Sécurité numérique : protéger ses comptes

En bref

La sécurité numérique repose sur quelques réflexes simples : un mot de passe unique et long par compte, stocké dans un gestionnaire, l'activation de la double authentification, et la vigilance face au phishing. En cas de piratage ou de fraude, des plateformes publiques gratuites comme 17Cyber et cybermalveillance.gouv.fr vous accompagnent.

Protéger ses comptes en ligne : l'essentiel

La sécurité numérique consiste à protéger votre identité, vos comptes et vos données face aux menaces en ligne : piratage de mot de passe, hameçonnage, fraude bancaire ou usurpation d'identité. En 2026, chaque personne gère des dizaines de comptes (banque, santé, impôts, messagerie, commerce, intelligence artificielle), ce qui multiplie les portes d'entrée pour les attaquants. La plateforme publique cybermalveillance.gouv.fr enregistre chaque année plusieurs millions de consultations, signe que les particuliers sont des cibles de premier plan, et non plus seulement les entreprises.

Se protéger ne demande ni compétences techniques ni budget. Quelques habitudes bien ancrées (mots de passe robustes, double authentification, prudence face aux messages suspects) suffisent à écarter l'immense majorité des attaques. Ce guide rassemble les recommandations officielles de l'ANSSI, de la CNIL et des plateformes publiques, et indique qui contacter en cas de problème. Il sert de point de départ commun à tous les guides de connexion du site, qu'il s'agisse de votre banque, de votre espace santé ou de vos services administratifs.

Pourquoi sécuriser ses comptes en ligne (enjeux 2026)

Vos comptes en ligne contiennent bien plus qu'un simple historique : coordonnées bancaires, données de santé, pièces d'identité, adresses, correspondance privée. Un seul compte compromis peut servir de tremplin vers les autres, notamment votre messagerie, qui sert de clé de récupération pour la plupart des services.

Les attaques les plus courantes visant les particuliers sont l'hameçonnage (phishing), le piratage de compte par réutilisation de mots de passe volés, les rançongiciels et l'usurpation d'identité. Elles touchent aussi bien l'accès à votre banque comme Boursorama que vos services de santé via le compte Ameli, vos achats sur Amazon ou même vos outils d'intelligence artificielle comme ChatGPT et Claude, qui mémorisent désormais des conversations parfois sensibles.

La logique de protection est toujours la même, quel que soit le service : un identifiant unique, une vérification renforcée à la connexion et une vigilance constante face aux sollicitations non sollicitées.

Plusieurs évolutions rendent cette vigilance d'autant plus nécessaire en 2026. Les fuites de données massives se multiplient : lorsqu'un site marchand ou un service en ligne est piraté, des millions d'adresses e-mail et de mots de passe se retrouvent en vente sur des forums clandestins. Les attaquants testent ensuite automatiquement ces couples identifiant/mot de passe sur d'autres services, une technique appelée « bourrage d'identifiants ». C'est précisément pour cette raison que réutiliser un même mot de passe sur plusieurs comptes est si dangereux.

Par ailleurs, les arnaques gagnent en réalisme. Les messages frauduleux sont désormais rédigés sans fautes, imitent à la perfection les chartes graphiques officielles et exploitent parfois l'intelligence artificielle pour personnaliser leurs approches. Se reposer sur la seule détection visuelle ne suffit plus : il faut adopter des protections techniques (mots de passe uniques, double authentification) qui restent efficaces même lorsque vous êtes trompé. Aucun service n'étant invulnérable, l'objectif n'est pas d'être parfait, mais de limiter les dégâts en cloisonnant vos comptes.

Le mot de passe : créer et gérer

Le mot de passe reste la première barrière. Selon l'ANSSI et cybermalveillance.gouv.fr, un bon mot de passe est avant tout long : au moins 12 à 16 caractères, mêlant majuscules, minuscules, chiffres et caractères spéciaux. La longueur prime sur la complexité apparente.

