Fuite de données : changer un mot de passe ne suffit pas en France

Après une fuite de données personnelles, identifiez d’abord les informations exposées. Changez un mot de passe divulgué sur le compte concerné et partout où vous le réutilisiez. Si un IBAN ou des données d’identité ont aussi fuité, prévoyez des démarches distinctes : vigilance bancaire, recherche d’un éventuel usage frauduleux et conservation des preuves. La fiche de Cybermalveillance.gouv.fr détaille ces mesures selon la nature des données compromises.

Dans les premières minutes, vérifiez l’alerte et son périmètre auprès de l’organisme concerné. Traitez ensuite sans attendre les accès aux comptes et les coordonnées bancaires exposés. Dans les jours suivants, surveillez les signes de fraude : recevoir une notification de fuite indique un risque, pas nécessairement une utilisation de vos données par un tiers.

Premières minutes : confirmer l’alerte et trier les risques

Lisez le message de l’organisme pour relever les catégories de données touchées et les mesures qu’il annonce. Si le message est imprécis, contactez l’organisme depuis son site officiel ou à un numéro que vous connaissez déjà. Un courriel ou un SMS alarmant peut lui-même être frauduleux, même s’il contient votre nom, votre adresse ou d’autres renseignements exacts.

Les démarches dépendent de ce qui a été divulgué. Plusieurs catégories peuvent être concernées à la fois :

• Mot de passe ou accès à un compte : remplacez le mot de passe concerné et repérez tous les autres services où vous utilisiez le même.
• IBAN ou références bancaires : informez votre banque et contrôlez les opérations du compte visé.
• Pièce d’identité ou autres données d’identification : gardez l’alerte et surveillez les démarches, comptes ou contrats inconnus établis à votre nom.
• Nom, adresse, téléphone ou courriel : vérifiez avec soin les appels et messages demandant un code, un paiement ou une copie de document.

Si l’organisme ne précise pas encore quelles informations ont été divulguées, demandez-lui quelles catégories sont confirmées. Conservez ses réponses successives : elles vous aideront à adapter vos démarches si le périmètre de la fuite évolue. Pour authentifier une sollicitation, retrouvez vous-même les coordonnées officielles de l’organisme au lieu d’utiliser celles fournies dans le message reçu.

Dans les premières 24 heures : reprendre le contrôle des comptes

Si un mot de passe a fuité, changez-le sur le service touché et sur chaque autre compte où il était réutilisé. Choisissez des mots de passe distincts et activez la double authentification quand le service la propose. Donnez la priorité à votre messagerie si elle partageait ce mot de passe : elle peut recevoir les messages servant à réinitialiser d’autres comptes.

Vérifiez que vous accédez toujours aux comptes concernés et que leurs coordonnées de récupération sont bien les vôtres. Si un compte présente une activité inconnue ou vous échappe, utilisez la procédure de récupération du service et signalez-lui l’incident. Lorsque seules des coordonnées de contact ont été exposées, le danger immédiat tient surtout aux sollicitations trompeuses : ne transmettez pas de code et ne validez pas une opération à la demande d’un appelant dont vous n’avez pas vérifié l’identité.

Un nouveau mot de passe protège l’accès au compte sur lequel vous le définissez. Il ne bloque ni un prélèvement fondé sur des coordonnées bancaires divulguées ni l’utilisation de données d’identité. C’est la raison pour laquelle les autres branches du suivi restent nécessaires, même après la sécurisation des comptes.

Si un IBAN a fuité : prévenir la banque et examiner les prélèvements

Prévenez votre banque de la divulgation de l’IBAN et demandez-lui de renforcer la vigilance sur le compte concerné. La CNIL explique le risque de prélèvements illégitimes et recommande de surveiller les opérations ainsi que la liste des créanciers autorisés. La divulgation d’un IBAN ne signifie pas qu’un prélèvement frauduleux a déjà eu lieu.

Si vous découvrez un prélèvement que vous n’avez pas autorisé, contestez-le rapidement auprès de votre banque. Demandez aussi comment supprimer l’autorisation de prélèvement en cause et quelles mesures appliquer si d’autres données bancaires ont été compromises. Précisez notamment si des données de carte figurent dans la fuite : une carte exposée et un IBAN exposé n’appellent pas nécessairement la même réponse.

Restez prudent face à un appel prétendant venir du service antifraude. La connaissance de votre IBAN ou d’autres détails personnels ne suffit pas à établir que l’interlocuteur travaille pour votre banque. Mettez fin à l’appel et contactez votre établissement par votre canal habituel avant de confirmer un paiement ou de communiquer une information confidentielle.

Si des données d’identité ont fuité : repérer un usage à votre nom

Conservez la notification et soyez attentif aux courriers, demandes de paiement, ouvertures de compte ou souscriptions que vous ne reconnaissez pas. Une copie de pièce d’identité divulguée appelle cette surveillance, mais sa présence dans une fuite ne prouve pas à elle seule une usurpation. Si vous soupçonnez un usage de votre identité, prévenez rapidement les organismes concernés et votre banque.

Lorsqu’une utilisation frauduleuse apparaît, rassemblez les éléments qui la décrivent : messages reçus, adresses des pages concernées, captures d’écran et échanges avec les organismes. Vous pouvez déposer plainte auprès de la police ou de la gendarmerie, ou écrire au procureur de la République. Si l’usurpation est confirmée, la consultation du fichier des comptes bancaires Ficoba peut aider à repérer des comptes ouverts à votre nom à votre insu.

Dans la durée : garder les preuves et choisir le recours adapté

Archivez l’alerte initiale, les précisions apportées par l’organisme et les traces d’éventuelles tentatives de fraude. Si vos données sont publiées sur une page ou un profil, conservez son adresse et une capture avant de demander leur retrait à la plateforme. Continuez à examiner vos comptes et les messages reçus après les premiers jours : des informations divulguées peuvent servir à rendre un hameçonnage plus crédible.

Une plainte pénale vise l’utilisation frauduleuse de vos données. Une plainte auprès de la CNIL concerne notamment la façon dont l’organisme a protégé vos informations ou le maintien de données accessibles malgré une demande de suppression. Ces démarches répondent à des faits différents ; décrivez ceux que vous avez effectivement constatés et gardez une copie de vos échanges.

Si vous ne savez pas si vous faites face à un hameçonnage, à un compte piraté ou à un message frauduleux, 17Cyber aide à qualifier la situation et oriente vers des solutions adaptées. Préparez les catégories de données exposées et les faits déjà observés pour obtenir une orientation correspondant à votre cas.

À lire aussi :

• Permissions YouTube : déléguer sans mot de passe ne donne pas accès à l’API
• Hauts-de-France : des RIB peut-être exposés, le volume reste invérifié
• Passkeys : le compte reste vulnérable si la récupération accepte un mot de passe