Un message d’un opérateur, d’une enseigne ou d’un service public vous annonce que vos données ont été dérobées ? Le cas n’a rien d’exceptionnel : selon la fiche du ministère de l’Intérieur sur les violations de données, mise à jour en mars 2026, plus de 5 600 violations ont été signalées à la CNIL en 2024, soit 20 % de plus qu’en 2023, et certaines attaques ont touché plus d’un million de personnes. Voici comment savoir si vous êtes concerné et quoi faire, d’après les conseils de la CNIL et du ministère.
Qu’est-ce qu’une fuite de données ?
Le ministère de l’Intérieur parle de violation de données lorsque des informations personnelles, comme un nom, une adresse, un e-mail, un mot de passe ou un numéro de carte bancaire, sont « perdues, volées ou vues par des personnes non autorisées ». L’origine peut être une erreur humaine ou une cyberattaque. La CNIL ajoute que ces données peuvent, dans certains cas, être revendues sur Internet. Le ministère cite parmi les fuites marquantes celles qui ont touché des opérateurs (Free, SFR, Bouygues), des enseignes (Boulanger, Cultura, Truffaut), des organismes publics comme la CAF ou France Travail, ou encore des prestataires de santé.
Le ministère distingue deux situations. Dans la première, les données ont été exposées mais pas encore utilisées. Dans la seconde, elles servent déjà à des arnaques : hameçonnage, faux prélèvements, paiements frauduleux ou usurpation d’identité. La conduite à tenir n’est pas tout à fait la même.
Comment savoir si vous êtes concerné
Le premier canal reste l’organisme lui-même. Selon la CNIL, lorsque la violation vous expose à un risque, l’organisme responsable doit vous en informer « dans les meilleurs délais ». Le ministère précise que l’entreprise touchée doit notifier l’incident à la CNIL et prévenir les personnes concernées.
Si vous avez un doute, interrogez directement l’organisme : la CNIL indique qu’elle n’est pas en mesure de confirmer si vos données figurent dans le fichier piraté. Méfiez-vous toutefois des messages qui prétendent venir de lui, car les fraudeurs exploitent justement les fuites pour envoyer des courriels crédibles. Pour vérifier, rendez-vous sur le site officiel en saisissant vous-même son adresse dans le navigateur.
Restent les sites de vérification en ligne, sur lesquels les deux autorités ne disent pas la même chose. La CNIL déconseille les sites qui prétendent détenir les données et pouvoir vous dire si vous êtes touché. La fiche du ministère de l’Intérieur, elle, recommande de vérifier sur haveibeenpwned.com, en y renseignant son adresse e-mail, si ses données sont déjà en fuite. À vous de choisir, en gardant à l’esprit que la réponse de l’organisme concerné reste la plus fiable.
Que faire : les étapes dans l’ordre
- Changez vos mots de passe sans attendre. La CNIL conseille de le faire même avant d’avoir été informé par l’organisme, en commençant par les services les plus sensibles : messagerie, impôts, banque, commerce en ligne.
- Utilisez un mot de passe différent pour chaque service, robuste, et conservez-les dans un gestionnaire de mots de passe.
- Activez la double authentification partout où elle est proposée, par exemple avec un code à usage unique reçu par SMS. Le ministère recommande de l’activer sur tous vos comptes.
- Prévenez votre banque si des données bancaires figurent dans la fuite.
- Surveillez vos comptes : relevés bancaires, réseaux sociaux, messagerie.
- Redoublez de vigilance face à l’hameçonnage. Un faux message de la sécurité sociale, de votre banque ou d’un transporteur peut reprendre vos vraies informations. Ne cliquez pas sur les liens, n’ouvrez pas les pièces jointes et supprimez le message.
- Signalez l’incident à la CNIL, comme le suggère le ministère lorsque les données n’ont pas encore été utilisées.
En cas d’usurpation d’identité ou de fraude
Si vos données servent déjà à une escroquerie, le ministère conseille de porter plainte auprès de la police ou de la gendarmerie en apportant les preuves : captures d’écran, e-mails reçus. Pour les arnaques sur Internet, une plainte en ligne est possible sur la plateforme THESEE. La CNIL recommande aussi de prévenir vos banques et, si l’usurpation est confirmée, de vérifier votre inscription au fichier des incidents de remboursement des crédits aux particuliers, tenu par la Banque de France.
Pour savoir si des comptes bancaires ont été ouverts à votre nom à votre insu, demandez la consultation du fichier FICOBA depuis votre espace particulier sur impots.gouv.fr, rubrique « Autres services ». La CNIL renvoie également aux conseils de prévention publiés par cybermalveillance.gouv.fr.
Pensez enfin à votre entourage : demandez à vos proches s’ils ont reçu le message de l’organisme et transmettez-leur ces conseils. La CNIL invite à une vigilance particulière envers les personnes âgées, celles qui ont peu accès à Internet et celles dont des données sensibles, comme la santé ou les convictions, ont fuité. Pour savoir si vous pouvez être indemnisé, la CNIL consacre une page aux cas où une indemnisation est possible après une violation de données.
Questions fréquentes
La CNIL peut-elle me dire si mes données ont fuité ?
Non. Elle indique ne pas pouvoir confirmer si vos données figurent dans un fichier piraté. Il faut interroger directement l’organisme concerné par la fuite.
Faut-il utiliser un site comme haveibeenpwned ?
Les avis divergent. La CNIL déconseille les sites qui prétendent détenir les données volées, tandis que le ministère de l’Intérieur cite haveibeenpwned.com, où l’on renseigne seulement son adresse e-mail.
L’organisme est-il obligé de me prévenir ?
Oui, lorsque la violation vous expose à un risque : il doit vous informer dans les meilleurs délais. Il doit aussi notifier l’incident à la CNIL.
Dois-je changer tous mes mots de passe ?
Au minimum celui du service touché et ceux des comptes les plus sensibles, en priorité la messagerie, les impôts, la banque et les sites marchands, surtout si vous réutilisiez le même mot de passe.
Comment savoir si un compte bancaire a été ouvert à mon nom ?
Demandez la consultation du fichier FICOBA depuis votre espace particulier sur impots.gouv.fr, dans la rubrique « Autres services ».
Sources
- Fuite ou vol de données : les conseils de la CNIL — CNIL, 2024-03-18
- Comment réagir face aux violations de données ? — Ma Sécurité (ministère de l'Intérieur), 2026-03-17