Après une fuite, changez d’abord le mot de passe du service concerné s’il a été exposé, puis tous les comptes qui réutilisent ce secret. Vous n’avez pas à modifier par réflexe les mots de passe uniques sans signe de compromission. Priorisez ensuite la messagerie, les comptes de récupération, financiers et administrateurs, selon les données concernées et les alertes reçues.
Une fuite ne signifie pas toujours un piratage de compte
Une fuite peut concerner des informations personnelles sans inclure de mot de passe ni donner accès à un compte. Lisez l’avis du service concerné pour savoir quelles catégories de données ont été exposées. Si des identifiants sont en cause, ou si vous constatez une activité inhabituelle, changez le secret et fermez les sessions actives.
Ce que cela change concrètement
La priorité dépend des données divulguées et des liens de récupération. Une boîte mail ou un compte d’identité peut permettre de réinitialiser d’autres accès; un compte bancaire ou administrateur peut avoir un impact direct plus élevé. Mais si seul un service secondaire a exposé son mot de passe unique, traitez ce compte et ne supposez pas que tous les autres sont compromis.
Construire un ordre de rotation
- Changez le mot de passe du service qui a signalé la fuite, s’il était concerné.
- Changez ensuite tous les comptes où le même mot de passe a été réutilisé.
- Si l’exposition comprend la messagerie, l’identité ou les moyens de récupération, traitez ces comptes avant les comptes secondaires.
- Fermez les sessions actives, vérifiez les coordonnées de récupération et activez une authentification multifacteur lorsqu’elle est proposée.
Prévenir la prochaine tentative
Le NIST recommande de ne pas imposer de changements arbitraires et périodiques; il faut remplacer un mot de passe lorsqu’il est compromis. Créez le nouveau secret avec un générateur de mots de passe et donnez une valeur distincte à chaque compte, comme expliqué dans le guide des mots de passe forts et uniques.
Après la rotation : vérifier les accès
- Vérifiez l’adresse email, le numéro et les autres moyens de récupération.
- Fermez les sessions actives, notamment sur la messagerie et les comptes d’administration.
- Activez l’authentification multifacteur lorsque le service la propose.
- Notez les comptes traités et ceux qui restent à vérifier.
Le lien avec Soclyde
Soclyde peut servir d’inventaire opérationnel pour les secrets humains : les comptes critiques sont identifiés, les valeurs sont uniques et le partage reste limité aux personnes qui réalisent la rotation. Les petites entreprises peuvent aussi consulter le guide de politique de mots de passe PME pour répartir les responsabilités.
À retenir
En bref : changez les mots de passe exposés et réutilisés, fermez les sessions en cas de doute et vérifiez la récupération. Ne remplacez pas en masse les secrets uniques sans indice qu’ils ont été compromis.
