Après une fuite de données : méfiez-vous des faux services d'aide

Le deuxième message peut arriver après l'annonce de la fuite

Le 24 juin 2026, la CNIL a alerté les victimes de violations de données personnelles au sujet de courriels proposant de faire supprimer leurs informations en ligne. Les expéditeurs se présentaient notamment comme la « Ligue de défense des données personnelles » ou la « Ligue de protection des données personnelles ». D'après la CNIL, certains messages reprenaient de vraies informations volées, comme l'identité, l'adresse postale ou l'IBAN de leur destinataire.

Le service proposé peut sembler utile : vérifier si vos données circulent, contacter les plateformes ou obtenir leur retrait. Pourtant, la CNIL précise qu'elle n'est pas à l'origine de ces démarches et invite à la prudence face aux services qui promettent d'intervenir contre paiement ou après collecte de nouvelles informations. C'est un cas concret de seconde attaque après une fuite, pas une simple hypothèse.

Si vous recevez ce type de message, vous n'avez rien fait de mal. Une fuite peut rendre un courriel plus convaincant, surtout lorsqu'il reprend votre nom, votre adresse ou le nom d'un service que vous utilisez.

Ce que la CNIL confirme, et ce qu'elle ne propose pas

La CNIL explique qu'une fuite ou un vol de données peut faciliter des hameçonnages ciblés, des tentatives d'escroquerie et des usurpations d'identité. Elle précise aussi que certains sites prétendent pouvoir vérifier si vos données figurent dans un fichier. La CNIL déconseille d'utiliser ces services non vérifiés.

Retenez une règle simple : une page qui porte le logo de la CNIL ne devient pas officielle pour autant. Une adresse internet, un logo et un texte bien écrit peuvent être copiés. Pour vérifier une information, tapez vous-même l'adresse du site officiel dans votre navigateur ou utilisez un favori que vous avez déjà enregistré.

La CNIL ne vous demandera pas de lui communiquer un mot de passe, un code reçu par SMS ou les coordonnées de votre carte bancaire pour vous aider après une fuite. Un organisme sérieux vous indiquera son identité, ses coordonnées et la manière de le joindre sans vous imposer un lien reçu par message.

Deux formes de faux accompagnement à reconnaître

La première forme ressemble à une prestation de protection. Le message annonce que vos données seraient visibles sur un fichier et propose de les retirer contre des frais. Il peut contenir un formulaire qui demande une pièce d'identité, une adresse complète, un numéro de téléphone ou des informations bancaires. La promesse est souvent impossible à vérifier avant le paiement.

La deuxième forme prend l'apparence d'une assistance urgente. L'interlocuteur affirme qu'un compte est menacé à cause de la fuite. Il propose de vous guider par téléphone, de prendre la main sur votre ordinateur ou de vous faire installer une application. Le but peut être de récupérer un mot de passe, d'observer une connexion bancaire ou de vous faire valider une opération.

Ces deux scénarios ont un point commun : ils transforment une inquiétude légitime en décision immédiate. Or une fuite de données ne justifie pas de transmettre une nouvelle série d'informations à un inconnu.

Pourquoi le message paraît parfois parfaitement crédible

Un escroc n'a pas besoin de connaître toute votre vie. Quelques éléments exacts peuvent suffire à vous donner confiance. Votre prénom, le nom d'une entreprise, une ancienne adresse ou le type de service utilisé peuvent venir d'une fuite, d'un profil public ou d'une base revendue. Ces éléments ne prouvent pas l'identité de l'expéditeur.

Cybermalveillance.gouv.fr décrit le même mécanisme pour les fraudes au faux conseiller bancaire : les informations personnelles servent à crédibiliser un contact, puis l'attaquant demande une action supplémentaire. La personne n'est pas trompée parce qu'elle manque de jugement. Elle reçoit un message construit pour exploiter une information qui paraît réservée à un interlocuteur de confiance.

Le nom affiché dans l'e-mail n'est pas une preuve. L'adresse peut être imitée, et un numéro de téléphone peut être usurpé. La bonne question n'est pas « le message connaît-il mes informations ? », mais « puis-je confirmer cette demande par un canal que je choisis moi-même ? »

Les vérifications à faire avant toute réponse

• Ne cliquez pas sur le lien du message et n'ouvrez pas sa pièce jointe.
• Relevez le nom exact de l'organisme, puis recherchez son site officiel séparément.
• Comparez l'adresse du site avec celle affichée sur une facture, un contrat ou un espace client que vous utilisez déjà.
• Appelez l'organisme avec un numéro trouvé sur son site officiel, jamais avec celui fourni dans le message.
• Demandez ce que l'organisme sait de la fuite, quelles données seraient concernées et quelle action il vous demande réellement.
• Refusez toute installation de logiciel, tout partage d'écran et toute demande de code reçu par SMS.

