Vous avez reçu une alerte de connexion inconnue, un e-mail annonçant que vos mots de passe ont fuité, ou pire, vous n'arrivez plus à entrer dans votre messagerie ? Rassurez-vous : la plupart des piratages de comptes de particuliers suivent quelques scénarios connus, et chacun a sa parade. Un mot de passe réutilisé, un lien cliqué trop vite, un ordinateur infecté qui laisse filer une session ouverte, un téléphone volé : ce guide part de ces situations réelles. Il explique ce que protège vraiment la double authentification, ce qu'elle ne protège pas, et dans quel ordre agir si le mal est fait. Les recommandations viennent de cybermalveillance.gouv.fr, de l'ANSSI et de la CNIL, et renvoient vers nos guides détaillés quand un sujet mérite plus de place.
Comment les comptes sont vraiment piratés
Avant de choisir ses protections, il faut savoir contre quoi on se protège. Les attaques qui visent les particuliers ne demandent presque jamais de « deviner » un mot de passe à la main. Elles exploitent quatre portes d'entrée.
La réutilisation de mots de passe volés. Quand un site est piraté, les couples adresse e-mail et mot de passe de ses clients finissent en vente. Les attaquants les essaient ensuite automatiquement sur des centaines d'autres services : c'est le « bourrage d'identifiants ». Si vous utilisez le même mot de passe pour votre boutique en ligne et votre messagerie, la fuite de la première ouvre la seconde.
L'hameçonnage. Un e-mail, un SMS ou un appel imite votre banque, un transporteur ou une administration pour vous faire saisir vous-même vos identifiants, ou valider une opération, sur une fausse page. Le mot de passe peut être excellent : vous le donnez de votre plein gré.
Le logiciel espion sur l'appareil. Une pièce jointe piégée, un logiciel téléchargé hors des boutiques officielles ou une extension de navigateur douteuse suffisent à installer un programme qui enregistre ce que vous tapez ou copie les sessions déjà ouvertes dans le navigateur. Dans ce cas, le pirate n'a même pas besoin de votre mot de passe : il réutilise la connexion que vous avez ouverte.
Le vol ou la perte du téléphone. Votre smartphone reçoit les SMS de validation, héberge l'application d'authentification et reste souvent connecté à votre messagerie. Entre de mauvaises mains et déverrouillé, il permet de lancer des procédures « mot de passe oublié » sur vos autres comptes.
Aucune de ces attaques n'exige de compétences pour être contrée : il suffit de superposer plusieurs protections, pour qu'une seule faille ne suffise pas à tout ouvrir.
Un mot de passe unique et long pour chaque compte
Le mot de passe reste la première barrière. Cybermalveillance.gouv.fr recommande au minimum 12 signes, en mélangeant majuscules, minuscules, chiffres et caractères spéciaux. La longueur compte davantage qu'une complexité apparente : « Tortue-Cactus-Vélo-7! » résiste bien mieux que « P@ul1985 ».
Mais la règle la plus importante est ailleurs : un mot de passe différent pour chaque service. C'est elle qui neutralise le bourrage d'identifiants. Votre messagerie mérite le plus solide de tous, car c'est elle qui permet de réinitialiser la plupart de vos autres comptes.
- Commencez par la messagerie — Donnez-lui un mot de passe long et inédit, que vous n'avez jamais utilisé ailleurs. C'est la clé de récupération de tout le reste.
- Installez un gestionnaire de mots de passe — Un logiciel comme KeePassXC, gratuit et cité en exemple par cybermalveillance.gouv.fr, ou le gestionnaire intégré à votre navigateur ou à votre téléphone. Il génère et retient pour vous un mot de passe différent par site.
- Choisissez un mot de passe maître très solide — Une phrase de passe de plusieurs mots sans lien entre eux, que vous êtes seul à connaître et que vous n'écrivez nulle part en clair.
