Les fournisseurs d’accès, opérateurs mobiles, boutiques en ligne et administrations conservent quantité de données personnelles : nom, adresse postale, adresse e-mail, date de naissance, numéro de téléphone, parfois des coordonnées bancaires. Quand l’un de ces acteurs subit une intrusion, ces informations peuvent être copiées, revendues sur des places de marché clandestines, puis exploitées pour de la fraude ou de l’usurpation d’identité. Savoir réagir dans les jours qui suivent limite fortement les conséquences.
Reconnaître une fuite de données qui vous concerne
Une entreprise victime d’une violation de données a l’obligation, au titre du RGPD (en vigueur depuis le 25 mai 2018) et de la loi Informatique et Libertés, de notifier l’incident à la CNIL. Lorsque la fuite présente un risque élevé pour les personnes, elle doit aussi informer directement les clients concernés.
Dans la pratique, vous apprenez souvent l’existence d’une fuite par un e-mail de l’opérateur, par la presse, ou par un service de veille. Restez néanmoins prudent : les périodes qui suivent une fuite médiatisée sont propices aux faux messages d’alerte. Un courriel qui vous presse de « sécuriser votre compte » en cliquant sur un lien peut être une tentative d’hameçonnage exploitant l’inquiétude générale. Plutôt que de cliquer dans l’urgence, connectez-vous en tapant vous-même l’adresse du service dans votre navigateur.
Vérifier si vos données ont été exposées
Des services indépendants recensent les adresses e-mail et les identifiants apparus dans des fuites connues. Le plus établi est Have I Been Pwned, tenu par le chercheur en sécurité Troy Hunt. Vous y saisissez votre adresse e-mail et le service indique dans quelles fuites publiques elle a été retrouvée.
Consulter ce type de service est parfaitement légal : vous interrogez un index public au sujet de votre propre adresse, vous n’accédez pas au contenu dérobé. Beaucoup de ces outils proposent une option d’alerte qui vous prévient si votre adresse réapparaît dans une fuite ultérieure.
Quelques principes utiles :
- Ne saisissez que votre propre adresse e-mail, jamais un mot de passe complet.
- Un résultat « non trouvé » ne garantit pas une absence totale d’exposition : toutes les fuites ne sont pas indexées.
- Méfiez-vous des sites imitant ces services : vérifiez le nom de domaine. La présence d’un cadenas HTTPS n’atteste en rien du sérieux d’un site.
Les mesures à prendre sans attendre
Que la fuite touche un opérateur télécom, une messagerie ou un commerçant, la réaction est la même. L’objectif est d’empêcher que les données exposées ne servent à prendre le contrôle d’un compte ou à se faire passer pour vous.
Changer les mots de passe concernés
Modifiez le mot de passe du compte touché, ainsi que celui de tout autre service où vous utilisiez le même. Un mot de passe réutilisé est le principal levier des attaquants : à partir d’un couple e-mail / mot de passe volé, ils testent automatiquement les mêmes identifiants sur des dizaines de sites. Choisissez des mots de passe distincts, longs, et conservez-les dans un gestionnaire dédié.
Activer la double authentification
Là où c’est possible, activez l’authentification à deux facteurs. Même si votre mot de passe circule, un tiers ne pourra pas se connecter sans le second facteur (application d’authentification ou clé physique). Privilégiez une application dédiée au code envoyé par SMS, plus vulnérable.
Surveiller comptes bancaires et prélèvements
Si des coordonnées bancaires (IBAN) figurent parmi les données exposées, un IBAN seul ne permet pas de vider un compte, mais il peut servir à mettre en place des prélèvements frauduleux. Contrôlez régulièrement vos relevés, contestez sans délai toute opération inconnue auprès de votre banque, et surveillez l’apparition de nouveaux mandats de prélèvement.
Se méfier des sollicitations qui suivent
Après une fuite, les fraudeurs disposent d’informations réelles vous concernant, ce qui rend leurs approches crédibles. Un appel se réclamant de votre opérateur ou de votre banque, capable de citer votre nom et votre adresse, reste suspect. Aucun organisme légitime ne demande par téléphone un mot de passe, un code de sécurité ou un code reçu par SMS. La technique du spoofing permet d’afficher un faux numéro d’appelant : ne vous fiez jamais au numéro qui s’affiche. En cas de doute, raccrochez et rappelez le service par un numéro officiel que vous avez vous-même vérifié.
Où signaler et se faire aider
Plusieurs dispositifs officiels existent selon la nature du préjudice :
- SMS et appels frauduleux : signalez-les au 33700, dispositif national de signalement des messages et appels indésirables (spam vocal, smishing).
- Usurpation d’identité ou escroquerie : rassemblez les preuves (captures, e-mails, relevés) et déposez plainte. Le site Cybermalveillance.gouv.fr oriente les victimes et met en relation avec des prestataires.
- Manquement d’un organisme à la protection de vos données : vous pouvez saisir la CNIL.
Une fuite de données ne relève pas d’une faute de votre part, et elle est devenue banale. Ce qui reste entre vos mains, c’est la réaction : vérifier votre exposition, cloisonner vos mots de passe, activer la double authentification et rester attentif aux sollicitations qui suivent. Ces quelques réflexes suffisent, dans la plupart des cas, à couper court à la fraude.