Privilégiez une phrase de passe — Assemblez plusieurs mots sans lien évident, par exemple « Tortue-Cactus-Vélo-7! ». C'est robuste et mémorisable, bien plus qu'une suite illisible.
Un mot de passe unique par compte — Ne réutilisez jamais le même mot de passe sur deux services. Si l'un fuite, les autres restent protégés.
Installez un gestionnaire de mots de passe — Un outil comme KeePassXC (logiciel libre français évalué par l'ANSSI) ou un gestionnaire intégré au navigateur stocke et génère vos mots de passe. Vous ne retenez qu'un seul mot de passe maître, qui doit être particulièrement solide.
Bannissez les informations personnelles — Évitez date de naissance, prénom des enfants, nom de l'animal ou du club favori : ces éléments se devinent ou se trouvent sur les réseaux sociaux.
Changez les mots de passe par défaut — Box internet, objets connectés, comptes administrateurs : remplacez systématiquement les identifiants livrés d'usine.

Inutile de changer vos mots de passe tous les mois si rien ne le justifie : l'ANSSI a abandonné cette recommandation, qui poussait surtout les utilisateurs à choisir des variantes faibles et prévisibles. En revanche, changez-en un immédiatement dès qu'un service vous signale une fuite de données, dès qu'une connexion suspecte est détectée, ou si vous l'avez saisi sur un appareil partagé ou un réseau public.

Pourquoi un gestionnaire de mots de passe

Beaucoup hésitent encore à confier tous leurs mots de passe à un même outil, par crainte de « mettre tous ses œufs dans le même panier ». En pratique, le gestionnaire reste la solution recommandée par l'ANSSI et la CNIL pour une raison simple : il rend possible ce qu'aucune mémoire humaine ne permet, à savoir un mot de passe long, aléatoire et différent pour chaque compte. Les données y sont chiffrées et ne sont déverrouillables qu'avec votre mot de passe maître, que vous êtes seul à connaître.

Quelques règles d'usage : choisissez un mot de passe maître particulièrement long, activez la double authentification sur le gestionnaire lui-même, et sauvegardez votre base (notamment avec un outil hors ligne comme KeePassXC). Évitez en revanche de noter vos mots de passe dans un fichier texte, un e-mail brouillon ou les notes du téléphone : ces emplacements ne sont pas chiffrés et constituent une cible facile.

Les passkeys, une alternative au mot de passe

En 2026, de plus en plus de services proposent les passkeys (ou clés d'accès), une technologie qui remplace le mot de passe par une authentification cryptographique liée à votre appareil et déverrouillée par votre biométrie ou votre code. Une passkey ne peut pas être hameçonnée ni rejouée sur un faux site, ce qui en fait l'une des protections les plus prometteuses. Lorsqu'un service vous propose d'en créer une, c'est une option à privilégier.

L'authentification à deux facteurs (2FA / MFA)

L'authentification à deux facteurs (2FA), ou multifacteur (MFA), ajoute une seconde preuve d'identité après le mot de passe. Même si un attaquant connaît votre mot de passe, il ne peut pas se connecter sans ce second élément. C'est, avec le gestionnaire de mots de passe, la mesure la plus efficace pour un particulier.

Les principaux facteurs complémentaires sont :

Un code temporaire généré par une application d'authentification (Google Authenticator, Authy, FreeOTP). C'est la méthode la plus sûre parmi les options grand public.
Un code par SMS ou e-mail : pratique et déjà mieux que rien, mais plus vulnérable à l'interception ou au détournement de carte SIM.
Une clé de sécurité physique (norme FIDO2/passkey) ou la biométrie (empreinte, reconnaissance faciale), parmi les solutions les plus robustes.

Activez la 2FA en priorité sur votre messagerie, vos comptes bancaires, vos services administratifs comme impots.gouv.fr ou France Travail, ainsi que sur les services contenant des moyens de paiement comme PayPal ou Netflix. La fonction se trouve généralement dans les paramètres de sécurité du compte.

