Toutes les quelques semaines cette année, un nouveau gros titre sur une fuite de données est apparu. Le réflexe est de se sentir vaguement exposé, puis de ne rien faire, parce qu'on ne sait pas clairement ce que signifie « exposé » pour soi-même. Il existe un moyen rapide de transformer cette inquiétude vague en une réponse précise : vérifier si votre propre adresse e-mail ou votre mot de passe apparaît dans une fuite connue, à l'aide d'un outil gratuit conçu exactement pour cela. Voici comment procéder correctement et — c'est la partie que la plupart des gens sautent — quoi faire concrètement une fois les résultats obtenus.

Ce qu'est réellement Have I Been Pwned

Have I Been Pwned (HIBP) est un service gratuit de recherche de fuites de données, créé et maintenu par le chercheur en sécurité Troy Hunt. Il fonctionne en collectant des données provenant de fuites qui ont déjà eu lieu — déclarations d'entreprises, chercheurs en sécurité, parfois jeux de données volés circulant publiquement — et en indexant les adresses e-mail et les mots de passe qui y apparaissent, afin que vous puissiez effectuer une recherche sans rien télécharger vous-même. Ce n'est pas un outil gouvernemental, mais les gouvernements lui font confiance : à ce jour cette année, il est utilisé par 47 gouvernements nationaux pour surveiller l'exposition de leurs propres domaines officiels, le Népal étant le dernier à l'avoir adopté. C'est un signe assez convaincant qu'il s'agit d'un service légitime et largement utilisé, plutôt que d'un site fantaisiste — ce qui compte, car les clones et les imitations de services de vérification de fuites existent bel et bien (nous y reviendrons plus bas).

Étape 1 : vérifiez chaque adresse e-mail que vous utilisez réellement

Allez directement sur haveibeenpwned.com — saisissez vous-même l'URL plutôt que de cliquer sur un lien provenant d'un e-mail ou d'une publicité. Entrez votre adresse e-mail et lancez la recherche. Faites-le pour chaque adresse que vous utilisez, pas seulement votre adresse principale : votre ancien compte Hotmail ou Yahoo d'il y a dix ans, votre adresse professionnelle, l'adresse temporaire utilisée pour vous inscrire sur des forums. Les comptes anciens et à moitié oubliés sont souvent ceux qui figurent dans les fuites les plus anciennes et les moins protégées, et si vous avez déjà réutilisé l'un de leurs mots de passe ailleurs, cette réutilisation constitue le véritable risque.

Étape 2 : examinez ce que la fuite a réellement exposé — ne vous contentez pas de regarder le nombre

Voir « cette adresse e-mail est apparue dans 6 fuites » n'est pas utile en soi. Ouvrez chacune d'entre elles. HIBP indique quelles catégories de données cette fuite précise a exposées — par exemple les adresses e-mail, les mots de passe (généralement stockés sous forme d'empreintes, parfois en clair selon la gravité de la gestion de la sécurité par l'entreprise), les noms, les numéros de téléphone, les adresses postales ou les adresses IP. Une fuite qui a seulement divulgué votre adresse e-mail à une liste marketing pose un problème différent d'une fuite qui a divulgué votre adresse e-mail, un mot de passe en clair et votre adresse personnelle. Évaluez la situation en fonction de ce qui a réellement été dérobé, et non de la notoriété du nom de la fuite.

Notez également que HIBP conserve une catégorie distincte pour les fuites « sensibles » — les sites où le simple fait d'être inscrit comme membre est en soi sensible (par exemple les services liés aux contenus pour adultes ou à la santé). Elles ne s'affichent pas dans les résultats par défaut ; vous devez choisir explicitement de les voir, ce qui relève d'un choix délibéré de confidentialité de la part de HIBP, et non d'un bug.

Étape 3 : vérifiez vos mots de passe séparément de votre adresse e-mail

HIBP propose un deuxième outil distinct appelé Pwned Passwords, qui répond à une autre question : ce mot de passe précis est-il déjà apparu dans un ensemble de données issu d'une fuite, quel que soit le site auquel il était associé ? C'est important, car un mot de passe peut être compromis même si votre compte précis n'est pas celui qui a été piraté — si vous avez utilisé le même mot de passe ailleurs et que ce site a été touché. L'outil est conçu de manière à ce que vous ne transmettiez jamais votre mot de passe complet pour le vérifier : il utilise une technique (l'anonymat k) dans laquelle seul un petit fragment partiel de l'empreinte du mot de passe est envoyé, et la correspondance est effectuée sans que HIBP ne voie jamais l'intégralité de celui-ci. En pratique, la conclusion est plus simple que le mécanisme : vous pouvez vérifier un mot de passe sur ce site en toute sécurité, mais ne saisissez jamais un vrai mot de passe dans un autre site de « vérification de fuite » qui ne serait pas HIBP lui-même.