Une demande légitime peut attendre le temps d'une vérification. Si l'interlocuteur vous demande de rester en ligne, vous menace d'une pénalité ou affirme que votre compte sera supprimé dans l'heure, interrompez l'échange.

Les bons réflexes si vos données ont réellement fuité

Commencez par identifier l'organisme concerné. S'il vous a informé directement, lisez son message depuis son site ou votre espace client, sans reprendre les liens proposés dans un courriel inattendu. Demandez quelles catégories de données sont concernées. Une adresse e-mail n'expose pas les mêmes risques qu'un mot de passe, un document d'identité ou un IBAN.

Si le mot de passe utilisé sur le service concerné est réutilisé ailleurs, changez-le rapidement sur tous les comptes concernés. Choisissez un mot de passe différent pour chaque service. Activez la double authentification lorsque le service de confiance la propose. Cette protection ajoute une étape de vérification et limite les conséquences d'un mot de passe récupéré.

Surveillez ensuite les messages qui reprennent le contexte de la fuite. Un faux remboursement, un faux service de sécurité ou une fausse demande de confirmation peut arriver plus tard. La prudence ne consiste pas à ne plus utiliser internet. Elle consiste à séparer la réception du message et la vérification de la demande.

Si vous avez transmis un document ou payé

Conservez le message, l'adresse du site, les captures d'écran, les coordonnées utilisées et la preuve du paiement. Ne poursuivez pas la conversation pour obtenir des explications. Un échange supplémentaire donne souvent à l'escroc une nouvelle occasion de vous convaincre.

Si vous avez communiqué un mot de passe, changez-le depuis le site officiel. Si vous avez transmis un code ou validé une opération bancaire, contactez immédiatement votre banque par ses moyens habituels. Demandez le blocage ou la contestation de l'opération selon votre situation. Pour une opération de paiement non autorisée, demandez à la banque d'examiner votre dossier au regard de l'article L133-18 du code monétaire et financier.

Si vous avez envoyé une pièce d'identité, signalez la situation à l'organisme dont le document porte le nom et demandez quelles mesures sont possibles. Surveillez les démarches inhabituelles réalisées à votre nom. Ne publiez pas le document dans un groupe ou sur un forum pour demander de l'aide.

Quel service utiliser pour être orienté

17Cyber peut vous aider à établir un diagnostic et à vous orienter selon le problème rencontré. Pour un hameçonnage, la CNIL recommande notamment de ne pas répondre, de ne pas cliquer et de signaler le message par les canaux adaptés. Cybermalveillance.gouv.fr propose également des fiches réflexes sur les fuites de données, le phishing et les comptes piratés.

Si de l'argent a été débité, contactez d'abord votre banque. Pour une fraude à la carte bancaire dans les conditions prévues par le service, Perceval peut être adapté. Pour une escroquerie commise sur internet ou par téléphone, THESEE peut être utilisé pour déposer plainte en ligne. Un SMS frauduleux peut être transféré au 33700. SignalConso concerne les litiges avec une entreprise identifiée.

Pharos n'est pas le bon canal pour une escroquerie financière : cette plateforme traite les contenus illicites, pas les arnaques ordinaires. En cas de doute, commencez par 17Cyber ou par l'organisme officiel concerné.

La règle à retenir pour les prochains messages

Une fuite de données peut expliquer pourquoi un message connaît votre nom. Elle ne transforme pas ce message en demande officielle. Ne confondez jamais connaissance d'une information et preuve d'identité.

Avant de cliquer, payer, installer un outil ou transmettre un document, faites une pause. Ouvrez vous-même le site officiel. Connectez-vous à votre espace habituel. Appelez un numéro trouvé par vos propres moyens. Pour une demande sensible, faites relire le message par une personne de confiance, sans lui transmettre vos codes.

La vérification hors du message reste votre meilleure protection. Elle prend quelques minutes et vous rend le contrôle de la décision.