Fuite de données personnelles : que faire ? Le guide complet

Vous venez d'apprendre qu'un service que vous utilisez a subi une fuite de données, ou vous vous demandez si c'est déjà arrivé à votre insu. Cette page rassemble ce que dit la CNIL sur le sujet, dans l'ordre où les questions se posent : de quoi parle-t-on, que faire tout de suite, comment protéger ses mots de passe, comment réagir aux messages frauduleux, que faire en cas d'usurpation d'identité, et vers qui se tourner.

Nous nous appuyons uniquement sur des pages de la CNIL. Quand ces pages ne précisent pas un point, nous le disons plutôt que de le deviner. Ce guide ne vous dira pas si vous êtes concerné ou non par une fuite : un article ne peut pas le savoir à votre place.

Que faire en premier après une fuite de données

Voici l'ordre de priorité qui ressort des pages de la CNIL. Chaque point est détaillé plus bas.

1. Vérifiez si l'organisme vous a écrit. Si une violation vous concerne et vous expose potentiellement à des risques, il doit vous en informer dans les meilleurs délais.
2. Changez vos mots de passe sans attendre ce message. Commencez par les services les plus importants : courriel, impôts, banques, sites de commerce en ligne.
3. N'utilisez pas le même mot de passe d'un service à l'autre. Un gestionnaire de mots de passe aide à en retenir de tous différents.
4. Activez l'authentification multifacteur quand un service de confiance la propose.
5. Méfiez-vous des courriels et SMS qui paraissent réalistes. N'ouvrez pas les pièces jointes, ne cliquez pas sur les liens de connexion, supprimez le message.
6. Surveillez vos relevés bancaires. Si vous pensez être victime d'une usurpation d'identité, prévenez vos banques et déposez plainte au plus vite.
7. Prévenez votre entourage s'il peut être touché, en particulier les personnes vulnérables.

Ces gestes ne dépendent pas d'une certitude. Vous pouvez les faire même si vous ne savez pas encore si vos données ont circulé.

Qu'est-ce qu'une violation de données personnelles ?

Dans le langage courant, on parle de fuite, de piratage ou de vol de données. La CNIL emploie le terme plus large de violation de données. Il recouvre les fuites, vols ou pertes de données, que l'origine soit accidentelle ou malveillante.

La définition de la CNIL

Une violation de la sécurité se caractérise par :

• la destruction de données à caractère personnel ;
• leur perte ;
• leur altération ;
• leur divulgation non autorisée ;
• ou l'accès non autorisé à ces données, de manière accidentelle ou illicite.

Il s'agit de tout incident de sécurité, d'origine malveillante ou non, intentionnel ou non, qui compromet l'intégrité, la confidentialité ou la disponibilité de données personnelles.

Des exemples concrets

La CNIL donne trois exemples :

• la suppression accidentelle de données médicales conservées par un établissement de santé, sans sauvegarde ailleurs ;
• la perte d'une clef USB non sécurisée contenant une copie de la base clients d'une société ;
• l'introduction malveillante dans une base de données scolaires, avec modification des résultats obtenus par les élèves.

Dans le premier cas, rien n'a été volé : les données ont disparu. Dans le deuxième, un support a été perdu. Dans le troisième, des données ont été modifiées. Les trois sont des violations de données.

Ce qui peut arriver ensuite aux données

Selon la CNIL, les données concernées peuvent, dans certains cas, être revendues sur Internet. Des listes d'identifiants issues de violations sont aussi disponibles sur le web caché (dark web), comme le rappelle la page sur le credential stuffing. Les pages consultées ne disent pas dans quelle proportion des cas cela se produit.

Qui encadre les violations ?

Les obligations des responsables du traitement, c'est-à-dire des organismes qui détiennent les données, sont prévues dans le RGPD. Cela inclut la notification de la violation à la CNIL et aux personnes concernées. Les pages consultées ne détaillent ni les articles ni les délais correspondants : nous ne les citons pas.

