Le mot « pwned » revient régulièrement lorsqu’il est question de cybersécurité. Vous l’avez peut-être découvert après avoir reçu une alerte de votre gestionnaire de mots de passe, de Google ou d’un service en ligne. Le terme signifie qu’un compte ou une donnée a été compromis à la suite d’une fuite de données.
La bonne nouvelle, c’est qu’il est possible de vérifier rapidement si votre adresse e-mail apparaît dans une base de données piratée. La mauvaise, c’est qu’une adresse présente dans une fuite ne disparaît pas comme par magie. Il faut donc savoir interpréter le résultat et réagir correctement.
Voici une méthode simple pour vérifier si votre adresse e-mail a été exposée, comprendre les risques et sécuriser vos comptes sans paniquer.
Que signifie « pwned » en cybersécurité ?
Le terme pwned vient de l’anglais et signifie, dans le langage informatique, qu’un système ou un compte a été compromis. Il s’agit d’une déformation volontaire du mot owned, qui signifie « possédé » ou « pris le contrôle ».
Lorsqu’une entreprise est victime d’une cyberattaque, des données peuvent être copiées puis publiées ou revendues sur Internet. Ces informations peuvent inclure :
- une adresse e-mail ;
- un nom ou un prénom ;
- un numéro de téléphone ;
- un nom d’utilisateur ;
- une adresse postale ;
- une date de naissance ;
- un mot de passe, parfois chiffré ou haché ;
- des données liées à une commande ou à un abonnement.
Une adresse e-mail « pwned » ne signifie pas nécessairement que votre boîte mail a été piratée. Elle peut simplement apparaître dans la base d’un ancien site auquel vous vous êtes inscrit. En revanche, cette exposition augmente les risques de phishing, de tentatives de connexion et de réutilisation frauduleuse de vos mots de passe.
Le site Have I Been Pwned sert-il à vérifier une adresse e-mail ?
Le service le plus connu pour effectuer cette vérification est Have I Been Pwned, souvent abrégé en HIBP. Il a été créé par Troy Hunt, spécialiste de la sécurité informatique. Le site recense des fuites de données rendues publiques ou identifiées par des chercheurs en cybersécurité.
Son fonctionnement est simple : vous saisissez votre adresse e-mail et le service indique si elle apparaît dans une ou plusieurs fuites connues. Vous obtenez généralement :
- le nombre de fuites associées à l’adresse ;
- le nom des services concernés ;
- la date de chaque incident ;
- le type de données exposées ;
- parfois des informations sur la nature de la compromission.
Le site ne vous demande pas votre mot de passe. C’est un point essentiel. Pour vérifier une adresse, vous ne devez fournir que l’adresse e-mail concernée.
Le service est disponible en anglais, mais son utilisation reste très accessible, même sans maîtriser la langue de Shakespeare. Le bouton de recherche est généralement intitulé « pwned? ».
Comment vérifier si son adresse e-mail a été compromise ?
La vérification prend moins d’une minute. Suivez ces étapes :
- rendez-vous sur le site officiel haveibeenpwned.com ;
- saisissez votre adresse e-mail dans le champ de recherche ;
- validez le contrôle de sécurité demandé ;
- cliquez sur le bouton de recherche ;
- analysez le résultat affiché.
Si aucune fuite n’est trouvée, le site affiche un message indiquant que l’adresse n’a pas été retrouvée dans les bases analysées. Cela ne signifie pas que votre adresse est totalement protégée. Cela indique uniquement qu’elle n’a pas été identifiée dans les fuites connues par le service.
Si l’adresse est présente dans une fuite, l’écran affiche un message d’alerte ainsi que la liste des incidents concernés. Prenez le temps de regarder les informations associées à chaque fuite. Une exposition datant de dix ans n’a pas exactement le même niveau de risque qu’une fuite récente, mais elle mérite tout de même votre attention.
Comment interpréter le résultat affiché ?
Le nom d’un site dans la liste ne signifie pas toujours que l’entreprise a été directement piratée. Une fuite peut provenir :
- d’une attaque contre les serveurs du service ;
- d’une mauvaise configuration technique ;
- d’une base de données exposée par erreur ;
- d’un partenaire ou d’un sous-traitant ;
- d’un logiciel malveillant installé sur un ordinateur ;
- d’un fichier volé puis publié en ligne.
