Changer son mot de passe après une fuite de données : les étapes

Vous venez d'apprendre qu'un service que vous utilisez a subi une fuite de données, ou vous craignez que ce soit le cas. La première chose à faire est simple : renouveler vos mots de passe, en commençant par les comptes les plus importants. Cet article vous montre dans quel ordre procéder, en restant collé aux recommandations de la CNIL.

Pourquoi changer ses mots de passe après une fuite

Une violation de données recouvre les fuites, les vols ou les pertes de données, qu'ils soient accidentels ou malveillants. La CNIL précise que ces données peuvent ensuite, dans certains cas, être revendues sur Internet. Des mots de passe peuvent en faire partie.

Si votre mot de passe a circulé, quelqu'un d'autre le connaît peut-être. Le changer limite ce risque. Le geste a du sens même si vous ne savez pas avec certitude si vous êtes concerné.

Il y a un second risque, que la CNIL appelle les « piratages en cascade ». Si le même mot de passe ouvre plusieurs comptes, un seul piratage peut en exposer d'autres. C'est pour cela que le renouvellement ne se limite pas au service touché.

Faut-il attendre d'être prévenu ?

Non. Si une violation vous concerne et qu'elle vous expose potentiellement à des risques, l'organisme responsable doit vous en informer dans les meilleurs délais. Mais la CNIL est claire : vous pouvez agir sans attendre ce message.

Par ailleurs, la CNIL n'est pas en mesure de vous confirmer si vos données figurent dans un fichier piraté. Vous pouvez interroger directement l'organisme concerné. Elle déconseille aussi de recourir aux sites qui affirment détenir les données et pouvoir vous dire si vous êtes touché.

Les étapes à suivre, dans l'ordre

1. Commencez par les services qui comptent le plus

Vous n'avez pas à tout changer en une soirée. La CNIL recommande de prioriser les services les plus importants :

• votre messagerie ;
• les impôts ;
• les banques ;
• les sites de commerce en ligne.

La CNIL propose d'ailleurs des conseils dédiés à la sécurisation de la boîte mail.

2. Un compte, un mot de passe

Chaque compte sensible (banque, messagerie, réseau social, etc.) doit être verrouillé avec un mot de passe propre et unique. Si vous avez longtemps utilisé le même mot de passe à plusieurs endroits, c'est le moment de le remplacer partout où il servait. La CNIL conseille d'éviter l'usage d'un même mot de passe pour différents services.

3. Choisissez un mot de passe fort

Selon la CNIL, un bon mot de passe peut contenir, par exemple, au moins 12 caractères et 4 types différents : des minuscules, des majuscules, des chiffres et des caractères spéciaux. Il peut être plus court si le compte est équipé de sécurités complémentaires.

Un bon mot de passe ne dit rien sur vous. Personne ne doit pouvoir le deviner à partir du nom de votre chien ou de votre film préféré. La CNIL donne le même conseil pour le code de votre smartphone : préférez un nombre aléatoire à une année.

4. Fabriquez-le sans le deviner

Deux méthodes sont proposées par la CNIL pour les mots de passe que vous devez retenir :

• La phrase. Mémorisez une phrase, puis gardez la première lettre de chaque mot. La phrase doit contenir des chiffres et des caractères spéciaux.
• Le générateur. La CNIL met à disposition un générateur qui permet de concevoir un mot de passe en quelques secondes.

Si vous voulez voir ce qui est visible à votre sujet, notre analyse gratuite, sans compte, cherche des résultats visibles publiquement sur le web, dans les fuites de données publiques connues (via Have I Been Pwned) et dans un registre de courtiers en données. Elle affiche ensuite un bilan, que vous débloquez avec un code à 6 chiffres reçu par e-mail. Elle ne voit que ce qui est public et connu : un bilan vide ne prouve pas que rien n'existe ailleurs.

5. Rangez-les au bon endroit

La CNIL est nette sur ce point : les post-it, les fichiers texte, votre smartphone ou votre boîte de messagerie ne sont pas conçus pour stocker des mots de passe. Il ne faut pas non plus les enregistrer dans le navigateur d'un ordinateur partagé.

L'alternative recommandée est un gestionnaire de mots de passe, ou un trousseau d'accès chiffré. Il constitue une base de données chiffrée par un unique mot de passe « maître » dont la sécurité a pu être vérifiée. Vous n'avez alors qu'un seul mot de passe à retenir. Les autres peuvent être très longs, très complexes et tous différents, puisque c'est l'outil qui s'en souvient à votre place.

La CNIL cite, parmi les logiciels libres régulièrement mis à jour, Keepass (dont la sécurité a été évaluée par l'ANSSI), Zenyway et Passwordsafe.

6. Activez la double authentification

Quand le service vous le propose, activez la double authentification. La CNIL parle d'un second cadenas : si quelqu'un se connecte à votre compte depuis un terminal inconnu, le site vous prévient par SMS ou par e-mail, et vous pouvez autoriser ou refuser l'accès. Elle recommande d'utiliser ces authentifications multifacteurs quand elles sont proposées par des services de confiance, par exemple l'envoi d'un SMS à usage unique pour valider une connexion.

Restez prudent face aux messages reçus

Une fuite de données peut servir à écrire des messages très réalistes. La CNIL décrit le hameçonnage (phishing) : un courriel ou un SMS frauduleux, qui paraît crédible parce qu'il utilise des données issues de la fuite. Ce peut être un faux message de la sécurité sociale, de votre banque ou d'un service de livraison.

Les gestes conseillés :

• n'ouvrez pas les pièces jointes ;
• ne répondez pas ;
• ne cliquez pas sur les liens de connexion ;
• supprimez le message ;
• pour vous connecter à un compte, tapez vous-même l'adresse du site officiel dans votre navigateur.

Ce réflexe vaut aussi pour vos nouveaux mots de passe : ne les saisissez pas depuis un lien reçu dans un message.

Si vous pensez que votre identité est utilisée

Si vous pensez être victime d'une usurpation d'identité à la suite d'une divulgation de vos informations, la CNIL indique que vous pouvez :

• consulter le site cybermalveillance.gouv.fr pour obtenir des conseils ;
• déposer plainte au plus vite auprès d'un commissariat de police ou d'une gendarmerie ;
• prévenir votre ou vos banques.

Changer un mot de passe ne règle pas à lui seul ce type de situation. Ces démarches sont à mener en parallèle.

Pensez à vos proches

Une fuite peut toucher quelqu'un de votre entourage sans qu'il le sache. La CNIL suggère de lui demander s'il a reçu le message d'information de l'organisme responsable, et de lui transmettre les bons réflexes : changer ses mots de passe, utiliser une authentification multifacteur quand elle est proposée. Soyez particulièrement attentif aux personnes âgées, à celles qui n'ont pas un accès facile à Internet et à celles pour qui la divulgation de certaines informations représente un risque personnel.

Ce que ce renouvellement ne fait pas

Changer vos mots de passe protège vos comptes. Il ne retire pas vos données du fichier qui a fuité. Remove Me n'envoie pas encore de demandes d'effacement en votre nom, et nous ne prétendons pas le contraire. Ce que nous pouvons faire aujourd'hui, c'est vous montrer, gratuitement, ce qui est visible et connu publiquement, pour que vous décidiez de la suite en connaissance de cause.

Une fois vos mots de passe renouvelés, rangés dans un gestionnaire et doublés d'une authentification quand c'est possible, vous avez appliqué l'essentiel de ce que recommande la CNIL.

L'équipe Remove Me