Mot de passe piraté : vérifier une fuite et réagir

Comment savoir si votre mot de passe ou votre adresse e-mail figure dans une fuite de données, et les étapes à suivre immédiatement si un compte a été piraté.

Mis à jour le 14 octobre 2026

Comment les mots de passe fuitent-ils ?

La grande majorité des mots de passe piratés ne sont pas « devinés » mais volés, de trois façons :

Fuite de données d’un site : un service se fait voler sa base de données. Si les mots de passe y sont mal protégés, ils sont retrouvés en clair et publiés ou revendus.
Hameçonnage (phishing) : un faux e-mail, SMS ou site imite votre banque, un transporteur ou un service public et vous fait saisir vos identifiants.
Logiciel espion (infostealer) : un programme malveillant installé sur l’ordinateur aspire les mots de passe enregistrés dans le navigateur et les cookies de session.

Ces identifiants sont ensuite testés automatiquement sur des milliers d’autres sites. C’est pourquoi un mot de passe réutilisé transforme une fuite unique en piratage de tous vos comptes.

Vérifier si votre mot de passe a fuité

Have I Been Pwned

Have I Been Pwned, créé par le chercheur en sécurité Troy Hunt, recense des milliards de comptes issus de fuites publiques. Deux usages :

Votre adresse e-mail : le site liste les fuites dans lesquelles elle apparaît, avec la date et le type de données exposées (mot de passe, téléphone, adresse…). Vous pouvez aussi vous abonner pour être alerté des prochaines.
Un mot de passe (Pwned Passwords) : le site indique combien de fois il apparaît dans les fuites connues. Grâce à la technique de k-anonymat, seuls les 5 premiers caractères de son empreinte SHA-1 sont envoyés : le service ne voit jamais votre mot de passe.

Si un mot de passe apparaît ne serait-ce qu’une fois, considérez-le comme grillé : il figure dans les dictionnaires utilisés par les pirates.

Les alertes intégrées à vos outils

Google Chrome et Android : le Gestionnaire de mots de passe de Google propose un « Check-up » qui signale les mots de passe compromis, réutilisés ou faibles.
iPhone, iPad et Mac : l’app Mots de passe affiche des alertes de sécurité pour les mots de passe apparus dans une fuite.
Firefox : Mozilla Monitor surveille votre adresse e-mail.
Gestionnaires de mots de passe : Bitwarden, 1Password (Watchtower), Proton Pass, Dashlane et d’autres analysent votre coffre et signalent les identifiants exposés.

Les signes d’un compte piraté

Vous ne pouvez plus vous connecter alors que vous n’avez pas changé de mot de passe.
Vous recevez des alertes de connexion depuis un appareil ou un pays inconnu.
Des e-mails de réinitialisation de mot de passe que vous n’avez pas demandés.
Des messages envoyés à vos contacts, des publications ou des achats que vous n’avez pas faits.
L’adresse e-mail ou le numéro de récupération du compte a changé.
Des règles de transfert automatique ont été ajoutées à votre messagerie.

Checklist d’urgence : que faire si un mot de passe a fuité

Changez le mot de passe du compte concerné par un mot de passe long et unique, créé avec le générateur de mot de passe. Si vous n’avez plus accès au compte, lancez la procédure de récupération (voir mot de passe oublié).
Changez-le partout où il était réutilisé, en commençant par la messagerie, la banque et les sites marchands qui conservent votre carte.
Déconnectez toutes les sessions ouvertes depuis les paramètres de sécurité du compte (« Se déconnecter de tous les appareils »).
Vérifiez les informations de récupération : adresse e-mail et numéro de secours, appareils de confiance, applications tierces autorisées, règles de transfert de la messagerie.
Activez la double authentification, ou mieux une passkey.
Analysez votre ordinateur avec un antivirus à jour si vous soupçonnez un logiciel espion : changer un mot de passe sur une machine infectée ne sert à rien.
Surveillez vos comptes bancaires et faites opposition immédiatement en cas d’opération suspecte.
Prévenez vos contacts si votre messagerie ou un réseau social a servi à envoyer des messages frauduleux.

