Fuite de données : vérifier si votre e-mail est concerné

Une fuite de données survient lorsque des informations détenues par une entreprise sont exposées ou dérobées, que ce soit à la suite d'une attaque, d'un serveur mal configuré ou d'un acte malveillant en interne. Les données divulguées comprennent souvent des adresses e-mail, parfois accompagnées de noms, de numéros de téléphone, de dates de naissance et de mots de passe. Ces mots de passe peuvent être stockés en clair ou sous forme hachée, et les mots de passe faibles, même hachés, peuvent souvent être cassés.

Votre adresse e-mail est le fil qui relie toutes ces données. Les attaquants s'en servent pour tester des mots de passe divulgués sur d'autres services, pour rédiger des messages d'hameçonnage crédibles qui citent un service que vous utilisez réellement, et pour cibler les procédures de réinitialisation de mot de passe. Savoir dans quelles fuites figure votre adresse vous indique quels mots de passe changer et à quel type d'arnaque vous attendre.

Figurer dans une fuite ne signifie pas que votre boîte mail a été piratée. Cela veut dire qu'un service auprès duquel vous avez utilisé cette adresse a perdu des données qui y sont liées. Le risque réel dépend de ce qui a été exposé et du fait que vous ayez ou non utilisé le même mot de passe ailleurs.

Le service gratuit le plus connu est Have I Been Pwned, créé par un chercheur en sécurité indépendant. Il rassemble les données de fuites rendues publiques et vous permet de saisir une adresse e-mail pour voir quels incidents la concernent et quels types de données ont été exposés. Il n'affiche pas les mots de passe divulgués eux-mêmes, et vous pouvez vous abonner pour être prévenu si votre adresse apparaît dans une future fuite.

De nombreux gestionnaires de mots de passe, dont ceux intégrés aux produits Google, Apple et Microsoft, peuvent aussi vous avertir quand un mot de passe enregistré figure dans des données de fuites connues. Certains fournisseurs de messagerie et de sécurité proposent une surveillance similaire. Ces vérifications sont précieuses parce qu'elles portent sur vos vrais mots de passe, et pas seulement sur votre adresse.

Choisissez avec soin les outils de vérification auxquels vous faites confiance. Un service légitime n'a besoin que de votre adresse e-mail et ne vous demande jamais le mot de passe de votre messagerie. Fuyez les sites qui exigent un paiement pour afficher vos résultats ou vous demandent d'installer un logiciel, et ignorez les messages non sollicités qui prétendent que vos données ont fuité et vous pressent de cliquer sur un lien. Ne partez jamais vous-même à la recherche de bases de données piratées : les manipuler est risqué, souvent illégal, et c'est un vecteur fréquent de logiciels malveillants.

Un résultat liste généralement chaque fuite avec le nom du service concerné, sa date et les types de données touchés. Concentrez-vous sur ces types de données. Une adresse e-mail et un nom exposés augmentent surtout le risque d'hameçonnage. Des mots de passe, des questions de sécurité ou des numéros de téléphone exposés exigent en revanche d'agir sur vos comptes.

Les fuites anciennes comptent toujours si vous avez utilisé le même mot de passe ailleurs, même il y a longtemps, car les attaquants continuent de tester les vieilles combinaisons. Si vous ne vous souvenez plus du mot de passe utilisé sur un service piraté, partez du principe que c'était l'un de ceux que vous réutilisez, et changez-le partout où il apparaît.

Un résultat vierge est une bonne nouvelle, mais pas un feu vert absolu. Toutes les fuites ne sont pas rendues publiques, et certaines ne sont découvertes que longtemps après les faits. Des mots de passe uniques et la double authentification vous protègent, qu'une fuite ait été signalée ou non.

Changez le mot de passe du service piraté si vous y avez encore un compte, puis celui de chaque autre compte où vous avez utilisé le même mot de passe ou un mot de passe proche. Commencez par votre messagerie, car quiconque la contrôle peut réinitialiser tout le reste. Servez-vous d'un gestionnaire de mots de passe pour générer un nouveau mot de passe unique pour chaque compte.

