117 600 comptes clients de Gîtes de France ont été ajoutés le 18 octobre 2026 à la base publique Have I Been Pwned, pour une intrusion survenue en mai. Dix jours plus tôt, c’était l’Assurance Retraite, avec 70 400 comptes. Ces deux fichiers ne sont pas des cas isolés, ils rejoignent un stock qui dépasse les dix-sept milliards de lignes.
La question arrive vite après l’alerte : faut-il tout changer, tout de suite, partout ? Non. Trois réactions différentes circulent, et elles ne coûtent pas le même temps ni ne couvrent le même risque.
Trois façons de réagir à une alerte, comparées
| Critère | Réinitialisation complète du compte | Changement du seul mot de passe | Tout changer partout |
|---|---|---|---|
| Temps passé | 15 à 20 minutes | 2 minutes | une demi-journée |
| Ce que ça coupe | sessions actives, appareils connectés, applications tierces | la prochaine connexion par mot de passe | tous vos comptes, y compris ceux qui n’ont pas fuité |
| Ce que ça ne coupe pas | une redirection de courrier déjà posée, un logiciel malveillant installé | la session déjà ouverte par l’attaquant | rien, mais le risque d’erreur augmente avec la précipitation |
| Quand ça suffit | alerte de fuite, connexion inconnue, doute sérieux | mot de passe réutilisé ailleurs, sans signe d’intrusion | infection confirmée de l’appareil |
| Risque résiduel | faible si la double authentification est active | élevé, la session volée survit | comptes bloqués par oubli |
| Verdict : la réinitialisation complète couvre le plus de cas pour un temps raisonnable. Le simple changement de mot de passe rassure plus qu’il ne protège. | |||
Ce que la fuite dit vraiment de votre compte
Un identifiant exposé dans un fichier volé ne signifie pas que quelqu’un est entré. Il signifie que le couple adresse et mot de passe circule, et qu’il sera rejoué automatiquement sur d’autres services. C’est le bourrage d’identifiants, et il ne demande aucune intervention humaine.
Le rapport Data Breach Investigations 2026 de Verizon, qui porte sur 19 905 compromissions, mesure un déplacement net. Le détournement d’identifiants, longtemps premier vecteur d’accès, tombe à 13 % des compromissions selon le Verizon Data Breach Investigations Report 2026. L’exploitation de vulnérabilités logicielles passe devant, à 31 % dans le même rapport Verizon. Verizon mesure le facteur humain dans 62 % des cas, et le phishing à 16 %.
Ce classement ne rend pas les mots de passe secondaires. Il déplace l’urgence. Une alerte de fuite mérite une réaction posée, pas une panique un dimanche soir. Le vecteur le plus fréquent aujourd’hui est un site non mis à jour, ce qui est un autre chantier.
Comment savoir si un mot de passe est compromis ?
La vérification tient en une minute et ne demande aucun outil payant. Pour le parcours complet de vérification d’une adresse, notre guide détaille comment vérifier si votre email a fuité, résultat compris. Have I Been Pwned, tenu par le chercheur Troy Hunt, accepte une adresse e-mail et renvoie la liste des fuites connues qui la contiennent, avec la date et la nature des données exposées. Have I Been Pwned recense 1 048 fuites et 17,8 milliards d’adresses au 29 octobre 2026.
Les gestionnaires de mots de passe intégrés aux navigateurs font un travail voisin, mais pas identique. Ils comparent vos identifiants à des listes de mots de passe compromis et affichent une alerte au moment de la connexion. Cette alerte porte sur le mot de passe, pas sur la fuite de votre adresse chez un service précis.
Un troisième signal est plus fiable que les deux premiers, et il est souvent ignoré. Une connexion depuis un lieu ou un appareil que vous ne reconnaissez pas, dans l’historique de sécurité du compte, vaut plus qu’une alerte de fuite. La fuite reste une probabilité, alors que la connexion inconnue est un fait.
Fermer les sessions avant de changer le mot de passe
Un attaquant qui a obtenu votre mot de passe ne reste pas connecté avec ce mot de passe. Il obtient un jeton de session, un cookie qui le maintient identifié sans rien retaper. Changer le mot de passe ne ferme donc que l’entrée.
D’où l’ordre des gestes. Déconnecter tous les appareils depuis les paramètres de sécurité du compte, puis changer le mot de passe, puis activer la double authentification, dont nous détaillons les pièges dans notre guide sur les mots de passe et la double authentification. Les trois principaux services de messagerie et les réseaux sociaux proposent cette déconnexion globale, souvent sous le libellé « fermer toutes les sessions ».
Deux vérifications complètent le tour, et elles prennent deux minutes chacune. La première concerne les règles de transfert ou de redirection automatique du courrier, qu’un attaquant pose pour continuer à lire sans se connecter. La seconde concerne les applications tierces autorisées à accéder au compte, souvent oubliées depuis des années.
Le cas des comptes partagés
Une boîte professionnelle utilisée à plusieurs ne se réinitialise pas comme un compte personnel. La déconnexion globale coupe les collègues en même temps que l’intrus, et le mot de passe partagé circule déjà dans des messages. La bonne réponse est un compte par personne, avec une double authentification, ce qui règle aussi la question de savoir qui a fait quoi.
Ce qui ne sert à rien
- Changer tous ses mots de passe le même soir. Le risque d’oubli et de note collée sur un écran augmente plus vite que la sécurité.
- Modifier une ou deux lettres du mot de passe. Les outils de cassage testent ces variantes en priorité. Si l’objectif est de supprimer les mots de passe, la piste des passkeys se tente après la mise à niveau du compte.
- Payer un service qui promet de « nettoyer » votre identité numérique. Supprimer une ligne d’une base ne la retire pas des copies qui circulent.
- Réinstaller le système avant d’avoir compris l’origine de la fuite. Sans la cause, la même erreur revient.
Quand la fuite dépasse-t-elle le compte ?
Certaines situations sortent du cadre du simple mot de passe. Une carte bancaire enregistrée sur le service touché, un justificatif d’identité dans les données exposées, des prélèvements inconnus sur le relevé. Dans ces cas, l’appel à la banque passe avant tout le reste, et le blocage de la carte aussi.
Le dépôt de plainte se fait en ligne pour les atteintes aux systèmes de traitement automatisé de données, via la plateforme THESEE du ministère de l’Intérieur. La plateforme 17Cyber, portée par Cybermalveillance.gouv.fr et la gendarmerie, sert de point d’entrée pour décrire la situation et savoir quoi faire. Ces deux démarches sont gratuites.
Rester joignable compte autant que réagir. Une fuite d’adresse et de mot de passe est souvent suivie, quelques semaines plus tard, d’un message qui reprend des éléments réels pour gagner la confiance. La vigilance utile commence là.
Une dernière chose, moins rassurante. La réinitialisation complète ferme ce qui était ouvert au moment où vous la lancez. Elle ne dit rien de ce que l’attaquant a déjà lu, ni des comptes où il s’est inscrit avec votre adresse. Vérifier ses relevés et ses boîtes de réception dans le mois qui suit fait partie du travail.
Sources
- Have I Been Pwned, base des fuites de données (consultée le 29 octobre 2026)
- Verizon, Data Breach Investigations Report 2026, document de synthèse (n = 19 905 compromissions)
- CNIL, recommandation sur les mots de passe
- ANSSI, recommandations relatives à l’authentification multifacteur et aux mots de passe
- 17Cyber, assistance aux victimes de cybermalveillance