--- id: CP-349 slug: have-i-been-pwned-verifier-fuite-courriel lang: fr title: Vérifier si son adresse apparaît dans une fuite description: Une fuite de données met votre mot de passe en circulation. Comment réagir sans attendre, et pourquoi une adresse absente d'une base ne prouve rien. canonical_url: https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Vérifier si son adresse apparaît dans une fuite », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-022 schema: G2 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel/ en: https://startbrain.io/cyberpedia/en/articles/have-i-been-pwned-check-email-breach/ de: https://startbrain.io/cyberpedia/de/articles/have-i-been-pwned-e-mail-adresse-datenleck-pruefen/ es: https://startbrain.io/cyberpedia/es/articles/have-i-been-pwned-comprobar-filtracion-correo/ sources: - "n": 1 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 2 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 3 title: Use Strong Passwords publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 4 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email published: "2018-12-17" accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Recognize and Report Phishing publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 7 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" --- # Vérifier si son adresse apparaît dans une fuite Quand une entreprise ou un site se fait pirater, les identifiants de ses clients peuvent se retrouver entre de mauvaises mains. Savoir si son adresse figure dans une base de fuites peut rassurer ou alerter, mais cela ne remplace pas les bons réflexes sur les mots de passe. Cette fiche porte sur ce que recommandent les organismes publics de référence après une fuite : changer le mot de passe sans attendre, ne pas le réutiliser, activer la double authentification et se méfier des faux messages d'alerte. ## En 30 secondes - Où ça arrive : un service chez lequel vous avez un compte est piraté, et son annonce ou une rumeur vous parvient [1]. - Ce que veut l'attaquant : profiter des mots de passe réutilisés : un mot de passe compromis rend piratables tous les services où il sert [1]. - Le réflexe : changer sans attendre le mot de passe concerné, ne jamais le réutiliser ailleurs et activer la double authentification [1]. - Si c'est déjà fait : si le même mot de passe sert pour votre messagerie, changez le mot de passe de la messagerie dès que possible [4]. ## Questions directes ### Qu'est-ce qu'une fuite de données ? Un attaquant peut obtenir des mots de passe chiffrés (hachés) en s'introduisant dans une base de données, ce que le NIST appelle une « database breach » [2]. La CISA raconte le cas d'une utilisatrice dont le mot de passe faisait partie d'une fuite d'entreprise publiée en ligne [3]. Le mot de passe n'est alors plus secret, même si votre propre ordinateur n'a jamais été touché. ### Faut-il attendre la confirmation d'une fuite pour agir ? Non. Cybermalveillance.gouv.fr recommande, en cas de doute sur la sécurité d'un compte ou si vous apprenez qu'une société chez qui vous avez un compte s'est fait pirater, de ne pas attendre de savoir si c'est vrai. Il faut changer immédiatement le mot de passe concerné, avant qu'il ne tombe dans de mauvaises mains [1]. ### Que faire si mon adresse apparaît dans une fuite ? Changez le mot de passe du service concerné. Si vous l'utilisiez pour votre messagerie, changez le mot de passe de la messagerie dès que possible [4]. Choisissez ensuite un mot de passe différent pour chaque service, afin qu'en cas de perte ou de vol d'un seul, seul ce service soit vulnérable [1]. Activez enfin la double authentification quand le service la propose [5]. ### Pourquoi la messagerie passe-t-elle en premier ? Elle reçoit les liens de réinitialisation des mots de passe de vos autres comptes. Un cybercriminel qui la pirate peut utiliser la fonction « mot de passe oublié » des services auxquels vous accédez, y compris votre compte bancaire, pour en prendre le contrôle [1]. Le NCSC ajoute qu'il pourrait aussi lire vos informations privées et envoyer des messages en se faisant passer pour vous [4]. ### Et si mon adresse n'apparaît pas dans la base consultée ? Le conseil ne dépend pas du résultat d'une vérification : changer le mot de passe dès le doute, ne pas le réutiliser, activer la double authentification [1][5]. Un résultat vide ne dispense donc d'aucune de ces mesures. ## Comment ça marche Les mots de passe volés servent d'abord à deviner d'autres mots de passe. Le NIST observe que les choix des utilisateurs sont très prévisibles et que les attaquants testent les mots de passe qui ont déjà fonctionné, notamment ceux issus de fuites précédentes [2]. Le même document recommande qu'un service compare les mots de passe choisis à une liste de valeurs connues comme courantes, attendues ou compromises, par exemple des mots de passe tirés de fuites passées [2]. Ce texte date de juin 2017 et a été remplacé par une révision plus récente depuis le 1er août 2025 [2]. Le risque grandit quand un mot de passe sert à plusieurs endroits. Si vous l'avez réutilisé, il suffit aux criminels d'en connaître un seul pour accéder à tous vos comptes [4]. C'est le scénario décrit par la CISA : une utilisatrice voit un virement de 700 dollars qu'elle n'a pas demandé, ne peut plus se connecter à sa banque, puis à sa messagerie, parce qu'elle avait le même mot de passe sur les deux. Elle apprend plus tard que ce mot de passe faisait partie d'une fuite d'entreprise publiée en ligne [3]. ## Ce que vous faites Après une fuite, ou au moindre doute, l'ordre suivant limite les dégâts, du plus urgent au plus durable. - Changez d'abord le mot de passe du service touché [1]. Si vous l'aviez réutilisé pour la messagerie, changez aussi celui de la messagerie [4]. - Prenez un mot de passe long et aléatoire. La CISA indique au moins 16 caractères, soit une chaîne aléatoire, soit une phrase de 4 à 7 mots sans rapport entre eux [3]. Cybermalveillance.gouv.fr cite un minimum de 12 signes mêlant majuscules, minuscules, chiffres et caractères spéciaux [1]. - Un mot de passe par compte. La CNIL demande un mot de passe propre et unique pour chaque compte sensible : banque, messagerie, réseau social [5]. - Confiez-les à un gestionnaire de mots de passe. La CISA note que, pour la plupart des gens, retenir des mots de passe longs, aléatoires et uniques pour chaque compte est impossible, et que ces outils les génèrent, les stockent et signalent les mots de passe faibles ou réutilisés [3]. - Activez la double authentification, surtout pour la messagerie, les réseaux sociaux et les comptes financiers [3]. Le NCSC précise qu'elle empêche un criminel d'accéder à la messagerie même s'il connaît le mot de passe [4]. Pour un compte professionnel, appliquez ces mêmes mesures et suivez les consignes de votre organisation. Le NCSC demande que le mot de passe de la messagerie ne serve sur aucun autre compte, à la maison comme au travail [4]. ## Les pièges ### Le faux message d'alerte de fuite Un message qui annonce une fuite et vous presse de vous connecter peut être de l'hameçonnage. La CISA décrit comme signes courants un langage urgent ou chargé d'émotion, une demande d'informations personnelles ou financières, des liens raccourcis non fiables et des adresses ou liens incorrects, comme « amazan.com » [6]. Les fautes d'orthographe ne sont plus un indice fiable : à l'ère de l'intelligence artificielle, certains courriels sont parfaits sur ce point [6]. Face à un message douteux qui pourrait être vrai, ne cliquez sur aucun lien et n'appelez aucun numéro qu'il contient. Cherchez le site de l'organisme vous-même, ou tapez son adresse, et reprenez ses coordonnées sur le site vérifié [6]. Dans l'exemple de la CISA, un courriel annonçait un paiement refusé et pressait de se connecter. L'utilisateur piégé a livré son mot de passe et ses données de carte, et n'a récupéré la plupart de ses pertes qu'après de longues heures au téléphone [6]. Cybermalveillance.gouv.fr ajoute qu'aucune société ou organisation sérieuse ne demandera jamais votre mot de passe par messagerie ou par téléphone, même pour une « maintenance » ou un « dépannage informatique ». Si on vous le demande, vous êtes face à une tentative de piratage ou d'escroquerie [1]. Un faux message de fuite qui réclame votre mot de passe entre dans ce cas. Pour signaler le message, la CISA indique qu'une option figure en général près de l'adresse de l'expéditeur, ou dans le bouton « signaler le spam ». Elle conseille ensuite de supprimer le message sans répondre ni cliquer, y compris sur un lien de désabonnement [6]. Le NCSC britannique précise qu'il peut enquêter sur les adresses et les sites frauduleux et les faire retirer, et que le signalement prend une minute [7]. ### Le faux sentiment de sécurité Ne pas figurer dans une base de fuites consultée ne dispense pas des bonnes pratiques. La règle vaut dans tous les cas : un mot de passe différent par compte, des mots de passe longs et la double authentification [1][3][5]. ### Le mot de passe noté au mauvais endroit Après un changement, il est tentant de garder le nouveau mot de passe dans un fichier ou un message. La CNIL déconseille les post-it, les fichiers texte, le smartphone et la boîte de messagerie, et de ne jamais les enregistrer dans le navigateur d'un ordinateur partagé [5]. ## Sources 1. Cybermalveillance.gouv.fr, « Pourquoi et comment bien gérer ses mots de passe ? », 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consulté le 3 novembre 2026) 2. NIST, « NIST Special Publication 800-63B ». https://pages.nist.gov/800-63-3/sp800-63b.html (consulté le 3 novembre 2026) 3. CISA, « Use Strong Passwords ». https://www.cisa.gov/secure-our-world/use-strong-passwords (consulté le 3 novembre 2026) 4. NCSC (Royaume-Uni), « Use a strong and separate password for your email », 17 décembre 2018. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (consulté le 3 novembre 2026) 5. CNIL, « Les conseils de la CNIL pour un bon mot de passe », 26 janvier 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consulté le 3 novembre 2026) 6. CISA, « Recognize and Report Phishing ». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consulté le 3 novembre 2026) 7. NCSC (Royaume-Uni), « Phishing scams: how to spot and report them », 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/have-i-been-pwned-verifier-fuite-courriel/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.