Fuite de données : que faire ? Votre plan d'action 2026

Une série de fuites majeures a marqué 2026 — des identifiants liés aux pare-feux Fortinet/FortiGate, à Kodak, à un tiers connecté à Nintendo, ainsi que la longue traîne de l'incident 23andMe ont tous fait la une. Si vous lisez ceci en vous demandant « ai-je été pris dans l'une d'elles, et maintenant ? », voici la checklist calme et pratique à suivre. Rien de technique, et les étapes les plus importantes ne prennent que quelques minutes.

La réponse courte

• Vérifiez si vous êtes concerné avec Have I Been Pwned et toute notification officielle de l'entreprise.
• Changez le mot de passe fuité — et tous les comptes où vous l'avez réutilisé.
• Activez la 2FA pour qu'un mot de passe volé seul ne puisse pas se connecter.
• Restez vigilant face au phishing qui exploite la fuite, et gelez votre crédit si des données d'identité ont été exposées.
• Réglez-le durablement : un mot de passe unique par compte, stocké dans un gestionnaire.

Étape 1 — Savoir si vous êtes concerné

Pas de panique, et pas de devinette. Il y a deux moyens fiables de savoir :

• Have I Been Pwned (haveibeenpwned.com) est un service gratuit et reconnu qui vérifie votre adresse e-mail ou votre numéro de téléphone face à une base de fuites connues. Il vous indique dans quelles fuites votre adresse est apparue, pour savoir exactement quels comptes prioriser.
• La notification officielle. Les entreprises victimes d'une fuite sont généralement tenues d'informer les utilisateurs touchés. Lisez-la pour les détails — la nature des données exposées (juste l'e-mail ? les mots de passe ? les infos de paiement ?) détermine la gravité pour vous.

Soyez prudent ici : l'après-fuite est exactement le moment où circulent les faux e-mails « vous avez été touché ». Ne vous connectez jamais via un lien dans un tel message. Allez directement sur le service.

Étape 2 — Changer le mot de passe (et stopper la réaction en chaîne)

Changez d'abord le mot de passe du compte touché. Puis — c'est l'étape qu'on saute — changez-le sur tous les autres comptes où vous avez utilisé le même mot de passe ou un similaire. Les attaquants prennent les identifiants fuités d'une fuite et les essaient automatiquement sur des centaines d'autres sites. C'est le credential stuffing, et ce sont les mots de passe réutilisés qui le rendent efficace.

Chaque mot de passe de remplacement doit être long, aléatoire et unique. N'incrémentez pas juste un chiffre à la fin.

Étape 3 — Activer l'authentification à deux facteurs

Une fois le mot de passe changé, ajoutez un second verrou. Avec la 2FA activée, même une future fuite de votre mot de passe ne suffira pas à se connecter — l'attaquant aurait aussi besoin du code de votre app d'authentification ou de votre clé physique. Priorisez d'abord votre e-mail (il peut tout réinitialiser), puis votre banque et votre gestionnaire de mots de passe.

Étape 4 — Surveillez votre argent et votre boîte mail

• Surveillez vos comptes financiers. Vérifiez vos relevés bancaires et de carte à la recherche de débits inconnus pendant au moins quelques mois. Activez les alertes de transaction si votre banque les propose.
• Attendez-vous à du phishing ciblé. Maintenant que vos données circulent, vous verrez probablement des messages frauduleux convaincants. Traitez chaque e-mail « sécurisez votre compte » comme suspect et vérifiez en ouvrant le service vous-même.
• Gelez votre crédit si des données d'identité ont fuité. Si un numéro de sécurité sociale, une pièce d'identité ou des coordonnées bancaires ont été exposés, un gel du crédit empêche les fraudeurs d'ouvrir des comptes à votre nom. Gratuit à poser et à lever.

Le vrai correctif à long terme

Vous ne pouvez pas empêcher une entreprise de subir une fuite — mais vous pouvez la rendre inoffensive pour vous. Le changement le plus important est un mot de passe unique pour chaque compte, pour qu'une fuite ne se propage jamais. Retenir des dizaines de mots de passe forts et aléatoires de tête est impossible : c'est précisément pour ça qu'existe un gestionnaire de mots de passe. Il les génère et les stocke, les remplit pour vous, et beaucoup surveillent les fuites connues et vous disent précisément quels identifiants changer.

En résumé

Une fuite fait peur, mais la réponse est simple : vérifiez si vous êtes concerné, changez le mot de passe fuité et tous ceux que vous avez réutilisés, activez la 2FA, et restez en alerte face au phishing et à la fraude. Puis fermez la porte durablement en donnant à chaque compte son propre mot de passe unique via un gestionnaire. Faites les étapes urgentes aujourd'hui, et la vague de fuites de 2026 devient une frayeur plutôt qu'un désastre. Ensuite, découvrez comment fonctionne la 2FA et comment les attaquants exploitent les identifiants réutilisés dans le credential stuffing.