Fuite de données

Définition

Une fuite de données est la divulgation, accidentelle ou par intrusion, de données détenues par une organisation sur ses clients, ses usagers ou ses salariés. Le point de vue de cette fiche est celui de la personne concernée : que signifie être dans une fuite, et que peut-elle faire d'utile.

Comment ça fonctionne

L'origine se situe chez l'organisation — intrusion, erreur de configuration, prestataire compromis, accès interne détourné — et non chez vous : aucune précaution personnelle n'aurait évité que votre adresse figure dans un fichier confié à un tiers. Ce qui vous concerne commence après. Les données extraites circulent, se recoupent avec d'autres fuites, et alimentent des usages précis. Une adresse électronique associée à un mot de passe sert à essayer ce couple sur d'autres services. Un numéro de téléphone associé à un nom et à une adresse rend crédible un message qui reprend ces éléments. Un historique d'achats rend crédible un faux message de livraison. C'est la raison pour laquelle une fuite se manifeste souvent par une hausse de sollicitations bien informées, plusieurs mois après les faits — et pourquoi le délai n'a rien de rassurant : une base de données ne se périme pas.

Sur quoi cette attaque s'appuie

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

• Notification de l'organisation vous informant que vos données ont été concernées
• Messages ou appels reprenant des informations exactes vous concernant : nom, adresse, achat récent
• Tentatives de connexion signalées sur des comptes réutilisant le même mot de passe
• Hausse nette de courriels indésirables et d'appels commerciaux visant la même adresse
• Demande de réinitialisation de mot de passe que vous n'avez pas déclenchée

Comment vérifier

Prenez au sérieux la notification reçue de l'organisation, mais rejoignez votre compte par vos propres moyens plutôt que par le lien du message — une fuite réelle est suivie de faux messages qui l'imitent, et c'est un moment où l'on clique. Vérifiez l'activité récente et les appareils connectés sur les comptes concernés. Interrogez l'organisation sur la nature exacte des données touchées : la conduite à tenir n'est pas la même selon qu'il s'agit d'adresses ou de pièces d'identité.

Que faire

Changez le mot de passe du service concerné, et surtout de tous ceux où le même était utilisé — c'est le seul geste qui traite la conséquence principale. Activez la double authentification là où elle existe. Attendez-vous à des messages bien informés dans les mois qui suivent et traitez toute sollicitation entrante avec la même règle qu'ailleurs : ne pas répondre par le canal reçu.

Si c'est déjà arrivé

Vous disposez de droits opposables à l'organisation — être informé de la nature des données concernées, en demander l'accès, en demander l'effacement — et d'un recours devant la CNIL si elle ne répond pas. Si la fuite comprend des pièces d'identité ou des coordonnées bancaires, le risque change de nature : surveillez vos relevés, prévenez votre banque, et lisez la fiche vol d'identité. Conservez la notification reçue, elle documente la date et l'origine. Signalez les faits sur cybermalveillance.gouv.fr. Si un maître chanteur vous contacte en citant ces données, la fiche chantage après fuite de données traite ce cas précis.

Questions fréquentes

Puis-je faire retirer mes données une fois qu'elles ont fuité ?

Vous pouvez en demander l'effacement à l'organisation qui les détenait, et c'est utile pour l'avenir. Sur les copies déjà diffusées, personne ne le peut : c'est la réalité qu'il faut intégrer, parce qu'elle déplace l'effort là où il est efficace — changer ce qui peut l'être, à commencer par les mots de passe.

La fuite date d'il y a deux ans, suis-je encore concerné ?

Oui. Une base de données ne se démode pas : votre nom, votre adresse et votre date de naissance n'ont pas changé, et un mot de passe jamais renouvelé reste valable. Les fichiers anciens continuent de circuler et de se recouper avec les plus récents.

Comment savoir si je suis concerné sans notification ?

Vous ne le saurez pas toujours, toutes les fuites n'étant pas connues ni notifiées. Plutôt que de chercher à en établir la liste, adoptez la posture qui vaut dans les deux cas : un mot de passe unique par service et la double authentification sur les comptes qui comptent. Cela rend la question beaucoup moins déterminante.

Attaques liées

• Chantage après une fuite de données
• Bourrage d'identifiants
• Vol d'identité
• Infostealer (logiciel voleur d'identifiants)
• Phishing (hameçonnage)
• Revente de données personnelles
• Piratage de messagerie

Sources officielles

• Cybermalveillance.gouv.fr — Assistance et signalement