L’ajout le plus récent dans la base publique Have I Been Pwned date du 27 octobre 2026 : 345 400 adresses issues d’un fichier lié à un parti politique allemand. Deux semaines plus tôt, c’étaient 559 900 comptes de la plateforme Crunchbase. La base, tenue par le chercheur Troy Hunt, compte 1 048 fuites pour 17,8 milliards d’adresses au 30 octobre 2026.
Une fuite de données (lire aussi : IBAN fuité : que faire ?) est un incident où des informations stockées par un service se retrouvent accessibles hors de son contrôle, par piratage ou par une simple erreur de configuration. Elle touche l’organisme, pas vous directement. C’est pour cela que le premier réflexe n’est pas la panique, mais une vérification.
Comment vérifier si mon email a fuité ?
La méthode la plus simple tient en une recherche. Sur Have I Been Pwned, entrez votre adresse et le site renvoie la liste des fuites connues qui la contiennent, avec la date, le service concerné et la nature des données exposées. Le service est gratuit pour les recherches d’adresse, et sa méthodologie est publiée en détail sur le blog de son créateur.
Deux limites à connaître avant même de chercher. La première vient de la CNIL : l’organisme n’est pas en mesure de confirmer la présence de vos données dans un fichier précis, et elle déconseille explicitement certains sites qui prétendent le faire. Le marché compte donc deux catégories : des vérificateurs sérieux, et des pièges qui récoltent des adresses en se faisant passer pour des services d’alerte. La deuxième limite est que l’absence de résultat ne prouve rien : une fuite non découverte ne figure nulle part.
Have I Been Pwned ne stocke aucun mot de passe à côté des adresses, précise sa FAQ. Le service Pwned Passwords, séparé, permet de tester un mot de passe isolément, comparé après hachage, de sorte que le mot de passe en clair ne quitte pas votre navigateur.
Lire le résultat : fuite, liste de spam ou données douteuses
Un résultat positif n’a pas toujours la même valeur. La FAQ du service distingue plusieurs étiquettes. Les fuites « sensibles », 90 à ce jour, ne sont pas cherchables par n’importe qui : il faut prouver qu’on contrôle l’adresse en validant un email. Ce sont des fichiers dont la simple divulgation porterait préjudice, par exemple des sites de rencontres.
D’autres mentions signalent des données moins nettes. Une fuite « non vérifiée » contient des données plausibles dont l’origine n’a pas pu être confirmée. Une « fuite fabriquée » est un fichier vendu comme un piratage alors qu’il agrège des adresses venues d’ailleurs. Une « liste de spam », enfin, ne vient pas d’un système piraté : ce sont des coordonnées collectées pour du démarchage, qui comportent parfois plus que l’email, jusqu’au nom et à la date de naissance.
Ces nuances comptent parce que la réponse n’est pas la même. Un mot de passe exposé dans une fuite vérifiée se change immédiatement. Une adresse dans une liste de spam appelle plutôt une vigilance renforcée face aux messages non sollicités, pas un changement de mot de passe.
Décider quoi changer, et dans quel ordre
Si votre adresse apparaît, la CNIL recommande de changer les mots de passe des services que vous utilisez, en commençant par les plus importants : la messagerie, les impôts, les banques, les sites de commerce. Une adresse distincte par service et un gestionnaire de mots de passe évitent qu’une fuite ne contamine les autres comptes. La double authentification, quand elle est proposée, referme la porte même si le mot de passe circule encore.
Le détail des gestes, une fois l’alerte levée, change selon la situation. Nous avons traité les trois réactions possibles, leur durée et leurs limites, dans notre article sur le mot de passe compromis. L’essentiel tient en une phrase : fermer les sessions ouvertes avant de retaper quoi que ce soit.
Activer l’alerte pour les fuites à venir
La vérification manuelle a un défaut : elle ne voit que ce qui est déjà public. Le service propose une notification par email, via l’option « Notify me », qui signale les futures fuites contenant votre adresse. L’inscription demande simplement de prouver qu’on contrôle la boîte, comme pour les fuites sensibles.
Le test des mots de passe mérite un tour régulier lui aussi, surtout si vous en réutilisez certains. Un mot de passe qui apparaît dans la base Pwned Passwords a déjà circulé, et il doit être retiré du service où il sert, quel que soit le compte.
