Une amie m'appelle un samedi matin, paniquée. Elle vient de recevoir un mail de sa banque : « connexion suspecte détectée, cliquez ici pour vérifier votre identité ». Elle a cliqué. Elle a tapé son identifiant. Elle a tapé son mot de passe. Et là, elle s'est figée. « J'ai fait une bêtise, non ? » Oui. Mais pas celle qu'on croit.
La bêtise, ce n'est pas d'avoir cliqué. C'est d'avoir utilisé le même mot de passe sur sa banque, sa boîte mail et son compte Vinted depuis huit ans. Voilà le vrai problème. On parle beaucoup de sécuriser ses données personnelles en ligne comme s'il s'agissait d'une série de réflexes à empiler, alors que tout tient à une décision unique : est-ce que la fuite d'un seul site peut faire tomber tout le reste ?
Si la réponse est oui, vous avez un problème. Pas plus tard qu'aujourd'hui.
Points clés à retenir
- Le vrai risque n'est pas le piratage sophistiqué, c'est la réutilisation de mots de passe entre plusieurs services.
- Un gestionnaire de mots de passe change tout : vous n'en retenez plus qu'un, les autres deviennent impossibles à deviner.
- L'authentification à deux facteurs (2FA) bloque la quasi-totalité des connexions frauduleuses, même quand le mot de passe a fuité.
- Après une fuite de données, il y a une procédure précise à suivre dans les 48 heures. La plupart des gens l'ignorent.
- Sauvegarder n'est pas sécuriser, mais les deux se complètent : un disque volé sans sauvegarde, c'est une perte définitive.
- Le maillon faible reste l'humain, pas la machine. Le phishing compte sur votre fatigue, pas sur votre naïveté.
Pourquoi réutiliser un mot de passe est le danger numéro un
Quand un site se fait pirater, les identifiants volés sont revendus en vrac sur des forums. Des fichiers avec des millions de lignes : adresse mail, mot de passe en clair ou mal haché. Les acheteurs ne ciblent personne en particulier. Ils lancent un script qui essaie chaque couple mail/mot de passe sur des centaines d'autres services. Ça s'appelle le credential stuffing.
Et ça marche. Parce que la moitié des gens utilisent le même mot de passe partout.
Comment protéger ses données personnelles sur Internet concrètement ?
La réponse tient en trois gestes, et je vais être direct : si vous n'en faites qu'un, faites celui-ci.
- Installez un gestionnaire de mots de passe. Bitwarden, KeePass, Dashlane. Peu importe, mais choisissez-en un. Il génère des mots de passe de 20 caractères aléatoires pour chaque site, et vous n'en retenez qu'un seul : celui du coffre.
- Activez la double authentification sur votre boîte mail d'abord, puis sur tout ce qui touche à l'argent.
- Arrêtez les SMS comme second facteur. Le SIM swapping existe et il est plus simple qu'on ne le croit.
J'ai testé pendant six mois de garder mes anciens mots de passe « juste au cas où ». Mauvaise idée. Le jour où j'ai voulu migrer proprement, je me suis rendu compte que j'en avais 47 à changer, dont certains sur des sites que j'avais oubliés. J'ai mis trois soirées. Aujourd'hui, mon coffre en contient 210. Je n'en connais aucun.
La 2FA est-elle vraiment efficace si mon mot de passe fuit ?
Oui, et c'est même là qu'elle prend toute sa valeur. Un mot de passe volé seul ne suffit plus : il faut aussi le second facteur, souvent un code temporaire généré par une application comme Aegis ou Google Authenticator. Ce code change toutes les 30 secondes.
Attention toutefois à un piège classique. Les attaquants ont appris à contourner la 2FA en temps réel : ils vous appellent en se faisant passer pour le support, vous demandent de valider une connexion, et pendant ce temps ils se connectent à votre place. La défense ? Ne jamais valider une connexion que vous n'avez pas initiée. Jamais. Même si la voix au téléphone a l'air très professionnelle.
Comment protéger ses données personnelles sur smartphone
Votre téléphone connaît votre position, vos contacts, vos photos, vos messages, votre historique bancaire. C'est l'appareil le plus sensible que vous possédez, et c'est aussi celui qu'on sécurise le moins.
Le problème n'est pas technique, il est comportemental. On installe une appli parce qu'elle est mignonne, on accepte tous les accès demandés sans lire, et on garde l'appli six mois après l'avoir ouverte deux fois.
- Faites le ménage dans les autorisations. Une appli de recettes n'a pas besoin de votre position en arrière-plan.
- Verrouillez l'écran avec un code à six chiffres minimum, pas un schéma que votre voisin peut deviner en regardant par-dessus votre épaule.
- Activez le chiffrement intégral du téléphone (par défaut sur les modèles récents, à vérifier sur les anciens).
- Mettez à jour le système dès que la notification apparaît. Pas « ce week-end ». Maintenant.
- Désactivez le Wi-Fi automatique. Se connecter sans le savoir à un faux hotspot nommé « Free_WiFi » est un classique.
Un détail que personne ne mentionne jamais : les sauvegardes cloud de votre téléphone sont souvent moins protégées que le téléphone lui-même. Si votre compte Google ou iCloud tombe, tout tombe. Le second facteur sur ce compte-là n'est pas une option.
Comment protéger ses données sur son ordinateur
Un ordinateur, c'est une maison avec plusieurs portes. Il y a celle du système d'exploitation, celle du disque dur, celle du navigateur, et celle des logiciels que vous avez installés un jour d'ennui.
