pour elles, et chaque État américain a sa propre loi de notification des fuites, avec ses propres déclencheurs. Les règles varient, ce qui explique que vous puissiez avoir des nouvelles d'une entreprise en quelques jours, d'une autre des mois plus tard, ou jamais. Notre présentation des lois sur la confidentialité des e-mails détaille l'aspect juridique.
Les escrocs savent que les gens attendent ces messages. Voici un exemple inventé du genre de faux avis dont il faut se méfier :
Exemple de faux avis (inventé, à titre d'illustration) :
Objet : Incident de sécurité URGENT sur votre compte
Cher client, votre mot de passe a été exposé lors d'un incident récent. Votre compte sera fermé sous 12 heures si vous ne confirmez pas votre mot de passe actuel et votre numéro de carte avec le bouton sécurisé ci-dessous.
Trois éléments le trahissent. Il fixe un délai en heures, il demande votre mot de passe actuel, et il réclame un numéro de carte, ce qu'aucune procédure de réinitialisation légitime ne demande. Un vrai avis explique ce qui s'est passé et vous dit de changer votre mot de passe sur le site. Notre guide pour repérer les e-mails de phishing passe en revue bien d'autres signaux, mais les comparaisons ci-dessous couvrent ceux qui sont propres aux fuites.
| Ce qu'il faut regarder | Un avis authentique a tendance à | Un faux avis a tendance à |
|---|---|---|
| Consignes | Suggérer de changer votre mot de passe sur le site, ou indiquer qu'une réinitialisation a été imposée | Vous pousser, via un bouton, vers une page de connexion |
| Détails | Nommer l'incident, les dates approximatives et les types de données | Rester vague sur ce qui s'est passé |
| Demandes | Ne rien demander de sensible par e-mail | Demander un mot de passe, un numéro de carte ou un code envoyé sur votre téléphone |
| Pièces jointes | En contenir rarement | Inclure un « rapport » en ZIP, un document avec macro ou un fichier comme report.pdf.exe |
| Trace publique | Correspondre à un communiqué sur le site de l'entreprise | N'avoir aucune trace publique |
| Offres | Proposer parfois une surveillance d'identité par un prestataire nommé, avec un code à utiliser sur le site de ce prestataire | Exiger des frais, ou demander vos coordonnées bancaires pour vous verser une indemnisation |
Un message peut aussi passer tous les contrôles techniques et rester indésirable. Dans Gmail, le menu à trois points propose Afficher l'original, qui montre les résultats SPF, DKIM et DMARC. Un dmarc=fail sur un message qui prétend venir d'une grande entreprise est un sérieux avertissement. Un résultat positif indique seulement que le courrier vient du domaine affiché, et ce domaine peut être une imitation enregistrée la semaine dernière.
Il arrive que les avis viennent d'un nom que vous ne connaissez pas, parce que l'incident a touché un prestataire : un service d'assistance, une plateforme marketing ou un processeur de paiement qui travaille pour une entreprise que vous connaissez. Dans ce cas, cherchez une confirmation auprès de l'entreprise que vous connaissez. Si vous ne trouvez rien, vous pouvez écrire à son support par sa page de contact officielle et poser la question.
Lisez la liste des données : elle fixe votre charge de travail
L'adresse e-mail est presque toujours accompagnée d'autres données. Que cela vous coûte dix minutes ou un après-midi dépend de ce qui se trouvait à côté dans la table volée. Admettons que le site de billetterie de notre exemple signale « noms, adresses e-mail et mots de passe hachés ». Vous vous retrouvez alors à la troisième ligne ci-dessous, avec une partie du travail de la deuxième.
