Les guides
Mon mot de passe est compromis : que faire ?
Votre navigateur, votre téléphone ou un service de vérification vous annonce qu’un mot de passe a été « compromis » ou « trouvé dans une fuite ». Ce genre d’alerte mérite qu’on s’y arrête cinq minutes.
« Compromis » : ce que ça veut dire
Un mot de passe est dit compromis quand il apparaît dans des données qui circulent publiquement. Deux chemins mènent là, et ils ne se traitent pas de la même façon :
- Un site où vous aviez un compte s’est fait voler sa base de données. C’est le cas le plus fréquent. Votre appareil n’y est pour rien : c’est le site qui a été attaqué, et le mot de passe que vous y utilisiez circule.
- Un logiciel malveillant a copié les mots de passe enregistrés sur un appareil. C’est plus rare mais plus large : ce n’est pas un mot de passe qui part, ce sont tous ceux de l’appareil infecté. On y revient plus bas.
Dans les deux cas, personne ne vise votre compte en particulier : votre adresse et votre mot de passe sont une ligne parmi des millions.
Le vrai risque : les autres sites
Changer le mot de passe sur le site touché est le premier réflexe, et il est utile. Mais le danger principal est ailleurs : partout où ce même mot de passe sert encore. Les listes volées sont essayées automatiquement sur des centaines de services (boîtes mail, sites marchands, banques en ligne, réseaux sociaux). Un seul mot de passe réutilisé suffit pour qu’une fuite sans gravité ouvre plusieurs comptes.
La question à se poser : ce mot de passe, ou un très proche, sert-il ailleurs ? Une variante ne compte pas comme un nouveau mot de passe : le même mot avec un chiffre au bout, une majuscule ou un point d’exclamation se devine en quelques essais.
Si la liste vous décourage, vous pouvez commencer par les deux comptes qui permettent de récupérer les autres : votre boîte mail et votre banque.
Par quoi le remplacer
Un bon mot de passe n’est pas forcément compliqué : il est long et unique. Quatre mots sans rapport entre eux, mis bout à bout, valent mieux qu’un mot court rempli de symboles : c’est plus difficile à deviner et bien plus facile à retenir.
- Unique pour chaque compte important. C’est la seule règle qui empêche une fuite de toucher vos autres comptes.
- Long. Une courte phrase plutôt qu’un mot : la longueur compte davantage que les caractères spéciaux.
- Sans rapport avec vous. Prénom des enfants, année de naissance, nom de l’animal : ces informations figurent souvent dans les mêmes fuites que votre adresse.
Retenir un mot de passe différent par site est impossible de tête, et c’est normal : c’est le problème que résout un gestionnaire de mots de passe.
Une deuxième protection là où ça compte
Changer un mot de passe répare le passé. La double authentification protège la suite : même si un mot de passe fuit à nouveau, il ne suffit plus pour entrer. Elle s’active en quelques minutes dans les réglages de votre boîte mail.
Le cas particulier : un mot de passe copié sur votre appareil
Certaines fuites ne viennent pas d’un site mais d’ordinateurs infectés : un logiciel malveillant récupère les mots de passe enregistrés dans le navigateur, et le tout finit dans des listes géantes. Dans notre registre, elles portent des noms comme Synthient Stealer Log Threat Data ou June 2026 Stealer Logs.
Si votre adresse apparaît dans ce type de liste, l’ordre change :
- D’abord l’appareil. Une analyse antivirus complète et les mises à jour passent avant tout : un mot de passe changé sur un appareil encore infecté peut être copié à nouveau.
- Ensuite les comptes importants, en commençant par la boîte mail.
- Enfin les connexions en cours. Les réglages de sécurité de vos comptes principaux permettent de déconnecter les autres appareils : changer un mot de passe ne déconnecte pas toujours celui qui est déjà entré.
Ces listes ne disent pas quel mot de passe a été pris ni sur quel site : d’où l’intérêt de s’occuper des comptes importants plutôt que de chercher lequel.
Trois erreurs fréquentes
- Réutiliser le mot de passe compromis ailleurs « en attendant ». C’est exactement ce que les attaquants espèrent.
- Répondre à un mail de chantage qui affiche votre mot de passe. L’expéditeur l’a lu dans une fuite et n’a rien piraté chez vous. Répondre confirme seulement que l’adresse est utilisée.
- Tout changer en dix minutes et tout noter sur le même papier posé sous le clavier. Deux comptes bien protégés valent mieux que trente repris à la hâte.