Vos mots de passe circulent peut-être en ce moment même sur le dark web
Imaginez qu’on photocopie votre trousseau de clés à votre insu et qu’on en distribue des copies à des inconnus dans une ruelle sombre. C’est exactement ce qui se passe quand vos identifiants fuient sur Internet. La bonne nouvelle ? Il existe des outils gratuits pour savoir si ça vous est déjà arrivé.
Fuites de données : comprendre ce qui se passe vraiment
Chaque année, des entreprises se font pirater : boutiques en ligne, réseaux sociaux, services de streaming… Ces attaques ont un butin bien précis : des listes contenant des milliers, parfois des millions d’adresses e-mail associées à des mots de passe. Ces listes sont ensuite revendues ou partagées sur des forums clandestins, dans des recoins d’Internet difficiles d’accès appelés le dark web (littéralement, la « toile sombre »).
Concrètement, si vous aviez un compte sur un site piraté — même il y a cinq ans — votre adresse e-mail et votre mot de passe de l’époque peuvent aujourd’hui se retrouver entre de mauvaises mains. Des personnes malveillantes s’en servent pour essayer de se connecter à vos autres comptes : messagerie, banque, réseaux sociaux. Cette technique s’appelle le credential stuffing, ou « bourrage d’identifiants ».
Heureusement, des chercheurs en cybersécurité ont mis en place des outils accessibles à tous pour vérifier si votre adresse e-mail figure dans ces listes de données volées. Pas besoin d’être informaticien : vous tapez votre adresse, le site vous répond. C’est aussi simple que de chercher une recette sur Google.
Les six outils les plus fiables sont Have I Been Pwned (le plus connu, en anglais), Firefox Monitor, Google One (intégré à votre compte Google), Dehashed, Leaked.site et Avast Hack Check. Chacun consulte des bases de données de fuites connues et vous alerte si votre adresse y apparaît.
Zone technique — pour les curieux et les passionnés
🤓 Pour aller plus loin : Have I Been Pwned, l’épopée d’un chasseur de fuites solitaire
L’histoire de Have I Been Pwned (HIBP) mérite qu’on s’y arrête. En 2013, Troy Hunt — chercheur en sécurité australien et Microsoft MVP — tombe sur la fuite d’Adobe qui expose 153 millions de comptes. Choqué par l’ampleur du désastre, il décide de construire seul, sur son temps libre, une base de données centralisée des fuites. HIBP est né. Aujourd’hui, elle recense plus de 14 milliards de credentials compromis. Pas mal pour un side project.
Ce qui est vraiment élégant dans l’architecture de HIBP, c’est le protocole k-Anonymity utilisé pour l’API des mots de passe : votre mot de passe est haché localement en SHA-1, seuls les 5 premiers caractères du hash sont envoyés au serveur, qui renvoie toutes les entrées correspondantes. Votre mot de passe réel ne quitte jamais votre machine. Du beau boulot.
En 2020, le FBI et la police néerlandaise ont commencé à alimenter directement HIBP avec des données récupérées lors de démantèlements de réseaux criminels. L’outil est passé de projet personnel à infrastructure quasi-officielle de la cybersécurité mondiale. Troy Hunt a même failli le vendre avant de finalement le passer en open source en 2024. Un vrai arc narratif digne d’une série Netflix.
Petit easter egg pour les curieux : le nom « pwned » vient du vocabulaire des gamers des années 90-2000, où une faute de frappe sur « owned » dans les chats de jeux vidéo est devenue un terme culte signifiant « se faire écraser ». La culture geek au service de la cybersécurité mondiale — on est en plein cyberpunk, et c’est magnifique.
Ce que vous devriez faire dès aujourd’hui 💡
– Testez votre adresse e-mail principale sur Have I Been Pwned : rendez-vous sur haveibeenpwned.com, entrez votre adresse et lisez attentivement les résultats — le site indique précisément quels services ont été compromis.
– Changez immédiatement le mot de passe des comptes touchés : même si c’était il y a longtemps, si vous réutilisez ce mot de passe ailleurs, considérez-le comme grillé.
– Ne réutilisez jamais le même mot de passe sur plusieurs sites : c’est la règle d’or. Un mot de passe unique par service, comme une clé différente pour chaque serrure.
– Adoptez un gestionnaire de mots de passe : des outils comme Bitwarden (gratuit) ou 1Password génèrent et mémorisent des mots de passe complexes à votre place. Vous n’avez plus qu’à retenir un seul mot de passe maître.
– Activez la double authentificationSécurité supplémentaire pour un compte en ligne : en plus du mot de passe, il faut prouver que c'est bien vous, avec un code reçu par SMS ou une validation dans une application sur votre téléphone. Même si quelqu'un vole... (2FA) partout où c’est possible : même si votre mot de passe fuite, un code supplémentaire envoyé sur votre téléphone bloque l’accès aux intrus.
Votre sécurité numérique commence par un simple clic
Vérifier si vos données ont fuité prend moins de deux minutes et peut vous éviter des semaines de galères administratives. La connaissance, c’est déjà la moitié de la protection.
Et vous, avez-vous déjà reçu une alerte de fuite de données — et comment avez-vous réagi ?
Source : Cyberguerre
