Que faire si votre adresse e-mail a été victime d’une violation de données

Que faire si votre adresse e-mail a été compromise dans une violation de données

Le fait que votre adresse e-mail apparaisse dans une violation de données ne signifie pas, en soi, que quelqu’un a accédé à votre compte e-mail. Commencez par vérifier l’alerte sur le site officiel de l’entreprise et découvrez ce qui d’autre a été exposé. Si un mot de passe a fuité, changez-le partout où vous l’avez utilisé et activez une protection de connexion renforcée. Si des informations de carte, de banque ou de sécurité sociale ont fuité, suivez les étapes correspondantes auprès de la banque, du bureau de crédit ou sur IdentityTheft.gov.

• Adresse e-mail uniquement : attendez-vous à davantage de spam et de phishing ciblés contre vous. Ce n’est pas la preuve que quelqu’un a accédé à votre boîte mail.
• Mot de passe exposé ou signalé comme compromis : changez-le sur le compte concerné et sur tous les autres comptes où vous avez utilisé le même mot de passe.
• Signes d’une prise de contrôle (connexions inconnues, informations de récupération modifiées, règles de transfert que vous n’avez pas créées, messages que vous n’avez pas envoyés) : utilisez la procédure de récupération de compte piraté de votre fournisseur de messagerie.
• Informations de carte, de banque, de sécurité sociale ou d’identité exposées : suivez les étapes spécifiques à ces données, et non une liste de vérification générique pour e-mail.

Comment savoir si votre adresse e-mail a été compromise dans une violation de données

Confirmez l’avis sur le site officiel ou l’application de l’entreprise concernée, puis consultez un service de recherche de violations fiable et vos alertes de mots de passe enregistrés. Aucun service de recherche ne recense toutes les violations, alors lisez aussi l’avis d’incident de l’entreprise pour savoir quelles données ont été exposées avec votre adresse.

Vérifiez l’avis sans utiliser ses liens

Les avis de violation sont un déguisement favori du phishing : ne cliquez donc pas sur les liens et n’appelez pas les numéros de téléphone indiqués dans le message. Le National Cyber Security Centre (NCSC) du Royaume-Uni conseille de contacter l’organisation via son site officiel ou son application. Saisissez vous-même l’adresse ou ouvrez l’application que vous utilisez déjà, puis cherchez la page d’incident ou l’article d’assistance de l’entreprise.

Recherchez la description de l’incident par l’entreprise et les catégories de données qu’elle indique comme affectées, telles que les adresses e-mail, les mots de passe, les numéros de téléphone ou les informations de paiement. Si l’avis est vague, demandez à l’équipe d’assistance de l’entreprise, via un canal officiel, quelles données vous concernant ont été impliquées.

Vérifiez Have I Been Pwned et vos alertes de mots de passe enregistrés

Have I Been Pwned est un service gratuit de recherche de violations géré par le chercheur en sécurité Troy Hunt. Vous saisissez une adresse e-mail, et il liste les violations connues de son jeu de données qui incluent cette adresse. Sa FAQ indique que les recherches par e-mail ne sont pas enregistrées, et il propose une alerte gratuite « Prévenez-moi » envoyée uniquement à l’adresse surveillée.

Un résultat vierge ne prouve pas que votre adresse n’a jamais fuité. Have I Been Pwned ne peut signaler que les violations qu’il a indexées, et certains ensembles de données sont traités différemment ou ne sont jamais rendus publics.

Vos gestionnaires de mots de passe enregistrés peuvent aussi signaler les mots de passe exposés. Google Password Manager dispose d’un contrôle des mots de passe qui signale les mots de passe enregistrés comme exposés, réutilisés ou faibles. Sur iPhone, la section Sécurité de l’application Mots de passe identifie les mots de passe faibles ou compromis, y compris ceux détectés dans des fuites de données connues. D’autres gestionnaires de mots de passe proposent une surveillance similaire. Google recommande d’ouvrir directement Password Checkup pour vérifier une alerte plutôt que de suivre un lien dans la notification, ce qui est une bonne habitude pour tout avertissement de sécurité.

