Fuite de données : comment vérifier si votre e-mail, votre numéro de téléphone ou vos mots de passe ont fuité

Réponse rapide

Pour vérifier si votre e-mail a fuité, saisissez-le sur haveibeenpwned.com, qui liste les fuites où il apparaît. Contrôlez vos mots de passe enregistrés avec le Check-up Mots de passe de Google ou le rapport de sécurité de votre gestionnaire. Il n’existe pas d’outil gratuit fiable pour les numéros de téléphone : considérez le vôtre comme exposé si un compte piraté le contenait. Changez ensuite les mots de passe réutilisés, activez les clés d’accès ou une double authentification par appli, ajoutez un code auprès de votre opérateur, et gelez votre crédit (États-Unis) ou envisagez la Protective Registration de Cifas (Royaume-Uni).

Chiffres clés

• 17,8 milliardsde comptes piratés consultables sur Have I Been Pwned, issus de plus de 1 000 sites victimes de fuitesHave I Been Pwned
• 1,31 milliard de dollarsperdus en 2025, sur 67 456 plaintes pour fuite de données personnelles déposées auprès du FBIFBI IC3 2025 Internet Crime Report
• 38 %de hausse des échanges de carte SIM frauduleux (SIM swapping) enregistrés dans la National Fraud Database britannique en 2025Cifas Fraudscape 2026
• 4,46 millionsde personnes ont vu leur nom, leur numéro de Social Security et leur date de naissance exposés lors de la fuite de TransUnion en 2025SecurityWeek

Vous avez reçu un e-mail indiquant qu’une entreprise dont vous êtes client a « subi un incident de sécurité ». Ou un escroc vous a envoyé un SMS en vous appelant par votre nom. Dans les deux cas, la question est la même : qu’est-ce qui circule sur moi, et que peut-on en faire ? Have I Been Pwned, l’outil de vérification de fuite de données le plus connu, recense plus de 17,8 milliards de comptes piratés. Il y a de fortes chances qu’au moins un des vôtres s’y trouve.

Une fuite n’est pas un piratage. Mais elle fournit aux criminels la matière première de l’hameçonnage, de la prise de contrôle de comptes et de l’usurpation d’identité. Le FBI a enregistré 67 456 plaintes pour fuite de données personnelles en 2025, pour 1,31 milliard de dollars de pertes déclarées. Les étapes ci-dessous prennent environ 30 minutes et ferment la plupart des portes qu’une fuite ouvre.

Comment vérifier si mon adresse e-mail a fuité ?

Saisissez votre adresse e-mail sur haveibeenpwned.com. C’est gratuit, géré par le chercheur en sécurité Troy Hunt, et le site liste toutes les fuites connues où votre adresse apparaît, avec la date et les types de données exposées.

1. Vérifiez toutes les adresses que vous avez utilisées, y compris les anciennes adresses professionnelles, étudiantes et jetables.
2. Lisez chaque fuite. Notez ce qui a fuité : mots de passe, numéros de téléphone, adresses, dates de naissance, questions de sécurité.
3. Traitez en priorité les fuites qui contenaient des mots de passe ou des numéros d’identité officiels, et tout compte que vous utilisez encore.
4. Activez « Notify me » pour recevoir un e-mail si votre adresse apparaît dans une future fuite.

« Aucune fuite trouvée » ne veut pas dire que vous êtes à l’abri. Beaucoup de fuites ne sont jamais rendues publiques, et certaines données sont vendues en privé. Prenez-le comme une bonne nouvelle, pas comme une garantie.

Comment vérifier si mes mots de passe ont fuité ?

Utilisez le Check-up Mots de passe de Google (Password Checkup) sur passwords.google.com si vous enregistrez vos mots de passe dans Chrome ou Android. Il vous indique quels mots de passe enregistrés ont été compromis et lesquels sont faibles. L’app Mots de passe d’Apple et la plupart des gestionnaires de mots de passe proposent un rapport de sécurité similaire.

Vous pouvez aussi tester un mot de passe précis sur la page Pwned Passwords de Have I Been Pwned. Votre mot de passe n’est jamais envoyé : votre navigateur le transforme en empreinte (hash), n’envoie que les cinq premiers caractères de cette empreinte, puis compare les résultats sur votre appareil.

