Il y a deux mauvaises réactions quand on apprend que ses données personnelles ont fuité.
La première : paniquer, changer trois mots de passe au hasard, bloquer sa carte bancaire alors que ce n’est pas forcément nécessaire, puis oublier le sujet deux jours plus tard.
La deuxième : hausser les épaules en disant “de toute façon, mes données sont déjà partout”.
La bonne réaction se situe entre les deux : comprendre ce qui a fuité, réduire les risques les plus probables, surveiller dans la durée et garder des preuves.
Une fuite de données ne signifie pas toujours que votre compte bancaire va être vidé dans l’heure. En revanche, elle peut rendre les arnaques beaucoup plus crédibles : e-mails personnalisés, faux appels, hameçonnage, tentative d’usurpation, ou piratage de comptes en ligne. Cybermalveillance.gouv.fr rappelle qu’une fuite peut entraîner du phishing ciblé, de la fraude, de l’extorsion, de l’usurpation d’identité ou des tentatives de piratage de comptes. (CYBERMALVEILLANCE.GOUV.FR)
Étape 1 : identifier ce qui a vraiment fuité
Avant de faire quoi que ce soit, il faut répondre à une question simple :
quelles données sont concernées ?
Ce n’est pas la même chose si la fuite contient seulement :
- votre e-mail ;
- votre téléphone ;
- votre adresse postale ;
- votre mot de passe ;
- votre IBAN ;
- une pièce d’identité ;
- un numéro de sécurité sociale ;
- des informations de santé ;
- des données professionnelles.
La CNIL indique que les organismes doivent en principe informer directement les personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé, avec les mesures prises pour atténuer les conséquences. Elle précise aussi qu’elle ne peut pas confirmer elle-même si vos données figurent dans une fuite : il faut interroger l’organisme responsable. (CNIL)
Donc, premier réflexe : ne pas cliquer sur n’importe quel “outil magique” qui prétend vérifier votre présence dans une fuite. La CNIL déconseille l’usage de sites qui affirment détenir les données et pouvoir confirmer si vous êtes concerné. (CNIL)
Étape 2 : si un mot de passe est concerné
Là, il ne faut pas attendre.
Changez immédiatement le mot de passe du service concerné.
Puis posez-vous la vraie question : avez-vous utilisé le même mot de passe ailleurs ?
Si oui, changez-le aussi sur tous les autres services concernés, en priorité :
- messagerie ;
- banque ;
- impôts ;
- réseaux sociaux ;
- sites de commerce ;
- comptes professionnels ;
- outils cloud.
La CNIL recommande de changer les mots de passe des services web utilisés, de prioriser les services importants, d’éviter le même mot de passe sur plusieurs services et d’utiliser un gestionnaire de mots de passe. Elle recommande aussi l’authentification multifacteur quand elle est proposée par des services de confiance. (CNIL)
En clair : si votre mot de passe était Bienvenue2024!, ne le transformez pas en Bienvenue2026!. Les fraudeurs aussi savent compter.
Étape 3 : si votre IBAN a fuité
Un IBAN seul ne permet généralement pas de “vider un compte” comme dans un film.
Mais il peut servir à rendre une arnaque beaucoup plus crédible.
La CNIL explique qu’un IBAN obtenu frauduleusement peut, dans certains cas, être utilisé pour émettre des ordres de prélèvement illégitimes ou pour créer un mandat de prélèvement dans le cadre d’une souscription à un service. Elle recommande de surveiller les opérations bancaires, de faire opposition si nécessaire, de contacter son conseiller bancaire en cas de doute et de vérifier les créanciers autorisés dans son espace bancaire. (CNIL)
À faire concrètement :
- surveillez vos opérations pendant plusieurs mois ;
- vérifiez les nouveaux prélèvements ;
- contactez votre banque au moindre doute ;
- ne validez jamais une opération par téléphone sous pression ;
- refusez toute demande urgente de code, de confirmation ou de document.
Le piège classique : un faux conseiller vous appelle en connaissant déjà votre nom, votre adresse ou une partie de votre IBAN. Cela ne prouve rien. Cela prouve seulement qu’il a de quoi jouer son rôle.
Étape 4 : si une pièce d’identité ou des documents sensibles ont fuité
Là, le risque change de niveau.
Une pièce d’identité, un justificatif de domicile, un bulletin de salaire ou un avis d’imposition peuvent être utilisés pour tenter une usurpation d’identité, souscrire un service, ouvrir une ligne, créer un compte, ou monter un dossier frauduleux.
