Mots de passe réutilisés : quoi changer en premier après une alerte

Le problème commence souvent par un seul mot de passe

Un mot de passe réutilisé peut sembler pratique. Vous le connaissez déjà, vous ne risquez pas de l'oublier et vous gagnez quelques secondes à chaque connexion. Le problème apparaît lorsqu'un site utilisé autrefois est compromis, ou lorsqu'un faux formulaire récupère votre identifiant. Si le même code protège votre messagerie, une boutique et un réseau social, l'incident ne reste pas limité au premier service.

La CNIL explique que les risques viennent notamment de la simplicité d'un mot de passe et de sa réutilisation. Cybermalveillance.gouv.fr recommande de choisir un mot de passe différent pour chaque service. Ce conseil ne demande pas de tout mémoriser. Il demande surtout de changer l'ordre de vos priorités et de laisser un outil retenir les codes à votre place.

Si vous vous reconnaissez dans cette situation, ne vous reprochez rien. Les services en ligne se sont multipliés, leurs règles ne sont pas toujours les mêmes et les escrocs profitent de cette fatigue. Une méthode calme vaut mieux qu'un changement précipité de vingt codes.

Commencez par l'adresse e-mail qui récupère vos comptes

Votre adresse e-mail principale doit passer avant les autres. Elle reçoit les liens de réinitialisation, les alertes de connexion et parfois les factures. Une personne qui prend le contrôle de cette boîte peut supprimer les messages de sécurité, créer de nouvelles règles de classement et demander un nouveau mot de passe pour d'autres services.

Connectez-vous en tapant vous-même l'adresse du fournisseur dans le navigateur ou en ouvrant son application officielle. Changez le mot de passe. Choisissez un code que vous n'avez jamais utilisé ailleurs. Vérifiez ensuite les sessions ouvertes, les appareils inconnus, les adresses de récupération et les règles de transfert automatique. Supprimez ce que vous ne reconnaissez pas.

Activez aussi la double authentification si elle est proposée. Elle ajoute une vérification après le mot de passe. Elle ne rend pas votre compte invincible, mais elle complique fortement une connexion avec un code volé. Conservez les codes de récupération dans un endroit sûr, séparé de votre boîte mail.

Le deuxième cercle : banque, téléphone et comptes importants

Après la messagerie, passez aux comptes qui peuvent avoir une conséquence financière ou administrative : banque en ligne, paiement, impôts, assurance, opérateur téléphonique et espace de santé. Ne cherchez pas à modifier tout le même jour si cela vous met en difficulté. Faites une liste courte et commencez par les comptes qui permettent de changer votre adresse ou de récupérer un autre accès.

Pour votre banque, utilisez uniquement l'application habituelle ou l'adresse saisie manuellement. Ne répondez pas à un SMS qui vous demande de sécuriser votre compte. Une banque ne vous demandera pas de communiquer un code reçu par message ni de transférer de l'argent vers un compte dit de sécurité. Si vous avez déjà donné un code ou constaté une opération inconnue, appelez immédiatement le numéro qui figure au dos de votre carte.

Pour votre opérateur, vérifiez les options de récupération et la protection contre une modification frauduleuse de la carte SIM. Pour les autres services, regardez les appareils connectés et les alertes récentes. Une connexion inhabituelle ne prouve pas toujours une intrusion, mais elle mérite une vérification directe depuis le service concerné.

Ne changez pas tout au hasard : classez vos comptes

Une liste simple vous évite de vous disperser. Créez quatre groupes : l'adresse e-mail principale, les comptes qui permettent de payer ou d'identifier votre foyer, les comptes qui contiennent des documents personnels, puis les services de confort comme les boutiques ou les forums. Traitez les groupes dans cet ordre.

Dans chaque groupe, repérez les comptes où le même mot de passe a été utilisé. Si vous ne savez plus exactement lesquels, partez de vos habitudes : ancien code familial, prénom, nom d'animal, date, mot de passe professionnel ou code employé sur plusieurs boutiques. Ne notez jamais vos mots de passe dans un document non protégé ou dans un e-mail envoyé à vous-même.

Vous pouvez noter les noms des services à sécuriser sur papier pendant l'opération, sans écrire les codes. Cochez chaque compte après avoir changé son mot de passe, fermé les sessions inconnues et activé la double authentification lorsque c'est possible. Cette méthode vous donne une visibilité claire sans créer une nouvelle copie de vos secrets.

Un mot de passe unique ne veut pas dire un mot de passe impossible à retenir

La meilleure solution consiste souvent à utiliser un gestionnaire de mots de passe. Cet outil génère des codes différents et les conserve dans une base protégée. Vous n'avez plus besoin de retenir chaque mot de passe. Vous devez en revanche protéger très sérieusement le mot de passe maître ou la méthode qui déverrouille le coffre.