| Ce qui a fuité avec votre adresse | Ce que quelqu'un peut en faire | Que faire |
|---|---|---|
| Rien d'autre | Envoyer du spam et du phishing ciblé, relier vos données d'une fuite à l'autre, tester la réutilisation de mots de passe ailleurs | Méfiez-vous des messages qui mentionnent ce service ; envisagez de déplacer le compte vers une autre adresse |
| Mot de passe en clair | Se connecter tout de suite sur ce site et essayer le même couple sur d'autres | Le changer partout où il a servi, aujourd'hui |
| Mot de passe haché | Tenter de le casser hors ligne ; les mots de passe faibles et courants tombent les premiers | Le traiter comme s'il était en clair |
| Nom, numéro de téléphone, adresse postale | Rédiger des messages convaincants, passer des appels frauduleux, tenter un SIM swap | Ajouter un code PIN ou un verrou de portabilité chez votre opérateur ; se méfier des appels et SMS inattendus |
| Date de naissance, réponses aux questions de sécurité | Abuser de la récupération de compte, franchir des contrôles d'identité faibles | Remplacer les réponses de sécurité par des réponses aléatoires enregistrées dans un gestionnaire de mots de passe |
| Données partielles de carte | Donner du crédit aux arnaques (« nous voyons votre carte se terminant par 1234 ») | Surveiller vos relevés ; un interlocuteur qui connaît ces chiffres n'a rien prouvé |
| Numéro de carte complet | Tenter des achats frauduleux | Appeler votre émetteur au numéro figurant sur la carte et demander un remplacement |
| Numéros de pièces d'identité officielles | Tenter une usurpation d'identité | Suivre les recommandations de l'autorité de votre pays ; voir la section sur les données d'identité plus bas |
| Adresse IP, informations sur l'appareil | Estimer votre position approximative, adapter une arnaque | Peu de choses à faire directement |
| Messages ou fichiers privés | Faire chanter ou humilier, exposer les données d'autres personnes | Déterminer ce qu'ils contenaient et qui d'autre est touché ; signaler le chantage à la police |
Un mot sur « haché », car les entreprises l'emploient pour rassurer. Un hash est un brouillage à sens unique de votre mot de passe, et la protection qu'il offre dépend de la méthode. Des algorithmes lents et salés comme bcrypt ou Argon2 rendent les essais coûteux, si bien qu'un long mot de passe aléatoire stocké ainsi ne sera peut-être jamais retrouvé. Des hachages rapides comme MD5 ou SHA-1 sans sel peuvent être attaqués à une vitesse énorme, et les mots de passe courts ou courants tombent vite quelle que soit la méthode. Un avis en dit rarement assez pour en juger : changez le mot de passe dans tous les cas.
Ce que peut faire une simple adresse divulguée
« Seule votre adresse e-mail est concernée » sonne comme une bonne nouvelle, et comparé à une fuite de mot de passe, c'en est une. Une adresse n'est pas un secret, et personne ne se connecte à votre compte avec elle seule. Elle change tout de même votre situation de plusieurs façons qui méritent d'être comprises.
Une adresse issue d'un vrai service est connue pour appartenir à quelqu'un qui s'inscrit à des choses, ce qui vaut plus aux yeux des spammeurs qu'une adresse devinée. Les listes sont fusionnées et revendues, de sorte qu'une hausse du spam peut commencer des mois après l'incident, sans lien évident avec lui.
La fuite indique aussi aux escrocs où vous avez un compte. Un message générique du type « problème avec votre commande » se rejette facilement. Un message qui cite la boutique que vous utilisez vraiment, vous appelle par le nom issu de la même fuite et arrive pendant que la boutique fait l'actualité est bien plus difficile à repérer. C'est la principale raison pratique de rester vigilant pendant plusieurs semaines après un avis.
Votre adresse sert aussi de clé de jointure. Supposons qu'une fuite la relie à un pseudo de jeu, une autre à un numéro de téléphone et une troisième à une ville de résidence. Quiconque détient les trois peut les aligner sur l'adresse commune et construire un profil que personne n'a jamais transmis d'un seul bloc. Utiliser la même adresse partout rend cela possible, et c'est aussi la partie que vous pouvez changer.
Et une adresse constitue la moitié de la plupart des connexions, ce qui mène à l'attaque qui rend les fuites coûteuses.
Comment une fuite en devient plusieurs
L'entreprise touchée n'est souvent pas l'endroit où les dégâts se produisent. Le credential stuffing est le test automatisé de couples adresse e-mail et mot de passe divulgués sur d'autres services. Les couples issus de nombreuses fuites sont compilés en grandes « combo lists », et des outils les essaient sur les fournisseurs de messagerie, les boutiques, les services de streaming, les plateformes de jeux et le stockage en ligne. La plupart des tentatives échouent. Assez réussissent pour que cela rapporte, car une réussite permet d'acheter des biens avec une carte enregistrée, de vider des points de fidélité, d'envoyer du spam depuis un compte de confiance ou de lancer des réinitialisations sur des services liés.
Tout cela repose sur la réutilisation. Prenons par exemple quelqu'un qui a utilisé Harbour2019! sur le site de billetterie, sur une boutique et sur sa messagerie. La fuite de la billetterie expose un mot de passe et trois comptes. Si chaque site avait eu son propre mot de passe aléatoire, la même fuite n'aurait exposé qu'un compte que la personne utilise à peine. De petites modifications n'aident guère, car les outils des attaquants essaient les variantes évidentes : changer l'année, ajouter un chiffre, remplacer le point d'exclamation.
Le password spraying est l'image inverse. Au lieu de tester un mot de passe connu par personne, l'attaquant essaie quelques mots de passe très courants sur une longue liste d'adresses valides. Votre mot de passe n'a pas besoin d'avoir fuité pour que cela fonctionne. Il suffit qu'il soit courant, et la fuite a fourni l'adresse.
