Retrouver votre adresse email dans une fuite de données ne prouve pas que votre compte a été piraté. Pour savoir si votre adresse email a fuité, saisissez-la sur Have I Been Pwned : ce service gratuit liste les brèches connues qui la contiennent. Au 28 octobre 2026, sa base recense 1 048 sites compromis et plus de 17,8 milliards d’adresses.
Comment vérifier si votre adresse email a fuité ?
Ouvrez haveibeenpwned.com, tapez votre adresse dans le champ de recherche et validez. Le site répond par la liste des brèches où elle apparaît ou par un message indiquant qu’aucune brèche n’a été trouvée. Les recherches ne sont pas journalisées, selon la FAQ de HIBP.
Tester chaque adresse que vous utilisez
Le résultat ne concerne que l’adresse saisie. Testez donc votre adresse principale, l’adresse professionnelle si elle a servi à des inscriptions privées et les anciennes boîtes (Gmail, Outlook, Orange) que vous gardez encore. CaptainVerify propose aussi un outil de test d’adresse email qui permet de vérifier si un email a été compromis dans une fuite de données.
Tester vos mots de passe
Le service « Pwned Passwords » de HIBP compare un mot de passe à ceux déjà exposés dans des fuites. Les mots de passe y sont hachés en SHA-1 et anonymisés avant l’envoi. Dans ce service, aucun mot de passe n’est stocké à côté de données personnelles, selon HIBP.
Que signifie le résultat : votre compte est-il piraté ?
Non, pas forcément. Figurer dans une brèche indique qu’un service où vous aviez laissé cette adresse a perdu des données. Votre messagerie peut rester intacte. À l’inverse, un résultat vide garantit seulement qu’aucune brèche connue de HIBP ne contient l’adresse. Tout dépend de ce qui a été volé et de la réutilisation de vos mots de passe.
HIBP classe les brèches par niveau de certitude. Une brèche « unverified » (non vérifiée) est une fuite dont il n’a pas été possible d’établir la légitimité sans doute raisonnable. Une « spam list » regroupe des données servant au spam ciblé, sans qu’un système ait forcément été piraté. Une « sensitive breach » reste introuvable dans la recherche publique : seul le propriétaire vérifié de l’adresse la voit, depuis son tableau de bord.
Quelles données ont pu fuiter avec votre adresse ?
Cela dépend du service touché : parfois l’adresse seule, parfois bien davantage. La fuite de l’opérateur Free, survenue en octobre 2024 et ajoutée à HIBP le 27 mai 2025, montre l’étendue possible. D’après la fiche de HIBP, elle concernait 14 millions d’adresses uniques, soit 13,9 millions de comptes dans l’aperçu de la fiche. Y étaient associées des données d’identité (nom, adresse postale, téléphone, sexe, date de naissance) et, pour beaucoup, un IBAN.
Relisez donc la liste de brèches avec une question : chez quel service ai-je donné quelles informations ? Une brèche où vous aviez laissé un IBAN appelle une réaction plus rapide qu’un forum où vous n’aviez fourni qu’un pseudo.
Une adresse email seule présente-t-elle un risque ?
Oui, un risque réel. Une adresse exposée alimente le phishing ciblé et le credential stuffing, qui teste automatiquement sur d’autres sites des couples adresse et mot de passe volés.
Le fraudeur qui sait chez quel service vous êtes client (un opérateur comme Free, une banque, une enseigne) peut rédiger un message crédible, voire usurper l’expéditeur (voir l’email spoofing). Un faux lien de suivi de colis ou de remboursement suffit pour récupérer vos identifiants : c’est le principe du phishing. Quant au credential stuffing, il ne réussit que si le même mot de passe sert ailleurs. Avec un mot de passe unique par service, une fuite reste limitée à ce service.
Que faire si votre adresse figure dans une fuite de données ?
Suivre l’ordre du dépliant de trois pages publié le 1er octobre 2026 par la CNIL et Cybermalveillance.gouv.fr, « Violation de données personnelles, que faire en 3 étapes clés ? » : d’abord la première semaine, ensuite les semaines suivantes, enfin le quotidien.
La première semaine
Gardez la notification de l’organisme concerné, elle servira de preuve. Changez ensuite le mot de passe en commençant par la messagerie, car elle permet de réinitialiser tous les autres comptes. Choisissez un mot de passe unique que retient un gestionnaire de mots de passe puis activez la double authentification ou une clé d’accès (« passkey ») quand le service la propose. Méfiez-vous des mails, SMS et appels qui citent le service touché.
Les semaines suivantes
Ouvrez les réglages de votre messagerie et vérifiez trois points : les sessions actives, les adresses de récupération et les règles de redirection automatique. Un pirate ajoute ces règles pour recevoir vos messages en copie. Changez aussi tout mot de passe que vous avez réutilisé ailleurs. Sur Gmail, selon Google, la redirection se règle dans Paramètres > Voir tous les paramètres > « Transfert et POP/IMAP ». Les appareils connectés se contrôlent dans la section sécurité de votre compte Google. Cybermalveillance.gouv.fr détaille cette vérification pour une boîte piratée, avec la déconnexion des sessions et la réinitialisation des mots de passe réutilisés.
Si la fuite touchait des données bancaires, prévenez votre banque. Surveillez ensuite vos relevés et ne signez aucun mandat SEPA suspect.
Au quotidien
Donnez le moins d’informations possible aux services. Gardez une adresse professionnelle et une adresse personnelle distinctes. Supprimez les comptes inutilisés : une base que vous avez quittée ne peut plus laisser fuiter votre adresse.
Faut-il changer d’adresse email après une fuite ?
Rarement. Votre adresse figure déjà dans les bases qui ont fuité et changer de boîte vous obligerait à mettre à jour chaque compte. Renouveler le mot de passe de la messagerie et activer la double authentification protège davantage.
Le changement se justifie si la boîte devient inutilisable sous les messages frauduleux. Pour la suite, un alias email permet d’isoler les inscriptions. C’est une adresse de redirection propre à chaque service : si l’alias d’un site fuite, vous le supprimez sans toucher à votre adresse principale.
Qui prévenir et comment signaler une fuite ?
C’est à l’organisme touché de vous informer d’une violation. La CNIL ne peut pas vous dire si vous en faites partie. Si vous n’avez reçu aucune notification, écrivez au service concerné pour obtenir des précisions. La CNIL déconseille aussi les sites inconnus qui prétendent détenir les données et dire si vous êtes concerné. Have I Been Pwned, tenu par Troy Hunt depuis 2013, se limite à indiquer les brèches qu’il a indexées.
Le RGPD (règlement européen de 2016) vous donne un droit à l’effacement : vous pouvez demander à un service de supprimer votre compte et les données associées. En cas de préjudice avéré, comme un débit frauduleux ou une usurpation d’identité, la plainte se dépose en ligne sur « THESEE ». Cybermalveillance.gouv.fr cite ce service du ministère de l’Intérieur.
Une adresse divulguée reste divulguée : ce qui se change, c’est la serrure derrière elle. Rouvrez la fiche de chaque brèche listée par Have I Been Pwned et traitez d’abord celles qui touchent votre messagerie ou vos données bancaires.
