Comment vérifier si vos données ont fuité — guide pratique 2025
Étapes concrètes pour savoir si votre e-mail ou mot de passe circulent sur le dark web. Outils, méthodes et réflexes à adopter.
Pourquoi vérifier régulièrement si vos données ont été exposées ?
La plupart des victimes de fuites de données l'apprennent des mois, voire des années après l'incident. Entre le moment où une base de données est volée et celui où elle est exploitée ou rendue publique sur des forums du dark web, il peut s'écouler un temps considérable. La fuite Deezer de 2019, par exemple, n'a été révélée et analysée qu'en 2022 — soit trois ans pendant lesquels 228 millions d'utilisateurs ignoraient que leurs données circulaient. En 2024, la CNIL a reçu 5 629 notifications de violations de données en France, soit 15 alertes par jour en moyenne. Le nombre de violations touchant plus d'un million de personnes a doublé en un an. Dans ce contexte, attendre d'être victime d'une fraude pour réagir revient à fermer la porte après que les voleurs sont passés. Vérifier proactivement et régulièrement vous permet d'agir avant que les dommages ne surviennent.
Étape 1 : utiliser Have I Been Pwned
Have I Been Pwned (haveibeenpwned.com) est la référence mondiale gratuite pour vérifier si votre adresse e-mail a été exposée dans une fuite de données connue. Créé en 2013 par le chercheur en sécurité australien Troy Hunt, ce service agrège plus de 10 milliards de lignes de données issues de centaines de violations répertoriées. Son utilisation est simple : saisissez votre adresse e-mail dans le champ de recherche et cliquez sur « pwned? ». Si l'écran devient vert, votre adresse n'apparaît dans aucune fuite connue du service. Si l'écran vire au rouge, vos données ont été compromises — le site vous indique alors les violations concernées, leur date, et le type de données exposées (mots de passe, numéros de téléphone, adresses postales, etc.). Vous pouvez également vous inscrire pour recevoir une alerte automatique si votre adresse e-mail apparaît dans une future fuite. À noter : Have I Been Pwned ne répertorie que les fuites qui lui ont été transmises ou qu'il a découvertes — d'autres violations peuvent exister sans y figurer.
Étape 2 : utiliser un service de monitoring continu comme Datalogia
Une vérification ponctuelle sur Have I Been Pwned est utile, mais insuffisante dans un contexte où de nouvelles fuites surviennent chaque semaine. Des services comme Datalogia vont plus loin en offrant une surveillance en temps réel : votre adresse e-mail est comparée en permanence aux nouvelles bases de données de fuites dès qu'elles sont découvertes ou publiées, et vous êtes alerté immédiatement. Datalogia permet également d'analyser plusieurs adresses e-mail (personnelle, professionnelle, ancienne adresse) et vous donne des détails précis sur le type de données exposées et leur date d'exposition. Cette approche proactive est particulièrement utile si vous avez plusieurs comptes en ligne ou si vous gérez les données d'une entreprise. La rapidité de la réaction est cruciale : plus vous agissez vite après une fuite, moins les cybercriminels ont le temps d'exploiter vos informations.
Étape 3 : vérifier si vos mots de passe ont été compromis
Il ne suffit pas de savoir que votre adresse e-mail a fuité : il faut aussi vérifier si vos mots de passe ont été exposés. Have I Been Pwned propose une fonctionnalité dédiée (Pwned Passwords) qui permet de vérifier si un mot de passe spécifique apparaît dans des listes de mots de passe compromis — sans jamais envoyer le mot de passe en clair. La technique utilisée est le k-anonymity : seuls les 5 premiers caractères du hash (empreinte chiffrée) du mot de passe sont envoyés au serveur, qui renvoie tous les hashes correspondants pour que la comparaison soit faite localement, sans que le service ne connaisse votre mot de passe. De nombreux gestionnaires de mots de passe modernes (Bitwarden, 1Password, Dashlane) intègrent directement cette vérification et vous alertent si l'un de vos mots de passe stockés a été compromis dans une fuite connue.
Étape 4 : surveiller les signaux d'alerte dans votre quotidien numérique
Au-delà des outils spécialisés, certains signaux dans votre vie numérique peuvent indiquer que vos données ont été compromises. Un e-mail de réinitialisation de mot de passe que vous n'avez pas demandé peut signifier qu'un attaquant essaie de prendre le contrôle de votre compte. Des connexions depuis des appareils ou des localisations inhabituelles (consultez l'historique des connexions disponible sur la plupart des services) sont un signal d'alarme. Des tentatives de connexion échouées sur vos comptes, des e-mails de phishing qui vous appellent par votre prénom et mentionnent des détails personnels précis (votre opérateur, votre banque, votre adresse) peuvent indiquer que des données vous concernant circulent. Sur votre relevé bancaire, tout prélèvement non reconnu, même minime, doit être signalé immédiatement à votre banque.
Que faire une fois que vous avez identifié une exposition ?
Lorsque vous confirmez que vos données ont été exposées, agissez méthodiquement et sans panique. Commencez par changer le mot de passe du compte concerné par la fuite, puis identifiez tous les autres comptes où vous utilisez le même mot de passe ou un mot de passe similaire — et changez-les également. Activez l'authentification à deux facteurs sur tous vos comptes importants (e-mail, banque, réseaux sociaux, services d'achats en ligne). Si des données bancaires ont été exposées (comme les IBAN lors de la fuite Free de 2024 qui a touché 5 millions de clients), contactez votre banque pour signaler le risque et surveiller les transactions. Enfin, signalez l'incident à la CNIL si vous estimez que l'organisation responsable n'a pas respecté ses obligations en matière de sécurité des données — la CNIL peut mener des contrôles et infliger des sanctions significatives.
Les bons réflexes à adopter en prévention
La meilleure protection reste la prévention. Adoptez ces habitudes qui limitent radicalement l'impact d'une future fuite : utilisez un gestionnaire de mots de passe (Bitwarden est gratuit et open source, KeePass est recommandé par l'ANSSI) pour générer et stocker un mot de passe unique et aléatoire pour chaque service. Activez l'authentification à deux facteurs, en privilégiant une application d'authentification (Google Authenticator, Authy) plutôt que les SMS, plus vulnérables aux attaques de SIM swapping. Limitez les données que vous partagez en ligne : moins vous avez de comptes actifs avec vos vraies informations, moins vous êtes exposé. Mettez à jour régulièrement vos applications et système d'exploitation pour corriger les vulnérabilités exploitées par les attaquants. Et restez informé : abonnez-vous aux alertes de services de monitoring pour être prévenu en temps réel.