Un exemple : Léa reçoit l’annonce d’une fuite
Exemple fictif : Léa, à Lyon, apprend par e-mail que sa salle de sport s’est fait voler noms, adresses e-mail et numéros de téléphone de clients. Elle ne clique sur rien et vérifie dans son espace client. Comme elle utilisait le même mot de passe pour sa messagerie, elle change d’abord celui-ci et active la double authentification. Trois jours plus tard, un SMS « de sa banque » cite son prénom et demande de rappeler un numéro. Léa appelle plutôt celui inscrit sur sa carte : la banque n’a rien envoyé.
Faut-il passer par un site de vérification ?
La CNIL ne peut pas vous confirmer la présence de vos données dans un fichier volé, mais vous pouvez interroger l’organisme concerné. Elle déconseille les sites qui affirment détenir les données. Cybermalveillance.gouv.fr recommande de lire attentivement le communiqué de l’organisme et, au besoin, de le contacter.
En Suisse, l’Office fédéral de la cybersécurité (OFCS) renvoie au contrôle « Fuite de données » d’iBarry, plateforme de la Swiss Internet Security Alliance. Ce contrôle s’appuie sur Have I Been Pwned, qui affirme ne pas enregistrer les recherches.
| Démarche | Ce que vous obtenez | Limites |
|---|---|---|
| Lire le message de l’organisme | Les données touchées et les mesures prises | Obligatoire en cas de risque grave pour vous |
| Interroger l’organisme | Une réponse sur vos propres données | Passer par ses coordonnées officielles, jamais par un lien reçu |
| Service de vérification (iBarry, Have I Been Pwned) | Si et quand votre adresse est apparue dans une fuite connue | La CNIL déconseille les sites qui disent détenir les données ; seules les fuites déjà analysées y figurent |
Conseil: Si vous utilisez malgré tout un tel service, ouvrez-le vous-même et n’y saisissez que votre adresse e-mail, jamais un mot de passe.
Que signifie un résultat positif ?
Votre adresse figure dans au moins un fichier connu, ce qui ne prouve pas que quelqu’un utilise votre compte en ce moment. Have I Been Pwned qualifie une fuite de fait historique immuable : changer de mot de passe ne la retire pas de la liste. L’absence de résultat n’est pas non plus une garantie.
iBarry rappelle que des identifiants sont aussi dérobés par des logiciels malveillants. Si vous soupçonnez votre appareil, l’OFCS conseille de mettre à jour le système et les applications, puis de l’analyser avec un antivirus à jour.
Dans quel ordre sécuriser vos comptes ?
La CNIL conseille de commencer par les services les plus importants : messagerie, impôts, banque, achats en ligne. La messagerie passe en premier, car elle sert à réinitialiser de nombreux autres comptes.
- Messagerie : nouveau mot de passe unique, fermeture des autres sessions, vérification des transferts automatiques et des moyens de récupération.
- Le site touché par la fuite et tous les comptes qui utilisaient le même mot de passe.
- Banque, impôts et achats en ligne, puis les autres comptes.
- Double authentification partout où elle est proposée.
- Un gestionnaire de mots de passe, comme le recommande la CNIL.
Si vous avez réutilisé un mot de passe sur de nombreux comptes, organisez le changement. Si vous n’accédez plus à votre messagerie, voyez Messagerie détournée : vérifier transferts et comptes associés.
Que faire selon les données qui ont fuité ?
| Données exposées | Risque | Réflexe |
|---|---|---|
| Mot de passe | Connexions sur d’autres services | Le changer partout où il servait |
| Adresse e-mail, téléphone | Hameçonnage réaliste | Ne pas cliquer, aller sur le site officiel en tapant son adresse |
| Nom, adresse, date de naissance | Usurpation d’identité | Plainte et alerte aux banques ; si l’usurpation est avérée, consulter le fichier d’incidents de la Banque de France et FICOBA |
| IBAN | Prélèvements non autorisés | Prévenir la banque, surveiller les opérations, liste blanche des créanciers si possible |
En cas de prélèvement non autorisé, Cybermalveillance.gouv.fr conseille de demander le remboursement à votre banque en invoquant l’article L133-24 du Code monétaire et financier. Contre les arnaques : authentifiez toujours votre interlocuteur en le recontactant par vos propres moyens, à partir des coordonnées officielles. Une prétendue alerte de sécurité se vérifie dans le compte plutôt que dans le lien.
Quels recours en France, et que change la Suisse ?
