« Fuite de données » sur iPhone : ce que l'alerte dit vraiment

↑ Ce conseil fait partie du guide : Mots de passe fuités

Mon iPhone affiche « Fuite de données » : que faire ?

Votre iPhone n'a pas été piraté. L'alerte porte sur un mot de passe enregistré dans l'app Mots de passe : il figure dans une fuite de données connue, chez un site où vous étiez inscrit. Ouvrez l'app Mots de passe, onglet Sécurité, puis allez changer le mot de passe de votre boîte mail, celui de la banque, et tous ceux qui se ressemblent.

1. Lire le libellé exact : « Fuite de données » n'est pas « Utilisé plusieurs fois ».
2. Ouvrir la liste dans l'app Mots de passe, onglet Sécurité.
3. Commencer par la boîte mail, qui commande toutes les réinitialisations.
4. Lancer « modifier mon mot de passe » sur le site, pas dans l'app.
5. Activer la double authentification sur les comptes traités.

Trois libellés, trois urgences : ne pas les confondre

L'app Mots de passe range ses avertissements en trois catégories, et presque tout le monde les traite pareil. C'est une erreur : une seule demande d'agir aujourd'hui.

Retenez la deuxième ligne : « utilisé plusieurs fois » ne veut pas dire que quelque chose a fui. Beaucoup de gens changent dix mots de passe dans la panique alors qu'un seul était exposé — et abandonnent avant celui qui comptait. Les trois libellés s'affichent aussi sur l'iPad et le Mac reliés au même identifiant Apple, puisque c'est le trousseau iCloud qui les porte. Ailleurs, le vocabulaire change : l'alerte équivalente côté ordinateur dit « compromis », « réutilisé », « faible ».

Ce que l'alerte ne dit pas

Elle ne dit pas que l'iPhone est infecté, ni que votre compte Apple a été ouvert, ni même que le compte signalé a été visité. Elle dit une seule chose : ce couple identifiant et mot de passe circule dans une liste publique.

Elle ne dit pas non plus d'où vient la fuite de données, ni quand : l'épisode peut remonter à six ans, chez un forum quitté depuis. Pour y mettre un nom et une date, interrogez votre adresse e-mail sur Have I Been Pwned, qui classe les fuites par service et par année ; mots de passe et fuites de données dit ce qu'on y trouve.

Comment l'iPhone le sait sans envoyer vos mots de passe

C'est la question que personne n'ose formuler : pour comparer mon mot de passe à une liste de fuites, il faut bien l'envoyer quelque part. Non, et le procédé est documenté.

Apple décrit deux temps. D'abord, « Apple enverra à votre appareil une liste de mots de passe courants présents dans des fuites de données » : pour les plus répandus, la comparaison se fait sur l'iPhone, et rien ne sort. Ensuite, « pour les mots de passe qui ne se trouvent pas dans cette liste, Mots de passe enverra des informations calculées à partir de vos mots de passe à Apple » — des dérivations, pas le mot de passe. Apple ajoute que « vos mots de passe actuels ne sont jamais partagés avec Apple ».

Conséquence pratique : désactiver la détection ne protège rien, cela supprime le rapport ; et une liste vide ne prouve pas que vos comptes vont bien.

Où se trouve la liste, écran par écran

Accédez-y par le bon chemin : il a changé, et c'est la première cause d'appels — les tutoriels d'il y a trois ans décrivent un menu qui n'existe plus.

• iOS 18 et au-delà : les mots de passe ont quitté les Réglages pour une app à part, Mots de passe, qui s'ouvre par Face ID ou Touch ID. Touchez l'onglet Sécurité : tout y est, classé par libellé. Même chose sous iPadOS.
• iOS 17 et avant : Réglages › Mots de passe › Recommandations de sécurité.
• Le réglage lui-même : Réglages › Apps › Mots de passe › Détecter les mots de passe compromis. Vérifiez qu'il est activé : sur un appareil configuré par un tiers, on le retrouve parfois éteint, et l'écran paraît alors sain — à contrôler quand un téléphone a été réglé par un proche.

Dernier point : le trousseau iCloud partage cet inventaire entre tous les appareils d'un même compte Apple, et un mot de passe modifié sur l'un se propage aux autres. Inutile de tout refaire trois fois.

