Vos données ont fuité : quels risques, quels recours ?

Chaque semaine ou presque, une entreprise, une administration ou un service en ligne annonce avoir été victime d'une cyberattaque. Des milliers, parfois des millions de données personnelles se retrouvent alors entre les mains de pirates informatiques. À force de se répéter, ces annonces finissent par nous sembler banales. Pourtant, derrière ces fuites se cachent des risques bien réels : usurpation d'identité, escroqueries ciblées ou tentatives de piratage de vos comptes.

Des données devenues une véritable monnaie d'échange
Nom, adresse, numéro de téléphone, adresse électronique, date de naissance, identifiants de connexion… Toutes ces informations s'achètent, se revendent et s'échangent sur des places de marché clandestines. Plus un dossier est complet, plus il a de valeur pour les cybercriminels.
Contrairement aux idées reçues, les escrocs ne cherchent pas uniquement à vider un compte bancaire. Vos données peuvent servir à :
•    envoyer des courriels ou des SMS frauduleux particulièrement convaincants, car personnalisés ;
•    prendre le contrôle de vos comptes si vous utilisez le même mot de passe sur plusieurs sites ;
•    réinitialiser certains de vos mots de passe en exploitant les informations dont ils disposent sur vous ;
•    usurper votre identité pour ouvrir un compte ou souscrire un crédit ;
•    cibler vos proches grâce aux informations récupérées.
Le danger est d'autant plus grand que ces données circulent parfois pendant des années entre différents réseaux criminels. Une fuite aujourd'hui peut ainsi être à l'origine d'une tentative d'escroquerie plusieurs mois, voire plusieurs années plus tard.

Les obligations des organismes piratés
Lorsqu'un organisme est victime d'un piratage, il ne peut pas simplement invoquer la malchance. Le Règlement général sur la protection des données (RGPD) lui impose de mettre en œuvre des mesures de sécurité adaptées. Lorsqu'une violation de données présente un risque pour les personnes concernées, il doit en informer la CNIL, en principe dans les 72 heures après en avoir eu connaissance. Si ce risque est élevé, il doit également prévenir directement les personnes dont les données ont été compromises.
Être victime d'une cyberattaque ne signifie toutefois pas que l'organisme est automatiquement responsable. En revanche, si les mesures de sécurité étaient insuffisantes ou si ses obligations n'ont pas été respectées, sa responsabilité peut être engagée. Le consommateur qui subit un préjudice, financier ou moral, peut demander réparation, à condition de démontrer l'existence de ce préjudice et son lien avec la fuite de données. Il peut également saisir la CNIL, qui dispose de pouvoirs de contrôle et de sanction.

Les bons réflexes en cas de fuite
Le plus important est de réagir rapidement. Si vous apprenez que vos données ont été compromises :
1.    Changez immédiatement le mot de passe du compte concerné, ainsi que ceux de tous les autres services où vous utilisiez le même.
2.    Activez la double authentification partout où elle est proposée.
3.    Surveillez vos comptes bancaires ainsi que les connexions à vos différents comptes en ligne afin de détecter rapidement toute activité inhabituelle.
4.    Méfiez-vous des courriels, SMS ou appels inattendus : les cybercriminels profitent souvent d'une fuite de données pour lancer de nouvelles campagnes d'hameçonnage.
5.    Signalez toute tentative d'escroquerie sur la plateforme Cybermalveillance.gouv.fr, qui peut vous orienter dans vos démarches et vous conseiller si vous souhaitez déposer plainte. Sachez également que la plate-forme https://17cyber.gouv.fr/ guide les victimes de cybermalveillance.

Aucun organisme n'est aujourd'hui totalement à l'abri d'une cyberattaque. En revanche, une réaction rapide permet souvent d'éviter qu'une fuite de données ne se transforme en véritable préjudice. Car une fois des données personnelles diffusées sur Internet, il est pratiquement impossible de les récupérer… ou de les faire disparaître.

Ce qu’il faut retenir : une fuite de données n'entraîne pas automatiquement une fraude, mais elle doit toujours être prise au sérieux. Plus vous réagirez vite, moins les cybercriminels auront de chances de tirer profit de vos informations personnelles.