Vos données ont fuité : le danger arrive des semaines plus tard
LA RÉPONSE COURTE
Si un organisme vous annonce que vos données ont fuité, vous n’avez rien à payer et rien à installer : il y a trois choses à faire, et elles tiennent sur une page. Le jour même, changez le mot de passe du compte concerné et celui de votre boîte mail. Les semaines suivantes, surveillez vos comptes bancaires et vos messages, car c’est là, et pas le premier jour, que les escrocs se servent du fichier.
EN BREF
Public visé : toute personne prévenue d’une fuite de données, les aidants et médiateurs qui les accompagnent, et les dirigeants de TPE qui devront un jour écrire ce message à leurs clients.
Enjeu central : la CNIL et Cybermalveillance.gouv.fr ont publié le 1er octobre 2026 un dépliant en trois étapes pour les personnes touchées. La conduite à tenir tient enfin sur un document unique, gratuit et officiel.
Chiffre clé : 6 167 violations de données notifiées à la CNIL en 2025, soit 9,5 % de plus qu’en 2024.
Temps de lecture : 7 minutes.
Le message arrive un mardi, en fin de journée, et il est toujours écrit de la même façon. Un organisme vous informe qu’il a subi un incident de sécurité, que vos données figurent peut-être parmi celles qui ont été consultées, qu’il a pris les mesures nécessaires et qu’il vous invite à la vigilance. Puis plus rien. Vous restez avec un courriel, une vague inquiétude et aucune idée de ce qu’il faut faire.
Depuis le 1er octobre 2026, il existe une réponse officielle. Pour le Cybermois, la CNIL et Cybermalveillance.gouv.fr ont publié ensemble un dépliant intitulé Violation de données personnelles : que faire en 3 étapes clés ?. Quatre pages gratuites, qui disent quoi faire le jour même, la première semaine et les semaines suivantes.
1. Ce que dit le message reçu, et ce qu’il ne dit pas
Ce courriel n’est pas une politesse : c’est une obligation. L’article 34 du règlement général sur la protection des données impose de prévenir directement les personnes concernées lorsque la fuite présente un risque élevé pour leurs droits et libertés. Si vous recevez ce message, c’est donc que l’organisme a lui-même estimé que la situation pouvait vous nuire. Ce n’est pas rassurant, mais c’est une information précieuse : la gravité est déjà qualifiée.
Le texte impose aussi un contenu minimal, et notamment des mesures concrètes pour limiter les conséquences. C’est ce dernier point qui manque presque toujours : beaucoup de messages s’arrêtent à l’invitation à la vigilance, ce qui ne constitue pas une mesure.
Premier réflexe, donc : lire le message en entier et le conserver. Il contient la seule information qui détermine la suite, celle que personne ne cherche : quelles données ont fuité. Un nom et une adresse postale n’appellent pas la même réaction qu’un identifiant avec son mot de passe.
Les quatre mentions que le message doit contenir
- La nature de la violation, en termes clairs et simples.
- Les catégories de données personnelles concernées.
- Les coordonnées du délégué à la protection des données, ou d’un contact.
- Les mesures recommandées pour atténuer les conséquences possibles.
Un message qui ne comporte aucune de ces mentions est incomplet. Vous pouvez réclamer ces informations au contact indiqué, et saisir la CNIL si elles ne viennent pas.
2. Le chiffre qui change la lecture du problème
La fuite de données n’est plus un accident rare. Dans son rapport annuel publié le 18 mai 2026, la CNIL recense 6 167 notifications de violations pour l’année 2025, contre 5 629 en 2024, soit une hausse de 9,5 %. C’est un record. Une quarantaine de ces violations ont touché chacune plus d’un million de personnes, contre une trentaine l’année précédente.
Mais le chiffre qui justifie vraiment ce dépliant vient d’ailleurs. Dans son bilan des cybermalveillances visant les particuliers en 2025, Cybermalveillance.gouv.fr classe la violation de données au troisième rang des motifs de demande d’aide, avec 6,6 % des demandes et une progression de 107 % en un an. Devant elle, l’hameçonnage représente à lui seul un tiers des demandes, et le piratage de compte plus de onze pour cent. Ces trois motifs sont les maillons d’une même chaîne : un fichier fuit, il sert à fabriquer des messages crédibles, et ces messages servent à prendre le contrôle des comptes.
