Une entreprise auprès de laquelle vous vous êtes inscrit il y a des années se fait pirater. Leur base de données — incluant votre adresse email, peut-être votre mot de passe et d'autres données personnelles — est volée. Et ensuite ?
La plupart des gens imaginent que les données volées disparaissent dans quelque coin sombre d'internet. La réalité est plus organisée, plus persistante et plus lourde de conséquences que cela.
La chronologie d'une violation de données
Comprendre ce qui arrive à vos données après une violation vous aide à réagir de manière appropriée et à prendre de meilleures décisions avant que les violations se produisent.
Phase 1 : La violation se produit (Jour 0)
Un attaquant obtient un accès non autorisé à la base de données d'une entreprise. Cela peut se produire via une vulnérabilité non corrigée, une attaque de phishing sur un employé, des identifiants compromis ou une base de données mal configurée laissée accessible publiquement.
L'attaquant copie la base de données. Cela peut se produire en quelques minutes pour les petites bases de données, des heures ou des jours pour les grandes. L'entreprise peut ne pas encore savoir que c'est arrivé.
Phase 2 : Découverte et divulgation (Jours à mois plus tard)
L'entreprise peut découvrir la violation elle-même via une surveillance, ou être notifiée par un chercheur en sécurité, les forces de l'ordre ou les attaquants eux-mêmes (dans les scénarios de ransomware).
Sous le RGPD (Europe), les entreprises sont tenues de notifier les utilisateurs concernés dans les 72 heures suivant la découverte. En vertu des diverses lois des États américains, les délais de notification varient. En pratique, de nombreuses violations sont divulguées des semaines ou des mois après leur survenue — et certaines ne sont jamais divulguées du tout.
Phase 3 : Les données arrivent sur le marché (Immédiatement à quelques semaines plus tard)
Voici ce qui arrive réellement à la base de données volée :
Scénario A : Vendue sur des marchés du dark web L'attaquant liste la base de données à vendre. Les prix varient énormément — une base de données d'un million de paires email/mot de passe d'un service financier peut se vendre plusieurs milliers de dollars. Une base de données d'emails d'un site de jeux vidéo peut se vendre quelques centaines.
Scénario B : Utilisée directement pour le credential stuffing Si la base de données inclut des mots de passe (même hachés), les attaquants les passent dans des crackers de mots de passe puis essaient les identifiants crackés sur des cibles de haute valeur — sites bancaires, fournisseurs d'email, sites e-commerce. C'est ce qu'on appelle le credential stuffing. Ça fonctionne parce que la plupart des gens réutilisent leurs mots de passe.
Scénario C : Ajoutée à des listes de spam Même sans mots de passe, les adresses email issues de violations sont précieuses pour les spammeurs. Les adresses sont vérifiées comme réelles (elles ont été utilisées pour s'inscrire à quelque chose) et s'ajoutent aux listes d'emails en masse.
Scénario D : Utilisée pour du phishing ciblé Si la violation incluait du contexte supplémentaire — quel service vous utilisiez, votre nom d'utilisateur, votre historique d'achats — les attaquants peuvent concevoir des emails de phishing convaincants qui font référence à des détails spécifiques pour paraître légitimes.
Phase 4 : Les données circulent indéfiniment
C'est la partie que la plupart des gens ne comprennent pas : les données violées n'expirent pas et ne disparaissent pas.
Une fois qu'une base de données est vendue une fois, elle est revendue. Elle est combinée avec d'autres bases de données de violations dans des "listes combo" — d'immenses collections de paires email/mot de passe issues de centaines de violations fusionnées ensemble. Certaines listes combo contiennent des milliards d'enregistrements.
Une adresse email issue d'une violation en 2015 circule encore dans les listes de spam et les listes combo en 2026. Les données des grandes violations — LinkedIn 2012, Adobe 2013, Yahoo 2013-2016 — sont encore activement utilisées dans des attaques aujourd'hui.
