Comment protéger ses comptes contre le vol d’identifiants

Comment protéger ses comptes en ligne contre le piratage ?

Aujourd'hui, une grande partie de notre vie passe par Internet. Messagerie électronique, réseaux sociaux, achats en ligne, services administratifs, stockage de fichiers, services de streaming et comptes bancaires contiennent de nombreuses informations personnelles.

Le piratage d'un compte ne signifie pas forcément qu'un virus a infecté votre ordinateur. Un cybercriminel peut obtenir un mot de passe par hameçonnage, fuite de données, réutilisation d'un mot de passe compromis, logiciel voleur d'identifiants ou autre technique de fraude.

Les comptes de messagerie sont particulièrement importants. Une adresse e-mail peut servir à réinitialiser les mots de passe d'autres services. Si elle est compromise, le pirate peut donc essayer de prendre le contrôle d'autres comptes.

La bonne protection repose sur plusieurs couches : mots de passe uniques, authentification multifacteur, mises à jour, vigilance face aux messages frauduleux, protection du PC et du smartphone, surveillance des connexions et sauvegarde des informations importantes.

Pourquoi faut-il protéger ses comptes en ligne ?

Un compte en ligne peut contenir beaucoup plus d'informations qu'un simple identifiant et un mot de passe.

Une messagerie peut contenir des documents personnels, des factures, des conversations et surtout des liens permettant de réinitialiser d'autres comptes.

Un compte de réseau social peut être utilisé pour contacter vos proches. Un compte de commerce en ligne peut contenir des informations personnelles et des adresses. Un compte administratif peut donner accès à des données particulièrement sensibles.

Les cybercriminels peuvent chercher à utiliser ces comptes pour voler des données, envoyer des messages frauduleux, récupérer d'autres comptes, usurper une identité ou réaliser des opérations frauduleuses.

↑ Retour au sommaire

Comment savoir si un compte a été piraté ?

Un compte compromis ne présente pas toujours un signe évident. Certains pirates cherchent au contraire à rester discrets.

Plusieurs situations doivent cependant vous inciter à vérifier la sécurité du compte :

• une alerte indique une connexion depuis un appareil ou une localisation inconnue ;
• un mot de passe ne fonctionne plus alors que vous ne l'avez pas modifié ;
• des messages ont été envoyés depuis votre compte sans votre intervention ;
• des publications apparaissent sans que vous les ayez créées ;
• des achats ou modifications inhabituels apparaissent dans votre compte ;
• une nouvelle adresse e-mail ou un nouveau numéro de récupération a été ajouté ;
• des appareils inconnus apparaissent dans la liste des sessions ;
• vos contacts reçoivent des messages inhabituels provenant de votre compte ;
• des règles de transfert ou de filtrage inconnues apparaissent dans votre messagerie ;
• vous recevez des demandes de réinitialisation de mot de passe que vous n'avez pas demandées.

↑ Retour au sommaire

Comment les cybercriminels récupèrent-ils les identifiants ?

Il existe de nombreuses façons de tenter de récupérer un identifiant ou un mot de passe.

• phishing par e-mail ;
• smishing par SMS ;
• faux appels téléphoniques ou faux conseillers ;
• faux sites Internet ;
• mots de passe réutilisés après une fuite de données ;
• logiciels malveillants capables de voler des informations ;
• extensions de navigateur malveillantes ;
• fausses applications ou fausses mises à jour ;
• attaques visant les procédures de récupération de compte ;
• manipulation psychologique de la victime.

Les cybercriminels n'ont donc pas toujours besoin de « casser » techniquement un compte. Il peut être beaucoup plus simple de convaincre une personne de fournir elle-même ses informations.

↑ Retour au sommaire

Le phishing : une menace majeure pour vos comptes

Le phishing, ou hameçonnage, consiste à se faire passer pour un organisme ou un service de confiance afin de pousser la victime à communiquer des informations ou à effectuer une action.