Au moment de l'activation, conservez précieusement les codes de secours que la plupart des services fournissent : ces codes à usage unique vous permettent de récupérer l'accès si vous perdez votre téléphone ou changez d'appareil. Notez-les dans votre gestionnaire de mots de passe ou imprimez-les et rangez-les en lieu sûr. Sans eux, la perte du second facteur peut vous bloquer durablement hors de votre propre compte.

Une précision importante : la double authentification ne remplace pas un bon mot de passe, elle le complète. Un attaquant qui ne dispose que du second facteur (par exemple un téléphone volé sans code de déverrouillage) reste bloqué par le mot de passe, et inversement. C'est la combinaison des deux qui assure la protection. Méfiez-vous enfin des sollicitations répétées de validation : si votre application vous demande d'approuver une connexion que vous n'avez pas initiée, refusez et changez votre mot de passe, car cela signifie que quelqu'un le connaît déjà.

Reconnaître le phishing et l'hameçonnage

L'hameçonnage (phishing) est la technique la plus répandue. Un message imite un organisme de confiance (banque, administration, transporteur, opérateur) pour vous soutirer identifiants, coordonnées bancaires ou code de validation, ou pour vous faire installer un logiciel malveillant.

Aucun organisme ne vous demande vos codes

Ni votre banque, ni l'Assurance Maladie, ni les impôts, ni un transporteur ne vous demanderont jamais votre mot de passe complet, un code de carte bancaire ou un code de validation par e-mail, SMS ou téléphone. Toute demande de ce type est une tentative de fraude.

Les signaux d'alerte d'un message d'hameçonnage :

L'urgence ou la menace : « votre compte sera suspendu », « colis bloqué », « amende impayée ». L'objectif est de vous faire agir sans réfléchir.
Une adresse d'expéditeur douteuse ou une URL qui ne correspond pas exactement au site officiel (fautes, domaine inhabituel).
Des fautes d'orthographe ou une mise en page approximative.
Une demande inhabituelle : confirmer un mot de passe, « réactiver » un compte, payer des frais.

En cas de doute, ne cliquez sur aucun lien : rendez-vous directement sur le site officiel en tapant son adresse vous-même, ou utilisez un favori que vous avez enregistré. Avant de cliquer, vous pouvez survoler un lien (sans appuyer) pour afficher l'adresse réelle vers laquelle il pointe. Méfiez-vous des noms de domaine qui imitent une marque connue avec une légère variation, ou des sous-domaines trompeurs.

Le phishing ne se limite pas à l'e-mail. Il prend aussi la forme de SMS (on parle alors de « smishing »), d'appels téléphoniques (« vishing », souvent un faux conseiller bancaire ou un faux agent du support technique), de messages sur les réseaux sociaux ou de QR codes piégés collés dans l'espace public. Le principe reste identique : créer la confiance ou l'urgence pour obtenir une action de votre part.

Quelques réflexes complémentaires : ne rappelez jamais un numéro fourni dans un message suspect, mais utilisez le numéro officiel figurant sur votre carte bancaire ou sur le site de l'organisme ; n'ouvrez pas les pièces jointes inattendues ; et ne communiquez jamais un code reçu par SMS, même à une personne se présentant comme votre banque, car ce code sert précisément à valider une opération en votre nom.

Si vous avez transmis des informations, agissez comme en cas de piratage (voir plus bas). Vous pouvez transférer les e-mails frauduleux à Signal Spam et les SMS suspects au 33700. Les contenus illicites se signalent sur la plateforme Pharos (internet-signalement.gouv.fr).

Fraude bancaire et DSP2

La fraude bancaire en ligne regroupe l'utilisation frauduleuse de votre carte, le détournement de virements ou les arnaques au faux conseiller. Pour la limiter, la directive européenne sur les services de paiement (DSP2) impose depuis plusieurs années l'authentification forte du client : tout paiement en ligne et toute connexion à votre banque exigent au moins deux facteurs (par exemple validation dans l'application bancaire ou code à usage unique), et non plus un simple numéro de carte.