Ce qui a fuité détermine ce que vous devez faire

Adaptez votre réaction aux données exposées. Une adresse e-mail fuitée augmente surtout votre risque de phishing, un mot de passe fuité exige de nouveaux mots de passe, et des informations financières ou de sécurité sociale divulguées nécessitent des démarches auprès de la banque et du bureau de crédit.

Un numéro de téléphone, une adresse ou une date de naissance ne signifie pas qu’un échange de SIM se prépare. Ces informations facilitent toutefois l’ingénierie sociale, et la Federal Trade Commission (FTC) indique que définir un code PIN ou un mot de passe sur votre compte mobile peut aider à bloquer les modifications non autorisées.

Si l’entreprise indique que des hachages de mots de passe ont été exposés

De nombreuses entreprises stockent les mots de passe sous forme de hachages plutôt qu’en texte lisible. Si un avis de violation indique que des hachages de mots de passe ont été dérobés, suivez les instructions de réinitialisation de l’entreprise et remplacez ce mot de passe partout où vous l’avez réutilisé. Le hachage peut réduire le risque qu’un mot de passe soit récupéré, mais la protection dépend de la méthode de hachage, de sa configuration et de la robustesse de votre mot de passe. Ne partez pas du principe qu’un mot de passe haché est soit immédiatement lisible, soit définitivement sûr.

Si l’alerte mentionne un journal de vol d’identifiants (stealer log) ou un logiciel malveillant

Certaines alertes de violation proviennent de « stealer logs », c’est-à-dire des identifiants collectés par un logiciel malveillant sur un appareil infecté, et non copiés depuis la base de données d’une entreprise. Si une alerte le précise explicitement, mettez à jour et analysez l’appareil concerné avec un logiciel de sécurité fiable, puis changez les mots de passe sensibles depuis un appareil que vous savez sain. Une violation d’entreprise ordinaire ne signifie pas, en soi, que votre téléphone ou votre ordinateur est infecté par un logiciel malveillant.

Si un mot de passe a été exposé ou réutilisé

Agissez rapidement lorsqu’un mot de passe a été exposé, car quelqu’un pourrait essayer cette combinaison e-mail et mot de passe sur le compte concerné ou sur d’autres sites. Changez-le sur le compte concerné, puis remplacez-le partout ailleurs où vous l’utilisez encore.

Changez-le sur le compte concerné

Connectez-vous en saisissant vous-même l’adresse du site, et non via un lien contenu dans un e-mail, et définissez un nouveau mot de passe long et unique. IdentityTheft.gov suggère aussi de changer votre nom d’utilisateur si le site le permet. Si vous ne parvenez pas à vous connecter, contactez l’entreprise et demandez-lui comment récupérer ou fermer le compte.

Pendant que vous êtes connecté, vérifiez les modifications que vous n’avez pas effectuées, en particulier sur les sites d’achat ou financiers. Examinez l’adresse de livraison, les cartes enregistrées, les comptes liés ainsi que les commandes ou transactions récentes.

Remplacez-le partout où vous l’avez réutilisé

Tout autre compte qui utilise encore le mot de passe divulgué est exposé, même si ce service n’a pas été victime d’une violation. Changez ensuite ces mots de passe, en commençant par les comptes qui peuvent donner accès à d’autres services ou exposer de l’argent ou des informations sensibles :

1. Vos comptes e-mail, car les liens de réinitialisation de mot de passe de presque tous les autres services y arrivent
2. Les comptes bancaires, de paiement et d’investissement
3. Les sites d’achat qui enregistrent une carte
4. Les réseaux sociaux, le stockage cloud et les comptes d’opérateurs téléphoniques

Si le mot de passe de votre boîte e-mail principale n’a pas été réutilisé, n’a pas été signalé et ne montre aucune activité inhabituelle, il n’a pas à être changé en priorité. Changez-le lorsqu’il est identique à celui du site concerné ou qu’il apparaît lui-même dans une alerte de violation.

