Le message arrive habituellement un après-midi ordinaire, émanant de votre gestionnaire de mots de passe, de votre banque, Have I Been Pwned ou d’un service de surveillance payant : vos informations ont été retrouvées sur le dark web. Il ne révèle rarement pas grand-chose d’autre, et la plupart des gens réagissent de l’une des deux manières. Certaines personnes paniquent et changent tous les mots de passe qu’elles possèdent, d’autres haussent les épaules et ferment l’onglet parce qu’il n’y a rien d’évident à faire.
Aucune de ces réactions n’est tout à fait appropriée. Une alerte du dark web est une information relative à une fuite précise, et ce que vous devez faire dépend presque entièrement de l’élément de vos données qui a été compromis. Une adresse e-mail divulguée et un numéro de sécurité sociale divulgué posent des problèmes très différents, donc la première tâche est de déterminer de quel élément il s’agit.
Table des matières
Tout d’abord, déterminez ce qui a fuité et quand
Ouvrez l’alerte et cherchez deux éléments: le type de données et, si c’est indiqué, l’origine de la fuite. Beaucoup d’alertes concernent des fuites datant de plusieurs années, issues d’un forum ou d’un magasin en ligne que vous avez peut-être oublié, et les données y figurant ont souvent été revendues à de multiples reprises. Cela ne les rend pas inoffensives, mais cela modifie l’urgence. Un mot de passe issu d’une fuite de 2019 que vous avez changé il y a longtemps est une note en bas de page, alors qu’un mot de passe que vous utilisez partout demeure une urgence.
Si l’alerte ne précise pas la source, recherchez votre adresse e-mail sur Have I Been Pwned, qui répertorie les fuites connues dans lesquelles elle est apparue, avec les dates. Cela vous indique généralement assez pour décider de la marche à suivre.
Si c’était un mot de passe
C’est l’alerte la plus courante et celle à traiter en premier, car les mots de passe divulgués sont testés automatiquement sur d’autres sites en quelques jours. Changez le mot de passe du compte concerné, puis sur tous les autres comptes où vous avez utilisé le même mot de passe, en commençant par votre adresse e-mail, car celui qui contrôle votre boîte de réception peut réinitialiser l’accès à tout le reste. Pendant que vous y êtes, activez l’authentification à deux facteurs avec une应用 d’authentification, afin qu’un mot de passe volé seul ne suffise plus à se connecter. La plupart des services permettent également de déconnecter toutes les autres sessions, ce qui vaut la peine si vous avez le moindre doute.
Si vous réutilisez des mots de passe, c’est le moment d’arrêter. Un gestionnaire de mots de passe rend cela sans douleur et signifie que la prochaine fuite ne concernera qu’un seul compte.
Si c’était votre adresse e-mail ou votre numéro de téléphone
Une adresse e-mail à elle seule ne permet pas à quelqu’un de voler votre identité, mais elle indique aux escrocs que vous existez et quels services vous utilisez, et les listes divulguées sont ce sur quoi reposent les campagnes de phishing ciblées. Attendez-vous à recevoir pendant quelque temps des messages frauduleux plus convaincants, en particulier ceux qui mentionnent l’entreprise qui a été piratée, et traitez tout message vous demandant de vous connecter ou de confirmer des détails avec suspicion, même s’il paraît légitime.
Un numéro de téléphone divulgué entraîne du spam par appels et par SMS, et un risque encore plus grave : un fraudeur peut tenter de transférer votre numéro vers une nouvelle carte SIM et recevoir les codes de sécurité qui vous sont destinés. Un appel rapide à votre opérateur pour mettre en place un code PIN de port-out ou un verrouillage du numéro ferme cette porte.
Si c’était un numéro de carte ou des coordonnées bancaires
Appelez votre banque ou l’émetteur de votre carte, dites-leur que le numéro est apparu dans une fuite et demandez une nouvelle carte. La plupart des banques acceptent cela sans discussion. Puis examinez vos relevés récents à la recherche de dépenses que vous ne reconnaissez pas, y compris les très petites, qui servent souvent à tester si une carte volée fonctionne. Activer les alertes de transactions dans votre application bancaire vous informera du prochain achat dès qu’il se produit.
Si c’était votre numéro de sécurité sociale
C’est l’alerte qui mérite une attention réelle, car un numéro de sécurité sociale, combiné à votre nom et à votre date de naissance, est ce qu’il faut à quelqu’un pour ouvrir du crédit à votre nom. Geler votre crédit auprès d’Equifax, Experian et TransUnion, ce qui est gratuit et bloque les nouveaux comptes tant que vous ne le retirez pas. Demandez un PIN de protection d’identité à l’IRS afin que personne ne puisse déposer une déclaration de revenus à votre nom, et téléchargez vos rapports de crédit pour vérifier que rien n’a été ouvert.
À partir de ce moment, le numéro reste exposé pour de bon, car on ne peut pas le changer comme on change un mot de passe. C’est pourquoi cette alerte particulière pousse le plus souvent les gens vers un service payant de protection contre le vol d’identité, et notre guide expliquant ce que font ces services et qui en a besoin peut vous aider à décider si vous êtes concerné.
Où s’arrêtent les alertes gratuites
Les outils gratuits indiquent qu’une chose a fuité, et c’est à peu près tout ce qu’ils savent faire. Ils ne surveillent pas votre fichier de crédit, ils ne remarquent pas qu’un prêt sur salaire a été contracté en votre nom, et ils n’agissent pas une fois la fraude réellement arrivée.
Les services payants couvrent ce terrain, et Coveron, le service de protection d’identité de Nord Security, la société derrière NordVPN, montre à quoi ressemble la différence en pratique. Sa surveillance du dark web surveille vos adresses e-mail, vos numéros de téléphone, vos numéros de carte et votre numéro de sécurité sociale, et chaque alerte précise à la fois la source et le type de données, ce qui est exactement l’information dont vous avez besoin pour décider laquelle des étapes ci-dessus s’applique. Ses plans supérieurs ajoutent la surveillance du crédit, des alertes pour les prêts à court terme et les nouveaux comptes bancaires ouverts à votre nom, ainsi qu’un verrouillage du crédit que vous pouvez utiliser depuis le tableau de bord lorsque l’alerte semble grave.
Si une alerte se transforme en vol d’identité, Coveron désigne un responsable de dossier pour gérer la récupération et son assurance, souscrite par HSB, qui couvre jusqu’à 2 millions de dollars de frais de récupération, ce qui est une part du coût que aucun outil gratuit ne peut égaler. Il est vendu uniquement aux États‑Unis, et les résidents de New York ne peuvent pas prétendre à l’assurance. Notre revue de Coveron passe en revue les plans et notre guide des meilleures protections contre le vol d’identité le compare à quatre alternatives.
Rendre la prochaine alerte moins probable
Vous ne pouvez pas empêcher les entreprises d’être piratées, mais vous pouvez faire en sorte que chaque fuite contienne moins d’informations. Donnez aux magasins une adresse e-mail secondaire, laissez les champs optionnels vides, supprimez les comptes que vous n’utilisez plus, et évitez d’afficher votre date de naissance et votre numéro de téléphone sur les profils publics. Les courtiers de données constituent une autre source à traiter, car ils vendent les détails qui transforment une adresse e-mail fuitée en un profil complet, et un service comme Incogni, appartenant au même groupe que Coveron, les invite à supprimer ce qu’ils conservent. Notre guide pour supprimer vos informations personnelles d’internet explique comment le faire vous-même.
