Mon mot de passe a fuité : que faire

↑ Ce conseil fait partie du guide : Mots de passe et fuites

Mon mot de passe a été volé : que faire ?

Changez d'abord celui de votre boîte mail, puis ceux des comptes où le même mot de passe servait : c'est la réutilisation qui transforme une fuite en piratage. Activez ensuite la double authentification sur les comptes sensibles. Un bon mot de passe est long et unique, pas compliqué à écrire.

Savoir si un mot de passe a fuité

Les fuites ne viennent presque jamais de votre ordinateur : elles viennent des sites où vous aviez un compte. Un site se fait pirater, sa base d'utilisateurs circule, et votre adresse mail s'y retrouve avec le mot de passe que vous y utilisiez.

Deux indices ne trompent pas : vous recevez des codes de validation que vous n'avez pas demandés, ou des alertes de connexion depuis un endroit inconnu. Dans les deux cas, quelqu'un possède déjà votre mot de passe et se heurte (pour l'instant) à la deuxième barrière.

Des services publics de vérification de fuites existent ; le plus connu recense les bases compromises à partir d'une adresse mail. Le résultat vous dit surtout quels mots de passe changer en priorité.

Dans quel ordre changer

L'ordre compte, parce que certains comptes ouvrent les autres :

1. La boîte mail principale. C'est la clé de tout le reste : elle permet de réinitialiser n'importe quel autre compte.
2. Les comptes qui touchent à l'argent : banque, PayPal, sites d'achat où une carte est enregistrée.
3. Les réseaux sociaux, surtout s'ils servent à se connecter ailleurs.
4. Tous les comptes qui partageaient le mot de passe compromis. C'est le point le plus pénible et le plus important.

Ce qu'est un bon mot de passe aujourd'hui

La longueur compte plus que la complexité. Une phrase de quatre ou cinq mots sans rapport entre eux vaut mieux qu'un « Tr0ub4dor ! » impossible à retenir. Deux règles suffisent :

• Long : au moins une douzaine de caractères, idéalement une phrase.
• Unique : différent sur chaque site. C'est ce qui empêche une fuite de se propager.

Changer de mot de passe tous les trois mois « par sécurité » n'apporte rien si le mot de passe est unique et long : cette vieille consigne est aujourd'hui déconseillée, parce qu'elle pousse à des variantes prévisibles.

Le gestionnaire de mots de passe

C'est la seule réponse réaliste à « un mot de passe différent partout ». Le principe : vous retenez une phrase, le gestionnaire retient le reste et les remplit à votre place.

Trois précautions : une phrase maîtresse longue et notée nulle part en clair, la double authentification sur le gestionnaire lui-même, et une procédure de secours (code de récupération imprimé, rangé ailleurs).

Un cas particulier mérite d'être connu : quand c'est le téléphone qui disparaît, tous les mots de passe qu'il contenait sont à traiter comme volés, et l'ordre des gestes n'est pas le même. Il est détaillé dans la fiche téléphone volé : que faire dans la première heure.

Le mail qui prétend vous avoir filmé

Il arrive presque toujours après une fuite : le message cite un de vos anciens mots de passe pour paraître crédible, affirme détenir une vidéo, et réclame un paiement en cryptomonnaie. Il n'y a ni vidéo, ni accès à votre matériel : c'est un envoi en masse.

Ne payez pas, ne répondez pas. La seule action utile : le mot de passe cité doit disparaître de tous les sites où il servait encore.

Et après

Une fois les mots de passe changés, il reste à vérifier que personne n'a laissé une porte : adresses de récupération, applications autorisées, sessions actives, règles de transfert de la messagerie. C'est détaillé dans les vérifications à faire soi-même, et c'est aussi ce que couvre l'audit quand vous préférez ne pas y toucher.

Pour savoir dans quelles fuites votre adresse apparaît, et surtout comment lire la réponse sans paniquer, voyez comment savoir si mon adresse mail a fuité.

Et si un vieux mot de passe vous revient par un message de menace réclamant des bitcoins, ne payez rien : c'est le scénario décrit dans mail de chantage à la webcam.

Pour ne plus avoir à retenir quoi que ce soit — et ne plus réutiliser le même mot de passe —, la question du coffre se pose vite : quel gestionnaire de mots de passe choisir compare les solutions, carnet papier compris.

Créer un mot de passe qui tient, et qu'on retient

Le vôtre a été volé : la question est maintenant de savoir par quoi le remplacer. Ce qui marche, et qui va à l'encontre de ce qu'on vous a appris :

• La longueur avant tout. Quatre mots sans rapport entre eux — girafe-tiroir-vinaigre-mardi — battent largement un mot court bardé de majuscules, de minuscules et de caractères spéciaux. Et ça se mémorise, ce qui est le vrai sujet.
• Rien de vous dedans. Ni prénom, ni date de naissance, ni nom d'animal, ni équipe favorite : tout cela se trouve sur vos réseaux en cinq minutes, et c'est la première chose qu'un attaquant essaie de deviner.
• Un par compte. C'est la règle qui compte le plus. Un mot de passe unique transforme une fuite en incident local ; un mot de passe réutilisé la transforme en effondrement.
• Pas de variante. Ajouter un chiffre à la fin de l'ancien ne trompe aucun automate : ils testent précisément ces dérivés.

Si vous devez en retenir trois — la boîte mail, la banque, et celui du gestionnaire — faites-en trois phrases longues et différentes. Tout le reste peut être généré et stocké : c'est le rôle d'un gestionnaire, Bitwarden, 1Password ou Dashlane selon vos préférences.

Dans quel ordre reprendre vos comptes

Quand un mot de passe réutilisé a fuité, l'ordre n'est pas indifférent : chaque compte repris protège les suivants.

1. La messagerie d'abord. Elle reçoit les liens de réinitialisation de tout le reste : tant qu'elle n'est pas à vous, rien d'autre ne tient.
2. Les comptes bancaires et de paiement, puis les identifiants d'accès à vos espaces client qui contiennent une carte enregistrée.
3. Les comptes qui servent à se connecter ailleurs — Google, Apple, Facebook. Un seul d'entre eux ouvre souvent une dizaine de services.
4. Les réseaux sociaux, qui servent à escroquer vos proches en votre nom.
5. Le reste, au fil de l'eau. Un gestionnaire signale les comptes encore concernés au fur et à mesure que vous vous y connectez.

Et à chaque étape, pensez à fermer les sessions ouvertes : changer le mot de passe n'en déconnecte pas toujours les appareils déjà connectés.

Questions fréquentes

Par quel compte commencer ?

La messagerie, toujours : elle reçoit les liens de réinitialisation de tous les autres. Ensuite la banque, puis les comptes qui servent à se connecter ailleurs — Google, Apple, Facebook.

Comment créer un mot de passe dont je me souviendrai ?

Quatre mots sans rapport entre eux, comme girafe-tiroir-vinaigre-mardi. Rien qui vienne de vous — ni prénom, ni date de naissance — parce que tout cela se trouve sur vos réseaux en cinq minutes.

Ajouter un chiffre à l'ancien mot de passe, ça suffit ?

Non. Les automates testent précisément ces dérivés : le même mot suivi d'un chiffre ou d'une année fait partie des premières combinaisons essayées.

À lire aussi : compte Facebook piraté · rançongiciel, que faire.