Que faire après une fuite de données ? Le guide complet

Une fuite de données, c'est la sortie non autorisée d'informations personnelles hors du système d'une organisation : piratage, base de données laissée ouverte sur Internet, erreur d'envoi, vol d'ordinateur… Les données finissent souvent revendues ou publiées sur des forums, où des escrocs les achètent pour monter des arnaques ciblées.

La bonne nouvelle : la plupart des conséquences se préviennent avec quelques gestes simples, à condition de les faire vite.

1. Identifiez précisément ce qui a fuité

Tout dépend des données exposées. Relisez le message de l'organisation ou cherchez-la dans notre base des fuites : nous y indiquons, quand c'est connu, la liste des données touchées.

Données exposées	Risque principal	Priorité
Adresse e-mail, nom, téléphone	Phishing et arnaques ciblées	Vigilance
Mot de passe (même chiffré)	Prise de contrôle de vos comptes	Urgent
IBAN	Prélèvements frauduleux	Surveiller ses comptes
Pièce d'identité, numéro de sécurité sociale	Usurpation d'identité	Élevée
Données de santé	Chantage, discrimination	Élevée

2. Changez le mot de passe concerné, et ses copies

Si un mot de passe fait partie de la fuite, changez-le immédiatement sur le service touché. Surtout, changez-le partout où vous l'avez réutilisé : les pirates testent automatiquement les identifiants volés sur des centaines de sites (on parle de credential stuffing). Un gestionnaire de mots de passe vous permet d'avoir un mot de passe unique par site sans effort.

3. Activez la double authentification

La double authentification (code reçu par application ou clé de sécurité en plus du mot de passe) rend un mot de passe volé quasiment inutile. Activez-la en priorité sur votre messagerie, votre banque, vos réseaux sociaux et vos comptes administratifs.

4. Attendez-vous à des tentatives d'arnaque

C'est la conséquence la plus fréquente. Dans les semaines qui suivent une fuite, les escrocs envoient des e-mails, SMS ou appels qui reprennent vos vraies informations pour paraître crédibles : faux conseiller bancaire, faux service client de l'entreprise touchée, faux remboursement. Apprenez à les reconnaître.

La règle d'or : ne cliquez jamais sur un lien reçu, ne communiquez jamais de code reçu par SMS, et rappelez vous-même l'organisation via son numéro officiel.

5. Protégez votre compte bancaire si l'IBAN a fuité

Un IBAN seul ne permet pas de vider un compte, mais il peut servir à mettre en place des prélèvements frauduleux. Consultez vos relevés chaque semaine pendant quelques mois. Le détail des recours est dans notre guide fuite d'IBAN : que risque-t-on ?.

6. Prenez au sérieux une fuite de pièce d'identité

Une copie de carte d'identité, de passeport ou de numéro de sécurité sociale permet d'ouvrir des comptes ou des crédits à votre nom. Conservez toutes les preuves de la fuite, surveillez votre courrier et vos comptes, et déposez plainte au moindre signe d'usurpation.

7. Gardez les preuves

Conservez le message d'information envoyé par l'organisation, les captures d'écran, les e-mails suspects reçus ensuite. Ces éléments seront utiles pour une plainte, une contestation bancaire ou une demande d'indemnisation.

8. Faites valoir vos droits

L'organisation responsable a des obligations : elle doit notifier l'autorité de protection des données (la CNIL en France, l'Autorité de protection des données en Belgique) et vous prévenir si le risque est élevé. Vous pouvez lui demander des précisions, saisir l'autorité si elle ne répond pas, et dans certains cas demander réparation devant un juge.

Questions fréquentes

Comment savoir si mes données ont fuité ?

Les organisations doivent prévenir les personnes concernées quand le risque est élevé, mais ce n'est pas toujours fait. Vous pouvez vérifier votre adresse e-mail sur le service Have I Been Pwned et consulter notre base des fuites en France et en Belgique.

Une fuite de données est-elle grave si seul mon e-mail a fuité ?

Le risque direct est limité, mais vous recevrez probablement davantage de spam et de tentatives de phishing personnalisées. Restez vigilant face aux messages qui reprennent le nom de l'entreprise touchée.

Dois-je changer de numéro de téléphone ou d'adresse e-mail ?

Généralement non. Changer vos mots de passe, activer la double authentification et rester vigilant suffit dans la grande majorité des cas.

L'entreprise doit-elle m'indemniser ?

Pas automatiquement. Si la fuite résulte d'un manquement à ses obligations de sécurité et qu'elle vous a causé un préjudice, vous pouvez demander réparation, éventuellement devant un juge.