Mon mot de passe est compromis : que faire ?

Votre navigateur, votre téléphone ou un service de vérification vous annonce qu'un mot de passe a été « compromis » ou « trouvé dans une fuite ». C'est le type d'alerte qui mérite qu'on s'y arrête cinq minutes — mais dans le bon ordre, et sans tout changer d'un coup.

« Compromis » : ce que ça veut dire exactement

Le mot fait peur ; la réalité est plus banale. Un mot de passe est dit compromis quand il apparaît dans des données qui circulent publiquement. Deux chemins mènent là, et ils ne se traitent pas pareil :

1. Un site où vous aviez un compte s'est fait voler sa base. C'est le cas le plus fréquent. Votre matériel n'a rien à voir : c'est le site qui a été attaqué, et votre mot de passe de ce site-là s'est retrouvé dans la nature.
2. Un logiciel malveillant a lu les mots de passe enregistrés sur un appareil. Plus rare, mais plus large : ce n'est pas un mot de passe qui part, c'est tout le trousseau de la machine infectée. On y revient plus bas.

Dans les deux cas, personne ne « sait » que c'est vous : votre couple adresse + mot de passe est une ligne parmi des millions, exploitée automatiquement. C'est justement pour ça que le geste utile est mécanique, lui aussi.

Étape 1 — Le vrai risque n'est pas le site qui a fuité

Changer le mot de passe sur le site concerné, c'est le réflexe évident, et il faut le faire. Mais le danger principal est ailleurs : partout où ce même mot de passe sert encore. Les listes volées sont rejouées automatiquement sur des centaines de services — boîtes mail, sites marchands, banques en ligne, réseaux sociaux. Un seul mot de passe réutilisé suffit à transformer une fuite anodine en série de comptes ouverts.

Faites donc la liste, honnêtement : ce mot de passe, ou un cousin très proche, sert-il ailleurs ? Attention, une variante ne compte pas comme un nouveau mot de passe : le même mot avec un chiffre au bout, une majuscule en plus ou un point d'exclamation final se devine en quelques essais.

Si la liste vous décourage, ne cherchez pas l'exhaustivité tout de suite. Commencez par les deux comptes qui commandent tous les autres : votre boîte mail et votre banque. Le reste peut attendre le week-end.

Étape 2 — Par quoi le remplacer

Un bon mot de passe n'est pas un mot de passe compliqué, c'est un mot de passe long et unique. Quatre mots sans rapport entre eux collés ensemble valent mieux qu'un mot court hérissé de symboles : c'est plus difficile à casser et infiniment plus facile à retenir.

1. Unique par compte important — c'est la seule règle qui empêche une fuite de contaminer le reste.
2. Long — visez une phrase courte plutôt qu'un mot, la longueur compte davantage que les caractères exotiques.
3. Sans rapport avec vous — prénom des enfants, année de naissance, nom de l'animal : tout cela figure souvent dans les mêmes fuites que votre adresse.

Retenir un mot de passe différent par site est impossible de tête, et c'est normal : c'est exactement le problème que résout un gestionnaire de mots de passe.

Étape 3 — Mettez une seconde serrure là où ça compte

Changer un mot de passe répare le passé. La double authentification protège l'avenir : même si un mot de passe fuite à nouveau, il ne suffit plus à entrer. Cinq minutes dans les réglages de votre boîte mail, et la prochaine alerte de ce genre devient un simple entretien de routine.

Le cas particulier : un mot de passe volé sur votre appareil

Certaines fuites ne viennent pas d'un site mais d'ordinateurs infectés : un logiciel malveillant récupère les mots de passe enregistrés dans le navigateur, et le tout se retrouve dans des listes géantes. Ces listes portent des noms qui ne parlent à personne — vous les croiserez dans notre registre sous des intitulés comme Synthient Stealer Log Threat Data ou June 2026 Stealer Logs.

Si votre adresse apparaît dans ce type de source, l'ordre des gestes change :

1. Nettoyez d'abord l'appareil (analyse antivirus complète, mises à jour). Changer un mot de passe sur une machine encore infectée revient à donner le nouveau au voleur.
2. Puis changez les mots de passe des comptes sensibles, en commençant par la boîte mail.
3. Déconnectez les sessions actives depuis les réglages de sécurité de vos comptes principaux : un mot de passe changé n'expulse pas toujours celui qui est déjà connecté.

Précision utile : ces listes sont des agrégats. Elles ne disent pas quel mot de passe a été pris, ni sur quel site — d'où la règle simple de traiter les comptes importants plutôt que de chercher le coupable.

Trois erreurs qui coûtent cher

1. Recycler le mot de passe compromis ailleurs « en attendant » : c'est le scénario exact que les attaquants exploitent.
2. Répondre à un mail de chantage qui affiche votre mot de passe. L'expéditeur l'a lu dans une fuite, il n'a rien piraté chez vous — répondre confirme seulement que l'adresse est vivante.
3. Changer trente mots de passe en dix minutes, puis les noter tous sur le même bout de papier posé sous le clavier. Deux comptes bien tenus valent mieux que trente mal repris.

À lire ensuite

• Mon adresse email est dans une fuite : que faire ? Les gestes dans l'ordre, au-delà du mot de passe
• Gestionnaire de mots de passe : à quoi ça sert vraiment La seule façon tenable d'avoir un mot de passe par compte
• Le registre des fuites Ce qui a fuité, chez qui, et ce que ça expose