Une autre source de mots de passe volés mérite d'être mentionnée, car elle change les conseils. Un logiciel malveillant appelé infostealer copie les mots de passe enregistrés et les cookies de connexion directement depuis un appareil infecté, et ces journaux volés circulent comme les données de fuite. Si un mot de passe que vous n'avez jamais réutilisé apparaît comme exposé, ou si un compte est piraté malgré un mot de passe solide et sans fuite connue, la source est peut-être votre appareil. Analysez-le avec un logiciel de sécurité réputé et faites vos changements de mots de passe depuis un appareil sain, car changer un mot de passe sur un ordinateur infecté peut aussi livrer le nouveau.
Vérifier votre propre exposition
Un avis vous renseigne sur une seule entreprise. Pour voir le tableau d'ensemble, utilisez plusieurs sources, car aucune base de données ne couvre tous les incidents.
Have I Been Pwned (haveibeenpwned.com), tenu par le chercheur en sécurité Troy Hunt, est le service de recherche le plus connu. Saisissez une adresse et il liste les fuites connues qui la contiennent, avec les dates et les types de données. Sa fonction de notification vous envoie un e-mail quand votre adresse apparaît dans une fuite nouvellement ajoutée, ce qui vaut la peine d'être activé une fois pour toutes. Certaines fuites jugées sensibles sont masquées de la recherche publique et ne s'affichent qu'après avoir prouvé que l'adresse est la vôtre. Mozilla Monitor propose une recherche et des alertes similaires à partir des données de Have I Been Pwned, et demande un compte Mozilla pour les alertes continues.
Un résultat vide ne veut pas dire que vous êtes à l'abri. De nombreuses fuites ne sont jamais découvertes ou n'atteignent jamais ces services. Une longue liste ne signifie pas non plus que vous êtes en difficulté, car les anciennes entrées concernent souvent des mots de passe changés depuis longtemps. Regardez les dates et les types de données, et agissez sur tout ce qui pourrait encore servir.
Les recherches par e-mail n'ont besoin que de votre adresse. Les mots de passe demandent plus de précautions. Google Password Manager propose Vérification des mots de passe, l'app Mots de passe des appareils Apple a une section Sécurité qui signale les mots de passe compromis et réutilisés, et les gestionnaires tiers ont des rapports similaires, comme Watchtower dans 1Password et le rapport sur les mots de passe exposés dans Bitwarden. Ils s'appuient sur votre liste enregistrée, ce qui est aussi le moyen le plus rapide de trouver où un mot de passe a été réutilisé.
La fonction Pwned Passwords montre comment une vérification peut éviter de révéler le mot de passe. Votre appareil calcule un hash SHA-1 du mot de passe et n'envoie que les cinq premiers caractères. Le service renvoie tous les hashs divulgués commençant par ces caractères, et votre appareil compare le reste en local. Le service ne reçoit jamais le mot de passe ni même son hash complet, une méthode appelée k-anonymat.
Ne saisissez jamais un mot de passe sur un site quelconque qui propose de vous dire s'il a été piraté. Les outils intégrés à votre gestionnaire de mots de passe ou à votre navigateur sont sans risque. Une page de vérification atteinte depuis un e-mail ou une publicité peut très bien ne servir qu'à collecter des mots de passe.
Votre propre courrier vous apprend aussi beaucoup. Cherchez dans votre boîte e-mail « bienvenue », « vérifiez votre e-mail », « confirmez votre compte » et « votre mot de passe a été modifié ». Ce qui ressort est une liste approximative des services qui détiennent votre adresse, dont certains que vous aurez oubliés. Cette liste devient utile dans la section de nettoyage plus bas.
Un vrai audit de la boîte e-mail
Changer le mot de passe ne suffit pas si quelqu'un est déjà entré. Une personne qui accède à une boîte e-mail met souvent en place quelque chose qui survit au changement de mot de passe, alors cherchez ces quatre éléments : sessions ouvertes, transferts, filtres et informations de récupération. Les noms de menus évoluent avec le temps, mais les chemins suivants devraient vous en rapprocher.
Gmail et comptes Google
Dans Gmail sur le web, allez à l'icône en forme d'engrenage, puis Voir tous les paramètres. Vérifiez Transfert et POP/IMAP pour toute adresse de transfert que vous n'avez pas ajoutée, et Filtres et adresses bloquées pour les règles qui suppriment ou transfèrent du courrier. En bas à droite de la boîte de réception, le lien Détails sous la dernière activité du compte montre les accès récents. Dans votre compte Google, la page Sécurité liste vos appareils, l'activité de sécurité récente, le téléphone et l'e-mail de récupération, ainsi que les connexions tierces. Déconnectez tout appareil et supprimez toute application que vous ne reconnaissez pas.