Comment savoir si une fuite vous concerne ?

C'est souvent la première question, et la réponse est moins simple qu'on le voudrait.

L'organisme doit vous prévenir

Si une violation vous concerne et qu'elle vous expose potentiellement à des risques, l'organisme responsable doit vous en informer dans les meilleurs délais. La CNIL appelle le message correspondant le « message d'information obligatoire ». Les pages consultées ne précisent pas comment l'organisme apprécie le seuil de risque.

La presse et les autorités signalent les plus importantes

Les fuites les plus importantes sont régulièrement signalées par la presse, par la CNIL ou par d'autres autorités comme cybermalveillance.gouv.fr. Ces signalements indiquent qu'un incident a eu lieu, sans dire si vos propres données y figurent.

La CNIL ne peut pas confirmer votre cas

La CNIL est claire : elle n'est pas en mesure de vous informer ou de confirmer la présence de vos données dans le fichier ayant fait l'objet d'une violation. Vous pouvez en revanche interroger l'organisme concerné sur ce point. La page consultée ne décrit ni formulaire ni procédure pour cette demande.

Les sites qui prétendent vous le dire

La CNIL signale que certains sites web indiquent détenir les données et pouvoir vous dire si vous êtes ou non concerné(e). Elle déconseille de les utiliser. La page ne détaille pas ses raisons.

Ce que fait, et ne fait pas, l'analyse gratuite de Remove Me

Pour être transparents sur notre propre outil : l'analyse gratuite ne demande aucun compte. Vous saisissez vos informations, et le service cherche dans trois endroits : des résultats web visibles publiquement, les fuites de données publiques connues (via Have I Been Pwned) et un registre de courtiers en données. Il affiche ensuite un bilan, que vous débloquez avec un code à 6 chiffres envoyé par e-mail.

Ce que l'analyse ne fait pas compte autant. Elle ne cherche que dans les fuites publiques connues. Elle ne peut donc pas confirmer qu'une violation précise vous concerne ou ne vous concerne pas. Un bilan vide ne prouve pas que rien ne circule. Et Remove Me n'envoie pas encore de demande d'effacement en votre nom.

Les premières mesures à prendre

Les pages de la CNIL ne proposent pas de méthode pour dresser la liste exacte de vos données exposées. Elles décrivent en revanche des réflexes selon le type de risque : mot de passe, message frauduleux, données bancaires, usurpation d'identité.

• Sécuriser vos accès. Changez vos mots de passe, ne les réutilisez pas, activez l'authentification multifacteur. Le détail suit dans la section suivante.
• Rester attentif aux messages. Les données issues d'une fuite peuvent rendre un message frauduleux plus réaliste. Ne rien ouvrir, ne rien cliquer, passer par l'adresse officielle du service.
• Surveiller vos comptes bancaires. La CNIL conseille de vérifier scrupuleusement vos relevés pour repérer tout prélèvement anormal. Si vos données bancaires sont concernées, informez-en immédiatement votre banque.
• Agir si une usurpation semble en cours. Plainte, banques, consultation de fichiers : une section dédiée y revient plus bas.

Mots de passe : changer, ne pas réutiliser, mieux les gérer

Des mots de passe peuvent être présents dans une fuite de données. Si vous êtes concerné(e), l'organisme devra vous en informer. Mais la CNIL conseille de ne pas attendre cette information.

Changer vos mots de passe, dans le bon ordre

La CNIL recommande de changer les mots de passe des services web que vous utilisez :

• en privilégiant des mots de passe forts ;
• en priorisant les services les plus importants : courriel, impôts, banques, sites de commerce en ligne, etc.

La CNIL renvoie, pour la boîte mail, à ses conseils dédiés, que nous n'avons pas à disposition ici.

Ne pas utiliser le même mot de passe partout

Évitez d'utiliser un même mot de passe pour différents services. La CNIL le formule ainsi : un compte, un mot de passe. Chacun de vos comptes en ligne qui présente un caractère sensible (banque, messagerie, réseau social, etc.) doit être verrouillé avec un mot de passe propre et unique, pour éviter les « piratages en cascade ».