Concrètement, méfiez-vous de tout appel ou message vous demandant de valider une opération que vous n'avez pas initiée : un escroc se faisant passer pour votre conseiller cherche souvent à vous faire approuver une transaction frauduleuse via votre application. Ne validez jamais une notification de paiement que vous ne reconnaissez pas.

En cas de débit frauduleux, faites opposition sans délai auprès de votre banque, qu'il s'agisse d'un compte chez Boursorama ou d'un autre établissement. La réglementation prévoit le remboursement des opérations non autorisées sauf négligence grave de votre part. Plus vous signalez vite, mieux vos droits sont préservés : le code monétaire et financier encadre des délais de contestation, généralement de treize mois pour une opération non autorisée.

Quelques bonnes pratiques limitent l'exposition au quotidien :

Activez les notifications de paiement de votre banque pour repérer immédiatement toute opération inhabituelle.
Plafonnez vos paiements en ligne et à l'étranger, et utilisez si possible une carte virtuelle à usage unique pour les achats sur des sites peu connus.
Ne saisissez vos coordonnées bancaires que sur des sites en HTTPS dont vous avez vérifié l'adresse, et jamais à la demande d'un message reçu.
Méfiez-vous des virements vers un nouveau bénéficiaire demandés dans l'urgence : c'est le scénario classique de l'arnaque au faux conseiller ou au faux fournisseur.

Conservez toutes les preuves (captures, messages, relevés) et déposez plainte. Pour les escroqueries en ligne sans usage frauduleux de carte, le dispositif THESEE permet un signalement en ligne via service-public.fr.

L'usurpation d'identité : prévenir et réagir

L'usurpation d'identité consiste à utiliser vos données personnelles (nom, pièce d'identité, coordonnées) pour ouvrir un compte, souscrire un crédit ou commettre une fraude en votre nom. Elle découle souvent d'une fuite de données ou d'un hameçonnage réussi.

Pour réduire le risque :

Limitez les informations partagées publiquement sur les réseaux sociaux et les formulaires.
Ne transmettez jamais une copie de votre pièce d'identité sans nécessité, et apposez un filigrane (« copie réservée à tel usage, le tel date ») quand c'est indispensable.
Surveillez vos relevés bancaires et vos comptes pour repérer toute activité anormale.
Vérifiez régulièrement si vos données ont fuité à l'aide de services réputés qui recensent les fuites connues, et changez les mots de passe concernés le cas échéant.
Soyez attentif aux courriers inhabituels : refus de crédit inexpliqué, relances pour un abonnement que vous n'avez pas souscrit, ou réception d'une carte bancaire non demandée peuvent signaler une usurpation en cours.

Si vous êtes victime, déposez plainte au commissariat ou à la gendarmerie, faites opposition sur les moyens de paiement concernés et signalez la situation aux organismes touchés. Vous pouvez demander à la Banque de France de vérifier une éventuelle inscription abusive à un fichier d'incidents, et solliciter les établissements pour bloquer tout contrat ouvert frauduleusement à votre nom. La plateforme 17Cyber vous oriente dans vos démarches, et la CNIL peut intervenir sur le volet protection des données. Conservez l'ensemble des justificatifs : ils faciliteront la régularisation auprès des organismes concernés.

FranceConnect : un accès sécurisé aux services publics

FranceConnect est le système d'identification de l'État qui vous permet d'accéder à de nombreux services publics en ligne avec un compte que vous possédez déjà (impôts, Assurance Maladie, France Travail, etc.), sans créer de nouvel identifiant. Vous vous connectez une fois, de façon sécurisée, puis accédez aux services partenaires.

L'intérêt en matière de sécurité est double : vous gérez moins de mots de passe, et vous vous appuyez sur des comptes vérifiés et surveillés par l'administration. Vous pouvez par exemple utiliser votre compte impots.gouv.fr comme porte d'entrée FranceConnect vers d'autres démarches, ou passer par le compte Ameli pour vos services de santé.

