« Vos données ont fuité » : ce réglage de boîte mail peut envoyer une copie de vos messages à un pirate

Le message tient en quelques lignes : une enseigne, une administration ou un service en ligne vous prévient que vos données personnelles ont fuité. Ces dernières semaines, des clients de plusieurs enseignes l'ont reçu au sujet des coordonnées fournies pour suivre leurs colis. Le 1er octobre, la CNIL et Cybermalveillance.gouv.fr ont publié la marche à suivre officielle, en 3 étapes. Parmi ses consignes, 2 vérifications se font dans les paramètres de vos comptes. La première : contrôler qu'aucune règle de transfert ou de filtrage n'a été créée à votre insu dans votre messagerie. La seconde : vérifier que le numéro de téléphone de récupération de vos comptes est bien le vôtre. Une règle de transfert posée par un escroc lui envoie une copie de vos e-mails.

Fuite de données : la marche à suivre officielle en 3 étapes

Le dépliant publié le 1er octobre 2026 par la CNIL et Cybermalveillance.gouv.fr s'intitule « Violation de données personnelles, que faire en 3 étapes clés ? ». Mis en ligne pour le lancement du Cybermois, le Mois européen de la cybersécurité, il s'adresse aux particuliers qui viennent d'apprendre que leurs données ont fuité. Il range les gestes en 3 périodes :

• la première semaine, agir tout de suite, sans paniquer : mots de passe, double authentification, méfiance face aux messages et aux appels ;
• dans les semaines suivantes, rester vigilant : comptes bancaires, signes d'usurpation d'identité, réglages de vos comptes en ligne ;
• au quotidien, réduire les risques dans le temps : partager moins de données, supprimer les comptes inutilisés.

Le document s'ouvre sur une mise au point : recevoir ce message « ne signifie pas que mes données ont déjà été utilisées de manière frauduleuse ». En revanche, le risque d'hameçonnage, d'usurpation d'identité, d'arnaque ou de piratage de vos comptes peut augmenter. La situation devient courante : 45 % des 18-75 ans disent avoir été informés d'une fuite de leurs données en un an.

Boîte mail : la règle de transfert ou de filtrage créée à votre insu

Le dépliant officiel aborde ensuite sa 2e étape, celle des semaines suivantes. Pour votre messagerie, il demande de vérifier « l'absence de redirection automatique ou règle de filtrage créée à mon insu ». Une redirection envoie une copie de chaque e-mail reçu vers une autre adresse. Si cette adresse appartient à un escroc, il peut lire vos codes de connexion, vos factures et les messages de votre banque.

Une règle de filtrage agit autrement : elle peut archiver ou supprimer certains messages dès leur arrivée, comme les alertes de connexion ou de paiement, avant que vous les voyiez. Le transfert, lui, peut passer inaperçu : Gmail comme Outlook.com proposent de conserver l'original, si bien que rien ne manque dans votre boîte de réception, alors qu'une copie part ailleurs.

Menus indiqués par les pages d'aide de Google et de Microsoft, consultées le 1er octobre 2026. Gmail : version ordinateur.

La messagerie fournie avec une box internet range les mêmes réglages dans ses paramètres, sous des noms qui varient : transfert, redirection, faire suivre, règles ou filtres. Si une adresse inconnue apparaît, faites une capture d'écran avant de supprimer la règle. Changez ensuite votre mot de passe et activez la double authentification si possible : c'est ce que demande le dépliant face à une activité suspecte.

Numéro de récupération : la porte d'entrée vers vos autres comptes

Le numéro de téléphone et l'adresse e-mail de récupération servent à retrouver l'accès à un compte quand le mot de passe est perdu. Le service y envoie alors un code pour le réinitialiser. Si un escroc y a inscrit ses propres coordonnées, il peut prendre le contrôle de votre messagerie, puis des comptes rattachés à cette adresse.

Le dépliant demande donc de vérifier « mes numéros de téléphone et adresse électronique de récupération ». Sur un compte Google, ils se trouvent dans la rubrique « Sécurité et connexion », sous « Comment vous connecter à Google ». Votre numéro de mobile reçoit aussi les codes de nombreux services, banque comprise : c'est ce qui rend le détournement de carte SIM si dangereux.

Même contrôle pour les appareils connectés et les sessions ouvertes : le document demande de supprimer « tout accès non reconnu ». Chez Google, la liste figure dans le panneau « Vos appareils » de la même rubrique. Les messageries instantanées ont la leur, comme le menu des appareils connectés de WhatsApp.

La première semaine : mots de passe, double authentification et méfiance

Pour la première semaine, le dépliant demande d'agir « tout de suite, sans paniquer ». Le premier geste consiste à lire attentivement le message reçu pour savoir quelles données ont fuité, puis à le conserver, car il pourra servir plus tard. Viennent ensuite 4 gestes :

• changer sans tarder le mot de passe s'il a été compromis, puis celui des autres comptes qui l'utilisaient, en commençant par votre messagerie principale ;
• activer la double authentification quand elle existe : un code reçu par SMS ou par courriel, ou la reconnaissance de l'empreinte ou du visage ;
• se méfier des courriels, SMS et appels inhabituels, alarmants ou trop attrayants, et ne communiquer aucune information par téléphone ;
• ne pas cliquer sur les liens des courriels ou SMS suspects et se connecter directement depuis le site ou l'application officiels.

Une fuite rend les messages frauduleux plus crédibles : l'escroc peut connaître votre nom, votre adresse e-mail ou votre numéro, et parfois l'enseigne où vous êtes client.

Les semaines suivantes et au quotidien : banque, courrier et comptes oubliés

Dans les semaines qui suivent, en plus des réglages de vos comptes en ligne détaillés plus haut, la vigilance porte sur vos comptes bancaires et sur votre identité. Le dépliant conseille d'activer les notifications de paiement si possible et de ne signer aucun mandat de prélèvement dont l'origine vous fait douter. Si votre banque le permet, il recommande aussi de dresser une « liste blanche » des créanciers autorisés à prélever votre compte.

Côté identité, le document cite notamment 3 signaux d'alerte. Le premier est un courrier inattendu, le deuxième une demande de crédit inconnue ou un contrat ou abonnement souscrit à votre insu. Le troisième est une activité inhabituelle sur vos comptes en ligne, Assurance maladie ou impôts par exemple. En cas d'anomalie, contactez rapidement l'organisme concerné pour contester les opérations ou démarches frauduleuses.

La 3e étape, « au quotidien », vise à réduire les risques dans le temps :

• ne donner que les informations nécessaires dans vos démarches ;
• ne transmettre pièce d'identité, fiche de paie, avis d'imposition ou RIB qu'après avoir vérifié le destinataire ;
• ne pas enregistrer votre carte bancaire lors d'achats en ligne ;
• utiliser plusieurs adresses e-mail en fonction de vos besoins et séparer vos usages personnels et professionnels ;
• supprimer les comptes que vous n'utilisez plus.

Si vous ne pouvez déjà plus vous connecter à votre messagerie, il ne s'agit plus seulement d'une fuite mais d'un piratage. Celui-ci a sa propre marche à suivre pour reprendre la main.