Un mot de passe peut circuler chez des cybercriminels sans que vous ayez commis la moindre erreur. Il suffit qu’un site où vous l’avez utilisé un jour se fasse voler ses identifiants. Il peut n’y avoir aucun signe visible, et vous n’en êtes pas toujours averti.
Les fuites se comptent en milliards
Le service Have I Been Pwned recense les adresses électroniques retrouvées dans des fuites de données. Le 14 octobre 2026, son compteur affichait 1 044 sites touchés et plus de 17,8 milliards de comptes exposés, une même adresse étant comptée à chaque fuite où elle figure.
Une adresse qui figure dans une fuite ne signifie pas que votre compte est piraté aujourd’hui. Elle signifie que des données liées à cette adresse sont sorties d’un site qui devait les protéger. Selon la fuite, le mot de passe en fait partie, ou non.
Le vrai danger : le même mot de passe ailleurs
Le risque ne s’arrête pas au site piraté. Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, cite parmi les causes d’un piratage de compte le fait d’avoir utilisé le même mot de passe « sur plusieurs sites dont l’un a été piraté ».
Un mot de passe réutilisé peut donc ouvrir les autres comptes où il sert, par exemple la messagerie, le logiciel de facturation ou l’accès à la banque en ligne.
Trois questions, trois vérifications
Votre adresse figure-t-elle dans une fuite ? Sur haveibeenpwned.com, on saisit l’adresse, et le site indique dans quelles fuites connues elle apparaît. L’adresse est transmise au service pour la recherche ; elle ne suffit normalement pas, à elle seule, pour se connecter.
Cette fuite contenait-elle des mots de passe ? La fiche de la fuite indique le site concerné, sa date et la liste des données qui en sont sorties. C’est elle qui dit si des mots de passe en font partie. Elle ne dit pas lequel, ni s’il est encore le vôtre aujourd’hui.
Un mot de passe précis circule-t-il ? Le même service propose de tester un mot de passe, sans le rattacher à une adresse. Il ne l’envoie pas tel quel : le mot de passe est transformé sur votre poste en une empreinte, dont seuls les cinq premiers caractères partent sur Internet, et la comparaison se fait sur votre poste.
Pour une démonstration, prenez un mot de passe d’exemple. Pour les vôtres, tenez-vous à la règle de Cybermalveillance.gouv.fr : ne communiquez jamais votre mot de passe à un tiers.
Une adresse absente des résultats ne prouve pas qu’elle n’a jamais été exposée : seules les fuites connues du service y figurent. Le service propose d’ailleurs d’être averti si l’adresse apparaît dans une fuite à venir.
Si votre adresse apparaît
Ouvrez la fiche de chaque fuite. Si les mots de passe en font partie et que vous n’avez pas changé le vôtre depuis, remplacez-le sur ce site, puis partout où vous l’aviez réutilisé. En cas de piratage de compte, Cybermalveillance.gouv.fr recommande de changer le mot de passe piraté partout où il servait.
Une connexion, un appareil ou une session que vous ne reconnaissez pas peuvent signaler un compte piraté. La fiche « Piratage de compte » de Cybermalveillance.gouv.fr détaille alors la marche à suivre : conserver une preuve des éléments suspects avant de les supprimer ou de les déconnecter, vérifier les sessions actives et les redirections de la messagerie.
Pour ne plus réutiliser un mot de passe, la solution n’est pas la mémoire : c’est un gestionnaire de mots de passe sécurisé, que recommande aussi Cybermalveillance.gouv.fr. Il retient à votre place un mot de passe différent pour chaque service ; vous n’en mémorisez plus qu’un seul.
La protection qui reste quand le mot de passe a fuité
La double authentification, aussi appelée authentification multifacteur, ajoute une seconde preuve au mot de passe : un code reçu sur le téléphone, une application, une clé physique. Elle ne rend pas un compte invulnérable, mais lorsque cette seconde preuve est demandée, un mot de passe volé ne suffit plus pour ouvrir une nouvelle session.
Selon le baromètre France Num 2026, publié le 28 septembre par la Direction générale des entreprises, 39 % des TPE et PME y ont recours, sept points de plus qu’un an plus tôt. Environ six sur dix ne déclarent donc pas y recourir.
Par où commencer dans une entreprise
Mon avis : par la messagerie. Cybermalveillance.gouv.fr recommande un mot de passe particulièrement robuste pour la boîte de messagerie, et c’est par elle que passent les liens de réinitialisation de nombreux autres comptes.
Ensuite, les comptes qui donnent la main sur les autres ou sur l’argent : la console d’administration de la messagerie d’entreprise, celle du site internet, la banque en ligne. Commencez par ceux-là, puis étendez la double authentification à tous les comptes qui la proposent.
Faites le test aujourd’hui
Vérifiez votre adresse professionnelle sur haveibeenpwned.com. Dans votre équipe, proposez à chacun de faire le test lui-même, sur sa propre adresse, plutôt que de saisir celle des autres.
Pour l’ensemble des adresses de l’entreprise, Have I Been Pwned propose aussi une recherche par domaine. L’administrateur prouve d’abord qu’il contrôle le domaine, puis retrouve en une seule recherche les adresses de ce domaine qui figurent dans des fuites connues. Cette recherche est gratuite tant que le domaine compte au plus dix adresses exposées ; au-delà, elle demande un abonnement payant.
Le test ne protège rien par lui-même. Sur les comptes sensibles, n’attendez pas un résultat pour exiger un mot de passe unique et la double authentification.
Pour situer l’ensemble de votre entreprise, au-delà des mots de passe : l’auto-évaluation cyber, huit questions et un score.