Outlook.com et comptes Microsoft
Dans Outlook sur le web, ouvrez Paramètres, puis Courrier. Vérifiez Transfert et Règles. Sur votre compte Microsoft, allez dans Sécurité pour examiner l'activité de connexion, et vérifiez quelles méthodes de vérification et quelles applications sont connectées.
Apple et iCloud Mail
Sur un iPhone, ouvrez Réglages, touchez votre nom, puis Connexion et sécurité pour examiner vos numéros de téléphone de confiance et vos options de récupération. La liste des appareils plus bas montre tout ce qui est connecté à votre compte Apple. Les règles et le transfert d'iCloud Mail se vérifient depuis les réglages de Mail sur iCloud.com.
À quoi ressemble une boîte e-mail piratée
Une adresse de transfert que vous n'avez pas ajoutée est le signe le plus net, car elle envoie discrètement des copies de votre courrier, y compris les réinitialisations de mot de passe, à quelqu'un d'autre. Juste derrière vient un filtre qui envoie directement à la corbeille ou aux archives les messages contenant des mots comme « sécurité », « mot de passe » ou le nom de votre banque. Des messages envoyés inconnus, un numéro de récupération inconnu ou une application connectée que vous n'avez jamais approuvée vont dans le même sens.
Si vous trouvez l'un de ces éléments, considérez la boîte e-mail comme compromise. Supprimez-le, changez de nouveau le mot de passe depuis un appareil de confiance, déconnectez toutes les sessions, puis parcourez le courrier lui-même. Cherchez les messages de réinitialisation de mot de passe que vous n'avez pas demandés, car ils montrent quels autres comptes ont été visés. La procédure de récupération de compte de votre fournisseur est la bonne voie si vous êtes bloqué, et vous devez y accéder par les pages d'aide du fournisseur. Les résultats de recherche pour « numéro du support e-mail » sont un terrain de chasse connu des escrocs.
Choisir un second facteur
L'authentification à deux facteurs bloque la plupart du credential stuffing, car le mot de passe divulgué seul ne suffit plus à entrer. Les méthodes diffèrent pourtant beaucoup, et après une fuite il est judicieux de faire monter vos comptes importants dans ce tableau quand vous le pouvez.
| Méthode | Sa solidité | Ses limites |
|---|---|---|
| Codes par SMS | Bien meilleur qu'un mot de passe seul | SIM swaps ; les codes peuvent être saisis sur un faux site puis retransmis |
| Codes envoyés par e-mail | Faible pour vos comptes les plus importants | Inutile si la boîte e-mail elle-même est compromise, et sans intérêt pour la connexion à la boîte e-mail |
| Application d'authentification (TOTP) | Bonne, et ne dépend pas de votre numéro de téléphone | Les codes peuvent encore être piratés sur une fausse page de connexion convaincante ; gardez des sauvegardes pour quand vous changez de téléphone |
| Approbation par notification | Bonne quand elle demande de faire correspondre un numéro | Sans correspondance de numéro, des demandes répétées peuvent user quelqu'un jusqu'à ce qu'il appuie sur Approuver |
| Clé d'accès (passkey) ou clé de sécurité physique | L'option la plus solide pour la plupart des gens | Demande un peu de configuration et une seconde clé ou un appareil synchronisé en secours ; pas proposée partout |
Les clés d'accès méritent une attention particulière dans ce contexte. Une clé d'accès est un identifiant fondé sur la cryptographie à clé publique et lié au domaine d'un seul site. Le site ne conserve que la moitié publique, donc une table d'utilisateurs volée ne contient rien qui permette de se connecter à votre place. Un faux site de phishing n'obtient rien non plus, car votre appareil ne proposera pas l'identifiant au mauvais domaine. Si votre fournisseur de messagerie et votre banque prennent en charge les clés d'accès, un avis de fuite est un bon moment pour en créer une. Quelle que soit la méthode, enregistrez les codes de récupération quand ils sont proposés, dans votre gestionnaire de mots de passe ou sur papier dans un endroit sûr chez vous.
Quand des données de paiement ou d'identité sont concernées
Une simple fuite d'e-mail et de mot de passe n'appelle rien de tout cela. Si la liste comprend des numéros de carte complets, des coordonnées bancaires ou des numéros d'identité officiels, la suite dépend de l'endroit où vous vivez et de ce que l'entreprise propose.
Pour les cartes, appelez l'émetteur au numéro imprimé sur la carte et demandez s'il faut la remplacer. Vérifiez vos relevés récents à la recherche de petits prélèvements d'essai, qui précèdent souvent les plus gros. Si l'entreprise propose une surveillance d'identité gratuite, vous pouvez y accéder via son site officiel, et sachez qu'une surveillance ne signale les problèmes qu'une fois qu'ils ont commencé.
