Ces derniers mois, plusieurs cyberattaques ont visé des hôpitaux et des collectivités en France, exposant les données personnelles de centaines de milliers de personnes : noms, adresses, numéros de téléphone, parfois données bancaires ou médicales. Si vous avez reçu un email ou un SMS vous informant que vos données ont pu être compromises — ou si vous vous demandez simplement comment réagir en cas de cyberattaque — ce guide détaille, étape par étape, comment savoir si vous êtes concerné, quoi faire dans l'heure qui suit une alerte, et comment réduire durablement votre exposition aux risques numériques.
Pourquoi ce sujet concerne (presque) tout le monde
Une cyberattaque ne vise pas forcément votre ordinateur personnel. Le plus souvent, ce sont les organismes qui détiennent vos données — collectivités, hôpitaux, opérateurs téléphoniques, sites de e-commerce, administrations — qui sont piratés. Vos informations se retrouvent alors, sans que vous ayez rien fait de mal, dans une base de données volée qui peut être revendue ou publiée sur des forums spécialisés. C'est ce qu'on appelle une fuite de données (data breach).
Le problème, c'est que ces fuites ne se traduisent pas toujours par une alerte immédiate et claire. Parfois, l'organisme concerné communique plusieurs semaines après les faits ; parfois, vous l'apprenez seulement en recevant une vague de tentatives de phishing (hameçonnage) particulièrement ciblées, ou en constatant une activité suspecte sur un de vos comptes. Savoir reconnaître les signes et réagir vite limite fortement les dégâts.
À retenir : être concerné par une fuite de données ne veut pas dire que votre compte bancaire va être vidé dans l'heure. Cela signifie surtout que le risque de tentatives d'escroquerie ciblées (phishing, usurpation d'identité) augmente nettement dans les semaines qui suivent. C'est pendant cette période qu'il faut être le plus vigilant.
Comment savoir si vos données ont été compromises
1. Les notifications officielles
Quand un organisme détecte une fuite touchant des données personnelles, il a une obligation légale (issue du RGPD) d'en informer les personnes concernées si le risque pour leurs droits et libertés est élevé. Vous pouvez donc recevoir :
- Un email ou un courrier officiel de l'organisme piraté, expliquant la nature de la fuite (quelles données, depuis quand) ;
- Une communication de la CNIL ou d'une autorité publique si l'incident est d'ampleur nationale ;
- Une alerte de votre banque si des données bancaires sont concernées.
Attention au piège : les escrocs profitent justement de ces vagues d'actualité sur les cyberattaques pour envoyer de faux emails de notification, qui imitent l'organisme réellement piraté et vous demandent de « vérifier votre compte » en cliquant sur un lien. Ne cliquez jamais sur un lien dans un email non sollicité : rendez-vous directement sur le site officiel de l'organisme en tapant l'adresse vous-même dans votre navigateur.
2. Vérifier vous-même via des outils spécialisés
Il existe des services gratuits qui recensent les fuites de données connues et vous indiquent si votre adresse email ou votre numéro de téléphone y figure :
- Have I Been Pwned (haveibeenpwned.com) : le site de référence, maintenu par un chercheur en sécurité indépendant. Vous entrez votre adresse email, il vous indique dans quelles fuites connues elle apparaît.
- Le service de la CNIL et de cybermalveillance.gouv.fr : la plateforme officielle française propose des diagnostics et des fiches pratiques pour les particuliers victimes de cybermalveillance.
Astuce : sur Have I Been Pwned, vous pouvez aussi activer une surveillance gratuite (« Notify me ») : le site vous enverra un email automatiquement si votre adresse apparaît dans une nouvelle fuite à l'avenir, sans que vous ayez à revérifier manuellement.
