Double authentification : pourquoi elle devient indispensable après une fuite de données

Le risque commence souvent avant le message frauduleux

Le 19 juin 2026, la CNIL a mis à jour ses règles essentielles de sécurité et a rappelé un point concret : la double authentification réduit le risque d’usurpation lorsque l’identifiant et le mot de passe ont été volés. Elle repose sur au moins deux catégories de preuve, par exemple un mot de passe et un appareil que vous possédez. Le mot de passe n’est alors plus le seul verrou.

Pour un particulier, le même problème peut apparaître après une fuite de données chez un service utilisé autrefois. L’adresse e-mail peut circuler avec un ancien mot de passe, une adresse postale ou des informations de commande. Cela ne signifie pas que tous ces éléments donnent accès à vos comptes actuels. Cela signifie qu’un escroc peut essayer de réutiliser les mêmes identifiants, puis vous envoyer un message qui semble mieux vous connaître.

La CNIL recommande d’activer l’authentification multifacteur lorsque le service la propose, notamment pour la messagerie et les comptes importants. Cette recommandation figure dans sa page consacrée à la sécurité des données : CNIL · les règles essentielles pour protéger les données.

Ce que la double authentification change vraiment

Avec un seul mot de passe, le service vérifie une information que vous connaissez. Avec la double authentification, il demande une seconde preuve. Elle peut être un code généré par une application, une confirmation sur un appareil déjà enregistré, une clé de sécurité ou, dans certains cas, un code reçu par SMS.

La CNIL distingue trois grandes familles de facteurs : ce que vous savez, ce que vous possédez et ce qui vous caractérise. Le mot de passe relève de la première famille. Le téléphone, une application de codes ou une clé physique relèvent généralement de la deuxième. La biométrie relève de la troisième. Le principe est de ne pas faire reposer toute la sécurité sur une seule information qui peut être copiée.

Si un ancien mot de passe apparaît dans une fuite et que vous l’avez réutilisé, la double authentification peut bloquer une connexion non autorisée. Elle ne rend pas le compte inviolable. Elle ajoute un obstacle important entre l’identifiant volé et vos données. Elle ne protège pas non plus contre une personne que vous autorisez vous-même en validant une demande présentée comme urgente.

Commencez par votre boîte mail

La messagerie doit passer en premier. Elle reçoit les liens de réinitialisation de nombreux comptes. Un escroc qui prend le contrôle de cette boîte peut chercher les messages contenant des factures, des codes, des documents ou des liens de récupération.

Ouvrez les paramètres de sécurité depuis l’application ou le site que vous utilisez habituellement. Ne partez pas d’un lien reçu par e-mail. Cherchez une rubrique appelée « sécurité », « connexion », « validation en deux étapes » ou « authentification multifacteur ». Les mots varient selon le service, mais la fonction se trouve généralement dans les réglages du compte.

Une fois la protection activée, vérifiez les moyens de récupération. Ajoutez une adresse de secours si elle est réellement protégée. Conservez les codes de récupération hors de la boîte mail, dans un endroit auquel un attaquant connecté à votre messagerie ne pourra pas accéder. Si le service propose plusieurs méthodes, choisissez celle que vous pourrez utiliser sans devoir valider une demande reçue dans un message suspect.

Protégez ensuite les comptes qui peuvent coûter cher

Après la messagerie, passez aux comptes qui donnent accès à de l’argent, à des documents ou à votre identité. Cela inclut la banque, les achats en ligne, les services administratifs, les réseaux sociaux et les comptes qui centralisent plusieurs applications.

La CNIL conseille de prioriser les services importants, comme le courriel, les impôts, les banques et les sites de commerce en ligne. Elle recommande aussi de ne pas réutiliser le même mot de passe et d’utiliser un gestionnaire de mots de passe. Cette démarche réduit le risque qu’un mot de passe récupéré sur un ancien service soit essayé ailleurs.

Ne cherchez pas à tout modifier dans la précipitation. Faites une liste courte : messagerie principale, compte bancaire, gestionnaire de mots de passe, compte Apple ou Google, puis services contenant des documents sensibles. Activez la protection compte par compte. Après chaque activation, vérifiez la liste des appareils et sessions ouvertes et déconnectez ceux que vous ne reconnaissez pas.

Un code reçu ne doit jamais être validé automatiquement

La double authentification protège mieux quand vous êtes à l’origine de la connexion. Si vous recevez un code ou une demande de validation alors que vous n’essayez pas de vous connecter, ne l’acceptez pas. Ce message peut signaler qu’une personne possède déjà votre mot de passe et tente d’entrer.

Un escroc peut ensuite vous appeler ou vous écrire en se présentant comme le service concerné. Il peut prétendre qu’il faut lire un code pour annuler une fraude, bloquer un paiement ou sécuriser le compte. Le code confirme souvent l’action qu’il essaie de réaliser. Une demande inattendue doit donc être refusée, puis le mot de passe doit être changé depuis le site officiel.