Aux États-Unis, le gel de crédit est l'outil gratuit le plus puissant. La loi fédérale rend gratuit le gel et le dégel de votre dossier auprès de chacun des trois bureaux nationaux (Equifax, Experian et TransUnion), et un gel empêche généralement l'ouverture de nouveaux crédits à votre nom tant que vous ne le levez pas. Vous devez contacter chaque bureau séparément. Une alerte à la fraude est une option plus légère qui demande aux prêteurs de vérifier votre identité, valable un an, et en placer une auprès d'un seul bureau la transmet aux autres. Si votre identité a été utilisée à mauvais escient, le site IdentityTheft.gov de la FTC produit un plan de rétablissement et un rapport utilisables auprès des banques et des bureaux.
Ailleurs, les options sont différentes. Au Royaume-Uni, vous pouvez consulter votre dossier auprès des agences de référence de crédit et demander à votre banque ce qu'elle recommande, et une inscription de protection payante est proposée par le service de prévention de la fraude Cifas. Dans l'UE et dans bien d'autres pays, contactez votre banque et consultez les recommandations de votre autorité nationale de la consommation ou de protection des données. Si le scan d'un passeport ou d'une carte d'identité a été volé, l'autorité émettrice peut vous dire s'il convient de le remplacer.
Un numéro de téléphone divulgué a sa propre parade. Demandez à votre opérateur mobile un code PIN de compte, un code PIN de portabilité ou un verrouillage du numéro, selon le nom qu'il lui donne. Ils compliquent la fraude par SIM swap, dans laquelle un attaquant convainc un opérateur de transférer votre numéro sur sa carte SIM, puis reçoit vos codes par SMS. Les opérateurs proposent des choses différentes, alors demandez directement.
Situations délicates
Une fuite sur un site que vous n'avez jamais utilisé
Plusieurs explications sont possibles. Quelqu'un a pu mal saisir votre adresse ou l'utiliser exprès, les données ont pu venir d'un prestataire travaillant pour l'entreprise nommée, la fuite peut être une liste aspirée ou fusionnée, ou vous avez simplement oublié un compte vieux de plusieurs années. Pour le savoir, utilisez la fonction « mot de passe oublié » sur le site officiel. Si une réinitialisation arrive, un compte existe, et vous pouvez le sécuriser ou le fermer. Si vous ne l'avez pas créé, contactez l'entreprise, car les données de quelqu'un d'autre sont peut-être associées à votre adresse.
Un ancien mot de passe que vous n'utilisez plus
C'est une bonne nouvelle, à condition que « n'utilise plus » soit vrai partout. Les comptes oubliés gardent volontiers leurs anciens mots de passe, et tout nouveau mot de passe construit sur le même schéma mérite aussi d'être changé. Cherchez-le dans votre gestionnaire de mots de passe, si vous en avez un.
Un e-mail de chantage qui cite votre mot de passe
Cette arnaque est courante, et elle fait peur la première fois. L'expéditeur cite un vrai ancien mot de passe à vous comme preuve, prétend vous avoir enregistré par votre webcam et exige des cryptomonnaies. Dans le cas typique, le mot de passe vient d'une liste de fuite et il n'existe aucun enregistrement. Ne payez pas et ne répondez pas. Changez ce mot de passe partout où vous l'utilisez encore, signalez le message et bloquez l'expéditeur. Si le message contient de vrais éléments privés ou une menace que vous prenez au sérieux, gardez-en une copie et contactez la police.
Votre adresse professionnelle figurait dans la fuite
Prévenez votre équipe informatique ou sécurité, même si cela vous paraît mineur. Elle voudra peut-être vérifier une réutilisation sur les systèmes de l'entreprise, réinitialiser des identifiants ou surveiller le phishing ciblé. Vérifiez la politique de votre employeur avant de vous inscrire à des services de surveillance avec une adresse professionnelle, et gardez à l'avenir vos comptes personnels sur une adresse personnelle.
Un parent ou un proche a reçu l'avis
Suivez avec lui le même ordre, en vous concentrant sur sa boîte e-mail principale et ses mots de passe réutilisés. Les proches plus âgés sont des cibles fréquentes d'appels de suivi qui mentionnent la fuite, donc une règle utile à convenir ensemble : aucune vraie entreprise ne lui demandera de lire un code à voix haute. Si un interlocuteur dit le contraire, il peut raccrocher et rappeler à un numéro figurant sur une carte bancaire ou un relevé.
Un message sur un règlement ou une indemnisation
Après de grosses fuites, vous pouvez recevoir des messages sur des actions collectives ou des programmes d'indemnisation. Certains sont authentiques, d'autres sont des imitations conçues pour récupérer des coordonnées bancaires. Vérifiez le règlement sur une page officielle d'un tribunal, d'un régulateur ou de l'entreprise avant de remplir quoi que ce soit. Ne payez pas de frais pour recevoir une indemnisation.