Un mot de passe qui a fuité pose surtout problème si vous l’avez réutilisé. Les criminels prennent les couples e-mail et mot de passe qui ont fuité et les testent automatiquement sur les banques, les messageries, les sites marchands et les réseaux sociaux. C’est ce qu’on appelle le credential stuffing (bourrage d’identifiants), et c’est pourquoi une seule vieille fuite peut ouvrir dix comptes.

Comment savoir si mon numéro de téléphone a fuité ?

Aucun outil gratuit fiable ne vérifie les numéros de téléphone dans toutes les fuites, donc la réponse honnête est : si un compte piraté contenait votre numéro, considérez-le comme exposé. Les signes qui ne trompent pas : une hausse des appels et SMS frauduleux, des SMS qui vous appellent par votre nom, et des codes à usage unique que vous n’avez pas demandés.

Votre numéro est sans doute aussi public par d’autres biais. Les sites de recherche de personnes, les anciennes annonces et les profils sociaux relient les numéros de téléphone aux noms et aux adresses. Pour voir ce qu’un inconnu peut relier à vous, lancez une recherche Search A-Z Vérifiez-vous. Le rapport montre les profils publics, les mentions sur le web et les informations professionnelles associés à votre nom, et vérifie si un numéro de téléphone ou un e-mail que vous saisissez est réel, de quel type de ligne il s’agit (mobile, fixe ou numéro internet/VoIP) et s’il présente un risque de fraude. Les recherches aux États-Unis peuvent inclure des registres publics comme les adresses et les téléphones.

Quelles ont été les plus grosses fuites de données en 2025 et 2026 ?

Les fuites récentes ont surtout exposé des coordonnées et des données d’identité plutôt que des numéros de carte, soit exactement ce dont les escrocs se servent pour l’hameçonnage et l’usurpation d’identité. Quelques-unes des plus importantes :

La fuite de Carnival a commencé par de l’ingénierie sociale : un attaquant a convaincu un salarié de lui donner accès, selon Malwarebytes. Mi-2025, des titres alarmistes annonçaient « 16 milliards de mots de passe divulgués ». BleepingComputer a expliqué qu’il s’agissait d’une compilation d’anciennes fuites et de journaux de logiciels voleurs d’informations (infostealers), pas d’une nouvelle fuite. C’était tout de même une bonne raison d’arrêter de réutiliser ses mots de passe.

Que peuvent faire les escrocs avec mes données qui ont fuité ?

Les escrocs utilisent les données qui ont fuité pour rendre leurs approches crédibles et contourner les contrôles de sécurité. Les principaux risques :

• Hameçonnage ciblé. Un message qui utilise votre nom, l’entreprise victime de la fuite et vos vrais détails de commande ou de compte. Les escrocs se font souvent passer pour l’entreprise piratée et proposent une « indemnisation » ou une « vérification du compte ».
• Prise de contrôle de comptes. Les mots de passe qui ont fuité sont testés sur votre messagerie, votre banque et vos comptes d’achat. Cifas a enregistré plus de 78 000 cas de prise de contrôle de comptes au Royaume-Uni en 2025.
• SIM swapping (échange de carte SIM). Avec votre nom, votre numéro et votre date de naissance, un criminel convainc votre opérateur de transférer votre numéro sur sa carte SIM, puis reçoit vos codes par SMS. Le FBI a reçu 971 plaintes pour SIM swapping en 2025, pour 17,4 millions de dollars de pertes, et Cifas a constaté une hausse de 38 % des cas au Royaume-Uni.
• Usurpation d’identité. Ouverture de crédits, de forfaits téléphoniques ou de comptes à votre nom. L’usurpation d’identité représentait 54 % de tous les cas de la National Fraud Database britannique en 2025, soit plus de 242 000 cas.
• Usurpation auprès de vos proches. Des messages envoyés à vos contacts ou à votre employeur qui semblent venir de vous, parfois depuis une adresse e-mail sosie.

Voici à quoi ressemble un message frauduleux typique après une fuite :

Bonjour [votre nom], suite au récent incident de sécurité chez [entreprise], votre compte a été signalé. Pour conserver votre accès et recevoir votre indemnisation, merci de vérifier vos informations sous 24 heures : [lien]

Ne cliquez jamais sur les liens des messages liés à une fuite. Allez vous-même sur le site ou l’appli de l’entreprise. Si un message vous demande, au travail, de vérifier un expéditeur ou des coordonnées de paiement, notre guide pour vérifier l’expéditeur d’un e-mail détaille les contrôles à faire.

Que faire si mes données ont fuité ?