Une fuite de données ne vous vole rien. Elle fournit à quelqu’un d’autre les éléments qui rendront crédible, dans trois semaines, un message auquel vous auriez normalement répondu non.
3. Les trois étapes publiées le 1er octobre
Le dépliant ne propose pas vingt recommandations. Il en retient trois, dans l’ordre où le risque se déploie réellement.
| Étape | Ce que l’on fait | Quand |
|---|---|---|
| 1. Je vérifie et je change | Lire le message et le garder. Changer le mot de passe du compte concerné, puis celui de tous les comptes qui utilisaient le même, en commençant par la boîte mail. Activer la double authentification. | Le jour même |
| 2. Je reste vigilant | Se méfier des messages inhabituels, alarmants ou trop avantageux. Ne jamais cliquer dans un courriel douteux, ne rien dire par téléphone, passer par le site officiel. Surveiller ses comptes bancaires. | Les semaines qui suivent |
| 3. J’adopte de bonnes pratiques | Ne donner que les informations exigées. Ne pas enregistrer sa carte bancaire sur les sites marchands. Séparer les usages. Supprimer les comptes inutilisés. Mettre à jour et sauvegarder. | Durablement |
Un détail mérite d’être souligné, parce qu’il est contre-intuitif : l’étape la plus importante n’est pas la première. Changer un mot de passe prend deux minutes. C’est la deuxième étape qui demande un effort, parce qu’elle consiste à rester attentif alors que rien ne se passe.
4. Pourquoi le risque ne tombe pas le premier jour
Le dépliant organise ses conseils selon quatre moments : tout de suite, la première semaine, les semaines suivantes, et au quotidien. Ce découpage correspond au cycle de vie d’un fichier volé. Les données sont d’abord revendues ou échangées, puis recoupées avec d’autres fuites pour reconstituer des profils complets, et seulement ensuite exploitées. Entre la notification et le premier appel du faux conseiller bancaire, il s’écoule souvent plusieurs semaines.
Cette inertie explique une erreur très répandue : on se rassure parce que rien n’est arrivé. Trois semaines après, l’affaire semble classée, la vigilance retombe, et c’est précisément le moment où le message arrive. Il sera crédible parce qu’il contiendra votre nom exact, le nom de l’organisme, parfois les quatre derniers chiffres de votre carte.
Point de vigilance : le faux conseiller bancaire a explosé
Toujours selon Cybermalveillance.gouv.fr, l’arnaque au faux conseiller bancaire a généré environ 15 000 demandes d’assistance en 2025, en hausse de 159 %. La fraude au virement progresse de 196 %, et l’usurpation de numéro de téléphone de 517 %. C’est l’aval direct des fuites : plus le fichier est précis, plus l’appel est convaincant. La conduite à tenir dans ce cas est détaillée dans notre article sur la première heure d’une arnaque bancaire.
5. Les quatre vérifications que presque personne ne fait
Au-delà du mot de passe, le dépliant invite à inspecter les réglages des comptes en ligne. Ce sont ces vérifications qui font la différence entre un compte sécurisé et un compte où quelqu’un est déjà installé.
- Les appareils et sessions connectés. La plupart des services les listent. Tout ce que vous ne reconnaissez pas doit être déconnecté.
- Le numéro de téléphone et l’adresse mail de récupération. C’est la porte de service : un attaquant qui change l’adresse de récupération garde l’accès même après le changement de mot de passe.
- Les règles de transfert automatique dans la messagerie. Une règle discrète qui recopie vos courriels vers une adresse inconnue est l’un des procédés les plus courants, et les plus rarement cherchés.
- La liste blanche des prélèvements, quand la banque la propose. Le dépliant recommande aussi d’activer les notifications de paiement et de ne jamais signer un mandat de prélèvement dont l’origine est douteuse.
Pour un aidant ou un médiateur numérique
Ces quatre vérifications font un atelier d’une demi-heure, reproductible, sans outil particulier. Faites-les ensemble sur la boîte mail principale, puis sur le compte bancaire. Prenez des captures d’écran de tout ce qui paraît anormal : le dépliant le recommande explicitement, et c’est ce qui servira de preuve en cas de contestation.
