Mes données ont-elles fuité ? Comment le vérifier et que faire après une fuite de données

Mes données ont-elles fuité ? Comment le vérifier ?

Une fuite de données est, selon la formulation de Have I Been Pwned (HIBP), un incident où des données sont exposées par inadvertance dans un système vulnérable, généralement à cause de contrôles d’accès insuffisants ou de failles de sécurité dans le logiciel ^[2]. HIBP regroupe les fuites afin que chacun puisse voir où ses données personnelles ont été exposées ^[2]. Le moyen le plus rapide de savoir si vos données ont fuité est d’y rechercher votre adresse e-mail.

Au 3 novembre 2026, la page d’accueil de HIBP recense 1048 sites compromis et 17846896404 adresses compromises ^[1]. La recherche publique ne renvoie des résultats que pour une seule adresse e-mail ou un seul nom d’utilisateur à la fois ^[2]. La recherche sur un domaine entier est une fonctionnalité distincte, qui exige de vérifier que vous êtes autorisé à accéder à ce domaine ^[2].

Pourquoi une fuite peut-elle manquer dans mes résultats ?

HIBP considère certaines fuites comme « sensibles ». Seul le propriétaire vérifié d’une adresse e-mail peut les voir, en se connectant au tableau de bord et en confirmant qu’il peut recevoir des e-mails à cette adresse ^[2]. HIBP recense 90 fuites sensibles, dont Ashley Madison et Adult FriendFinder (2015 et 2016) ^[2]. Une recherche simple ne montre donc pas tout ce qui peut concerner votre adresse.

Un résultat vierge signifie-t-il que mes données sont en sécurité ?

Non. HIBP indique que sa recherche couvre la plupart des fuites, tandis que les fuites sensibles exigent une connexion ^[2]. D’après la déduction de ce guide, une fuite qui n’a pas été chargée dans le service ne peut pas apparaître du tout. Pour les mots de passe, HIBP précise qu’un résultat « no pwnage found » ne signifie pas forcément que le mot de passe est bon, seulement qu’il n’est pas indexé sur le site ^[4]. Considérez un résultat vierge comme un indice parmi d’autres, et maintenez dans tous les cas les protections de base : mots de passe uniques et authentification multifacteur.

Have I Been Pwned est-il sûr et digne de confiance ?

La conception de HIBP limite ce que le service détient. Lorsque des adresses e-mail issues d’une fuite sont chargées, aucun mot de passe n’est chargé avec elles ; le service distinct Pwned Passwords vérifie un mot de passe isolé par rapport aux fuites connues ^[2]. HIBP affirme qu’aucun mot de passe n’est stocké à côté de données permettant d’identifier une personne et que chaque mot de passe est haché en SHA-1 ^[2]. La recherche publique est limitée à une adresse à la fois ^[2].

De quoi HIBP lui-même met-il en garde ?

HIBP reconnaît que les utilisateurs ne peuvent pas être certains qu’il ne collecte pas les adresses e-mail recherchées, affirme que ce n’est pas le cas, et déconseille de l’utiliser à toute personne inquiète de ses intentions ou de sa sécurité ^[2]. Les lecteurs doivent mettre cet avertissement sincère en balance avec la vocation affichée du service : un service gratuit d’évaluation des risques ^[2].

Que ne couvre pas ce guide ?

Ce guide ne décrit pas qui finance ou exploite HIBP, ni si le service a fait l’objet d’un audit indépendant. Lisez la page À propos du site et décidez si vous vous sentez à l’aise. Si ce n’est pas le cas, les protections des sections suivantes fonctionnent sans aucun outil de vérification : mots de passe uniques, authentification multifacteur et, pour les résidents américains, gel de crédit.

Que signifie « pwned » et que disent mes résultats ?

« Pwned » est né dans la culture du jeu vidéo comme variante en leetspeak de « owned », et sous-entend que quelqu’un a été contrôlé ou compromis ^[2]. Sur HIBP, toutefois, une inscription signifie que vos données ont été exposées quelque part. Selon la lecture de ce guide, ce n’est pas la preuve que quelqu’un s’est connecté à vos comptes.

Que signifient les étiquettes de fuite ?