3. Les signes indirects à surveiller
| Signe observé | Ce qu'il peut indiquer |
|---|---|
| Emails de phishing très ciblés (avec votre nom, votre banque, un achat récent) | Vos données personnelles circulent probablement sur des bases piratées |
| Notifications de connexion depuis un lieu inconnu | Une tentative d'accès à votre compte avec un mot de passe compromis |
| Appels téléphoniques se présentant comme votre banque ou un service public | Vos coordonnées téléphoniques ont pu être exposées |
| Courriers ou SMS de sociétés que vous n'avez jamais contactées | Revente de vos données à des tiers après une fuite |
Que faire immédiatement si vous êtes concerné
Si vous avez reçu une notification officielle, ou si vous suspectez fortement que vos données ont fuité, voici la marche à suivre, dans l'ordre de priorité.
Étape 1 — Changez le mot de passe du compte concerné, puis de tous les comptes qui partagent ce même mot de passe. C'est la priorité absolue si des identifiants (email + mot de passe) ont fuité. Beaucoup de personnes réutilisent le même mot de passe sur plusieurs sites : un pirate qui récupère vos identifiants sur un site va systématiquement les essayer ailleurs (technique du « credential stuffing »).
Étape 2 — Activez la double authentification (2FA/MFA) sur vos comptes les plus sensibles : messagerie principale, banque, réseaux sociaux. Même si un pirate connaît votre mot de passe, il ne pourra pas se connecter sans le code envoyé sur votre téléphone ou généré par une application d'authentification.
Étape 3 — Surveillez vos comptes bancaires pendant plusieurs semaines. Si des coordonnées bancaires ont été exposées, contactez votre banque pour évaluer s'il faut faire opposition ou renouveler votre carte par précaution. En cas de prélèvement ou d'achat que vous ne reconnaissez pas, contestez-le immédiatement auprès de votre banque — vous disposez légalement de 13 mois pour contester un paiement par carte non autorisé.
Étape 4 — Redoublez de vigilance face aux appels, SMS et emails dans les semaines qui suivent. Les escrocs exploitent les fuites de données pour des campagnes de phishing ou de « faux conseiller bancaire » très crédibles, puisqu'ils connaissent déjà certaines de vos informations réelles (nom, banque, dernier achat). Aucun organisme légitime ne vous demandera jamais votre code de carte bancaire, un code reçu par SMS, ou votre mot de passe par téléphone ou par email.
Étape 5 — Signalez l'incident. Si vous êtes victime d'une tentative d'escroquerie liée à cette fuite, vous pouvez :
- Signaler le message frauduleux sur signal.conso.gouv.fr ou via le 33 700 (numéro court anti-arnaques par SMS) ;
- Déposer une pré-plainte en ligne sur service-public.fr si vous subissez un préjudice financier avéré ;
- Consulter les fiches pratiques de cybermalveillance.gouv.fr, qui propose aussi un annuaire de prestataires de confiance en cas de besoin d'assistance technique.
« La meilleure défense contre une fuite de données n'est pas d'éviter qu'elle se produise — vous ne contrôlez pas la sécurité des organismes qui détiennent vos informations — mais de limiter ce qu'un pirate peut en faire : des mots de passe uniques et une double authentification rendent vos identifiants volés largement inutilisables. »
Comment se protéger durablement, au quotidien
Au-delà de la réaction à chaud, quelques habitudes réduisent fortement votre exposition aux conséquences d'une future cyberattaque — car il y en aura d'autres.
Utilisez un gestionnaire de mots de passe
C'est la mesure la plus efficace et la plus simple à mettre en place. Un gestionnaire de mots de passe (intégré à votre navigateur, ou une application dédiée) génère et retient pour vous un mot de passe long et unique pour chaque site. Vous n'avez plus qu'à retenir un seul mot de passe maître, très robuste. Ainsi, si un site est piraté, seul ce compte est concerné — pas l'ensemble de vos comptes.
Activez la double authentification partout où c'est possible
Messagerie, banque, réseaux sociaux, cloud personnel : chaque compte protégé par une double authentification (via SMS, application d'authentification ou clé physique) devient beaucoup plus difficile à pirater, même avec un mot de passe volé.
Faites des sauvegardes régulières
Une cyberattaque peut aussi prendre la forme d'un rançongiciel (ransomware) qui chiffre vos fichiers personnels. Une sauvegarde régulière sur un disque dur externe, déconnecté après la copie, ou sur un service cloud fiable, vous évite de perdre définitivement vos photos et documents si cela vous arrive.
Limitez les informations que vous partagez
Moins un organisme détient d'informations sur vous, moins il y a de données à perdre en cas de piratage. Évitez de communiquer des informations sensibles (date de naissance complète, numéro de sécurité sociale) quand ce n'est pas strictement nécessaire, et pensez à supprimer régulièrement les comptes en ligne que vous n'utilisez plus.
Mettez à jour vos appareils
Les mises à jour de votre ordinateur, smartphone et box internet corrigent des failles de sécurité réellement exploitées par des pirates. Activer les mises à jour automatiques reste l'un des gestes les plus simples et les plus efficaces.
Cas particulier : fuite de données médicales
Les hôpitaux et établissements de santé sont des cibles fréquentes de cyberattaques, car les données médicales ont une forte valeur sur les marchés clandestins. Si vous êtes informé qu'un établissement de santé où vous avez été soigné a été victime d'une cyberattaque :
- Soyez particulièrement vigilant face aux appels ou messages se présentant comme votre hôpital, votre mutuelle ou l'Assurance Maladie, surtout s'ils vous demandent un paiement ou des informations bancaires ;
- Sachez que des données médicales exposées peuvent être utilisées pour des tentatives d'escroquerie très ciblées (par exemple, de fausses relances de facture d'un acte médical réel) ;
- Vous pouvez demander à l'établissement concerné, par écrit, quelles données précises ont été exposées — c'est un droit garanti par le RGPD.
Ceci est un guide pratique de prévention et de réaction face aux cyberattaques, pas un avis juridique ou médical personnalisé. En cas de situation complexe (usurpation d'identité avérée, préjudice financier important, données médicales sensibles exposées), rapprochez-vous d'un professionnel du droit ou des services officiels compétents (CNIL, cybermalveillance.gouv.fr, votre mutuelle).
Vos droits face à une fuite de données (RGPD)
Le Règlement Général sur la Protection des Données (RGPD) vous donne plusieurs droits concrets lorsque vos données personnelles ont été compromises :
- Droit d'information : l'organisme responsable doit vous informer de la fuite si elle présente un risque élevé pour vous, dans un délai raisonnable.
- Droit d'accès : vous pouvez demander à savoir précisément quelles données vous concernant ont été exposées.
- Droit de réclamation : si vous estimez que l'organisme n'a pas correctement protégé vos données ou ne vous a pas informé comme il le devait, vous pouvez déposer une plainte auprès de la CNIL (cnil.fr), gratuitement et en ligne.
- Droit à réparation : en cas de préjudice avéré (financier ou moral), vous pouvez engager une action en réparation, y compris via des actions collectives dans certains cas.
Récapitulatif : la checklist à garder sous la main
- Vérifiez si votre email apparaît dans une fuite connue (Have I Been Pwned).
- Changez immédiatement le mot de passe du compte concerné et de tous les comptes qui le partagent.
- Activez la double authentification sur vos comptes sensibles.
- Surveillez vos comptes bancaires pendant plusieurs semaines.
- Ne cliquez jamais sur un lien reçu par email ou SMS vous demandant de « vérifier » un compte — passez toujours par le site officiel tapé directement dans le navigateur.
- Signalez toute tentative d'escroquerie sur signal.conso.gouv.fr ou le 33 700.
- Adoptez un gestionnaire de mots de passe pour l'avenir.
- Faites des sauvegardes régulières de vos fichiers importants.
Une cyberattaque touchant un organisme que vous utilisez n'est jamais une bonne nouvelle, mais ce n'est pas non plus une fatalité : en réagissant vite et en adoptant quelques réflexes simples et durables, vous réduisez très fortement le risque que cette fuite de données se transforme en préjudice réel pour vous.