Pas forcément.
La première décision dépend de ce qui a réellement été compromis. Une adresse électronique n'expose pas au même risque qu'un mot de passe, un IBAN ou une copie de pièce d'identité.
Une fuite ne signifie pas non plus qu'une fraude a déjà eu lieu. Elle crée surtout une possibilité supplémentaire pour quelqu'un de tenter de vous tromper, de prendre le contrôle d'un compte ou d'agir en votre nom.
Cybermalveillance.gouv.fr recommande donc de commencer par une chose simple : identifier précisément les données concernées.
Première question : qu'est-ce qui a été volé ?
Le message reçu doit permettre de savoir si les données exposées comprennent :
- votre nom et votre adresse ;
- votre adresse électronique ou votre téléphone ;
- un identifiant ;
- un mot de passe ;
- un IBAN ;
- des données de carte bancaire ;
- un numéro fiscal ou de sécurité sociale ;
- une copie de pièce d'identité ;
- des informations médicales, professionnelles ou familiales.
Le risque dépend surtout de leur combinaison.
Un nom et une adresse électronique permettent principalement de préparer un message frauduleux crédible. Un mot de passe réutilisé sur plusieurs sites peut donner accès à plusieurs comptes. Une pièce d'identité accompagnée d'autres documents facilite davantage une usurpation.
Cybermalveillance.gouv.fr cite parmi les conséquences possibles d'une fuite l'hameçonnage ciblé, les escroqueries, l'usurpation d'identité, le cyberharcèlement et les tentatives de piratage de comptes.
Si le message de l'entreprise reste vague, demandez-lui quelles catégories de données ont été touchées.
Mais ne cliquez pas automatiquement sur le lien contenu dans le message qui vous annonce la fuite.
Méfiez-vous du deuxième piratage
Une fuite importante produit souvent une seconde vague : celle des faux messages.
Un escroc peut désormais connaître votre nom, votre fournisseur, votre banque, votre administration ou une partie de votre dossier. Il n'a plus besoin d'écrire « Cher client » : il peut employer votre véritable nom et évoquer un service que vous utilisez réellement.
Le fait qu'un interlocuteur connaisse plusieurs informations exactes ne prouve donc plus son identité.
Cybermalveillance.gouv.fr recommande de vérifier par soi-même : ouvrir le site officiel, consulter son espace personnel ou rappeler l'organisme avec un numéro trouvé indépendamment du message reçu.
Un interlocuteur qui réclame un mot de passe, un code reçu par message, un numéro de carte bancaire ou l'installation d'un logiciel de prise en main à distance doit éveiller la méfiance.
Si un mot de passe a fuité, commencez par lui
Lorsqu'un mot de passe figure parmi les données compromises, il faut le changer rapidement.
Ensuite, posez-vous une deuxième question : avez-vous utilisé le même mot de passe ailleurs ?
Si oui, changez-le également sur ces services.
Les cybercriminels peuvent tester automatiquement une combinaison adresse électronique et mot de passe sur de nombreux sites. Le mot de passe volé chez un commerçant peut alors servir à ouvrir un réseau social, un compte de vidéo ou une messagerie.
Cybermalveillance.gouv.fr recommande un mot de passe différent pour chaque service et l'activation de la double authentification lorsqu'elle est proposée.
La priorité doit être donnée à votre messagerie électronique.
C'est elle qui reçoit souvent les liens permettant de réinitialiser les mots de passe de vos autres comptes.
Vérifiez :
- les appareils connectés ;
- les sessions ouvertes ;
- les moyens de récupération ;
- les éventuelles règles de transfert automatique.
Déconnectez tout appareil inconnu.
Si l'organisme assure que les mots de passe n'ont pas été exposés et qu'aucun accès suspect n'apparaît, changer tous vos mots de passe n'est pas indispensable. En cas de doute sur les données de connexion compromises, mieux vaut en revanche modifier celui du service concerné.
Si seuls votre nom, votre téléphone ou votre adresse ont fuité
Changer un mot de passe ne fera pas disparaître ces informations.
Le risque principal devient alors l'hameçonnage personnalisé.
