Mots de passe et phrases secrètes
Changer le mot de passe du compte attaqué est rarement le bon premier geste. Voici la chronologie qui reprend vraiment la main, de l’appareil utilisé jusqu’aux pièges laissés dans la boîte mail.
Trois situations très différentes se cachent derrière « mon mot de passe a été volé » : un service annonce une fuite, votre adresse apparaît dans une compilation d’identifiants, ou quelqu’un est réellement entré dans votre compte. Les gestes ne sont pas les mêmes, mais l’ordre l’est toujours : vérifier d’abord l’appareil depuis lequel vous agissez, traiter la messagerie principale avant le compte visé, puis fermer les sessions ouvertes. Changer le secret sans révoquer les sessions ni inspecter les règles de redirection laisse l’intrus en place.
L’alerte tombe un dimanche soir : « Nouvelle connexion à votre compte depuis un appareil inconnu ». Ou bien c’est un courriel du service lui-même, qui annonce un incident de sécurité et invite à changer son mot de passe. Ou encore, plus brutal, une alerte de votre banque pour un achat que vous n’avez pas fait.
Le réflexe est toujours le même : ouvrir le compte concerné et changer le mot de passe. C’est rarement le bon premier geste, et parfois le pire. Il peut livrer le nouveau secret à l’attaquant, il ne le déconnecte pas nécessairement, et il laisse intacts les accès de secours qu’il a pu installer.
Ce qui suit est une chronologie. Elle suppose acquis ce que la mesure de la solidité d’un mot de passe établit par ailleurs, en particulier le fait qu’un secret connu ne se rattrape pas par sa longueur. La question n’est plus ici de savoir comment fabriquer un bon secret, mais dans quel ordre reprendre la main quand un mauvais a servi.
« Mon mot de passe a été volé » désigne des réalités qui n’appellent ni la même urgence ni les mêmes gestes. Les distinguer évite autant la panique inutile que la négligence coupable.
| Fuite annoncée par un service | Adresse repérée dans une compilation | Compte réellement pris | |
|---|---|---|---|
| Ce que l’attaquant détient | Une empreinte, parfois cassable | Un couple adresse et mot de passe déjà en clair | Un accès actif, et ce qu’il en a tiré |
| Urgence | Quelques jours | Quelques jours, sauf secret réemployé | Immédiate |
| Premier geste | Changer sur ce service et partout où le secret servait | Identifier la fuite d’origine et sa date | Vérifier l’appareil, puis sécuriser la messagerie |
| Ce qui ne sert à rien | Changer une seule fois puis oublier | Changer sur un service que vous n’utilisez plus | Changer le secret sans fermer les sessions |
Le deuxième cas mérite une précision qui déjoue beaucoup d’annonces alarmistes. Les compilations géantes présentées comme des fuites inédites sont presque toujours des agrégats : elles rassemblent des dizaines de fuites anciennes, dédoublonnées et republiées. Ce qui compte n’est donc pas la date de l’annonce, mais celle de la fuite d’origine, et surtout la réponse à une seule question : ce mot de passe sert-il encore quelque part ? Les limites et les pièges de ces services de contrôle sont traités dans la vérification d’une adresse dans les bases de fuites.
Avant toute chose, une question que presque personne ne se pose : la machine sur laquelle vous êtes en train de taper est-elle saine ? Si un logiciel voleur d’informations y est installé, il capte le nouveau mot de passe au moment même où vous le choisissez, et l’opération entière est perdue.
Trois indices doivent faire suspecter l’appareil plutôt que le service. Premier indice : plusieurs comptes sans aucun rapport entre eux basculent le même jour. Deuxième indice : l’intrus revient après un changement de mot de passe correctement effectué. Troisième indice : les alertes portent sur des comptes dont le secret n’a jamais été réutilisé nulle part.
La hiérarchie est toujours la même, quel que soit le compte qui a déclenché l’alerte. La messagerie principale vient en premier, parce qu’elle reçoit les liens de réinitialisation de tous les autres services. Tant qu’elle est accessible à un tiers, sécuriser un compte revient à réparer une fenêtre en laissant la porte ouverte.
Viennent ensuite, dans l’ordre : les accès bancaires et les services de paiement, les comptes qui portent votre identité administrative, les comptes marchands qui conservent une carte enregistrée, puis tout le reste. Le compte à l’origine de l’alerte prend sa place dans cette liste selon ce qu’il commande, pas selon l’émotion qu’il provoque.
