Mon mot de passe est sur le dark web : 5 actions à faire immédiatement

Découvrir que son mot de passe est sur le dark web fait toujours un choc. Ce que beaucoup ignorent, c’est que cette situation est devenue banale. Le rapport Verizon DBIR 2025 indique que les identifiants compromis sont impliqués dans 44 % des brèches de données analysées. Et selon Have I Been Pwned, plus de 14 milliards de comptes circulent dans des bases publiques de fuites.

La bonne nouvelle, c’est qu’un mot de passe exposé n’est pas une fatalité. Si vous réagissez vite et bien, l’impact reste limité. Ce guide vous explique comment vérifier si vos mots de passe sont concernés, puis détaille les 5 actions à mener immédiatement, sans jargon technique.

Comment des mots de passe se retrouvent-ils sur le dark web ?

Avant de réagir, il est utile de comprendre d’où viennent ces fuites. Trois sources principales alimentent les bases de données échangées sur le dark web et les forums cybercriminels.

Les brèches de sites web. Quand un site est piraté, sa base d’utilisateurs (emails, mots de passe, parfois données bancaires) peut être volée puis revendue. LinkedIn, Adobe, Yahoo, Dropbox : la plupart des grands services ont déjà été victimes. Les bases sont parfois publiées gratuitement, parfois revendues à prix d’or.

Les infostealers. Ce sont des malwares qui infectent un ordinateur, le plus souvent via un logiciel piraté, une fausse mise à jour de navigateur ou un email de phishing. En quelques secondes, le malware aspire tous les mots de passe enregistrés dans Chrome, Firefox ou Edge, les cookies de session et les données de remplissage automatique. Les données volées sont ensuite revendues sous forme de “logs” sur des canaux Telegram privés. Pour comprendre cette menace plus en détail, consultez notre article qu’est-ce qu’un infostealer.

Le phishing. Vous recevez un email qui imite parfaitement votre banque, votre opérateur ou un service connu. Vous cliquez, vous entrez vos identifiants sur une page qui ressemble à l’originale. En réalité, vous venez de les donner à un attaquant. Le phishing reste en 2026 l’une des méthodes les plus efficaces, parce qu’elle exploite l’humain plutôt que la technique.

Dans les trois cas, le résultat est le même : vos identifiants finissent dans des bases revendues sur des forums, des marketplaces ou des canaux Telegram cybercriminels. Une fois publiés, ils sont testés massivement contre d’autres services par une technique appelée credential stuffing.

Comment vérifier si vos mots de passe sont concernés ?

Plusieurs outils gratuits permettent de vérifier en quelques minutes si votre adresse email ou vos mots de passe apparaissent dans des fuites connues. Voici les trois principaux, avec leurs forces et leurs limites.

Outil	Ce qu’il vérifie	Gratuit	Surveillance continue
Have I Been Pwned	Email présent dans des brèches publiques	Oui	Notifications par email
Google Password Checkup	Mots de passe enregistrés dans Chrome	Oui (compte Google)	Oui, automatique
Stealed	Domaine entier (logs d’infostealers + brèches)	Plan Free	Alertes temps réel en Enterprise

Have I Been Pwned (HIBP) est le service de référence créé par le chercheur Troy Hunt. Vous saisissez votre adresse email sur haveibeenpwned.com, et l’outil vous indique dans quelles brèches publiques elle apparaît. C’est rapide, anonyme et gratuit. La principale limite : HIBP couvre surtout les brèches de sites web, mais peu les logs d’infostealers, qui sont aujourd’hui la source de fuites la plus active.

Google Password Checkup analyse les mots de passe enregistrés dans votre compte Google et vous alerte sur ceux qui ont été compromis, réutilisés ou trop faibles. Accessible depuis passwords.google.com, c’est un excellent point de départ pour les particuliers. La limite : il ne couvre que les mots de passe enregistrés dans Chrome ou Android.

Stealed est conçu pour les entreprises et les indépendants qui veulent surveiller un nom de domaine entier (par exemple votre-entreprise.fr) en continu. La plateforme analyse plus de 500 millions de credentials par jour, en incluant les logs d’infostealers et les canaux Telegram cybercriminels. Pour bien comprendre les différences, voyez notre comparatif Stealed vs HaveIBeenPwned.

Si l’un de ces outils confirme qu’un mot de passe a fuité, ne paniquez pas. Passez aux 5 actions ci-dessous.

5 actions immédiates à mener

Voici la marche à suivre, par ordre de priorité. Ces actions prennent au total une trentaine de minutes pour un compte personnel. Faites-les dans l’ordre, sans en sauter une.

