اقرأ بالعربية
Menu
Comptes & mots de passe

Vos données ont-elles fuité ? Vérifier les fuites avec Have I Been Pwned, et que faire ensuite

Votre e-mail et vos mots de passe circulent peut-être déjà dans des listes d’escrocs. Comment vérifier gratuitement avec Have I Been Pwned, et les étapes à suivre si votre adresse apparaît.

Publié le 7 min de lecture

Cet article est disponible en arabe

En avril 2025, l’annonce de la fuite de données de la CNSS au Maroc a fait le tour des conversations, et beaucoup se sont demandé : « Est-ce que mes données sont dedans ? » Des spécialistes ont averti que ce type d’informations peut servir à usurper une identité, ou à rendre plus crédibles des messages et appels frauduleux qui citent le vrai nom des gens.

En réalité, les fuites de données n’ont rien d’exceptionnel. Chaque année, des sites et des applications sont piratés, et des millions d’adresses e-mail et de mots de passe finissent dans des listes que s’échangent les escrocs. La bonne nouvelle : vous pouvez vérifier vous-même, gratuitement, si votre adresse figure dans des fuites connues, et protéger vos comptes avant qu’ils ne soient utilisés contre vous.

Qu’est-ce qu’une « fuite », et en quoi vous concerne-t-elle ?

Une fuite se produit quand des données sortent d’un site ou d’une organisation sans autorisation : piratage, erreur de configuration, employé indélicat. Elles peuvent contenir :

  • votre adresse e-mail et votre numéro de téléphone ;
  • votre mot de passe (parfois chiffré, parfois en clair) ;
  • votre nom, votre adresse, votre date de naissance, et parfois votre numéro de CIN.

Que font les escrocs de ces données ?

  1. Tester le mot de passe ailleurs : si vous utilisez le même mot de passe partout, la fuite d’un seul site ouvre tous vos comptes. C’est ce qu’on appelle le « credential stuffing ».
  2. Un phishing plus convaincant : un message qui cite votre vrai nom, votre numéro et votre adresse paraît très officiel.
  3. L’usurpation d’identité : utiliser vos informations pour ouvrir des comptes ou tromper vos proches.

L’ampleur est considérable : en novembre 2025, Have I Been Pwned a ajouté environ deux milliards d’adresses e-mail et 1,3 milliard de mots de passe uniques, issus de listes échangées par des criminels, dont 625 millions de mots de passe jamais vus auparavant dans sa base.

Have I Been Pwned, c’est quoi ?

Have I Been Pwned (haveibeenpwned.com) est un site gratuit créé par le chercheur en sécurité Troy Hunt. Il rassemble les données des fuites connues et permet à chacun de rechercher son adresse e-mail. Le site n’affiche pas vos mots de passe : il vous indique dans quelles fuites votre adresse est apparue, quand, et quel type de données a fuité.

Pas à pas : vérifiez votre adresse

  1. Tapez vous-même haveibeenpwned.com dans votre navigateur.
  2. Saisissez votre adresse e-mail dans le champ de recherche et lancez la recherche.
  3. Deux résultats possibles :
    • Aucune fuite connue : tant mieux, mais cela ne veut pas dire que vos données n’ont jamais fuité, seulement qu’elles n’apparaissent pas dans les fuites connues du site.
    • Une liste de fuites : pour chacune, le site indique le service concerné, la date et le type de données (e-mails, mots de passe, numéros de téléphone…).
  4. Activez les alertes : le site propose un service de notification gratuit qui vous écrit quand votre adresse apparaît dans une nouvelle fuite. Il vous envoie un lien de confirmation pour vérifier que l’adresse est bien la vôtre.

Vérifier un mot de passe sans le révéler

Le site propose aussi Pwned Passwords, pour savoir si un mot de passe donné figure dans des fuites. Le service repose sur une méthode technique (k-anonymity) qui n’envoie que le début de « l’empreinte » du mot de passe, jamais le mot de passe lui-même. Le plus simple et le plus sûr reste toutefois d’utiliser un gestionnaire de mots de passe qui fait cette vérification automatiquement.

Astuce

Si vous confirmez être propriétaire de votre adresse via le service de notification, Have I Been Pwned vous permet aussi de voir les sites associés à votre adresse dans les « logs de voleurs », ces données dérobées par des logiciels malveillants sur des appareils infectés. Cela aide à savoir quels comptes sécuriser en priorité. Nous expliquons ces logiciels dans l’article infostealers et cookies volés.

