Un lecteur m'a écrit il y a quelques mois, paniqué. Il venait de recevoir un mail d'une banque qu'il n'utilisait pas, avec son vrai nom, sa vraie adresse, et les quatre derniers chiffres d'une carte qu'il possédait bel et bien. Il n'avait rien installé de suspect, rien cliqué de bizarre. Il ne comprenait pas.
Je lui ai répondu une chose simple : vous n'avez probablement rien fait de mal. Vos données étaient chez quelqu'un d'autre, et cette personne s'est fait pirater. C'est toute la difficulté de la protection des données personnelles en ligne : une bonne partie de ce qui vous concerne ne dépend pas de vous.
Cela dit, ce qui dépend de vous change énormément la donne. Pas de manière spectaculaire. Par petites touches, avec des choix qui semblent anodins et qui, mis bout à bout, réduisent énormément la surface exposée. Voici comment je procède, ce que j'ai testé, et ce qui n'a servi à rien.
Points clés à retenir
- Un gestionnaire de mots de passe fait plus pour vous que n'importe quel autre outil, et c'est gratuit dans sa version de base.
- La double authentification bloque la grande majorité des tentatives de connexion volées, à condition de ne pas la faire par SMS quand une application est proposée.
- Vos droits sur vos données existent et sont exerçables : accès, suppression, portabilité, opposition. La CNIL est saisissable en ligne, gratuitement.
- Après une fuite, l'ordre des opérations compte : changer le mot de passe du compte concerné d'abord, puis tous ceux où il était réutilisé, puis surveiller.
- Le chiffrement du disque et une sauvegarde déconnectée protègent contre le vol d'appareil et les rançongiciels. Deux réglages, dix minutes.
Comprendre ce qui vous expose vraiment
La plupart des gens imaginent le piratage comme un type en capuche qui casse un code. Dans la réalité, l'immense majorité des atteintes passe par deux portes : la réutilisation de mots de passe, et l'ingénierie sociale.
Pourquoi protéger ses données personnelles sur internet
Parce que vos données valent de l'argent, et que leur valeur ne baisse pas. Un identifiant et un mot de passe volés se revendent, se testent en masse sur des dizaines de sites, et servent à ouvrir des comptes frauduleux en votre nom. Franchement, le scénario le plus courant n'est pas le vidage de compte bancaire : c'est l'usurpation, plus lente, plus pénible, plus difficile à faire cesser.
J'ai vu le cas chez un proche. Quelqu'un a ouvert une ligne mobile avec ses informations, prélevée sur son compte. Il l'a découvert six semaines plus tard, en recevant un impayé. Le temps de régulariser, entre les appels, les courriers et la mise au clair, il y a passé l'équivalent de deux journées de travail.
La fuite n'est pas une faute personnelle
Une nuance qui change tout, y compris la manière de réagir. Si vos coordonnées apparaissent dans une fuite, vous n'êtes pas le fautif. Un site a mal protégé une base. Vous ne pouvez pas l'empêcher. Ce que vous pouvez faire, c'est limiter les dégâts en aval, et c'est là que vos choix comptent.
Le corollaire est utile : inutile de culpabiliser, utile d'agir. « Je ne saurai jamais par où commencer » — si, il y a un ordre logique, et je le donne plus bas.
Comment protéger ses données personnelles sur les réseaux sociaux
Les réseaux sociaux sont un cas à part, parce que c'est vous qui publiez. Le problème n'est pas que la plateforme vous connaît — c'est qu'elle connaît aussi tout ce que votre entourage raconte sur vous.
Ce que vous publiez sans le voir
Une photo d'anniversaire expose la date. Une photo de voiture expose la plaque. Une story pendant un voyage expose le fait que votre logement est vide. Rien de tout ça n'est un secret isolé. C'est leur accumulation qui construit un profil exploitable par quelqu'un qui cherche à se faire passer pour vous, ou à cibler un cambriolage.
Le réglage qui compte le plus selon moi : l'audience par défaut. Passez vos publications en « amis uniquement », vérifiez que les publications dans lesquelles on vous identifie ne sont pas visibles publiquement sans votre accord, et désactivez la géolocalisation des photos. Trois réglages, moins de cinq minutes.
Les applications tierces qui vous lisent
Ce point est presque toujours oublié. Dans les paramètres, il existe une section listant les applications qui ont accès à votre compte. Des quiz, des petits jeux, des outils de retouche d'image. Certains réclament l'accès à votre liste d'amis, à votre profil, parfois à vos messages.
J'en avais une trentaine accumulée sur mon compte principal, dont certaines ouvertes des années auparavant, pour un test que j'avais oublié. J'ai tout révoqué d'un coup. Aucune ne m'a manqué. Faites le tri, vous serez probablement surpris du nombre.
