Comment savoir si vos données personnelles ont été compromises ?

Bien que vous fassiez tout ce qu’il faut sécuriser votre présence sur la toile, vous n’êtes malheureusement pas à l’abri de voir, un jour, votre adresse email présente dans une liste de comptes piratés. Vous avez beau suivre tous les (précieux) conseils des organismes comme la CNIL ou de l’ANSII, les comptes de certaines applications que vous utilisez ont peut-être déjà fuitées sur le web. Avez-vous été victime d’une violation de données ? Voici un moyen simple de savoir si vos données personnelles ont déjà été compromises.

Si vous suivez un peu l’actualité high-tech, vous vous êtes rendu compte que les piratages et fuites sont assez nombreux. Nous grossissons un peu le trait, mais il n’y a pas une semaine où nous n’entendons pas parler d’une fuite de données. Les derniers exemples en date (en France) sont : LeBonCoin, France Travail, Caisse d’Allocations Familiales (CAF) et LDLC. Dans le passé, nous vous avions parlé, par exemple, de la fuite de données Gearbest.

Vous n’avez pas besoin de faire l’acquisition d’un logiciel ou de faire appel à un spécialiste. Il existe un moyen simple et rapide de le savoir. L’intérêt est de rapidement prendre des mesures « correctives » si vous faites partie du lot.

Violation de données : Have i been pwned ? un site à connaître

Votre email est-il concerné par une violation de données ?

Le moyen simple et efficace que nous vous proposons est de vous rendre sur le site Haveibeenpwned. En quelques instants, vous saurez si vous devez rapidement agir. Dans l’immédiat, vous n’avez qu’une seule chose à faire : renseigner votre adresse email dans la zone intitulée « email adress ». Ensuite, il en reste qu’à presser le bouton « pwned ? »

En quelques secondes, vous aurez la réponse. Après ces brefs instants qui vous sembleront interminables, le verdict tombe. Dans le meilleur des cas, tout va bien, votre adresse email n’est présente dans aucune base de données piratées.

Dans l’autre cas, c’est plus embêtant. Le site vous affichera alors un message très explicite « Oh no — pwned! ». Heureusement, il délivre des informations très utiles pour la suite. Déjà, il vous indique le nombre de violations intégrant votre email apparaît. Ensuite, il vous reste à les passer une par une pour savoir de quand elle date et quelles sont les informations compromises (emails, mots de passe, username, localisation,…).

Le site va même vous faire un petit topo sur la violation de données en vous expliquant quand cela s’est passé, et éventuellement si elles ont été mises en vente (par exemple sur le darweb).

Nous pouvons tout de même nuancer tout ceci. En effet, les failles ou autres actions malintentionnées qui ont permis d’obtenir ces données datent peut-être. Depuis, vous avez probablement (on l’espère) modifié votre mot de passe. Si ce n’est pas le cas, nous vous conseillons de le faire dans les plus brefs délais.

Violation de données : quelles sont les actions à mener ?

En cas de données exposées sur le web

Changer votre mot de passe

Si vos données sont présentes au sein d’une des violations citées sur le site, il est grand temps d’agir. La première action à réaliser est de modifier le mot passe associé au compte utilisé pour se connecter sur l’interface concernée.

Normalement, si la fuite est postérieure au mois de mai 2018 et que l’entreprise s’adresse à des utilisateurs / abonnés situés au sein de l’Union Européenne, elle est censée vous avertir. En effet, selon le RGPD entré en vigueur à cette période, l’entreprise doit communiquer auprès des personnes concernées dès lors que la violation de données engendre un risque élevé. Cela dépendra par exemple des données gérées (données de santé, données bancaires,…) et de la population ciblée (mineures,…).

Le plus souvent, dans ce cas, l’entreprise en question vous a invité à procéder à la même action que celle indiquée ci-dessus : changer votre mot de passe. Il arrive même qu’elle l’ait réinitialisé en attendant la saisie d’un nouveau.

Vérifier vos comptes

La seconde action à entreprendre est de visiter tous les sites pour lesquels votre adresse email est l’identifiant. L’objectif est encore une fois de remplacer le mot de passe associé et vérifier s’il n’y a pas des mouvements étranges. Là encore, cela dépendra du ou des applications pour lesquelles vos données ont été exposées sur le web.

Que vous ayez été victime d’une violation ou pas, il existe de nombreuses actions à mettre en place pour se prémunir de ce type d’agissements. Cependant, il faut savoir que le risque zéro n’existe pas. En revanche, en appliquant des principes simples, vous pouvez déjà améliorer la sécurité de vos comptes et donc de vos données personnelles.

Les actions préventives

Un gestionnaire de mot de passe

Parmi les bonnes pratiques, on peut trouver l’utilisation d’un gestionnaire de mot de passe. D’ailleurs, si vous avez navigué sur le site Haveibeenpwned, vous avez assurément relevé le nom de l’un d’eux. Nous parlons de 1Password. Il en existe de nombreux autres comme LastPass, Bitwarden, NordPass, ProtonPass, KeePass ou encore DashLane que nous avions testé il y a plusieurs années. Évidement, depuis notre article, la solution a bien évolué.

Tout d’abord, vous retrouverez tous vos mots de passe à un même endroit, accessible depuis un navigateur ou depuis votre smartphone. Ensuite, ces solutions intègrent des générateurs de mots de passe. Vous êtes donc assurés d’avoir quelque chose de plus sécurisé que « 12345 » ou encore « Azerty ». Enfin, grâce à ce type de solution, vous n’avez plus besoin de faire travailler votre mémoire pour vous souvenir de tous vos mots de passe. Nous vous encourageons donc – et nous ne sommes pas les seuls – à avoir un mot de passe différent par accès.

Cependant, il faut veiller à ce que le mot de passe maître, celui permettant d’accéder à votre coffre-fort, soit robuste.

Autres exemples de mesures de sécurité

Il existe une multitude de mesures pouvant être mises en place pour assurer la sécurité de vos données ou au moins limiter au maximum leur exposition sur le net. En voici quelques exemples :

• Ne pas communiquer vos données personnelles,
• Activation de l’authentification à deux facteurs (2FA) quand cela est proposé,
• Surveiller régulièrement l’activité de vos comptes,
• Ne pas ouvrir les messages dont on ne connaît pas l’expéditeur (et encore moins cliquer sur les éventuels liens présents dans le message),
• Changer régulièrement vos mots de passe.

Si vous pensez à d’autres actions préventives ou « correctives » pouvant être utiles, n’hésitez pas à les partager.