L'ANSSI recommande des mots de passe suffisamment longs, différents pour chaque accès, et l'utilisation d'un coffre-fort de mots de passe. La CNIL recommande également de favoriser un gestionnaire et une authentification forte lorsque cela est possible. Cybermalveillance.gouv.fr cite notamment KeePassXC comme outil gratuit certifié dans une version donnée par l'ANSSI. Le choix d'un outil vous appartient. Téléchargez-le depuis son site officiel et vérifiez qu'il est maintenu.

Ne confondez pas un gestionnaire avec une page trouvée dans un message. Un escroc peut créer un faux service qui demande votre ancien code ou votre phrase maître. Installez l'outil depuis une source officielle. Ne communiquez jamais votre mot de passe maître à une personne qui vous appelle ou vous écrit.

La double authentification protège surtout les comptes clés

La double authentification demande une deuxième preuve après le mot de passe. Elle peut prendre la forme d'une application, d'une clé de sécurité, d'une notification ou d'un code. Toutes les méthodes ne présentent pas le même niveau de protection, mais toute vérification supplémentaire vaut mieux qu'un compte protégé par un seul secret réutilisé.

Commencez par votre adresse e-mail, votre gestionnaire de mots de passe, votre banque, votre compte Apple ou Google et vos réseaux sociaux. Lorsque le service propose une application d'authentification ou une clé, lisez les consignes officielles avant de choisir. Gardez les codes de secours dans un endroit sûr. Ne les stockez pas uniquement dans la boîte mail que vous essayez de protéger.

Une notification de connexion que vous n'avez pas demandée doit vous arrêter. Refusez-la. Ne validez jamais une demande pour faire disparaître une alerte ou parce qu'une personne au téléphone vous le demande. Le fait de recevoir une demande prouve seulement que quelqu'un tente une connexion, pas que votre banque ou votre support vous appelle.

Les signaux qui doivent vous faire agir

• Vous recevez un message de réinitialisation que vous n'avez pas demandé.
• Un service vous annonce une connexion depuis un appareil ou un lieu inconnu.
• Votre adresse e-mail change, ou des messages disparaissent sans raison.
• Un proche reçoit depuis votre compte un message que vous n'avez pas envoyé.
• Un appel vous demande un code, une validation ou votre mot de passe.
• Vous utilisez encore le même mot de passe pour plusieurs services importants.
• Une fuite concernant un ancien site vous rappelle que le même code existe ailleurs.

Ces signaux ne permettent pas toujours de conclure à une intrusion. Ils justifient toutefois une vérification depuis le site officiel. Ne cliquez pas sur le lien du message pour vérifier. Ouvrez vous-même le service, puis consultez ses alertes et ses paramètres.

Si vous pensez qu'un compte est déjà compromis

Utilisez un appareil de confiance si vous le pouvez. Changez d'abord le mot de passe depuis le service officiel. Fermez toutes les sessions ouvertes et retirez les appareils inconnus. Vérifiez l'adresse e-mail et le numéro de récupération. Examinez les règles de transfert de votre messagerie, les achats récents, les messages envoyés et les modifications de profil.

Si vous ne pouvez plus vous connecter, passez par la procédure officielle de récupération. N'appelez pas un numéro trouvé dans une publicité ou dans un commentaire. Un faux support peut vous demander de partager votre écran, d'installer un logiciel ou de communiquer un code. Stoppez la conversation si cette demande apparaît.

Si une somme a été débitée ou si un virement est parti, contactez immédiatement votre banque et demandez le blocage ou la contestation de l'opération. Pour une escroquerie en ligne, THESEE peut servir à déposer plainte. 17Cyber aide à identifier la bonne démarche. Conservez les messages, les adresses, les horaires et les captures d'écran. Ces éléments peuvent être utiles à la banque et aux enquêteurs.

La méthode des quinze minutes pour commencer aujourd'hui

Réservez quinze minutes, sans chercher à tout finir. Pendant les cinq premières, sécurisez votre adresse e-mail principale. Pendant les cinq suivantes, changez le mot de passe du compte qui protège vos paiements ou votre téléphone. Pendant les cinq dernières, activez la double authentification sur un compte clé et installez un gestionnaire depuis sa source officielle.

Demain, reprenez votre liste avec un seul objectif : supprimer une nouvelle réutilisation. Après quelques jours, les comptes importants auront des codes différents et les comptes secondaires pourront suivre. Cette progression est plus réaliste qu'une promesse de tout régler en une soirée.

Le bon réflexe n'est pas de créer un code compliqué puis de le recopier partout. C'est de séparer les accès, de vérifier hors du message et de ralentir dès qu'une demande joue sur la peur ou l'urgence. Une personne qui vous aide vraiment acceptera que vous raccrochiez et que vous rappeliez par un canal officiel.