Credential stuffing : pourquoi la réutilisation est risquée

Le credential stuffing, ou « bourrage d'identifiants », consiste à réaliser, avec des logiciels ou à la main, des tentatives de connexion massives sur des sites et services web. Ces tentatives s'appuient sur des couples identifiant et mot de passe, généralement une adresse électronique et un mot de passe.

La CNIL l'explique par trois facteurs :

• l'identifiant d'un utilisateur est souvent son adresse électronique, notamment sur le web ;
• les utilisateurs se servent souvent des mêmes couples identifiant et mot de passe sur plusieurs sites, sans renouveler leur mot de passe ;
• des listes contenant des centaines de millions de ces couples sont disponibles sur le web caché, à la suite de violations de données.

Cette attaque ne permet pas forcément et facilement de cibler un compte en particulier. Elle permet en revanche de trouver des couples valides : un faible pourcentage de plusieurs centaines de millions de comptes représente tout de même un volume important de données compromises. Elle permet aussi de déjouer les mesures de sécurité les plus simples, car les attaquants utilisent généralement des réseaux de machines (botnets) pour ne pas être détectés, et peuvent résoudre les CAPTCHA les plus simples.

La CNIL rapproche cette attaque de celle dite « par force brute », dont le taux de réussite est limité aujourd'hui.

Hachage : comment les sites stockent (ou devraient stocker) les mots de passe

Ce point concerne les sites, pas vous. Il aide pourtant à comprendre pourquoi une fuite de mots de passe peut avoir des conséquences variables.

La CNIL explique qu'une fonction de hachage permet de ne pas stocker les mots de passe en clair dans la base, mais seulement une empreinte de ces derniers. Il est important d'utiliser pour cela un algorithme public réputé fort.

Elle donne un exemple : MD5 ne fait plus partie des algorithmes réputés forts. Les fonctions de hachage publiques réputées fortes étant par nature à la disposition de tous, il est techniquement possible pour tout un chacun de calculer des empreintes. On trouve ainsi facilement sur Internet des dictionnaires immenses d'empreintes MD5 précalculées, qui permettent de retrouver instantanément le mot de passe ayant servi à générer une empreinte.

Pour limiter ce risque, la CNIL conseille des fonctions spécialisées, appelées « fonctions de dérivation de clé », comme scrypt ou Argon2, conçues spécifiquement pour stocker des mots de passe.

Les pages consultées n'indiquent pas comment un utilisateur peut savoir de quelle façon un site stocke ses mots de passe. Elles ne disent pas non plus qu'un mot de passe haché serait sans danger. Le réflexe reste donc de changer ses mots de passe.

À quoi ressemble un bon mot de passe

La CNIL donne ces repères :

• un bon mot de passe peut contenir, par exemple, au moins 12 caractères et 4 types différents : minuscules, majuscules, chiffres et caractères spéciaux ;
• il peut être plus court si le compte est équipé de sécurités complémentaires ;
• il ne dit rien sur vous : personne ne doit pouvoir le deviner à partir du nom de votre chien ou de votre film préféré. Pour le code du smartphone, la CNIL préfère un nombre aléatoire à une année ;
• il est propre à chaque compte sensible.

Une autre page de la CNIL ajoute de ne pas utiliser sa date de naissance ou son surnom, de ne partager ses mots de passe avec personne et, si l'ordinateur est partagé, de ne jamais les enregistrer dans le navigateur.

Où ne pas conserver ses mots de passe

Les post-it, les fichiers texte, votre smartphone ou votre boîte de messagerie ne sont pas conçus pour sécuriser le stockage de vos mots de passe, indique la CNIL.