Le disque dur, d'abord. Sur Windows comme sur macOS ou Linux, le chiffrement du disque est intégré. BitLocker, FileVault, LUKS. Il n'est pas toujours activé par défaut, et c'est précisément ce que je reproche aux fabricants. Un ordinateur volé sans chiffrement, c'est vos fichiers accessibles en branchant simplement le disque ailleurs.
La sauvegarde, c'est de la sécurité ?
Techniquement non. Une sauvegarde, ce n'est pas contre le vol, c'est contre la perte. Mais dans la vraie vie, les deux se croisent tout le temps.
La règle qui tient debout s'appelle 3-2-1 : trois copies de vos données, sur deux supports différents, dont une en dehors de chez vous. Dans mon cas, un disque externe à la maison, un deuxième dans un tiroir au bureau, et une copie chiffrée chez un hébergeur. Ça m'a coûté trois heures de configuration et une quinzaine d'euros par mois.
Ce que ça m'a coûté de ne pas l'avoir fait plus tôt ? Un disque externe tombé par terre, une semaine de photos de vacances disparues. Franchement, ça valait le coup de configurer la sauvegarde avant.
Comment protéger ses données personnelles sur les réseaux sociaux
Vous n'êtes pas le client. Vous êtes la matière première. Et tant que vous acceptez ça, l'objectif n'est pas de tout supprimer, mais de limiter ce qui est exploitable.
| Réglage | Ce qu'il change concrètement | Priorité |
|---|---|---|
| Profil en privé | Les inconnus ne voient plus vos publications, mais restent visibles pour vos amis | Haute |
| Historique de localisation | Empêche les suggestions de lieux et la reconstitution de vos déplacements | Haute |
| Publicités personnalisées | Réduit le profilage mais ne le supprime pas, les plateformes gardent des données internes | Moyenne |
| Applications tierces liées | Coupe l'accès de vieux jeux ou quiz qui lisent encore votre profil | Haute |
| Numéro de téléphone dans le profil | Évite la recherche par numéro, utilisée pour retrouver un compte ciblé | Moyenne |
Le réglage que je vois le plus souvent oublié ? La liste des applications connectées. On y trouve des choses installées il y a cinq ans qui ont toujours accès à vos données de base. Dix minutes de nettoyage, et c'est réglé.
Comment se protéger contre le piratage informatique au quotidien
Le piratage dont on parle dans les films, celui avec des écrans noirs et des lignes de code vertes, existe. Mais il est rare. La grande majorité des intrusions commence par un message.
Un mail de votre « fournisseur d'électricité » qui vous demande de régulariser une facture. Un SMS de « La Poste » avec un lien de suivi. Un message LinkedIn d'un recruteur trop enthousiaste avec une pièce jointe. Tous ces scénarios reposent sur la même chose : vous faire agir vite, sans réfléchir.
Ma règle personnelle, que j'applique depuis que je me suis fait avoir une fois (un faux mail de la CAF, j'ai honte) : je ne clique jamais sur un lien dans un message qui parle d'argent ou de compte. J'ouvre un nouvel onglet, je tape l'adresse du site moi-même. Ça prend quinze secondes. Ça a évité au moins trois tentatives depuis.
Vol de données personnelles : que faire quand c'est trop tard ?
C'est la question qui manque partout, et c'est celle qui compte le plus. Si vous apprenez qu'un site que vous utilisez a subi une fuite, voici ce qu'il faut faire dans l'ordre, et vite.
- Changez immédiatement le mot de passe du site concerné, puis partout où vous aviez le même. C'est l'urgence absolue.
- Vérifiez si votre adresse mail apparaît dans des fuites connues via un service comme Have I Been Pwned. C'est gratuit et ça donne une vision claire de l'exposition.
- Activez la double authentification sur tous les comptes importants, même ceux qui ne semblent pas touchés.
- Surveillez vos relevés bancaires pendant plusieurs semaines. Les fraudes arrivent souvent avec du décalage.
- Signalez la fuite à la CNIL si l'organisme concerné ne l'a pas fait. La notification n'est pas toujours automatique côté utilisateur.
- Méfiez-vous des mails qui suivent la fuite. C'est le moment idéal pour une campagne de phishing ciblée.
Bref, une fuite se gère comme un cambriolage : on ne répare pas, on limite les dégâts et on change la serrure.
Trois erreurs que je vois tout le temps, et que vous faites peut-être
La première : croire que parce qu'on n'a « rien à cacher », on n'a rien à protéger. Vos identifiants bancaires, votre adresse, vos échanges avec votre médecin. Ce n'est pas une question de secret, c'est une question d'usage détourné.
La deuxième : confondre antivirus payant et sécurité. Un antivirus à 60 € par an ne servira à rien si votre mot de passe est « azerty123 » et réutilisé sur 30 sites.
La troisième, la plus insidieuse : attendre. On se dit qu'on s'en occupera plus tard, qu'on n'est pas une cible, que ça n'arrive qu'aux autres. Sauf que les scripts automatisés ne choisissent pas leurs victimes. Ils prennent ce qui traîne.
Il y a quelque chose de rassurant, au fond, dans cette histoire. La sécurité des données personnelles n'est pas un domaine réservé aux experts. C'est une série de décisions simples, prises une fois, qui vous protègent pendant des années. Un gestionnaire de mots de passe, une double authentification, une sauvegarde qui tourne. Rien de spectaculaire.
La question n'est pas de savoir si vous serez un jour dans un fichier de fuite. Vous y êtes probablement déjà. La vraie question, c'est celle que ma banque m'a posée il y a quelques mois, et que je vous transmets telle quelle : si ce mot de passe tombait demain entre de mauvaises mains, combien de vos comptes tomberaient avec lui ?
Si la réponse vous met mal à l'aise, vous savez quoi faire ce soir.
