Recevoir une notification de violation de données dans sa boîte mail peut déclencher la panique, mais la panique n'est pas un plan. Si vous vous demandez que faire lorsque l'annonce d'une violation de données vous parvient, la réponse tient en une liste ordonnée et concise : confirmer ce qui a fuité, verrouiller vos comptes, surveiller les usages abusifs et réduire votre exposition pour la prochaine fois. Des incidents récents montrent pourquoi l'ordre importe. Des noms, adresses e-mail et dates de naissance exposés n'ont pas besoin d'inclure un mot de passe pour être utiles aux criminels, car ils rendent les messages d'hameçonnage bien plus convaincants.
Étape 1 : Confirmer ce qui a été exposé et si vous êtes concerné
Commencez par la notification elle-même, mais vérifiez-la avant de cliquer sur quoi que ce soit. Les criminels savent que les gens s'attendent à recevoir des e-mails de violation, et une fausse notification est un moyen facile de récolter davantage de données. Rendez-vous sur le site web ou l'application officielle de l'entreprise en tapant vous-même l'adresse, et cherchez l'annonce à cet endroit.
Déterminez ensuite quels types de données étaient concernés, car cela détermine vos prochaines actions. Dans la violation Sony So-net et Plala, qui a exposé 2,58 millions d'enregistrements, les détails exposés comprenaient des noms, des adresses e-mail et des dates de naissance, tandis que les mots de passe et les numéros de carte de crédit ne faisaient apparemment pas partie de la fuite. Il s'agit d'un profil de risque très différent d'une violation impliquant des données de paiement. De même, lorsque H2O Retailing et Hankyu Hanshin Department Store ont annoncé que des enregistrements liés à environ 1,26 million de membres H2O ID avaient fuité, les membres devaient comprendre quels champs étaient concernés avant de décider de l'urgence de chaque étape.
Notez les éléments suivants au fil de votre lecture de la notification :
- Les types de données exposées (données d'identité, coordonnées, identifiants, informations de paiement)
- La date à laquelle l'entreprise indique que l'incident s'est produit ou a été annoncé
- Les actions que l'entreprise recommande ou les services qu'elle propose
Étape 2 : Renouveler les mots de passe et verrouiller vos comptes
Même si la notification indique que les mots de passe n'ont pas été exposés, changer les identifiants du service concerné est une précaution raisonnable. Priorisez dans cet ordre : le compte concerné par la violation, votre compte e-mail (car il peut réinitialiser presque tout le reste), et tout autre site où vous avez réutilisé le même mot de passe.
Utilisez un mot de passe unique et long pour chaque compte, idéalement généré et stocké dans un gestionnaire de mots de passe. Activez ensuite l'authentification multifacteur (MFA) partout où elle est proposée. Un code généré par une application ou une clé de sécurité matérielle est généralement plus robuste qu'un code par SMS, mais tout second facteur vaut mieux que rien.
Profitez-en aussi pour revoir les paramètres de votre compte :
- Vérifiez les adresses e-mail et numéros de téléphone de récupération pour détecter des modifications que vous n'avez pas effectuées
- Déconnectez toutes les sessions et tous les appareils actifs
- Supprimez les applications connectées que vous n'utilisez plus
Étape 3 : Surveiller l'hameçonnage, la fraude et l'usurpation d'identité
C'est l'étape que beaucoup de gens sautent, et c'est là que les informations de base fuitées font le plus de dégâts. Un nom, une adresse e-mail et une date de naissance suffisent pour rédiger un message qui semble provenir d'une entreprise que vous utilisez réellement, et qui vous est adressé personnellement. Attendez-vous à ce type de contact après une fuite, et traitez les messages inattendus avec méfiance même s'ils citent des détails exacts.
Des habitudes pratiques aident :
- Ne cliquez pas sur les liens et n'ouvrez pas les pièces jointes des messages non sollicités ; rendez-vous directement sur le site officiel
- Méfiez-vous de l'urgence, comme les menaces de fermeture de compte ou les demandes de confirmation d'identité
- Ne partagez jamais de codes à usage unique avec quiconque vous contacte
Si des informations de paiement étaient concernées, consultez régulièrement vos relevés de carte et de compte bancaire et signalez rapidement les débits inconnus. Même des numéros partiels peuvent compter : lorsque Origin Energy a confirmé une fuite incluant des numéros de carte de crédit ou de compte bancaire incomplets, la leçon était que des fragments peuvent encore être combinés avec d'autres détails pour rendre une arnaque crédible. Lorsque cela est possible dans votre pays, envisagez une alerte à la fraude ou un gel de crédit si des identifiants délivrés par l'État ont été exposés.
Étape 4 : Réduire votre exposition avant la prochaine violation
Vous ne pouvez pas contrôler la qualité de la protection de vos données par une entreprise, mais vous pouvez contrôler la quantité de données qu'elle détient. Supprimez les comptes que vous n'utilisez plus, évitez de fournir de vraies dates de naissance ou de vrais numéros de téléphone à des services qui n'en ont pas besoin, et utilisez des adresses e-mail distinctes ou des alias pour les comptes importants par rapport aux inscriptions jetables.
Il est aussi utile de comprendre que les violations évoluent. Comme les gangs de rançongiciels volent désormais les données avant de les chiffrer, une entreprise dotée de bonnes sauvegardes peut malgré tout laisser fuiter vos informations. Cela rend la minimisation des données de votre côté plus précieuse, et non moins.
Ce que cela signifie pour vous
Le message pratique est que vous n'avez pas besoin de tout faire en même temps, et que vous n'avez pas besoin de supposer le pire. Vous devez faire les bonnes choses dans le bon ordre. Une violation qui n'expose que des noms, des e-mails et des dates de naissance appelle à la vigilance contre l'hameçonnage et à une sécurité de compte renforcée. Une violation qui inclut des identifiants financiers ou gouvernementaux appelle à une surveillance plus étroite et éventuellement à un gel de crédit. Dans les deux cas, des mots de passe forts et uniques et la MFA sont la base, et une réponse calme et méthodique vaut mieux qu'une réponse précipitée.
Votre liste d'actions
- Vérifiez la notification de violation via le site officiel de l'entreprise, et non via le lien contenu dans l'e-mail.
- Identifiez précisément quels types de données ont été exposés.
- Changez le mot de passe du compte concerné, de votre e-mail et de toute connexion réutilisée.
- Activez la MFA pour vos comptes e-mail, financiers et d'achats.
- Traitez les messages inattendus comme suspects et évitez de cliquer sur les liens.
- Surveillez vos relevés bancaires et de carte, et envisagez un gel de crédit si des identifiants ont fuité.
- Fermez les comptes inutilisés et partagez moins de données personnelles à l'avenir.
Si vous avez reçu une notification de violation, parcourez cette liste dès aujourd'hui. Pour des exemples concrets de ce que les victimes récentes devraient faire, lisez notre liste de vérification sur la violation H2O ID et notre couverture de la fuite Sony So-net et Plala. Savoir que faire lorsque l'annonce d'une violation de données arrive transforme un moment stressant en un moment gérable.