Service-Public rappelle que l’usurpation d’identité peut notamment suivre la perte ou le vol d’une pièce d’identité, l’envoi de documents personnels à une fausse annonce ou à un faux organisme, ou la récupération de données personnelles. Les conséquences peuvent inclure l’ouverture d’un compte, la souscription d’un crédit, l’ouverture d’une ligne téléphonique ou la création de comptes en ligne au nom de la victime. (Service Public)
À faire :
- gardez tous les messages, preuves et captures ;
- surveillez vos courriers bancaires, administratifs et opérateurs ;
- vérifiez toute ouverture de compte ou contrat inconnu ;
- en cas de soupçon sérieux, déposez une main courante ou plainte selon la situation ;
- prévenez les organismes concernés si une usurpation est confirmée.
Si une usurpation est avérée, Service-Public indique que la victime peut porter plainte et avertir les administrations et organismes concernés ; en matière financière, elle doit prévenir les établissements bancaires ou financiers et peut consulter FICOBA pour vérifier si des comptes ont été ouverts à son nom. (Service Public)
Étape 5 : si vous recevez des messages “trop bien informés”
Après une fuite, les arnaques deviennent souvent plus convaincantes.
Un SMS cite votre nom.
Un e-mail reprend une vraie démarche.
Un appel mentionne votre banque, votre adresse, votre opérateur ou un dossier administratif.
C’est exactement le scénario attendu. La CNIL explique que le phishing peut sembler réaliste parce qu’il utilise des données récupérées grâce à une fuite, et recommande de ne pas ouvrir les pièces jointes, de ne pas répondre, de ne pas cliquer sur les liens, et de saisir soi-même l’adresse officielle du service dans le navigateur. (CNIL)
Règle simple : si le message vous presse, ralentissez.
Un vrai service peut attendre que vous vous reconnectiez par le site officiel.
Un fraudeur, lui, veut que vous cliquiez maintenant.
Étape 6 : si vous pensez être victime d’usurpation
Là, il faut passer en mode preuves.
La Banque de France recommande, en cas d’usurpation d’identité, de déposer plainte dès que possible, de prévenir sa banque, de vérifier si des comptes ont été ouverts à son nom via FICOBA et de vérifier si l’on est fiché à la Banque de France dans les fichiers FCC ou FICP. (Banque de France)
À conserver :
- e-mails ;
- SMS ;
- numéros appelants ;
- captures d’écran ;
- courriers reçus ;
- références de dossiers ;
- relevés bancaires ;
- preuve de dépôt de plainte.
Ce n’est pas le moment de “faire du ménage” dans vos messages.
C’est le moment de garder les traces.
Étape 7 : prévenir son entreprise si les données sont liées au travail
Si la fuite concerne une adresse professionnelle, un compte Microsoft 365, des bulletins de salaire, un CV, un document RH ou une information liée à votre poste, prévenez votre employeur ou votre service informatique.
La Banque de France recommande de prévenir son employeur si des bulletins de salaire ont été transmis ou en cas d’usurpation numérique liée à l’entreprise. (Banque de France)
C’est important parce qu’une fuite personnelle peut devenir une attaque professionnelle :
- phishing ciblé ;
- fraude RH ;
- faux changement de RIB ;
- demande au service comptable ;
- tentative d’accès au compte professionnel.
Ce qu’il ne faut pas faire
Ne cliquez pas sur les liens reçus par SMS ou e-mail “pour vérifier”.
Ne donnez jamais de code de validation.
Ne transmettez pas une copie de pièce d’identité à quelqu’un que vous n’avez pas authentifié.
Ne paniquez pas si seul votre e-mail a fuité.
Ne minimisez pas si des documents d’identité sont concernés.
Ne changez pas uniquement le mot de passe du service touché si vous l’avez réutilisé ailleurs.
Et surtout : ne croyez pas qu’une information exacte prouve que votre interlocuteur est légitime.
Un escroc bien informé reste un escroc. Simplement, il a révisé sa fiche.
Conclusion
Une fuite de données n’est pas toujours une catastrophe immédiate. Mais ce n’est jamais un événement à ignorer.
La bonne réponse n’est ni la panique ni le fatalisme.
La bonne réponse, c’est une méthode :
- comprendre ce qui a fuité ;
- sécuriser les comptes importants ;
- surveiller banque et identité ;
- refuser les messages urgents ;
- conserver les preuves ;
- déposer plainte si l’usurpation ou la fraude est réelle.
Au fond, la vraie question n’est pas seulement :
“Mes données ont-elles fuité ?”
La vraie question est :
“Quelle histoire un fraudeur peut-il maintenant raconter avec ces données — et comment je l’empêche de me faire jouer un rôle dedans ?”