- Remplacez les mots de passe réutilisés — Faites le tour de vos comptes importants (banque, impôts, santé, achats en ligne) et donnez à chacun un mot de passe généré par le gestionnaire.
- Changez les identifiants par défaut — Box internet, caméra connectée, imprimante : les mots de passe d'usine sont souvent connus des cybercriminels.
Bannissez les informations personnelles (date de naissance, prénom des enfants, nom de l'animal, club favori) : elles se devinent ou se trouvent sur les réseaux sociaux. Inutile en revanche de tout changer chaque mois sans raison ; changez un mot de passe immédiatement quand un service vous signale une fuite, quand une connexion inconnue apparaît, ou si vous l'avez saisi sur un appareil qui n'est pas le vôtre.
Le gestionnaire, un coffre plutôt qu'un panier percé
La crainte de « mettre tous ses œufs dans le même panier » est compréhensible. En pratique, l'ANSSI recommande d'utiliser un coffre-fort de mots de passe, parce qu'il rend possible ce qu'aucune mémoire ne permet : des dizaines de mots de passe longs, aléatoires et tous différents. Le contenu est chiffré et ne s'ouvre qu'avec votre mot de passe maître.
Trois règles suffisent : un mot de passe maître robuste, la double authentification activée sur le gestionnaire lui-même quand il la propose, et une sauvegarde de la base. Évitez en revanche les fichiers texte, les brouillons d'e-mail ou les notes du téléphone : rien n'y est chiffré.
Les passkeys, quand le service les propose
De plus en plus de services proposent les passkeys (clés d'accès). Elles remplacent le mot de passe par une clé cryptographique stockée sur votre appareil et déverrouillée par votre empreinte, votre visage ou votre code. Une passkey ne fonctionne que sur le vrai site pour lequel elle a été créée : elle ne peut pas être saisie sur une fausse page d'hameçonnage. Lorsqu'un service vous propose d'en créer une, c'est une option à privilégier.
La double authentification : ce qu'elle protège, et ce qu'elle ne protège pas
L'authentification à deux facteurs (2FA), ou multifacteur, ajoute une seconde preuve après le mot de passe : un code, une notification à approuver, une clé physique. Même si un attaquant connaît votre mot de passe, il reste bloqué sans ce second élément. L'ANSSI recommande de privilégier l'authentification multifacteur, et en particulier celle qui repose sur un objet que vous possédez.
Toutes les méthodes ne se valent pas :
- Le code par SMS est le plus répandu. C'est déjà bien mieux que rien, mais le SMS peut être intercepté ou détourné si un fraudeur obtient une nouvelle carte SIM à votre nom.
- L'application d'authentification (Google Authenticator, Microsoft Authenticator, FreeOTP…) génère un code temporaire sur votre téléphone, sans passer par le réseau.
- La clé de sécurité physique (norme FIDO2) et la passkey sont les plus robustes : elles résistent à l'hameçonnage, car elles vérifient l'adresse du site.
Activez la double authentification en priorité sur votre messagerie, votre banque, vos services publics comme impots.gouv.fr, et les comptes qui contiennent un moyen de paiement, comme PayPal, Amazon ou Netflix. Au moment de l'activer, conservez les codes de secours que le service vous propose : rangés dans votre gestionnaire ou imprimés en lieu sûr, ils vous éviteront d'être bloqué hors de votre propre compte si vous perdez votre téléphone.
La limite à connaître : la session déjà ouverte
La double authentification protège le moment de la connexion. Une fois que vous êtes connecté, le site dépose dans votre navigateur un petit fichier (un cookie de session) qui vous évite de ressaisir vos codes à chaque page. Si un logiciel espion copie ce fichier, le pirate peut parfois reprendre votre session sans passer par le mot de passe ni le second facteur.
