Agissez sans attendre, mais dans le bon ordre. Un mot de passe trouvé dans une fuite, une alerte de connexion inhabituelle ou une modification que vous n’avez pas faite peut annoncer une prise de contrôle. La priorité n’est pas de changer tous vos secrets au hasard : il faut d’abord reprendre la main sur les comptes qui permettent de réinitialiser les autres, fermer les accès actifs et traiter toute réutilisation.
Les actions prioritaires
Depuis un appareil sain, sécurisez d’abord votre messagerie principale et le compte associé à votre gestionnaire de mots de passe. Changez ensuite le mot de passe compromis, fermez les sessions inconnues, vérifiez les moyens de récupération, activez le MFA et remplacez le même mot de passe partout où il a été réutilisé.
Les 30 premières minutes
- Utilisez un appareil de confiance. Si vous soupçonnez un logiciel malveillant, ne saisissez pas le nouveau mot de passe sur le poste concerné. Consultez plutôt notre guide pour réagir à un appareil possiblement compromis.
- Sécurisez l’e-mail. Votre boîte mail reçoit les liens de réinitialisation : vérifiez son mot de passe, son MFA, son adresse de récupération, son numéro de téléphone et les règles de transfert.
- Changez le mot de passe du compte touché. Créez un secret long, aléatoire et jamais utilisé ailleurs.
- Fermez les sessions et appareils inconnus. Cherchez « appareils connectés », « sessions actives » ou « sécurité » dans les paramètres. Un pirate déjà connecté peut rester présent après le changement du mot de passe.
- Contrôlez les changements. Vérifiez l’e-mail, le téléphone, le MFA, les applications liées, les clés d’accès et les droits administrateurs.
Si vous ne pouvez plus vous connecter
Utilisez uniquement la procédure officielle du service, en allant vous-même sur son site ou son application : ne cliquez pas sur un lien reçu par e-mail ou SMS dans la précipitation. Signalez la prise de compte et suivez l’étape de récupération. Conservez les notifications, captures d’écran et références de dossier ; elles peuvent être utiles pour le support, la banque ou un dépôt de plainte. Cybermalveillance.gouv.fr recommande notamment de vérifier et supprimer sans délai les moyens de récupération inconnus une fois l’accès retrouvé.
Traiter la réutilisation : le risque d’effet domino
Si le mot de passe compromis était utilisé sur plusieurs sites, considérez qu’ils sont tous concernés, même si vous n’y voyez encore aucune activité. Commencez par les comptes à fort pouvoir de récupération :
- messagerie et compte Apple, Google ou Microsoft ;
- gestionnaire de mots de passe et stockage de fichiers ;
- banque, paiement, opérateur téléphonique ;
- comptes professionnels, hébergement, domaine et réseaux sociaux ;
- services secondaires.
Pour chaque compte, créez un secret différent et activez le MFA. Si vous partagiez un mot de passe, prévenez les personnes concernées sans transmettre le nouveau secret par message. Un départ d’équipe ou un ancien prestataire qui connaissait un accès commun justifie aussi une rotation ciblée.
Surveiller après l’incident
- consultez l’historique de connexions, commandes, publications, règles d’e-mail et transferts d’argent ;
- surveillez les alertes du service et les messages de vos contacts ;
- prévenez la banque immédiatement si une donnée bancaire ou une transaction est en cause ;
- mettez à jour le système, le navigateur et les extensions ;
- si vous avez une activité professionnelle, informez la personne chargée de la sécurité selon votre procédure interne.
Si le mot de passe a seulement été signalé dans une fuite mais que vous ne constatez pas d’accès frauduleux, le changement reste à faire rapidement. Ce n’est pas une preuve qu’un attaquant l’a utilisé, mais une raison suffisante pour ne plus lui faire confiance.
Traiter la messagerie comme un accès prioritaire
Une boîte mail compromise mérite une attention particulière parce qu’elle reçoit souvent les demandes de réinitialisation des autres comptes. Après avoir repris son contrôle, ne vous contentez pas de vérifier les messages récents. Ouvrez les paramètres de transfert, les filtres et les règles de tri. Une redirection inconnue ou une règle qui masque les alertes de sécurité peut maintenir une exposition même lorsque le nouveau mot de passe fonctionne.
Contrôlez également les adresses de secours et les moyens d’authentification enregistrés. Un numéro que vous ne reconnaissez pas, une clé ajoutée sans votre intervention ou une application autorisée inattendue doivent être examinés. Retirez les éléments non autorisés selon les possibilités du service, sans supprimer à l’aveugle vos propres moyens de récupération. Les noms et les menus varient : utilisez la documentation officielle de votre fournisseur plutôt qu’un tutoriel trouvé dans un message reçu après l’incident.
Regardez les dossiers envoyés, supprimés et archivés. Ils peuvent vous aider à comprendre si des messages frauduleux ont été diffusés depuis votre adresse. Si c’est le cas, prévenez les destinataires par un canal fiable et expliquez précisément quels messages ne viennent pas de vous. Un avertissement court indiquant la période et le sujet concerné est plus utile qu’un message alarmiste envoyé indistinctement à tous vos contacts.
