Double authentification : le réflexe à activer après une fuite
Après une fuite de données, le danger ne se limite pas au mot de passe volé. Les informations exposées peuvent servir à rendre un faux message ou un appel beaucoup plus crédible. La double authentification ajoute une étape qui bloque souvent une connexion si le mot de passe circule déjà. Elle doit être activée en priorité sur la messagerie, la banque, les réseaux sociaux et les comptes administratifs.
Le 21 septembre, un appel a failli transformer un mot de passe en accès bancaire
Le 21 septembre 2026, un signalement reçu par Stop Arnaque décrit un appel très classique dans sa forme, mais très utile pour comprendre le sujet du jour. La personne au téléphone se présente comme un service de répression des fraudes lié à une banque. Elle demande si la victime se trouve en Espagne et si elle utilise un iPhone 8. Puis elle pousse la personne à se connecter à son espace client pour modifier vite son mot de passe et son code de sécurité.
Le détail le plus important n'est pas le nom de la banque citée dans le signalement. Le détail important est le délai imposé : l'appelant parle de 2 heures. Il veut empêcher la personne de raccrocher, de respirer et d'appeler elle-même son conseiller. La victime a eu le bon réflexe. Elle a répondu qu'elle verrait le sujet le lendemain matin avec sa conseillère. Face aux doutes, l'appelant a fini par raccrocher.
Ce cas ne prouve pas qu'un mot de passe avait fuité. Il montre autre chose. Quand un escroc réussit à vous faire agir dans l'urgence, il n'a pas toujours besoin de pirater votre compte. Il peut essayer de vous faire livrer vous-même la dernière clé d'accès.
Le 11 août, un faux message des impôts utilisait déjà des informations personnelles
Un autre signalement, daté du 11 août 2026, décrit un faux message se présentant comme venant des impôts. Le lien dirigeait vers une imitation du site officiel. D'après la personne qui a signalé le message, la page affichait son nom, son prénom et son numéro fiscal. Elle n'a pas cliqué sur le lien pour actualiser des données bancaires. Elle est allée directement sur le vrai site des impôts et n'a trouvé aucun nouveau message correspondant.
Ce deuxième cas explique pourquoi les fuites de données changent la perception du danger. Un message qui contient votre nom peut sembler plus sérieux. Un appel qui cite une référence client paraît plus crédible. Un faux espace qui reprend une information administrative peut donner l'impression que tout est réel. Pourtant, ces informations ne prouvent pas que l'interlocuteur est légitime.
La bonne réponse n'est pas de vivre dans la peur. La bonne réponse est de séparer trois actions : vérifier hors du message, protéger les comptes sensibles, et refuser de transmettre un code de validation à une personne qui vous contacte.
Pourquoi une fuite rend les messages plus crédibles
La CNIL explique que le credential stuffing, aussi appelé bourrage d'identifiants, consiste à tenter des connexions avec des couples identifiant et mot de passe issus de violations de données. L'idée est simple : beaucoup de personnes réutilisent le même mot de passe sur plusieurs services. Quand un site fuit, les attaquants essaient les mêmes informations ailleurs.
La fuite ne contient pas toujours un mot de passe exploitable. Elle peut contenir une adresse mail, un numéro de téléphone, une adresse postale, une référence client ou une information administrative. Ces données servent alors à construire un message plus convaincant. Elles ne donnent pas forcément accès au compte, mais elles aident l'escroc à être cru.
C'est ici que la double authentification devient utile. Elle ajoute une deuxième preuve au moment de la connexion. Selon la CNIL, même si un pirate obtient l'identifiant et le mot de passe, il ne peut pas accéder au compte sans le second facteur. Ce n'est pas une garantie absolue. C'est une barrière de plus, et cette barrière compte.
Ce que la double authentification change vraiment
La double authentification porte plusieurs noms : validation en deux étapes, vérification en deux étapes, 2FA ou authentification multifacteur. Cybermalveillance.gouv.fr la présente comme une protection supplémentaire en cas de vol du mot de passe, dans sa fiche mise à jour le 25 février 2026. Après le mot de passe, le service demande une confirmation : code SMS, code par mail, application d'authentification, clé de sécurité ou reconnaissance biométrique.
Ce changement est concret. Sans double authentification, un mot de passe volé peut suffire. Avec double authentification, le voleur doit aussi obtenir le deuxième facteur. Cela peut l'arrêter. Cela peut aussi le pousser à vous appeler pour vous demander le code. C'est pour cela qu'il faut retenir une règle simple : un code de validation ne se dicte jamais.
Un conseiller bancaire légitime, un agent administratif, un livreur, un support technique ou un vendeur n'a pas besoin que vous lui lisiez un code reçu pour vous connecter. Si quelqu'un vous le demande, il faut raccrocher et reprendre la vérification depuis un canal que vous choisissez vous-même.