La notification par l’organisme touché
Il existe un canal plus direct que toute base publique : la notification de l’organisme touché. La CNIL rappelle que si une violation vous expose à un risque, le responsable du fichier doit vous en informer dans les meilleurs délais. Cette information prime, parce qu’elle précise les données réellement concernées, pas seulement l’adresse.
Le message qui suit une fuite est aussi un terrain de chasse. Un email qui reprend votre vrai nom, votre vrai service et un lien de connexion ressemble à un avis officiel alors qu’il fait partie de l’arnaque. La règle tient en un geste : taper soi-même l’adresse du site officiel dans le navigateur, jamais cliquer sur le lien reçu.
Ce qu’une fuite ne dit pas
Une adresse dans une fuite ne dit pas que le compte a été ouvert par quelqu’un d’autre, et une alerte peut arriver des années après les faits : le fichier d’une intrusion de mai 2026 n’a été ajouté à la base qu’au mois d’octobre. Le délai d’annonce dépend de l’organisme, pas du chercheur.
Les fuites récentes, en chiffres
| Fichier ajouté à Have I Been Pwned | Ajout | Adresses concernées |
|---|---|---|
| Fichier lié à un parti politique allemand (AfD) | 27 octobre 2026 | 345 400 |
| Crunchbase | 14 octobre 2026 | 559 900 |
| Gîtes de France | 18 octobre 2026 | 117 600 |
| Assurance Retraite | 20 octobre 2026 | 70 400 |
| Chess.com (2026) | 13 septembre 2026 | 4 700 000 |
| Source : base publique Have I Been Pwned, page des sites piratés, consultée le 30 octobre 2026. | ||
Cinq ajouts en un seul mois. La cadence explique pourquoi la vérification manuelle ne suffit plus sur l’année : personne ne refait le tour de ses adresses chaque semaine.
Est-ce que mon email a fuité si je ne reçois plus que du spam ?
Pas nécessairement. Le spam s’achète et se revend à partir de listes collectées de multiples façons, sans piratage d’un service que vous utilisez. La vérification sur Have I Been Pwned dit si votre adresse figure dans des fuites documentées ; elle n’explique pas à elle seule le contenu de votre boîte spam.
La vérification de mon adresse sur Have I Been Pwned est-elle sûre ?
Le service précise dans sa FAQ que les recherches ne sont pas enregistrées et passent par une connexion chiffrée. Une recherche ne transmet que l’adresse elle-même, qui ne donne accès à aucun compte. Le risque réel est ailleurs : les faux sites vérificateurs, que la CNIL déconseille d’utiliser.
Faut-il changer tous ses mots de passe après une fuite ?
Non, et le geste peut créer plus de risque qu’il n’en retire : notes éparpillées, oublis, erreurs de saisie. La CNIL recommande de prioriser les services les plus importants, la messagerie en premier, puis d’activer la double authentification là où elle existe.
Peut-on être indemnisé après une fuite de données ?
La CNIL détaille les cas d’indemnisation sur une page consacrée au sujet : un préjudice causé par une violation peut ouvrir droit à réparation si l’organisme a manqué au RGPD, sous certaines conditions. C’est au juge, et non à la CNIL, de l’accorder.
Une adresse jetable évite-t-elle les fuites ?
Elle limite la casse, elle ne la supprime pas. Une adresse secondaire utilisée pour les inscriptions sans enjeu isole le reste de votre messagerie. Mais les comptes qui comptent, messagerie principale, banque, impôts, doivent rester sur des adresses que vous contrôlez durablement, sous peine de perdre l’accès aux services liés.
Que faire si mes données bancaires sont dans la fuite ?
Un numéro de carte exposé, un justificatif d’identité, des prélèvements inconnus sur le relevé : dans ces cas, l’appel à la banque passe avant le reste, avec blocage de la carte si besoin. Le dépôt de plainte se fait sur la plateforme THESEE du ministère de l’Intérieur, et l’assistance 17Cyber de Cybermalveillance.gouv.fr oriente gratuitement les victimes.
Sources
- Have I Been Pwned, base publique des fuites de données (consultée le 30 octobre 2026)
- Have I Been Pwned, FAQ du service (fuites sensibles, listes de spam, mots de passe)
- CNIL, « Fuite ou vol de données : comment savoir si cela vous concerne et que pouvez-vous faire ? »
- CNIL, « Violations de données personnelles : dans quels cas peut-on être indemnisé ? »