Votre mot de passe a fuité : les 3 gestes à faire dans l'heure

Un client nous appelle, un peu paniqué : Chrome vient de lui afficher un bandeau rouge, “ce mot de passe a été trouvé dans une fuite de données”. Il utilise ce même mot de passe depuis cinq ans, sur sa messagerie professionnelle, son compte bancaire et deux ou trois boutiques en ligne. Sa première question : “Je dois tout changer maintenant, ou ça peut attendre demain ?” Réponse courte : maintenant. Selon le rapport annuel 2025 de la CNIL, publié en mai 2026, 6 167 violations de données ont été notifiées en France sur l’année, soit 9,5 % de plus qu’en 2024 et le niveau le plus élevé jamais enregistré — la moitié d’entre elles consécutives à un piratage. Voici les 3 gestes à faire dans l’heure, dans l’ordre.

Comment on le découvre en général

Trois cas de figure reviennent le plus souvent : un navigateur (Chrome, Firefox) qui affiche une alerte intégrée lors de la connexion, un mail d’un service comme Have I Been Pwned auquel on s’est abonné, ou directement une notification de l’organisme concerné — même si dans les faits, la CNIL note que les entreprises victimes d’une fuite ne préviennent pas toujours systématiquement les personnes concernées. Dans tous les cas, la CNIL déconseille explicitement les sites tiers qui prétendent “détenir vos données” et proposent de vous les révéler contre un paiement ou une inscription — seule l’alerte native de votre navigateur ou un service reconnu comme Have I Been Pwned (qui vérifie sans jamais transmettre votre mot de passe en clair) sont fiables.

Geste 1 : changer le mot de passe partout où il est utilisé — pas juste sur le service concerné

C’est le point que la plupart des gens ratent. Le risque réel n’est pas le compte où la fuite a eu lieu, souvent déjà signalé et parfois déjà bloqué par le service — c’est la réutilisation. L’ANSSI le formule sans ambiguïté dans son guide co-écrit avec la CNIL : la réutilisation d’un même mot de passe pose problème lors d’une fuite massive et impacte tous les comptes qui le partagent, que ce mot de passe soit robuste ou non. Un attaquant qui récupère votre mot de passe sur un forum piraté peu sécurisé va tester ce même mot de passe sur votre messagerie professionnelle, votre banque, votre compte fournisseur — c’est une attaque automatisée, pas du sur-mesure.

1. Listez tous les services où ce mot de passe est (ou était) utilisé.
2. Priorisez la messagerie professionnelle en premier — c’est souvent la clé qui permet de réinitialiser tous les autres comptes.
3. Changez-le partout, avec un mot de passe différent à chaque fois, pas une variante prévisible.

Sur ce dernier point, la CNIL est directe : ne vous contentez pas de transformer Bienvenue2024! en Bienvenue2026! — les fraudeurs aussi savent compter. Un gestionnaire de mots de passe (l’ANSSI parle de “coffre-fort”, pour insister sur la protection du contenu stocké) génère et retient un mot de passe robuste et unique par service, sans que vous ayez à le mémoriser.

Geste 2 : activer l’authentification à deux facteurs sur les comptes touchés

Une fois le mot de passe changé, activez la double authentification (2FA/MFA) partout où c’est proposé, en particulier sur la messagerie et les comptes financiers. L’ANSSI et la CNIL recommandent toutes deux cette mesure comme deuxième pilier, après le mot de passe unique : même si un mot de passe venait à refuiter, un code à usage unique envoyé sur votre téléphone ou généré par une application bloque la connexion. C’est la mesure qui coûte le moins de temps pour le niveau de protection qu’elle apporte — quelques minutes par compte.

Geste 3 : vérifier les signes de compromission et les comptes liés

Un mot de passe qui a fuité ne veut pas forcément dire qu’un attaquant s’en est déjà servi, mais il faut vérifier. Signes à surveiller, d’après les recommandations de cybermalveillance.gouv.fr :

1. Emails de confirmation pour des inscriptions ou achats que vous n’avez pas faits.
2. Spams envoyés à vos contacts semblant venir de votre propre adresse.
3. Connexions depuis un pays ou un appareil inconnu — la plupart des services (Google, Microsoft 365) affichent l’historique des connexions dans les paramètres de sécurité du compte.
4. Impossibilité de vous connecter avec votre mot de passe habituel, signe qu’il a peut-être déjà été changé par quelqu’un d’autre.

Si d’autres données ont fuité en même temps que le mot de passe — un IBAN par exemple — la CNIL rappelle qu’un IBAN seul ne permet pas de vider un compte comme dans un film, mais qu’il peut servir à crédibiliser une arnaque ou à monter un prélèvement frauduleux. Là aussi, la vigilance sur les relevés bancaires des semaines suivantes est de mise.

Ce qui protège avant même que ça arrive

Ces 3 gestes traitent l’urgence. La vraie protection, c’est de ne jamais se retrouver dans cette situation avec un mot de passe réutilisé sur dix services à la fois : un mot de passe unique par service via un gestionnaire, le MFA activé par défaut sur les comptes sensibles, et une vigilance normale sur les mails inhabituels. Pour une PME, c’est aussi le type de bonne pratique qu’une infogérance managée met en place une bonne fois pour toutes sur l’ensemble des postes et comptes de l’entreprise, plutôt que de la gérer poste par poste dans l’urgence après coup.

À retenir

Une alerte “mot de passe compromis” n’est pas une fausse alerte à ignorer jusqu’au lendemain. Dans l’heure : changez le mot de passe partout où il est réutilisé, activez le MFA sur les comptes concernés, vérifiez les signes de compromission. Le reste — gestionnaire de mots de passe, MFA systématique — évite d’avoir à refaire cet exercice la prochaine fois.

Source : CNIL, conseils en cas de fuite ou vol de données ; ANSSI/CNIL, recommandations relatives à l’authentification multifacteur et aux mots de passe ; cybermalveillance.gouv.fr, fiche réflexe fuite de données personnelles.