Cela ne rend pas la 2FA inutile : elle bloque l'écrasante majorité des attaques, celles qui reposent sur un mot de passe volé ou hameçonné. Mais elle doit s'accompagner d'un appareil sain (voir plus bas) et de quelques habitudes : se déconnecter des sites sensibles après usage, éviter « rester connecté » sur un ordinateur partagé, et utiliser la fonction « se déconnecter de tous les appareils » au moindre doute.
Méfiez-vous enfin des demandes de validation que vous n'avez pas déclenchées. Si votre application vous demande d'approuver une connexion alors que vous ne faites rien, refusez et changez votre mot de passe : quelqu'un le connaît déjà.
Garder un appareil sain : la protection qu'on oublie
Un ordinateur ou un téléphone compromis peut trahir tous vos comptes, même les mieux protégés. Les mesures de base valent pour les deux :
- Faites les mises à jour du système, du navigateur et des applications, de préférence automatiquement : elles corrigent des failles activement exploitées.
- N'installez que des applications des boutiques officielles, et fuyez les logiciels « gratuits » de provenance douteuse et les extensions de navigateur inconnues.
- Utilisez un antivirus à jour sur l'ordinateur et n'ouvrez pas les pièces jointes inattendues.
- Sauvegardez régulièrement vos fichiers sur un support que vous débranchez ensuite, contre les rançongiciels.
- Sécurisez votre box : mot de passe d'administration changé, chiffrement Wi-Fi récent (WPA3 si disponible), mot de passe Wi-Fi long.
Si vous soupçonnez une infection, changez vos mots de passe depuis un autre appareil, sain : les taper sur la machine infectée reviendrait à les donner une seconde fois.
Si l'on vous vole votre téléphone
Le téléphone concentre aujourd'hui le mot de passe, le second facteur et la messagerie. Protégez-le en amont : code de déverrouillage robuste plutôt qu'un schéma simple, verrouillage automatique rapide, code PIN sur la carte SIM, et fonction de localisation et d'effacement à distance activée.
En cas de vol, agissez vite depuis un autre appareil : verrouillez ou effacez le téléphone à distance, faites suspendre la ligne par votre opérateur pour bloquer la réception des SMS, faites opposition sur les cartes enregistrées, puis changez le mot de passe de votre messagerie et déconnectez le téléphone volé de vos comptes principaux.
Reconnaître l'hameçonnage avant de cliquer
L'hameçonnage (phishing) reste la technique la plus répandue. Un message imite un organisme de confiance pour vous soutirer identifiants, coordonnées bancaires ou code de validation. Il arrive par e-mail, par SMS, par téléphone (le faux conseiller bancaire), sur les réseaux sociaux ou via un QR code piégé.
Les signaux d'alerte sont toujours les mêmes :
- L'urgence ou la menace : « compte suspendu », « colis bloqué », « paiement refusé », « amende impayée ».
- Une adresse d'expéditeur ou de lien qui ne correspond pas exactement au site officiel : une lettre changée, un domaine inhabituel, un sous-domaine trompeur.
- Une demande inhabituelle : confirmer un mot de passe, « réactiver » un compte, payer de petits frais, communiquer un code reçu par SMS.
Ni votre banque, ni l'Assurance Maladie, ni les impôts, ni un transporteur, ni une plateforme de streaming ne vous demandera votre mot de passe, le code de votre carte ou un code de validation reçu par SMS, que ce soit par e-mail, par message ou par téléphone. Toute demande de ce type est une tentative de fraude : raccrochez, ne cliquez pas, et contactez l'organisme par son numéro ou son application officielle.
Le bon réflexe est simple : ne passez jamais par le lien reçu. Ouvrez vous-même l'application ou tapez l'adresse du site, puis vérifiez dans votre espace s'il y a réellement un problème. Sur ordinateur, survoler un lien sans cliquer affiche l'adresse vers laquelle il pointe.