Comment les retenir

Deux approches sont proposées :

• Une phrase. Mémorisez une phrase, puis utilisez la première lettre de chaque mot pour créer votre mot de passe. La phrase doit contenir des chiffres et des caractères spéciaux. La CNIL met aussi à disposition un générateur de mots de passe.
• Un gestionnaire de mots de passe ou un trousseau d'accès chiffré. Il constitue une base de données de mots de passe chiffrée par un unique mot de passe « maître », dont la sécurité a pu être vérifiée. Vous ne retenez qu'un seul mot de passe, et les autres peuvent être longs, complexes et tous différents.

Parmi les logiciels libres régulièrement mis à jour, la CNIL cite Keepass (dont la sécurité a été évaluée par l'ANSSI), Zenyway et Passwordsafe. Elle précise qu'il existe de nombreuses solutions sur le marché.

L'authentification multifacteur

Utilisez l'authentification multifacteur quand elle vous est proposée par des services de confiance. La CNIL donne l'exemple de l'envoi d'un SMS à usage unique sur votre téléphone pour valider une connexion. Elle ajoute que, si quelqu'un se connecte à votre compte depuis un terminal inconnu, le site vous prévient par SMS ou e-mail, et que vous êtes libre d'autoriser ou de refuser l'accès.

Phishing après une fuite : reconnaître et traiter les faux messages

Le hameçonnage (phishing) est l'un des risques que la CNIL associe directement aux fuites de données.

Pourquoi un message frauduleux peut sembler vrai

L'hameçonnage consiste à vous envoyer un courriel ou un SMS frauduleux. Après une fuite, il vous paraîtra réaliste du fait de l'utilisation des données récupérées. La CNIL cite comme exemples un soi-disant courriel de la Sécurité sociale, de votre banque ou d'un service de livraison de colis.

Une autre page de la CNIL observe que les messages malveillants sont généralement envoyés à un grand nombre de cibles et sont peu ou pas personnalisés.

Que faire d'un message suspect

La consigne de la CNIL tient en quelques verbes :

• n'ouvrez surtout pas les pièces jointes ;
• ne répondez pas ;
• ne cliquez pas sur les liens de connexion ;
• supprimez le message immédiatement, puis videz la corbeille.

D'une manière générale, saisissez vous-même l'adresse du site officiel du service dans votre navigateur pour vous connecter à votre compte, plutôt que de passer par un lien reçu.

Si c'est votre messagerie professionnelle qui est concernée, la CNIL conseille de transférer le message au service informatique et au responsable de la sécurité des systèmes d'information de votre entreprise, pour vérification, et d'attendre leur réponse avant de supprimer le courrier.

Les signes qui doivent alerter

La CNIL propose une liste de points à vérifier.

• Le sujet ne vous parle pas. Un dossier, une facture ou un thème qui ne vous évoque rien : il s'agit certainement d'un courriel malveillant.
• L'expéditeur est inconnu. Soyez particulièrement vigilant avec une adresse que vous ne connaissez pas ou qui ne fait pas partie de vos contacts.
• La langue est approximative. Même si cela s'avère de moins en moins vrai, des fautes de frappe, d'orthographe ou des expressions inappropriées signalent que le message n'est pas l'œuvre d'un organisme crédible.
• Les liens sont incohérents. Avant de cliquer, laissez la souris sur le lien : l'adresse complète apparaît. La CNIL donne des exemples de noms de domaine à ne pas croire, comme impots.gouvv.fr ou impots.gouvfr.biz, ou infocaf.org au lieu de www.caf.fr. Cette manipulation est parfois difficile, voire impossible, depuis un smartphone.
• La demande est étrange. Aucun organisme n'a le droit de vous demander votre code de carte bancaire, vos codes d'accès et mots de passe. Ne transmettez rien de confidentiel, même à une personne qui annonce faire partie de votre entourage.
• L'adresse d'expédition n'est pas un critère fiable. Une adresse d'ami, d'entreprise ou de collaborateur peut facilement être usurpée. Si un message semble venir d'un ami, par exemple pour récupérer l'accès à son compte, contactez-le sur un autre canal.