Action 1 : Changer le mot de passe compromis (à faire dans les 15 minutes)

C’est le réflexe numéro un. Connectez-vous au service concerné et changez immédiatement le mot de passe. Choisissez un mot de passe long (au moins 14 caractères), unique, qui n’est utilisé sur aucun autre service. Évitez les variantes mineures (ajouter un chiffre à la fin du précédent ne sert à rien).

Profitez-en pour vérifier les paramètres du compte : adresse email de récupération, numéro de téléphone, sessions actives, applications connectées. Un attaquant qui a déjà eu accès au compte a peut-être ajouté son propre email comme méthode de récupération. La fiche mots de passe de la CNIL et le guide ANSSI précisent les règles à suivre pour un mot de passe robuste.

Si le mot de passe compromis donnait accès à un service contenant des informations bancaires (compte commerçant, plateforme de paiement, banque en ligne), surveillez vos comptes bancaires pendant les jours suivants.

Action 2 : Activer la MFA partout où possible

L’authentification multifacteur (MFA, ou 2FA) ajoute une seconde couche de sécurité : même si un attaquant connaît votre mot de passe, il ne peut pas se connecter sans le second facteur. Activez-la systématiquement sur tous les comptes critiques : email, banque, réseaux sociaux, services cloud, comptes professionnels.

Toutes les méthodes MFA ne se valent pas. Voici les recommandations classées par niveau de sécurité :

1. Passkeys ou clé physique FIDO2 (YubiKey par exemple) : le plus sûr, résistant au phishing.
2. Application d’authentification (Authy, Google Authenticator, 1Password) : très bon compromis sécurité / facilité.
3. SMS : mieux que rien, mais vulnérable au SIM swapping. À éviter si une autre option existe.

Pour un compte email (Gmail, Outlook, ProtonMail), l’activation du MFA est non négociable. C’est la clé de toute votre identité numérique : un attaquant qui contrôle votre email peut réinitialiser tous vos autres mots de passe.

Action 3 : Identifier les comptes utilisant le même mot de passe

C’est l’étape la plus chronophage, mais aussi la plus importante. Si vous utilisiez le même mot de passe ailleurs (ou une variante proche), tous ces autres comptes sont à risque immédiat. Les attaquants automatisent ce type de test sur des milliers de services en quelques heures, c’est ce qu’on appelle le credential stuffing, qui peut mener à un account takeover.

Faites la liste de tous les services où vous utilisiez ce mot de passe ou une variante :

• Boîtes email principales et secondaires
• Réseaux sociaux (Facebook, LinkedIn, Instagram, X)
• Comptes e-commerce (Amazon, Cdiscount, Fnac)
• Services bancaires et de paiement (PayPal, Revolut)
• Services de streaming (Netflix, Spotify, Disney+)
• Comptes professionnels (Google Workspace, Microsoft 365, Slack)

Pour chacun, changez le mot de passe avec un mot de passe unique. Si vous ne savez pas par où commencer, un gestionnaire de mots de passe vous aide à faire l’inventaire et à générer des mots de passe forts en quelques secondes.

Action 4 : Surveiller les tentatives de connexion suspectes

Pendant les semaines qui suivent une fuite, restez attentif aux signaux qui indiquent qu’un attaquant tente d’utiliser vos identifiants. La plupart des services proposent un historique des connexions ou des notifications de connexion suspecte.

Signes à surveiller :

• Email “Nouvelle connexion depuis [pays inconnu]” sur Gmail, Outlook, Apple ou un réseau social
• Tentatives de réinitialisation de mot de passe que vous n’avez pas demandées
• Messages MFA reçus alors que vous n’essayez pas de vous connecter (signe d’attaque “MFA fatigue”)
• Modifications du compte sans votre intervention (numéro de téléphone, adresse email de récupération)
• Transactions bancaires inhabituelles, même de petits montants (les attaquants testent souvent par petites sommes)

Si vous recevez une demande MFA non sollicitée, ne validez surtout pas. Cela signifie qu’un attaquant a votre mot de passe et tente de passer le second facteur. Changez immédiatement le mot de passe du compte concerné.

Action 5 : Signaler à votre entreprise ou votre banque si pertinent

Si la fuite concerne un compte professionnel ou un service financier, le signalement est essentiel.

Compte professionnel. Prévenez votre équipe IT ou votre RSSI dans les meilleurs délais. La fuite peut être le symptôme d’une infection par un infostealer sur votre poste, ce qui implique souvent de scanner ou réinstaller la machine. Plus vous tardez, plus l’attaquant a de temps pour exploiter l’accès.

