Après une fuite de données : pourquoi les messages deviennent plus crédibles

Le message paraît vrai parce qu’il contient un détail vrai

Le 24 septembre 2026, un lecteur nous a transmis un mail qui imitait une confirmation d’achat. Le message reprenait le nom de BUT, affichait le logo Cetelem et annonçait l’achat d’un smartphone à 1 517,48 €. Le lecteur n’avait rien commandé. Le mail venait d’une adresse étrangère au service concerné et demandait d’appeler un numéro pour toute information.

Ce cas n’a pas besoin d’une grande mise en scène pour fonctionner. Le montant est précis. La marque est connue. Le logo rassure. Le lecteur se demande d’abord si quelqu’un a utilisé ses données, pas si le message est faux. C’est exactement l’objectif. L’escroc ne cherche pas seulement à vous informer. Il cherche à vous faire réagir avant que vous puissiez vérifier.

Dans un autre signalement reçu le 22 septembre 2026, un SMS citait le prénom de la personne et évoquait une transaction de 649,80 €. Là encore, le message demandait de répondre ou de rappeler. Le point commun est simple : une information personnelle ou un montant précis donne au message une apparence administrative. Pourtant, cette apparence ne prouve rien.

Après une fuite, le danger n’est pas toujours le piratage direct

Quand on apprend que ses données ont pu circuler, on pense souvent au pire : un compte vidé, un mot de passe connu, une identité volée en bloc. Cela peut arriver, mais ce n’est pas le seul risque. Dans beaucoup de situations, les données exposées servent surtout à rendre une future manipulation plus crédible.

Cybermalveillance.gouv.fr rappelle qu’une donnée personnelle peut être un nom, une adresse postale, une adresse de messagerie, un numéro de téléphone ou un numéro de compte client. Sa fiche sur les fuites de données explique que les conséquences possibles concernent notamment l’hameçonnage et les tentatives d’escroquerie visant les personnes concernées.

Autrement dit, le fichier volé n’ouvre pas toujours la porte. Il peut fournir la phrase qui vous fera ouvrir la porte vous-même. Si un message contient votre vrai nom, une ancienne adresse, une référence client ou les derniers chiffres d’un compte, votre cerveau classe le message dans la zone du plausible. L’escroc gagne alors quelques secondes. Ces quelques secondes suffisent parfois.

Pourquoi un détail exact fait baisser la garde

Un message générique se repère plus facilement. Il commence par une formule vague. Il parle d’un colis sans transporteur clair. Il annonce un paiement sans contexte. Un message enrichi avec vos données change la perception. Vous ne lisez plus une alerte abstraite. Vous lisez une alerte qui semble parler de vous.

Ce ressort psychologique est puissant parce qu’il mélange deux choses différentes : l’exactitude d’un détail et l’authenticité du message. Le détail peut être vrai, alors que le message est faux. Un escroc peut connaître votre nom sans travailler pour votre banque. Il peut connaître votre adresse sans être un service public. Il peut citer une ancienne commande sans représenter le marchand.

C’est pour cette raison que la bonne question n’est pas : « comment a-t-il eu cette information ? » La bonne question est : « par quel canal puis-je vérifier sans utiliser ce message ? » Cette différence protège beaucoup mieux. Elle évite de débattre avec l’escroc dans le cadre qu’il a choisi.

Ce que disent les sources officielles

La CNIL définit une violation de données personnelles comme un incident qui touche la confidentialité, l’intégrité ou la disponibilité de données personnelles. Elle rappelle aussi, dans une alerte de 2026 sur les offres d’accompagnement après violation de données, que des victimes peuvent recevoir des messages contenant de vraies informations personnelles issues de fichiers volés, comme l’identité, l’adresse postale ou même un IBAN.

Cybermalveillance.gouv.fr décrit le phishing comme une technique qui consiste à usurper l’identité d’un tiers de confiance, par mail, SMS ou téléphone, pour pousser la victime à communiquer des données d’identité, des mots de passe ou des informations bancaires. Sa recommandation la plus utile tient en une règle : en cas de doute, il faut vérifier par soi-même auprès de l’organisme concerné, sans passer par le lien ou le numéro reçu.

Cette règle paraît simple. Elle est pourtant souvent oubliée au moment où l’alerte arrive. Le message parle d’un achat, d’un blocage, d’un remboursement ou d’un document urgent. Il donne un moyen de régler le problème. Ce moyen est le piège.

La règle qui protège : vérifier hors du message

Après une fuite de données, vous n’avez pas besoin de devenir technicien. Vous avez besoin d’une règle stable. Ne vérifiez jamais une alerte depuis le message qui vous l’apporte. Si le SMS donne un numéro, ne l’appelez pas. Si le mail donne un lien, ne cliquez pas. Si le message donne une pièce jointe, ne l’ouvrez pas pour comprendre.

Passez par un canal que vous choisissez vous-même. Pour une banque, ouvrez l’application ou appelez le numéro inscrit au dos de la carte. Pour un impôt, tapez vous-même l’adresse du site officiel dans le navigateur. Pour un achat, allez dans votre compte client depuis l’application ou depuis un favori déjà enregistré. Pour une livraison, utilisez le suivi reçu au moment de la commande, pas un SMS arrivé sans contexte.

Cette méthode coupe l’avantage de l’escroc. Il peut contrôler le message. Il peut contrôler le lien. Il peut contrôler le numéro qu’il vous donne. Il ne contrôle pas votre application bancaire, votre espace client officiel ou le numéro que vous avez trouvé hors de son message.