Par quel compte commencer : l'ordre vaut mieux que la vitesse

Une liste de vingt lignes paralyse. Prenez-les par ordre de valeur pour un attaquant :

1. La boîte mail. Votre messagerie reçoit les liens de réinitialisation de tous les autres comptes : tant qu'elle n'est pas propre, le reste ne tient pas. Si elle a déjà servi, les traces d'une lecture de vos mails se repèrent.
2. Le compte Microsoft, à part. Une adresse en @outlook.fr ou @hotmail.com est souvent à la fois votre messagerie et la session Windows de la maison : y changer le mot de passe déconnecte l'ordinateur, qui réclamera le nouveau au démarrage. Prévenez les autres avant (compte Microsoft ou Outlook piraté).
3. La banque et les moyens de paiement. Puis les comptes marchands qui conservent une carte enregistrée (compte bancaire piraté).
4. Tous les comptes qui portaient le même mot de passe, même approchant : un chiffre ajouté à la fin ne trompe personne, et les pirates testent ces variantes.
5. Le reste, les jours suivants.

Et sur chacun de ces comptes, réinitialiser le mot de passe ne suffit pas : activez la double authentification. C'est le seul réglage qui rende un mot de passe volé inutilisable, et le seul qui survive à la fuite suivante (mot de passe volé ou fuité).

Changer sans se tromper d'écran : l'erreur que tout le monde fait

Voici le piège, redoutable parce qu'il donne l'impression d'avoir réglé le problème. Dans l'app Mots de passe, on peut modifier la valeur enregistrée pour un compte. Cela ne change rien sur le site : vous réécrivez une note. Le vrai changement se fait sur le site, et l'app ne fait ensuite qu'enregistrer le nouveau.

D'où le bouton Modifier le mot de passe, qui ouvre la page de changement de mot de passe du site. Il s'appuie sur une convention du web : l'adresse normalisée /.well-known/change-password, enregistrée à l'IANA et décrite par le W3C, que les sites déclarent pour que les gestionnaires trouvent la bonne page. Si le site ne l'a pas déclarée, le bouton n'ouvre que l'accueil : cherchez le menu de sécurité, ou passez par « j'ai oublié mon mot de passe ».

Quatre détails qui font gagner un quart d'heure :

• Copiez l'ancien avant de partir. Le formulaire réclame presque toujours le mot de passe actuel pour valider le nouveau, et on ne peut plus récupérer le mot de passe une fois la page du site ouverte : touchez le champ dans l'app, puis « Copier ».
• N'inventez pas le nouveau. Sur la page ouverte dans Safari, l'iPhone en propose un fort et l'enregistre par le remplissage automatique ; sinon, utilisez un gestionnaire de mots de passe. Un mot de passe choisi de tête ressemble toujours au précédent.
• La longueur compte plus que les symboles. Douze signes tous différents valent mieux qu'un mot court décoré d'un « ! » et d'un millésime : les règles de majuscules, minuscules, chiffres et caractères spéciaux poussent surtout à fabriquer des variantes prévisibles. Quand un site impose majuscules, minuscules et caractères spéciaux, laissez générer et ne retouchez rien.
• L'entrée ne disparaît pas dans la seconde. La liste se recalcule à la vérification suivante. Si elle persiste le lendemain, rouvrez la fiche du compte et vérifiez que la valeur enregistrée est bien la nouvelle.

Une fois le tour fini, videz les copies oubliées : les mots de passe restés dans Safari, dans Notes, dans un vieux courriel. Effacer les mots de passe enregistrés recense les quatre endroits où ils traînent. Et pour sortir du cycle, la passkey ne peut, par construction, figurer dans aucune fuite : il n'y a rien à voler côté site.

Quand « mot de passe oublié » devient la seule porte

Jusqu'ici on a supposé que vous pouviez encore entrer. Parfois non : la combinaison circulait depuis des mois, et quelqu'un s'en est servi. Vous tapez votre adresse e-mail, le mot de passe associé est refusé, et la question change : comment reprendre mon compte ?

