Votre compte a été piraté et ils demandent de l'argent

Un e-mail indique que quelqu'un a été à l'intérieur de votre appareil pendant des mois, vous a enregistré par le biais de la webcam, a copié vos contacts et vos discussions, et enverra tout cela à vos amis à moins que vous ne payiez en cryptomonnaie dans les 48 heures. Ensuite, vous voyez votre mot de passe imprimé dans le message, et il est réel, ou il l'était autrefois.

[[answer]]Presque tous ces messages sont des bluffes envoyés en masse, basés sur d'anciennes bases de données de mots de passe divulguées. L'expéditeur n'a pas accès à votre appareil et n'a aucune enregistrement. Vérifiez si le mot de passe apparaît dans une violation connue, changez-le partout, activez l'authentification à deux facteurs ou une clé de sécurité, conservez le message comme preuve, et ne payez pas.[[/answer]]

Cette reconnaissance est tout le truc : un message envoyé à des centaines de milliers d'adresses semble soudainement personnel. Rien dans ce message ne nécessite une réponse dans les dix prochaines minutes.

Pourquoi la plupart de ces messages sont des bluffes

Les e-mails d'extorsion de ce type sont une affaire de volume. Quelqu'un achète un lot d'adresses et de mots de passe provenant d'une ancienne violation et envoie un modèle à chaque adresse, avec le mot de passe inséré automatiquement. Il n'y a pas de surveillance et pas de dossier de captures d'écran — seulement une feuille de calcul et un serveur de messagerie.

Les signes sont cohérents. Le message ne mentionne jamais rien de spécifique : aucun site que vous utilisez réellement, aucune conversation réelle, aucun nom. Il décrit ce qu'il prétend avoir au lieu de le montrer, exige de la cryptomonnaie car ce paiement ne peut pas être annulé, et fixe un délai court, car une personne effrayée qui réfléchit pendant une journée cesse d'être effrayée. S'il semble provenir de votre propre adresse, cela ne prouve rien non plus : un champ d'expéditeur est aussi falsifiable que l'adresse de retour sur une enveloppe. Savoir [[post:how-personal-data-is-collected-online|d'où viennent ces bases de données d'e-mails et de mots de passe]] enlève une grande partie de la menace.

Comment vérifier si le mot de passe a réellement fuité

Vous n'avez pas à deviner. Des bases de données de notification de violation gratuites indexent les identifiants provenant de dumps publics et vous permettent de rechercher par adresse e-mail ; Have I Been Pwned est le plus connu et fonctionne comme un projet d'intérêt public. Si votre adresse apparaît à côté d'un site que vous reconnaissez, et que l'année correspond à celle où vous avez utilisé ce mot de passe, le mystère est résolu.

La vérification est forte dans une seule direction, et cette limite est importante. Un résultat positif vous indique que le mot de passe est en circulation depuis des années, ce qui indique un bluff. Ne rien trouver vous indique seulement qu'aucun dump indexé ne contient votre adresse — de nombreuses données volées ne sont jamais publiées, jamais analysées, ou restent dans le commerce privé. La plus grande source unique de connexions volées aujourd'hui n'est pas un site Web piraté mais un malware infostealer : un logiciel qui vide le magasin de mots de passe enregistrés d'un ordinateur infecté et l'expédie en vrac. Have I Been Pwned indexe une partie de ce matériel séparément sous forme de journaux de voleurs, et des lots uniques ont ajouté des dizaines de millions d'adresses uniques jusqu'en 2025 et 2026. Donc, lisez un résultat vide comme «non prouvé», jamais comme «mon mot de passe n'a jamais fuité» et jamais comme une preuve que la menace doit être réelle.

Google et Apple ont tous deux intégré un vérificateur dans leurs propres gestionnaires de mots de passe, ce qui est généralement la voie la plus rapide. Le Vérificateur de mots de passe de Google compare les mots de passe enregistrés avec des fuites connues. Sur iPhone et iPad, l'équivalent se trouve dans l'application Mots de passe, dans sa section Sécurité ; la détection elle-même est activée dans Réglages → Applications → Mots de passe → Détecter les mots de passe compromis. Les deux montrent quels identifiants réutilisent le même mot de passe, généralement la question la plus urgente. Une règle : recherchez par adresse e-mail, et ne tapez jamais un mot de passe actuel sur un site que vous ne pouvez pas vérifier. Certains outils légitimes sont conçus de sorte que le mot de passe ne quitte jamais votre appareil — la recherche de mots de passe de Have I Been Pwned envoie uniquement un court préfixe d'un hachage et compare le reste localement — mais c'est une propriété à confirmer avant de taper, pas à supposer.