Regardez surtout la catégorie de données exposées. Une fuite contenant uniquement des adresses e-mail n’a pas le même impact qu’une fuite comportant des mots de passe, des numéros de téléphone ou des informations personnelles détaillées.
Par exemple, si une ancienne plateforme de réservation a exposé votre adresse e-mail et votre nom, vous risquez surtout de recevoir davantage de messages frauduleux. Si la même fuite contient votre ancien mot de passe et que vous l’utilisez encore ailleurs, le niveau d’urgence est beaucoup plus élevé.
Autre point important : une fuite peut apparaître longtemps après les faits. Les cybercriminels conservent parfois les données pendant des années avant de les publier ou de les revendre. La date affichée correspond donc à l’incident connu, pas forcément au moment où les données ont été utilisées.
Que faire si votre adresse e-mail est « pwned » ?
Ne changez pas uniquement le mot de passe du service concerné. Si vous avez réutilisé ce mot de passe sur d’autres comptes, modifiez-le partout. La réutilisation des mots de passe est l’un des principaux leviers utilisés lors des attaques.
Voici l’ordre de priorité recommandé :
- modifiez le mot de passe du site concerné ;
- changez ce même mot de passe sur tous les autres services ;
- commencez par votre adresse e-mail principale ;
- sécurisez vos comptes bancaires, administratifs et professionnels ;
- activez la double authentification ;
- vérifiez les sessions et appareils connectés ;
- contrôlez les règles de transfert configurées dans votre boîte mail.
Le compte e-mail doit être traité en priorité. Il permet souvent de réinitialiser les mots de passe d’autres services. Si un attaquant prend le contrôle de votre boîte mail, il peut demander la récupération de votre compte bancaire en ligne, de vos réseaux sociaux ou de vos outils professionnels.
Dans votre messagerie, vérifiez également les paramètres suivants :
- les adresses e-mail de récupération ;
- les numéros de téléphone associés ;
- les règles de redirection automatique ;
- les appareils actuellement connectés ;
- les applications ayant accès à votre compte.
Faut-il changer tous ses mots de passe ?
Pas nécessairement dans la panique, mais vous devez changer tous les mots de passe réutilisés ou faibles. Un mot de passe unique, long et non exposé n’a pas besoin d’être modifié chaque semaine.
La méthode la plus efficace consiste à utiliser un gestionnaire de mots de passe. Cet outil génère et stocke des mots de passe différents pour chaque compte. Vous n’avez alors qu’un seul mot de passe principal à retenir.
Un mot de passe solide doit idéalement :
- être différent pour chaque service ;
- comporter au moins 14 caractères lorsque le service l’autorise ;
- éviter les informations personnelles ;
- ne pas reprendre un ancien mot de passe ;
- mélanger plusieurs types de caractères lorsque cela est utile ;
- être généré aléatoirement plutôt qu’inventé à partir d’un prénom ou d’une date.
Évitez les variantes prévisibles comme Motdepasse2024! ou Entreprise123. Elles semblent plus complexes qu’un mot courant, mais elles sont faciles à deviner ou à tester automatiquement.
Comment vérifier si un mot de passe a été exposé ?
Have I Been Pwned propose également un service appelé Pwned Passwords. Il permet de vérifier si un mot de passe apparaît dans une base de mots de passe compromis.
Cette vérification repose sur une technique appelée k-anonymity. Concrètement, votre mot de passe complet n’est pas envoyé au service. Il est transformé en empreinte cryptographique, puis seule une partie de cette empreinte est transmise. Le site renvoie ensuite les correspondances possibles.
Malgré ce mécanisme de protection, ne saisissez jamais votre mot de passe principal ou un mot de passe actuellement utilisé sur un site que vous ne connaissez pas. Pour un usage courant, privilégiez la fonction intégrée à votre gestionnaire de mots de passe ou les alertes de sécurité de vos services.
Si un mot de passe apparaît dans une fuite, considérez-le comme définitivement compromis, même si vous ne l’utilisez plus. Évitez également de le modifier légèrement. Remplacer Paris2022! par Paris2023! ne suffit pas : les attaquants testent précisément ce type de variation.