- Profil public ou restreint : le second réduit mécaniquement les tentatives d'usurpation.
- Le numéro de téléphone dans le profil, à retirer.
- Les applications connectées : à révoquer régulièrement.
- La recherche par numéro ou par mail, à désactiver dans les paramètres de confidentialité.
- Les anciennes publications publiques : elles restent indexables, même des années après.
Comment protéger ses données sur son ordinateur
Un ordinateur, c'est une porte d'entrée. Pas parce qu'il est mal conçu, mais parce qu'il contient tout : vos sessions ouvertes, vos fichiers, votre historique, vos mots de passe enregistrés dans le navigateur.
Le chiffrement du disque : la base
Si votre machine est volée, le chiffrement du disque est la seule chose qui empêche l'accès à vos fichiers. Sur Mac, il s'appelle FileVault et s'active en deux clics. Sur Windows, c'est BitLocker, disponible selon la version. Sur Linux, LUKS.
Je l'ai activé tardivement, en me disant que je n'avais rien de sensible. C'était faux : mon navigateur gardait mes sessions ouvertes. Un disque non chiffré entre de mauvaises mains, c'est un accès direct à votre boîte mail.
Mises à jour et logiciels
La mise à jour automatique est ennuyeuse, elle redémarre au mauvais moment, elle prend du temps. C'est aussi le correctif le plus efficace qui existe contre les failles connues, parce qu'une faille corrigée est une faille que les attaquants exploitent de moins en moins.
Deuxième point, plus dur à entendre : la source de vos logiciels. Un logiciel téléchargé sur un site tiers, cracké ou non, est une loterie. J'ai installé un utilitaire « gratuit » il y a quelques années, et je l'ai payé autrement : trois semaines plus tard, mon navigateur affichait des publicités que je n'avais jamais demandées. Désinstallation, nettoyage complet, et leçon retenue.
Sauvegardes
Une sauvegarde qui reste branchée en permanence ne protège pas contre un rançongiciel : le logiciel malveillant chiffre aussi la sauvegarde. La règle simple que j'applique : une copie sur un disque externe que je débranche après usage. Une fois par semaine suffit pour la plupart des usages personnels.
Comment se protéger contre le piratage informatique
Le piratage informatique au sens large — intrusion, vol de session, rançongiciel — repose presque toujours sur une erreur humaine. La vôtre, ou celle d'un site que vous utilisez. Voici ce qui, en pratique, fait la différence.
Mots de passe : la fin de la réutilisation
C'est le point unique le plus important de tout cet article. Un mot de passe long et unique par site neutralise la majorité des attaques par bourrage d'identifiants, où un attaquant teste un couple identifiant/mot de passe volé sur des dizaines de services.
Le problème, c'est qu'un être humain ne peut pas mémoriser trente mots de passe uniques. D'où le gestionnaire de mots de passe — Bitwarden, KeePass, ou celui intégré à votre navigateur si vous acceptez le compromis. Je suis passé à Bitwarden il y a un moment, et le changement a été net : je ne connais plus qu'une phrase de passe, et les autres sont générés.
Pour la phrase de passe maîtresse, la longueur compte plus que la complexité apparente. « ChevalOrangePianoMercrediTurquoise » résiste mieux qu'un « X7#kL9! » de huit caractères, et se retient infiniment mieux.
Double authentification : par application, pas par SMS
La double authentification ajoute une seconde preuve à votre connexion. Elle bloque la quasi-totalité des tentatives avec un mot de passe simplement volé, parce que l'attaquant n'a pas le second facteur.
Un détail que beaucoup ignorent : le SMS reste vulnérable, notamment à l'échange de carte SIM, où un attaquant convainc l'opérateur de transférer votre numéro. Quand le site propose une application d'authentification ou une clé physique, préférez-la. Le SMS, c'est mieux que rien, mais ce n'est pas la meilleure option disponible.
Reconnaître le phishing
Le phishing est devenu bon. Les fautes d'orthographe grossières existent encore, mais les messages soignés aussi : logo correct, ton professionnel, urgence bien dosée. Le signal fiable n'est pas le style, c'est le canal.
La règle que j'applique : jamais de connexion via un lien reçu par mail ou SMS. Si un message prétend venir de votre banque, fermez-le et rendez-vous sur le site par vos propres moyens. Un lien peut pointer vers une copie parfaite de la page de connexion, et l'URL exacte est difficile à vérifier sur un écran de téléphone.
Existe-t-il une solution anti-piratage gratuite ?
Oui, et elle est sous-estimée. L'essentiel de la protection ne coûte rien.
- Gestionnaire de mots de passe gratuit : Bitwarden propose une version gratuite complète, KeePass est libre et gratuit.
- La double authentification : gratuite, intégrée à la quasi-totalité des services sérieux.
