Il y a un moment désagréable que presque tout le monde a vécu : le navigateur affiche un bandeau, « ce mot de passe a été trouvé dans une fuite de données », et on se demande ce qu’on a bien pu faire de mal. La réponse est généralement : rien. Le mot de passe n’a presque jamais été volé chez vous. Il a été volé chez quelqu’un d’autre.
Comprendre par où ça passe change la façon de réagir — et surtout, ça évite les deux réflexes inutiles : paniquer, ou ne rien faire.
Les fuites ne viennent pas de votre ordinateur
Quand une entreprise se fait dérober sa base d’utilisateurs, ce sont des millions de couples « adresse mail + mot de passe » qui partent d’un coup. Ces bases circulent, se revendent, puis finissent agrégées dans des compilations géantes qui regroupent des dizaines de fuites différentes. Certaines de ces fuites datent de dix ans et ressortent aujourd’hui.
C’est pour ça qu’une alerte peut concerner un site dont vous aviez oublié jusqu’à l’existence : un forum, une boutique fermée depuis, un service auquel vous vous êtes inscrit une seule fois. Votre machine n’a jamais été touchée, votre antivirus n’avait rien à détecter, et pourtant le mot de passe est dans la nature.
Le site haveibeenpwned.com permet de tester une adresse mail et donne le nom des fuites connues qui la contiennent. C’est souvent instructif : la plupart des gens y découvrent trois à dix entrées.
Le vrai danger n’est pas la fuite, c’est la réutilisation
Un mot de passe volé sur un forum oublié ne vaut rien en soi. Il devient dangereux au moment où c’est le même que celui de votre boîte mail.
Les attaquants ne cherchent pas à « casser » un mot de passe. Ils prennent les listes issues des fuites et les rejouent automatiquement sur les grands services : messageries, réseaux sociaux, sites marchands, plateformes de streaming. La technique s’appelle le credential stuffing, et son taux de réussite tourne autour de 0,1 à 2 % selon les campagnes. Sur dix millions de couples testés, cela fait encore beaucoup de comptes ouverts.
C’est aussi pour ça que la variante « le même mot de passe avec l’année à la fin » ne protège de rien : les outils testent automatiquement ces dérivés.
Le cas particulier : le voleur d’identifiants
Il existe une seconde source, plus rare mais nettement plus grave : les logiciels appelés infostealers. Installés par un faux crack, un faux installeur ou une pièce jointe, ils font une seule chose — lire les mots de passe enregistrés dans le navigateur, les cookies de session, parfois les portefeuilles de cryptomonnaie — puis repartent.
Deux signes permettent de suspecter ce cas plutôt qu’une fuite classique :
- plusieurs alertes le même jour, sur des comptes sans aucun rapport entre eux ;
- des sessions qui se ferment toutes seules, ou des codes de validation reçus sans les avoir demandés.
La nuance a une conséquence pratique très concrète : tant que le programme tourne, changer un mot de passe ne sert à rien, il repartira aussitôt. Il faut nettoyer la machine d’abord, ou faire les changements depuis un autre appareil.
Par quoi commencer, dans quel ordre
L’erreur la plus fréquente consiste à changer d’abord le mot de passe du site qui a déclenché l’alerte. Si la boîte mail utilise le même, tout le reste est inutile : celui qui contrôle la messagerie peut demander une réinitialisation partout ailleurs et recevoir les liens à votre place.
L’ordre qui fonctionne :
- la messagerie principale, avec un mot de passe unique et la double authentification activée dans la foulée ;
- les comptes liés à l’argent : banque, services de paiement, sites où une carte est enregistrée ;
- tous les comptes qui partageaient l’ancien mot de passe ;
- le reste, tranquillement.
À chaque étape, un détour de trente secondes par la page « Sécurité » du compte pour regarder la liste des appareils connectés vaut mieux qu’un long nettoyage : changer un mot de passe ne coupe pas toujours une session déjà ouverte.
Le détail de la marche à suivre, y compris la distinction entre les trois alertes différentes qu’affiche Chrome — « compromis », « réutilisé » et « faible », qui ne veulent pas du tout dire la même chose — est expliqué dans ce guide : que faire quand Chrome signale un mot de passe compromis.
La double authentification rend la fuite inoffensive
C’est la seule mesure qui transforme le problème en non-événement. Un mot de passe volé et protégé par un second facteur ne donne accès à rien.
Préférez une application d’authentification au SMS. Le SMS reste meilleur que rien, mais il est vulnérable au détournement de ligne, où l’attaquant obtient une carte SIM de remplacement chez l’opérateur. Et surtout, notez les codes de secours proposés au moment de l’activation : ce sont eux qui vous sauveront le jour où vous changerez de téléphone.
Comment gérer quarante mots de passe sans devenir fou
Personne n’en retient quarante. Les solutions qui tiennent dans la durée sont au nombre de trois :
- Le gestionnaire intégré au navigateur. Gratuit, déjà là, synchronisé. Sa faiblesse : tout repose sur le compte Google ou Apple qui le synchronise — qui doit donc impérativement être protégé par une double authentification.
- Un gestionnaire dédié (Bitwarden, KeePass, 1Password…). Plus souple, indépendant du navigateur, et utilisable sur plusieurs appareils. Le mot de passe maître devient alors le seul à retenir — et le seul à ne jamais réutiliser ailleurs.
- Le carnet papier, rangé hors de vue. Ce n’est pas une blague : un carnet dans un tiroir résiste parfaitement aux attaques qui viennent d’internet, et c’est l’immense majorité des cas.
Le point commun des trois : un mot de passe différent par service. C’est cette règle-là, et pas la complexité du mot de passe, qui empêche une fuite de se propager.
Ce qu’il faut retenir
Une alerte de fuite n’est pas une accusation. Elle signale qu’un couple identifiant + mot de passe circule, rien de plus. Ce qui fait la différence entre un incident sans conséquence et un compte perdu tient en deux points : ne pas avoir réutilisé ce mot de passe ailleurs, et avoir activé la double authentification sur les comptes qui comptent.
Les deux se règlent en une heure, une fois. Et cette heure-là évite les semaines de réparation qui suivent un compte de messagerie perdu.
