Une alerte de connexion inconnue, un message envoyé à votre place ou l'annonce d'une fuite chez un fournisseur ne décrivent pas exactement le même incident. Dans les trois cas, la panique pousse pourtant vers les mêmes erreurs : cliquer sur le lien reçu, changer un mot de passe depuis un appareil douteux, supprimer trop vite les traces ou modifier dix comptes sans ordre de priorité.
L'objectif des premières 24 heures est plus simple : reprendre le contrôle, couper les accès persistants, limiter les conséquences et conserver les preuves utiles. Le mot de passe n'est qu'une partie de cette réponse.
La checklist des quinze premières minutes
| Priorité | Action immédiate | Pourquoi |
|---|---|---|
| 1 | Ouvrir directement l'application ou le site officiel | Une fausse alerte peut elle-même être du phishing |
| 2 | Faire des captures des alertes, appareils et opérations inconnus | Les détails disparaissent parfois après la sécurisation |
| 3 | Sécuriser d'abord la messagerie principale | Elle permet souvent de réinitialiser les autres comptes |
| 4 | Déconnecter les sessions inconnues et corriger les moyens de récupération | Un changement de mot de passe ne ferme pas toujours tous les accès |
| 5 | Changer les mots de passe réutilisés depuis un appareil fiable | Un identifiant volé est rapidement essayé sur d'autres services |
| 6 | Appeler la banque si un paiement ou une donnée financière est concerné | Les délais comptent pour bloquer une opération ou un moyen de paiement |
Si une menace physique, un chantage immédiat ou une fraude en cours crée une urgence, utilisez les numéros d'urgence adaptés. Pour un diagnostic cyber en France, le service public 17Cyber oriente particuliers et organisations vers les démarches correspondant à leur situation.
Vérifier s'il s'agit d'une alerte, d'un piratage ou d'une fuite
Une alerte de sécurité signale une activité inhabituelle, mais elle peut correspondre à votre nouveau téléphone, à un VPN ou à une application connectée. Ne la validez pas machinalement. Ouvrez le service par votre favori ou son application, puis consultez l'historique de sécurité.
Un compte piraté signifie qu'un tiers a obtenu un accès ou a modifié quelque chose : mot de passe, adresse de récupération, règle de transfert, publication, commande, message ou appareil autorisé. Il faut alors reprendre le contrôle du compte et rechercher ce que cet accès a permis d'atteindre.
Une fuite de données vient souvent d'un organisme tiers. Votre compte peut fonctionner normalement alors que votre adresse, un mot de passe chiffré, un IBAN, une pièce d'identité ou un historique a été copié. La bonne réponse dépend des données exposées. Changer tous vos mots de passe n'annule ni un document d'identité divulgué ni les futures tentatives d'hameçonnage.
Reprendre le contrôle depuis un appareil fiable
Commencez si possible depuis un appareil à jour que vous contrôlez. Si le piratage a suivi l'installation d'un programme, d'une extension ou l'exécution d'une commande suspecte, ne saisissez pas immédiatement de nouveaux secrets sur cette machine. Isolez-la du réseau si nécessaire et utilisez un autre appareil pour les comptes critiques.
Accédez à la procédure officielle de récupération en saisissant vous-même l'adresse du service. Évitez les numéros de support trouvés dans une publicité ou reçus par message. Si l'accès est perdu, la récupération officielle doit précéder toute intervention d'un prétendu technicien.
Une fois connecté :
- capturez les événements et paramètres que vous ne reconnaissez pas ;
- vérifiez l'adresse électronique et le numéro de récupération ;
- retirez les appareils, sessions et clés d'accès inconnus ;
- examinez les applications connectées et autorisations accordées ;
- changez le mot de passe pour une valeur unique ;
- activez une authentification forte et conservez les codes de secours séparément.
Sur une messagerie, contrôlez aussi les règles de transfert, filtres, réponses automatiques, délégations et dossiers supprimés. Un attaquant peut créer une redirection discrète pour continuer à lire les messages après le changement de mot de passe. Sur un compte professionnel, vérifiez les jetons d'API, mots de passe d'application et intégrations OAuth lorsque le service les expose.
Sécuriser les comptes qui peuvent tomber ensuite
La messagerie principale est prioritaire parce qu'elle ouvre souvent la récupération des autres services. Viennent ensuite le gestionnaire de mots de passe, le compte Apple ou Google du téléphone, les services financiers, les achats, les réseaux sociaux et les outils professionnels.
Si le mot de passe compromis a été réutilisé, changez-le partout où il apparaît, sans simplement ajouter un chiffre. Un gestionnaire de mots de passe aide à créer des secrets différents. Lorsque le service le propose, une passkey ou une clé de sécurité résiste mieux aux faux sites qu'un code recopié. Notre guide sur les passkeys et le MFA résistant au phishing détaille les différences entre ces méthodes.
Ne supprimez pas votre seul moyen de récupération avant d'en avoir ajouté un autre fiable. Vérifiez également que votre opérateur téléphonique n'a pas reçu de demande de remplacement de carte SIM si votre numéro ne fonctionne soudainement plus.
Adapter la réponse aux données exposées
Une notification de fuite doit idéalement préciser les catégories de données concernées. À défaut, demandez à l'organisme ce qui a été exposé, à quelle date, quelles protections étaient appliquées et quelles mesures il recommande. Ensuite, raisonnez par conséquence possible.