Le message peut sembler provenir d'une banque, d'une administration, d'un service de livraison, d'un réseau social, d'un service de paiement ou d'une entreprise connue.

Le phishing peut arriver par e-mail, SMS, messagerie instantanée, réseaux sociaux ou téléphone. Les campagnes récentes visent notamment à voler des identifiants de messagerie, de comptes bancaires et de nombreux autres services.

Avant de cliquer, vérifiez :

• l'adresse exacte du site ;
• le contexte du message ;
• la demande effectuée ;
• le sentiment d'urgence provoqué par le message ;
• la demande d'un mot de passe, d'un code ou d'une information bancaire.

Un site utilisant HTTPS ou affichant un cadenas n'est pas automatiquement un site officiel. Le chiffrement de la connexion protège la transmission des données, mais ne garantit pas l'honnêteté du site.

↑ Retour au sommaire

Pourquoi utiliser un mot de passe différent pour chaque compte ?

La réutilisation d'un même mot de passe est l'une des mauvaises habitudes les plus dangereuses.

Imaginons qu'un site sur lequel vous possédez un compte soit victime d'une fuite de données. Si vous utilisez le même mot de passe sur votre messagerie, votre réseau social et votre compte de commerce en ligne, les informations volées peuvent être testées sur d'autres services.

Il est donc recommandé d'utiliser un mot de passe différent pour chaque service. Cybermalveillance.gouv.fr rappelle notamment que la réutilisation d'un mot de passe peut permettre aux cybercriminels de tenter d'accéder à plusieurs comptes après la compromission d'un seul service.

Un bon mot de passe doit-il être compliqué ?

Il doit surtout être suffisamment long, difficile à deviner et unique. Pour éviter de devoir mémoriser de nombreux mots de passe, un gestionnaire de mots de passe peut être très utile.

↑ Retour au sommaire

Faut-il utiliser un gestionnaire de mots de passe ?

Un gestionnaire de mots de passe permet de conserver des mots de passe différents sans devoir tous les mémoriser.

Il peut également générer des mots de passe uniques et difficiles à deviner.

Le principe consiste à protéger le gestionnaire lui-même avec un mot de passe principal solide et, lorsque cela est possible, une authentification multifacteur.

Quelques bonnes pratiques

• utilisez un mot de passe principal unique ;
• activez la double authentification lorsque le service la propose ;
• n'utilisez pas le même mot de passe principal ailleurs ;
• gardez votre système et votre navigateur à jour ;
• utilisez uniquement une solution de confiance.

Un gestionnaire de mots de passe n'est pas obligatoire, mais il peut rendre beaucoup plus facile l'utilisation de mots de passe uniques pour tous vos comptes.

↑ Retour au sommaire

Activer la double authentification ou MFA

La double authentification, aussi appelée 2FA ou authentification multifacteur, ajoute une protection supplémentaire lors de la connexion.

Le principe est simple : le mot de passe n'est plus le seul élément permettant d'accéder au compte.

Selon le service, le second facteur peut prendre la forme d'une application d'authentification, d'une clé de sécurité, d'une notification ou d'un code.

La CNIL recommande notamment le recours à l'authentification multifacteur lorsque le niveau de risque le justifie, et en particulier pour certains accès sensibles. Cybermalveillance.gouv.fr recommande également cette protection pour réduire le risque de compromission d'un compte en cas de vol du mot de passe.

La double authentification n'est cependant pas une protection magique. Certaines attaques peuvent chercher à tromper la victime pour qu'elle valide elle-même une demande ou fournisse un code. Il faut donc toujours vérifier ce que vous validez.

↑ Retour au sommaire

Que sont les passkeys et clés d'accès ?

Certains services proposent aujourd'hui des passkeys, ou clés d'accès, comme alternative ou complément aux mots de passe traditionnels.

Le principe consiste à utiliser une méthode d'authentification liée à votre appareil, par exemple une reconnaissance biométrique, un code de déverrouillage ou une clé de sécurité compatible.

L'avantage est notamment de réduire la dépendance aux mots de passe et de limiter certaines attaques de phishing.