Signaler et se faire aider

La CNIL oriente vers plusieurs interlocuteurs :

• signal-spam.fr si l'escroquerie vous est parvenue par un spam (pourriel) ;
• internet-signalement.gouv.fr pour signaler les escroqueries ;
• Info Escroqueries au 0 805 805 817 (numéro vert, appel gratuit depuis la France), du lundi au vendredi de 9 h à 18 h 30, pour s'informer ou signaler un site, un courriel d'escroquerie, un vol de coordonnées bancaires ou une tentative d'hameçonnage ;
• cybermalveillance.gouv.fr, plateforme nationale d'assistance aux victimes d'actes de cybermalveillance, avec des conseils, des vidéos et des services de proximité en cas de dommages causés par une attaque informatique.

Se prémunir au quotidien

La CNIL liste aussi des mesures de prévention : utiliser un filtre anti-pourriel ou activer l'avertissement contre les sites dangereux présent sur la plupart des navigateurs, installer un antivirus et le mettre à jour, désactiver le volet de prévisualisation des messages, lire ses messages en mode texte brut.

Usurpation d'identité : comprendre et réagir

La CNIL présente l'usurpation d'identité comme un risque possible après la divulgation d'informations. Les pages consultées ne disent pas à quelle fréquence cela arrive.

Ce que recouvre l'usurpation d'identité en ligne

L'usurpation d'identité consiste à utiliser, sans votre accord, des informations permettant de vous identifier : vos nom et prénom, votre adresse électronique, des photographies, etc. Ces informations peuvent être utilisées à votre insu, notamment pour souscrire sous votre identité un crédit ou un abonnement, pour commettre des actes répréhensibles ou pour nuire à votre réputation.

Deux grandes façons de faire

La CNIL distingue deux cas sur Internet.

1. Nuire à la réputation. L'usurpateur crée un faux profil ou un blog, ou rédige des commentaires sous l'identité de sa victime.
2. Récupérer des informations. L'usurpateur envoie à sa victime un message en se faisant passer pour un organisme public ou privé connu, et récupère des informations personnelles via un faux site ou un faux courriel. Ces informations servent ensuite, par exemple, à accéder à des comptes sécurisés et à y faire des opérations sous l'identité de la victime.

Les informations obtenues frauduleusement peuvent aussi servir à pirater des comptes de messagerie ou des comptes Facebook de particuliers, qui deviennent un support pour propager d'autres arnaques. L'usurpateur peut enfin se faire passer pour un particulier, par exemple un propriétaire dans une location immobilière, et récupérer ainsi une copie de carte d'identité ou des données bancaires.

Si vous pensez être victime à la suite d'une fuite

Voici les démarches citées par la CNIL dans sa page sur les fuites :

• vous rendre sur cybermalveillance.gouv.fr pour obtenir des conseils pour vous prémunir de l'usurpation ;
• déposer plainte au plus vite auprès d'un commissariat de police ou de gendarmerie ;
• prévenir votre ou vos banques.

Si l'usurpation est confirmée

La CNIL précise que l'usurpation est confirmée, notamment, si des banques vous adressent des courriers concernant des opérations qui vous sont inconnues. Dans ce cas, vous pourrez :

• vérifier si vous êtes fiché auprès de la Banque de France, notamment dans le fichier des incidents de remboursement des crédits aux particuliers ;
• vérifier si des comptes ont été ouverts à votre nom à votre insu, en envoyant une demande de consultation du fichier des comptes bancaires (FICOBA) sur le site www.impots.gouv.fr, depuis « votre espace particulier », rubrique « Autres services ».

D'abord, s'assurer qu'il ne s'agit pas d'un homonyme

La CNIL commence par une vérification : assurez-vous que le compte ou l'information n'appartient pas à un homonyme. Si c'est le cas, il ne s'agit en aucun cas d'une usurpation d'identité.