Les comptes à protéger en premier
Quand on décide de tout sécuriser d'un coup, on abandonne souvent au bout de vingt minutes. Mieux vaut commencer par les comptes qui ouvrent les autres portes. Le premier est presque toujours la messagerie. Votre boîte mail sert à recevoir les liens de réinitialisation, les alertes de connexion, les factures, les échanges administratifs et les confirmations d'achat. Si elle tombe, beaucoup d'autres comptes deviennent fragiles.
Le deuxième groupe concerne l'argent : banque, paiement, crédit, assurance, espace client mobile, places de marché et services qui gardent une carte bancaire. Le troisième groupe concerne votre identité : impôts, santé, démarches administratives, opérateur téléphonique, réseaux sociaux et stockage de documents. Le quatrième groupe concerne le travail : outils d'entreprise, messagerie professionnelle, espace comptable, logiciels de facturation.
La CNIL conseille d'activer la double authentification dès que possible, notamment pour les boîtes de courriels, les comptes administrateurs et les services en ligne sensibles. C'est un bon ordre de priorité. Il évite de chercher la perfection. On protège d'abord ce qui permettrait à quelqu'un d'usurper votre identité ou de réinitialiser vos autres accès.
Les signaux qui doivent vous faire ralentir
La double authentification protège l'accès au compte. Elle ne remplace pas votre jugement face à un message. Les escrocs le savent. Quand ils ne peuvent pas entrer seuls, ils essaient de vous faire valider l'action à leur place. Le piège prend souvent la forme d'un appel d'urgence ou d'un SMS qui annonce une opération suspecte.
- On vous demande de lire un code reçu par SMS, mail ou application.
- On vous dit que vous avez moins de quelques heures pour agir.
- On vous pousse à installer une application ou à partager votre écran.
- On vous demande de changer un mot de passe pendant l'appel.
- On vous demande de valider une notification que vous n'avez pas déclenchée.
- Le message contient vos informations personnelles, mais vous demande quand même de passer par un lien.
- Le ton devient menaçant quand vous proposez de rappeler par le numéro officiel.
Un vrai service peut vous alerter. Mais il doit accepter que vous vérifiiez par vous-même. Si l'interlocuteur refuse ce principe, le problème n'est pas votre prudence. Le problème est sa demande.
SMS, application ou clé : choisir sans se perdre
Le SMS est souvent l'option la plus connue. Il vaut mieux qu'un compte protégé uniquement par un mot de passe. Mais il a des limites. La CNIL rappelle que l'authentification multifacteur n'est pas infaillible et cite notamment l'interception de SMS et le remplacement frauduleux de carte SIM parmi les attaques possibles. Cela ne veut pas dire qu'il faut refuser le SMS. Cela veut dire qu'il faut choisir mieux quand c'est disponible.
Une application d'authentification génère des codes temporaires sur votre téléphone. Elle évite de dépendre d'un SMS. Une clé de sécurité physique peut offrir une protection encore plus forte, surtout pour les comptes très sensibles ou professionnels. Beaucoup de personnes n'ont pas besoin de commencer par là. Pour un usage personnel, activer une application d'authentification sur la messagerie principale est déjà un vrai progrès.
Il faut aussi prévoir la récupération. Notez les codes de secours fournis par le service et gardez-les dans un endroit sûr. Si vous perdez votre téléphone sans code de secours, vous risquez de vous bloquer vous-même. La sécurité doit vous protéger, pas vous enfermer.
Que faire après une fuite de données
Si un service vous informe d'une fuite, commencez par lire le message sans cliquer sur ses boutons. Ouvrez le site depuis votre favori, votre moteur de recherche ou l'application officielle. Vérifiez ensuite ce qui a été exposé. Un mot de passe, une adresse mail et une simple référence client ne demandent pas exactement la même réaction.
Changez le mot de passe du compte concerné, surtout s'il a été réutilisé ailleurs. Si vous avez utilisé le même mot de passe sur d'autres sites, changez-le aussi sur ces sites. La CNIL recommande, en cas de risque de compromission d'un mot de passe, de veiller au changement sur les autres services où le même mot de passe aurait été utilisé. Utilisez un mot de passe unique pour chaque compte, idéalement avec un gestionnaire de mots de passe.
Activez ensuite la double authentification. Déconnectez les sessions inconnues. Vérifiez l'adresse mail et le numéro de téléphone de récupération. Regardez s'il existe des règles de transfert automatique dans votre messagerie. Enfin, surveillez les messages qui arrivent dans les semaines suivantes. Après une fuite, l'arnaque peut venir plus tard.
Si le compte est déjà piraté
Si vous avez encore accès au compte, changez immédiatement le mot de passe depuis le site officiel. Activez la double authentification. Déconnectez les appareils que vous ne reconnaissez pas. Vérifiez les coordonnées de récupération. Cybermalveillance.gouv.fr recommande aussi de réinitialiser le mot de passe des autres sites où le même mot de passe était utilisé, puis d'activer la double authentification quand elle est disponible.