Si un service que vous utilisez propose cette fonctionnalité et que vous comprenez son fonctionnement, elle peut constituer une excellente option de sécurisation lorsqu'elle est disponible et adaptée à votre situation.

↑ Retour au sommaire

Surveiller les appareils et sessions connectés

De nombreux services permettent de consulter les appareils qui ont récemment accédé au compte.

Cette fonction peut être très utile pour repérer une connexion inhabituelle.

Vérifiez régulièrement :

• les appareils connectés ;
• les sessions actives ;
• les dernières connexions ;
• les applications ayant accès au compte ;
• les services tiers autorisés ;
• les moyens de récupération.

Si vous identifiez un appareil ou une session que vous ne reconnaissez pas, consultez les informations fournies par le service et déconnectez la session si elle est effectivement inconnue. Cybermalveillance.gouv.fr recommande notamment de supprimer les sessions ou appareils suspects après un piratage.

↑ Retour au sommaire

Protéger particulièrement sa messagerie

Votre messagerie principale mérite une attention particulière.

Elle peut contenir des informations personnelles, des documents et surtout des liens de réinitialisation permettant de récupérer d'autres comptes.

Si votre messagerie est compromise, un pirate peut rechercher les messages contenant des liens de réinitialisation ou des informations sur vos autres services.

Vérifiez les paramètres de votre messagerie

• mot de passe unique ;
• authentification multifacteur ;
• adresse et numéro de récupération ;
• appareils connectés ;
• applications autorisées ;
• règles de transfert automatique ;
• filtres et règles de messagerie.

Des règles de transfert ou de filtrage inconnues peuvent être utilisées pour dissimuler certains messages ou transmettre automatiquement des informations à une autre adresse. Cybermalveillance.gouv.fr recommande de vérifier ces paramètres en cas de suspicion de compromission.

↑ Retour au sommaire

Les logiciels voleurs d'identifiants

Les infostealers, ou logiciels voleurs d'informations, sont des programmes malveillants capables de rechercher certaines données sur un ordinateur ou un appareil.

Selon leur fonctionnement, ils peuvent notamment chercher des informations enregistrées dans les navigateurs, des identifiants, des cookies de session ou d'autres données.

Ces menaces montrent pourquoi la sécurité des comptes ne doit pas être séparée de la sécurité du PC et du smartphone.

Un logiciel malveillant peut par exemple être distribué sous la forme d'un programme piraté, d'une fausse mise à jour, d'une pièce jointe ou d'un téléchargement trompeur.

Si vous pensez qu'un appareil a été infecté par un logiciel voleur d'identifiants, il est prudent de considérer les comptes utilisés sur cet appareil comme potentiellement exposés et de procéder aux vérifications nécessaires.

↑ Retour au sommaire

Protéger les moyens de récupération du compte

La sécurité d'un compte ne dépend pas uniquement de son mot de passe.

Les adresses e-mail secondaires, numéros de téléphone, appareils de confiance et autres méthodes de récupération peuvent permettre de reprendre le contrôle d'un compte.

Vérifiez donc régulièrement que les informations de récupération sont toujours correctes et qu'elles ne peuvent pas être facilement utilisées par une autre personne.

• supprimez les anciennes adresses de récupération inutilisées ;
• vérifiez les numéros de téléphone associés ;
• contrôlez les appareils de confiance ;
• conservez les codes de secours lorsque le service en propose ;
• ne communiquez jamais les codes de récupération à une personne qui vous contacte.

↑ Retour au sommaire

Faut-il se méfier des Wi-Fi publics ?

Un réseau Wi-Fi public n'est pas nécessairement dangereux, mais vous maîtrisez rarement sa configuration et son niveau de sécurité.

Lorsque vous utilisez un réseau que vous ne contrôlez pas, soyez particulièrement attentif aux sites que vous visitez et aux informations que vous saisissez.