Que faire dans la première heure

[[steps]] Ne répondez pas et ne payez pas :: Toute réponse indique à l'expéditeur que l'adresse est active et appartient à quelqu'un qui réagit, ce qui vous place sur une liste plus courte et plus agressive. Vérifiez le mot de passe par rapport aux dossiers de violation :: Déterminez à quel compte il appartenait, puis recherchez votre adresse e-mail dans un index de violation. Une correspondance confirme un bluff ; ne rien trouver confirme beaucoup moins, car tous les dumps ne sont pas indexés. Changez ce mot de passe partout où il a été utilisé :: Pas seulement sur le site d'origine. La réutilisation transforme une ancienne violation en dix comptes actifs. Activez l'authentification à deux facteurs, ou une clé de sécurité là où elle est proposée :: Un code d'application, une clé matérielle ou une clé de sécurité fait la différence entre un mot de passe volé étant un inconvénient et une intrusion, et une clé de sécurité ne laisse aucun secret partagé pour la prochaine violation à divulguer. Examinez les sessions actives et les applications connectées :: Chaque service majeur liste les appareils connectés et les applications ayant accès. Déconnectez tout ce qui est inconnu. Conservez la preuve et parlez-en à quelqu'un :: Gardez le message avec ses en-têtes, et dites-le à voix haute à une personne en qui vous avez confiance — la honte et l'isolement sont ce qui rend cela efficace. [[/steps]]

Quand la menace est réelle

Une minorité de cas implique un accès réel, et alors un changement de mot de passe ne suffit pas. Les signaux ci-dessous doivent être lus ensemble, pas un à la fois : aucune ligne unique ne prouve quoi que ce soit à elle seule.

[[compare]] Signal | Bluff envoyé en masse | Compromis réel | Comment le vérifier Mot de passe cité | Ancien, ou utilisé uniquement sur un site mineur | Actuel, et jamais réutilisé | Recherchez votre adresse dans un index de violation : un résultat positif indique un bluff, aucun résultat ne prouve rien dans un sens ou dans l'autre Preuve offerte | Aucune, ou une description vague | Un fichier ou un message que vous reconnaissez | Demandez si cette preuve pourrait provenir d'un profil public Activité du compte | L'historique de connexion semble normal | Appareils inconnus, nouveaux mots de passe d'application | Ouvrez la page de sécurité ou des appareils du compte Où il est arrivé | Ancienne adresse, modèle générique | À l'intérieur d'une discussion que vous utilisez, ou depuis votre propre compte | Vérifiez le dossier Envoyés et les en-têtes du message [[/compare]]

L'activité du compte est la ligne qui porte le plus de poids, car c'est la seule que l'expéditeur ne peut pas mettre en scène. Si un contact a reçu des messages que vous n'avez jamais écrits, votre e-mail de récupération a changé sans vous, ou vous avez été déconnecté d'un service que vous n'avez jamais quitté, considérez cela comme une intrusion active et suivez les étapes pour lorsque [[post:someone-signed-into-my-account|quelqu'un a réellement signé dans votre compte]]. Un véritable compromis de l'appareil est encore plus rare et laisse des signes — une décharge rapide de la batterie, une utilisation de données inexpliquée, des applications administratives inconnues — qui est [[post:what-is-spyware-programs|comment les logiciels espions se comportent réellement sur un téléphone]].

Pourquoi payer met rarement fin à la menace

Les personnes qui paient sont enregistrées comme des personnes qui paient. Le schéma rapporté encore et encore est que le paiement est suivi dans les jours suivants par une seconde demande avec un montant plus élevé, car la première a prouvé que la cible pouvait être pressée. Rien n'oblige quiconque à supprimer quoi que ce soit, et dans un bluff, il n'y a rien à supprimer. Même dans le cas rare où du matériel existe réellement, le paiement achète une promesse de quelqu'un d'anonyme par définition, qui n'a aucun moyen de prouver qu'une copie a été détruite.

