Fuite de données : comprendre et réagir

Auteur : Rédaction Domeny.ForSale Publié le 25.09.2026

En bref : Une fuite de données se produit lorsque des informations parviennent à des personnes non autorisées ou sont mises à leur disposition. Elle peut résulter d’une attaque, d’une erreur humaine ou d’une protection insuffisante du système ; elle n’implique pas nécessairement une publication des données sur internet. Ses conséquences dépendent avant tout de la nature des informations divulguées : les mesures à prendre ne sont pas les mêmes après la fuite d’une adresse e-mail, d’un mot de passe ou d’un numéro PESEL.

Quand parle-t-on de fuite de données ?

Il y a fuite de données, par exemple, lorsqu’une personne dérobe une base de données clients, qu’un salarié envoie un document au mauvais destinataire ou qu’un dossier contenant des fichiers confidentiels est accessible au public sans connexion. Les données peuvent être copiées tout en restant dans le système de l’entreprise. L’absence de fichiers disparus ne garantit donc pas leur sécurité.

Une fuite peut concerner des données personnelles, c’est-à-dire des informations permettant d’identifier une personne, mais aussi des secrets commerciaux, du code logiciel ou des clés API — des identifiants permettant aux programmes d’utiliser des services. Tous les incidents ne touchent donc pas à la vie privée : le risque peut aussi porter sur l’accès à l’infrastructure ou sur la perte de confidentialité de la documentation.

Dans le cadre du RODO, le règlement général sur la protection des données, la violation de données à caractère personnel est une notion plus large. Elle englobe non seulement la divulgation ou l’accès non autorisés, mais aussi, notamment, la perte, la destruction ou la modification de données. Le seul terme « fuite » ne décrit pas toutes les violations possibles.

Comment les informations sont-elles divulguées ?

Une faille logicielle peut être en cause, mais une simple erreur aussi. Voici des scénarios courants :

Prise de contrôle d’un compte : un attaquant obtient le mot de passe, par exemple par hameçonnage, en se faisant passer pour un expéditeur de confiance afin de soutirer des informations.
Droits d’accès mal configurés : un fichier, une sauvegarde ou une base de données sont accessibles à davantage de personnes qu’ils ne devraient l’être.
Erreur d’envoi : un message contenant des données parvient au mauvais destinataire ou révèle les adresses des destinataires dans le champ « À ».
Logiciel malveillant : un programme dérobe des fichiers, des mots de passe ou des données de sessions actives, qui peuvent permettre d’accéder à un compte sans se reconnecter.
Action d’une personne disposant d’un accès : un salarié ou un collaborateur copie des informations au-delà de ce qui lui est autorisé.

Une fuite chez un prestataire peut toucher un utilisateur qui n’a lui-même commis aucune erreur. Il est donc nécessaire de sécuriser ses appareils, mais cela ne remplace ni le choix prudent des services utilisés ni la limitation des données transmises.

De quoi dépendent les conséquences d’une fuite ?

L’essentiel est de déterminer quelles informations ont précisément été divulguées et avec quelles autres données elles peuvent être croisées. Une adresse e-mail seule ne suffit généralement pas à se connecter à un compte. Associée à un historique d’achats, elle peut toutefois faciliter la rédaction d’un message convaincant prétendument envoyé par une boutique.

Informations divulguées	Risque principal	Première mesure à prendre
Adresse e-mail ou numéro de téléphone	Escroqueries ciblées et sollicitations indésirables	Vérifiez l’identité de l’expéditeur par un canal indépendant
Mot de passe	Prise de contrôle du compte et tentatives de connexion à d’autres services	Changez ce mot de passe partout où vous l’avez réutilisé
Données de carte bancaire	Paiements non autorisés	Contactez votre banque
PESEL ou données d’un document d’identité	Tentatives d’usurpation d’identité	Envisagez de faire bloquer l’utilisation de votre PESEL et consultez les autres recommandations
Dossier médical ou correspondance privée	Atteinte à la vie privée, chantage	Conservez les preuves et sécurisez l’accès aux comptes

Par exemple, une boutique annonce une fuite d’adresses e-mail et d’historiques de commandes, mais pas de mots de passe ni de données de paiement. Le risque le plus immédiat peut être une fausse demande de paiement complémentaire pour une commande précise. Cette annonce ne signifie pas automatiquement qu’il faut remplacer sa carte bancaire, mais elle impose de vérifier les demandes de paiement directement auprès de la boutique.

Que faire après avoir été informé d’une fuite ?

Commencez par vérifier l’authenticité de l’annonce. Ouvrez l’application du prestataire ou saisissez vous-même l’adresse de son site, plutôt que de suivre un lien dans un message suspect. Les fausses alertes de fuite servent elles aussi parfois à soutirer des données.

Déterminez l’étendue de l’incident. Vérifiez quelles données ont été divulguées, si votre compte est concerné et quelles mesures le prestataire recommande. Une annonce imprécise justifie de poser des questions ; elle ne prouve pas que toutes les données ont fuité.
Sécurisez les comptes menacés. Si un mot de passe a été divulgué, remplacez-le par un nouveau mot de passe unique. Changez-le aussi sur les autres services où vous l’utilisiez. Votre messagerie est prioritaire, car elle permet de réinitialiser les mots de passe d’autres comptes.
Vérifiez les accès. Fermez les sessions inconnues ou toutes les sessions actives, vérifiez les informations de récupération du compte et activez l’authentification multifacteur, qui ajoute une confirmation supplémentaire lors de la connexion.
Adaptez votre réaction aux données concernées. Pour des données financières, contactez votre banque par un canal officiel. Consultez le site de l’administration publique ou l’application mObywatel pour connaître les règles et l’étendue de la protection offerte par le blocage de l’utilisation du PESEL.
Conservez les éléments utiles. Enregistrez l’annonce, les dates, les messages suspects et les informations sur les transactions. En cas d’escroquerie, ces éléments vous aideront à signaler les faits à la banque ou à la police.

Ne saisissez pas votre mot de passe, votre numéro PESEL ou vos données de carte bancaire dans un outil quelconque censé « vérifier les fuites ». L’absence de votre adresse e-mail dans une base d’incidents connus ne garantit pas non plus que vos données n’ont jamais été divulguées.

Comment limiter les risques et réagir en entreprise ?

Un utilisateur peut limiter les conséquences d’une future fuite en utilisant des mots de passe uniques conservés dans un gestionnaire de mots de passe, en ajoutant une confirmation lors de la connexion et en supprimant les comptes inutiles. Ces mesures n’empêchent pas toutes les divulgations, mais elles rendent plus difficile l’exploitation d’un incident pour prendre le contrôle de comptes sur d’autres services.

L’entreprise doit limiter les accès non autorisés, préserver les traces de l’incident et en déterminer l’étendue. Un salarié doit prévenir sans délai la personne responsable de la sécurité, plutôt que de supprimer lui-même des journaux ou des preuves. L’évaluation de l’incident peut également nécessiter l’intervention du délégué à la protection des données, si un tel délégué a été désigné.

Les obligations de notification de la violation à l’autorité de contrôle et d’information des personnes concernées dépendent des circonstances et de l’évaluation des risques. Il s’agit ici d’informations générales, et non d’un conseil juridique personnalisé ; les exigences et délais en vigueur doivent être vérifiés dans le RODO et dans les documents de l’UODO.

Si vous venez de recevoir une alerte, commencez par consulter l’annonce officielle pour déterminer quelles données ont été divulguées. Cette information vous permettra de choisir les mesures urgentes à prendre plutôt que d’effectuer des changements au hasard.

À lire aussi : Qu’est-ce que CERT Polska ?