6. France Travail, ou la démonstration en grandeur réelle
Le 8 octobre 2026, la CNIL a annoncé la clôture de l’injonction prononcée contre France Travail. Le dossier montre exactement ce qui se passe des deux côtés d’une fuite.
En janvier 2026, la formation restreinte de la CNIL avait sanctionné l’opérateur de 5 millions d’euros pour insuffisance des mesures de sécurité concernant les données des personnes en recherche d’emploi, et l’avait enjoint de corriger quatre points : une véritable politique de mots de passe, l’authentification multifacteur pour les comptes des conseillers Cap emploi, une surveillance active des journaux d’activité, et une limitation des accès aux seules données nécessaires. Le tout sous astreinte de 5 000 euros par jour. France Travail a démontré sa conformité, et la CNIL a clos l’injonction le 23 septembre 2026, sans liquider l’astreinte.
L’histoire se termine bien pour l’organisme. Elle ne se termine pas pour les personnes : la fuite de 2024 avait concerné près de 37 millions de Français, et une autre, en décembre 2025, 1,6 million de comptes. Ces données ne se récupèrent pas.
À savoir
La mise en conformité d’un organisme répare son système d’information, pas votre situation. Aucune sanction, aucune clôture d’injonction ne retire un fichier de la circulation. C’est pourquoi la charge de la vigilance retombe, en pratique, sur la personne concernée.
7. Côté entreprise : un jour, ce message, c’est vous qui l’écrirez
Avec 6 167 notifications en 2025, la violation de données n’est plus l’affaire des grands comptes. Une boîte mail professionnelle piratée, un fichier clients exposé par un prestataire, un ordinateur portable perdu : chacun suffit à déclencher les articles 33 et 34 du règlement, soit la notification à la CNIL sous 72 heures et, si le risque est élevé, l’information directe des personnes. Le cas du prestataire piraté est traité dans cet article consacré à la déclaration, et le mécanisme du piratage de compte dans celui sur les fuites de l’été.
Le dépliant du 1er octobre est, de ce point de vue, un outil à conserver : il règle le problème le plus délicat de la rédaction du message, celui des mesures à recommander. Vous n’avez plus à les inventer, vous joignez le dépliant.
Le message que vous enverrez ne doit jamais ressembler à un hameçonnage
- Aucun lien de connexion, aucun bouton de réinitialisation : invitez à passer par le site habituel.
- Aucune demande de mot de passe, de coordonnées bancaires ou de pièce d’identité.
- Un contact humain identifiable, avec un numéro qui figure déjà sur votre site.
- Les catégories de données touchées, nommées précisément.
À RETENIR
- La CNIL et Cybermalveillance.gouv.fr ont publié le 1er octobre 2026 un dépliant gratuit en trois étapes : vérifier et changer, rester vigilant, adopter de bonnes pratiques.
- Le jour même, changez le mot de passe du compte concerné et celui de votre boîte mail, puis activez la double authentification.
- Le risque réel se matérialise plusieurs semaines après la notification. C’est là que la vigilance compte, pas le premier jour.
- Quatre vérifications sont presque toujours oubliées : appareils connectés, adresse mail de récupération, règles de transfert automatique, liste blanche des prélèvements.
- 6 167 violations notifiées en 2025 et des demandes d’aide en hausse de 107 % : une TPE sera un jour celle qui écrit le message, et il ne doit jamais ressembler à un hameçonnage.
Une fuite de données est l’un des rares incidents numériques où la bonne réaction est entièrement gratuite et à la portée de la personne concernée. Ce qui manquait n’était pas la solution technique, mais une liste claire, courte et officielle. Elle existe depuis le 1er octobre.
Num Compagny accompagne les particuliers, les associations et les TPE des Pays du Sancy et du sud du Puy-de-Dôme dans la sécurisation de leurs comptes et la conduite à tenir après un incident : vérification des réglages, mots de passe, double authentification, rédaction des messages aux personnes concernées. Nous animons également des ateliers collectifs sur ces réflexes. Découvrez nos formations professionnelles.