Que faire concrètement des résultats

C'est l'étape que les gens sautent — ils vérifient, s'alarment brièvement, puis ferment l'onglet. Parcourez cette liste pour tout élément signalé :

  • Mot de passe signalé comme exposé : changez-le immédiatement sur le site concerné — ainsi que sur tous les autres sites où vous avez utilisé le même mot de passe ou un mot de passe similaire. Soyez honnête avec vous-même ; la réutilisation des mots de passe est la principale raison pour laquelle une ancienne fuite se transforme aujourd'hui en plusieurs comptes compromis.
  • Tout compte associé à un mot de passe exposé : activez l'authentification à deux facteurs (2FA) ou, si cette option est proposée, passez à une clé d'accès. C'est la mesure qui limite réellement les dégâts si un mot de passe fuit à nouveau à l'avenir — elle est plus durable que n'importe quel changement de mot de passe individuel.
  • Des questions ou réponses de sécurité faisaient partie de la fuite : considérez désormais ces réponses précises comme définitivement publiques. Ne réutilisez pas la vraie réponse ailleurs ; si le site vous le permet, remplacez-la par une chaîne aléatoire enregistrée dans un gestionnaire de mots de passe, plutôt que par un fait réel vous concernant.
  • Des informations financières, des numéros de pièce d'identité officiels ou un SSN faisaient partie de la fuite : cela dépasse largement le simple changement de mot de passe. Renseignez-vous auprès des principales agences d'évaluation du crédit pour placer un gel du crédit ou une alerte à la fraude, et surveillez les relevés de ce compte dans les mois suivants afin de repérer toute activité inhabituelle.
  • La fuite est ancienne et vous avez déjà changé le mot de passe depuis : vous n'avez probablement pas besoin d'agir à nouveau — mais il vaut la peine de vérifier que vous n'avez jamais repris cet ancien mot de passe pour un compte plus récent.
  • Vous avez trouvé plusieurs anciens mots de passe réutilisés : c'est le moment de commencer à utiliser un gestionnaire de mots de passe pour générer et stocker des mots de passe uniques à l'avenir, afin que cet exercice ne doive pas redevenir une urgence l'année prochaine.

Configurez des alertes pour ne pas devoir effectuer cette vérification manuellement indéfiniment

HIBP propose un abonnement gratuit « m'avertir » : inscrivez votre ou vos adresses e-mail et le service vous enverra automatiquement un e-mail si elles apparaissent dans une future fuite, au lieu de compter sur vous pour penser à vérifier. Cela vaut la peine de le faire pour chaque adresse e-mail recherchée à l'étape 1 — vous transformez ainsi une vérification ponctuelle en protection continue, sans aucun effort récurrent de votre part.

Ce que cet outil ne peut pas vous dire

Il est utile d'être honnête quant à ces limites. HIBP ne peut signaler que les fuites qui ont été découvertes, divulguées et intégrées à sa base de données — il n'a aucune visibilité sur les données qui ont été volées mais pas encore découvertes, vendues en privé ou présentes dans des fichiers de journaux de voleurs qui ne sont jamais devenus publics. Un résultat vierge (« bonne nouvelle — aucun pwnage trouvé ! ») signifie qu'aucune fuite publique *connue* n'inclut cette adresse e-mail ; ce n'est pas une garantie que vos comptes sont intacts et ce n'est pas un substitut aux mesures d'hygiène de base comme l'utilisation de mots de passe uniques et de la 2FA. Considérez une recherche vierge comme une donnée parmi d'autres, et non comme un certificat de bonne santé.

Encore une chose : ne faites confiance qu'au vrai site

Comme l'angoisse liée aux fuites est elle-même exploitée par les escrocs, soyez attentif à l'endroit où vous effectuez la vérification. Utilisez directement haveibeenpwned.com, et non un lien transféré dans un e-mail ou un SMS prétendant être une « alerte de fuite » — c'est un scénario d'hameçonnage classique. L'outil légitime de vérification des mots de passe n'a jamais besoin de votre mot de passe complet pour fonctionner ; si un site vous demande de saisir un mot de passe complet pour « vérifier s'il a été compromis », c'est un signal d'alerte, pas une fonctionnalité.

Liste de vérification rapide

  • Recherchez chaque adresse e-mail que vous avez régulièrement utilisée sur haveibeenpwned.com
  • Ouvrez le résultat de chaque fuite et consultez les données qui ont réellement été dérobées
  • Vérifiez vos mots de passe couramment utilisés dans l’outil distinct Pwned Passwords
  • Modifiez tout mot de passe compromis, partout où vous l’avez réutilisé
  • Activez l’authentification à deux facteurs ou les clés d’accès sur vos comptes importants, en particulier votre messagerie électronique
  • Gelez votre dossier de crédit si des données financières ou d’identité ont été exposées
  • Inscrivez-vous aux notifications gratuites concernant les futures fuites pour chaque adresse e-mail
  • Commencez à utiliser un gestionnaire de mots de passe si ce n’est pas déjà fait