Une fuite ne se traite pas en bloc. Elle se trie donnée par donnée, selon un seul critère : le coût de remplacement. Voici la grille, la chronologie des gestes et les délais qui comptent.
Une fuite se trie donnée par donnée, selon un seul critère : le coût de remplacement. Un mot de passe se remplace en deux minutes, une carte bancaire en une semaine, un numéro de téléphone en quelques semaines, une date de naissance jamais. Les trois gestes utiles des premières heures sont de changer le secret réutilisé ailleurs, de renforcer la connexion à la messagerie principale et de surveiller les prélèvements. Le risque principal n’est pas le piratage immédiat du compte concerné, mais l’hameçonnage ciblé qui arrive des mois plus tard, armé d’informations exactes.
Le courriel tombe un jeudi de juillet, objet neutre : « Information importante concernant vos données ». Trois paragraphes plus bas, on apprend qu’un « accès non autorisé » a visé « une partie » de la base clients, qu’« aucune donnée bancaire n’est concernée » et qu’il est conseillé, « par précaution », de changer son mot de passe.
Changer le mot de passe est le geste que tout le monde fait. C’est souvent le moins utile. Les fuites les plus lourdes annoncées en France ces dernières années ont surtout porté sur des données d’identité et de contact : nom, date de naissance, adresse postale, numéro de téléphone, numéro d’adhérent ou de contrat, parfois IBAN. Dans ces cas, il n’y a aucun secret à remplacer, et pourtant l’exposition est durable.
Une fuite ne se traite donc pas en bloc. Elle se trie, donnée par donnée, puis elle se traite selon une chronologie.
Une donnée volée a deux propriétés. Sa valeur pour l’attaquant, et son coût de remplacement pour vous. C’est la seconde qui décide de la gravité.
Un mot de passe se remplace en deux minutes : vous en créez un autre, l’ancien ne vaut plus rien. Une carte bancaire se remplace en un appel et une semaine d’attente. Un numéro de téléphone se remplace en quelques semaines, au prix de prévenir tout votre carnet d’adresses et une dizaine d’administrations. Un nom, une date de naissance, un lieu de naissance, un nom de naissance ne se remplacent jamais.
De là une règle qui contredit la plupart des titres de presse : la gravité d’une fuite se mesure à la part de données non remplaçables qu’elle contient, pas au nombre de comptes touchés. Une base de dix millions de mots de passe hachés avec une fonction moderne est un incident sérieux mais borné dans le temps. Une base de cent mille dossiers contenant état civil complet, adresse, téléphone et numéro de contrat est un incident sans date de fin.
Cette asymétrie explique un phénomène déroutant pour les victimes. Les fichiers issus de fuites circulent, se recoupent et se revendent pendant des années. Un mot de passe volé perd toute valeur le jour où vous le changez. Un état civil garde la sienne pendant quarante ans, et il se combine avec la fuite suivante pour former un dossier de plus en plus complet.
Le tableau ci-dessous sert de grille de tri. Reprenez la liste exacte des catégories citées dans le message que vous avez reçu et cochez les lignes concernées.
| Donnée exposée | Ce qu’elle permet | Coût de remplacement | Geste utile |
|---|---|---|---|
| Mot de passe | Connexion directe, et rejeu sur tous les sites où il est réutilisé | Deux minutes | Le remplacer partout où il servait |
| Adresse e-mail | Ciblage, recoupement entre fuites, réinitialisation des autres comptes | Élevé en pratique | Renforcer la connexion à la messagerie |
| Numéro de mobile | Hameçonnage par SMS, appel frauduleux crédible, détournement de ligne | Quelques semaines | Quitter la double authentification par SMS |
| Nom, date et lieu de naissance | Preuve d’identité auprès d’un service peu regardant, réponses aux questions secrètes | Impossible | Supprimer les questions secrètes fondées dessus |
| Adresse postale | Courrier frauduleux, détournement de livraison, crédibilité d’une arnaque | Déménagement | Vigilance sur les courriers d’organismes inconnus |
| IBAN | Mise en place d’un prélèvement, fausse demande de changement de coordonnées | Changement de compte | Contrôler les prélèvements chaque mois |
| Numéro de carte bancaire | Paiement à distance si l’authentification forte est contournée | Une semaine | Faire opposition, demander une nouvelle carte |
| Copie de pièce d’identité | Ouverture de comptes, souscriptions, dossiers de crédit | Jusqu’à l’expiration du document | Conserver la preuve de la fuite |
| Numéro de sécurité sociale | Fraude aux prestations, crédibilité renforcée d’un faux organisme | Impossible | Se méfier de tout contact citant ce numéro |
Deux lignes méritent d’être lues ensemble : l’adresse e-mail et l’état civil. Prises séparément, elles paraissent anodines. Réunies, elles suffisent à fabriquer un message qui vous appelle par votre nom, connaît votre âge et cite votre commune. C’est exactement ce dont un attaquant a besoin, et c’est la raison pour laquelle une fuite « sans mot de passe » n’est pas une fuite bénigne.
