Exposition de données personnelles

Définition

L'exposition de données personnelles désigne la mise à disposition involontaire d'informations vous concernant par vos propres publications et paramètres. Contrairement aux autres fiches de cette famille, il n'y a ici ni intrusion ni tiers collecteur au départ : la donnée est fournie, et le problème vient de ce qu'elle permet une fois lue par quelqu'un qui la cherche.

Comment ça fonctionne

L'écart tient à l'intention de lecture. Vous publiez une photo de vacances ; un lecteur attentif y voit que le logement est vide, la marque de la voiture et le nom de la rue en arrière-plan. Vous publiez la photo d'un billet, d'un colis ou d'un document administratif ; le numéro y est lisible. Vous répondez à un jeu qui demande le nom de votre premier animal, votre ville de naissance et le prénom de votre mère — soit exactement les questions de récupération de compte de nombreux services. Vous laissez sur un profil professionnel votre poste, votre employeur et vos collègues, ce qui suffit à construire un message crédible à votre nom. Rien de tout cela n'est une faute, et c'est précisément pourquoi ce n'est pas visible sur le moment : la publication a un sens dans son contexte, et un tout autre usage hors de lui.

Pourquoi ça marche

Chaque publication a un sens dans son contexte, et personne ne la relit avec les yeux d'un inconnu. Les jeux qui demandent votre premier animal ou votre ville natale paraissent innocents.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Publications comportant un document, un billet, un badge ou une plaque lisibles
• Photos où l'arrière-plan identifie le domicile, l'école ou le lieu de travail
• Jeux et chaînes demandant des informations qui servent de questions de sécurité
• Profil public indiquant date de naissance complète, adresse, numéro de téléphone
• Publication en temps réel d'une absence prolongée du domicile
• Anciens comptes toujours en ligne, avec des paramètres jamais revus

Comment vérifier

Regardez vos profils déconnecté, dans une fenêtre de navigation privée : vous voyez alors ce que voit un inconnu, ce que la vue connectée ne montre jamais. Cherchez votre nom et votre numéro dans un moteur de recherche, et vos photos par recherche d'image inversée. Faites l'exercice sur vos anciens comptes, qui sont le plus souvent les plus ouverts parce que personne ne revoit leurs réglages.

Les questions à se poser, dans l'ordre

1. 1

   Une publication ou un jeu vous demande-t-il des informations qui servent de questions de sécurité ?

   Si oui : N'y répondez pas.

2. 2

   Vos profils, vus déconnecté, montrent-ils date de naissance, adresse, numéro ou lieu de travail ?

   Si oui : Réduisez leur visibilité à vos contacts.

3. 3

   Certaines réponses à vos questions de sécurité sont-elles devenues publiques ?

   Si oui : Remplacez-les par des réponses inventées, rangées dans votre gestionnaire de mots de passe.

Que faire

Réglez la visibilité par défaut sur vos contacts plutôt que sur le public. Retirez des profils ce qui répond à une question de sécurité. Avant de publier une image, regardez ce qu'elle contient en dehors de son sujet. Publiez une absence après le retour plutôt que pendant. Fermez les comptes que vous n'utilisez plus, au lieu de les laisser en l'état.

Si c'est déjà arrivé

Retirez ce qui peut l'être et changez les questions de sécurité dont les réponses étaient devenues publiques — remplacer une réponse vraie par une réponse arbitraire notée dans un gestionnaire de mots de passe est ici plus sûr qu'une réponse exacte. Pour le contenu publié par d'autres, demandez le retrait à la plateforme, puis à la personne. Si l'exposition sert à vous nuire ou à vous localiser, les fiches doxxing et cyberharcèlement traitent cette situation, et la conduite à tenir n'est pas la même.

• Les premiers gestes, dans l'ordre : la checklist d'urgence
• L'assistant « J'ai cliqué » : le plan des gestes selon votre situation

Pour que ça ne se reproduise pas

• Regardez vos profils déconnecté une fois par an.
• Avant de publier une image, regardez ce qu'elle montre en dehors de son sujet.
• Publiez une absence après le retour plutôt que pendant.

Questions fréquentes

Faut-il tout supprimer de ses réseaux sociaux ?

Non, et ce n'est pas là que se joue l'essentiel. Deux réglages font la plus grande partie du travail : la visibilité par défaut restreinte à vos contacts, et le retrait de ce qui sert de réponse à une question de sécurité. Le reste relève d'une attention ponctuelle au moment de publier.

Comment supprimer une information déjà publiée ?

Vous pouvez la retirer à la source et demander son déréférencement aux moteurs de recherche. Sur les copies faites entre-temps, personne ne peut rien, et c'est ce qui rend la vérification avant publication plus efficace que n'importe quelle démarche après.

Attaques liées

• Doxxing
• Moissonnage de données (scraping)
• Détournement de la récupération de compte
• Prétexting (scénario fabriqué)
• Vol d'identité
• Réidentification de données anonymes
• Détournement de photos par IA
• Revente de données personnelles

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement