Adobe, LinkedIn, Yahoo, Facebook, Twitch, Equifax, Marriott — ce ne sont là que les violations qui ont fait les gros titres. Il y en a des milliers d'autres qui ne l'ont jamais fait. Des entreprises à qui nous avons confié nos adresses e-mail, nos mots de passe, parfois nos numéros de carte de crédit et nos adresses postales, ont vu leurs bases de données volées et revendues. Et dans presque tous les cas, l'adresse e-mail est la donnée la plus précieuse du butin, car elle est la clé passe-partout de tout le reste de votre vie numérique.
La réaction la plus courante quand on apprend une violation est de changer son mot de passe sur ce seul service et de passer à autre chose. Cette réaction est logique, mais elle passe à côté de l'essentiel. Les dégâts d'une violation ne s'arrêtent pas au service piraté. Ils se propagent de façons qui durent des mois, parfois des années. Comprendre toute la chaîne change votre façon de penser au partage de votre e-mail dès le départ.
Cet article détaille cette chaîne — ce qui se passe immédiatement après une violation, ce qui se passe des semaines et des mois plus tard, pourquoi votre adresse e-mail est spécifiquement si précieuse pour les attaquants, et ce que vous pouvez concrètement faire à ce sujet. L'objectif n'est pas de vous effrayer. C'est de vous donner une image claire pour que vous puissiez prendre de meilleures décisions sur les endroits où votre véritable adresse e-mail doit réellement exister.
L'ampleur du problème
Avant d'entrer dans les mécanismes, il est utile de comprendre à quel point ce problème est vaste. Have I Been Pwned, le service gratuit de vérification des violations créé par le chercheur en sécurité Troy Hunt, recense actuellement plus de 13 milliards de comptes compromis répartis sur des milliers de violations de données individuelles. Ce chiffre n'est pas 13 millions. C'est 13 milliards. La population adulte mondiale est d'environ 6,5 milliards de personnes. Beaucoup de ces 13 milliards d'enregistrements sont des doublons — le même e-mail apparaissant dans plusieurs violations — mais l'ampleur reste stupéfiante.
Selon les données de Statista sur le trafic des e-mails de spam, environ 45 à 50 % de tous les e-mails envoyés dans le monde sont des spams. Une part importante de ce spam est alimentée par des listes d'e-mails volées récoltées lors de violations de données. Ce n'est pas un problème de niche touchant seulement quelques malchanceux — si vous avez une adresse e-mail depuis plus de quelques années et que vous l'avez utilisée pour vous inscrire à des services en ligne, il y a une chance réelle qu'elle soit apparue dans au moins une violation.
Je vous encourage à faire une pause dès maintenant et à vérifier votre propre adresse sur Have I Been Pwned avant de continuer votre lecture. Les résultats ont tendance à rendre le reste de cet article beaucoup plus concret. La plupart des gens trouvent leur e-mail listé dans deux à huit violations. Certains en trouvent davantage. Si la vôtre revient vierge, tant mieux — mais il reste utile de comprendre contre quoi vous vous protégez.
Ce que font les attaquants avec votre e-mail — la chaîne complète
Voici ce que la plupart des articles sur les violations omettent : les dégâts d'une seule violation ne surviennent pas d'un coup, et ne s'arrêtent pas à un seul type d'attaque. Il existe une séquence d'événements, chacun rendu possible par le précédent, et comprendre cette séquence est ce qui rend le problème réel plutôt qu'abstrait.
Étape 1 : la base de données de la violation est revendue
Dans les heures ou les jours suivant une grande violation, les données volées apparaissent sur les marchés du dark web. Les bases de données sont achetées et revendues en gros — parfois pour des sommes étonnamment faibles. Un fichier contenant des millions d'adresses e-mail et de mots de passe hachés peut se vendre pour quelques centaines de dollars. Du point de vue de l'attaquant, il s'agit simplement d'acquérir de la matière première pour travailler.
Étape 2 : les campagnes de spam commencent immédiatement
L'effet le plus immédiat et visible d'une violation est une augmentation soudaine du spam. Votre adresse e-mail est ajoutée à des listes de diffusion massives, et la Federal Trade Commission estime que des milliards d'e-mails de spam sont envoyés chaque jour, les listes d'e-mails volées étant l'une des principales sources. Vous remarquerez peut-être une nouvelle vague de spam qui commence des jours ou des semaines après qu'un service que vous utilisez annonce une violation. Ce n'est pas une coïncidence — votre adresse vient d'atterrir sur une nouvelle liste.