Vérifier si vos photos sont réutilisées

Les photos que vous avez publiées peuvent avoir été utilisées. La CNIL suggère de passer par un moteur de recherche inversé (comme TinEye ou Google Images) : vous chargez l'image ou vous indiquez son adresse, et le moteur identifie les sites qui réutilisent publiquement votre image. Si besoin, conservez une capture de cette démarche.

Constituer un dossier

Si l'usurpation vous semble avérée, la CNIL conseille de constituer un dossier avec les éléments qui montrent qu'il s'agit bien de vos propres informations et non de celles d'un homonyme :

• les adresses URL des pages ou profils concernés ;
• des captures d'écran du faux profil et de ses publications ;
• les justificatifs qui vous semblent pertinents.

Demander au site d'intervenir

En tant que victime, vous pouvez demander à cesser la diffusion de vos informations personnelles en ligne, en vous adressant directement au responsable du site pour exiger leur suppression. La CNIL renvoie vers les formulaires de plusieurs services : Facebook (signaler le compte d'un imposteur), Twitter (signaler les comptes usurpant une identité), Snapchat (Report Impersonation) et Google (page d'information du compte).

Vous devrez nécessairement fournir la preuve que votre identité a été usurpée, et ces services pourraient vous demander des documents complémentaires. Les documents transmis ne peuvent être utilisés que pour cette finalité précise.

La CNIL indique les justificatifs à fournir selon l'information usurpée :

Cette page de la CNIL date de 2011 : les services et formulaires cités peuvent avoir évolué, ce qu'elle ne précise pas.

Porter plainte

L'usurpation d'identité est une infraction pénale. Les victimes qui souhaitent connaître l'identité de l'usurpateur, et éventuellement le voir sanctionner, doivent déposer une plainte pénale. Elles peuvent s'adresser au commissariat de police ou à la brigade de gendarmerie de leur domicile, ou au procureur de la République.

Il est possible de déposer une pré-plainte en ligne. Pour qu'elle soit enregistrée comme une plainte, vous devrez signer cette déclaration auprès d'une unité de gendarmerie ou d'un service de police de votre choix.

L'article 226-4-1 du Code pénal réprime le délit d'usurpation d'identité d'un an de prison et de 15 000 euros d'amende. Il vise le fait d'usurper l'identité d'un tiers, ou de faire usage d'une ou plusieurs données de toute nature permettant de l'identifier, en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur ou à sa considération.

Si vos données bancaires sont concernées

Informez-en immédiatement votre banque ainsi que les administrations concernées. Restez vigilant quant aux paiements et prélèvements effectués sur vos comptes et aux messages reçus d'organismes avec lesquels vous n'êtes pas habituellement en relation. Demandez enfin une consultation du FICOBA.

Se prémunir en amont

La CNIL recommande d'être vigilant lorsque vous saisissez des données sur le web ou lorsque des courriels vous demandent de fournir ou de mettre à jour des informations vous concernant. Ne répondez pas aux courriels qui vous paraissent suspects et détruisez-les immédiatement. Ne cliquez jamais sur les liens de messages dont vous n'êtes pas certain de la provenance. Pour saisir des informations confidentielles, vérifiez que l'adresse du site commence par « https » et qu'elle est précédée d'un cadenas. Il est aussi conseillé d'effacer régulièrement ses cookies et son historique de navigation.

Vos recours : vers qui se tourner

Les pages consultées ne proposent pas de chapitre unique sur les recours. Voici ce qu'elles permettent de rassembler, selon la situation.

Indemnisation

La page sur les fuites renvoie vers un autre contenu de la CNIL intitulé « Violations de données personnelles : dans quels cas peut-on être indemnisé ? ». Nous ne l'avons pas à notre disposition : nous ne pouvons rien dire sur les conditions d'une indemnisation ni sur les démarches possibles.

Saisir la CNIL

Les pages consultées ne décrivent pas de procédure de plainte ou de signalement auprès de la CNIL pour un particulier. Nous n'en décrivons donc pas non plus.