Où le signaler

Signaler ne conduit que rarement à l'enquête d'un message, mais cela alimente les données qui ferment des portefeuilles et des campagnes. Aux États-Unis, la FTC prend des rapports sur reportfraud.ftc.gov et le FBI gère le Centre de plainte pour crimes informatiques, qui prend des plaintes concernant l'extorsion en ligne. Au Royaume-Uni, ce rôle appartient désormais au service Signaler une fraude géré par la police de la ville de Londres — en ligne sur reportfraud.police.uk ou par téléphone au 0300 123 2040 — qui a remplacé Action Fraud au cours de l'hiver 2025–2026 et couvre l'Angleterre, le Pays de Galles et l'Irlande du Nord ; en Écosse, signalez à Police Scotland au 101. Marquez-le comme phishing dans votre client de messagerie également, et s'il est passé par un messager, utilisez l'outil de rapport dans l'application — Apple documente comment bloquer, filtrer et signaler des messages sur iPhone. Si la personne ciblée a moins de 18 ans, allez directement aux forces de l'ordre ou à un service de retrait de protection de l'enfance.

Rendre le prochain inoffensif

La raison pour laquelle un mot de passe a fuité il y a des années peut encore vous effrayer aujourd'hui est la réutilisation. Une fois que chaque compte a son propre mot de passe et un second facteur, une ancienne violation devient une trivialité plutôt qu'un levier, et les gestionnaires de mots de passe intégrés dans iOS, Android et les navigateurs suffisent pour la plupart des gens. Lorsqu'un service propose une clé de sécurité, prenez-la : l'identifiant reste sur l'appareil ou dans le gestionnaire de mots de passe et rien de réutilisable n'est stocké sur le serveur, donc une future violation de ce site n'a rien à vendre. Les comptes Apple, Google et Microsoft prennent tous en charge les clés de sécurité, et les gestionnaires intégrés les synchronisent entre les appareils.

Gardez les contacts de récupération à jour et couvrez une webcam d'ordinateur portable si cela vous rend plus calme. Si les vérifications ci-dessus ont indiqué un bluff — un ancien mot de passe, aucune preuve spécifique, un historique de connexion propre — alors personne ne vous a regardé individuellement au départ, et le prochain message de ce type arrivera sous forme de texte sur un écran, rien de plus. S'ils ont indiqué le contraire, la section sur le compromis réel est celle à parcourir en premier.

[[faq]] L'e-mail a montré mon vrai mot de passe — cela signifie-t-il qu'ils m'ont piraté ? :: Pas à lui seul. Les mots de passe fuient en masse à partir de sites Web compromis et de logiciels malveillants qui vident les magasins de mots de passe enregistrés, puis sont revendus en listes, donc en citer un prouve seulement qu'il était en circulation. J'ai recherché mon e-mail dans un index de violation et je n'ai rien trouvé — la menace est-elle réelle alors ? :: Non. Les index ne couvrent que les dumps qui ont été publiés et traités, donc un résultat vide signifie «non confirmé», pas «n'a jamais fuité». Évaluez la menace par l'historique de connexion et les appareils, pas par l'absence d'un enregistrement. Le message est venu de ma propre adresse, donc sont-ils à l'intérieur de mon compte ? :: Les adresses d'expéditeur peuvent être falsifiées, et c'est standard dans ces campagnes. Vérifiez votre dossier Envoyés et l'historique de connexion : si le message n'y est pas et qu'aucun appareil inconnu n'est listé, rien n'a été envoyé depuis votre boîte aux lettres. Devrais-je payer si j'ai vraiment quelque chose d'embarrassant ? :: Non. Le paiement vous marque comme quelqu'un qui paie, et une seconde demande suit couramment. Si du matériel réel existe, signalez-le plutôt que de négocier — un expéditeur anonyme ne peut pas montrer qu'une copie a été supprimée. Que faire si j'ai déjà répondu ? :: Arrêtez de répondre, changez les mots de passe des comptes nommés ou sous-entendus, activez l'authentification à deux facteurs ou les clés de sécurité, et attendez-vous à d'autres tentatives. Une réponse ne donne accès à rien.