Sécurisez en priorité le ou les comptes que vous utilisez pour FranceConnect, car ils donnent accès à l'ensemble : un mot de passe solide et la double authentification y sont indispensables. FranceConnect+ propose par ailleurs un niveau de garantie renforcé, exigé pour les démarches les plus sensibles, en s'appuyant sur une identité numérique vérifiée.

Pensez aussi à consulter votre historique de connexion FranceConnect, accessible depuis votre espace : il recense les services auxquels vous vous êtes connecté et la date des accès. C'est un bon moyen de détecter une connexion que vous n'auriez pas effectuée. En cas de doute sur l'usage de votre identité, changez immédiatement le mot de passe du compte servant d'entrée et signalez l'incident.

RGPD : vos droits sur vos données (CNIL)

Le RGPD (Règlement général sur la protection des données) encadre l'usage de vos données personnelles par les organismes publics et privés. La CNIL (Commission nationale de l'informatique et des libertés) en assure le respect en France. Vous disposez de droits que vous pouvez exercer gratuitement auprès de n'importe quel organisme :

Droit d'accès : savoir quelles données un organisme détient sur vous et en obtenir une copie.
Droit de rectification : faire corriger des informations inexactes ou incomplètes.
Droit d'effacement (droit à l'oubli) : demander la suppression de vos données, sous réserve d'obligations légales de conservation (notamment en matière bancaire).
Droit d'opposition : refuser un traitement, par exemple à des fins de prospection commerciale.
Droit à la portabilité : récupérer vos données dans un format réutilisable pour les transmettre à un autre service.

L'organisme dispose d'un délai d'un mois pour répondre (extensible à trois mois pour les demandes complexes). La demande s'effectue de préférence par écrit, auprès du délégué à la protection des données (DPO) de l'organisme lorsqu'il en a désigné un. En cas de refus, de silence ou de difficulté, vous pouvez déposer une plainte en ligne auprès de la CNIL sur cnil.fr.

Au-delà de ces droits, quelques gestes réduisent la quantité de données exposées : régler ses préférences de cookies au profit du strict nécessaire, limiter les autorisations accordées aux applications mobiles (localisation, contacts, micro), supprimer les comptes que vous n'utilisez plus et vérifier périodiquement les paramètres de confidentialité de vos réseaux sociaux. Moins vos données circulent, moins elles peuvent être exploitées en cas de fuite. Cette logique vaut aussi pour les services d'intelligence artificielle comme ChatGPT ou Claude : évitez d'y saisir des informations personnelles sensibles, et consultez leurs paramètres de conservation et d'utilisation des conversations.

Sécuriser ses appareils et sa connexion

Protéger ses comptes ne se limite pas aux mots de passe : un appareil compromis peut trahir tous vos accès, même les mieux protégés. Quelques mesures de base s'appliquent à l'ordinateur comme au smartphone.

Maintenez vos logiciels à jour : système d'exploitation, navigateur et applications. Les mises à jour corrigent des failles de sécurité activement exploitées. Activez les mises à jour automatiques quand c'est possible.
Verrouillez vos appareils par un code, un schéma ou la biométrie, et configurez le verrouillage automatique après quelques minutes d'inactivité.
N'installez que des applications de sources officielles (App Store, Google Play) et vérifiez l'éditeur ainsi que les autorisations demandées.
Utilisez un antivirus à jour sur l'ordinateur et sauvegardez régulièrement vos données importantes, idéalement sur un support déconnecté, pour vous prémunir contre les rançongiciels.
Méfiez-vous des réseaux Wi-Fi publics : évitez d'y consulter votre banque ou de saisir des identifiants sensibles, ou passez par un réseau de confiance.

Pensez enfin à sécuriser votre box internet : modifiez le mot de passe d'administration par défaut, utilisez un chiffrement Wi-Fi récent (WPA3 si disponible) et un mot de passe Wi-Fi long. C'est la porte d'entrée de tout votre foyer numérique.