Sur chacun de ces comptes, le nouveau secret doit être unique et généré, pas inventé. C’est précisément le travail d’un gestionnaire de mots de passe, et la messagerie fait partie des trois ou quatre accès qui méritent une phrase de passe tirée au sort plutôt qu’une chaîne à mémoriser.
C’est le point le plus mal compris, et il explique la plupart des reprises de contrôle qui échouent. Un mot de passe sert à ouvrir une session. Une fois la session ouverte, c’est un jeton, stocké dans le navigateur ou dans l’application, qui autorise chaque requête suivante. Ce jeton a sa propre durée de vie, souvent de plusieurs semaines ou plusieurs mois.
Conséquence directe : un attaquant déjà connecté peut rester connecté après votre changement de mot de passe. Certains services révoquent tout automatiquement, d’autres non, et rien ne vous prévient. Il faut donc chercher la fonction de déconnexion globale, libellée « se déconnecter de tous les appareils », « sessions actives » ou « appareils connectés », et l’actionner explicitement.
Trois autres accès échappent au changement de mot de passe et doivent être révoqués un par un : les mots de passe d’application, générés pour des logiciels de messagerie anciens ; les applications tierces autorisées à se connecter à votre compte, dans la rubrique des autorisations ; les appareils déclarés de confiance, qui sont parfois dispensés de deuxième facteur lors des connexions suivantes.
Une boîte mail compromise n’est presque jamais simplement lue. Elle est aménagée, pour que l’accès survive à votre reprise en main et pour que vous ne remarquiez rien. L’inspection ci-dessous prend dix minutes et doit être faite même si l’intrusion paraît ancienne.
Les règles de redirection sont le piège le plus courant et le plus rentable pour l’attaquant : elles transforment votre boîte en source permanente de renseignement, sans nouvelle connexion de sa part. Comprendre où se logent ces réglages est plus simple quand on sait comment un courriel circule, du client au serveur.
Rien dans cette liste ne demande de compétence technique. Ce qui demande de la discipline, c’est de ne pas sauter l’étape 4, la moins visible et la plus décisive.
Le nettoyage détruit les traces dont vous aurez besoin ensuite, pour la plainte, pour la banque ou pour l’assurance. L’ordre correct est donc : capturer, puis nettoyer.
Conservez le journal des connexions du compte avec les dates, les adresses IP et les appareils, sous forme de captures d’écran horodatées. Gardez les courriels d’alerte avec leurs en-têtes complets, que la plupart des messageries permettent d’afficher et d’enregistrer. Notez la chronologie que vous connaissez : dernier accès légitime, première anomalie constatée, actions effectuées et heure de chacune. Si des sommes sont en jeu, imprimez les relevés avant toute contestation.
Dès qu’un paiement est en cause, deux démarches avancent en parallèle et ne se remplacent pas. Auprès de la banque : faire opposition, puis contester par écrit les opérations non autorisées. Le délai de contestation est de treize mois à compter du débit, et l’établissement doit rembourser immédiatement après avoir été informé, en principe au plus tard le premier jour ouvrable suivant, sauf s’il démontre une fraude ou une négligence grave de votre part. Cette notion de négligence grave est interprétée strictement par les tribunaux, et un refus se conteste : les modalités figurent dans le détail du droit au remboursement d’un paiement frauduleux.
Auprès des pouvoirs publics : le signalement d’une fraude à la carte bancaire se fait en ligne sur le téléservice Perceval, qui alimente les enquêtes sans remplacer l’opposition bancaire. La plainte, elle, se dépose en commissariat ou en gendarmerie et ne peut pas être refusée. Les SMS frauduleux se signalent au 33700, et les messages d’hameçonnage se transmettent aux dispositifs de signalement officiels.
Quand l’origine est un message piégé, la reconstitution vaut la peine : elle évite la récidive. Le mécanisme est décrit dans l’anatomie d’un hameçonnage, et un passage par notre quiz de reconnaissance des arnaques permet de tester ses réflexes sur des cas réels.
Un secret volé ne vaut que par ce qu’il ouvre ailleurs. C’est le travail de fond, et il se fait en une ou deux séances, une fois l’urgence passée.
