Chantage après une fuite de données
En clair
Un message annonce que vos données ont été volées chez un service que vous utilisez vraiment, et réclame un paiement pour ne pas les publier. La fuite, elle, a bien eu lieu — c'est ce qui rend la menace crédible.
Ce que cherche l'attaquant : obtenir un paiement.
Définition
Le chantage après fuite de données exploite une compromission réelle survenue chez un tiers : l'auteur menace de publier ou de revendre les informations concernant une personne ou une organisation si un paiement n'est pas effectué.
Comment ça fonctionne
Ce chantage se distingue du chantage au faux piratage par un point décisif : quelque chose existe réellement. Une base a été compromise chez un prestataire, un commerçant, un établissement, et les données circulent. L'auteur en extrait des éléments authentiques — un numéro de dossier, une adresse, un historique d'achat — et les cite pour établir sa crédibilité en quelques lignes. La menace n'est donc pas invérifiable, ce qui la rend plus efficace. Elle reste pourtant sans issue : les données sont déjà hors de contrôle, souvent détenues par plusieurs acteurs, et un paiement n'obtient aucune suppression vérifiable. Visant une organisation, ce chantage s'accompagne d'un délai public et de la menace de prévenir les personnes concernées, afin d'ajouter une pression réputationnelle.
Pourquoi ça marche
Les informations citées sont exactes, puisque la fuite a bien eu lieu : la menace paraît donc sérieuse. La peur de voir ses données publiées pousse à payer, alors que le paiement n'efface rien.
Sur quoi cette attaque s'appuie
Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.
Signaux d'alerte
- Message citant des informations exactes issues d'un service que vous utilisez
- Référence à une fuite de données réelle, parfois déjà rendue publique
- Délai court assorti d'une menace de publication ou de revente
- Paiement exigé en cryptomonnaie, sans engagement vérifiable en retour
- Menace de contacter vos clients, vos proches ou votre employeur
Exemple
Exemple fictif — aucune organisation ni adresse réelle
Email reçu quelques jours après qu'une boutique en ligne a annoncé une fuite de données.
Nous détenons vos données issues de la base de la boutique : nom, adresse, historique de commandes, numéro de client 48213. Versez l'équivalent de 300 € en cryptomonnaie sous 72 heures, ou elles seront publiées.
Ce qui le trahit
- Les données citées sont réelles, mais déjà hors de contrôle.
- Rien ne garantit leur suppression en cas de paiement.
- Le paiement en cryptomonnaie ne laisse aucun recours.
Comment vérifier
Vérifiez l'existence de la fuite auprès du service concerné : les organisations sont tenues de notifier les personnes affectées, et un incident réel a généralement laissé une trace. Cela permet de savoir ce qui a réellement circulé — une information utile pour se protéger — sans donner le moindre crédit à la demande de paiement.
Les questions à se poser, dans l'ordre
Le message cite-t-il des informations exactes provenant d'un service que vous utilisez ?
Si oui : Vérifiez auprès de ce service, par son site officiel, ce qui a fuité. Ne payez pas.
Le mot de passe de ce service sert-il ailleurs ?
Si oui : Changez-le partout et activez la double authentification.
Avez-vous déjà payé ?
Si oui : Conservez la référence de la transaction et le message, puis déposez plainte.
Que faire
Ne payez pas : aucune suppression ne peut être vérifiée, et les données sont fréquemment détenues par plusieurs acteurs. Agissez sur ce que vous contrôlez encore : changez les mots de passe concernés, activez la double authentification, et surveillez les tentatives d'hameçonnage qui suivront, car les données volées servent d'abord à les rendre crédibles.
Si c'est déjà arrivé
Déposez plainte et conservez le message ainsi que les éléments cités. Signalez l'incident au service à l'origine de la fuite : il a des obligations de notification, et votre signalement peut concerner d'autres personnes. Pour une organisation, l'incident relève d'une procédure de notification à l'autorité de protection des données, et le chantage n'exonère de rien. Si des données de santé ou d'identité sont concernées, restez attentif aux démarches ouvertes en votre nom.
Pour que ça ne se reproduise pas
- Un mot de passe unique par service, pour qu'une fuite reste limitée à un seul compte.
- Méfiez-vous des messages qui citeront ces données dans les semaines suivantes : elles servent à crédibiliser de l'hameçonnage.
- Ne donnez à un service en ligne que les informations dont il a vraiment besoin.
Les gestes qui déjouent cette attaque
Testez-vous
Après une fuite de données confirmée chez un prestataire, un message menace de publier les informations si rien n'est payé.
Lancer la simulation « Chantage après une fuite de données »Questions fréquentes
- Payer empêcherait-il la publication ?
- Rien ne permet de le vérifier, et c'est le point central : une donnée copiée ne se restitue pas. Les mêmes lots circulent souvent entre plusieurs acteurs, et un paiement identifie surtout un interlocuteur disposé à payer.
- Comment savoir ce qui a réellement fuité ?
- Interrogez le service concerné, qui doit informer les personnes affectées de la nature des données touchées. C'est la seule source fiable — pas le message de chantage, dont la description est destinée à effrayer, pas à informer.
Attaques liées
Sources officielles
Aussi appelée : extorsion après fuite, chantage aux données, rançon sans chiffrement.
Cette fiche fait partie de la famille Chantage, harcèlement et atteintes à la personne. Mise à jour : 2026-09-02.