Pour vérifier une fuite de données, trois sources se complètent. Il y a le message de l’organisme piraté, un service gratuit comme Have I Been Pwned et les alertes de mots de passe de l’iPhone, d’Android et de Chrome. Ensuite, la priorité est de changer les mots de passe exposés et d’activer la double authentification. Les comptes se surveillent pendant au moins un mois.
Comment des données personnelles se retrouvent-elles dans une fuite ?
Une fuite de données, c’est le vol ou la diffusion d’informations stockées par une entreprise ou une administration. Il peut s’agir d’adresses e-mail, de numéros de téléphone, d’adresses postales, parfois d’IBAN ou de mots de passe. Le plus souvent, ce n’est pas le téléphone de l’utilisateur qui est piraté. C’est le serveur d’un service à qui il a confié ces informations.
C’est comme un double de ses clés laissé chez un voisin. Si son appartement est cambriolé, les clés partent avec le reste, même sans la moindre erreur de votre part. Les fichiers volés sont ensuite revendus ou publiés sur des forums, puis réutilisés pour des arnaques ciblées.
Le phénomène touche une grande partie de la population. Cybermalveillance.gouv.fr et Ipsos ont interrogé 2 000 personnes de 18 à 75 ans en mai 2026 pour leur troisième baromètre. Résultat : 45% des Français déclarent avoir été informés d’une fuite de leurs données en 2026, contre 30% en 2025. Les attaques de cette année contre des opérateurs et des administrations, comme le piratage de l’ANTS et de SFR, expliquent en partie cette hausse.
Le premier indice, le message de l’organisme piraté
La façon la plus fiable de vérifier une fuite de données reste le message de l’organisme concerné. Le règlement général sur la protection des données (RGPD) l’oblige à prévenir la CNIL sous 72 heures au maximum. Ce délai court dès qu’il a connaissance de l’incident, s’il existe un risque pour les personnes.
Quand ce risque est élevé, l’organisme doit aussi prévenir directement les clients touchés, le plus tôt possible. Ce message, envoyé par e-mail, SMS ou courrier, précise en principe quelles données ont été exposées. Il faut le relire attentivement et le conserver, car il servira de preuve en cas de fraude.
La CNIL précise qu’elle ne peut pas confirmer elle-même si des informations figurent dans une fuite : c’est à l’organisme qu’il faut s’adresser. Elle met aussi en garde contre les sites qui prétendent faire cette vérification. La règle de prudence est simple, donc : ne jamais saisir de mot de passe sur un site de vérification inconnu.
Comment vérifier une fuite de données avec Have I Been Pwned ?
Have I Been Pwned est un service gratuit lancé en 2013 par le chercheur en sécurité Troy Hunt, qui recense les fuites rendues publiques. Il suffit de taper une adresse e-mail pour obtenir la liste des fuites où elle apparaît, avec le type d’informations dérobées dans chacune.
- Ouvrir le site haveibeenpwned.com dans un navigateur.
- Saisir son adresse e-mail dans le champ de recherche et lancer la vérification.
- Lire chaque fuite listée : nom du service, date et nature des données exposées (e-mail, mot de passe, téléphone, adresse).
- S’abonner aux alertes avec la fonction Notify me, après avoir confirmé l’adresse par un lien reçu par e-mail.
- Répéter l’opération pour chaque adresse utilisée, y compris les anciennes.
Certaines fuites jugées sensibles n’apparaissent pas dans la recherche publique. Elles ne sont visibles qu’une fois l’adresse vérifiée, depuis le tableau de bord du site. Les alertes ne partent que vers l’adresse surveillée, ce qui empêche de suivre l’adresse de quelqu’un d’autre.
Le même site propose Pwned Passwords, qui indique si un mot de passe a déjà circulé dans une fuite. Le mot de passe est d’abord transformé en empreinte chiffrée, une sorte de code-barres impossible à relire. Il n’est jamais envoyé en clair. Les gestionnaires de mots de passe des téléphones font le même travail, sans avoir à taper quoi que ce soit.
Où l’iPhone et Android signalent-ils un mot de passe compromis ?
Un mot de passe compromis, c’est un couple identifiant et mot de passe qui a été retrouvé dans une fuite. Apple et Google comparent automatiquement les mots de passe enregistrés sur leurs appareils avec ces bases, à condition que la fonction soit activée.
Sur iPhone
Depuis iOS 18, les mots de passe se gèrent dans l’application Mots de passe. La rubrique Sécurité y regroupe les comptes dont le mot de passe est faible, réutilisé ou compromis. Chaque compte signalé se corrige en quelques gestes.