La double authentification réduit-elle vraiment les risques ?
Oui. La double authentification, ou 2FA, ajoute une seconde preuve lors de la connexion. Même si votre mot de passe est découvert, l’attaquant doit encore fournir un code ou valider une demande sur un autre appareil.
Les méthodes les plus courantes sont :
- un code envoyé par SMS ;
- un code généré par une application d’authentification ;
- une clé de sécurité physique ;
- une validation depuis un appareil déjà reconnu ;
- une passkey, basée sur la biométrie ou le verrouillage de votre appareil.
Lorsque c’est possible, préférez une application d’authentification ou une clé physique aux SMS. Les SMS restent utiles, mais ils peuvent être détournés dans certaines attaques ciblant la carte SIM.
Activez en priorité la double authentification sur votre adresse e-mail, votre gestionnaire de mots de passe, vos comptes professionnels, vos réseaux sociaux et vos services financiers.
Attention aux faux messages après une fuite de données
Une adresse e-mail exposée peut entraîner une hausse des tentatives de phishing. Vous pourriez recevoir un message imitant votre banque, un transporteur, un service de streaming ou une plateforme de paiement.
Les fraudeurs utilisent parfois les données d’une fuite pour rendre leur message plus crédible. Ils peuvent connaître votre nom, votre ancien identifiant ou le service auquel vous étiez inscrit. Cela ne signifie pas qu’ils ont accès à votre compte.
Avant de cliquer sur un lien, vérifiez :
- l’adresse réelle de l’expéditeur ;
- le domaine du lien ;
- le ton du message et les fautes éventuelles ;
- la présence d’une demande urgente ou menaçante ;
- la cohérence entre le message et vos actions récentes.
En cas de doute, ouvrez directement le site concerné depuis votre navigateur ou son application officielle. Ne passez pas par le lien reçu par e-mail. Une banque ne vous demandera généralement pas de confirmer vos identifiants complets par retour de message.
Les limites de Have I Been Pwned
Le service est très utile, mais il ne détecte pas toutes les compromissions. Une adresse peut ne pas apparaître pour plusieurs raisons :
- la fuite n’a pas été rendue publique ;
- elle n’a pas encore été identifiée ;
- la base n’est pas intégrée au service ;
- les données ont été revendues dans un circuit privé ;
- l’attaque est récente ;
- l’adresse présente dans la fuite comporte une erreur.
À l’inverse, la présence de votre adresse ne prouve pas qu’un attaquant tente actuellement de se connecter à vos comptes. Il s’agit d’un indicateur de risque, pas d’un diagnostic complet de sécurité.
Utilisez donc cette vérification comme un point de départ. La sécurité repose aussi sur des mots de passe uniques, la double authentification, les mises à jour et votre vigilance face aux messages reçus.
Une méthode simple pour sécuriser ses comptes
Vous pouvez traiter le sujet en une heure avec une méthode structurée :
- listez vos comptes importants : e-mail, banque, administration, travail et réseaux sociaux ;
- vérifiez votre adresse sur Have I Been Pwned ;
- changez les mots de passe exposés ou réutilisés ;
- installez un gestionnaire de mots de passe si nécessaire ;
- activez la double authentification sur les comptes prioritaires ;
- supprimez les anciens comptes que vous n’utilisez plus ;
- contrôlez régulièrement les alertes de sécurité.
Pour une entreprise, ajoutez un inventaire des comptes professionnels, une politique de mots de passe et une procédure en cas de fuite. Les adresses professionnelles peuvent être surveillées via les fonctionnalités adaptées de Have I Been Pwned ou par une solution de cybersécurité dédiée. Évitez toutefois de centraliser des données sensibles dans un outil sans avoir vérifié ses conditions d’utilisation et sa politique de confidentialité.
Vérifier si son adresse e-mail est « pwned » est donc une bonne habitude, au même titre que mettre à jour ses logiciels ou sauvegarder ses fichiers. Le contrôle est rapide, mais la vraie valeur vient des actions qui suivent : supprimer les mots de passe réutilisés, protéger votre boîte mail et activer une authentification renforcée. C’est moins spectaculaire qu’un film de hackers, mais nettement plus efficace.