Dans les semaines qui suivent
Quand la partie urgente est passée, une fuite est une bonne occasion de corriger ce qui l'a rendue dangereuse. Rien de tout cela ne doit se faire d'une seule traite.
Commencez par un gestionnaire de mots de passe, si vous n'en utilisez pas. Il génère un mot de passe aléatoire pour chaque site et refusera de remplir sur un domaine imité, ce qui vous donne aussi un peu de protection contre le phishing. Choisissez un produit reconnu, protégez-le avec une longue phrase secrète et un second facteur, et déplacez d'abord vos comptes les plus importants. Le reste peut suivre au fil de vos connexions. Les recommandations du NIST sur l'identité numérique déconseillent d'imposer des changements de mot de passe réguliers pour eux-mêmes et conseillent plutôt de comparer les mots de passe aux fuites connues, donc inutile de tout renouveler selon un calendrier. Changez ce qui est exposé, faible ou réutilisé.
Passez ensuite en revue cette liste de comptes oubliés tirée de la recherche dans votre boîte e-mail. Chaque compte dormant, ce sont des données stockées qui attendent le prochain incident. Connectez-vous, retirez du profil ce que vous pouvez, supprimez toute carte enregistrée et fermez le compte. Là où il n'existe pas de bouton de suppression, écrivez au contact confidentialité indiqué dans la politique de confidentialité du site. Selon le RGPD (GDPR) et certaines autres lois, dont celle de la Californie, beaucoup de personnes ont le droit de demander la suppression, même si l'entreprise peut conserver les enregistrements qu'elle est tenue de garder, et ces droits dépendent de l'endroit où vous vivez.
Viennent ensuite les questions de sécurité. « Nom de jeune fille de la mère » et « première école » se retrouvent souvent à partir de données de fuite ou des réseaux sociaux. Quand un site vous oblige à les utiliser, donnez une réponse aléatoire et enregistrez-la dans votre gestionnaire de mots de passe comme un mot de passe.
Enfin, restez attentif pendant un moment. Les données divulguées circulent pendant des années, et le phishing ciblé arrive souvent bien après que les gros titres se sont éteints. Laissez les alertes de fuite activées, consultez le rapport de votre gestionnaire de mots de passe tous les quelques mois et ne faites pas confiance trop vite à un message qui mentionne le service touché.
Rendre la prochaine fuite plus petite
Vous ne contrôlez pas la sécurité d'une entreprise. Vous contrôlez en revanche la quantité de données qu'elle détient et la distance que peut parcourir une fuite à partir de cette seule fiche. L'objectif : que chaque futur avis se résume à une vérification rapide de mot de passe, rien de plus.
Répartissez vos adresses selon la confiance
Le changement le plus utile consiste à cesser de donner la même adresse à tout le monde. Une organisation simple à trois niveaux convient à la plupart des gens, et notre article sur la construction d'une stratégie d'adresses e-mail personnelle la détaille pas à pas.
| Niveau | À utiliser pour | Type d'adresse | Ce que coûte une fuite |
|---|---|---|---|
| Principal | Banque, administration, santé, travail, gestionnaire de mots de passe, principaux comptes de réseaux sociaux | Une adresse durable, avec une forte protection de connexion, rarement communiquée | Sérieux, mais ce niveau devrait rarement fuiter, car peu d'entreprises le détiennent |
| Quotidien | Boutiques, abonnements, services que vous gardez pendant des années | Une seconde boîte e-mail, ou des alias qui redirigent vers votre boîte | Limité ; vous pouvez désactiver un alias ou le filtrer |
| Ponctuel | Un téléchargement, un formulaire que vous n'utiliserez plus jamais, le test de votre propre page d'inscription | Une boîte temporaire, si les conditions du site le permettent | Faible ; l'adresse n'est pas liée à votre nom et la boîte a disparu |
L'adresse avec « + » (plus addressing), comme name+shop@example.com, se place quelque part au milieu. Elle fonctionne sur Gmail et Outlook.com et peut vous montrer qui a laissé fuiter ou a vendu votre adresse. Elle ne cache rien, car n'importe qui peut supprimer l'étiquette et voir l'adresse de base, et les outils des attaquants le font précisément. Les alias de redirection, comme ceux d'iCloud+, de Proton ou de Firefox Relay, cachent vraiment l'adresse réelle, puisque rien dans l'alias n'y renvoie. Les achats en ligne méritent ici une réflexion particulière, car les bases de données des boutiques réunissent adresses e-mail, numéros de téléphone et adresses postales. Notre guide sur la confidentialité de l'e-mail lors des achats en ligne traite ce cas, y compris la façon de conserver vos reçus.