Après une fuite, méfiez-vous des messages qui y font référence. Les escrocs exploitent les fuites médiatisées pour envoyer de faux e-mails « de sécurité » ou se faire passer pour votre conseiller bancaire. Ne cliquez sur aucun lien : passez toujours par l’application ou l’adresse officielle du service.

Signaler et porter plainte

17Cyber : le guichet unique de l’État lancé fin 2024 avec la police, la gendarmerie et Cybermalveillance.gouv.fr. Un questionnaire établit un diagnostic et, si nécessaire, vous met en relation par tchat avec un policier ou un gendarme.
Cybermalveillance.gouv.fr : conseils par type d’attaque et annuaire de prestataires pour vous aider techniquement.
Plainte : au commissariat ou à la gendarmerie, ou en ligne via la plateforme THESEE (accessible depuis service-public.fr et FranceConnect) pour certaines infractions en ligne, dont le piratage de messagerie ou de réseau social et les escroqueries sur Internet.
CNIL : si un organisme n’a pas protégé vos données ou ne vous a pas informé d’une violation, vous pouvez déposer une plainte sur cnil.fr.

Exemple : la fuite France Travail

Le 13 mars 2024, France Travail (ex-Pôle emploi) a annoncé une intrusion dans ses systèmes, survenue entre le 6 février et le 5 mars 2024. Jusqu’à 43 millions de personnes inscrites au cours des vingt dernières années étaient potentiellement concernées. Les données exposées comprenaient noms, dates de naissance, numéros de sécurité sociale, identifiants France Travail, adresses e-mail et postales et numéros de téléphone ; selon l’organisme, les mots de passe et coordonnées bancaires n’étaient pas touchés.

Cet exemple illustre un point essentiel : même sans mot de passe, une fuite fournit aux escrocs de quoi rendre leurs tentatives d’hameçonnage très convaincantes. La meilleure protection reste la même : des mots de passe uniques stockés dans un gestionnaire, la double authentification, et une méfiance systématique envers les messages qui vous demandent de vous connecter.

Questions fréquentes

Est-il risqué de taper son mot de passe sur Have I Been Pwned ?

Le service Pwned Passwords ne reçoit jamais votre mot de passe : le navigateur calcule son empreinte SHA-1 et n’envoie que les 5 premiers caractères de cette empreinte. Le serveur renvoie toutes les empreintes qui commencent ainsi et la comparaison se fait sur votre appareil. Par principe, préférez toutefois les alertes intégrées à votre gestionnaire, qui utilisent le même mécanisme.

Mon adresse e-mail apparaît dans une fuite : dois-je changer d’adresse ?

Non. Une adresse e-mail n’est pas un secret. Changez le mot de passe du site concerné et de tout compte où il était réutilisé, activez la double authentification et redoublez de vigilance face aux e-mails et SMS d’hameçonnage, plus crédibles quand les escrocs connaissent votre nom ou votre numéro.

Un site piraté doit-il me prévenir ?

Oui, en cas de risque élevé pour vos droits et libertés : le RGPD (article 34) impose au responsable de traitement d’informer les personnes concernées. Il doit aussi notifier la violation à la CNIL dans les 72 heures. Si vous estimez que ces obligations n’ont pas été respectées, vous pouvez adresser une plainte à la CNIL.

Mon compte a été piraté et l’adresse e-mail de récupération a été changée. Est-ce perdu ?

Pas forcément. Google, Microsoft, Apple et Meta conservent l’ancienne adresse ou le numéro de téléphone pendant un certain temps et proposent des formulaires de récupération qui s’appuient sur l’historique de connexion. Agissez le plus vite possible, depuis un appareil et un réseau que vous utilisez habituellement.