Si vous n'avez plus accès au compte, utilisez la procédure de récupération du service. Prévenez vos contacts si le compte peut servir à leur envoyer des messages frauduleux. Si de l'argent est en jeu, contactez votre banque sans attendre par le numéro au dos de la carte ou depuis l'application officielle. Ne répondez pas au message qui vous a piégé.
Si des données personnelles ont été utilisées pour une escroquerie, gardez les preuves : captures d'écran, adresses, numéros, dates, montants, échanges, liens et références. Ces éléments seront utiles si vous devez déposer plainte en ligne, signaler un SMS frauduleux ou contester une opération bancaire.
Les recours utiles selon la situation
Si une opération bancaire non autorisée apparaît, contactez votre banque immédiatement. Pour une fraude à la carte bancaire, Perceval permet de signaler l'usage frauduleux de la carte si vous êtes toujours en possession de celle-ci. Pour une e-escroquerie, THESEE permet de déposer plainte en ligne. Pour un SMS frauduleux, le 33700 permet de transmettre le message. Pour un litige avec une entreprise identifiée, SignalConso peut être pertinent.
17Cyber sert de guichet d'orientation en cas de problème numérique. Pharos, en revanche, n'est pas le bon canal pour une escroquerie ordinaire. Il vise les contenus illicites en ligne, pas le remboursement d'une fraude.
Le réflexe simple à garder
La double authentification n'est pas réservée aux experts. C'est une habitude de protection, comme fermer une porte à clé. Elle ne dit pas que vous avez fait une erreur. Elle reconnaît simplement que les mots de passe circulent, que les fuites existent et que les escrocs savent transformer une information banale en message crédible.
Commencez aujourd'hui par votre messagerie principale. Activez la double authentification. Notez les codes de secours. Vérifiez que votre numéro de récupération est le bon. Puis faites la même chose sur votre banque, vos réseaux sociaux et vos comptes administratifs. Vous n'avez pas besoin de tout faire parfaitement. Vous avez besoin de rendre la prochaine tentative plus difficile.
Et si quelqu'un vous appelle pour vous presser, gardez cette phrase : je raccroche et je vérifie par moi-même. Ce réflexe protège autant que la technologie. Les deux ensemble font une vraie différence.
Vous avez reçu un message suspect ou un appel qui vous demande un code ? Déposez un signalement sur Stop Arnaque avec les captures, le numéro, le lien et la date. Plus le signalement est précis, plus il aide les autres lecteurs à reconnaître le piège avant de cliquer, payer ou transmettre un document.
À retenir
- Activez la double authentification d'abord sur votre messagerie, car elle sert souvent à récupérer les autres comptes.
- Un code reçu par SMS protège mieux que rien, mais une application d'authentification ou une clé de sécurité est plus robuste.
- Ne donnez jamais un code de validation à une personne qui vous appelle, même si elle connaît votre nom ou une référence client.
- Après une fuite de données, changez les mots de passe réutilisés et déconnectez les appareils inconnus avant de répondre aux messages urgents.
Questions fréquentes
La double authentification empêche-t-elle toutes les arnaques ?
Non. Elle réduit fortement le risque qu'un compte soit ouvert avec un mot de passe volé, mais elle ne bloque pas toutes les attaques. Un escroc peut encore essayer de vous faire valider une connexion ou un paiement. Le bon réflexe reste de ne jamais donner un code reçu par SMS, mail ou application.
Faut-il activer la double authentification sur tous les comptes ?
Oui quand le service le propose, mais commencez par les comptes les plus sensibles. La messagerie arrive en premier, car elle permet souvent de réinitialiser les autres mots de passe. Viennent ensuite la banque, les réseaux sociaux, les comptes administratifs, les places de marché et les espaces professionnels.
SMS, application ou clé de sécurité : que choisir ?
Le SMS vaut mieux qu'un simple mot de passe, mais il peut être intercepté dans certains scénarios. Une application d'authentification ou une clé de sécurité offre en général une meilleure protection. Le choix dépend aussi de votre niveau d'aisance et des options proposées par le service.
Que faire si je reçois un code sans l'avoir demandé ?
Ne le transmettez à personne. Cela peut vouloir dire que quelqu'un connaît votre identifiant et votre mot de passe, ou tente une récupération de compte. Connectez-vous vous-même au service depuis votre favori ou l'application officielle, changez le mot de passe, vérifiez les appareils connectés et activez les alertes de sécurité.
Une fuite de données oblige-t-elle à changer tous mes mots de passe ?
Pas toujours. Il faut surtout changer immédiatement les mots de passe réutilisés sur plusieurs sites et ceux liés au service concerné. Si vous utilisez un gestionnaire de mots de passe, créez un mot de passe unique par compte. Ajoutez ensuite la double authentification partout où elle est disponible.
