Votre e-mail dans une fuite : que faire et ce que la séparation change

Une entreprise auprès de laquelle vous vous êtes inscrit un jour a été piratée, ou un service de surveillance signale votre adresse e-mail dans des données divulguées. La première chose utile à savoir est que « votre e-mail était dans une fuite » n'est pas une description complète. Certaines fuites n'exposent qu'un e-mail et une date d'inscription. D'autres incluent un hachage de mot de passe, un nom complet, un numéro de téléphone ou une adresse postale. La bonne réponse dépend des champs qui ont fuité, pas du seul événement.

Établissez d'abord ce qui a été exposé

Commencez par l'avis de fuite lui-même. Les entreprises concernées indiquent généralement quelles catégories de données ont été dérobées. Si aucun avis n'est arrivé, le service de surveillance ou la page d'état du service peut montrer les champs divulgués.

Deux champs méritent un traitement différent.

• Votre adresse e-mail est un identifiant durable. Les numéros de téléphone changent et les numéros de carte sont réémis, mais la plupart des gens gardent le même e-mail pendant des années. Une adresse divulguée issue d'un service que vous avez abandonné reste un chemin fonctionnel jusqu'à vous, et identifie toujours des comptes ailleurs.
• Le mot de passe et les champs personnels déterminent le degré d'urgence. Les données de mot de passe divulguées comptent surtout quand elles peuvent être récupérées — parce que le site les stockait faiblement ou parce que le mot de passe était déjà public depuis une fuite antérieure — et quand vous l'avez réutilisé. Les noms, numéros de téléphone ou données de paiement divulgués aggravent la situation au-delà du champ e-mail.

Ne présumez pas que l'exposition inclut des données de mot de passe sous prétexte qu'une base a fuité, ni qu'elle n'en inclut pas. Vérifiez ce qui a réellement été rapporté.

Sécurisez les comptes concernés

Si des données de mot de passe ont été exposées — ou si vous ne pouvez pas l'exclure — parcourez cette liste. Si l'exposition n'incluait pas de mots de passe, les points suivants sur le MFA et les règles de courrier s'appliquent quand même.

1. Si vous soupçonnez que votre compte e-mail lui-même a été compromis, sécurisez-le d'abord ; sinon commencez par le service piraté, pour que le mot de passe divulgué cesse d'être valide.
2. Changez le mot de passe partout où vous l'avez réutilisé. Un couple adresse-mot de passe exposé est essayé automatiquement sur d'autres sites, et c'est pourquoi la réutilisation transforme une petite fuite en grande.
3. Activez l'authentification multifacteur pour votre compte e-mail, puis pour la banque, le stockage cloud et partout où elle est proposée.
4. Vérifiez dans votre compte e-mail les règles de transfert, les filtres ou les nouveaux appareils que vous n'avez pas créés. Un attaquant qui a atteint la boîte peut en laisser un derrière lui pour continuer à recevoir votre courrier après le changement de mot de passe.

Si la fuite a exposé des données de paiement ou suffisamment d'informations d'identité, traitez cela comme un problème séparé : surveillez la carte et suivez les étapes de récupération que le service piraté vous donne.

Méfiez-vous des relances ciblées

Un jeu de données divulgué dit à quiconque le détient quelque chose de vrai sur vous : vous avez utilisé ce service, possiblement sous quel nom et avec quelles habitudes de mot de passe. Cela rend le courrier de relance bien plus convaincant que le spam générique. Un message qui dit « Votre compte chez X nécessite un nouveau mot de passe » est crédible précisément parce que vous en aviez un.

Deux habitudes gèrent l'essentiel de ce risque :

• Considérez tout message qui fait référence au service piraté comme non vérifié, surtout ceux qui vous demandent de vous connecter, de confirmer un paiement ou d'ouvrir une pièce jointe. Rendez-vous sur le service via son application officielle ou une URL enregistrée, pas via un lien de l'e-mail.
• Attendez-vous à ce que le courrier continue d'arriver. Les données de fuite circulent pendant des années, alors restez vigilant face aux messages qui mentionnent le service piraté longtemps après l'annonce — un message ultérieur ne dit pas, à lui seul, si une autre fuite a eu lieu.

Ce qu'une adresse séparée aurait changé

Imaginez que le site piraté est un forum ou un outil gratuit pour lequel vous vous étiez inscrit une fois, et que vous aviez utilisé une boîte temporaire expirée depuis des mois. L'enregistrement divulgué contient maintenant une adresse qui ne reçoit plus de courrier. Sur TempMail.Best, la boîte est supprimée à l'expiration, et le courrier ultérieur vers cette adresse n'est tout simplement plus disponible pour personne.

Si vous n'aviez utilisé cette adresse que pour ce seul service, cette même adresse ne peut pas identifier vos autres comptes dans cette fuite, et le mot de passe qui l'accompagne — si vous en aviez inventé un juste pour ce site — ne déverrouille rien de plus précieux.

Elle n'aurait pas effacé l'exposition gratuitement. Si vous aviez rempli votre vrai nom, numéro de téléphone ou données de carte, ces champs ont fuité quelle que soit l'adresse utilisée. Une adresse temporaire retire un identifiant de l'enregistrement ; elle ne réduit pas le reste. Et le site a pu continuer à journaliser votre adresse IP et les caractéristiques de votre appareil — quels signaux une adresse temporaire ne cache pas fait l'objet d'un article séparé.

Ce qu'elle ne peut pas défaire

La séparation d'adresse est une décision prise avant l'inscription, pas un correctif après coup.

• Elle ne peut pas rappeler des données déjà divulguées. Une fois votre vraie adresse ou vos champs personnels en circulation, le nettoyage, c'est la routine mot de passe, MFA et vigilance décrite ci-dessus.
• Elle ne peut pas sauver des identifiants faibles. Si le mot de passe divulgué est celui que vous réutilisez partout, aucun type de boîte n'empêche les prises de contrôle de compte qui suivent.
• Elle ne peut pas cacher la visite elle-même. Les sites voient votre adresse réseau, vos cookies et l'empreinte de votre navigateur pendant l'inscription, quel que soit l'e-mail tapé.
• Elle ne peut pas retirer ce que vous avez soumis. Tout ce qui se trouve dans les champs du formulaire reste dans les registres du site.

Utilisée en amont, une organisation en couches — une adresse durable pour les comptes qui comptent, un alias géré pour les services durables, une boîte jetable pour les interactions ponctuelles — garde simplement davantage de vos identifiants hors de la prochaine fuite. Le plan e-mail en trois couches explique comment attribuer les adresses avant de s'inscrire, et la comparaison boîte temporaire et alias précise quelle option intermédiaire garde reçus et récupération fonctionnels.

Pour la couche jetable, TempMail.Best crée une boîte en réception seule, sans inscription, d'une durée de 10 minutes ou 1 heure. Recevoir du courrier ne prolonge pas l'échéance, chaque boîte ne conserve que les 20 messages les plus récents, et ses journaux de traitement n'enregistrent ni adresses de destinataires, ni objets, ni corps. Une fois la boîte disparue, son adresse cesse d'être un chemin de retour vers vous — ce qui est exactement la propriété qui rend les enregistrements de fuite moins utiles.