Après une fuite de données, la fausse aide qui connaît déjà votre IBAN

Recevoir un message après une fuite de données provoque déjà une inquiétude légitime. Lorsque ce message cite votre nom, votre adresse postale ou votre IBAN et propose de faire supprimer ces informations, il peut sembler particulièrement rassurant. C’est justement le nouveau piège : les données réellement volées servent à donner de la crédibilité à une fausse aide.

Des courriels circulent en se présentant comme une association ou une ligue de protection des données personnelles. Ils affirment avoir repéré vos informations sur Internet, promettent un accompagnement et peuvent même mentionner le numéro de la CNIL. Cette accumulation de détails officiels donne l’impression qu’un organisme reconnu intervient en votre faveur. Pourtant, un numéro exact, un logo ou le nom d’une autorité ne prouvent aucune affiliation.

Le mécanisme repose sur une forme de double victimisation. Une première organisation a subi une fuite. Les fraudeurs exploitent ensuite le fichier dérobé pour contacter les personnes concernées avec un message très personnalisé. Contrairement à un hameçonnage générique, ils n’ont pas besoin de deviner votre identité : ils l’ont déjà. Leur objectif est d’obtenir ce qui manque encore, par exemple une copie de pièce d’identité, un justificatif de domicile, des identifiants, des coordonnées bancaires complémentaires ou un paiement pour une prétendue intervention.

La présence d’informations exactes ne doit donc jamais être considérée comme une preuve d’identité. Si un interlocuteur connaît votre ancienne adresse, votre banque ou votre IBAN, cela confirme seulement qu’il a pu consulter des données compromises. Il faut juger la légitimité du message sur son origine et sur la procédure proposée, pas sur ce qu’il sait déjà de vous.

Une véritable notification de violation de données vient normalement de l’organisme qui détenait les informations. Elle explique la nature de l’incident, les données concernées, les risques possibles et les mesures recommandées. Une structure inconnue qui vous contacte spontanément pour « nettoyer Internet », vous demande de répondre avec des documents ou vous pousse vers un lien extérieur doit au contraire éveiller la méfiance.

Ne répondez pas, même pour demander des explications. Ne cliquez sur aucun bouton et n’envoyez ni pièce d’identité, ni RIB, ni capture de votre espace bancaire. Ne payez pas de frais de dossier. Conservez plutôt le message entier, son adresse d’expédition, la date et des captures d’écran. Ces éléments pourront être utiles si une tentative d’usurpation ou une opération frauduleuse apparaît plus tard.

Pour vérifier la fuite, revenez directement vers l’entreprise ou l’administration concernée en utilisant ses coordonnées habituelles. Demandez quelles données ont été exposées, à quelle période et quelles protections ont été mises en place. N’utilisez pas le numéro ou le lien contenu dans le courriel suspect : un faux service d’assistance peut parfaitement renvoyer vers un faux standard.

Sécurisez ensuite les comptes les plus sensibles. Changez immédiatement tout mot de passe exposé ou réutilisé ailleurs, en commençant par votre messagerie principale, votre banque, vos services administratifs et les boutiques où une carte est enregistrée. Chaque compte doit disposer d’un mot de passe différent. Activez la double authentification lorsqu’elle est proposée et vérifiez les appareils ou sessions encore connectés.

Si votre IBAN fait partie des données divulguées, surveillez régulièrement les prélèvements. L’IBAN seul ne donne pas accès à votre compte comme un mot de passe, mais il peut être utilisé dans d’autres scénarios : faux mandat, fausse facture ou appel d’un prétendu conseiller qui connaît déjà votre banque. Contestez rapidement toute opération inconnue auprès de votre établissement, en passant par son application ou son numéro officiel.

Soyez également attentif aux messages qui suivront. Une fuite peut alimenter plusieurs arnaques successives : livraison à reprogrammer, remboursement à valider, compte à sécuriser ou appel bancaire urgent. Prévenez vos proches si leurs coordonnées figurent dans le même incident, notamment les personnes moins à l’aise avec les démarches numériques.

Enfin, distinguez les recours. Un défaut de protection ou d’information peut être signalé à la CNIL. Une usurpation d’identité, une escroquerie ou un paiement frauduleux relève aussi de la police ou de la gendarmerie. Dans tous les cas, gardez les preuves et notez la chronologie.

Après une fuite, la meilleure aide ne commence jamais par une demande de nouvelles données. Elle commence par une vérification indépendante, la sécurisation de vos comptes et le refus de laisser l’urgence transformer une première atteinte en seconde arnaque.