Révéler les sections Dissimuler les sections
- Comment savoir si vos données personnelles ont fuité ?
- Faut-il payer un site pour effacer ses données qui ont fuité ?
- Que faire le jour où l’on apprend la fuite ?
- Quels réflexes adopter selon la donnée exposée ?
- Comment se faire rembourser un paiement frauduleux après une fuite ?
- Peut-on obtenir la suppression de ses données exposées ?
- Une adresse mail par usage, la parade la plus sous-estimée
Un courriel d’une enseigne, d’un opérateur ou d’une administration qui annonce, en termes prudents, un « incident de sécurité » sur ses fichiers : le scénario est devenu banal. La CNIL a reçu 6 167 notifications de violations de données en 2025, soit 9,5 % de plus qu’en 2024, et le piratage explique environ la moitié de ces incidents.
Une fuite de données personnelles désigne la sortie, hors du contrôle de l’organisme qui les détenait, d’informations qui permettent de vous identifier. Depuis l’été 2026, des sites baptisés lookups se présentent comme des moteurs de recherche de données piratées et proposent, contre paiement, de les effacer. Que faut-il vraiment faire quand vos informations circulent, et que vaut cette offre ?
Comment savoir si vos données personnelles ont fuité ?
Le signal le plus fiable reste le courrier de l’organisme piraté, tenu par le RGPD de prévenir les personnes concernées quand la fuite présente un risque élevé. En complément, le service Have I Been Pwned recense plus de 17,8 milliards d’adresses issues de 1 046 fuites : il suffit d’y saisir son adresse mail pour voir dans lesquelles elle figure.
Ce courrier se garde, car il précise quelles catégories d’informations sont touchées et c’est cette liste qui détermine les gestes à faire. Have I Been Pwned a ses limites : selon Que Choisir, sa base est loin d’être exhaustive, et un résultat négatif ne prouve donc pas que vos données sont restées à l’abri. Ce trou dans la raquette fait le succès de sites bien moins recommandables.
Faut-il payer un site pour effacer ses données qui ont fuité ?
Non. Les services d’effacement vendus par les lookups ne garantissent en rien la disparition des données, et la ministre déléguée chargée du Numérique a saisi la justice contre l’un d’eux, BrixHub, le 5 octobre 2026. Ces sites exploitent des fichiers piratés, puis facturent le retrait de ce qu’ils exposent eux-mêmes.
BrixHub affiche ses tarifs sans détour, d’après l’enquête de Que Choisir sur les sites qui proposent d’effacer vos données, publiée le 14 octobre 2026 : 5 € pour 10 enregistrements supprimés, 8 € pour 20 et 200 € pour 1 000. Une même personne pouvant figurer dans des dizaines de fichiers, la note grimpe vite, pour un résultat invérifiable : rien n’empêche un autre lookup de republier les mêmes lignes.
Aux personnes concernées, ne payez jamais pour faire retirer vos données.
Anne Le Hénanff, ministre déléguée chargée de l’Intelligence artificielle et du Numérique, dans un message publié sur X le 5 octobre 2026 pour annoncer le signalement de BrixHub au parquet de Paris, propos rapportés par l’AFP
Le député Éric Bothorel avait déjà saisi la justice contre trois lookups en juin 2026, et ces plateformes changent souvent de nom avant de réapparaître. Payer revient surtout à financer le commerce de données volées, alors que les vrais réflexes sont gratuits.
Que faire le jour où l’on apprend la fuite ?
Changer le mot de passe exposé, en commençant par celui de la messagerie principale, puis activer la double authentification : la fiche publiée le 1er octobre 2026 par la CNIL et Cybermalveillance.gouv.fr place ces gestes au premier jour. Au total, cinq actions composent ce premier jour :
- lire le courrier de l’organisme et le conserver, il servira de preuve en cas de litige ;
- changer le mot de passe du service touché et de tous les comptes qui le réutilisent ;
- activer la double authentification par code SMS, par courriel ou par biométrie ;
- ne cliquer sur aucun lien d’un message inattendu et ne rien communiquer par téléphone ;
- se connecter uniquement par le site ou l’application officiels du service.
La messagerie passe en premier parce que c’est par elle que transitent les réinitialisations de mot de passe de tous vos autres comptes. Les faux contacts qui exploitent ces informations prennent des formes de plus en plus soignées, à l’image des fausses vidéos de médecins générées par IA. La suite dépend des informations dérobées.