Les signaux qui doivent vous faire ralentir

Un message crédible peut tout de même laisser des traces. Il ne faut pas chercher une preuve unique. Il faut regarder l’ensemble. Si plusieurs signaux apparaissent, vous avez assez de raisons pour sortir du message et vérifier ailleurs.

• Un montant très précis sert souvent à donner une impression de vraie opération comptable.
• Un délai court pousse à agir avant de parler à quelqu’un de confiance.
• Un numéro de rappel fourni dans le message place la conversation chez l’escroc.
• Un lien raccourci ou une adresse inhabituelle vous éloigne du site officiel.
• Une demande de code reçu par SMS est un signal critique : ce code peut valider une opération.
• Une demande de document d’identité doit toujours être vérifiée hors du mail.
• Une faute dans le domaine de l’expéditeur compte plus que le logo affiché dans le message.

Le but n’est pas de devenir paranoïaque. Le but est de ralentir au bon moment. Une vraie banque, une vraie administration ou un vrai marchand peut attendre que vous vérifiiez par un canal officiel.

Que faire si vous avez seulement reçu le message

Si vous n’avez pas cliqué, pas rappelé et rien transmis, la situation est désagréable, mais elle reste maîtrisable. Gardez une capture du message. Ne répondez pas. Ne tentez pas de piéger l’escroc. Bloquez l’expéditeur si votre téléphone ou votre messagerie le permet.

Pour un SMS frauduleux, Cybermalveillance.gouv.fr recommande le signalement au 33700, service gratuit de signalement des SMS indésirables et frauduleux. Après transfert, le service peut vous demander d’envoyer le numéro depuis lequel le message a été reçu. Pour un mail, vous pouvez le signaler à Signal Spam et prévenir l’organisme dont l’identité est imitée.

Ensuite, surveillez les services cités dans le message. Si le mail parle d’une commande, ouvrez votre compte client par vos moyens habituels. Si le SMS parle d’une opération bancaire, consultez votre application. Vous cherchez une trace dans le vrai système, pas une explication dans le faux message.

Que faire si vous avez cliqué, rappelé ou transmis une information

Si vous avez cliqué, ne vous reprochez rien. Ces messages sont construits pour provoquer une réaction rapide. Fermez la page. Si vous avez saisi un mot de passe, changez-le immédiatement depuis le site officiel du service concerné. Si vous utilisez le même mot de passe ailleurs, changez-le aussi sur ces autres services. Activez la double authentification quand elle existe.

Si vous avez transmis un code bancaire, appelé un faux conseiller ou validé une opération, contactez votre banque sans attendre. Demandez le blocage des moyens de paiement concernés et la contestation des opérations que vous n’avez pas autorisées. L’article L133-18 du code monétaire et financier, publié sur Légifrance, prévoit le remboursement d’une opération de paiement non autorisée dans les conditions prévues par la loi, sauf cas particulier que la banque doit justifier.

Si vous avez envoyé une pièce d’identité, gardez la preuve de l’envoi et signalez rapidement la situation. Surveillez les ouvertures de compte, les crédits et les demandes suspectes à votre nom. Si un paiement est parti, ne vous contentez pas d’un appel. Demandez des écrits.

Quel service utiliser selon le cas

Le bon canal dépend de ce qui s’est passé. Pour un SMS frauduleux, le 33700 sert à signaler le message. Pour une fraude à la carte bancaire sur internet, Service-Public.fr présente Perceval, accessible si vous êtes toujours en possession de votre carte, si vous n’êtes pas à l’origine des achats et si vous avez déjà fait opposition.

Pour une escroquerie sur internet, le ministère de l’Intérieur présente THESEE comme le dispositif de plainte ou de signalement en ligne pour plusieurs e-escroqueries, par exemple les faux sites de vente, les escroqueries aux petites annonces ou certaines extorsions. Pour un litige avec une entreprise identifiée, SignalConso peut être utile, mais il ne remplace pas une plainte quand il y a escroquerie.

Évitez l’erreur fréquente : Pharos n’est pas le guichet des escroqueries subies par un particulier. Il sert à signaler des contenus illicites en ligne. Si vous avez perdu de l’argent, la priorité reste votre banque, les preuves, puis le canal de plainte adapté.

La bonne habitude à garder pour la prochaine fois

Une fuite de données peut rendre les messages plus crédibles pendant longtemps. Les informations ne disparaissent pas toujours vite. Un ancien fichier peut ressortir plusieurs mois plus tard. Un ancien numéro, une ancienne adresse ou une ancienne commande peut suffire à donner de la crédibilité à un appel.

La meilleure protection n’est donc pas de deviner quelle fuite est en cause. La meilleure protection est une habitude répétée : réception d’un message, pause, vérification hors du message, puis action seulement si le vrai service confirme. Cette séparation change tout. Vous pouvez recevoir une alerte sans vous laisser enfermer dans son urgence.

Parlez aussi de cette règle autour de vous. Elle aide les parents, les adolescents, les indépendants et les personnes qui gèrent beaucoup d’administratif. Il ne s’agit pas de se méfier de tout le monde. Il s’agit de reprendre le contrôle du canal de vérification. Un escroc peut posséder un détail exact. Il ne doit pas décider de l’endroit où vous allez vérifier.