Votre adresse e-mail a fuité : que faire, dans quel ordre

Mis à jour le 23 septembre 2026

Presque tout le monde a déjà vu son adresse apparaître dans une fuite de données. Ce n'est pas une catastrophe si vous réagissez dans le bon ordre : voici la marche à suivre.

Ce qu'une fuite veut dire

Une fuite de données se produit quand la base d'un site est piratée ou mal protégée. Ce qui a fuité dépend du site :

Donnée exposée	Risque principal
Adresse e-mail seule	Spam et phishing ciblé
Adresse et nom, téléphone, adresse postale	Arnaques crédibles qui citent vos vraies informations
Adresse et mot de passe	Connexion à vos comptes, surtout si le mot de passe est réutilisé
Données bancaires	Paiements frauduleux

L'adresse e-mail seule n'est pas un secret : elle circule forcément. Le vrai danger vient du mot de passe et des arnaques qui suivent.

Étape 1 : vérifier ce qui a fuité

Le service Have I Been Pwned (haveibeenpwned.com), tenu par un chercheur en sécurité, recense les fuites publiques : saisissez votre adresse pour voir dans quelles bases elle apparaît, et quelles données étaient concernées. Méfiez-vous en revanche des e-mails qui vous « préviennent » d'une fuite et vous demandent de cliquer : c'est un scénario classique de phishing.

Étape 2 : changer les mots de passe, dans le bon ordre

La messagerie d'abord : qui contrôle votre boîte mail peut réinitialiser tous vos autres comptes.
Le compte du site qui a fuité.
Tous les comptes qui utilisaient le même mot de passe : c'est là que se fait l'essentiel des piratages, par des robots qui essaient les couples adresse-mot de passe partout.
Banque, boutiques avec carte enregistrée, réseaux sociaux.

Un mot de passe différent par site, généré et mémorisé par un gestionnaire de mots de passe, rend la prochaine fuite presque sans conséquence.

Étape 3 : activer la double authentification

Sur la messagerie et les comptes importants, activez la validation en deux étapes : application d'authentification, clé de sécurité ou clé d'accès (passkey). Même avec votre mot de passe, un pirate ne pourra pas se connecter. Le SMS protège moins, mais reste bien mieux que rien.

Étape 4 : s'attendre au phishing ciblé

Après une fuite, les escrocs envoient des messages qui citent le site piraté, votre nom, parfois une commande réelle. Pendant plusieurs mois :

ne cliquez sur aucun lien reçu au sujet de la fuite, allez directement sur le site ;
aucun service sérieux ne vous demande votre mot de passe ou votre code par e-mail, SMS ou téléphone ;
vérifiez l'expéditeur et l'adresse réelle des liens, comme expliqué dans notre guide sur le phishing.

Étape 5 : surveiller et limiter l'exposition future

Relevez vos comptes bancaires si des données de paiement ont fuité, et faites opposition au moindre doute.
Contrôlez les règles de transfert de votre messagerie : un pirate en crée parfois une pour recevoir une copie de vos e-mails.
Réduisez votre surface d'exposition : pour les inscriptions sans lendemain, utilisez une adresse jetable ; pour les comptes durables, un alias par site. Quand une fuite survient, seule l'adresse concernée est touchée.

Obtenir une adresse jetable

Questions fréquentes

Faut-il changer d'adresse e-mail après une fuite ?

Rarement. Changer les mots de passe et activer la double authentification suffit en général. Si l'adresse reçoit ensuite énormément de spam, des filtres ou un alias pour les nouveaux comptes règlent le problème sans tout déménager.

Un pirate peut-il utiliser mon adresse pour envoyer des e-mails ?

Il peut falsifier l'expéditeur d'un message sans avoir accès à votre boîte, mais les protections SPF, DKIM et DMARC des fournisseurs bloquent une grande partie de ces faux. S'il a votre mot de passe, en revanche, il peut réellement écrire depuis votre compte : changez-le sans attendre.

Comment savoir si mon compte a été utilisé par quelqu'un d'autre ?

La plupart des messageries affichent l'historique des connexions et des appareils. Déconnectez toutes les sessions inconnues, puis changez le mot de passe.