Vous pouvez recevoir un faux message de votre banque, de votre mutuelle, des impôts ou d'un commerçant qui connaît suffisamment votre dossier pour sembler crédible.
La règle est simple : ne validez jamais l'identité d'un interlocuteur grâce aux informations qu'il connaît sur vous.
Coupez la conversation et contactez vous-même l'organisme par son canal officiel.
Si votre IBAN a fuité
Un IBAN exposé mérite une surveillance particulière, mais il ne signifie pas que quelqu'un dispose soudainement d'un accès à votre compte.
Cybermalveillance.gouv.fr recommande de surveiller les opérations et de signaler la fuite à sa banque, afin qu'elle place le compte sous vigilance renforcée si elle le juge utile.
Si un prélèvement non autorisé apparaît, il peut être contesté. Dans les situations prévues par le code monétaire et financier, le délai peut atteindre treize mois après le débit, et la banque doit alors rembourser l'opération au plus tard à la fin du premier jour ouvrable suivant la réception de la contestation.
Une petite opération inconnue mérite autant d'attention qu'une grosse somme : certains fraudeurs testent d'abord un moyen de paiement avec un faible montant.
Si des données de votre carte bancaire ont été volées
Le niveau d'urgence augmente.
Si des informations permettant d'utiliser la carte ont été compromises — numéro, date d'expiration, cryptogramme ou autres éléments d'authentification — contactez rapidement votre banque par son application, son site ou son numéro officiel.
Cybermalveillance.gouv.fr recommande, selon la situation, de faire opposition au moyen de paiement concerné et de surveiller les opérations.
N'attendez pas de constater un premier achat frauduleux si votre établissement vous indique que les données permettant d'utiliser la carte ont effectivement été exposées.
Si une pièce d'identité a été volée
Le risque est plus durable.
Une carte d'identité, un passeport, un bulletin de salaire ou un avis d'impôt contient des informations difficiles ou impossibles à changer.
Ces documents peuvent faciliter :
- une ouverture de compte ;
- la souscription d'un crédit ;
- l'ouverture d'une ligne téléphonique ;
- la création de comptes en ligne ;
- certaines démarches administratives frauduleuses.
Une copie de pièce d'identité volée ne signifie pas qu'une usurpation a déjà eu lieu.
Il faut donc conserver l'avis de fuite et surveiller les signes inhabituels : courrier d'un établissement inconnu, crédit non demandé, abonnement jamais souscrit ou compte bancaire que vous ne reconnaissez pas.
Comment vérifier si quelqu'un agit sous votre identité
En cas de soupçon sérieux, trois fichiers sont particulièrement utiles.
FICOBA recense les comptes bancaires ouverts en France. Il permet de vérifier qu'aucun compte inconnu n'a été déclaré à votre nom. Il ne contient ni vos opérations ni le solde des comptes. On y accède depuis son espace personnel sur le site des impôts.
Le FICP, géré par la Banque de France, recense notamment les incidents de remboursement de crédits.
Le FCC recense certains incidents liés aux chèques et aux cartes. Pour ces deux fichiers, la demande se fait sur le site de la Banque de France, par courrier ou en agence sur rendez-vous.
La Banque de France recommande à une victime d'usurpation de vérifier ces fichiers, de prévenir ses banques et de déposer plainte rapidement lorsqu'une utilisation frauduleuse est constatée.
Gardez les preuves avant de supprimer les messages
Si une fraude apparaît, ne supprimez pas immédiatement les messages, courriels ou faux profils.
Conservez :
- les messages ;
- les captures d'écran ;
- les adresses des sites ;
- les relevés d'opérations ;
- les courriers reçus ;
- l'annonce initiale de la fuite.
Cybermalveillance.gouv.fr recommande de préserver ces éléments afin qu'ils puissent accompagner une plainte.
Une chronologie peut également aider. Notez, avec leur date :
- le jour de l'annonce de la fuite ;
- le premier message suspect ;
- la première opération inconnue ;
- le contact avec la banque ;
- le dépôt de plainte.
Quand porter plainte ?