• Sensible : masquée de la recherche publique et visible uniquement par le propriétaire vérifié de l’adresse ^[2].
• Non vérifiée : les données sont légitimes, mais leur origine n’est pas prouvée au-delà de tout doute raisonnable ^[2].
• Fabriquée : peu susceptible de provenir du site nommé, mais contenant de véritables adresses e-mail ^[2].
• Retirée : supprimée définitivement. HIBP recense 2 fuites retirées, Ticketek et VTech, et une fuite est généralement retirée lorsque les données ne sont ni échangées ni redistribuées ailleurs ^[2].

HIBP inclut tout de même des fuites non vérifiées et fabriquées, car elles contiennent de véritables informations personnelles ^[2]. Une inscription ne prouve donc pas qu’une entreprise précise a été piratée. HIBP rappelle que même des données fabriquées peuvent encore être vendues ou échangées ^[2].

Comment vérifier si mon mot de passe a fuité ?

Pwned Passwords est le service distinct de HIBP qui vérifie un mot de passe isolé par rapport aux fuites connues ^[2]. Il repose sur la k-anonymity : le mot de passe est haché sur votre appareil, seuls les 5 premiers caractères du hachage SHA-1 sont envoyés à l’API, et la comparaison avec les suffixes renvoyés s’effectue de votre côté ^[4]. HIBP indique que le service traite plus de 18 milliards de requêtes par mois ^[4].

Pourquoi un mot de passe qui a fuité compte-t-il si le compte est différent ?

Les pirates utilisent des paires e-mail/mot de passe exposées pour tenter d’accéder aux autres comptes des victimes, une technique appelée credential stuffing ^[4]. C’est pourquoi, lorsqu’une fuite concerne votre mot de passe, la FTC conseille de le changer sur tous les comptes utilisant un mot de passe similaire ^[3]. HIBP note également que les lignes directrices du NIST recommandent de comparer les mots de passe à des jeux de données de fuites antérieures ^[4].

Comment exploiter le résultat ?

1. Vérifiez sur la page Pwned Passwords un mot de passe que vous utilisez ou avez utilisé.
2. S’il est trouvé, cessez de l’utiliser partout et remplacez-le par un mot de passe unique pour chaque compte. La FTC suggère d’envisager un gestionnaire de mots de passe ^[3].
3. S’il n’est pas trouvé, n’y voyez pas une approbation : « no pwnage found » ne signifie pas forcément que le mot de passe est bon, seulement qu’il n’est pas indexé sur le site ^[4].

Que faire en premier après une fuite de données ?

Les bonnes démarches dépendent de ce qui a été exposé. Suivez les points qui correspondent à votre situation.

1. Changer le mot de passe. Si la fuite concernait votre mot de passe, changez-le immédiatement auprès de l’entreprise touchée et sur tous les comptes utilisant un mot de passe similaire. Envisagez un gestionnaire de mots de passe et activez l’authentification multifacteur (MFA), qui peut protéger un compte même si le mot de passe est exposé ^[3].
2. Si un compte en ligne a été exposé. Connectez-vous et changez le mot de passe, ainsi que l’identifiant si possible. Si vous ne pouvez pas vous connecter, contactez l’entreprise pour récupérer ou fermer le compte. Changez le mot de passe partout où vous l’avez réutilisé ^[7].
3. Si un numéro de Social Security a été exposé (États-Unis). Acceptez la surveillance de crédit gratuite si l’entreprise l’offre, obtenez vos rapports de crédit gratuits et cherchez des comptes que vous ne reconnaissez pas, puis envisagez un gel de crédit ou une alerte à la fraude ^[8]. Le guide de la FTC sur les fuites de données renvoie à annualcreditreport.com pour les rapports gratuits, recommande d’envisager au moins une alerte à la fraude si vous renoncez au gel, et conseille de déclarer ses impôts tôt ^[7].
4. Utiliser l’outil officiel. IdentityTheft.gov/databreach, de la FTC, propose des étapes selon le type d’informations exposées ^[7].
5. Si vos données ont été utilisées frauduleusement. Signalez-le sur IdentityTheft.gov ^[8], qui propose un plan de rétablissement personnalisé ^[5].

Accédez à ces services en saisissant vous-même l’adresse plutôt qu’en suivant les liens d’un message inattendu au sujet d’une fuite.

