Adobe, LinkedIn, Yahoo, Facebook — des entreprises auxquelles nous avons fait confiance avec nos données ont toutes subi des violations importantes. Dans presque tous les cas, les adresses e-mail sont parmi les premières choses volées, car elles sont la clé maîtresse de tout le reste de votre vie numérique : réinitialisations de mot de passe, authentification à deux facteurs, notifications bancaires.
Vous pouvez vérifier si votre adresse est apparue dans des violations connues grâce à Have I Been Pwned, l'outil gratuit créé par le chercheur en sécurité Troy Hunt. Selon Statista, environ 45 à 50 % de tous les e-mails envoyés dans le monde sont des spams, dont une part importante provient de listes d'e-mails volées.
La chaîne complète des attaques après une violation
Les dommages d'une violation de données ne se produisent pas tous à la fois. Dans les heures ou jours suivant une grande violation, les données volées apparaissent sur des marchés du dark web. Votre adresse e-mail — et potentiellement votre mot de passe haché — est vendue en masse. Ensuite commencent les campagnes de spam : votre adresse se retrouve sur des listes de diffusion massives.
Plus dangereux encore : le credential stuffing. Des outils automatisés essaient votre e-mail et votre mot de passe potentiellement volé sur des centaines d'autres services. Puis vient le phishing ciblé : les attaquants utilisent les données de violation pour créer des e-mails convaincants qui font référence à des informations réelles sur vous. La Electronic Frontier Foundation a abondamment écrit sur la façon dont l'agrégation de données de multiples violations crée des profils détaillés d'individus.
Pourquoi votre adresse e-mail est si précieuse
Une carte de crédit volée peut être bloquée en quelques minutes. Un mot de passe volé peut être changé. Mais votre adresse e-mail ? Elle est semi-permanente. Vous l'utilisez depuis des années, peut-être des décennies. Des dizaines de services y sont enregistrés. C'est la clé de toutes vos réinitialisations de mot de passe et codes de sécurité. Le RGPD donne aux résidents de l'UE le droit de demander la suppression de leurs données, mais cela n'aide pas pour les données déjà vendues ou copiées.
Le problème de la surface d'attaque
Chaque service qui détient votre vraie adresse e-mail est un point de violation potentiel. Plus il y a d'endroits, plus il y a d'opportunités de vol. Utiliser un e-mail temporaire pour les inscriptions non essentielles change fondamentalement l'équation. Si cette base de données est compromise plus tard, votre vraie adresse n'y figure tout simplement pas.
Que faire si votre e-mail a été compromis
- Vérifiez exactement quelle violation est concernée et quelles données étaient incluses
- Changez immédiatement votre mot de passe sur ce service
- Vérifiez si vous avez réutilisé ce mot de passe — changez-le partout
- Activez l'authentification à deux facteurs sur les comptes concernés
- Configurez des alertes de violation gratuites sur Have I Been Pwned
- Surveillez les e-mails de phishing faisant référence au service compromis
- Envisagez de supprimer le compte si vous n'utilisez plus ce service
Développer de meilleures habitudes
Réduire la surface d'attaque de votre adresse e-mail est la mesure préventive la plus efficace. Votre vraie adresse ne devrait exister qu'auprès des services auxquels vous faites vraiment confiance. Pour tout le reste, un e-mail jetable garde votre vraie adresse hors de l'équation. Des services comme Proton Mail ou SimpleLogin peuvent aider.
Pour les interactions vraiment ponctuelles, un mail temporaire est la solution la plus propre — aucune configuration requise, aucun compte nécessaire, aucune identité réelle impliquée.