Une fuite et une usurpation d'identité sont deux choses différentes.
Si vos données ont seulement été exposées, il faut d'abord sécuriser les comptes et surveiller les conséquences.
Si quelqu'un utilise votre identité, votre moyen de paiement ou vos comptes, Cybermalveillance.gouv.fr recommande de conserver les preuves puis de déposer plainte au commissariat, à la gendarmerie ou par courrier au procureur de la République.
La Banque de France conseille elle aussi de porter plainte rapidement lorsqu'une usurpation d'identité est constatée.
Une main courante peut servir à dater une situation lorsqu'aucune infraction précise n'est encore caractérisée. Elle ne remplace pas une plainte lorsqu'une fraude apparaît.
Et si les données sont publiées sur Internet ?
Il faut demander leur retrait au site ou à la plateforme qui les diffuse.
Si elles apparaissent encore dans les résultats d'un moteur de recherche, une demande de déréférencement peut également être effectuée. Attention toutefois à ce que cette démarche fait réellement : le déréférencement retire le résultat du moteur, il n'efface pas la page, qui reste accessible en allant directement sur le site.
Cybermalveillance.gouv.fr recommande ces deux démarches après une divulgation de données personnelles.
L'organisme dispose d'un mois pour répondre, délai qui peut être porté à trois mois pour une demande complexe — à charge pour lui de vous dire pourquoi. Passé ce délai sans réponse satisfaisante, ou si vous estimez que l'organisme n'a pas suffisamment protégé vos données, vous pouvez saisir la Commission nationale de l'informatique et des libertés.
Cela ne remplace pas une plainte pénale lorsque les données sont utilisées pour commettre une fraude. Les deux démarches ne poursuivent pas le même objectif.
Pourquoi l'entreprise ne vous prévient pas toujours
Le règlement européen sur la protection des données impose à l'organisme de consigner toutes les violations.
Lorsque l'incident présente un risque pour les droits et libertés des personnes, il doit le signaler à la Commission nationale de l'informatique et des libertés dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Lorsque le risque est élevé, les personnes concernées doivent en principe être informées rapidement, sauf exceptions prévues par le règlement — par exemple lorsque les données étaient protégées par un chiffrement suffisamment robuste.
Les 72 heures concernent donc l'entreprise ou l'administration.
Elles ne constituent pas un délai imposé au particulier pour changer son mot de passe ou porter plainte.
En pratique, quoi faire selon la donnée volée
| Donnée compromise | Première réaction |
|---|---|
| Nom, adresse, téléphone | Méfiance renforcée face aux appels et messages personnalisés |
| Adresse électronique | Surveiller les faux messages et sécuriser la messagerie |
| Mot de passe | Le changer immédiatement partout où il a été réutilisé |
| IBAN | Surveiller les prélèvements et prévenir sa banque si nécessaire |
| Carte bancaire | Contacter rapidement la banque et envisager l'opposition |
| Pièce d'identité | Conserver l'avis de fuite et surveiller l'usurpation dans la durée |
| Fraude constatée | Conserver les preuves, prévenir les organismes et porter plainte |
Une donnée volée ne peut pas toujours être remplacée.
Un mot de passe se change. Une date de naissance, un nom ou une ancienne adresse continueront d'exister.
La protection consiste alors moins à faire disparaître l'information qu'à rendre son utilisation frauduleuse plus difficile et à repérer rapidement les anomalies.
Après une fuite, la question la plus utile n'est donc pas de savoir si l'on a été piraté, mais ce qui a été volé et ce que quelqu'un peut réellement en faire.
Les huit priorités
- Identifier les données réellement compromises.
- Changer immédiatement les mots de passe exposés ou réutilisés.
- Sécuriser en priorité sa messagerie.
- Activer la double authentification lorsque c'est possible.
- Surveiller les comptes si des données bancaires sont concernées.
- Conserver l'annonce de la fuite et les preuves d'éventuelles fraudes.
- Vérifier FICOBA, FICP et FCC si une usurpation est suspectée.
- Porter plainte dès qu'un usage frauduleux est constaté.