Le chemin s'appelle « mot de passe oublié », « j'ai oublié mon mot de passe » ou « vous avez oublié votre mot de passe ? », sous le formulaire qui sert à se connecter à votre compte. Il ne réclame pas le mot de passe actuel : il envoie un lien ou un code de confirmation à la boîte mail déclarée, et vous laisse réinitialiser le mot de passe. D'où la règle d'ordre plus haut : si la messagerie est tombée, ce lien arrive chez le pirate, et chaque tentative de réinitialiser un autre compte travaille pour lui.

Trois points de blocage reviennent à chaque appel :

• Le formulaire ne reconnaît pas l'adresse. Les comptes anciens ont souvent été ouverts avec une adresse mail que vous n'utilisez plus. L'app Mots de passe l'a gardée : ouvrez la fiche du compte, le nom d'utilisateur y est écrit en toutes lettres.
• Le site réclame des preuves. Nom, date de naissance, date d'inscription : donnez les informations personnelles du profil, pas celles de la carte d'identité. Un prénom écrit autrement, et c'est refusé.
• Le code n'arrive pas. Regardez les indésirables avant de relancer : trois demandes d'affilée annulent souvent les deux premiers.

Une fois rentré, connectez-vous aux réglages de sécurité et accédez au menu du mot de passe. Il ne porte jamais le même nom d'un service à l'autre : « modifier mon mot de passe », « modifier votre mot de passe », « changer mon mot de passe », « changer son mot de passe », parfois rien de tout cela et simplement « Mon compte ». Plutôt que de parcourir les réglages un par un, tapez « mot de passe » dans la recherche interne du site. Vérifiez-y aussi votre adresse email de secours et le numéro : c'est la première chose qu'un intrus remplace, et personne ne pense à la relire.

Les fausses alertes qui imitent celle-ci

Dès qu'un message de sécurité devient familier, il est copié. Sur iPhone, la contrefaçon est une page web qui s'ouvre dans Safari, avec un compte à rebours, un numéro à appeler, parfois un faux logo Apple. Apple est explicite : « si une fenêtre contextuelle ou un message d'alerte indique que vous avez gagné un lot gratuit ou que votre appareil présente des problèmes de sécurité ou des virus, n'en croyez rien » ; la consigne est d'« ignorer le message et quitter simplement la page ».

Le test définitif tient en un geste : fermez l'onglet, ouvrez l'app Mots de passe, onglet Sécurité. Ce qui n'y figure pas n'existe pas. La vraie alerte ne donne jamais de numéro et ne réclame ni paiement ni installation. Apple ajoute qu'elle « ne vous demandera jamais de vous connecter à un site web, de toucher Accepter dans la boîte de dialogue de l'identification à deux facteurs, ni de fournir votre mot de passe ». La capture du faux message s'envoie à reportphishing@apple.com.

Les variantes ne changent pas : la fausse alerte antivirus, le faux support technique, le spam du calendrier iPhone. Au moindre doute, vérifier un lien suspect prend trente secondes.

L'autre alerte Apple, la vraie, et elle n'a rien à voir

Un message Apple arrive, lui, bien par courriel, et les escrocs entretiennent la confusion : la notification de menace, « conçue pour informer et aider les utilisateurs susceptibles d'être individuellement ciblés par des logiciels espions mercenaires ». Rien à voir avec une fuite de données : elle vise quelques personnes exposées, pas le grand public.

Elle arrive par plusieurs canaux : une notification sur l'appareil, un email et un iMessage aux adresses du compte Apple, et surtout une bannière en haut de account.apple.com dès que vous vous connectez. C'est cette bannière qui fait foi, « clairement visible en haut de la page après la connexion ». La règle complète : « Les notifications de menace Apple ne demanderont jamais de cliquer sur un lien, d'ouvrir un fichier, d'installer une app ou un profil, ni de fournir le mot de passe de votre compte Apple ou un code de vérification par e-mail ou par téléphone. »

Un profil installé à votre insu est l'un des rares signes sérieux : le repérer et le supprimer. Sinon, mon iPhone est-il piraté ? trie les vrais cas des symptômes ordinaires, et les codes d'écran disent ce qu'ils valent.