Activez la double authentification partout où elle est proposée, en commençant par la messagerie, le stockage en ligne et tout ce qui est lié à des paiements. Une application d'authentification ou une clé de sécurité vous protège même si une prochaine fuite expose votre nouveau mot de passe.

Si la fuite a exposé des questions de sécurité, changez les réponses et traitez-les comme des mots de passe : une réponse aléatoire enregistrée dans votre gestionnaire est plus sûre que le nom de votre véritable école primaire. Si des données bancaires étaient concernées, surveillez vos relevés et suivez les conseils de votre banque.

Les attaquants qui s'introduisent dans une messagerie cherchent souvent à y rester discrètement. Ouvrez les paramètres de votre boîte mail et examinez les transferts, les filtres et les règles. Une adresse de transfert inconnue, ou une règle qui déplace ou supprime les messages contenant des mots comme facture, mot de passe ou sécurité, est un signe fort d'intrusion. Supprimez tout ce que vous n'avez pas créé vous-même.

Vérifiez ensuite l'adresse e-mail et le numéro de récupération, les éventuels accès délégués ou autorisations sur des boîtes partagées, les réponses automatiques et votre signature. Parcourez le dossier des messages envoyés et la corbeille à la recherche d'e-mails que vous n'avez ni écrits ni supprimés. Sur les services qui en utilisent, passez en revue les mots de passe d'application et révoquez ceux que vous ne reconnaissez pas.

Les intitulés exacts des menus varient d'un fournisseur à l'autre, qu'il s'agisse de Gmail, Outlook, Yahoo ou GMX, mais ces options se trouvent normalement dans les paramètres de messagerie, sous transferts, filtres ou règles, ainsi que dans la rubrique sécurité du compte.

Dans les paramètres de sécurité de votre compte, ouvrez la liste des appareils et des sessions actives. Déconnectez tout ce que vous ne reconnaissez pas, ou utilisez l'option qui ferme toutes les autres sessions, puis reconnectez-vous sur vos propres appareils. Changer de mot de passe ne suffit pas toujours à fermer les sessions déjà ouvertes.

Passez en revue les applications et services tiers qui ont accès à votre compte, par exemple via un bouton « Se connecter avec Google » ou son équivalent chez Microsoft, et retirez tout ce que vous n'utilisez plus ou ne reconnaissez pas. Ces connexions peuvent continuer de fonctionner après un changement de mot de passe.

Enfin, consultez la page d'activité de sécurité récente, où la plupart des fournisseurs listent les connexions, les changements de mot de passe et les nouveaux appareils. Si vous y voyez une connexion réussie depuis un lieu ou un appareil inconnu, changez à nouveau le mot de passe, fermez encore une fois les sessions et vérifiez que vos options de récupération sont toujours correctes.

Abonnez-vous aux alertes de fuite pour chacune des adresses que vous utilisez, et activez les alertes de votre gestionnaire de mots de passe. Être prévenu tôt vous laisse le temps de changer un mot de passe avant qu'il ne soit testé sur vos autres comptes.

Envisagez d'utiliser des adresses ou des alias distincts selon les usages, par exemple une adresse pour la banque et les services importants, et une autre pour les newsletters et les achats en ligne. Certains fournisseurs prennent en charge les alias ou l'adressage avec le signe plus, ce qui vous aide aussi à repérer quel service a laissé fuiter ou a partagé votre adresse.

Si vous utilisez un compte de messagerie obtenu auprès de quelqu'un d'autre, y compris un compte acheté sur une place de marché comme rStock, effectuez les vérifications de boîte mail et de sessions décrites plus haut dès que la livraison apparaît sur la page de votre commande, avant de lier le compte à quoi que ce soit d'important. Utilisez le compte dans le respect des conditions d'utilisation du fournisseur. Les mêmes réflexes, à savoir des mots de passe uniques, la double authentification et des contrôles réguliers, gardent n'importe quelle boîte mail, ancienne ou nouvelle, sous votre contrôle.