Une organisation vous annonce que vos données ont fuité, ou vous l'apprenez par la presse. Le risque principal n'est pas la fuite elle-même : ce sont les arnaques qui la suivent. Avec votre nom, votre email, votre téléphone ou votre IBAN, un escroc peut vous contacter en se faisant passer pour l'organisation, votre banque ou un service public, de façon très crédible.
Les quatre réflexes tout de suite
- Lisez le message officiel de l'organisation sur son site ou dans votre espace client, pas dans un mail reçu. Il précise quelles données sont concernées.
- Changez le mot de passe du compte concerné, et partout où vous utilisiez le même. Les conseils de Cybermalveillance.gouv.fr.
- Activez la double authentification (code par SMS ou application) sur vos comptes importants : messagerie, banque, réseaux sociaux.
- Ne rappelez jamais un numéro et ne cliquez sur aucun lien reçu au sujet de la fuite. Pour vérifier, contactez vous-même l'organisation avec les coordonnées de son site officiel.
Savoir si votre email est dans une fuite
Le site Have I Been Pwned indique gratuitement si une adresse email apparaît dans des fuites connues, et peut vous prévenir des prochaines. Il n'existe pas d'outil public français équivalent. Un résultat négatif ne prouve rien : toutes les fuites n'y figurent pas.
Les faux mails, SMS et appels qui suivent
Dans les semaines qui suivent une fuite, les escrocs utilisent les données volées pour paraître légitimes : « remboursement », « colis bloqué », « problème sur votre compte », faux conseiller bancaire au téléphone. Une banque ou un service public ne vous demande jamais un code reçu par SMS ni vos identifiants.
- Mail douteux : signalez-le sur Signal Spam.
- SMS ou appel douteux : transférez-le au 33700 ou signalez-le sur 33700.fr.
- Faux site : signalez son adresse sur Phishing Initiative, qui le fait bloquer dans les navigateurs.
La fiche « Que faire en cas d'hameçonnage ? » détaille ces démarches.
Votre IBAN a fuité
Un IBAN seul ne permet pas de vider un compte, mais il peut servir à mettre en place des prélèvements frauduleux.
- Prévenez votre banque et surveillez vos relevés. Certaines banques permettent de n'autoriser que les prélèvements de créanciers que vous avez choisis.
- Prélèvement que vous n'avez jamais autorisé : contestez-le auprès de votre banque sans attendre, au plus tard 13 mois après le débit (article L133-24 du Code monétaire et financier). La banque doit vous rembourser.
- Prélèvement autorisé mais contesté : vous pouvez demander le remboursement dans les 8 semaines suivant le débit (Banque de France).
- Si votre carte bancaire est concernée, faites opposition.
Si quelqu'un utilise votre identité
Ouverture de compte, crédit ou abonnement à votre nom : conservez toutes les preuves, prévenez votre banque, faites refaire les pièces d'identité utilisées et portez plainte pour chaque fait. La fiche « Usurpation d'identité, que faire ? » liste toutes les démarches, dont la consultation des fichiers de la Banque de France.
Besoin d'aide ou d'écoute : France Victimes au 116 006 (gratuit, 7 jours sur 7, de 9 h à 19 h) et Info Escroqueries au 0 805 805 817 (gratuit).
Porter plainte
- Victime d'une arnaque en ligne (faux site, piratage de messagerie, chantage) : la plainte en ligne THESEE est ouverte aux particuliers majeurs. Préparez l'IBAN sur lequel vous avez payé.
- Sinon, ou pour une escroquerie aux faux placements : commissariat, gendarmerie ou courrier au procureur de la République.
- Pour être guidé selon votre situation : 17Cyber, le service public d'assistance en ligne aux victimes. En cas d'urgence, appelez le 17.
Faire valoir vos droits
Vous pouvez demander à l'organisation quelles données elle détient sur vous (droit d'accès) et demander leur effacement. Si vos données sont publiées en ligne, signalez-les à la plateforme et demandez leur déréférencement aux moteurs de recherche.
Sans réponse dans les délais, vous pouvez porter plainte auprès de la CNIL, avec la preuve de vos démarches. La CNIL n'accorde pas de dommages et intérêts : pour une indemnisation, il faut passer par la justice ou une action de groupe d'une association agréée.
Le guide de référence est la fiche officielle « Que faire en cas de fuite de données personnelles ? » de Cybermalveillance.gouv.fr.