Vérifier si son adresse apparaît dans une fuite

Les mots de passe volés servent d'abord à deviner d'autres mots de passe. Le NIST observe que les choix des utilisateurs sont très prévisibles et que les attaquants testent les mots de passe qui ont déjà fonctionné, notamment ceux issus de fuites précédentes². Le même document recommande qu'un service compare les mots de passe choisis à une liste de valeurs connues comme courantes, attendues ou compromises, par exemple des mots de passe tirés de fuites passées². Ce texte date de juin 2017 et a été remplacé par une révision plus récente depuis le 1er août 2025².

Le risque grandit quand un mot de passe sert à plusieurs endroits. Si vous l'avez réutilisé, il suffit aux criminels d'en connaître un seul pour accéder à tous vos comptes⁴. C'est le scénario décrit par la CISA : une utilisatrice voit un virement de 700 dollars qu'elle n'a pas demandé, ne peut plus se connecter à sa banque, puis à sa messagerie, parce qu'elle avait le même mot de passe sur les deux. Elle apprend plus tard que ce mot de passe faisait partie d'une fuite d'entreprise publiée en ligne³.

Après une fuite, ou au moindre doute, l'ordre suivant limite les dégâts, du plus urgent au plus durable.

• Changez d'abord le mot de passe du service touché¹. Si vous l'aviez réutilisé pour la messagerie, changez aussi celui de la messagerie⁴.
• Prenez un mot de passe long et aléatoire. La CISA indique au moins 16 caractères, soit une chaîne aléatoire, soit une phrase de 4 à 7 mots sans rapport entre eux³. Cybermalveillance.gouv.fr cite un minimum de 12 signes mêlant majuscules, minuscules, chiffres et caractères spéciaux¹.
• Un mot de passe par compte. La CNIL demande un mot de passe propre et unique pour chaque compte sensible : banque, messagerie, réseau social⁵.
• Confiez-les à un gestionnaire de mots de passe. La CISA note que, pour la plupart des gens, retenir des mots de passe longs, aléatoires et uniques pour chaque compte est impossible, et que ces outils les génèrent, les stockent et signalent les mots de passe faibles ou réutilisés³.
• Activez la double authentification, surtout pour la messagerie, les réseaux sociaux et les comptes financiers³. Le NCSC précise qu'elle empêche un criminel d'accéder à la messagerie même s'il connaît le mot de passe⁴.

Pour un compte professionnel, appliquez ces mêmes mesures et suivez les consignes de votre organisation. Le NCSC demande que le mot de passe de la messagerie ne serve sur aucun autre compte, à la maison comme au travail⁴.

Le faux message d'alerte de fuite

Un message qui annonce une fuite et vous presse de vous connecter peut être de l'hameçonnage. La CISA décrit comme signes courants un langage urgent ou chargé d'émotion, une demande d'informations personnelles ou financières, des liens raccourcis non fiables et des adresses ou liens incorrects, comme « amazan.com »⁶. Les fautes d'orthographe ne sont plus un indice fiable : à l'ère de l'intelligence artificielle, certains courriels sont parfaits sur ce point⁶.

Face à un message douteux qui pourrait être vrai, ne cliquez sur aucun lien et n'appelez aucun numéro qu'il contient. Cherchez le site de l'organisme vous-même, ou tapez son adresse, et reprenez ses coordonnées sur le site vérifié⁶. Dans l'exemple de la CISA, un courriel annonçait un paiement refusé et pressait de se connecter. L'utilisateur piégé a livré son mot de passe et ses données de carte, et n'a récupéré la plupart de ses pertes qu'après de longues heures au téléphone⁶.

Cybermalveillance.gouv.fr ajoute qu'aucune société ou organisation sérieuse ne demandera jamais votre mot de passe par messagerie ou par téléphone, même pour une « maintenance » ou un « dépannage informatique ». Si on vous le demande, vous êtes face à une tentative de piratage ou d'escroquerie¹. Un faux message de fuite qui réclame votre mot de passe entre dans ce cas.

Pour signaler le message, la CISA indique qu'une option figure en général près de l'adresse de l'expéditeur, ou dans le bouton « signaler le spam ». Elle conseille ensuite de supprimer le message sans répondre ni cliquer, y compris sur un lien de désabonnement⁶. Le NCSC britannique précise qu'il peut enquêter sur les adresses et les sites frauduleux et les faire retirer, et que le signalement prend une minute⁷.

Le faux sentiment de sécurité

Ne pas figurer dans une base de fuites consultée ne dispense pas des bonnes pratiques. La règle vaut dans tous les cas : un mot de passe différent par compte, des mots de passe longs et la double authentification¹³⁵.

Le mot de passe noté au mauvais endroit

Après un changement, il est tentant de garder le nouveau mot de passe dans un fichier ou un message. La CNIL déconseille les post-it, les fichiers texte, le smartphone et la boîte de messagerie, et de ne jamais les enregistrer dans le navigateur d'un ordinateur partagé⁵.