Pour signaler, transférez les e-mails frauduleux à Signal Spam, les SMS au 33700, et les sites d'hameçonnage à Phishing Initiative. Notre guide Phishing : reconnaître et signaler détaille chaque canal, et les 12 signaux d'alerte du phishing bancaire passe en revue les faux messages de banque.
Fraude bancaire : authentification forte et opposition
La directive européenne sur les services de paiement (DSP2) impose l'authentification forte : un paiement en ligne ou une connexion à votre banque exige deux éléments, par exemple votre code et une validation dans l'application. Les escrocs l'ont bien compris : le scénario du faux conseiller consiste justement à vous faire valider vous-même une opération frauduleuse, en prétendant qu'il s'agit d'une « annulation » ou d'une « sécurisation ». Ne validez jamais une notification de paiement que vous n'avez pas initiée.
Si vous n'avez pas de smartphone ou ne voulez pas utiliser l'application de votre banque, d'autres solutions existent : notre guide DSP2 : l'authentification forte sans smartphone les détaille.
En cas d'opération que vous n'avez pas autorisée, faites opposition sans délai auprès de votre banque, qu'il s'agisse de Boursorama ou d'un autre établissement. Le Code monétaire et financier prévoit que la banque rembourse l'opération non autorisée, sauf fraude ou négligence grave de votre part, et vous laisse jusqu'à 13 mois pour la contester. Signalez vite : plus vous attendez, plus la discussion sur la négligence devient difficile.
Au quotidien, activez les notifications de paiement, ajustez vos plafonds et méfiez-vous de tout changement d'IBAN annoncé par message ou de tout virement urgent vers un nouveau bénéficiaire : voir nos guides IBAN et RIB : sécurité et virements et Banque mobile : sécuriser vos transactions.
Fuite de données et usurpation d'identité
Les fuites de données touchent aussi des organismes sérieux. Elles exposent selon les cas votre e-mail, votre téléphone, votre adresse, parfois un numéro de sécurité sociale ou un IBAN. Ces informations servent surtout à rendre les arnaques crédibles : le fraudeur vous appelle par votre nom et cite votre vraie banque ou votre mutuelle.
Quand un service vous annonce une fuite :
- Changez le mot de passe concerné, et partout où vous l'aviez réutilisé.
- Redoublez de vigilance dans les semaines qui suivent face aux appels et messages qui citent vos données réelles.
- Surveillez vos comptes bancaires et les courriers inhabituels : refus de crédit inexpliqué, relance pour un abonnement inconnu, carte bancaire non demandée.
L'usurpation d'identité consiste à utiliser ces données pour ouvrir un compte ou souscrire un contrat en votre nom. Ne transmettez une copie de pièce d'identité que lorsque c'est nécessaire, en y ajoutant un filigrane qui précise le destinataire, l'usage et la date. Si vous êtes victime, déposez plainte, prévenez les organismes concernés pour faire bloquer les contrats ouverts à votre nom, et demandez à la Banque de France si vous avez été inscrit à tort dans un de ses fichiers d'incidents. Conservez tous les justificatifs : ils serviront à régulariser votre situation.
FranceConnect : sécuriser la porte d'entrée des services publics
FranceConnect permet d'accéder à de nombreux services publics avec un compte que vous avez déjà, comme votre espace impots.gouv.fr ou votre compte Ameli. C'est pratique, mais cela concentre le risque : le compte qui vous sert d'entrée donne accès à tous les autres.
Sécurisez-le en priorité, avec un mot de passe unique et la double authentification, et consultez de temps en temps l'historique de connexion de votre espace FranceConnect. Une connexion que vous ne reconnaissez pas doit vous amener à changer aussitôt le mot de passe du compte d'entrée. Notre guide FranceConnect : sécurité et services explique le fonctionnement en détail.
Vos données personnelles : les droits RGPD
Le RGPD encadre l'usage de vos données, et la CNIL veille à son respect en France. Auprès de n'importe quel organisme, vous pouvez exercer gratuitement votre droit d'accès (obtenir une copie de vos données), de rectification, d'effacement (sous réserve des obligations légales de conservation), d'opposition (à la prospection, par exemple) et de portabilité.