Adresse électronique et numéro de téléphone
Attendez-vous à des messages plus crédibles utilisant le nom du fournisseur ou le contexte de la fuite. Aucun changement technique ne peut rendre ces coordonnées à nouveau secrètes. La mesure utile consiste à renforcer la vérification des demandes, surtout lorsqu'elles invoquent une urgence, un remboursement ou un compte à sécuriser.
Mot de passe ou secret d'authentification
Changez le mot de passe concerné et toutes ses réutilisations. Surveillez les alertes de connexion et activez une méthode forte. Ne partez pas du principe qu'un mot de passe « chiffré » annoncé par le fournisseur est nécessairement inexploitable : la robustesse dépend de la méthode et du mot de passe lui-même.
Coordonnées bancaires ou moyen de paiement
Contactez directement votre banque par son application, le numéro au dos de la carte ou un canal connu. Demandez quelles opérations surveiller et si une opposition est nécessaire. Un IBAN exposé n'impose pas automatiquement de fermer un compte, mais il peut soutenir une fraude plus convaincante ; la banque doit apprécier la mesure adaptée au cas concret.
Pièce d'identité, données fiscales, médicales ou professionnelles
Le risque peut durer longtemps : usurpation, ouverture de compte, ciblage ou chantage. Conservez la notification de fuite, surveillez les démarches inhabituelles et demandez conseil à un service officiel. Pour des données professionnelles, alertez immédiatement le responsable sécurité ou informatique : les informations exposées peuvent faciliter une attaque contre l'organisation.
Prévenir les personnes et limiter la fraude
Si des messages sont partis de votre compte, avertissez vos contacts par un autre canal. Précisez la période concernée et demandez-leur de ne pas cliquer, payer ou transmettre de code. Ne transférez pas le message malveillant avec ses liens actifs lorsque vous pouvez envoyer une capture.
Contrôlez les commandes, annonces, publications, partages de fichiers et changements de coordonnées. Pour une messagerie professionnelle, recherchez les conversations concernant des factures, RIB, salaires ou accès : un attaquant peut attendre le bon moment pour se glisser dans un échange légitime.
Les faux QR codes et pages mobiles réduisent la visibilité de l'adresse réelle. Le guide sur le phishing par QR code et smartphone complète les vérifications lorsque l'incident a commencé sur mobile.
Conserver les preuves et signaler au bon endroit
Avant de nettoyer, conservez les courriels complets, captures, URL, numéros, dates, montants, identifiants de transaction et échanges avec le support. Notez vos actions dans l'ordre. Ces éléments aident le fournisseur, la banque et les enquêteurs, mais ne doivent pas être publiés s'ils contiennent encore des secrets ou des données personnelles.
En France, THESEE permet aux particuliers majeurs de déposer plainte ou de signaler en ligne certaines escroqueries, notamment le piratage d'une messagerie ou d'un réseau social. Les professionnels doivent généralement se rendre en commissariat ou en brigade pour cette démarche. Le parcours dépend des faits et du préjudice ; 17Cyber peut aider à identifier le bon canal.
Une plainte pénale, une opposition bancaire, une demande au fournisseur et une plainte auprès de la CNIL ont des objectifs différents. L'une ne remplace pas automatiquement les autres.
Pour une entreprise, déclencher la réponse à incident
Un compte professionnel compromis n'est pas seulement un problème de mot de passe. Prévenez l'équipe compétente avant d'effacer ou de réinitialiser le poste : elle peut devoir couper des sessions, révoquer des jetons, préserver les journaux, rechercher les actions réalisées et mesurer quelles données ont été accessibles.
Lorsqu'une violation touche des données personnelles, le responsable du traitement doit la documenter. Si elle présente un risque pour les droits et libertés, la CNIL prévoit une notification initiale dans les meilleurs délais, si possible sous 72 heures après constatation. En cas de risque élevé, les personnes concernées doivent également être informées, sauf exceptions prévues. Une entreprise ne doit donc ni attendre d'avoir toutes les réponses ni envoyer une communication imprécise sans évaluation.
Le guide Cybersécurité pour PME : les priorités réellement utiles replace cette réaction dans un plan plus large : identités, sauvegardes, fournisseurs et préparation hors ligne.
Les erreurs qui aggravent l'incident
- répondre à l'alerte ou appeler le numéro qu'elle contient sans vérifier sa source ;
- changer uniquement le mot de passe sans fermer les sessions ni contrôler la récupération ;
- réutiliser un nouveau mot de passe sur plusieurs services ;
- payer un prétendu support ou installer son outil de prise en main à distance ;
- réinitialiser un appareil professionnel avant l'analyse ;
- annoncer publiquement des détails qui facilitent l'attaque ou exposent d'autres victimes ;
- croire qu'une absence de débit bancaire signifie que l'incident est terminé.
Après 24 heures : surveiller sans vivre dans l'alerte
Les jours suivants, surveillez les connexions, opérations financières et messages de récupération. Gardez les notifications et numéros de dossier. Une fuite de coordonnées peut produire des tentatives de phishing plusieurs mois plus tard ; elle ne justifie pas de cliquer sur chaque service commercial promettant de « supprimer vos données du Web ».
Enfin, corrigez le chemin qui a permis l'incident : mot de passe réutilisé, récupération trop faible, extension douteuse, absence de MFA ou appareil non mis à jour. La bonne sortie de crise n'est pas une succession de changements paniqués. C'est un compte repris, des accès vérifiés, des conséquences surveillées et une méthode de récupération désormais testée.