Dans l’UE, l’organisme doit signaler la violation à l’autorité nationale de protection des données et vous informer directement si elle entraîne un risque grave pour vos données ou votre vie privée, rappelle le portail L’Europe est à vous. L’autorité saisie d’une réclamation répond dans un délai de trois mois.
Selon Cybermalveillance.gouv.fr, vous pouvez déposer plainte auprès de la CNIL si vos données restent accessibles un mois après votre demande de suppression, ou si l’entreprise ne les a pas assez protégées. En cas d’utilisation frauduleuse, portez plainte au commissariat, à la gendarmerie ou auprès du procureur de la République. Une action de groupe est possible avec une association agréée. Pour votre cas précis, consultez une association de consommateurs ou un avocat.
La Suisse n’applique pas automatiquement le droit européen. Selon l’article 24 de la loi suisse sur la protection des données, une entreprise annonce dans les meilleurs délais une violation de la sécurité des données au Préposé fédéral à la protection des données et à la transparence (PFPDT) si elle entraîne vraisemblablement un risque élevé, et vous informe si votre protection l’exige ou si le PFPDT le demande.
| Pays | S’informer | Aide et plainte |
|---|---|---|
| France | CNIL ; Cybermalveillance.gouv.fr | Assistance en ligne 17Cyber ; plainte au commissariat, à la gendarmerie ou au procureur ; plainte CNIL |
| Belgique, Luxembourg | Message de l’organisme, règles européennes | Autorité nationale de protection des données |
| Suisse (Romandie) | Contrôle « Fuite de données » d’iBarry, cité par l’OFCS | Plainte à la police cantonale si des comptes ont été piratés, surtout en cas de dommage financier ou d’abus ; poste le plus proche via Suisse ePolice |
Erreurs fréquentes
- Changer le mot de passe du seul site piraté et le garder ailleurs.
- Laisser la messagerie pour la fin.
- Cliquer sur un lien dans un message « concernant la fuite ».
- Rappeler le numéro indiqué dans un SMS qui cite vos données.
Liste de vérification
Les cases servent uniquement de repères personnels. Aucune saisie ne nous est transmise. Pour conserver la page, il suffit de l’imprimer ou de l’enregistrer au format PDF depuis le menu du navigateur.
Questions fréquentes
La CNIL peut-elle me dire si mes données ont fuité ?
Non. La CNIL précise qu’elle ne peut ni vous informer ni confirmer la présence de vos données dans un fichier volé. Interrogez plutôt l’organisme concerné, par ses coordonnées officielles. Si la fuite présente un risque grave pour vous, il doit d’ailleurs vous informer directement, sans que vous ayez à chercher sur des sites tiers.
J’ai changé mon mot de passe. Pourquoi le service indique-t-il toujours une fuite ?
Le service montre ce qui a été trouvé dans une fuite passée, pas l’état actuel de votre compte. Have I Been Pwned parle d’un fait historique immuable : un nouveau mot de passe ne supprime pas l’entrée. Ce qui compte, c’est que l’ancien mot de passe ne serve plus nulle part.
Puis-je vérifier l’adresse e-mail de mes parents à leur place ?
Mieux vaut le faire ensemble, sur leur appareil. Les alertes de Have I Been Pwned ne partent d’ailleurs que vers l’adresse surveillée, après confirmation par e-mail. Laissez vos parents changer eux-mêmes leurs mots de passe. Pour aider sans récupérer leurs codes, lisez Aider un proche sans récupérer ses mots de passe.
Sources et informations complémentaires
Sources primaires d’autorités publiques, d’organismes de protection des consommateurs et de fournisseurs. Certaines sont dans une autre langue ; retenez les indications adaptées à votre service et à votre lieu de résidence.
- CNIL : Fuite ou vol de données, comment savoir si cela vous concerneSources consultées le:
- Cybermalveillance.gouv.fr : Violation ou fuite de données personnelles, que faire ?Sources consultées le:
- L’Europe est à vous (UE) : Protection des données et respect de la vie privée en ligneSources consultées le:
- Have I Been Pwned : questions fréquentes (en anglais)Sources consultées le:
- iBarry (Swiss Internet Security Alliance) : contrôles de sécurité, dont la fuite de donnéesSources consultées le:
- Office fédéral de la cybersécurité (OFCS) : compte piraté (en allemand)Sources consultées le:
- PFPDT : Guide relatif à l’annonce des violations de la sécurité des données et l’information des personnes concernées (art. 24 LPD)Sources consultées le:
- Office fédéral de la cybersécurité (OFCS) : Piratage au moyen de données provenant d’une fuiteSources consultées le:
