Comment détecter une fuite de données personnelles en ligne

Un matin, un message d'un lecteur : « J'ai reçu un mail qui dit que mon adresse circule sur le dark web. C'est vrai ou c'est du phishing ? » Bonne question. Et la mauvaise réponse, celle que donnent la moitié des sites de vérification, c'est un grand voyant vert rassurant qui ne veut pas dire grand-chose. Détecter une fuite de données personnelles en ligne, ce n'est pas appuyer sur un bouton et attendre l'absolution. C'est comprendre ce que ces outils voient, ce qu'ils ne voient pas, et quoi faire du résultat.

Je vais vous montrer comment vérifier votre adresse e-mail, votre numéro, vos mots de passe, et surtout comment réagir quand quelque chose remonte. Avec les limites que personne ne met en avant.

Détecter une fuite de données personnelles : ce que les outils voient vraiment

Il faut d'abord tordre le cou à une idée reçue. Quand un site vous annonce « votre adresse apparaît dans 4 fuites », il ne scanne pas Internet en direct. Il interroge une base de fuites connues et documentées, alimentée par des chercheurs, des journalistes, parfois des hackers repentis. La plus célèbre, Have I Been Pwned, agrège des dizaines de milliers d'incidents rendus publics au fil des ans.

Ce que ça implique est énorme.

Le décalage temporel

Entre le moment où une base est volée et celui où elle apparaît dans un outil de vérification, il peut se passer des semaines, parfois des mois. Une donnée volée hier peut être revendue sur des canaux privés sans jamais devenir publique. Votre scan du jour peut donc afficher « tout va bien » alors que vos identifiants circulent déjà ailleurs.

Je l'ai vécu sur un compte pro : aucune alerte pendant des mois, puis d'un coup, cinq fuites d'un coup, toutes antérieures. Rien n'avait changé sauf la publication des données.

Les fuites qui ne remontent jamais

• Les bases volées et revendues à des acheteurs discrets, jamais publiées.
• Les fuites internes non déclarées par l'entreprise concernée.
• Les combinaisons email + mot de passe revendues à l'unité sur des forums fermés.

Bref, ces outils sont utiles, mais ils ne sont pas une assurance. Un résultat vide ne prouve pas que vos données sont saines. Il prouve seulement qu'elles ne figurent pas dans les incidents connus à cet instant.

Comment vérifier si j'ai une fuite ?

La procédure concrète, dans l'ordre. Rien de compliqué, mais il faut aller au-delà du seul e-mail.

1. Vérifier votre adresse e-mail

Le réflexe de base : saisir votre adresse sur un vérificateur de fuite. La version gratuite de Have I Been Pwned suffit et couvre plus d'adresses que la plupart des offres commerciales, qui la reprennent souvent en arrière-plan. Refaites le test sur vos anciennes adresses, celles que vous avez oubliées mais qui servent encore de secours à un vieux compte.

Ce que vous obtenez : une liste d'incidents, la date de chacun, et les catégories de données exposées (email, mot de passe, nom, adresse postale, date de naissance…). Lisez cette liste attentivement : un mot de passe exposé n'appelle pas la même réaction qu'un simple nom.

2. Vérifier vos mots de passe, pas seulement vos comptes

Beaucoup l'ignorent : on peut tester un mot de passe (sans le transmettre en clair) pour savoir s'il apparaît dans des fuites. HIBP propose ce service. Le principe est astucieux : le site compare un fragment de votre empreinte à sa base, sans jamais recevoir le mot de passe complet.

Résultat concret : si le mot de passe que vous utilisez encore sur trois sites apparaît dans une fuite, c'est celui-ci qu'il faut changer en priorité. Pas tous les autres.

3. Penser au numéro de téléphone

On vérifie son e-mail, rarement son numéro. Pourtant, les fuites de bases téléphoniques (opérateurs, services, applications) sont légion. Un numéro exposé, couplé à un nom, ouvre la porte au démarchage ciblé et au SIM swapping. Certains outils permettent cette recherche ; à défaut, cherchez votre numéro dans votre moteur de recherche favori, entre guillemets.

4. Ce que change la « vérification dark web »

Les offres payantes promettent une surveillance continue du dark web. C'est utile, surtout pour détecter des reventes d'identifiants. Mais comprenez bien : « dark web » désigne ici les mêmes fuites, parfois plus récentes, revendues sur des places de marché. Ce n'est pas une boule de cristal. Et payer ne vous dispense pas des gestes de base.

Comparatif des types de vérification

Ce que vous vérifiez	Où	Gratuit ?	Ce que ça détecte
Adresse e-mail	HIBP, F-Secure, Surfshark	Oui (souvent)	Fuites publiques connues
Mot de passe	HIBP Pwned Passwords	Oui	Mots de passe compromis
Numéro de téléphone	Outils dédiés + moteur de recherche	Variable	Bases téléphoniques exposées
Surveillance dark web	Offres payantes	Non	Reventes d'identifiants

Que signifie « nouvelle fuite de données détectée » ?

Ce message, vous le voyez partout : dans un mail d'alerte, sur un tableau de bord, dans un article de presse. Il veut dire une chose simple : un nouvel incident a été identifié et ajouté à la base de fuites connues. Nouvelle, car elle n'y figurait pas avant.

Spoiler : ce n'est pas forcément une fuite récente. Une base peut avoir été volée l'an dernier et n'être cataloguée qu'aujourd'hui. Le mot « nouvelle » décrit la découverte, pas la date du vol.

Qu'est-ce qui a fuité aujourd'hui ?

La question que tout le monde tape après un buzz. Les fuites s'annoncent en vagues : un chercheur publie, un site spécialisé relaie, les vérificateurs se mettent à jour. Le bon réflexe : ne demandez pas « qu'est-ce qui a fuité aujourd'hui ? » dans l'absolu, demandez « est-ce que mes comptes sont concernés ? ». C'est la seule question qui compte pour vous.

Attention au faux message d'alerte

Le mail « votre adresse a fuité, cliquez ici pour vérifier » est trop souvent une arnaque. Règle simple : ne cliquez jamais sur le lien du mail. Allez directement sur un vérificateur que vous connaissez et tapez votre adresse vous-même. L'arnaque exploite votre panique, pas vos données.

Quel est le code pour savoir si mon téléphone a été piraté ?

Il n'existe pas de code secret universel ni de combinaison magique sur votre clavier qui révélerait un piratage. Méfiez-vous de tout contenu qui prétend le contraire. Ce qui existe, en revanche, ce sont des signes concrets à surveiller.

• Batterie qui se vide anormalement vite, sans raison.
• Applications installées que vous n'avez jamais ajoutées.
• Consommation de données mobiles qui explose.
• Déconnexions inexpliquées de vos comptes.
• Notifications de connexion depuis un appareil que vous ne reconnaissez pas.

Le vrai geste de vérification, c'est de regarder les appareils connectés à vos comptes (Google, Apple, réseaux sociaux) et de révoquer les sessions que vous ne connaissez pas. C'est bien plus fiable que n'importe quel code.

Après la détection : le protocole qui compte

Vous avez trouvé une fuite qui vous concerne. Voilà l'ordre des choses, du plus urgent au moins urgent.

1. Changer le mot de passe du compte concerné, immédiatement, et unique pour ce site.
2. Si ce mot de passe servait ailleurs, le changer partout où il a été réutilisé.
3. Activer la double authentification sur les comptes sensibles (mail principal, banque, réseaux).
4. Révoquer les sessions actives et les appareils inconnus.
5. Surveiller les prélèvements et messages suspects dans les jours qui suivent.

En Europe, une entreprise victime d'une fuite a des obligations envers vous : vous informer si vos données présentent un risque. Si elle ne le fait pas, vous pouvez signaler la situation à la CNIL. Pour un préjudice concret (usurpation, fraude), une plainte est possible.

Et le geste qui change tout sur le long terme : un gestionnaire de mots de passe. Depuis que j'en utilise un, mes fuites ne m'inquiètent plus de la même façon — un mot de passe unique par site, et une fuite ne compromet qu'un seul compte.

Le vrai enjeu n'est pas le scan

Détecter une fuite, c'est facile. C'est comprendre ce qu'elle implique et agir dans la foulée qui l'est moins. Un vérificateur vous donne un signal, pas une garantie. La meilleure protection reste celle qui rend une fuite inoffensive : des mots de passe uniques, une double authentification partout où c'est possible.

La prochaine fois qu'un mail vous annoncera « votre adresse circule », vous saurez déjà quoi faire. Et vous saurez surtout que le silence d'un scan ne veut pas dire que tout va bien. Il veut juste dire que personne n'a encore publié ce qui vous concerne.