Enfin, recherchez les réinitialisations de comptes survenues pendant la période suspecte. Traitez ces comptes séparément : retrouver votre boîte mail ne restaure pas automatiquement leur état antérieur.
Fermer les accès qui ne dépendent plus du mot de passe
Un mot de passe permet d’ouvrir une connexion, mais une session déjà établie peut continuer à fonctionner selon les règles du service. C’est pourquoi les paramètres de sécurité proposent parfois une déconnexion générale ou une liste des appareils connectés. Après un changement de secret, vérifiez ces options. Ne supposez pas que tous les navigateurs ont été déconnectés simplement parce que votre propre appareil demande une nouvelle connexion.
Les applications tierces constituent un autre point de contrôle. Un outil peut avoir reçu l’autorisation de lire des fichiers, d’envoyer des messages ou de consulter un calendrier sans redemander votre mot de passe à chaque action. Examinez les autorisations et retirez celles qui ne correspondent plus à un usage identifié. Sur un compte professionnel, demandez conseil avant de couper une intégration nécessaire à l’activité ; l’objectif est de supprimer les accès injustifiés sans provoquer une panne évitable.
Certains services disposent aussi de mots de passe d’application ou de clés techniques. S’ils existent sur votre compte, leur traitement doit suivre la documentation du fournisseur. Un changement du mot de passe principal ne constitue pas une preuve qu’ils ont été invalidés. Notez les actions effectuées et vérifiez ce qui a réellement été révoqué.
Conserver les informations utiles sans retarder la protection
Pendant l’incident, gardez une chronologie simple : première alerte, connexion suspecte, modification observée et actions entreprises. Relevez les identifiants de commande ou de transaction utiles et les coordonnées officielles du support contacté. N’enregistrez pas vos nouveaux mots de passe dans ce dossier. Les éléments de contexte servent à expliquer l’incident ; les secrets restent dans leur emplacement protégé.
Si vous prenez des captures d’écran, évitez d’y exposer des codes de récupération ou des documents sans rapport avec l’incident. Conservez les messages frauduleux et les notifications pertinentes quand c’est possible, mais ne cliquez pas sur leurs liens pour « tester » l’attaque. L’urgence de sécuriser le compte passe avant la recherche d’une preuve exhaustive.
En cas de paiement ou de coordonnées bancaires modifiés, contactez votre banque ou le prestataire de paiement par ses canaux officiels. Pour un compte d’entreprise, informez rapidement la personne responsable de la sécurité ou de l’administration. Une compromission peut toucher des clients, des documents ou des accès associés ; son évaluation ne doit pas reposer uniquement sur la personne qui a découvert le problème. Les démarches adaptées dépendent des faits et du contexte, sans qu’un guide général puisse fixer à lui seul vos obligations.
Ne pas remettre les nouveaux secrets sur un appareil suspect
Si plusieurs comptes sans mot de passe commun sont touchés, ou si l’incident suit l’installation d’un logiciel douteux, envisagez un problème sur l’appareil. Changer tous les secrets depuis cette même machine pourrait les exposer à nouveau. Utilisez un appareil de confiance pour les opérations prioritaires et faites examiner le poste suspect avant d’y reprendre vos connexions sensibles.
Une analyse de sécurité et la vérification des extensions peuvent fournir des indices, mais un résultat rassurant ne prouve pas à lui seul l’absence de compromission. Si vous utilisez le poste pour le travail, contactez le support informatique avant d’effacer des fichiers ou de réinstaller le système. Il pourra organiser la protection, préserver les informations utiles et limiter l’interruption d’activité.
Méfiez-vous aussi des offres de « récupération de compte » reçues sur les réseaux sociaux. Ne payez pas un interlocuteur inconnu et ne lui donnez ni code de connexion ni accès à distance. Le support légitime du service reste votre point de départ, même si la procédure semble lente.
Vérifier le retour à une situation stable
Une fois l’urgence passée, faites un contrôle complet plutôt que de multiplier les changements sans méthode. Le nouveau secret doit être unique, les coordonnées de secours correctes et les appareils autorisés reconnus. Les accès réutilisant l’ancien mot de passe doivent avoir été traités. Vérifiez également les abonnements, les moyens de paiement et les publications modifiées lorsque le service en dispose.
Quelques jours plus tard, revenez sur les alertes et l’activité du compte. L’absence d’un nouveau signal est encourageante, sans constituer une garantie absolue. Si des modifications inexpliquées réapparaissent, reprenez contact avec le fournisseur en vous appuyant sur votre chronologie. Pour apprendre à distinguer une exposition ancienne d’une intrusion en cours, consultez le guide de vérification d’un mot de passe potentiellement piraté.
Conclusion
Une prise de compte se gère comme une chaîne : messagerie, récupération, sessions, mot de passe, MFA, puis comptes réutilisant le même secret. Documentez ce que vous avez fait, gardez les preuves utiles et ne vous fiez pas à un simple changement de mot de passe si des sessions ou moyens de récupération restent ouverts. Pour prévenir le prochain incident, retrouvez les bonnes pratiques de sécurité des mots de passe.