Étape 3 : les attaques par credential stuffing
Si la violation incluait des mots de passe — même hachés —, la menace s'intensifie considérablement. Des outils automatisés appelés credential stuffers prennent les combinaisons e-mail + mot de passe issues d'une violation et les testent systématiquement sur des dizaines ou des centaines d'autres services. Votre compte Netflix. Votre compte Amazon. Votre banque. Votre fournisseur d'e-mail lui-même. Troy Hunt a documenté abondamment comment les attaques par credential stuffing sont responsables d'une proportion massive de prises de contrôle de comptes. La réutilisation de mots de passe est ce qui rend cette attaque si efficace — les personnes qui utilisent le même mot de passe sur plusieurs services sont particulièrement vulnérables. C'est pourquoi changer uniquement le mot de passe concerné ne suffit pas.
Étape 4 : le phishing ciblé qui connaît des choses sur vous
Les e-mails de phishing génériques — « Cliquez ici pour vérifier votre compte » — sont faciles à repérer. Mais un attaquant plus sophistiqué utilise les données de violation pour rédiger des messages ciblés faisant référence à des choses qu'il sait réellement sur vous. Il sait de quel service vous étiez client. Parfois il connaît votre nom d'utilisateur, votre nom, ou les quatre derniers chiffres de votre carte de paiement. Un e-mail de phishing qui dit « Votre compte [nom réel du service] nécessite une vérification — voici votre nom d'utilisateur [votre nom d'utilisateur réel] » est nettement plus convaincant qu'un envoi générique de masse. Cette catégorie d'attaque est parfois appelée spear phishing, et les données de violation sont exactement ce qui la rend possible.
Étape 5 : la constitution de profils à partir de plusieurs violations
L'utilisation la plus sophistiquée des données de violation est la corrélation. Les attaquants agrègent des enregistrements provenant de plusieurs violations pour construire des profils détaillés d'individus. Votre e-mail est apparu dans une violation d'un forum de jeux vidéo, une violation d'une application de fitness, et une violation d'un site de vente en ligne ? Quelqu'un sait maintenant que vous jouez à des jeux, à quelle fréquence vous faites du sport, où vous faites vos achats, et potentiellement votre localisation approximative grâce aux données de livraison. L'Electronic Frontier Foundation a écrit abondamment sur la façon dont l'agrégation de données transforme des informations individuellement inoffensives en quelque chose de bien plus intrusif. Ce profilage alimente un phishing plus ciblé, l'ingénierie sociale et, dans les cas extrêmes, l'usurpation d'identité.
Comment vérifier votre exposition actuelle
Le meilleur point de départ est Have I Been Pwned. Saisissez votre adresse e-mail et le site fouille sa base de données de violations connues. Pour chaque violation listée, vous verrez le nom du service touché, la date de la violation, et quelles catégories de données ont été exposées (e-mail, mot de passe, nom d'utilisateur, nom, numéro de téléphone, etc.). Cela vous indique exactement où vos données ont été compromises et quels risques spécifiques s'appliquent.
Point crucial, Have I Been Pwned propose des alertes gratuites de notification de violation. Vous saisissez votre adresse e-mail, la confirmez, et à partir de ce moment, si votre e-mail apparaît dans une future violation ajoutée à la base de données, vous recevrez immédiatement une notification par e-mail. C'est l'un des outils de sécurité gratuits les plus précieux qui existent — il fait de vous quelqu'un qui découvre son exposition à une violation en quelques jours et peut agir rapidement, au lieu de quelqu'un qui l'apprend des mois plus tard (si jamais il l'apprend).
Lorsque vous examinez vos résultats, portez une attention particulière aux violations qui incluaient des mots de passe. Ce sont vos expositions les plus risquées, en raison des attaques par credential stuffing décrites ci-dessus. Pour ces violations spécifiquement, assurez-vous d'avoir changé ce mot de passe sur tous les services où vous l'utilisiez — puis arrêtez de réutiliser des mots de passe en adoptant un gestionnaire de mots de passe.