- Ouvrir l’application Mots de passe.
- Toucher la rubrique Sécurité.
- Sélectionner un compte signalé, puis changer son mot de passe sur le site ou l’application concernés.
- Vérifier dans les réglages de l’application que l’option Détecter les mots de passe compromis est bien activée.
Sur iOS 17 et les versions précédentes, les mêmes alertes se trouvent dans Réglages, puis Mots de passe.
Sur Android et dans Chrome
Google propose le Check-up de son gestionnaire de mots de passe, accessible depuis l’adresse passwords.google.com puis la rubrique Vérifier les mots de passe. Dans Chrome sur ordinateur, le chemin passe par le menu, puis Mots de passe et saisie automatique. Il reste à ouvrir le Gestionnaire de mots de passe de Google, puis Check-up.
L’outil classe les identifiants en trois familles : compromis, réutilisés et faibles. Google a en revanche arrêté son rapport sur le dark web, qui surveillait plus largement les données personnelles. Les analyses ont cessé le 15 janvier 2026, et le service a disparu le 16 février 2026.
Que faire dans la première semaine après une fuite ?
La CNIL et Cybermalveillance.gouv.fr ont publié un dépliant en trois étapes le 1er octobre 2026. Il couvre les trente jours qui suivent la découverte de la fuite. La première semaine concentre les gestes les plus urgents.
- Conserver le message d’information reçu de l’organisme.
- Changer le mot de passe exposé, en commençant par celui de la messagerie principale, car elle sert à réinitialiser tous les autres comptes.
- Changer aussi ce mot de passe partout où il était réutilisé.
- Activer la double authentification, ce code supplémentaire demandé à la connexion, sur la messagerie, la banque et les impôts.
- Se méfier des e-mails, SMS et appels inhabituels, surtout s’ils citent des informations exactes.
Ce dernier point compte particulièrement. Les escrocs utilisent les données volées pour rendre leurs messages crédibles, par exemple en jouant un faux conseiller bancaire qui connaît l’IBAN de sa cible. Les clés d’accès vont plus loin : elles remplacent le mot de passe par la reconnaissance du visage ou de l’empreinte, comme le détaille le tutoriel pour créer une passkey.
Les semaines suivantes, surveiller et faire le tri
Les fraudes liées à une fuite n’arrivent pas toujours tout de suite. Le dépliant officiel recommande donc de surveiller régulièrement ses comptes bancaires et de refuser tout mandat de prélèvement inconnu. Les courriers ou demandes de crédit inattendus doivent aussi alerter.
Côté messagerie, il vaut mieux contrôler les sessions actives, les adresses de récupération et les transferts automatiques. Un pirate peut en ajouter un discrètement pour recevoir une copie des e-mails. Toute opération frauduleuse se conteste auprès de l’organisme concerné. Si des données bancaires sont touchées, la banque doit être prévenue, et la carte mise en opposition si besoin.
Sur le long terme, quelques habitudes limitent les dégâts de la prochaine fuite :
- donner le moins d’informations possible lors des inscriptions ;
- ne jamais envoyer une pièce d’identité sans vérifier le destinataire ;
- séparer les usages personnels et professionnels ;
- supprimer les comptes que l’on n’utilise plus ;
- bloquer le démarchage abusif, avec les réglages décrits dans le guide pour bloquer les appels indésirables.
Qui contacter en cas de fraude ou d’usurpation d’identité ?
En cas d’usurpation d’identité, d’arnaque ou de paiement frauduleux, il faut porter plainte au plus vite. Le dépôt se fait dans un commissariat ou une gendarmerie, puis les banques doivent être prévenues. La plateforme Cybermalveillance.gouv.fr détaille les démarches selon chaque situation, et le service 17Cyber aide à identifier le type d’attaque subie.
Si l’usurpation est confirmée, la CNIL conseille aussi de consulter le fichier des incidents de remboursement de la Banque de France. Elle recommande enfin de demander l’accès au fichier FICOBA, qui liste les comptes bancaires ouverts à votre nom. La demande se fait dans la rubrique Autres services du site impots.gouv.fr. C’est le moyen de vérifier qu’aucun compte n’a été ouvert à votre insu.
À retenir pour agir vite :
- le message de l’organisme fait foi, il faut le garder ;
- Have I Been Pwned et les alertes de l’iPhone ou de Google repèrent les adresses et mots de passe exposés ;
- messagerie d’abord, puis tous les comptes qui partagent le même mot de passe ;
- double authentification partout où elle existe ;
- surveillance des comptes bancaires pendant au moins trente jours.