Dois-je geler mon crédit ou poser une alerte à la fraude après une fuite ?

Cette section décrit les règles américaines. Depuis le 21 septembre 2018, une loi fédérale américaine permet aux consommateurs de poser gratuitement un gel de crédit, supprimant les frais dans les États qui en facturaient ^[5] ; la FTC indique que poser et lever un gel est gratuit ^[9]. Les lecteurs d’autres pays doivent consulter les règles de leur propre pays en matière de crédit et de protection de l’identité, que ce guide ne couvre pas.

Qu’est-ce qu’un gel de crédit ?

Un gel de crédit dure jusqu’à ce que vous le leviez et n’affecte pas votre score de crédit ^[9]. Tant qu’il est en place, personne, vous compris, ne peut ouvrir de nouveau crédit ; vous pouvez le lever temporairement pour demander un crédit, un emploi, une location ou une assurance ^[9]. La FTC précise qu’un gel n’affectera pas votre capacité à postuler à un emploi, à louer ou à souscrire une assurance ^[10], et le présente comme le meilleur moyen de se protéger contre l’ouverture de nouveaux comptes à votre nom ^[10]. Vous devez en faire la demande aux trois bureaux nationaux (Equifax, Experian et TransUnion). Un bureau doit poser le gel sous un jour ouvrable si vous le demandez en ligne ou par téléphone, et le lever sous une heure ^[5]. Les parents peuvent aussi geler gratuitement le crédit des enfants de moins de 16 ans ^[5].

Qu’est-ce qu’une alerte à la fraude ?

Une alerte à la fraude n’exige une demande qu’auprès d’un seul bureau, qui prévient les deux autres ^[5]. La loi de 2018 a porté la durée de l’alerte de 90 jours à un an ^[5]. Une alerte standard dure un an et est renouvelable gratuitement, et une alerte prolongée pour les victimes d’usurpation d’identité dure sept ans ^[10][9]. Elle ne limite pas l’accès à votre rapport de crédit ^[10].

Laquelle choisir ?

Le guide de la FTC sur les fuites de données indique que si vous renoncez à un gel, vous devriez au moins envisager une alerte à la fraude ^[7]. Le conseil va dans un seul sens : le gel offre une meilleure protection, et l’alerte à la fraude est la solution de repli plus légère. Si votre pays n’a pas d’équivalent, les étapes relatives aux mots de passe et à la MFA s’appliquent toujours.

Comment savoir si mon e-mail a été piraté ou seulement exposé ?

Une fuite et une prise de contrôle de compte sont deux événements différents. Une fuite signifie qu’un tiers a exposé des données dans un système vulnérable ^[2]. Une prise de contrôle de compte signifie que quelqu’un se connecte en se faisant passer pour vous. Selon la lecture de ce guide, un outil de vérification répond à la première question, pas à la seconde, car une inscription montre une exposition et non une connexion par un tiers.

Comment une fuite se transforme-t-elle en prise de contrôle ?

Principalement par la réutilisation. Les pirates utilisent des paires e-mail/mot de passe exposées pour tenter d’accéder aux autres comptes des victimes ^[4]. Si vous avez réutilisé le mot de passe, changez-le partout où il a été utilisé ^[7]. La FTC indique que la MFA peut protéger un compte même si le mot de passe est exposé ^[3].

Et si je ne peux plus me connecter ?

Contactez l’entreprise pour récupérer ou fermer le compte ^[7]. Les signes de prise de contrôle varient d’un service à l’autre ; ce guide ne les énumère donc pas : consultez les pages d’activité du compte et de sécurité du service concerné. Si vos données ont été utilisées frauduleusement, signalez-le sur IdentityTheft.gov ^[8], qui propose un plan de rétablissement personnalisé ^[5].

Qui paie quand une fuite survient, et que signifient les chiffres de coût ?

Les titres sur le coût des fuites décrivent ce que les incidents coûtent aux organisations, non ce qu’ils vous coûtent.

Le rapport 2026 d’IBM, Cost of a Data Breach Report, évalue le coût moyen mondial d’une fuite à 4,99 millions de dollars. Il repose sur des fuites survenues dans 602 organisations entre mars 2025 et février 2026, dans une étude menée par le Ponemon Institute, parrainée et analysée par IBM ^[6]. Le même communiqué indique qu’une fuite malveillante sur quatre était assistée par l’IA ^[6].