Votre adresse apparaît dans une fuite ? Les étapes, dans l’ordre

Pas de panique : apparaître dans une fuite est très courant. L’important est d’agir avec méthode :

  1. Commencez par les fuites qui contiennent des mots de passe. Si vous utilisez le mot de passe concerné sur un autre compte, changez-le immédiatement partout.
  2. L’ordre des priorités : votre e-mail d’abord, puis vos comptes bancaires et applications de paiement, puis vos réseaux sociaux, puis le reste.
  3. Un mot de passe différent pour chaque compte. C’est la règle la plus importante. Et comme personne ne peut retenir des dizaines de mots de passe, utilisez un gestionnaire de mots de passe fiable.
  4. Activez la double authentification sur les comptes importants, ou mieux, les clés d’accès quand c’est possible, comme le recommande Troy Hunt lui-même.
  5. Redoublez de prudence face aux messages dans les semaines suivantes, surtout ceux qui mentionnent le service piraté ou utilisent vos informations personnelles.
  6. Si votre numéro de téléphone a fuité, attendez-vous à davantage de SMS et de messages WhatsApp frauduleux, et ne donnez jamais à personne un code reçu.
  7. Si des données de carte bancaire ont fuité, appelez votre banque et demandez le remplacement de la carte.

Attention

Après chaque grosse fuite, des escrocs envoient des messages du type « Vos données ont fuité, cliquez ici pour vérifier » ou « Payez pour faire supprimer vos données ». Ne cliquez pas et ne payez pas. N’utilisez que des sites dont vous tapez l’adresse vous-même.

Au Maroc : que dit la loi ?

Au Maroc, les données personnelles sont protégées par la loi 09-08, dont l’application est confiée à la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP). Après la fuite des données de la CNSS en avril 2025, la Commission a rappelé que :

  • toute information personnelle obtenue en dehors du cadre légal est illicite, et son utilisation constitue une infraction ;
  • la Commission se tient prête à recevoir les plaintes des personnes qui s’estiment victimes de fuites ou de publication illicite de leurs données, et à ouvrir des enquêtes.

Si vous pensez que vos données ont fuité ou ont été publiées sans autorisation, vous pouvez déposer une plainte via le site officiel de la Commission, www.cndp.ma. Et si vos données ont servi à une escroquerie, signalez-le aussi à la police ou via la plateforme « E-Blagh » (dgsn.gov.ma).

Alerte arnaque

Ne partagez jamais de fichiers de « fuites » et n’y cherchez pas les données d’autres personnes, même par curiosité. Selon la CNDP, utiliser ces données est une infraction. Par ailleurs, télécharger des fichiers d’origine inconnue présentés comme des « fuites » peut exposer votre appareil à des logiciels malveillants.

Les bonnes habitudes pour limiter les dégâts des prochaines fuites

  • Un mot de passe unique par site : la fuite reste limitée à un seul compte.
  • Donnez le moins d’informations possible aux sites et aux applications, surtout la photo de votre CIN.
  • Utilisez une adresse e-mail séparée pour les inscriptions peu importantes et les offres promotionnelles.
  • Supprimez les comptes que vous n’utilisez plus : chaque vieux compte, ce sont des données qui pourraient fuiter un jour.
  • Activez les alertes de Have I Been Pwned pour être prévenu rapidement.

Et votre numéro de téléphone ?

Have I Been Pwned fonctionne surtout à partir de l’adresse e-mail. Si vous pensez que votre numéro a fuité, la protection concrète reste la même : activez la vérification en deux étapes sur WhatsApp, ne donnez jamais un code reçu par SMS, et méfiez-vous des appels et messages qui en savent un peu trop sur vous.

L’essentiel à retenir

  • Vérifiez gratuitement votre adresse sur haveibeenpwned.com et activez les alertes.
  • Apparaître dans une fuite est courant : c’est ce que vous faites ensuite qui compte.
  • Changez les mots de passe exposés partout où vous les avez utilisés, en commençant par votre e-mail.
  • Un mot de passe unique par compte + un gestionnaire de mots de passe + clés d’accès ou double authentification.
  • Au Maroc : les plaintes pour fuite de données vont à la CNDP, les escroqueries à la police.

Sources