Mot de passe piraté ou compte compromis : que faire ?
Un e-mail vous prévient d’une fuite de données, un ami reçoit des messages étranges de votre part, ou notre outil indique que votre mot de passe figure dans une fuite ? Pas de panique : voici, dans l’ordre, ce qu’il faut faire pour reprendre la main et limiter les dégâts.
Les signes d’un compte ou d’un mot de passe compromis
- Un e-mail d’un service vous informe d’une fuite de données ou d’une connexion inhabituelle ;
- vous recevez des codes de vérification que vous n’avez pas demandés ;
- votre mot de passe ne fonctionne plus, ou l’adresse e-mail du compte a été modifiée ;
- des messages, achats ou publications que vous n’avez pas faits apparaissent ;
- notre vérificateur mot de passe piraté ? trouve votre mot de passe dans une fuite.
Le dernier cas est le plus fréquent : votre compte n’est pas forcément piraté, mais le mot de passe est connu des attaquants. Il faut agir avant qu’ils ne l’utilisent.
Étape 1 : changez le mot de passe concerné
Connectez-vous au service depuis son site officiel (tapez l’adresse vous-même, ne cliquez pas sur un lien reçu par e-mail ou SMS) et remplacez le mot de passe par un nouveau, aléatoire et jamais utilisé ailleurs. Notre générateur de mot de passe en crée un de 16 caractères en un clic.
Si vous ne pouvez plus vous connecter, utilisez la procédure « mot de passe oublié » ou la page de récupération de compte du service. Les grands services (Google, Microsoft, Apple, Meta) ont des formulaires dédiés aux comptes piratés.
Étape 2 : changez-le partout où vous l’avez réutilisé
C’est l’étape la plus importante et la plus souvent oubliée. Dès qu’un mot de passe fuite, des robots l’essaient avec votre adresse e-mail sur des centaines de sites : messageries, boutiques en ligne, réseaux sociaux, banques. Faites la liste des comptes qui utilisaient ce mot de passe ou une variante, et changez-les tous, en commençant par :
- votre messagerie, qui permet de réinitialiser tous les autres comptes ;
- votre banque et les services de paiement (PayPal, Lydia…) ;
- les comptes administratifs : impots.gouv.fr, Ameli, FranceConnect, CAF ;
- les boutiques où une carte bancaire est enregistrée, puis les réseaux sociaux.
Étape 3 : activez la double authentification
Avec la double authentification (code par application, clé de sécurité ou passkey), un mot de passe volé ne suffit plus pour se connecter. Activez-la au moins sur la messagerie, la banque et les réseaux sociaux. Préférez une application d’authentification ou une passkey aux codes par SMS, plus faciles à détourner.
Étape 4 : vérifiez ce que l’attaquant a pu faire
- Sessions et appareils connectés : déconnectez tous les appareils que vous ne reconnaissez pas ;
- Règles de messagerie : les pirates ajoutent souvent un transfert automatique de vos e-mails ou un filtre qui supprime les alertes ;
- Informations de récupération : vérifiez l’e-mail et le numéro de téléphone de secours ;
- Applications autorisées : retirez l’accès aux applications inconnues ;
- Relevés bancaires : en cas d’opération suspecte, faites opposition sur la carte auprès de votre banque sans attendre.
Étape 5 : prévenez et signalez si nécessaire
- Prévenez vos contacts si des messages ont été envoyés en votre nom : ils peuvent contenir des liens d’hameçonnage.
- 17Cyber (17cyber.gouv.fr), le service d’assistance en ligne de l’État opéré avec Cybermalveillance.gouv.fr, aide à identifier le problème, donne la marche à suivre et oriente vers un professionnel ou les forces de l’ordre si besoin.
- Portez plainte en cas de préjudice (usurpation d’identité, escroquerie, chantage) auprès de la police ou de la gendarmerie.
- Si un organisme n’a pas protégé vos données ou ne vous a pas informé d’une fuite, vous pouvez adresser une plainte à la CNIL.
Méfiez-vous des arnaques qui suivent une fuite
Après une fuite, les escrocs connaissent souvent votre nom, votre e-mail, parfois votre téléphone ou votre adresse. Ils s’en servent pour des messages très crédibles : faux conseiller bancaire qui demande de « valider une opération », faux colis, faux remboursement des impôts ou d’Ameli. Une règle simple : aucun organisme sérieux ne vous demande votre mot de passe ou un code reçu par SMS. Raccrochez et rappelez le numéro officiel.
Éviter que cela se reproduise
- Un mot de passe différent pour chaque compte, stocké dans un gestionnaire de mots de passe ;
- des mots de passe aléatoires d’au moins 13 à 16 caractères, conformes aux recommandations de la CNIL ;
- la double authentification sur tous les comptes importants ;
- une vérification régulière de vos mots de passe avec notre outil de détection des fuites.
Pour la méthode complète, lisez comment créer un mot de passe solide.