Fuite de données : vérifier, réagir, et vos recours

Recevoir un courrier vous informant que vos données ont été compromises provoque deux réactions également inutiles : la panique, ou l’indifférence. Cette page décrit ce qu’il faut faire, dans quel ordre, et ce qui relève du réflexe contre-productif.

Elle est corrigée à chaque évolution des règles et des dispositifs.

D’abord, savoir de quoi on parle

Toutes les fuites ne se valent pas, et la réponse dépend entièrement de ce qui a été exposé.

Donnée exposée	Risque principal	Urgence
Adresse électronique, téléphone	Hameçonnage, démarchage	Faible
Nom, adresse, date de naissance	Usurpation d’identité	Moyenne
Situation familiale, revenus	Escroquerie ciblée crédible	Élevée
Mot de passe	Prise de contrôle de comptes	Immédiate
IBAN	Prélèvements frauduleux	Élevée
Numéro de sécurité sociale, pièce d’identité	Usurpation d’identité lourde	Immédiate

Un point mérite d’être compris une fois pour toutes : une fuite ne se répare pas. Contrairement à un mot de passe, votre date de naissance et votre adresse ne se changent pas. La bonne question n’est donc pas comment annuler la fuite, mais comment neutraliser ce qu’on peut en faire.

Vérifier si vous êtes concerné

Trois méthodes, par ordre de fiabilité.

L’organisme doit vous prévenir. Le règlement européen sur la protection des données impose au responsable de traitement de notifier les personnes concernées lorsque la violation présente un risque élevé pour leurs droits et libertés. Cette notification arrive par courriel, par courrier ou dans votre espace personnel.

Connectez-vous vous-même à votre espace. Ne cliquez sur aucun lien reçu : tapez l’adresse dans le navigateur. Les campagnes d’hameçonnage suivent immédiatement les fuites médiatisées, en imitant précisément le message d’alerte légitime.

Les services de recherche par adresse électronique indiquent si votre adresse apparaît dans des bases connues. Ils sont utiles mais partiels : ils ne couvrent que les fuites publiées, et une fuite vendue sans être diffusée n’y figure pas.

Une absence de résultat ne prouve donc rien.

Les six premières actions

Dans cet ordre.

1. Changez les mots de passe réutilisés. Si le mot de passe du service touché sert ailleurs, changez-le partout. C’est le vecteur d’attaque le plus rentable, parce qu’il est automatisable à grande échelle.

2. Activez l’authentification à deux facteurs sur la messagerie d’abord, puis sur les comptes bancaires et les services publics. Une messagerie compromise permet de réinitialiser tous les autres comptes.

3. Surveillez vos comptes bancaires pendant plusieurs mois. En France, un prélèvement non autorisé peut être contesté auprès de la banque dans un délai de treize mois.

4. Méfiez-vous des appels et messages entrants. C’est le point le plus important si des données personnelles ont fuité, et nous y revenons ci-dessous.

5. Signalez toute tentative sur cybermalveillance.gouv.fr, et sur signal-arnaques.com pour les sollicitations commerciales.

6. Déposez plainte en cas de préjudice constaté. C’est nécessaire pour toute démarche ultérieure, y compris auprès de votre banque ou de votre assurance.

Ce qu’il ne faut pas faire

Ne réinitialisez pas votre appareil dans la précipitation s’il s’agit d’une compromission ciblée. Vous détruisez les traces qui permettraient d’établir ce qui s’est passé.

Ne payez jamais pour faire retirer vos données d’une base diffusée. Ces offres sont sans effet et alimentent l’escroquerie.

Ne téléchargez pas la base pour y chercher votre nom. Manipuler un fichier issu d’une compromission ne vous apprend rien d’utile et vous expose.

Ne rappelez pas le numéro fourni par un interlocuteur qui prétend appeler d’un organisme. Raccrochez, cherchez le numéro officiel, appelez.

L’escroquerie qui suit les fuites administratives

Ce paragraphe concerne particulièrement les fuites de données fiscales ou sociales, comme celle qui a touché la DGFiP fin juin.

Un escroc disposant de votre revenu déclaré, de votre situation familiale, de votre adresse d’imposition et de votre numéro de téléphone n’a pas besoin de vous poser de questions. Il vous donne ces informations pour établir sa légitimité, puis demande une action : un virement de régularisation, la confirmation d’un remboursement, un code reçu par message.

Trois principes rendent cette attaque inopérante.

L’administration fiscale ne demande jamais de coordonnées bancaires par téléphone, courriel ou message. Un remboursement est versé automatiquement sur le compte déjà enregistré.

Aucun organisme public légitime ne demande de communiquer un code de vérification reçu par message. Ce code sert précisément à empêcher un tiers d’agir à votre place.

Aucune urgence réelle n’exige une décision immédiate. La pression temporelle est le signal le plus fiable d’une escroquerie.

Vos recours

Le droit à l’information. L’organisme doit vous indiquer la nature de la violation, les catégories de données concernées, les conséquences probables et les mesures prises. Vous pouvez le lui demander par écrit s’il ne l’a pas fait spontanément.

La plainte auprès de la CNIL. Elle est gratuite et se dépose en ligne. La CNIL ne vous indemnise pas, mais elle contrôle et sanctionne le responsable de traitement.

L’action en réparation. Le règlement européen ouvre un droit à indemnisation pour le préjudice matériel ou moral subi. En pratique, la difficulté tient à la preuve : il faut établir un lien entre la fuite et un dommage précis. Un préjudice d’anxiété a été reconnu dans certaines décisions, avec des montants généralement modestes.

L’action de groupe. Le droit français la prévoit en matière de protection des données. Elle est portée par des associations agréées et suppose un nombre significatif de victimes dans une situation comparable.

Nous ne sommes pas avocats et ce qui précède n’est pas un conseil juridique. Pour un préjudice important, consultez un professionnel.

Réduire l’exposition à l’avenir

Quelques mesures durables, par ordre d’efficacité.

Un gestionnaire de mots de passe, avec un mot de passe différent partout. C’est la mesure qui neutralise l’essentiel des conséquences d’une fuite.

L’authentification à deux facteurs partout où elle est proposée, en privilégiant une application dédiée plutôt que le message texte.

Des adresses électroniques distinctes selon les usages, ce qui limite la propagation et permet d’identifier la source d’une fuite.

Le refus des données facultatives. Un formulaire qui demande votre date de naissance pour une commande n’en a généralement pas besoin, et ce qui n’est pas collecté ne peut pas fuiter.

Pour aller plus loin

Nous suivons les incidents français au fil de l’actualité, notamment la cyberattaque contre la DGFiP, ce que la série d’incidents de l’été révèle des systèmes publics et la fuite qui a précédé la fermeture de Bloctel.

Ce que cette page ne dit pas

Les montants d’indemnisation obtenus devant les juridictions françaises ne font pas l’objet d’une base publique consolidée. Nous décrivons les voies de recours, pas leurs chances de succès.

Les délais de traitement d’une plainte CNIL varient fortement et ne sont pas publiés de façon systématique.

Enfin, l’efficacité des services de recherche par adresse électronique dépend entièrement des bases qu’ils ont indexées. Aucun ne couvre l’ensemble des fuites, et aucun ne peut garantir que vos données ne circulent pas.