• vérifiez le nom exact du réseau ;
• évitez de vous connecter à des services sensibles lorsque ce n'est pas nécessaire ;
• utilisez uniquement des sites et applications correctement sécurisés ;
• gardez votre appareil à jour ;
• désactivez la connexion automatique aux réseaux inconnus.

Le Wi-Fi public n'est toutefois pas la seule menace. Le phishing, les logiciels malveillants et le vol d'identifiants peuvent survenir aussi bien sur un réseau domestique que sur un réseau public.

↑ Retour au sommaire

Que faire si son compte a été piraté ?

Si vous pensez qu'un compte a été compromis, agissez rapidement. L'objectif est de reprendre le contrôle, de supprimer les accès inconnus et d'éviter que le pirate utilise le compte pour attaquer d'autres services.

Les premières mesures

1. Si vous avez encore accès au compte, connectez-vous directement au service officiel.
2. Changez immédiatement le mot de passe.
3. Utilisez un nouveau mot de passe que vous n'utilisez nulle part ailleurs.
4. Déconnectez les appareils et sessions inconnus.
5. Activez la double authentification si elle est disponible.
6. Vérifiez les informations de récupération.
7. Contrôlez les applications et services tiers autorisés.
8. Vérifiez les actions récentes effectuées depuis le compte.
9. Si le mot de passe compromis était utilisé ailleurs, changez-le également sur les autres services.
10. Prévenez vos contacts si le compte a pu être utilisé pour leur envoyer des messages frauduleux.

Ces mesures correspondent notamment aux recommandations de Cybermalveillance.gouv.fr pour reprendre le contrôle d'un compte compromis.

↑ Retour au sommaire

Que faire si sa messagerie est piratée ?

Une messagerie piratée doit être traitée comme une situation prioritaire, car elle peut servir à réinitialiser d'autres comptes.

Vérifiez notamment :

• le mot de passe ;
• les sessions actives ;
• les appareils connectés ;
• les adresses de récupération ;
• les règles de transfert ;
• les filtres inconnus ;
• les messages envoyés ;
• les applications tierces autorisées.

Si vous utilisez la même adresse et le même mot de passe sur d'autres services, modifiez également les mots de passe concernés.

Cybermalveillance.gouv.fr recommande notamment de vérifier les règles de transfert et de filtrage, de changer le mot de passe, d'activer la double authentification et de déconnecter les sessions inconnues en cas de compromission d'une messagerie.

↑ Retour au sommaire

Que faire si un compte bancaire semble compromis ?

Si vous constatez une opération bancaire que vous n'avez pas effectuée ou si vous pensez que vos informations bancaires ont été compromises, contactez rapidement votre banque par ses moyens de contact officiels.

Ne contactez pas un numéro fourni dans un message ou par une personne qui vient de vous appeler si vous avez un doute sur son identité.

En cas de fraude, conservez les preuves : messages, e-mails, captures d'écran, informations de connexion, relevés ou autres éléments utiles. Les démarches peuvent varier selon la nature de l'incident.

↑ Retour au sommaire

Pourquoi prévenir ses contacts après un piratage ?

Un compte compromis peut être utilisé pour envoyer des messages frauduleux aux proches, collègues ou clients de la victime.

Ces messages peuvent sembler beaucoup plus crédibles puisqu'ils proviennent d'un compte connu.

Si votre messagerie ou votre réseau social a été piraté, prévenez donc vos contacts afin qu'ils ne cliquent pas sur les liens ou ne répondent pas aux demandes envoyées depuis votre compte.

↑ Retour au sommaire

12 bonnes pratiques pour protéger ses comptes

Ces mesures ne rendent pas un compte invulnérable, mais elles réduisent fortement les risques et permettent de limiter les conséquences d'une compromission.

↑ Retour au sommaire

FAQ : Comment protéger ses comptes en ligne ?

Articles recommandés sur PC Sans Virus

Pour approfondir vos connaissances sur la sécurité des comptes, le phishing, les mots de passe et la protection de votre ordinateur, découvrez également ces articles.

↑ Revenir au sommaire