L'organisme doit répondre dans un délai d'un mois, prolongeable de deux mois pour une demande complexe. Sans réponse, vous pouvez porter plainte auprès de la CNIL sur cnil.fr, en joignant la preuve de vos démarches.
Moins vos données circulent, moins une fuite fait de dégâts : supprimez les comptes inutilisés et limitez les autorisations des applications. La même prudence vaut pour les assistants d'intelligence artificielle comme ChatGPT ou Claude : n'y saisissez pas d'informations personnelles sensibles.
Compte piraté : les bons réflexes, dans l'ordre
Connexion inconnue, mot de passe qui ne fonctionne plus, messages envoyés en votre nom, achats que vous n'avez pas faits : agissez vite, et depuis un appareil dont vous êtes sûr.
- Reprenez la main sur la messagerie — Changez son mot de passe en premier, car c'est elle qui permet de réinitialiser les autres comptes. Si vous ne pouvez plus vous connecter, utilisez la procédure de récupération du service.
- Vérifiez les informations de secours — Adresse e-mail de récupération, numéro de téléphone, appareils autorisés : supprimez tout ce qui n'est pas à vous, car le pirate s'en servirait pour revenir.
- Déconnectez les sessions inconnues — Utilisez la fonction « se déconnecter de tous les appareils » ou supprimez une à une les sessions que vous ne reconnaissez pas, puis activez la double authentification.
- Changez les mots de passe réutilisés — Tout compte qui partageait le même mot de passe doit en recevoir un nouveau, différent.
- Faites opposition si l'argent est en jeu — Appelez votre banque au numéro figurant au dos de votre carte ou dans son application officielle.
- Faites-vous accompagner et portez plainte — 17Cyber (17cyber.gouv.fr) établit un diagnostic et vous oriente, et Info Escroqueries répond au 0 805 805 817 (appel gratuit, du lundi au vendredi de 9 h à 18 h 30). Déposez plainte au commissariat ou à la gendarmerie, ou en ligne via la plateforme THESEE pour certaines escroqueries sur internet.
Prévenez aussi vos contacts : un compte de messagerie ou de réseau social piraté sert souvent à envoyer de fausses demandes d'argent à vos proches. Les contenus illicites se signalent sur Pharos (internet-signalement.gouv.fr). Gardez toutes les preuves (captures d'écran, messages, relevés) : elles seront demandées pour la plainte et par les organismes concernés.
Pour un réseau social bloqué ou piraté, les procédures diffèrent d'un service à l'autre : voir par exemple nos guides Facebook et Snapchat.
Vos questions sur la sécurité de vos comptes
À quoi sert la double authentification si un pirate peut copier ma session ouverte ?
Elle bloque les attaques les plus courantes, celles qui reposent sur un mot de passe volé ou hameçonné. Le vol de session suppose un logiciel espion sur votre appareil : la parade, c'est un appareil à jour et sain, et la déconnexion des sites sensibles après usage.
Me déconnecter suffit-il à couper l'accès d'un pirate qui a copié ma session ?
Pas toujours : selon le site, se déconnecter d'un seul navigateur ne ferme pas forcément les autres sessions. Utilisez la fonction « se déconnecter de tous les appareils » quand elle existe, changez le mot de passe depuis un appareil sain, puis vérifiez la liste des appareils connectés.
Si l'on me vole mon téléphone, le voleur peut-il réinitialiser tous mes comptes ?
Il le peut si le téléphone est déverrouillé, connecté à votre messagerie et reçoit vos codes. Faites suspendre la ligne par votre opérateur, verrouillez ou effacez l'appareil à distance et changez le mot de passe de votre messagerie depuis un autre appareil ; pour les comptes les plus sensibles, une clé de sécurité physique ajoute une barrière que le téléphone seul ne lève pas.