Compte bancaire ou de paiement. Contactez votre banque immédiatement. La plupart proposent un numéro 24/7 pour faire opposition. Vérifiez vos relevés sur les 90 jours précédents : un attaquant peut avoir effectué de petits achats de test avant une opération plus importante.

Vol de données personnelles avéré. Si vous constatez une utilisation frauduleuse de vos données (ouverture de compte à votre nom, achats non reconnus), déposez plainte auprès de la police ou de la gendarmerie, et signalez sur cybermalveillance.gouv.fr. Conservez toutes les preuves (emails, captures d’écran, relevés).

Si vous êtes une entreprise : actions complémentaires

Pour un dirigeant de PME ou un responsable IT, une fuite de mot de passe d’un collaborateur ne se gère pas comme une fuite personnelle. Trois éléments supplémentaires entrent en jeu.

Notification à la CNIL. Si la fuite implique des données personnelles de clients, salariés ou prospects et présente un risque pour leurs droits, vous avez 72 heures pour notifier la CNIL après en avoir pris connaissance. Le formulaire en ligne sur cnil.fr est simple, mais demande une analyse rapide de l’impact. Tenez aussi informés les personnes concernées si le risque est élevé.

Surveillance étendue à tous les collaborateurs. Une fuite sur un compte est rarement isolée. Elle peut signaler une infection par infostealer dans l’entreprise. Vérifiez si d’autres mots de passe de l’entreprise ont fuité, faites scanner les postes concernés et changez les mots de passe partagés (VPN, services tiers, comptes administratifs).

Mise en place d’un monitoring continu. Plutôt que de découvrir une fuite plusieurs mois après, automatisez la surveillance de votre nom de domaine. C’est ce que propose Stealed avec son plan Free, qui permet à toute entreprise de surveiller un domaine racine sans engagement. Pour aller plus loin, notre playbook 72h fuite d’identifiants détaille la gestion d’incident pas à pas.

Comment se protéger durablement

Réagir à une fuite, c’est bien. Éviter qu’elle ne se reproduise, c’est mieux. Quatre habitudes simples réduisent drastiquement votre exposition.

Adopter un gestionnaire de mots de passe. C’est le changement qui a le plus d’impact. Bitwarden (gratuit), 1Password ou Dashlane génèrent un mot de passe unique de 20 caractères pour chaque service, vous évitent de les retenir, et vous alertent quand un mot de passe enregistré apparaît dans une fuite. N’utilisez plus jamais le gestionnaire intégré du navigateur : c’est la cible numéro un des infostealers.

Activer le MFA sur tous les comptes critiques. Email, banque, réseaux sociaux, comptes professionnels : sans exception. Privilégiez les passkeys et les applications d’authentification au SMS.

Mettre en place une surveillance continue. Pour un particulier, activez les notifications de Have I Been Pwned. Pour une entreprise ou un indépendant qui possède un nom de domaine, mettez en place un monitoring spécialisé qui couvre les logs d’infostealers, pas seulement les brèches publiques.

Apprendre à reconnaître le phishing. La plupart des fuites individuelles commencent par un email piégé. Quelques règles simples : ne cliquez jamais sur un lien dans un email pressant, vérifiez toujours l’URL avant de saisir un mot de passe, et méfiez-vous des fautes d’orthographe ou des graphies bizarres dans les noms de domaine. Pour les entreprises, des sessions courtes de sensibilisation tous les 6 mois changent radicalement la posture des équipes.

Stealed : surveiller votre domaine en continu

Si vous gérez un site web, une boutique en ligne ou les comptes pros d’une petite équipe, vérifier ponctuellement vos identifiants ne suffit pas. Une fuite peut arriver demain, et chaque jour qui passe avant la détection augmente le risque. Stealed est une plateforme française qui surveille en continu votre nom de domaine sur les canaux Telegram cybercriminels, les forums du dark web et les marketplaces où circulent les logs d’infostealers. Le plan Free permet de surveiller un domaine racine sans carte bancaire, avec alertes par email. C’est un outil supplémentaire dans votre arsenal de défense, particulièrement utile si vos collaborateurs accèdent à des outils SaaS sensibles.

Pour aller plus loin

• Qu’est-ce qu’un infostealer ? : comprendre la menace numéro un derrière les fuites de mots de passe
• Glossaire credential stuffing : pourquoi un mot de passe fuité menace tous vos autres comptes
• Account takeover (ATO) : comment un attaquant prend le contrôle d’un compte après une fuite
• Stealed vs HaveIBeenPwned : choisir le bon outil de détection selon votre profil

Vérifiez gratuitement si votre domaine est exposé et activez une surveillance continue en moins de cinq minutes avec le plan Free de Stealed.