Pourquoi votre e-mail est la donnée la plus précieuse d'une violation
Voici quelque chose qui mérite réflexion : une carte de crédit volée peut être annulée en quelques minutes. Un mot de passe divulgué peut être changé. Mais votre adresse e-mail ? Elle est semi-permanente. Vous l'avez depuis des années, peut-être des décennies. Des dizaines ou des centaines de services y sont enregistrés. C'est la clé de vos réinitialisations de mot de passe, de vos notifications bancaires, de vos codes d'authentification à deux facteurs. Elle est liée à votre identité d'une manière très difficile à démêler.
Le RGPD donne aux résidents de l'UE le droit légal de demander la suppression de leurs données personnelles, y compris leur adresse e-mail, auprès de tout service qui les détient. En pratique, de nombreuses entreprises disposent désormais de systèmes automatisés pour cela, et vous pouvez soumettre une demande de suppression même pour des services que vous n'utilisez plus depuis des années. Mais les demandes de suppression RGPD n'affectent que l'entreprise ayant reçu la demande — elles ne touchent pas les données déjà vendues ou copiées dans des bases de données tierces de violations. Une fois votre e-mail diffusé, aucune réglementation ne peut le récupérer. La prévention est la seule stratégie pleinement fiable.
Les recommandations de sécurité de l'OWASP insistent constamment sur le fait que les adresses e-mail sont des données de grande valeur méritant la même protection que les mots de passe. Pourtant, la plupart des gens partagent leur adresse e-mail avec bien moins de précaution que leurs mots de passe, car les adresses e-mail semblent moins sensibles. La réalité est l'inverse — votre e-mail est plus persistant, plus central et plus difficile à changer que votre mot de passe.
Le problème de la surface d'attaque
Chaque service qui détient votre véritable adresse e-mail est un point de violation potentiel. Plus votre e-mail existe dans des bases de données à travers internet, plus il y a d'occasions de le voler. Réfléchissez aux mathématiques : si vous vous êtes inscrit à 50 services en ligne au fil des années et que chacun a une probabilité annuelle de 2 % de subir une violation (une estimation prudente compte tenu du paysage actuel), la probabilité qu'au moins un d'entre eux soit touché une année donnée est très élevée. Plus il y a de services, plus l'exposition est élevée.
Un service auquel vous vous êtes inscrit il y a trois ans pour télécharger un modèle gratuit, utilisé une fois puis complètement oublié — c'est toujours un enregistrement de base de données actif quelque part. Cette entreprise a peut-être été rachetée, a peut-être subi un incident de sécurité, a peut-être vendu sa liste d'e-mails pour couvrir des frais. Vous n'avez aucune visibilité sur ce qui est arrivé à vos données depuis que vous les avez saisies.
C'est là que l'utilisation d'un email temporaire pour les inscriptions non essentielles change fondamentalement l'équation. Si la base de données derrière ce site de téléchargement de modèle est violée deux ans plus tard, votre vraie adresse e-mail n'y figure pas. L'adresse temporaire utilisée n'existe plus. Il n'y a rien à voler, rien à vendre, et aucune chaîne de conséquences à suivre. La surface d'attaque de votre véritable e-mail reste réduite — seulement les services qui en ont réellement besoin pour des communications importantes et continues.
Que faire si votre e-mail a été violé
Si vous découvrez que votre e-mail est apparu dans une violation, voici une séquence d'actions pratiques, à peu près par ordre de priorité :
- Vérifiez exactement dans quelle violation il est apparu sur Have I Been Pwned, et notez quelles données étaient incluses (seulement e-mail, ou aussi mot de passe, nom, etc.)
