Fuite de données : les gestes qui comptent après un piratage

Le mail arrive un mardi soir, coincé entre une facture et une newsletter. "Nous avons récemment subi un incident de sécurité. Certaines de vos données personnelles sont concernées. Nous vous recommandons de modifier votre mot de passe." Vous changez le mot de passe, vous refermez la boîte mail, et il reste ce petit doute : c'est tout ? C'est grave ? Qu'est-ce qu'ils ont récupéré, exactement ?

Ce mail, vous n'êtes pas seul à le recevoir, et il y a de bonnes raisons de savoir le lire. Cet article explique ce qu'il veut dire, ce qui a réellement pu fuiter selon les cas, et dans quel ordre agir. Avec un contre-pied à garder en tête : le geste qui compte le plus ne se joue pas sur le site piraté.

1. Ce que dit vraiment le mail, et pourquoi vous l'avez reçu

Derrière la formule "incident de sécurité", la loi parle de violation de données. La CNIL, l'autorité française de protection des données, précise que ces violations recouvrent les fuites, vols ou pertes de données, d'origine accidentelle ou malveillante, et que les données peuvent ensuite, dans certains cas, être revendues sur Internet. Autrement dit, "incident" ne veut pas toujours dire "vol massif par des pirates". Ça peut être un fichier envoyé au mauvais destinataire comme une base entière siphonnée puis mise en vente.

Le phénomène prend de l'ampleur : la CNIL a recensé 6 167 violations de données notifiées en 2025, un incident déclaré sur deux relevant d'un piratage. Son décompte consolidé marque une hausse de 9,5 % sur un an, et une quarantaine de violations touchant plus d'un million de personnes, contre une trentaine en 2024.

Et si personne autour de vous n'a rien reçu pour un incident similaire ailleurs, c'est normal aussi. La règle suit trois paliers selon le risque : dans tous les cas, l'organisme doit documenter la violation dans un registre interne ; dès qu'il existe un risque pour les personnes, il doit aussi la notifier à la CNIL, sous 72 heures au maximum ; et quand ce risque est élevé, il doit en plus prévenir les personnes concernées au plus tôt. Ne pas recevoir de mail ne veut donc pas dire qu'il ne s'est rien passé, seulement que l'organisme a estimé le risque en dessous de ce dernier seuil. Et celui que vous avez reçu n'est pas un aveu de catastrophe : c'est la loi qui a fonctionné. Ce même texte impose d'ailleurs que la notification contienne des recommandations concrètes : un mail qui se contente de plates excuses sans un seul conseil est incomplet.

2. Ce qui a fuité, et ce que ça change pour vous

Tout dépend de la nature des données concernées, et le mail doit vous le dire. Voici les cas les plus fréquents :

• Votre adresse mail. Seule, elle ne permet pas grand-chose. Revendue avec des milliers d'autres, elle alimente le spam et les tentatives d'arnaque. Attendez-vous à recevoir plus de messages douteux, et redoublez de méfiance devant ceux qui semblent bien vous connaître.

• Vos nom, adresse postale, téléphone. Isolées, ces informations font rarement des dégâts directs. Combinées, elles rendent une arnaque beaucoup plus crédible : un escroc qui vous appelle en connaissant votre nom, votre ville et votre fournisseur d'accès inspire confiance. C'est là leur vraie valeur marchande.

• Votre IBAN. Autrement dit vos coordonnées bancaires, celles qu'on communique pour un virement ou un prélèvement. Le risque décrit par la CNIL, c'est l'émission d'ordres de prélèvement illégitimes, ou l'usurpation de votre IBAN lors de la souscription d'un service. La même page recommande de surveiller régulièrement vos opérations et la liste de vos créanciers autorisés : c'est là que ce type de fraude se repère.

• Votre mot de passe. C'est le cas le plus sérieux, et de loin. Pas tellement pour le site piraté lui-même : pour tous les autres. On y consacre la section suivante.

3. Le vrai danger : le mot de passe que vous utilisez ailleurs

Voici le contre-pied annoncé. Le réflexe de tout le monde, c'est de changer le mot de passe du site qui a écrit. C'est nécessaire, et il faut le faire. Mais si vous vous arrêtez là, vous avez traité le symptôme le plus visible en laissant le vrai problème ouvert.

Les attaquants pratiquent ce que la CNIL appelle le credential stuffing (en français, le bourrage d'identifiants) : des logiciels testent massivement des couples adresse mail et mot de passe issus de fuites sur des dizaines d'autres sites et services. Des listes contenant des centaines de millions de ces couples circulent sur le dark web (le web caché). Si votre mot de passe fuité chez un marchand de chaussures est aussi celui de votre boîte mail, de votre banque ou de vos réseaux sociaux, ces comptes-là sont désormais à portée de main, alors qu'eux n'ont jamais été piratés.