Un gestionnaire de mots de passe rend cela pratique en créant et en stockant un mot de passe différent pour chaque compte. Certains gestionnaires de mots de passe peuvent aussi signaler les mots de passe enregistrés qui sont réutilisés ou connus pour avoir été exposés. Un gestionnaire de mots de passe ne peut pas empêcher une entreprise d’être victime d’une violation, mais des mots de passe uniques empêchent un mot de passe divulgué de donner accès à d’autres comptes.

Passez à une clé d’accès ou ajoutez une protection de connexion renforcée

Lorsqu’un site prend en charge les clés d’accès, envisagez d’en utiliser une plutôt qu’un mot de passe. Sinon, utilisez un mot de passe unique et activez l’authentification multifactorielle (MFA). Pour les comptes importants, une application d’authentification ou une clé de sécurité est le choix le plus sûr. Les codes par SMS apportent encore une protection, mais la FTC avertit qu’ils pourraient ne pas empêcher un échange de SIM.

Avant de supprimer une ancienne méthode de connexion, vérifiez que votre adresse e-mail de récupération, votre numéro de téléphone de récupération, vos codes de secours et vos appareils de confiance sont bien ceux que vous contrôlez. Ne désactivez pas la vérification par SMS tant qu’une autre méthode n’est pas configurée et fonctionnelle, sous peine de vous retrouver bloqué hors de votre compte.

S’il y a des signes que quelqu’un a accédé à votre compte e-mail

Une violation impliquant une autre entreprise ne signifie pas nécessairement que quelqu’un a accédé à votre boîte e-mail. Les étapes ci-dessous ne s’appliquent que si vous constatez des signes de prise de contrôle de votre compte e-mail, tels que :

• Vous ne pouvez pas vous connecter, ou votre mot de passe ou nom d’utilisateur a été modifié sans que vous n’ayez rien fait
• Alertes de connexion depuis des appareils ou des lieux que vous ne reconnaissez pas
• Adresses e-mail ou numéros de téléphone de récupération que vous n’avez pas ajoutés
• Des messages envoyés que vous n’avez pas écrits, ou des amis qui signalent des e-mails étranges provenant de vous

Récupérez le compte via votre fournisseur

Utilisez la page officielle de récupération de compte de votre fournisseur, accessible en saisissant son adresse ou en ouvrant son application. Une fois reconnecté, changez le mot de passe, déconnectez-vous de toutes les autres sessions et de tous les autres appareils, et activez la MFA si elle était désactivée. La FTC suggère également de mettre à jour votre logiciel de sécurité et d’effectuer une analyse.

Vérifiez les appareils, les informations de récupération, les règles de transfert et les applications connectées

Un intrus peut modifier des paramètres qui lui conservent l’accès ou lui envoient des copies de vos messages après que vous avez réinitialisé le mot de passe. Les recommandations de Google pour les comptes compromis identifient les vérifications ci-dessous ; utilisez les paramètres de sécurité et de messagerie équivalents proposés par votre propre fournisseur.

• Appareils et sessions : consultez l’activité de sécurité récente et supprimez tout appareil que vous ne reconnaissez pas.
• Informations de récupération : corrigez toute adresse e-mail, tout numéro de téléphone ou tout nom de compte de récupération que vous n’avez pas défini.
• Transfert, filtres et délégations : supprimez les règles de transfert, les filtres et les délégations de messagerie que vous n’avez pas créés. Vérifiez vos dossiers des éléments envoyés et de la corbeille pour repérer des messages envoyés ou lus par quelqu’un d’autre.
• Applications connectées : supprimez les applications tierces ayant accès à votre compte que vous ne reconnaissez pas ou que vous n’utilisez plus.