Quels réflexes adopter selon la donnée exposée ?
Chaque donnée volée ouvre une arnaque différente, donc un geste différent : un IBAN sert surtout aux prélèvements frauduleux, un numéro de téléphone aux faux appels de conseiller, un numéro de sécurité sociale aux démarches à votre nom. Le tableau croise les consignes de la CNIL, de Cybermalveillance.gouv.fr et de Service-public, avec le délai qui compte.
| Donnée exposée | Risque principal | Réflexe | Délai à retenir |
|---|---|---|---|
| Mot de passe | Prise de contrôle du compte | Nouveau mot de passe unique, double authentification | Le jour même |
| Adresse mail, téléphone | Hameçonnage, faux conseiller | Aucun lien cliqué, rappel par le numéro officiel | Vigilance durable |
| IBAN, RIB | Prélèvement non autorisé | Banque prévenue, liste blanche de créanciers si proposée | 13 mois pour contester une opération non autorisée |
| Numéro de carte | Achats en ligne frauduleux | Opposition, signalement sur Perceval | Remboursement au plus tard à la fin du 1er jour ouvré |
| Numéro de sécurité sociale, avis d’impôt | Usurpation d’identité, contrats non signés | Surveillance du courrier, des comptes Ameli et impots.gouv | Plusieurs semaines après la fuite |
La dernière colonne compte le plus, car les droits au remboursement s’éteignent avec le temps alors que les escroqueries peuvent survenir des mois après la fuite. La CNIL recommande aussi d’activer les notifications de paiement de sa banque et de traquer, dans sa messagerie, les règles de transfert créées à son insu.
Comment se faire rembourser un paiement frauduleux après une fuite ?
En faisant opposition puis en contestant l’opération auprès de votre banque, qui doit rembourser au plus tard à la fin du premier jour ouvré suivant la contestation, selon le Code monétaire et financier. Le délai pour réclamer est de 13 mois après le débit, réduit à 70 jours pour un paiement effectué hors de l’Espace économique européen.
L’opposition se fait à toute heure au 0 892 705 705 (numéro payant), qui délivre un numéro d’enregistrement servant de preuve datée. Le signalement sur Perceval, la plateforme de la gendarmerie ouverte quand la carte est encore en votre possession, produit un récépissé à joindre à la demande. D’après Service-public, la banque rembourse aussi les frais de découvert ou d’incident de paiement, mais une opposition tardive peut justifier un refus.
Pour un prélèvement inconnu, on signale à la banque l’opération non autorisée et on demande son remboursement, avec le médiateur bancaire comme recours en cas de refus. Un commerçant indélicat peut aussi être signalé sur la plateforme SignalConso. Récupérer son argent ne règle pas pour autant le sort des données encore en ligne.
Peut-on obtenir la suppression de ses données exposées ?
En partie. Vous pouvez demander aux plateformes qui affichent vos informations de les retirer, et aux moteurs de recherche de les déréférencer ; si rien ne bouge un mois après la demande, une réclamation auprès de la CNIL devient possible, gratuitement, depuis son site.
Le régulateur reste débordé, avec 20 150 plaintes reçues en 2025, un record. Face aux lookups, la CNIL dit contacter éditeurs et hébergeurs, mais leurs responsables ne sont pas tous identifiables. Quant à l’indemnisation prévue par l’article 82 du RGPD, elle exige de prouver devant un juge la violation, un préjudice même moral et le lien entre les deux.
Une adresse mail par usage, la parade la plus sous-estimée
L’été 2026 a vu se succéder des attaques contre l’Éducation nationale, la DGFiP, Bloctel ou Santé publique France, selon le recensement de Que Choisir. À ce rythme, la question n’est plus de savoir si vos données fuiteront, mais quelle part de votre vie chaque fuite permettra de reconstituer.
La CNIL insiste sur des gestes qui réduisent cette surface : ne donner que les données qu’une démarche exige, ne pas enregistrer sa carte sur les sites marchands, fermer les comptes inutilisés et séparer ses adresses mail selon les usages. Une adresse pour les achats, une autre pour l’administration et la banque, et un hameçonnage reçu sur la mauvaise boîte se trahit de lui-même. Avec plus de 6 000 violations notifiées chaque année, chaque fichier où l’on ne figure pas est une fuite de moins à surveiller.
