Un e-mail annonçant une fuite de données peut être authentique ou frauduleux, même s’il contient ton vrai nom et ton adresse. Pour vérifier, ouvre toi-même le site ou l’application de l’organisme concerné. Cherche son avis de sécurité ou contacte son assistance par un canal déjà connu, sans utiliser les coordonnées du message suspect.
Le sujet du mail suffit à inquiéter : « Vos données personnelles ont été compromises ». Il cite un service que tu utilises, décrit un incident et propose un bouton pour te protéger. La bonne question est d’abord : qui me demande de faire quoi ?
Une fuite réelle peut servir de prétexte à un faux message
Une annonce publique et un e-mail reçu sont deux éléments à vérifier séparément. L’incident peut être réel alors que l’expéditeur qui prétend t’aider n’a aucun lien avec l’entreprise touchée.
Le NCSC britannique explique que des fraudeurs exploitent les annonces de fuites, y compris pour contacter des personnes dont les données n’ont pas été volées. Un message reçu juste après une actualité ne prouve donc pas que tu es concerné.
En France, la CNIL a publié une alerte le 24 juin 2026 sur des courriels proposant aux victimes une aide à la suppression. Certains reprennent de vraies données volées et mentionnent la CNIL sans lien avec elle. Connaître tes coordonnées ne donne pas à l’expéditeur une légitimité pour agir à ta place.
Vérifie l’alerte en quatre étapes
1. Relève les faits annoncés sans répondre
Note le nom de l’organisme, la date de l’incident et les catégories de données citées. Distingue ces informations de l’action demandée : lire un avis, saisir un mot de passe, fournir une pièce d’identité ou payer un service.
Un message vague ne devient pas fiable parce qu’il utilise des mots techniques. À l’inverse, un texte bien écrit n’est pas une garantie d’authenticité.
2. Rejoins l’organisme par un chemin indépendant
Utilise son application habituelle ou un favori que tu connais. Cherche un avis dans ton espace client ou sur son site officiel. Si tu passes par un moteur de recherche, vérifie le domaine avant de saisir des informations.
En l’absence d’annonce visible, contacte l’assistance depuis ce site. L’absence de communiqué public ne suffit pas à déclarer le mail faux. Une information peut être adressée directement aux personnes concernées.
3. Fais confirmer la demande précise
Tu peux poser ces questions au contact trouvé indépendamment :
- Avez-vous envoyé un avis de fuite à vos utilisateurs ?
- Mon compte est-il concerné et quelles données le sont ?
- Dois-je faire une action dans mon espace client ?
- Le prestataire nommé dans ce message intervient-il réellement pour vous ?
Ne copie pas ton dossier personnel complet dans un premier échange. Le but est de vérifier la demande, pas d’ajouter des données à celles déjà exposées.
4. Décide selon ce que tu as confirmé
Si l’organisme confirme l’alerte et l’action, réalise cette action depuis son service officiel. Si le message reste douteux, utilise le signalement de ta messagerie et conserve les éléments utiles. S’il s’agit d’un prestataire commercial, examine séparément son identité, son offre et ton éventuelle autorisation.
La FTC recommande elle aussi de contacter l’entreprise par un site ou un numéro connu, plutôt que par les coordonnées contenues dans le message suspect.
Les détails qui rassurent à tort
Un prénom, une ancienne adresse, un logo et une mise en page soignée ne suffisent pas. Ces éléments ne permettent pas de vérifier qui contrôle réellement la boîte d’envoi ou le site de destination.
Exemple fictif : un mail cite ton ancien domicile et réclame 4,90 € avant minuit pour « retirer ton dossier de toutes les bases ». Le domicile peut être exact. Cela ne démontre ni que l’expéditeur possède le fichier annoncé, ni qu’il peut effacer toutes ses copies.
Une offre payante n’est pas, à elle seule, une preuve d’arnaque. Vérifie plutôt le travail promis, son périmètre, l’identité du prestataire et ce que tu acceptes. Notre analyse de BrixHub et du retrait payant de données fuitées explique pourquoi retirer une fiche ne revient pas à détruire une fuite.
Have I Been Pwned peut-il confirmer le mail ?
HIBP peut signaler une exposition connue, pas authentifier le message que tu as reçu. Ouvre le site officiel toi-même et compare l’incident indiqué avec les informations de l’organisme concerné.
Un résultat positif ne prouve pas que l’expéditeur est autorisé à te contacter. Une absence de résultat ne prouve pas non plus que l’avis est faux : la FAQ de HIBP précise que sa base ne contient pas toutes les fuites.
Pour lire les catégories de données et comprendre les limites du résultat, consulte notre guide Have I Been Pwned en français.
Tu as déjà cliqué ou transmis une information ?
Le simple fait d’avoir ouvert une page ne permet pas de conclure à un piratage. Ferme-la et fais le point sur ce que tu as réellement fait : saisie, téléchargement, installation ou paiement.
- Mot de passe saisi : change-le depuis le vrai service et sur les autres comptes où tu le réutilises.
- Coordonnées de paiement transmises : contacte immédiatement ta banque par son canal habituel.
- Fichier téléchargé ou logiciel installé : demande une aide adaptée à ton appareil ; ne poursuis pas les instructions du message.
Garde le message et les preuves utiles. La fiche de Cybermalveillance.gouv.fr sur l’hameçonnage détaille les démarches et signalements en France. Si un identifiant a été divulgué, notre plan d’action pour un mot de passe exposé aide à prioriser.
Après la vérification, fais le point sur ton exposition
Une fois l’urgence traitée, tu peux examiner les informations qui circulent sur toi. L’audit digital gratuit Data Knight rassemble les traces publiques détectées, les courtiers susceptibles de détenir tes données et les fuites connues couvertes par nos sources. Un courtier suggéré ne prouve pas qu’il possède effectivement tes informations.
Cet audit ne certifie pas l’authenticité d’un e-mail. Il répond à la question suivante : quelles traces peut-on identifier et quelles actions envisager ? Tu peux consulter un exemple de bilan avant de commencer.
Tu examines ensuite les résultats, choisis ceux qui te concernent et peux déléguer les demandes d’effacement selon l’offre choisie, après autorisation. La Protection continue permet de poursuivre le suivi dans la durée. Le paiement porte sur le service et les démarches prévus, pas sur la promesse de faire disparaître toutes les copies d’une fuite.
Notre blog reste accessible pour agir toi-même. Vérifier d’abord, comprendre ensuite, puis choisir ce que tu souhaites déléguer : tu gardes la main sur la démarche.
Voir aussi : une fuite sans mot de passe, quels risques ? · appels et SMS après une fuite · comprendre le retrait payant chez BrixHub.