Si vos données ont fuité, changez tous les mots de passe exposés ou réutilisés, renforcez vos connexions, protégez votre numéro de téléphone et verrouillez votre crédit. Dans cet ordre :

1. Sécurisez d’abord votre messagerie principale. C’est elle qui permet de réinitialiser tout le reste. Nouveau mot de passe unique, puis double authentification.
2. Changez chaque mot de passe réutilisé. Utilisez un gestionnaire de mots de passe pour que chaque compte ait le sien. Si vous pensez que votre ordinateur est infecté, analysez-le d’abord, sinon les nouveaux mots de passe pourront aussi être volés.
3. Passez aux clés d’accès (passkeys) quand c’est proposé. Google, Apple, Microsoft, Amazon, PayPal et de nombreuses banques les prennent en charge. Une clé d’accès ne peut être ni hameçonnée ni réutilisée.
4. Utilisez une appli d’authentification, pas les SMS, pour les codes de double authentification des comptes importants. Le SIM swapping intercepte les codes par SMS.
5. Ajoutez un code ou un verrouillage auprès de votre opérateur. Demandez à votre opérateur mobile un code de protection ou un blocage du transfert de numéro, pour que personne ne puisse déplacer votre ligne sans lui.
6. Gelez votre crédit (États-Unis). C’est gratuit, sans effet sur votre score, et cela reste actif jusqu’à ce que vous le leviez. Faites-le auprès des trois bureaux : Equifax, Experian et TransUnion. Une alerte à la fraude gratuite, déposée auprès d’un seul bureau, dure un an.
7. Surveillez vos comptes. Vérifiez vos relevés bancaires et de carte, ainsi que votre rapport de crédit, pour repérer tout ce que vous ne reconnaissez pas.

Royaume-Uni : la Protective Registration de Cifas

Les résidents britanniques dont les données d’identité ont fuité peuvent souscrire la Protective Registration de Cifas, qui coûte 30 £ pour deux ans. Elle signale votre nom et votre adresse dans la National Fraud Database, pour que les prêteurs et les opérateurs fassent des vérifications supplémentaires avant d’ouvrir quoi que ce soit à votre nom. Les vraies demandes peuvent prendre un peu plus de temps, et votre score de crédit n’est pas affecté. Cifas indique qu’elle est surtout utile dans les premiers mois qui suivent une fuite. Consultez aussi votre rapport de crédit chez Experian, Equifax ou TransUnion UK.

UE : ce qui change

L’UE n’a pas de système unique de gel de crédit. Prévenez votre banque, surveillez vos comptes, et sachez qu’une entreprise victime d’une fuite doit la notifier à son autorité de protection des données et, si le risque est élevé, vous en informer directement au titre du RGPD. En France, la fiche « Violation ou fuite de données personnelles, que faire ? » de Cybermalveillance.gouv.fr détaille les réflexes, dont la plainte auprès de la CNIL.

Comment savoir si quelqu’un utilise mon identité ?

Quelqu’un utilise peut-être votre identité si vous voyez une activité que vous n’avez pas déclenchée. Surveillez :

• Des e-mails de réinitialisation de mot de passe ou des alertes de connexion que vous n’avez pas demandés
• Votre téléphone qui perd soudain le réseau et affiche « Aucun service » ou « SOS uniquement »
• Des factures, des demandes de crédit ou des comptes que vous ne reconnaissez pas
• Des proches qui reçoivent des messages étranges ou des demandes d’argent « de votre part »
• Des sociétés de recouvrement qui vous appellent pour des dettes qui ne sont pas les vôtres

Perdre le réseau sans raison est urgent : appelez immédiatement votre opérateur depuis un autre téléphone, car cela peut signifier que votre numéro a été transféré. Un faux profil social utilisant votre nom et vos photos se repère plus facilement quand vous savez ce qui circule normalement sur vous, ce que notre guide sur ce qu’Internet dit de vous vous aide à faire.

Où signaler une usurpation d’identité ou une arnaque liée à une fuite de données ?

Aux États-Unis, signalez l’usurpation d’identité sur IdentityTheft.gov, qui établit un plan de rétablissement et le rapport nécessaire pour une alerte à la fraude prolongée de sept ans. Signalez la fraude en ligne au FBI sur ic3.gov.

Royaume-Uni : signalez la fraude et la cybercriminalité à Report Fraud, le service qui a remplacé Action Fraud, sur reportfraud.police.uk ou au 0300 123 2040. En Écosse, contactez Police Scotland au 101. Transférez les SMS frauduleux au 7726.

