Opérateurs, enseignes, mutuelles, administrations : les annonces de fuites de données se succèdent. En août 2026, la DGFiP a révélé que les données fiscales de 678 000 particuliers et professionnels avaient été extraites à l’aide d’identifiants compromis. Vos données circulent peut-être déjà. Comment le vérifier, que faire pour limiter les conséquences, et comment une entreprise doit-elle réagir lorsqu’elle est elle-même à l’origine de la fuite ?
L’essentiel en 30 secondes
- Des services gratuits et fiables permettent de savoir si votre adresse e-mail figure dans une fuite connue.
- Le vrai danger après une fuite, ce sont les arnaques ciblées qui utilisent vos informations pour paraître crédibles.
- Réflexes : changer les mots de passe réutilisés, activer la double authentification, se méfier des appels et SMS « officiels ».
- Pour une entreprise victime : notification à la CNIL sous 72 heures et information des personnes en cas de risque élevé.
Les fuites en chiffres
La CNIL a reçu 6 167 notifications de violations de données en 2025, en hausse d’environ 9,5 % sur un an. Le piratage en représente environ la moitié, et la Commission observe des fuites « de plus en plus massives », impliquant souvent des sous-traitants. De son côté, l’ANSSI a traité 460 signalements de fuites potentielles, dont 42 % ont été confirmées. Le cas de la DGFiP illustre la tendance : pas de faille spectaculaire, mais des identifiants valides utilisés pour consulter et extraire des données.
Vérifier si vos comptes sont exposés
Les outils fiables
- Have I Been Pwned : la référence mondiale, créée par le chercheur Troy Hunt. Saisissez votre adresse e-mail pour voir dans quelles fuites connues elle apparaît.
- Mozilla Monitor : même principe, avec alertes en cas de nouvelle fuite.
- Le contrôle des mots de passe intégré à Google, Apple et aux gestionnaires de mots de passe, qui signale les mots de passe compromis ou réutilisés.
Méfiez-vous des sites inconnus qui proposent de « vérifier vos données » en demandant votre mot de passe : c’est souvent une arnaque. Un service légitime ne demande que l’adresse e-mail.
Les sources officielles
Les organisations victimes doivent vous informer directement lorsque le risque est élevé. Vérifiez toujours l’information sur le site officiel de l’organisme concerné, jamais via un lien reçu par e-mail ou SMS.
Que faire si vos données ont fuité ?
| Données exposées | Risque principal | Action |
|---|---|---|
| Adresse e-mail seule | Hameçonnage ciblé, spam | Vigilance accrue sur les e-mails reçus |
| Mot de passe (même chiffré) | Piratage du compte et des comptes où il est réutilisé | Changer le mot de passe partout où il est utilisé, activer la MFA |
| Téléphone, adresse, date de naissance | Arnaques au faux conseiller, usurpation | Ne jamais confirmer d’informations lors d’un appel entrant |
| IBAN | Prélèvements frauduleux, fausses demandes | Surveiller les prélèvements, contester tout mandat inconnu auprès de la banque |
| Pièce d’identité, numéro fiscal | Usurpation d’identité | Porter plainte, surveiller les ouvertures de comptes ou crédits à votre nom |
Le scénario le plus fréquent après une fuite n’est pas technique : c’est un appel ou un SMS d’un « conseiller » qui connaît déjà votre nom, votre adresse et votre banque. Nos conseils pour déjouer les arnaques par SMS et téléphone et reconnaître un e-mail de phishing sont alors particulièrement utiles.
Pour une entreprise : organiser la réponse
Si votre organisation est à l’origine de la fuite (piratage, erreur d’envoi, ordinateur perdu, prestataire compromis), le RGPD impose une réponse structurée.
- Contenir : couper l’accès utilisé (compte, faille, partage public), changer les identifiants concernés, préserver les preuves.
- Qualifier : quelles données, combien de personnes, depuis quand, quelle cause ? Le délai de 72 heures court dès que vous avez connaissance de la violation.
- Notifier la CNIL sous 72 heures via son téléservice, sauf si la violation ne présente pas de risque pour les personnes. Une notification incomplète peut être complétée ensuite.
- Informer les personnes concernées lorsque le risque est élevé, avec des conseils concrets.
- Porter plainte en cas d’acte malveillant, et prévenir votre assureur.
- Documenter la violation dans votre registre interne, même si elle n’est pas notifiée.
- Corriger durablement : authentification forte, revue des droits, chiffrement, contrôle des sous-traitants.
Les associations sont soumises aux mêmes règles : voir notre guide RGPD pour les associations. Et pour éviter que la fuite ne vienne d’un prestataire, encadrez vos contrats : sous-traitance informatique et RGPD.
Prévenir plutôt que guérir
- Un mot de passe unique par service, stocké dans un gestionnaire.
- La double authentification sur la messagerie, la banque et les comptes administratifs.
- Des alias e-mail pour les inscriptions non essentielles.
- Le minimum de données conservées par l’entreprise, et pas plus longtemps que nécessaire : une donnée supprimée ne peut pas fuiter.
Questions fréquentes
Mon mot de passe a fuité mais il était chiffré : suis-je en danger ?
Probablement. Selon la méthode de chiffrement, les mots de passe simples peuvent être retrouvés. Changez-le, ainsi que sur tous les sites où vous l’utilisiez.
Peut-on faire supprimer ses données d’une fuite ?
Une fois diffusées sur des forums criminels, les données ne peuvent pas être supprimées. Il faut donc limiter leur utilité : changer les mots de passe, renforcer l’authentification, rester vigilant.
Une entreprise doit-elle toujours prévenir la CNIL ?
Elle doit notifier toute violation susceptible d’engendrer un risque pour les personnes, sous 72 heures. Les violations sans risque sont seulement consignées dans le registre interne.
Que faire si je reçois un appel qui mentionne la fuite ?
Raccrochez et contactez l’organisme par le numéro figurant sur son site officiel ou vos documents. Aucun organisme sérieux ne vous demandera de codes, de mots de passe ou de virement par téléphone.
Sources
- CNIL, rapport annuel 2025 (mai 2026).
- ANSSI, Panorama de la cybermenace 2025.
- Bitdefender, « Impôts : les données fiscales de 678 000 particuliers et entreprises exposées » (août 2026).
- CNIL, notifier une violation de données personnelles.
- Have I Been Pwned.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous accompagnons aussi la mise en conformité RGPD et la gestion des violations de données. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
