Fuites de données : comment savoir si vos emails sont compromis

Vous entendez régulièrement parler de "mega-fuites" dans les médias : LinkedIn 700 millions de comptes, Facebook 530 millions, Yahoo 3 milliards… La question n'est pas de savoir si vos emails pros sont apparus dans l'une de ces fuites, mais lesquelles. Voici comment le vérifier concrètement, et surtout quoi faire une fois que vous savez.

À quoi ressemble réellement une fuite de données

Quand un service en ligne est piraté, les attaquants volent la base de données des utilisateurs. Elle contient typiquement :

• Les adresses email
• Les mots de passe (souvent hashés, mais souvent cassés par force brute quelques mois après)
• Parfois les téléphones, adresses postales, dates de naissance, noms
• Dans les pires cas (sites de santé, bancaires) : données personnelles sensibles

Cette base est ensuite vendue sur des forums frauduleux, puis au bout de quelques mois publiée gratuitement. Les cybercriminels s'en servent pour :

• Essayer ces mots de passe sur d'autres sites (si vous aviez le même mot de passe Netflix et M365, vous êtes compromis)
• Lancer des campagnes de phishing ciblées à partir de vos infos
• Vendre vos coordonnées pour du spam ou des arnaques téléphoniques

L'outil de référence : Have I Been Pwned

Il existe un service gratuit, créé par un chercheur en sécurité australien reconnu (Troy Hunt), qui agrège toutes les fuites publiques connues :

haveibeenpwned.com

Comment l'utiliser

1. Allez sur le site
2. Entrez votre adresse email
3. Instantanément, vous voyez la liste des fuites où votre email apparaît, avec la date et le site concerné

Testez d'abord votre email personnel : vous allez probablement découvrir qu'il figure dans 10-30 fuites différentes depuis 2012.

Puis testez l'email pro de chaque personne de l'entreprise. Les administrateurs y trouveront souvent des surprises.

Gratuit, sans inscription, sans risque : le site ne stocke pas vos requêtes. C'est l'outil officiel utilisé par Microsoft, Google, Apple pour alerter leurs propres utilisateurs.

Comment surveiller en continu

Entrer un email une fois est utile, mais les fuites continuent. Deux approches pour être prévenu automatiquement :

Option 1 : abonnement HIBP (gratuit pour particuliers)

Sur Have I Been Pwned → "Notify me" → entrez votre email → confirmation. Vous recevez un email à chaque nouvelle fuite où votre adresse apparaît.

Option 2 : gestionnaire de mots de passe pro

Les bons gestionnaires (Bitwarden, 1Password, Dashlane…) incluent une surveillance HIBP automatique sur tous les comptes stockés, et alertent dès qu'un mot de passe est compromis. Voir notre article dédié.

Option 3 : surveillance de domaine (pour les administrateurs)

HIBP permet aussi d'enregistrer votre domaine complet (votreentreprise.fr) pour recevoir une alerte dès qu'une adresse de ce domaine apparaît dans une fuite — pas besoin de connaître à l'avance toutes les adresses. Nécessite une vérification (fichier à mettre à la racine du domaine), puis vous êtes couvert pour toujours.

C'est l'outil n°1 à activer par le responsable IT d'une TPE/PME.

Que faire si vous découvrez une compromission ?

Scénario : vous testez votre email et HIBP indique que votre mot de passe est apparu dans la fuite Dropbox 2016, LinkedIn 2021 et Yahoo 2013.

1. Identifier les mots de passe à risque

Si vous utilisiez le même mot de passe (ou une variante proche) sur plusieurs sites, tous ces sites sont considérés comme compromis.

Faites la liste.

2. Changer immédiatement les mots de passe critiques

Dans l'ordre :

• Email principal (c'est le pivot : qui contrôle votre email contrôle tout le reste via le "mot de passe oublié")
• Comptes bancaires et financiers (banque en ligne, Stripe, PayPal, abonnements)
• Comptes administrateurs Microsoft 365 / Google Workspace / hébergement
• Comptes avec données clients (CRM, compta, outil RH)
• Enfin les comptes "secondaires" (réseaux sociaux, abonnements SaaS…)

Règle d'or : un mot de passe différent par site, long et aléatoire, généré par un gestionnaire. Le "nouveau super mot de passe" que vous allez utiliser sur plusieurs sites est déjà compromis à moyen terme.

3. Activer la 2FA partout où elle manque

C'est le filet de sécurité qui empêche un attaquant d'utiliser votre mot de passe volé. Voir notre article dédié. Non négociable.

4. Surveiller les connexions suspectes

Dans l'admin de votre email :

• Microsoft 365 : Centre d'administration → Rapports → Connexions à risque
• Google Workspace : Admin → Rapports → Audit de connexion

Vérifier qu'aucune connexion n'a eu lieu depuis un pays où vous n'étiez pas, à des heures suspectes (3h du matin), ou depuis des appareils inconnus.

Si oui, l'attaquant a déjà utilisé vos identifiants. Il faut immédiatement :

• Changer le mot de passe
• Déconnecter toutes les sessions actives (option disponible dans l'admin)
• Vérifier qu'il n'a pas créé de règle de transfert d'email cachée (classique : il met en place un transfert automatique de tous vos mails vers une adresse à lui, pour continuer à lire après que vous ayez changé le mot de passe)

5. Prévenir la CNIL si des données personnelles ont fuité

Si l'attaquant a eu accès à des données personnelles (clients, salariés), vous avez 72h pour notifier la CNIL via leur formulaire de violation de données.

Les signaux faibles à surveiller au quotidien

Un compte compromis n'est pas toujours exploité immédiatement. Les signes qui doivent alerter :

• Mails envoyés en votre nom que vous n'avez pas rédigés
• Contacts qui vous disent avoir reçu des mails bizarres de vous
• Spam qui augmente brutalement sur une adresse
• Factures d'achats que vous n'avez pas faits (compromission financière)
• Appels de phishing par téléphone qui connaissent précisément votre profil

Au moindre doute : vérifier HIBP, changer le mot de passe, activer la 2FA.

Prévention : les 3 règles de base

1. Un mot de passe unique par site, généré par un gestionnaire. Point.
2. 2FA activée sur tout ce qui est critique (email, banque, M365, admin, cloud)
3. Surveillance HIBP activée sur votre domaine complet, les alertes arrivent dans votre boîte dès qu'une fuite nouvelle vous concerne

Ce qu'on fait chez Depass Info

Dans le forfait d'infogérance, nous :

• Enregistrons votre domaine sur HIBP pour recevoir les alertes
• Déployons et paramétrons un gestionnaire de mots de passe pour toute l'équipe
• Supervisons les connexions suspectes sur vos comptes M365
• Formons l'équipe à ne plus réutiliser les mots de passe

L'audit gratuit inclut une vérification HIBP de tous vos emails pros, et un diagnostic des mots de passe à risque. On vous dit en 1 heure si vous êtes exposé et où.