Passé le tri, l’ordre compte. Une messagerie compromise commande la réinitialisation de tous les autres comptes : elle passe donc en premier, même si elle n’est pas le service concerné par la fuite.
Si vous constatez que vous réutilisiez ce mot de passe sur plus de trois sites, arrêtez le rattrapage manuel et installez un gestionnaire de mots de passe. Reprendre trente comptes à la main aboutit toujours au même résultat : les dix premiers sont traités, les vingt suivants sont oubliés.
La crainte réflexe, en voyant son IBAN dans une liste de données volées, est le vidage du compte. Ce n’est pas ce qui se produit. Un IBAN n’autorise pas un retrait : il identifie un compte pour le créditer ou pour y déclencher un prélèvement, opération qui laisse une trace nominative et un émetteur identifiable.
Les deux usages frauduleux réels sont ailleurs. Le premier consiste à mettre en place de petits prélèvements récurrents, calibrés pour passer inaperçus sur un relevé peu lu. Le second consiste à écrire à vos débiteurs, employeur ou clients compris, pour leur annoncer un changement de coordonnées bancaires : c’est la mécanique de la fraude au faux fournisseur, et elle vise votre entourage professionnel plus que vous.
Le droit vous protège largement, à condition de respecter les délais. Le code monétaire et financier ouvre, pour un prélèvement que vous avez autorisé, un remboursement sans avoir à se justifier pendant huit semaines à compter du débit. Pour un prélèvement que vous n’avez jamais autorisé, le délai de contestation va jusqu’à treize mois. Les conditions et les cas de refus sont détaillés dans notre article sur le remboursement d’un paiement frauduleux.
Un numéro de mobile n’a l’air de rien. Il est pourtant devenu une clé d’authentification par accident, parce que des centaines de services envoient leurs codes de connexion par SMS.
Le scénario qui inquiète les opérateurs est le détournement de ligne. L’attaquant qui dispose de votre état civil complet et de votre numéro demande le remplacement de la carte, aujourd’hui souvent une eSIM activable à distance. S’il aboutit, tous vos codes par SMS arrivent chez lui. Ce détournement reste rare, parce qu’il exige de tromper un service client, mais il devient nettement plus simple quand une fuite a fourni les réponses aux questions posées par ce service client.
La conclusion est directe : après une fuite contenant votre numéro, la double authentification par SMS doit reculer au profit d’une application ou d’une clé, au moins sur la messagerie et la banque. Les clés d’accès vont plus loin encore, puisqu’elles suppriment le code transmissible.
Second effet, moins technique : votre numéro associé à votre nom et à votre banque rend crédible l’appel du faux conseiller bancaire. Et depuis que quelques secondes d’enregistrement suffisent à imiter une voix, le clonage vocal ajoute une couche de crédibilité à ces appels.
Beaucoup d’organismes conservent une photographie de votre carte d’identité ou de votre passeport, parfois sans nécessité. Quand cette copie fuite, elle n’est pas seulement une image : c’est la pièce que réclament les procédures d’ouverture de compte à distance, de souscription d’abonnement ou de dossier de crédit à la consommation.
Contrairement à une idée répandue, la France ne connaît pas d’équivalent du blocage préventif de crédit pratiqué aux États-Unis. Les fichiers tenus par la Banque de France recensent des incidents constatés, ils n’empêchent pas en amont l’examen d’une demande faite en votre nom. Il n’existe donc pas de bouton à actionner : la protection repose sur la détection, puis sur la contestation.
Deux gestes ont une valeur réelle. Le premier est préventif : quand vous transmettez une copie, écrivez en travers du document, en clair et sans masquer les mentions, la destination et la date, par exemple « copie remise à tel organisme le 13 septembre 2026 pour tel dossier ». Une pièce ainsi annotée est difficile à réutiliser ailleurs, et l’annotation ne la rend pas invalide pour son destinataire. Le second est curatif : conservez la notification de fuite, elle établit que la copie a circulé sans votre fait, ce qui pèse lourd si un contrat souscrit à votre nom doit être annulé.