UE : signalez la fraude à votre police locale, et saisissez votre autorité nationale de protection des données si une entreprise a mal géré vos données. En France : 17Cyber pour un diagnostic et une orientation, une plainte au commissariat ou à la gendarmerie si vos données sont utilisées frauduleusement, Perceval si votre carte bancaire a servi en ligne à votre insu, le 33700 pour les SMS frauduleux et la CNIL pour une entreprise qui a mal protégé vos données.

Si la fuite a exposé votre adresse ou votre numéro de téléphone sur des sites publics, notre guide pour supprimer vos données des sites de recherche de personnes explique comment les faire retirer.

En résumé

Vérifiez sur Have I Been Pwned chaque adresse e-mail que vous avez utilisée, passez en revue vos mots de passe enregistrés, et partez du principe que votre numéro de téléphone circule. Faites ensuite ce qui bloque vraiment les criminels : des mots de passe uniques, des clés d’accès ou une double authentification par appli, un code auprès de votre opérateur, et un gel de crédit aux États-Unis ou la Protective Registration au Royaume-Uni.

Questions fréquentes

Comment vérifier si mon adresse e-mail a fuité ?

Saisissez-la sur haveibeenpwned.com. Ce service gratuit liste toutes les fuites connues où votre adresse apparaît et les données exposées. Activez « Notify me » pour être alerté des fuites futures, et vérifiez toutes les adresses e-mail que vous avez utilisées.

Have I Been Pwned est-il sûr ?

Oui. C’est un service gratuit qui existe depuis longtemps, géré par le chercheur en sécurité Troy Hunt. Chercher votre e-mail montre seulement les fuites qui le contiennent. Son vérificateur de mots de passe n’envoie jamais votre vrai mot de passe, seulement une partie de son empreinte (hash).

Puis-je vérifier si mon numéro de téléphone a fuité ?

Pas de manière fiable et gratuite. Si un compte piraté contenait votre numéro, considérez-le comme exposé. Plus de SMS frauduleux, des messages qui utilisent votre nom et des codes à usage unique non demandés sont des signes courants. Protégez-le avec un code ou un verrouillage auprès de votre opérateur.

Que faire en premier après une fuite de données ?

Sécurisez votre messagerie principale avec un nouveau mot de passe unique et la double authentification, puis changez les mots de passe réutilisés. Aux États-Unis, gelez votre crédit chez Equifax, Experian et TransUnion. Au Royaume-Uni, envisagez la Protective Registration de Cifas. En France, suivez la fiche réflexe de Cybermalveillance.gouv.fr.

Un gel de crédit nuit-il à mon score de crédit ?

Non. Aux États-Unis, le gel de crédit est gratuit, n’affecte pas votre score et reste actif jusqu’à ce que vous le leviez. Vous pouvez le lever temporairement auprès du bureau qu’utilise un prêteur quand vous demandez un crédit.

Qu’est-ce que le SIM swapping et comment l’éviter ?

Le SIM swapping, c’est quand un criminel convainc votre opérateur de transférer votre numéro sur sa carte SIM, pour recevoir vos appels et vos codes par SMS. Évitez-le avec un code ou un verrouillage auprès de votre opérateur, et utilisez une appli d’authentification ou des clés d’accès plutôt que les codes par SMS.

Sources

1. Have I Been Pwned
2. Have I Been Pwned : Pwned Passwords
3. FBI IC3 2025 Internet Crime Report
4. Cifas Fraudscape 2026
5. Cifas Protective Registration
6. FTC : ce qu’il faut savoir sur le gel de crédit et les alertes à la fraude
7. SecurityWeek : la fuite de données de TransUnion touche 4,4 millions de personnes
8. BleepingComputer : Co-op confirme le vol des données de 6,5 millions de membres
9. Malwarebytes : Carnival confirme une fuite de données touchant près de 6 millions de personnes (mai 2026)
10. TechRepublic : les plus grosses fuites de données de 2026 à ce jour
11. BleepingComputer : la fuite de 16 milliards d’identifiants n’est pas une nouvelle fuite
12. techUK : Report Fraud remplace Action Fraud

Les chiffres sont les plus récents publiés par chaque source au moment de la mise à jour de ce guide. Les pertes déclarées sont un minimum : la plupart des fraudes ne sont jamais signalées.