L’édition 2025 constatait que le coût moyen mondial avait baissé de 9 % pour passer de 4,88 millions de dollars à 4,44 millions de dollars ^[12], première baisse en cinq ans ^[11][12], tandis que le coût moyen d’une fuite aux États-Unis atteignait un record de 10,22 millions de dollars ^[11].

Comment lire ces chiffres ?

Ce sont des études du Ponemon Institute portant sur des organisations, et non sur des victimes individuelles ^[6]. Chaque édition a son propre échantillon : considérez le passage de 4,44 millions de dollars à 4,99 millions de dollars comme un élément de contexte plutôt que comme une tendance précise. Aucun de ces chiffres n’est une perte à laquelle vous devez vous attendre personnellement. Pour les particuliers, la réponse pratique est l’ensemble des étapes décrites dans les sections précédentes.

Quels sont les avantages et les limites des services de vérification des fuites ?

Avantages

• Une réponse gratuite et rapide sur les endroits où votre adresse a été exposée, parmi 1048 sites recensés au 3 novembre 2026 ^[1].
• Les mots de passe sont tenus à l’écart des adresses e-mail : aucun n’est chargé avec elles, et aucun n’est stocké à côté de données permettant d’identifier une personne ^[2].
• Les fuites sensibles ne sont montrées qu’au propriétaire vérifié de l’adresse ^[2].
• Les vérifications de mot de passe n’envoient que les 5 premiers caractères d’un hachage SHA-1 ^[4].

Inconvénients

• HIBP indique que sa recherche couvre la plupart des fuites, et que les fuites sensibles exigent une vérification par connexion ^[2].
• Certaines inscriptions sont non vérifiées ou fabriquées : un résultat ne prouve donc pas qu’une entreprise précise a été piratée ^[2].
• HIBP indique que l’on ne peut pas être certain qu’il ne collecte pas les adresses recherchées, tout en affirmant que ce n’est pas le cas ^[2].
• Un résultat « non trouvé » pour un mot de passe ne signifie pas forcément que le mot de passe est bon ^[4].

Un outil de vérification est utile pour décider quels mots de passe changer en premier. Selon ce guide, il ne peut pas remplacer des habitudes telles que les mots de passe uniques et la MFA ; la FTC conseille d’activer la MFA et suggère d’envisager un gestionnaire de mots de passe ^[3].

Que se passera-t-il ensuite, et qu’est-ce qui reste incertain ?

Les compteurs affichés sont en direct : les 17846896404 adresses réparties sur 1048 sites affichées le 3 novembre 2026 ne correspondront pas à ce que vous verrez plus tard ^[1]. Côté coûts, la moyenne d’IBM est passée de 4,88 millions de dollars ^[12] à 4,44 millions de dollars dans son rapport 2025 ^[11][12], puis à 4,99 millions de dollars en 2026 ^[6]. Une fuite malveillante sur quatre dans l’étude 2026 était assistée par l’IA ^[6]. Ces chiffres ne permettent pas de trancher la question de savoir si les attaques assistées par l’IA continueront de faire augmenter les coûts.

Ce que ce guide ne peut pas vous dire

• La fréquence à laquelle des identifiants exposés mènent à une prise de contrôle de compte. Aucun chiffre sourcé n’est donné ici.
• Les règles hors des États-Unis. Les droits à la notification des fuites et les protections du crédit dans d’autres pays ne sont pas couverts.
• L’accès depuis l’Iran. Aucune source fiable n’était disponible pour savoir si les outils de vérification de fuites, les gestionnaires de mots de passe ou les applications de MFA sont accessibles ou payables depuis l’Iran ; aucune affirmation n’est donc faite. Les lecteurs concernés peuvent tout de même appliquer les étapes relatives aux mots de passe et à la MFA, tandis que les démarches auprès des bureaux de crédit ne valent que pour les dossiers de crédit américains.

Comme les totaux de HIBP évoluent, effectuer une nouvelle recherche après l’annonce d’une nouvelle fuite est une habitude peu coûteuse.