Ce que la liste ne voit pas

Une liste vide rassure à tort : elle ne couvre que les mots de passe enregistrés dans l'app Mots de passe.

• Ceux que vous tapez de mémoire, ou qui dorment sur un papier, n'y sont pas.
• Ceux qu'une autre application conserve sur le même iPhone relèvent de sa propre vérification.
• Le mot de passe du compte Apple n'y figure pas : il se change dans Réglages › votre nom › Connexion et sécurité (compte Apple ou iCloud piraté).
• Un identifiant volé par un programme sur un ordinateur n'apparaît dans aucune fuite publique : il part droit chez l'attaquant (logiciel espion sur l'ordinateur).
• Et rien ne protège d'un faux formulaire (j'ai cliqué sur un lien de phishing).

Enfin, si vos codes à six chiffres vivent sur ce seul appareil, préparez le jour où vous direz « j'ai perdu mon téléphone » : les recours existent, mais c'est la panne la plus coûteuse après une fuite.

Questions fréquentes

Mon iPhone affiche « Fuite de données » : suis-je piraté ?

Non, pas par ce message. L'alerte porte sur un mot de passe enregistré dans l'app Mots de passe : il figure dans une fuite connue, survenue ailleurs. Ni l'iPhone ni le compte Apple ne sont en cause. L'urgence est de changer ce mot de passe partout où il sert.

Où voir les mots de passe compromis sur iPhone ?

Dans l'app Mots de passe, onglet Sécurité, sur iOS 18 et au-delà. Avant : Réglages, puis Mots de passe, puis Recommandations de sécurité. C'est la seule liste qui fasse foi — une alerte vue ailleurs, page web ou SMS, n'en est pas une.

L'alerte dit-elle de quel site vient la fuite de données ?

Non, et c'est sa principale limite. L'iPhone nomme le compte, jamais la fuite ni sa date : elle peut remonter à plusieurs années. Pour savoir quel service a été touché et quand, interrogez votre adresse email sur Have I Been Pwned, gratuitement.

Apple reçoit-elle mes mots de passe pour faire cette vérification ?

Non. Apple écrit que « vos mots de passe actuels ne sont jamais partagés avec Apple ». L'appareil reçoit d'abord une liste de mots de passe courants trouvés dans des fuites, et la comparaison se fait sur l'iPhone ; pour le reste, seules des dérivations chiffrées circulent.

J'ai changé le mot de passe et l'alerte reste affichée : pourquoi ?

Deux causes. Soit la liste n'a pas été recalculée : elle se met à jour à la vérification suivante. Soit, bien plus souvent, le nouveau a été saisi sur le site mais l'app Mots de passe a gardé l'ancien — ouvrez la fiche du compte et vérifiez.

Faut-il désactiver « Détecter les mots de passe compromis » pour ne plus voir l'alerte ?

Non : la liste disparaîtrait, pas le risque. Le réglage est dans Réglages, Apps, Mots de passe. Vérifiez plutôt qu'il est activé — sur un iPhone configuré par un tiers, on le retrouve parfois désactivé, et l'écran paraît alors sain.

« Mot de passe oublié » refuse mon adresse email : que faire ?

Ouvrez la fiche du compte dans l'app Mots de passe : le nom d'utilisateur enregistré est souvent une vieille adresse email oubliée. Si le service réclame des informations personnelles — nom, date de naissance, date d'inscription — donnez celles du profil, pas celles de votre pièce d'identité. Et quand le code de confirmation n'arrive pas dans la boîte mail, cherchez dans les indésirables avant de relancer, puis allez changer votre mot de passe.

Sources

• Apple — Mots de passe et confidentialité (les dérivations, « jamais partagés avec Apple »).
• Guide de l'iPhone — mots de passe faibles ou compromis (l'onglet Sécurité, les trois libellés).
• Apple — notifications de menace (la bannière sur account.apple.com).
• Apple — éviter les messages d'hameçonnage (reportphishing@apple.com).
• W3C — A Well-Known URL for Changing Passwords.
• Cybermalveillance.gouv.fr — fiche réflexe piratage de compte.

À lire aussi : les faux hackers qui « récupèrent » un compte · un téléphone qui chauffe · comment ça se passe.