Le même réflexe vaut pour une notification « Oui, c’est bien moi ». Vous ne reconnaissez pas la connexion : vous refusez. Vous reconnaissez la connexion : vous validez seulement après avoir vérifié l’adresse du site ou l’application ouverte par vos soins. L’urgence annoncée par l’appelant ne change pas cette règle.

Le SMS est utile, mais ce n’est pas le seul choix

Un code par SMS peut ajouter une protection par rapport au mot de passe seul. La CNIL rappelle toutefois que la double authentification n’est pas infaillible. Elle peut être contournée par un hameçonnage en temps réel, une interception de SMS ou un remplacement frauduleux de carte SIM.

Quand un service propose une application d’authentification, une clé de sécurité ou une clé d’accès, examinez ces options. Le bon choix dépend du service, de vos appareils et de votre capacité à conserver un moyen de récupération. Une protection plus technique que vous ne pourrez pas récupérer risque de vous bloquer.

Ne communiquez jamais un code d’authentification à une personne qui vous contacte. Une banque, une messagerie ou un service sérieux ne vous demandera pas de lui dicter ce code pour annuler une opération. Si vous avez déjà donné un code, changez rapidement le mot de passe, fermez les sessions inconnues et contactez le service depuis ses coordonnées officielles.

Après une fuite, changez les mots de passe dans le bon ordre

Si vous apprenez qu’un service a subi une fuite, ne saisissez pas vos identifiants dans un formulaire trouvé par message. Allez directement sur le site ou l’application du service. Changez le mot de passe concerné, puis changez immédiatement celui de tout autre compte où vous auriez réutilisé la même combinaison.

Commencez par la messagerie si elle partageait ce mot de passe. Ensuite, traitez les comptes qui peuvent réinitialiser d’autres accès. Choisissez un mot de passe différent pour chaque service. Un gestionnaire peut générer et conserver ces mots de passe sans vous obliger à les mémoriser tous.

Surveillez aussi les messages qui suivent la fuite. Un escroc peut utiliser une vraie adresse e-mail, un ancien numéro de commande ou le nom d’un service connu pour donner une apparence crédible à une fausse demande. La fuite ne prouve pas que le message reçu est officiel. Elle explique seulement pourquoi le message peut sembler plus précis.

Les signaux qui doivent vous faire arrêter

• Vous recevez une demande de validation alors que vous ne vous connectez pas.
• Un interlocuteur vous demande un code, une capture d’écran ou le partage de votre écran.
• Un message vous impose de changer votre mot de passe depuis un lien.
• Une alerte vous menace d’une fermeture immédiate si vous ne réagissez pas.
• Le site ouvert ne correspond pas exactement au service attendu.
• Une personne vous demande de désactiver une protection pour « régler » un problème.

Un seul de ces signaux suffit à interrompre l’échange. Fermez la page ou raccrochez. Reprenez ensuite la démarche depuis l’application officielle ou une adresse saisie vous-même. Vous n’avez pas besoin de prouver votre bonne foi à une personne qui vous met sous pression.

Si vous avez validé une demande ou perdu l’accès

Agissez dans l’ordre. D’abord, utilisez un appareil de confiance et ouvrez le service par son adresse officielle. Changez le mot de passe. Ensuite, déconnectez les sessions et appareils inconnus. Vérifiez l’adresse e-mail, le numéro de récupération, les règles de transfert de la messagerie et les bénéficiaires ou moyens de paiement ajoutés récemment.

Si une opération bancaire a été réalisée, contactez immédiatement votre banque avec son numéro officiel. Pour une fraude à la carte bancaire, le service Perceval peut être utilisé dans les conditions prévues par l’administration. Pour une escroquerie en ligne, THESEE peut orienter vers une plainte en ligne. Le service 17Cyber aide à déterminer les premières démarches. Si un SMS frauduleux est en cause, le 33700 est le canal prévu pour le signalement.

Conservez les e-mails, captures, numéros, horaires et adresses de sites. Ne transférez pas un document contenant des données personnelles à un prétendu conseiller. Si vous êtes bloqué, demandez l’aide d’un proche de confiance depuis un autre canal. Ce n’est pas une question d’intelligence : les attaques sont conçues pour provoquer une réaction rapide.

La règle simple à retenir

La double authentification ne remplace ni un mot de passe unique ni la vérification d’un message. Elle ajoute une barrière lorsque le premier secret a été volé. Activez-la d’abord sur votre messagerie, puis sur les comptes qui contiennent de l’argent, des documents ou des moyens de récupération.

Retenez surtout ceci : vous ne validez jamais une demande de connexion que vous n’avez pas déclenchée. Vous ne communiquez jamais un code reçu. Vous ne changez jamais un mot de passe depuis un lien inattendu. Après une fuite, ces trois habitudes réduisent la possibilité qu’un ancien identifiant devienne la clé de vos comptes actuels.