Sujet 08 – Piratage de compte · Camille Mercier
Vérifier si une adresse mail a fuité : la portée et les limites
Le service répond à une question précise, et seulement à celle-là.
Chercher une adresse dans une base de fuites est utile, rapide et gratuit. C’est aussi la vérification la plus souvent mal interprétée, dans les deux sens.
Ce qu’un tel service établit : que cette adresse figurait dans un jeu de données dérobé à un tiers, publié, et indexé. Ce qu’il n’établit pas : que votre compte est actuellement accessible à quelqu’un d’autre. Ce sont deux questions différentes, et la seconde se lit dans le journal de connexion, pas ici.
Ce que le résultat dit
Un résultat positif nomme le service compromis et la date. Cette information a une valeur pratique immédiate : elle indique quel mot de passe est à considérer comme public, et donc où il ne doit plus servir. Elle ne dit rien de votre boîte mail elle-même, sauf si c’est précisément le fournisseur de messagerie qui a fuité.
Ce que le résultat ne dit pas
Un résultat négatif est le plus mal lu. Il signifie qu’aucune fuite publiée et indexée ne contient cette adresse, rien de plus. Les compromissions récentes, celles restées privées et celles revendues sans publication n’y figurent pas. Un négatif rassure donc à tort s’il est pris pour un certificat.
Le geste utile ensuite
La fuite, en elle-même, cause rarement le dommage. C’est la réutilisation du mot de passe qui le cause : un identifiant volé chez un marchand devient une clé pour la messagerie lorsque le même mot de passe y sert. Le geste utile est donc toujours le même, et il est indépendant du résultat affiché : un mot de passe distinct par service, et un gestionnaire pour ne pas avoir à les retenir.
Si la question de départ était « mon compte est-il piraté », la réponse se trouve ailleurs : sur la page compte piraté : les signes et que faire, et dans les trois vérifications décrites pour une boîte mail piratée.
Ce qui circule après une fuite
Un jeu de données dérobé ne contient pas seulement des adresses. Selon le service compromis, il porte des mots de passe – parfois en clair, plus souvent sous une forme chiffrée dont la solidité varie énormément d’un service à l’autre – et des éléments annexes : date de naissance, numéro de téléphone, adresse postale, historique de commandes. Ce sont ces éléments annexes, plus que le mot de passe, qui alimentent ensuite les messages ciblés, parce qu’ils rendent l’expéditeur crédible.
Une fuite ancienne reste donc exploitable longtemps après le changement du mot de passe concerné : les données personnelles, elles, ne se réinitialisent pas. C’est une raison de traiter une correspondance qui « en sait trop » comme un signal plutôt que comme une preuve de légitimité, et cela rejoint les marqueurs d’une sollicitation frauduleuse.
Le bourrage d’identifiants, mécanisme central
L’essentiel des comptes pris après une fuite ne le sont pas par une attaque contre le service visé. Ils le sont par essai automatisé du couple adresse et mot de passe, tel quel, sur des dizaines d’autres services. La méthode est peu coûteuse et son taux de réussite dépend d’une seule chose : la réutilisation.
C’est ce qui rend la réponse à un résultat positif si mécanique. Ce n’est pas le service compromis qu’il faut protéger en priorité, où le mal est fait, mais tous ceux où le même mot de passe a été employé. Un gestionnaire de mots de passe règle la question une fois pour toutes, non parce qu’il est plus sûr en lui-même, mais parce qu’il rend la réutilisation inutile.