C'est un peu comme un numéro de carte bancaire copié par un commerçant indélicat. Le problème ne reste pas dans sa boutique : la carte paie partout, et c'est bien pour ça qu'on fait opposition au lieu de se contenter d'éviter le magasin. Un mot de passe réutilisé, c'est pareil : il a fuité à un seul endroit, mais il fonctionne à dix.

Les mots de passe pèsent d'ailleurs lourd bien au-delà de cette seule technique : la CNIL constate qu'en France, environ 60 % des violations qui lui ont été notifiées depuis début 2021 sont liées à du piratage, et qu'un grand nombre aurait pu être évité par de bonnes pratiques de mots de passe. Elle observait déjà, dans son bilan des violations massives de 2024, que des données de connexion issues d'une précédente fuite, proposées sur le marché noir, sont une cause récurrente des grandes violations. Une fuite nourrit la suivante.

La règle est d'ailleurs écrite noir sur blanc : quand une violation touche un mot de passe, l'organisme doit imposer son changement à la prochaine connexion, et recommander de changer aussi les mots de passe des autres services où le même aurait été utilisé. Le régulateur lui-même considère que le site piraté n'est que la moitié du sujet.

4. Dans quel ordre agir

Pas besoin d'y passer la nuit. Voici l'ordre qui fonctionne, du plus urgent au plus confortable :

• Changer le mot de passe du site concerné. Faites-le sans attendre. Nécessaire, mais pas suffisant : c'est l'étape une, pas la dernière.

• Traquer ce mot de passe partout ailleurs. C'est le geste qui compte. La fiche réflexe officielle en cas de fuite de données est explicite : changez-le sur les services concernés par la fuite ainsi que sur tous les autres comptes qui utilisaient le même. Pour l'ordre de passage, un repère simple, qui ne vient pas de la fiche : la boîte mail d'abord, parce qu'elle permet de réinitialiser presque tous les autres comptes, puis la banque, puis les réseaux sociaux.

• Profiter de l'occasion pour passer aux mots de passe uniques. Un gestionnaire de mots de passe retient tout à votre place et en génère un différent par site. C'est le chantier qui fait qu'au prochain mail d'incident, vous n'aurez qu'un seul compte à traiter.

• Surveiller ce qui doit l'être. Si un IBAN a fuité, gardez un œil sur vos relevés et sur vos créanciers autorisés.

• Se méfier des faux sauveteurs. La CNIL met en garde contre des courriels qui ciblent les victimes de fuites : une prétendue "Ligue de défense des données personnelles" propose de faire supprimer vos données des sites où elles circulent. Le message inspire confiance parce qu'il contient vos vraies données, identité, adresse, IBAN, tirées justement de la fuite, et mentionne parfois le numéro de la CNIL, qui n'y est pour rien. Ne répondez pas, ne cliquez pas, ne fournissez rien de plus.

Un compte à la fois, en commençant par ceux qui ouvrent tous les autres.

5. Et vos droits, dans tout ça ?

Face à l'organisme piraté, vous gardez tous vos droits sur vos données : demander ce qu'il détient, des précisions sur l'incident, ou l'effacement de ce qui n'a plus de raison d'être conservé. Il doit vous répondre, en principe, dans un délai maximal d'un mois.

Si la réponse ne vient pas ou ne vous satisfait pas, vous pouvez adresser une plainte à la CNIL. Attention toutefois à une idée reçue : la CNIL peut contrôler et sanctionner l'organisme, mais elle indique elle-même qu'elle ne peut pas vous obtenir de dommages et intérêts. Pour être indemnisé d'un préjudice, le RGPD (le règlement européen qui protège les données personnelles) prévoit une autre voie : son article 82 donne à toute personne ayant subi un dommage matériel ou moral le droit d'en obtenir réparation, devant le juge. Deux guichets, deux rôles : la CNIL pour faire respecter la règle, le tribunal pour réparer le préjudice.

Le jour où le mail revient

Parce qu'il reviendra, sous une forme ou une autre : les chiffres de la CNIL cités plus haut ne vont pas dans l'autre sens. Mais il ne vous fera plus le même effet. Le jour où chacun de vos comptes a son propre mot de passe, une fuite reste l'affaire du site qui l'a subie, et ce genre de mail redevient ce qu'il aurait toujours dû être : une formalité de deux minutes.

Un mail d'incident dans la boîte, des comptes ouverts un peu partout depuis des années, et plus aucune idée de ceux qui partagent le même mot de passe : c'est une situation qui se démêle très bien à deux. Nous faisons ce tri avec vous chez iatko : le tour des comptes concernés, les mots de passe réutilisés repris un par un, un gestionnaire mis en place et expliqué, pour les particuliers comme pour les professionnels. Écrivez-nous pour faire le point.