Prévenez vos contacts si des messages ont été envoyés

Si quelqu’un a envoyé des messages depuis votre compte, prévenez vos contacts pour qu’ils ne cliquent pas sur des liens ou ne répondent pas à des demandes d’argent qui semblent venir de vous.

Si des informations de carte, de banque ou de sécurité sociale ont été exposées

Les données financières et d’identité exigent des mesures qu’un nouveau mot de passe ne peut pas couvrir. Les étapes de cette section suivent les recommandations d’IdentityTheft.gov de la FTC et concernent spécifiquement les États-Unis. Ailleurs, adressez-vous aux autorités nationales de votre pays en matière de cybercriminalité, de protection des données et de crédit, ainsi qu’à votre banque.

Carte de crédit ou de débit

Contactez l’émetteur de votre carte en utilisant le numéro figurant au dos de la carte ou sur votre relevé, et non un numéro provenant d’un message de violation. Demandez l’annulation de la carte et l’obtention d’une nouvelle. Examinez les transactions récentes, signalez celles que vous ne reconnaissez pas et mettez à jour vos paiements automatiques avec le nouveau numéro de carte.

Compte bancaire ou d’investissement

Informez votre banque ou votre courtier de ce qui s’est passé, en utilisant des coordonnées dont vous savez déjà qu’elles sont authentiques. IdentityTheft.gov suggère de fermer le compte et d’en ouvrir un nouveau, mais suivez les instructions spécifiques de votre établissement. Ensuite, vérifiez régulièrement les transactions et mettez à jour vos paiements automatiques.

Numéro de sécurité sociale

Un numéro de sécurité sociale exposé peut servir à ouvrir un crédit, déclarer des impôts ou obtenir un emploi en votre nom. Voici les principales mesures de protection :

• Gelez votre crédit auprès d’Equifax, Experian et TransUnion. Vous devez contacter chaque bureau séparément. Le gel est gratuit, dure jusqu’à ce que vous le leviez et n’affecte pas votre score de crédit. N’importe qui peut en demander un à tout moment, mais il est particulièrement important lorsque votre numéro de sécurité sociale ou d’autres informations d’identité fuient. Il bloque l’ouverture de nouveaux comptes de crédit ; il n’empêche pas l’utilisation frauduleuse de cartes ou de comptes existants.
• Envisagez une alerte fraude. Une alerte initiale est gratuite, dure un an, et ne nécessite qu’un seul appel : le bureau que vous contactez doit informer les deux autres.
• Consultez vos rapports de crédit sur AnnualCreditReport.com, où vous pouvez consulter gratuitement en ligne, chaque semaine, les rapports des trois agences.
• Acceptez la surveillance de crédit gratuite si l'entreprise concernée la propose. La surveillance vous alerte de toute activité sur vos rapports ; elle ne bloque pas la fraude comme peut le faire un gel.
• Obtenez un code PIN de protection d'identité de l'IRS. Il aide à empêcher quelqu'un d'autre d'utiliser votre numéro de sécurité sociale pour déposer une déclaration fiscale fédérale frauduleuse, et un nouveau code PIN IP est généré chaque année.
• Consultez votre historique professionnel dans un compte my Social Security pour vérifier si quelqu'un a utilisé votre numéro pour un emploi.

Si vous trouvez des comptes, des dettes ou des déclarations fiscales que vous ne reconnaissez pas, signalez-les sur IdentityTheft.gov. Le site établit un plan de rétablissement personnel adapté à ce qui s'est passé.

Les informations d'un enfant

Si le numéro de sécurité sociale ou d'autres données d'identité d'un enfant ont été exposés, un parent ou un tuteur peut demander un gel de crédit gratuit pour l'enfant auprès de chaque agence. Chaque agence a sa propre procédure pour les mineurs, différente de celle d'un gel pour adulte.