Peut-on faire confiance à un gestionnaire de mots de passe ?
Oui, c'est l'outil que recommandent l'ANSSI et cybermalveillance.gouv.fr. Son contenu est chiffré et ne s'ouvre qu'avec votre mot de passe maître, qui doit donc être long, unique et protégé par la double authentification quand c'est possible.
Comment les pirates peuvent-ils tester autant de mots de passe alors que les sites limitent les tentatives ?
Le plus souvent, ils ne devinent pas : ils réutilisent des mots de passe déjà volés lors d'une fuite et les essaient sur d'autres sites, quelques tentatives par compte suffisant. C'est pourquoi un mot de passe unique par service est la meilleure défense.
Un e-mail m'annonce que mes mots de passe ont fuité : comment savoir s'il est authentique ?
Ne cliquez pas sur le lien qu'il contient. Ouvrez vous-même le site ou l'application du service concerné et consultez la rubrique sécurité de votre compte : si l'alerte est réelle, elle y apparaît aussi.
Le pirate a changé l'e-mail et le numéro de mon compte : est-ce perdu ?
Pas forcément. Utilisez la procédure de récupération du service, qui prévoit souvent un lien d'annulation envoyé à votre ancienne adresse ou une vérification d'identité, et contactez son assistance au plus vite : plus vous agissez tôt, plus vous avez de chances de récupérer le compte.
Peut-on utiliser le même mot de passe pour tous ses comptes ?
Non : si un seul site se fait voler ses données, tous vos comptes deviennent accessibles. Un gestionnaire de mots de passe permet d'en avoir un différent partout sans avoir à les retenir.
Questions fréquentes
Quelle longueur pour un mot de passe solide ?
Cybermalveillance.gouv.fr recommande au minimum 12 signes, en mélangeant majuscules, minuscules, chiffres et caractères spéciaux. Une phrase de passe de plusieurs mots est longue et facile à retenir. Le plus important reste d'en utiliser un différent pour chaque service.
La double authentification par SMS suffit-elle ?
Elle vaut bien mieux que le mot de passe seul, mais c'est la forme la plus fragile : le SMS peut être intercepté ou détourné avec la ligne téléphonique. Une application d'authentification, une clé de sécurité physique ou une passkey offrent une meilleure protection quand le service les propose.
Que faire en premier si mon compte est piraté ?
Reprenez la main depuis un appareil sain : changez le mot de passe, vérifiez l'adresse e-mail et le numéro de secours, déconnectez les sessions inconnues et activez la double authentification. Si de l'argent est en jeu, appelez votre banque pour faire opposition, puis portez plainte.
Comment reconnaître un message d'hameçonnage ?
Il crée l'urgence (compte bloqué, colis en attente, amende) et vous pousse à cliquer ou à donner un code. Vérifiez l'adresse réelle du lien en le survolant, et passez toujours par le site ou l'application officielle plutôt que par le lien reçu. Aucun organisme sérieux ne vous demande votre mot de passe ou un code de validation par message.
Quels sont mes droits sur mes données personnelles ?
Le RGPD vous donne un droit d'accès, de rectification, d'effacement, d'opposition et de portabilité, exerçables gratuitement auprès de tout organisme. Celui-ci doit répondre dans un délai d'un mois, prolongeable de deux mois pour une demande complexe. Sans réponse, vous pouvez porter plainte auprès de la CNIL.
Articles similaires
Impots.gouv : se connecter à mon espace particulier
Guide pour vous connecter à votre espace particulier sur impots.gouv.fr. Déclaration de revenus, paiement, avis d'imposition, FranceConnect et appli mobile.
Mon Compte Ameli : se connecter et gérer ses remboursements
Guide pour se connecter à votre compte Ameli sur ameli.fr. Remboursements, attestations, arrêts maladie, carte Vitale, médecin traitant et FranceConnect.