Comment vérifier si votre email a été violé
HaveIBeenPwned (haveibeenpwned.com) est l'outil gratuit le plus complet pour vérifier si votre email apparaît dans des bases de données de violations connues. Il a été construit par le chercheur en sécurité Troy Hunt et suit des centaines de grandes violations.
Entrez votre adresse email et il vous indique :
- Dans quelles violations votre adresse est apparue
- Quelles données ont été exposées dans chaque violation (email, mot de passe, nom d'utilisateur, adresse IP, etc.)
- La date de chaque violation
C'est utile pour comprendre votre exposition historique. Cela ne détectera pas les violations qui n'ont pas encore été divulguées publiquement.
Mozilla Monitor (monitor.mozilla.org) utilise la même base de données HaveIBeenPwned et ajoute une surveillance continue — il vous alerte lorsque votre adresse apparaît dans de nouvelles violations.
Que faire immédiatement après une notification de violation
Si vous recevez une notification indiquant que votre email (et peut-être votre mot de passe) a été exposé dans une violation, agissez dans cet ordre :
1. Changez le mot de passe sur le service violé Même si l'entreprise dit que les mots de passe étaient "hachés", changez-le. Les algorithmes de hachage varient en force, et les anciennes violations utilisaient souvent un hachage faible (MD5) qui peut être cracké rapidement.
2. Vérifiez si vous avez réutilisé ce mot de passe ailleurs Si vous avez utilisé le même mot de passe sur d'autres services — en particulier les emails, la banque ou les comptes sociaux — changez-le immédiatement sur ces services. Les attaques de credential stuffing exploitent précisément la réutilisation des mots de passe.
3. Activez l'authentification à deux facteurs sur les comptes importants La 2FA par email est mieux que rien. Une application d'authentification (Google Authenticator, Authy) ou une clé matérielle (YubiKey) est significativement meilleure que la 2FA par email.
4. Soyez vigilant face aux tentatives de phishing Les violations qui ont exposé des données contextuelles (quel service vous utilisiez, votre nom d'utilisateur, votre historique d'achats) sont suivies de campagnes de phishing ciblées. Soyez extra-vigilant face aux emails qui font référence à des détails de compte spécifiques dans les semaines qui suivent.
5. Surveillez vos comptes financiers Si la violation incluait des données de paiement, surveillez vos relevés de carte pour des débits non autorisés. Signalez les débits non autorisés à votre banque immédiatement.
Comment l'email temporaire limite les dommages d'une violation
Utiliser une adresse email temporaire ou jetable pour les inscriptions non essentielles limite directement votre exposition aux violations.
Lorsque vous utilisez une adresse temporaire pour un service qui se fait ultérieurement pirater :
- La base de données violée contient
xk7p2m@instanttempemail.com— une adresse expirée et aléatoire sans lien avec votre identité - Votre vraie adresse email n'est pas dans la base de données
- Vous ne recevez aucun email de phishing à votre vraie adresse car les données de violation ne l'incluent pas
- Les attaques de credential stuffing utilisant cette adresse n'aboutissent à rien car l'adresse est morte
C'est l'un des avantages de confidentialité les plus concrets et pratiques de l'email jetable — il limite le rayon d'impact de toute violation individuelle à ce seul service, sans débordement sur votre identité réelle ou vos autres comptes.
L'adresse temporaire peut encore être utilisée dans des campagnes de phishing, mais puisque la boîte est expirée, les emails de phishing n'arrivent nulle part et vous ne les voyez jamais.
Le problème de la réutilisation des mots de passe
Les violations de données sont les plus dangereuses lorsqu'elles exposent des mots de passe réutilisés sur plusieurs services. Comprendre cela aide à expliquer pourquoi l'hygiène des violations et l'hygiène des emails comptent ensemble.
