Il suffit d'une cyberattaque largement commentée contre une grande plateforme administrative pour que la même phrase circule dans les couloirs de bureau et les groupes de famille : « et si mes informations étaient dedans ? » La réponse honnête, c'est qu'on ne le sait presque jamais le jour même. Ce que l'on sait, en revanche, c'est ce qui arrive ensuite : les tentatives d'arnaque deviennent plus crédibles, parce qu'elles s'appuient sur des détails vrais. Voici le plan que je conseille autour de moi, dans l'ordre, en une petite heure au total.
Les premiers jours : peu de gestes, mais les bons
La tentation, quand l'inquiétude monte, c'est de changer quarante mots de passe en une soirée et de tout oublier trois jours plus tard. Faites l'inverse : commencez par trois comptes, et faites-le sérieusement. D'abord votre boîte mail principale, parce qu'elle sert de clé à tout le reste : c'est par elle que l'on réinitialise les autres accès. Ensuite votre banque. Enfin le compte administratif concerné.
Sur ces trois comptes, deux règles suffisent : un mot de passe long et différent des autres, et la double authentification activée. Quand le choix existe, une application d'authentification ou une clé physique vaut mieux qu'un simple code par SMS. Profitez-en pour vérifier un détail que presque personne ne regarde : les adresses et numéros de récupération enregistrés dans votre messagerie, ainsi que les éventuelles redirections automatiques. Une adresse inconnue ajoutée discrètement, c'est le signe qu'il faut agir tout de suite.
Dernier réflexe de la première semaine : relire ses relevés bancaires ligne à ligne, y compris les toutes petites sommes. Les prélèvements minuscules servent souvent à tester si une carte répond.
La mécanique de l'arnaque qui suit une fuite
Une fuite de données administratives n'est pas d'abord un vol d'argent, c'est une fourniture de matière première. Nom exact, adresse, situation familiale, références de dossier : autant de détails qui transforment un message grossier en message troublant. Le scénario est presque toujours le même. On vous annonce un remboursement, un trop-perçu, une régularisation. Il y a un lien. Il y a une urgence. Il y a parfois un ton comminatoire.
Retenez une phrase et faites-en une habitude familiale : aucune administration, aucune banque ne vous demandera vos identifiants, votre code ou votre numéro de carte par courriel, par SMS ou au téléphone. Donc on ne clique pas dans le message. On tape l'adresse du site soi-même, ou on passe par un favori enregistré à froid. Au téléphone, on raccroche et on rappelle en cherchant le numéro officiel de son côté, jamais celui donné par l'interlocuteur.
La variante la plus efficace, aujourd'hui, c'est le faux conseiller. Il connaît votre nom, parfois vos dernières opérations, il est courtois, il vous propose de « bloquer » une opération suspecte en validant quelque chose dans votre application. Valider, c'est autoriser. Urgence, secret et menace forment un trio : dès que les trois sont réunis dans une conversation, la réponse est de gagner du temps.
Le quart d'heure d'hygiène numérique, quatre fois par an
Plutôt qu'un grand ménage impossible à tenir, installez un rendez-vous court et régulier, accroché à une date que vous n'oubliez pas : la rentrée, le changement d'heure, le début de l'année. Au programme : lister ses dix comptes vraiment essentiels, confier ses mots de passe à un gestionnaire (celui de votre navigateur suffit pour commencer), supprimer deux ou trois comptes dont vous ne vous servez plus, et refuser désormais de remplir les champs facultatifs des formulaires en ligne.
Gardez aussi une trace écrite : capture d'écran du message douteux, date, numéro appelant, ce que vous avez fait. C'est fastidieux sur le moment, précieux si un signalement ou une plainte devient nécessaire. Et pensez aux deux extrémités de la famille : les parents âgés et les adolescents. Offrez-leur une seule phrase à réutiliser, la même pour tous : « Je ne réponds jamais dans l'urgence, je rappelle. »
Faut-il changer tous ses mots de passe après une fuite de données ?
Non, et vouloir tout faire d'un coup est justement ce qui fait abandonner en route. Une fuite de données administratives contient rarement vos mots de passe ; elle rend surtout les tentatives d'hameçonnage crédibles. Changez donc en priorité l'accès à votre messagerie principale, puis tout compte où vous auriez réutilisé ce même mot de passe ailleurs. L'unicité protège bien davantage que les acrobaties de caractères spéciaux.
Comment savoir si un message des impôts ou de la banque est une arnaque ?
Ne jugez pas l'apparence, jugez la demande : les logos, les mises en page et même les adresses d'expéditeur s'imitent très bien. Si on vous demande de cliquer, de vous dépêcher, de communiquer des coordonnées bancaires ou de valider une opération que vous n'avez pas lancée, considérez que c'est faux et vérifiez par vous-même en vous connectant directement à votre espace personnel. Si de l'argent a déjà bougé, appelez votre banque sans attendre pour faire opposition, puis déposez plainte : les délais comptent beaucoup dans ce genre de dossier.