Où une boîte temporaire aide
Une boîte temporaire convient pour une action unique sur un site avec lequel vous n'avez aucune relation durable, pour protéger votre vie privée, et lorsque les conditions du site le permettent. VookMail est un service de ce type : une adresse est prête dès le chargement de la page, sans inscription ni mot de passe. Vous pouvez appuyer sur Nouveau pour saisir un nom d'utilisateur et choisir l'un des plus de 30 domaines, ou appuyer sur le bouton jaune « Aléatoire » pour une adresse aléatoire. Les messages, les pièces jointes et les adresses sont supprimés au bout d'environ un jour.
C'est cette courte durée de vie qui limite une future fuite. Si un site visité une seule fois laisse fuiter plus tard sa table d'utilisateurs, l'adresse figurant dans cette table mène à une boîte qui ne contient plus rien et n'a aucun lien avec votre nom, votre téléphone ou votre boîte e-mail principale. Tout mot de passe créé là-bas compte toujours, alors rendez-le unique. Les informations saisies dans le profil sont exposées elles aussi, ce qui est une bonne raison de ne remplir que ce que le formulaire exige.
Les limites sont tout aussi nettes. Quiconque connaît ou devine une adresse temporaire peut ouvrir cette boîte, donc une adresse aléatoire est le choix le plus sûr et rien de privé ne doit y figurer. Vous ne pouvez pas recevoir de façon fiable une réinitialisation de mot de passe des semaines plus tard : c'est le mauvais outil pour tout compte dont vous pourriez avoir encore besoin, et il ne doit jamais servir pour la banque, l'administration, la santé, le travail ou vos principaux comptes sociaux. Certains sites refusent les domaines jetables. C'est leur décision, et la bonne réponse est de la respecter et de leur donner une adresse permanente ou un alias. Nos conditions générales interdisent aussi d'utiliser le service pour la fraude, les abus ou le contournement d'un bannissement.
Donnez moins dès le départ
Les dégâts dépendent de ce qui était stocké. Laissez les champs facultatifs vides. Évitez d'enregistrer une carte sur un site que vous utilisez rarement. Soyez prudent avec les boutons « Se connecter avec » sur des services en lesquels vous n'avez pas pleinement confiance, et regardez l'accès au profil qu'ils demandent. Refusez de donner un numéro de téléphone sauf si un site en a vraiment besoin pour la sécurité. Une date de naissance qu'un site ne veut que pour un bon d'anniversaire est une donnée que vous pouvez simplement garder pour vous, quand le formulaire le permet.
Deux endroits différents détiennent vos données
Il est utile de distinguer deux types d'incident que l'on confond souvent. Quand un service est piraté, l'attaquant obtient ce que ce service stockait : votre adresse, votre profil et tout ce qui se trouvait dans sa base. Quand c'est votre boîte e-mail qui est compromise, l'attaquant obtient autre chose, à savoir tous les messages que vous avez gardés, y compris d'anciens reçus, des liens de réinitialisation de mot de passe, des documents scannés et des conversations privées.
Le second cas est généralement pire, et c'est pour cela que ce guide vous ramène sans cesse à la boîte e-mail. Il suggère aussi une habitude modeste : vous n'avez pas besoin de dix ans de courrier sans valeur dans votre compte principal. Supprimer les anciens avis d'expédition et les newsletters réduit ce qu'une compromission de la boîte peut révéler, et enregistrer les documents importants ailleurs, avec leur propre protection, coûte peu.
Les boîtes temporaires sont à l'extrémité de cette idée. Sur VookMail, les enregistrements MX de chaque domaine pointent vers un prestataire de distribution du courrier, qui reçoit le message par SMTP et le transmet au service par HTTPS. Comme les messages et les pièces jointes sont supprimés au bout d'environ un jour, aucune longue archive ne s'accumule. La manière dont le service traite les données est expliquée dans la politique de confidentialité et sur la page de méthodologie.
Comment la fuite s'est produite, et pourquoi cela vous concerne
Les entreprises n'expliquent pas toujours la cause en détail, mais quand elles le font, cela peut vous dire à quoi vous attendre.
- Une compromission de base de données, via une faille comme l'injection SQL ou un serveur non mis à jour, signifie généralement que la table des utilisateurs a été copiée en bloc. Attendez-vous à des adresses et à des hashs de mots de passe, et partez du principe que les données seront échangées.
- Un stockage mal configuré signifie qu'une base de données ou un bucket cloud est resté ouvert sur internet. Personne n'a peut-être « piraté » quoi que ce soit, et l'entreprise ne sait peut-être pas qui l'a téléchargé : la réponse honnête à « mes données ont-elles été prises ? » peut être « nous ne pouvons pas le dire ».
