Adresse e-mail dans une fuite de données : comment le vérifier et que faire ensuite

Les fuites de données touchent régulièrement des entreprises de toutes tailles : boutiques en ligne, opérateurs, mutuelles, plateformes de loisirs, services publics. À chaque fois, des millions d’adresses e-mail, parfois accompagnées de mots de passe, de numéros de téléphone ou d’IBAN, se retrouvent en circulation. Si votre adresse est concernée, vos comptes ne sont pas pour autant piratés. En revanche, le risque augmente. La bonne réponse tient en trois temps : vérifier ce qui a fuité, sécuriser les comptes exposés dans le bon ordre, puis rester vigilant face aux arnaques qui suivent.

Comment savoir si votre adresse a fuité

Plusieurs signaux peuvent alerter : un e-mail d’information d’un service dont vous êtes client, une actualité sur une cyberattaque visant une entreprise que vous utilisez, ou une hausse soudaine de spams et de messages frauduleux très personnalisés.

Pour vérifier de façon proactive, des services gratuits recensent les fuites rendues publiques :

• Have I Been Pwned, le plus connu, créé par un chercheur en sécurité, qui indique dans quelles fuites votre adresse apparaît et quelles données étaient concernées ;
• les outils intégrés aux navigateurs et gestionnaires de mots de passe, qui signalent les identifiants enregistrés retrouvés dans des fuites connues ;
• les alertes proposées par certains services de messagerie ou de sécurité.

Ces outils ont une limite : ils ne connaissent que les fuites rendues publiques. Une absence de résultat ne garantit donc pas que vos données n’ont jamais été exposées.

Évaluer le risque selon les données exposées

Toutes les fuites ne se valent pas. Regardez précisément quelles données étaient concernées, car la réaction à adopter en dépend.

Données exposées	Niveau de risque	Principal danger
Adresse e-mail seule	Faible	Spams, hameçonnage ciblé
E-mail + nom + téléphone	Modéré	Arnaques personnalisées par SMS ou appel
E-mail + mot de passe (même chiffré)	Élevé	Connexion à vos comptes si le mot de passe est réutilisé
Adresse postale, date de naissance	Modéré à élevé	Usurpation d’identité, crédibilité accrue des arnaques
IBAN	Élevé	Prélèvements frauduleux, faux conseiller bancaire
Pièce d’identité	Très élevé	Usurpation d’identité, ouverture de comptes à votre nom

Un mot de passe qui fuite, même stocké sous forme chiffrée, doit être considéré comme compromis : les méthodes de déchiffrement des mots de passe faibles sont très efficaces.

Les gestes à faire, dans l’ordre

1. Sécuriser votre messagerie en priorité

Votre boîte e-mail est la clé de tous vos autres comptes : c’est par elle que passent les réinitialisations de mot de passe. Changez son mot de passe en premier, pour un mot de passe long et unique, et vérifiez dans les paramètres qu’aucune règle de transfert automatique ou adresse de secours inconnue n’a été ajoutée.

2. Changer les mots de passe réutilisés

Si le mot de passe du site concerné est utilisé ailleurs, changez-le partout. C’est le cœur du problème : les pirates testent automatiquement les identifiants volés sur des centaines de services, une technique appelée credential stuffing. Un gestionnaire de mots de passe permet de créer et retenir un mot de passe différent pour chaque site sans effort.

3. Activer la double authentification

Sur la messagerie, la banque, les réseaux sociaux et les comptes marchands qui conservent votre carte, activez la vérification en deux étapes. Même avec votre mot de passe, un pirate ne pourra pas se connecter sans le second facteur. Notre guide sur la double authentification compare les méthodes disponibles.

4. Vérifier l’activité de vos comptes

Consultez l’historique des connexions et des appareils autorisés sur vos principaux comptes. Déconnectez les sessions que vous ne reconnaissez pas. Surveillez vos relevés bancaires pendant les semaines qui suivent.

Après la fuite : les arnaques qui suivent

Une fuite de données alimente pendant des mois des campagnes d’hameçonnage personnalisé. Le fraudeur connaît votre nom, parfois votre adresse, votre opérateur ou votre banque, et s’en sert pour paraître crédible.

• Faux message du service concerné, vous invitant à confirmer vos informations à la suite de l’incident.
• SMS frauduleux sur un colis, une amende ou un remboursement. Notre article sur les SMS frauduleux et le 33700 détaille les signaux d’alerte.
• Faux conseiller bancaire au téléphone, qui cite des informations exactes pour gagner votre confiance.
• Chantage par e-mail prétendant détenir des images compromettantes et citant un ancien mot de passe : c’est une escroquerie classique, qui s’appuie uniquement sur les données de la fuite.

Limiter l’impact des prochaines fuites

Les fuites continueront de se produire : l’objectif réaliste est d’en réduire les conséquences. Quelques habitudes y contribuent fortement.

• Un mot de passe unique par site : une fuite ne compromet alors qu’un seul compte.
• Des alias e-mail : de nombreuses messageries permettent de créer des adresses secondaires pour les inscriptions, que l’on peut supprimer si elles sont inondées de spams. Elles indiquent aussi quel service a laissé fuiter l’adresse.
• Moins de données confiées : ne remplissez que les champs obligatoires, évitez d’enregistrer votre carte bancaire sur les sites où vous achetez rarement, et supprimez les comptes que vous n’utilisez plus.
• Des alertes activées : les notifications de connexion inhabituelle, proposées par la plupart des services, vous préviennent rapidement en cas d’accès suspect.

Vos droits face à l’entreprise responsable

En Europe, le règlement général sur la protection des données (RGPD) impose aux organisations victimes d’une violation de données de la notifier à l’autorité de contrôle, la CNIL en France, et d’informer les personnes concernées lorsque le risque est élevé. Vous pouvez aussi :

• demander à l’entreprise quelles données vous concernant ont été exposées, dans le cadre de votre droit d’accès ;
• supprimer votre compte si vous n’utilisez plus le service, pour limiter l’exposition future ;
• adresser une réclamation à la CNIL si l’entreprise ne répond pas ou si vous estimez qu’elle a manqué à ses obligations.

Une indemnisation individuelle reste difficile à obtenir et suppose de démontrer un préjudice réel. Pour une situation d’usurpation ou de perte financière, rapprochez-vous d’une association de consommateurs ou d’un professionnel du droit.