- Changez immédiatement votre mot de passe sur ce service — idéalement pour quelque chose de long et unique généré par un gestionnaire de mots de passe
- Vérifiez la réutilisation du mot de passe — si vous avez utilisé le même mot de passe ailleurs, changez-le partout, en commençant par les comptes les plus sensibles (e-mail, banque, services financiers)
- Activez l'authentification à deux facteurs sur tout compte concerné qui la prend en charge — même si les attaquants ont votre mot de passe, ils ne peuvent pas se connecter sans le second facteur
- Configurez une surveillance des violations sur Have I Been Pwned pour être averti immédiatement de toute future exposition
- Surveillez attentivement votre boîte de réception pour les tentatives de phishing faisant référence au service violé — les attaquants savent que vous y étiez client et peuvent utiliser cette information
- Signalez le spam à votre fournisseur d'e-mail — la plupart des services d'e-mail vous permettent de marquer des messages comme spam, ce qui entraîne leurs filtres à en détecter davantage
- Envisagez si vous avez encore besoin du compte — si vous n'utilisez plus le service violé, supprimer votre compte retire vos données de leur base de données
Adopter de meilleures habitudes pour l'avenir
L'enseignement clé de tout cela est que réduire la surface d'attaque de votre e-mail est la mesure préventive la plus efficace à votre disposition. Pas seulement changer les mots de passe après les violations, pas seulement utiliser l'authentification à deux facteurs (même si les deux comptent) — mais limiter dès le départ les endroits où votre véritable adresse e-mail existe. Une violation ne peut pas exposer des données qui n'ont jamais été données au service violé.
La façon pratique de mettre cela en œuvre est un usage à niveaux de l'e-mail. Votre véritable adresse e-mail va aux services qui en ont réellement besoin : votre banque, votre employeur, vos contacts les plus proches, les services que vous utilisez régulièrement et en qui vous avez confiance. Pour tout le reste — le téléchargement, le webinaire, le message de forum, l'essai SaaS — une adresse jetable garde votre véritable e-mail hors de l'équation. Les services d'e-mail axés sur la confidentialité comme Proton Mail valent la peine d'être envisagés pour votre e-mail principal, et les services d'alias comme SimpleLogin peuvent vous aider à gérer des adresses de transfert pour des relations plus durables.
Pour les interactions vraiment ponctuelles, une adresse e-mail temporaire est la solution la plus propre — rien à configurer, aucun compte requis, aucune identité réelle impliquée. Lorsque ce service finit par être violé (et statistiquement, beaucoup de services le sont), votre véritable adresse ne figure tout simplement pas dans leur base de données. Vous vous êtes retiré de la chaîne avant qu'elle ne puisse commencer.
Un mot sur vos droits RGPD
Si vous êtes dans l'UE (ou si vous avez affaire à des entreprises qui servent des clients de l'UE), le RGPD vous accorde des droits réels et opposables. Vous pouvez contacter toute entreprise détenant vos données et demander leur suppression en vertu de l'article 17 (le « droit à l'effacement »). De nombreuses entreprises disposent désormais de portails automatisés de demandes de confidentialité — recherchez le nom de l'entreprise suivi de « demande de confidentialité » ou « suppression de données ». Cela vaut la peine d'être fait pour les services que vous n'utilisez plus, car cela retire vos données de leur base de données active et réduit votre exposition en cas de violation future.
Les limites sont réelles : une demande de suppression n'affecte que ce que l'entreprise détient actuellement. Les données déjà vendues à des tiers, déjà copiées dans des bases de données de violations, ou déjà entre les mains d'opérateurs de spam, ne peuvent pas être atteintes par une demande RGPD. C'est une autre raison pour laquelle empêcher la diffusion inutile de votre e-mail est bien plus efficace que d'essayer de nettoyer après coup.
Réflexions finales
Le but de comprendre tout cela n'est pas de vous rendre paranoïaque à propos de l'utilisation d'internet. C'est de vous aider à voir que les décisions que vous prenez concernant l'endroit où vous partagez votre adresse e-mail ont des conséquences réelles et durables — et que de petits changements d'habitudes peuvent réduire considérablement votre exposition au fil du temps. Votre véritable adresse e-mail a de la valeur. Traitez-la en conséquence. Ne la donnez qu'aux services qui la méritent réellement, et laissez les adresses jetables absorber tout le reste.
Si ce n'est pas déjà fait, vérifiez votre e-mail dès aujourd'hui sur Have I Been Pwned. Configurez des alertes de violation. Et la prochaine fois que quelque chose vous demande votre adresse e-mail et que vous n'êtes pas sûr que cela en vaille la peine, demandez-vous si un temp mail ferait tout aussi bien l'affaire — sans mettre votre vraie adresse en danger.