Demander la suppression d'informations

La seule démarche décrite dans les pages est celle de l'usurpation d'identité en ligne : s'adresser au responsable du site, avec la preuve de l'usurpation. Remove Me n'envoie pas encore de demandes d'effacement en votre nom. Notre analyse gratuite sert à voir ce qui est visible ; les démarches restent à votre main.

Protéger les autres : prévenir votre entourage

La CNIL parle de bonne pratique : partager l'information, c'est protéger les autres.

Si vous pensez qu'une violation peut concerner une personne de votre entourage (famille, amis, collègues), n'hésitez pas à :

• lui demander si elle a reçu le message d'information obligatoire de l'organisme responsable ;
• lui transmettre les points de vigilance de la CNIL ou d'autres autorités officielles ;
• lui indiquer les bons réflexes à avoir dans l'immédiat et au quotidien, par exemple changer ses mots de passe et utiliser une authentification multifacteur lorsque c'est proposé.

Les personnes à qui porter une attention particulière

La CNIL demande d'être vigilant avec les personnes vulnérables, en particulier :

• celles qui n'ont pas un accès quotidien ou aisé à Internet ;
• les personnes âgées ;
• celles qui courent un risque personnel du fait de la fuite, par exemple en cas de divulgation de l'orientation sexuelle, de l'opinion politique ou religieuse, d'un état de santé, etc.

La page ne détaille pas de mesures spécifiques pour ces situations, au-delà des conseils généraux ci-dessus.

Ce que les pages de la CNIL ne précisent pas

Par honnêteté, voici ce que les sources de ce guide ne disent pas.

• Les délais. Le seul délai évoqué pour l'information des personnes est « dans les meilleurs délais ».
• Le seuil de risque. La page ne précise pas comment l'organisme décide qu'une violation vous expose potentiellement à des risques.
• La démarche auprès de l'organisme. Aucun modèle de courrier ni formulaire n'est proposé.
• L'indemnisation. Un renvoi existe, mais son contenu n'est pas dans nos sources.
• La façon dont un site stocke vos mots de passe. La page sur le hachage décrit les bonnes pratiques pour les sites, pas un moyen de les vérifier.
• La fréquence des conséquences. Rien n'indique combien de fuites mènent à du hameçonnage ou à une usurpation d'identité.
• L'actualité des formulaires. La page sur l'usurpation d'identité date de 2011 et celle sur les mots de passe de 2017. Les services cités ont pu évoluer.

En résumé : un plan d'action simple

La CNIL propose une suite de gestes qui tiennent en peu de lignes :

1. Regardez si l'organisme concerné vous a informé, et interrogez-le si vous avez un doute.
2. Changez vos mots de passe, en commençant par la messagerie, les impôts, les banques et le commerce en ligne.
3. Utilisez un mot de passe différent pour chaque compte sensible, avec un gestionnaire de mots de passe si besoin.
4. Activez l'authentification multifacteur quand elle est proposée par un service de confiance.
5. Ne cliquez pas sur les messages qui paraissent réalistes. Saisissez vous-même l'adresse du site officiel.
6. Vérifiez vos relevés bancaires et, en cas de doute sur une usurpation d'identité, prévenez vos banques et déposez plainte.
7. Prévenez vos proches, en particulier les plus vulnérables.

Voir ce qui est visible sur vous

Si vous voulez savoir ce que le web montre de vous, notre analyse est gratuite et ne demande pas de compte. Elle cherche dans les résultats web publics, dans les fuites de données publiques connues et dans un registre de courtiers en données, puis vous présente un bilan, débloqué par un code à 6 chiffres reçu par e-mail.

Elle ne remplace ni la réponse de l'organisme touché par une violation, ni les démarches décrites plus haut. Elle ne voit que ce qui est public ou connu : un bilan vide ne prouve donc pas que rien ne circule. Elle peut toutefois vous donner un point de départ clair pour décider de la suite.

Si vous le souhaitez, vous pouvez lancer votre analyse gratuite.

La rédaction : l'équipe Remove Me.