Listez les services où le mot de passe compromis servait, y compris sous une variante. Un secret identique à un chiffre près compte comme réutilisé : les outils d’attaque appliquent ces mutations automatiquement. La plupart des gestionnaires savent produire cette liste en une passe, en signalant les entrées identiques, faibles ou présentes dans une fuite connue.
Traitez ensuite dans l’ordre d’importance, pas dans l’ordre alphabétique : messagerie, banque, administration, commerce, puis le reste. Profitez du passage pour fermer les comptes dont vous n’avez plus l’usage, car un compte abandonné continue de détenir vos données et de figurer dans les fuites à venir. Si la fuite concerne des données au-delà des identifiants, les gestes à poser par type de donnée sont détaillés dans la conduite à tenir quand une fuite vous concerne.
Quand la fuite vient d’un service, vous n’êtes pas seul face à l’incident : l’organisme a des obligations. Le RGPD lui impose de notifier la CNIL dans les 72 heures suivant la découverte de la violation, sauf si celle-ci ne présente pas de risque pour les personnes. Lorsque le risque est élevé, il doit en outre informer individuellement les personnes concernées dans les meilleurs délais.
Cette information n’est pas un courriel vague. Elle doit décrire la nature de la violation, les catégories de données touchées, les conséquences probables, les mesures prises, et fournir un point de contact, généralement le délégué à la protection des données. Un message qui se contente de recommander de changer son mot de passe sans rien dire de ce qui a fuité est incomplet, et ce manquement se signale à la CNIL. Le détail de ce à quoi vous avez droit figure dans l’analyse de la notification de violation de données.
Devant une alerte, ne vous demandez pas si vous avez changé le mot de passe. Posez-vous trois questions dans cet ordre : l’appareil depuis lequel j’agis est-il sain, la messagerie qui commande tous mes comptes est-elle sécurisée, et l’intrus dispose-t-il encore d’un accès qui ne passe pas par le mot de passe ? Tant qu’une de ces trois réponses est incertaine, le compte n’est pas repris.
Oui, et méfiez-vous du vocabulaire. Les mots de passe ne sont pas chiffrés mais hachés, et la solidité du hachage varie énormément d’un service à l’autre. Une empreinte obsolète se casse en masse ; une empreinte moderne résiste, sauf si votre secret était court ou fabriqué à partir d’un mot courant. Comme vous ne saurez jamais lequel des deux cas s’applique, considérez le mot de passe comme connu, changez-le sur ce service, et surtout partout où vous l’aviez réemployé.
Oui, dès qu’il y a un préjudice ou une usurpation. L’accès frauduleux à un système de traitement automatisé de données est une infraction pénale, indépendamment des sommes en jeu. La plainte se dépose dans n’importe quel commissariat ou brigade de gendarmerie, qui ne peut pas la refuser. Elle est souvent exigée par les assurances, par la banque et par les plateformes pour traiter une usurpation de compte. Rassemblez captures d’écran et courriels d’alerte avant de vous déplacer.
Oui, davantage qu’une fuite récente. Un secret exposé depuis des années a circulé dans des dizaines de compilations et figure dans les listes que les outils d’attaque essaient en priorité. Sa longueur ne le protège plus : il n’est plus à deviner, il est connu. Changez-le sur le service concerné et sur tous ceux où vous l’avez réemployé, y compris sous une variante avec un chiffre différent, qui compte comme une réutilisation.
Elles suppriment la cause principale. Une clé d’accès ne repose pas sur un secret partagé : le service ne stocke qu’une clé publique, inutile à un voleur, et rien ne peut être rejoué sur un autre site. Tant que le compte conserve un mot de passe de secours, la porte reste néanmoins ouverte. La bascule complète prendra des années, et les comptes anciens resteront exposés bien après.
Si l’intrus a eu accès à votre messagerie ou à votre compte sur un réseau social, oui, par un autre canal que celui qui a été compromis. Les messages envoyés depuis un compte volé sont bien plus efficaces qu’un hameçonnage ordinaire, parce qu’ils viennent d’une adresse connue et reprennent parfois le fil d’une conversation réelle. Un message court suffit : préciser la période concernée et demander d’ignorer toute sollicitation d’argent ou tout lien reçu pendant ce laps de temps.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.