Permis de conduire, passeport ou informations d'assurance santé

Si des informations de permis de conduire ont été exposées, contactez l'agence des véhicules à moteur de votre État et demandez-lui si elle peut signaler le numéro ou délivrer un duplicata. Si seul votre numéro de passeport américain a été exposé, le Département d'État a indiqué qu'il ne recommande pas de déclarer le passeport perdu ou volé ; ne le faites que si le livret ou la carte de passeport physique est réellement perdu ou volé, car une déclaration l'annule. Si des informations Medicare, Medicaid ou d'assurance santé ont été exposées, contactez le programme ou l'assureur via un numéro dont vous savez qu'il est authentique, et vérifiez vos demandes de remboursement et vos relevés d'explication des prestations pour des soins que vous n'avez pas reçus. Si l'une de ces informations est utilisée frauduleusement, signalez-le sur IdentityTheft.gov.

Méfiez-vous du phishing inspiré des violations de données

Les escrocs utilisent de vraies violations de données comme appât, et ces messages peuvent arriver bien après que la violation a fait les gros titres. Les thèmes courants incluent une « mise à jour de sécurité » qui vous demande de vous connecter, une offre de dédommagement, une réinitialisation urgente de mot de passe et un avertissement selon lequel vos données sont en vente sur le dark web. Le conseil de la FTC pour ce dernier cas vaut pour tous : ne cliquez pas sur un lien et n'utilisez pas un numéro de téléphone figurant dans le message. Rendez-vous directement sur le site ou l'application de l'entreprise.

Méfiez-vous des codes de vérification ou des e-mails de réinitialisation de mot de passe que vous n'avez pas demandés. Ils peuvent signifier que quelqu'un a saisi votre adresse dans un formulaire de connexion ou de récupération, mais ils ne prouvent pas que cette personne connaît votre mot de passe. Ne partagez pas le code et n'approuvez pas la demande. Consultez l'activité de sécurité récente du compte et changez le mot de passe s'il est réutilisé, signalé comme compromis ou accompagné de signes d'accès non autorisé.

Signalez le phishing avec le bouton de signalement de votre application email pour améliorer ses filtres. Aux États-Unis, signalez les arnaques et les fraudes sur ReportFraud.ftc.gov, et utilisez IdentityTheft.gov si quelqu'un a réellement utilisé vos informations.

Si le compte appartient à votre employeur ou à votre établissement scolaire

Si l'adresse ou le compte compromis est géré par un employeur ou un établissement scolaire, contactez son équipe informatique ou de sécurité via un canal approuvé et suivez ses instructions avant de modifier des paramètres gérés par l'organisation. Ne partagez l'avis qu'avec l'équipe autorisée ou l'adresse de signalement, pas avec un large groupe de collègues ou de camarades de classe.

Réduisez votre exposition avant la prochaine violation

Vous ne pouvez pas empêcher toutes les entreprises d'être victimes d'une violation, mais vous pouvez limiter ce qu'une violation révèle et jusqu'où elle se propage. Des mots de passe uniques stockés dans un gestionnaire de mots de passe empêchent une fuite de donner accès à d'autres comptes. Microsoft suggère également de conserver des adresses e-mail distinctes, par exemple une pour les amis et la famille et une autre pour les comptes en ligne.

Pour les inscriptions à faible risque comme les newsletters, les coupons et les téléchargements ponctuels, une adresse distincte évite d'ajouter votre boîte principale à une liste de clients de plus. Un alias permanent convient aux comptes que vous souhaitez conserver, tandis qu'une adresse email temporaire convient aux inscriptions ponctuelles ; notre comparaison de les alias de courrier temporaire et d’email explique les compromis.

L'email temporaire ne répare pas une violation déjà survenue, et il n'est pas destiné aux opérations bancaires, au travail, à la santé, à la récupération de comptes ni à tout compte que vous devez conserver. Tmailor est en réception seule, n'accepte pas les pièces jointes et supprime les messages environ 24 heures après leur arrivée. Certains sites bloquent également les adresses jetables.

Ce guide explique quoi faire après une violation. Si vous souhaitez réduire votre exposition avant la prochaine, lisez comment le mail temporaire limite ce qu’une violation de données peut révéler.