De grandes entreprises sont piratées chaque année, et les adresses e-mail font presque toujours partie des données qui fuient. Savoir si la vôtre a été exposée vous permet d’agir avant que quelqu’un ne s’en serve contre vous.
Comment vérifier
Have I Been Pwned (haveibeenpwned.com) est un service gratuit géré par le chercheur en sécurité Troy Hunt. Saisissez votre adresse e-mail et il affiche les fuites connues qui la contenaient, avec la date et le type de données divulguées.
Quelques points à garder en tête :
- Il ne connaît que les fuites rendues publiques. « Aucun résultat » est une bonne nouvelle, pas une garantie.
- Vous pouvez vous inscrire à une alerte gratuite pour être informé des futures fuites qui incluraient votre adresse.
- Beaucoup de gestionnaires de mots de passe et certains navigateurs proposent une vérification similaire intégrée.
Ce qu’une fuite signifie vraiment
Le risque dépend de ce qui a fuité en même temps que votre e-mail :
| Divulgué avec votre e-mail | Ce qui peut arriver | Gravité |
|---|---|---|
| Rien d’autre | Plus de spam et de phishing | Faible |
| Nom, téléphone, adresse | Des arnaques plus convaincantes qui utilisent vos informations | Moyenne |
| Un mot de passe (même chiffré) | Des criminels l’essaient sur d’autres sites, une technique appelée credential stuffing | Élevée |
| Données de carte ou bancaires | Paiements frauduleux | Élevée : appelez votre banque |
Cinq étapes après une fuite
- Changez le mot de passe sur le site piraté, et sur tous les autres sites où vous utilisiez le même.
- Activez l’authentification à deux facteurs, ou une clé d’accès (passkey) si le site en propose, en commençant par votre compte e-mail. Votre e-mail est la clé qui permet de réinitialiser tous vos autres mots de passe.
- Utilisez un gestionnaire de mots de passe pour que chaque site ait un mot de passe différent. Ainsi, une fuite reste une seule fuite.
- Attendez-vous à du phishing. Les e-mails qui évoquent la fuite, ou qui prétendent venir de l’entreprise piratée, sont fréquents juste après l’annonce. Rendez-vous vous-même sur le site au lieu de cliquer sur des liens.
- Surveillez vos relevés bancaires si des données de paiement étaient concernées, et demandez une nouvelle carte à votre banque.
Aux États-Unis, le site IdentityTheft.gov de la Federal Trade Commission propose un plan de rétablissement étape par étape si votre identité a été usurpée. Au Royaume-Uni, vous pouvez signaler une fraude à Report Fraud, le service national de signalement qui a remplacé Action Fraud.
Comment moins fuiter la prochaine fois
Vous ne pouvez pas empêcher les entreprises d’être piratées. Vous pouvez en revanche contrôler combien d’entre elles ont votre vraie adresse.
- Faites le compte de vos comptes. Chaque compte oublié dans une boutique utilisée une seule fois est un endroit de plus d’où votre adresse peut fuiter. Supprimez ceux dont vous n’avez plus besoin.
- Utilisez une adresse mail jetable pour les inscriptions ponctuelles. Codes promo, téléchargements gratuits, connexions Wi-Fi et concours n’ont pas besoin de votre vraie adresse. Si l’un de ces sites est piraté plus tard, l’adresse divulguée n’existe plus. Pour en savoir plus : L’email jetable est-il sûr et légal ?
- Utilisez un alias e-mail pour les comptes que vous gardez sans leur faire entièrement confiance. Notre comparaison email jetable ou alias e-mail explique lequel convient à quelle situation.
N’utilisez pas d’adresse temporaire pour votre banque, vos services de santé, vos comptes administratifs ou tout ce que vous pourriez devoir récupérer plus tard.
En résumé
Vérifiez votre adresse sur Have I Been Pwned, changez les mots de passe réutilisés et protégez votre compte e-mail avec l’authentification à deux facteurs. Puis réduisez le problème pour l’avenir : donnez votre vraie adresse à moins de sites, et utilisez un email temporaire pour ceux dont vous n’avez besoin qu’une fois.
Sources
- Have I Been Pwned, Who, What & Why : le service et qui le gère.
- Federal Trade Commission, IdentityTheft.gov : signaler une usurpation d’identité et obtenir un plan de rétablissement.
- City of London Police, Report Fraud : le centre britannique de signalement des fraudes et de la cybercriminalité.