Que faire en cas de piratage : les bons réflexes

Si vous constatez un piratage (connexion inconnue, mot de passe qui ne fonctionne plus, opérations suspectes), agissez vite et dans l'ordre :

Changez le mot de passe concerné — Et tous ceux qui étaient identiques sur d'autres comptes. Commencez par votre messagerie, qui sert à réinitialiser le reste.
Activez la double authentification — Sur le compte touché et sur les comptes sensibles, pour bloquer un retour de l'attaquant.
Faites opposition si l'argent est en jeu — Contactez votre banque pour bloquer carte ou compte en cas de fraude bancaire.
Faites un diagnostic gratuit — Rendez-vous sur 17Cyber (17cyber.gouv.fr) ou cybermalveillance.gouv.fr : le service identifie la menace et vous oriente, 24h/24.
Signalez et déposez plainte — Signalez les contenus illicites sur Pharos (internet-signalement.gouv.fr), les e-mails à Signal Spam, et déposez plainte au commissariat ou à la gendarmerie.
Contactez Info Escroqueries — Pour être conseillé par des policiers et gendarmes, appelez le 0 805 805 817 (appel gratuit, du lundi au vendredi de 9h à 18h30).

Conservez toutes les preuves (captures d'écran, messages, relevés) : elles seront utiles pour votre plainte et vos démarches auprès des organismes concernés.

Sources et références

Questions fréquentes

Quelle longueur de mot de passe l'ANSSI recommande-t-elle ?

L'ANSSI et cybermalveillance.gouv.fr recommandent des mots de passe d'au moins 12 à 16 caractères, mêlant majuscules, minuscules, chiffres et caractères spéciaux. La longueur compte davantage que la complexité : une phrase de passe composée de plusieurs mots est à la fois robuste et facile à retenir. L'essentiel est d'utiliser un mot de passe différent pour chaque compte et de les stocker dans un gestionnaire dédié plutôt que dans un fichier ou un carnet.

Qu'est-ce que l'authentification à deux facteurs (2FA) ?

L'authentification à deux facteurs, aussi appelée 2FA ou double authentification, ajoute une seconde vérification après le mot de passe : un code envoyé par SMS, généré par une application comme Google Authenticator ou Authy, ou une clé physique. Même si un pirate obtient votre mot de passe, il ne peut pas se connecter sans ce second facteur. C'est l'une des protections les plus efficaces et elle est désormais proposée par la plupart des services bancaires, administratifs et de messagerie.

Que faire si je suis victime d'un piratage de compte ?

Changez immédiatement le mot de passe du compte concerné et de tout autre compte utilisant le même mot de passe. Activez la double authentification. Si une fraude bancaire est en jeu, contactez votre banque pour faire opposition. Vous pouvez obtenir un diagnostic et des conseils gratuits sur 17Cyber (17cyber.gouv.fr) ou cybermalveillance.gouv.fr, signaler les contenus illicites sur Pharos et déposer plainte au commissariat ou à la gendarmerie.

Comment reconnaître un e-mail ou un SMS de phishing ?

Un message d'hameçonnage cherche à créer l'urgence ou la peur (compte bloqué, colis en attente, amende à payer) pour vous pousser à cliquer sans réfléchir. Méfiez-vous des fautes d'orthographe, des adresses d'expéditeur douteuses et des liens dont l'URL ne correspond pas au site officiel. Aucune administration ni banque ne vous demandera vos identifiants complets ou un code de sécurité par e-mail ou SMS. En cas de doute, ne cliquez pas et rendez-vous directement sur le site officiel.

Quels sont mes droits sur mes données personnelles (RGPD) ?

Le RGPD vous garantit plusieurs droits que vous pouvez exercer gratuitement auprès de tout organisme : le droit d'accès (savoir quelles données sont détenues), de rectification (corriger des informations inexactes), d'effacement (le droit à l'oubli), d'opposition au traitement et à la portabilité (récupérer vos données dans un format réutilisable). L'organisme dispose d'un mois pour répondre. En cas de refus ou de silence, vous pouvez saisir la CNIL sur cnil.fr.