Mon adresse email est dans une fuite de données : que faire ?

Vous venez d'apprendre que votre adresse apparaît dans une fuite — par un mail d'alerte, un article, ou un test en ligne. Pas de panique : dans la plupart des cas, quelques gestes bien choisis suffisent. Voici l'ordre qui compte.

D'abord : toutes les fuites ne se valent pas

Avant d'agir, regardez ce qui a fuité, pas seulement où. Une fuite qui expose un mot de passe ne se traite pas comme une fuite qui expose une adresse postale. Trois familles :

1. Mot de passe exposé — le cas le plus urgent : quelqu'un peut essayer de se connecter à vos comptes.
2. Données bancaires ou d'identité (IBAN, pièce d'identité) — pas d'urgence à la minute, mais un risque qui dure des années.
3. Coordonnées (nom, adresse, téléphone, achats) — rien à « changer », mais des arnaques ciblées à prévoir.

Pour savoir ce que contient précisément la fuite qui vous concerne, consultez notre registre des fuites : chaque page détaille les données exposées et leur gravité.

Étape 1 — Si un mot de passe est exposé : changez-le, au bon endroit

Changez d'abord le mot de passe sur le site qui a fuité. Puis posez-vous la vraie question : ce mot de passe sert-il ailleurs ? C'est là que se produisent la plupart des piratages — les pirates testent automatiquement les couples adresse + mot de passe fuités sur les boîtes mail, Amazon, Netflix, les banques. Une variante proche (le même mot avec « 2024 » ou « ! » au bout) compte comme le même mot de passe.

Si la liste des comptes à reprendre vous décourage, commencez par deux : votre boîte mail et votre banque. Ce sont les seuls comptes qui permettent de récupérer tous les autres. Notre guide dédié détaille la marche à suivre : mon mot de passe est compromis, que faire ?

Étape 2 — Verrouillez votre boîte mail

Votre boîte mail est la clé de voûte : c'est elle qui reçoit les liens « mot de passe oublié » de tous vos autres comptes. Activez-y la double authentification (validation par téléphone ou par application) — 5 minutes dans les réglages du compte, et même un mot de passe volé ne suffit plus à y entrer.

Étape 3 — Attendez-vous à des messages qui vous connaissent

Après une fuite, les arnaques changent de visage : fini le spam grossier, place aux messages qui citent votre vrai nom, votre vraie adresse, votre vrai opérateur. Un e-mail « votre colis est bloqué », un SMS « votre compte va être suspendu », un appel « du service fraude de votre banque » — tous rendus crédibles par vos données fuitées.

Le réflexe qui protège de tout : ne donnez jamais suite à un message inattendu, même bien renseigné. Revenez vous-même vers le site ou le numéro officiel. Et signalez : transférez les SMS frauduleux au 33700, signalez les e-mails sur signal-spam.fr, retrouvez les bons réflexes sur cybermalveillance.gouv.fr. Le détail des scénarios est dans notre guide sur les arnaques après une fuite.

Étape 4 — Si des données bancaires sont concernées

Un IBAN volé ne permet pas, seul, de vider un compte : un prélèvement exige un mandat, et les banques contrôlent. En revanche, il rend l'arnaque au faux conseiller très efficace. Deux règles — et le détail complet dans notre guide mon IBAN a fuité :

1. Jetez un œil régulier à vos relevés. Un prélèvement non autorisé se conteste auprès de votre banque jusqu'à 13 mois après — la banque est en principe tenue de vous rembourser.
2. Une vraie banque ne vous demandera jamais de valider une opération, de lire un code reçu par SMS ou de « déplacer votre argent en sécurité » par téléphone. Si on vous le demande : raccrochez, rappelez le numéro au dos de votre carte.

Ce qu'il ne faut pas faire

1. Ne payez jamais un service de « nettoyage du dark web » : des données publiées ne peuvent pas être retirées, c'est une promesse impossible à tenir.
2. Ne répondez pas aux mails de chantage (« je connais votre mot de passe… ») : l'expéditeur l'a lu dans une fuite, il n'a rien piraté chez vous. Répondre confirme que l'adresse est active.
3. Ne changez pas tout dans la panique : mieux vaut deux comptes bien sécurisés (boîte mail, banque) que vingt mots de passe changés à la va-vite et notés sur un post-it.