Une attaque typique de credential stuffing fonctionne ainsi :
- L'attaquant achète une liste combo avec 500 millions de paires email/mot de passe issues de diverses violations
- Il écrit un script qui essaie chaque paire contre un service cible (Gmail, PayPal, Amazon)
- Un petit pourcentage — même 0,1% — se connectera avec succès car ces utilisateurs ont réutilisé le mot de passe
- Ces comptes sont désormais compromis
La défense est simple mais demande de la discipline :
Utilisez un gestionnaire de mots de passe. 1Password, Bitwarden (open source, gratuit) ou Dashlane génèrent et stockent des mots de passe aléatoires uniques pour chaque service. Vous ne réutilisez jamais un mot de passe car vous n'avez jamais besoin de mémoriser des mots de passe.
Utilisez des mots de passe uniques pour chaque service. Avec un gestionnaire de mots de passe, c'est sans effort. Sans, c'est genuinement difficile — c'est pourquoi la plupart des gens ne le font pas, et pourquoi le credential stuffing fonctionne.
Combiner des mots de passe uniques avec des emails jetables pour les services à faible valeur signifie qu'une violation dans un service n'expose rien d'utile pour attaquer d'autres services.
Pourquoi certaines entreprises ne divulguent pas les violations
Toutes les violations ne deviennent pas publiques. Les entreprises peuvent :
- Ne pas savoir qu'elles ont été piratées (les attaquants sont souvent furtifs)
- Corriger discrètement la vulnérabilité en espérant que personne ne remarque
- Sous-estimer la portée de ce qui a été accédé
- Se trouver dans des juridictions avec des exigences de divulgation faibles ou inexistantes
- Retarder la divulgation pendant l'enquête, parfois pendant des mois
Cela signifie que votre email peut apparaître dans des bases de données de violations que HaveIBeenPwned ne connaît pas. Le problème des violations non divulguées est pourquoi utiliser des adresses jetables pour les services peu fiables est précieux même si vous n'avez jamais reçu de notification de violation — vous avez peut-être été victime d'une violation sans le savoir.
Foire aux questions
Si mon email était dans une violation mais pas mon mot de passe, suis-je en sécurité ? Plus en sécurité, mais pas en sécurité. Les violations d'emails seuls alimentent les listes de spam et font de vous une cible pour le phishing. Elles sont également combinées avec d'autres données de violations pour créer des profils plus riches de cibles potentielles. Ne changez rien, mais soyez plus vigilant face aux emails suspects.
Puis-je faire supprimer mes données des bases de données de violations ? Des bases de données de violations utilisées par des services comme HaveIBeenPwned — non, et vous ne le voudriez pas. Ces bases de données sont ce qui vous permet de vérifier votre exposition. Des listes de spam et des listes combo circulant parmi les attaquants — non. Une fois que les données sont dans ces listes, il n'existe pas de mécanisme de suppression.
Vaut-il la peine de payer pour des services de protection contre le vol d'identité ? Leur valeur varie. La fonctionnalité principale — surveiller vos données personnelles dans les bases de données de violations — est disponible gratuitement via HaveIBeenPwned et Mozilla Monitor. Les services payants ajoutent une assurance, une surveillance du crédit et des services de récupération assistée, qui ont de la valeur si vous avez déjà été impacté par un vol d'identité. Pour la surveillance des violations seule, les outils gratuits sont suffisants.
Comment les attaquants savent-ils quelles paires email/mot de passe essayer où ? Les listes combo incluent souvent des métadonnées sur la provenance des identifiants. Les attaquants utilisent également la probabilité — s'ils ont votre email et un mot de passe, ils essaient d'abord les cibles de haute valeur les plus communes : Gmail, Outlook, PayPal, Amazon, les grandes banques. Ils automatisent ce processus sur des millions d'identifiants.
Mon mot de passe a été exposé mais il était haché. Dois-je quand même le changer ? Oui. La force du hachage varie. Les hachages MD5 et SHA1 (utilisés par de nombreux anciens services) peuvent être crackés en quelques minutes en utilisant des outils basés sur GPU et des tables arc-en-ciel. Même les mots de passe hachés avec bcrypt peuvent être crackés avec suffisamment de temps et de puissance de calcul si le mot de passe était faible. Changez-le dans tous les cas.