En bref : face à une fuite de données, trois gestes protègent l’essentiel. Utilisez un mot de passe unique et long pour chaque compte, stocké dans un gestionnaire de mots de passe. Activez la double authentification (2FA) partout où c’est possible, en privilégiant une application ou une clé plutôt que le SMS. Enfin, surveillez vos adresses avec un service d’alerte comme Have I Been Pwned et restez méfiant face au phishing. En cas d’usurpation, agissez vite : changez vos accès, prévenez votre banque et signalez.

Pourquoi une fuite chez un tiers vous concerne

Quand un site marchand, un réseau social ou un service en ligne se fait pirater, ce sont souvent des millions d’adresses e-mail, de mots de passe et de données personnelles qui se retrouvent en vente sur des forums clandestins. Le vrai danger n’est pas seulement le compte concerné : c’est le bourrage d’identifiants (credential stuffing). Les pirates rejouent automatiquement votre couple e-mail / mot de passe sur des centaines d’autres services, en pariant sur le fait que vous réutilisez le même partout.

Autrement dit, un mot de passe fuité chez un petit forum peut ouvrir votre boîte mail, vos comptes de réseaux sociaux et jusqu’à vos accès bancaires. C’est précisément ce mécanisme que les bonnes pratiques ci-dessous cherchent à casser.

Des mots de passe uniques et robustes

La règle d’or est simple : un compte, un mot de passe différent. Ainsi, une fuite reste circonscrite à un seul service. Pour la robustesse, la longueur prime sur la complexité : un mot de passe de 12 à 16 caractères ou davantage résiste bien mieux qu’un court mot truffé de symboles. La technique de la phrase de passe est idéale : assemblez plusieurs mots sans lien évident, par exemple « girafe-tonnerre-velours-42 », facile à retenir et très difficile à casser.

À éviter absolument : les dates de naissance, prénoms, noms d’animaux, « 123456 », « azerty » et autres classiques qui figurent en tête des mots de passe les plus piratés année après année. Évitez aussi de dériver un mot de passe unique en ajoutant simplement le nom du site à la fin : cette astuce, très répandue, est facilement devinée.

Le gestionnaire de mots de passe, l’outil clé

Retenir des dizaines de mots de passe uniques est impossible de tête : c’est le rôle du gestionnaire de mots de passe. Ce logiciel génère des mots de passe aléatoires, les stocke de façon chiffrée et les remplit automatiquement au bon endroit. Vous n’avez plus qu’un seul mot de passe à mémoriser : celui, très solide, qui ouvre le coffre-fort.

Plusieurs solutions fiables existent, gratuites ou payantes, comme Bitwarden, KeePass, 1Password ou Dashlane. Certains navigateurs et systèmes intègrent aussi un gestionnaire correct. Choisissez un outil réputé, protégez le mot de passe maître avec le plus grand soin et activez la double authentification sur le gestionnaire lui-même. Bonus : la plupart de ces outils vous alertent quand un mot de passe est faible, réutilisé ou compromis dans une fuite connue.

Activer la double authentification (2FA)

La double authentification ajoute une seconde barrière : même si un pirate connaît votre mot de passe, il ne peut pas se connecter sans ce deuxième facteur. C’est la protection la plus rentable que vous puissiez activer. Priorisez les comptes sensibles : messagerie principale (qui sert à réinitialiser tous les autres), banque, réseaux sociaux et espaces professionnels.

Toutes les méthodes ne se valent pas. Le code par SMS vaut mieux que rien, mais reste vulnérable au détournement de carte SIM. Préférez une application d’authentification (comme Google Authenticator, Microsoft Authenticator ou Authy) qui génère un code temporaire, ou mieux encore une clé de sécurité physique ou une passkey, aujourd’hui considérées comme le nec plus ultra. Pensez à conserver précieusement les codes de secours fournis lors de l’activation : ils vous sauveront en cas de perte du téléphone.

Surveiller les fuites et rester vigilant face au phishing

Pour savoir si vos données ont déjà fuité, des services gratuits recensent les bases de données piratées. Le plus connu est Have I Been Pwned : saisissez votre adresse e-mail et il vous indique dans quelles fuites elle apparaît. D’autres outils, intégrés à certains navigateurs et gestionnaires de mots de passe, vous préviennent automatiquement en cas de nouvelle compromission. Si une alerte tombe, changez sans attendre le mot de passe du compte concerné et de tout autre où vous l’auriez réutilisé.

Après une fuite, attendez-vous à une hausse des tentatives de phishing : les escrocs disposent désormais de votre nom et de votre e-mail pour rendre leurs messages crédibles. Méfiez-vous des courriels alarmistes qui pressent d’agir, ne cliquez jamais sur un lien pour « vérifier votre compte » et rendez-vous plutôt directement sur le site officiel en tapant l’adresse vous-même. Aucune banque, aucun service sérieux ne vous demandera votre mot de passe complet ou un code 2FA par téléphone ou par e-mail.

Que faire en cas d’usurpation

Si un compte est déjà compromis, la rapidité est décisive. Commencez par changer immédiatement le mot de passe du compte touché, puis celui de votre messagerie principale si elle est concernée. Activez la 2FA si ce n’était pas fait, déconnectez toutes les sessions actives depuis les paramètres de sécurité et vérifiez qu’aucune règle de transfert d’e-mail ni aucun appareil inconnu n’a été ajouté à votre insu.

Si vos données bancaires sont en jeu, contactez sans délai votre banque pour faire opposition et surveillez vos relevés. En France, vous pouvez signaler l’incident sur la plateforme cybermalveillance.gouv.fr, déposer plainte auprès de la police ou de la gendarmerie, et signaler les tentatives d’hameçonnage. En cas d’usurpation d’identité avérée, conservez toutes les preuves (captures d’écran, e-mails) et prévenez les organismes susceptibles d’être sollicités frauduleusement en votre nom.

Ce qu’il faut retenir

• Partez du principe que vos données ont pu fuiter : le vrai risque est la réutilisation du même mot de passe partout.
• Adoptez un mot de passe unique et long par compte, gérés dans un gestionnaire de mots de passe fiable.
• Activez la double authentification (2FA) sur vos comptes sensibles, de préférence via une application ou une clé plutôt que par SMS.
• Surveillez vos adresses avec un service comme Have I Been Pwned et redoublez de vigilance face au phishing après une fuite.
• En cas d’usurpation, changez vos mots de passe, coupez les sessions actives, prévenez votre banque et signalez sur cybermalveillance.gouv.fr.