- La mise à jour automatique des appareils et logiciels : déjà là, en attente d'être activée.
- La sauvegarde sur un disque externe que vous avez déjà : zéro euro.
- Un antivirus tiers : utile sur certaines configurations, mais Windows Defender et les protections intégrées suffisent largement pour un usage personnel courant. C'est mon avis, et je le défends.
Ce qui coûte de l'argent, c'est le VPN, et franchement, son intérêt pour un particulier à domicile est souvent exagéré par le marketing. Il change votre adresse IP apparente, ce qui a du sens sur un réseau public ou pour contourner une restriction géographique. Il ne vous rend pas anonyme, et il ne vous protège pas des fuites. Payant ne veut pas dire meilleur ici.
Que faire en cas de vol de données personnelles ?
Vous avez reçu un courrier d'un site vous informant d'une violation, ou vous découvrez qu'un mot de passe circule. Voici l'ordre que j'applique, et que je conseille.
- Changez immédiatement le mot de passe du compte concerné, puis activez la double authentification s'il ne l'a pas.
- Si ce mot de passe était réutilisé ailleurs, changez-le partout, du plus sensible au moins sensible : messagerie principale, banque, réseaux sociaux, achats en ligne.
- Surveillez vos comptes bancaires et vos prélèvements pendant plusieurs semaines. Un débit suspect peut apparaître tard.
- Vérifiez votre situation auprès de la Banque de France si vous suspectez une usurpation d'identité, et signalez les faits.
- Consultez le site de la CNIL pour comprendre vos recours et exercez vos droits auprès du site fautif.
Porter plainte pour vol de données personnelles
Vous pouvez porter plainte, et c'est parfois nécessaire. Le dépôt peut se faire auprès de la police ou de la gendarmerie, ou par courrier au procureur de la République. Une précision utile : la plainte vise l'atteinte que vous subissez — usurpation, escroquerie — plus que la fuite en elle-même, qui relève de la responsabilité du site concerné.
Sur ce terrain, les droits du RGPD sont votre levier. Vous avez un droit d'accès à vos données, un droit de suppression, un droit à la portabilité, et un droit d'opposition. Un site doit vous répondre dans un délai d'un mois. Si le silence persiste, vous pouvez saisir la CNIL, qui peut intervenir et sanctionner.
Vérifier si vos données circulent déjà
Le gestionnaire de mots de passe que vous utilisez probablement déjà propose souvent une vérification des mots de passe compromis. C'est gratuit, c'est interne, et aucun mot de passe n'est envoyé en clair. Faites-le une fois : le résultat est parfois une liste de sites que vous avez oubliés, avec des mots de passe à changer.
Le tableau des priorités
Si vous ne faites qu'une partie de ce qui précède, concentrez-vous sur les deux premières lignes. Le reste affine la protection, mais ces deux gestes couvrent l'essentiel du risque réel.
| Action | Effet | Temps | Coût |
|---|---|---|---|
| Gestionnaire de mots de passe | Supprime la réutilisation, bloque le bourrage d'identifiants | 30 à 60 minutes pour migrer | Gratuit, version payante optionnelle |
| Double authentification par application | Neutralise la connexion avec un mot de passe volé | 10 minutes par compte | Gratuit |
| Chiffrement du disque | Protège les fichiers en cas de vol de l'appareil | Moins de 10 minutes | Gratuit |
| Sauvegarde sur disque déconnecté | Limite les pertes face à un rançongiciel | Hebdomadaire | Un disque externe |
| Audit des réseaux sociaux | Réduit l'exposition à l'usurpation d'identité | 20 minutes | Gratuit |
| VPN | Utile sur réseau public, mais souvent survendu | Variable | Payant |
Ce qui ne sert à rien
J'ai perdu du temps sur des choses qui n'apportent presque rien. Le nettoyage du cache du navigateur, par exemple, qu'on présente comme un geste de sécurité. Le cache local, c'est du confort de navigation, pas de la protection. Les extensions de « confidentialité » qui se contentent de bloquer les cookies tiers : ça réduit le pistage publicitaire, ça ne protège vos comptes d'aucune manière.
Et les changements de mot de passe tous les trois mois, sans raison. Ils produisent l'effet inverse : on ajoute un « 1 » à la fin, et on finit par réutiliser. Il vaut mieux un mot de passe long et unique, gardé longtemps, qu'une valse trimestrielle qui n'apporte rien.
Ce qui reste, au fond, ce n'est ni un logiciel ni une astuce. C'est une petite discipline : un coffre-fort pour les mots de passe, une seconde preuve à la connexion, une copie déconnectée. Le reste, c'est du bruit autour. La solidité n'est pas spectaculaire, et c'est précisément pour ça qu'elle fonctionne.