- Un incident chez un prestataire signifie qu'une plateforme marketing, un service d'assistance ou un outil d'analyse a été compromis. Cela explique les avis venant de noms que vous ne connaissez pas, et expose généralement des données de contact et des tickets d'assistance plutôt que des mots de passe. Tout ce que vous avez écrit dans un ticket d'assistance peut en faire partie, alors repensez à ce que vous leur avez envoyé.
- Le scraping collecte à grande échelle des données de profil publiques ou semi-publiques via un site ou une API. Les entreprises soutiennent parfois qu'il ne s'agit pas d'une fuite, mais votre adresse se retrouve quand même dans un jeu de données échangé.
- L'abus par un initié signifie qu'un employé ou un sous-traitant a exporté des données qu'il n'aurait pas dû. C'est souvent ciblé, donc les messages de suivi inhabituels et personnels méritent plus de méfiance.
Erreurs faciles à commettre sous pression
La plus courante consiste à ne changer que le mot de passe du site touché en laissant le même sur votre messagerie et vos comptes de boutiques. Juste derrière vient une petite variante de l'ancien mot de passe. Passer de Summer2024! à Summer2025! ne coûte presque aucun effort supplémentaire à un outil de cassage.
On a aussi tendance à s'arrêter à un seul changement. On saute les règles de transfert, et c'est ainsi que quelqu'un qui était entré avant le changement de mot de passe continue de recevoir le courrier après. Compter sur les codes par SMS quand une application d'authentification ou une clé d'accès est disponible laisse une faille sur les comptes critiques, même si les SMS valent mieux que rien quand ils sont le seul choix.
Puis il y a l'erreur inverse : traiter chaque avis comme une urgence. Si seule votre adresse a fuité d'un compte que vous pouvez simplement fermer, vous n'avez pas besoin de remplacer votre adresse e-mail, ni de payer un produit de surveillance parce qu'une publicité alarmante est apparue. Gardez vos efforts pour les cas où un mot de passe, une carte ou un numéro d'identité était en jeu.
Questions fréquentes après un avis
Dois-je supprimer mon compte e-mail ?
Généralement non. Votre adresse principale est liée à des années de réinitialisations de mots de passe et de contacts, et la quitter crée ses propres risques, car un compte oublié peut être difficile à récupérer. Protégez-la plutôt, et cessez de la donner aux sites peu fiables. Une nouvelle adresse n'a de sens que si l'ancienne est irrémédiablement exposée, et il faut alors déplacer vos comptes progressivement et garder l'ancienne ouverte un certain temps.
L'entreprise dit que les mots de passe étaient chiffrés. Dois-je quand même changer le mien ?
Oui. Sans connaître la méthode ni savoir si les clés ont aussi été prises, vous ne pouvez pas juger de la protection, et changer un mot de passe prend moins de temps que de se renseigner. Changez-le aussi partout ailleurs où vous l'avez utilisé.
Une adresse temporaire peut-elle empêcher une fuite ?
Aucun outil n'empêche une entreprise d'être piratée. Une adresse temporaire change ce que la fuite révèle de vous. Si un forum auquel vous vous êtes inscrit ainsi laisse fuiter sa table d'utilisateurs, l'adresse divulguée n'a aucun lien avec votre identité, à condition de n'avoir rien saisi d'autre qui vous identifie.
À quelle fréquence dois-je vérifier ?
Activez les alertes pour que la vérification se fasse sans vous. Un coup d'œil manuel au rapport de votre gestionnaire de mots de passe tous les quelques mois suffit largement, plus un de plus quand un service que vous utilisez fait l'actualité.
Payer pour une surveillance du dark web est-il utile ?
Cela dépend de ce que vous achetez. Ces produits indiquent surtout que vos données sont apparues quelque part, ce que vous pouvez en grande partie savoir gratuitement grâce aux services de recherche ci-dessus. Une assurance contre l'usurpation d'identité ou une aide au rétablissement peut servir un peu si vos données d'identité officielles ont été exposées : lisez ce que couvre réellement l'offre avant de payer.
À qui dois-je le signaler ?
Vous n'avez normalement pas besoin de signaler la fuite d'une entreprise, car celle-ci a ses propres obligations envers les régulateurs. Signalez-la si vous avez perdu de l'argent ou subissez un chantage : d'abord votre banque, puis la police ou votre service national de signalement des fraudes. Dans l'UE et au Royaume-Uni, vous pouvez déposer une plainte auprès de votre autorité de protection des données si une entreprise gère mal l'incident ou ignore vos demandes.
Pour en savoir plus sur le fonctionnement des boîtes temporaires et la durée de conservation des messages, consultez la FAQ de VookMail.