La première semaine est bruyante et peu dangereuse. Les bases fraîchement volées servent d’abord au rejeu automatique de couples identifiant et mot de passe, contre lequel un secret unique et un second facteur suffisent.
Ce qui suit est plus lent et beaucoup plus efficace. La base est nettoyée, recoupée avec d’autres fuites, enrichie, puis revendue par segments. Le message d’hameçonnage qui en sort ne ressemble en rien à la caricature à fautes d’orthographe : il cite votre numéro de contrat, la date de votre dernière commande, le nom de votre complémentaire santé ou le montant exact d’une échéance. Les indices habituels de détection tombent, puisque les informations sont vraies.
Une seule défense survit à cette précision : la règle du canal indépendant. Aucun lien, aucun numéro fourni dans le message, aucun rappel au numéro qui vient d’appeler. Vous reprenez contact par un chemin que vous connaissez déjà, l’application installée, le numéro figurant au dos de la carte, l’adresse tapée à la main. Le mécanisme complet est décrit dans l’anatomie d’un hameçonnage, et vous pouvez vous entraîner à repérer ces signaux avec notre quiz de reconnaissance d’arnaque.
À l’inverse, un geste discret rapporte beaucoup : demander à l’organisme, au titre du droit d’accès prévu par le RGPD, la liste exacte des données vous concernant qui ont été exposées. Les notifications collectives restent vagues par prudence juridique ; la réponse individuelle, elle, doit être précise.
Devant une fuite, ne vous demandez pas si elle est grave. Prenez la liste des catégories citées et posez pour chacune la même question : puis-je remplacer cette donnée, et en combien de temps ? Ce qui se remplace se remplace tout de suite. Ce qui ne se remplace pas ne se répare pas, il se surveille, et la surveillance s’organise sur des années, pas sur une semaine. Reste à savoir si vous êtes réellement concerné, ce que permet de vérifier une adresse dans les bases de fuites.
Non. Changez celui du service concerné, puis tous ceux qui lui ressemblent ou qui sont identiques ailleurs, en commençant par la messagerie principale et la banque. Changer les autres ne fait rien gagner et consomme l’énergie dont vous avez besoin pour les gestes utiles. Si vous ne savez pas où le secret a été réutilisé, c’est le signe qu’il faut passer à un gestionnaire, et profiter de l’occasion pour appliquer les règles d’un mot de passe réellement solide.
Une notification seule ne suffit généralement pas : il n’y a pas encore de préjudice. La plainte devient utile dès qu’un fait est constaté, un prélèvement inconnu, un compte ouvert à votre nom, une ligne téléphonique souscrite. L’usurpation d’identité est réprimée par l’article 226-4-1 du code pénal, qui prévoit un an d’emprisonnement et 15 000 euros d’amende. Conservez la notification reçue : elle date votre exposition et sert de pièce.
Oui, mais pas automatiquement. La CNIL n’évalue pas le fait qu’il y ait eu intrusion, elle évalue si les mesures de sécurité étaient à la hauteur du risque et si l’organisme a rempli ses obligations d’information. Une fuite bien gérée par un organisme prudent peut ne donner lieu à aucune sanction, une fuite mineure due à une base laissée sans mot de passe peut en entraîner une. Vous pouvez saisir la CNIL, indépendamment de toute demande d’indemnisation.
Rarement dans l’urgence. La suppression n’efface pas la copie déjà sortie, et elle vous prive de l’accès aux informations sur l’incident, à l’historique de commandes et parfois à la preuve du lien contractuel. Faites-le plus tard, à froid, si le service ne vous sert plus, en vérifiant ce que supprimer un compte efface vraiment. Dans l’intervalle, retirez de ce compte tout ce qui n’a pas besoin d’y rester : carte enregistrée, adresses de livraison, pièces justificatives.
Non pour les données déjà diffusées. Une base copiée et rediffusée sur plusieurs canaux ne se rappelle pas, et aucun prestataire ne peut garantir la suppression d’un fichier détenu par des inconnus. Ces offres agissent en réalité sur un autre terrain, celui des courtiers en données et des annuaires en ligne, qui est légitime mais distinct. Le droit d’effacement s’exerce gratuitement auprès de chaque organisme, sans intermédiaire.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.