C'est quoi une fuite de données, et que faire si mes informations sont dedans ?

Pour aller plus loin

Une fuite de données est ce qui arrive quand une organisation qui détient des informations personnelles en perd le contrôle. L’information sort de leurs systèmes — par un piratage, une base de données mal configurée, un ordinateur volé, un employé malveillant — et finit là où l’organisation ne l’avait jamais voulu : un site de paste, un forum, une place de marché dark web, parfois la une d’un site d’actualité.

Ce qu’on trouve dans une fuite, par gravité approximative :

• Adresses e-mail et identifiants. Presque chaque fuite en contient. Utile aux attaquants surtout comme clé pour relier au dataset suivant.
• Mots de passe. Parfois en clair (rare et impardonnable), souvent sous forme de hashes (qu’il faut casser, mais qui le sont très souvent), parfois correctement hashés avec bcrypt ou Argon2 (cas idéal — mais même le hash le plus solide ne protège pas un mot de passe faible).
• Numéros de téléphone et adresses postales. Utiles pour les SIM-swap, la fraude au colis ciblé et le phishing convaincant.
• Dates de naissance, numéros de pièce d’identité, numéros de sécurité sociale. Données quasi-permanentes qu’on ne peut pas vraiment « changer », ce qui rend ces fuites particulièrement douloureuses.
• Numéros de carte bancaire et coordonnées bancaires. De plus en plus rares dans les fuites modernes parce que les prestataires de paiement les traitent séparément, mais ça arrive encore.
• Données de santé, profils de rencontre, messages privés. Quand ce sont ces données qui fuitent, le dommage dépasse le financier.

Une fuite de données n’est pas la même chose qu’une fraude. La fuite, c’est la sortie. La fraude — usage frauduleux de carte, prise de compte, usurpation d’identité — c’est ce que les attaquants font ensuite avec la donnée fuitée. Beaucoup de bases fuitées ont plusieurs années quand quelqu’un les utilise contre vous. Les deux grosses agrégations célèbres — la série « Collection #1-5 » (2019) et le fichier « RockYou2024 » avec environ 10 milliards de mots de passe — sont des compilations de fuites plus anciennes.

Que faire quand on apprend qu’on est dans une fuite :

1. Identifier la fuite. Have I Been Pwned liste les fuites connues par e-mail et indique quels champs ont été exposés.
2. Changer immédiatement le mot de passe sur ce service. Le rendre unique — pas réutilisé ailleurs.
3. Le changer partout où vous l’aviez réutilisé. C’est là que les attaquants gagnent vraiment. Une fuite de forum de 2014 devient une prise de compte bancaire en 2026 parce que le même mot de passe traînait.
4. Activer la double authentification sur le service touché et sur les comptes à fort enjeu (messagerie, banque, gestionnaire de mots de passe).
5. Traiter les messages liés comme suspects pendant des mois. Les attaquants rachètent ces bases et utilisent les vraies infos personnelles pour fabriquer des phishings convaincants. Un message qui connaît votre nom, votre employeur et un achat récent est plus persuasif qu’un message banal.
6. Si des données financières ou d’identité ont fuité, surveillez les relevés, prévenez la banque, et envisagez un fichage Banque de France des incidents de paiement ou une opposition préventive selon le contexte.
7. Dans l’UE, vous pouvez signaler l’incident à la CNIL — sous RGPD, l’entreprise est tenue de vous notifier dans les 72 heures à compter de la prise de connaissance, et vous avez droit à réparation du préjudice documenté.

La plus grande leçon pratique de vingt ans de fuites : la réutilisation de mot de passe est le multiplicateur. La fuite en elle-même est rarement catastrophique ; c’est la réutilisation qui transforme une fuite en multiples prises de compte. Un gestionnaire de mots de passe est la correction structurelle.