Mes données ont-elles fuité ? Vérifier son email et son numéro

En bref : pour savoir si votre adresse email figure dans une fuite de données connue, le service gratuit de référence est Have I Been Pwned. Il indique dans quelles fuites votre adresse apparaît et quelles catégories de données chacune de ces fuites contenait. Un résultat vierge ne garantit rien, car toutes les fuites ne sont pas recensées. Pour un numéro de téléphone, il n'existe pas à notre connaissance d'équivalent public fiable : la notification de l'organisme concerné reste la source la plus sûre.

Pourquoi vérifier soi-même

En 2026, plusieurs administrations ont reconnu des fuites, dont le portail de l'ANTS, le système d'information des impôts et le fichier des comptes bancaires FICOBA. Des entreprises comme Engie ont confirmé des fuites de données clients. Le détail de ces incidents figure dans notre point sur les fuites de données de l'État et dans celui sur la fuite Engie.

Le RGPD oblige un organisme victime d'une fuite à prévenir les personnes concernées lorsque la violation présente un risque élevé pour elles. En dessous de ce seuil, ou quand la fuite vient d'un prestataire ou d'une base revendue sans que l'entreprise d'origine l'ait détectée, vous pouvez ne jamais être informé. Une vérification personnelle comble en partie ce manque.

Vérifier une adresse email avec Have I Been Pwned

Ce que fait le service

Have I Been Pwned (HIBP) recense les bases de données ayant fuité et permet de savoir si une adresse email y apparaît. Selon ses conditions d'utilisation, la recherche par adresse email est gratuite et accessible à tous. Les services payants s'adressent surtout aux entreprises (accès par API, recherche sur un nom de domaine entier). Le service est exploité par une société australienne, et son interface est en anglais.

La marche à suivre

1. Ouvrez haveibeenpwned.com en tapant l'adresse vous-même.
2. Saisissez votre adresse email et lancez la recherche.
3. Pour chaque fuite listée, le service indique le site concerné, la date, et les catégories de données exposées dans cette fuite : adresse email, mot de passe, nom, téléphone, adresse postale, date de naissance, etc.
4. Recommencez avec chacune de vos adresses, y compris les anciennes : une adresse oubliée sert souvent d'adresse de récupération pour un compte important.

L'option d'alerte « Notify Me » vous prévient par email si votre adresse apparaît dans une fuite future.

Les limites du résultat

• Toutes les fuites ne sont pas recensées. Une fuite récente, ou une base qui ne circule qu'en privé, peut ne pas y figurer.
• Certaines fuites ne s'affichent pas dans la recherche publique. HIBP traite à part des fuites jugées sensibles : elles ne sont visibles qu'en vous connectant à son tableau de bord, après avoir prouvé par email que l'adresse vous appartient.
• La recherche se fait uniquement par adresse email. Une fuite peut avoir contenu des coordonnées bancaires, mais vous ne pouvez pas rechercher votre IBAN, votre numéro fiscal ou votre numéro de sécurité sociale.

Et pour un numéro de téléphone ?

Aucun outil public comparable à HIBP n'existe, à notre connaissance, pour vérifier de façon fiable si un numéro de téléphone français figure dans une fuite. Les sites qui promettent cette vérification contre votre numéro sont à éviter : vous leur fournissez précisément la donnée que vous cherchez à protéger.

Pour un numéro, retenez donc trois sources :

• la notification de l'organisme : pour la fuite Bloctel de 2026, par exemple, les inscrits concernés ont été prévenus par mail ;
• le résultat HIBP de votre adresse email : il indique si un numéro de téléphone faisait partie des données exposées avec elle ;
• vos propres constats : une hausse soudaine de SMS piégés ou d'appels qui citent votre nom est un indice.

Dans tous les cas, la conduite à tenir est la même : ne rappelez pas un numéro inconnu, ne communiquez aucune information à un appelant qui vous a contacté, et transférez les SMS frauduleux au 33700. Notre guide sur le smishing décrit les messages les plus fréquents.

Lire le résultat : la nature des données compte plus que leur nombre

Que faire après une fuite

La fiche Violation ou fuite de données personnelles, que faire ? de Cybermalveillance.gouv.fr, mise à jour en octobre 2026, recommande notamment :

1. Lire attentivement la communication de l'organisme, pour savoir quelles informations ont pu être compromises.
2. Authentifier tout interlocuteur qui se réclame de cet organisme, en le recontactant par ses coordonnées officielles.
3. Changer au plus vite vos mots de passe sur le site concerné et partout où vous utilisez le même, et activer la double authentification.
4. Si vos références bancaires sont concernées, informer votre banque, surveiller votre compte, activer la liste blanche des créanciers si votre banque la propose, et demander le remboursement des prélèvements non autorisés en invoquant l'article L133-24 du Code monétaire et financier.
5. Signaler les publications qui diffusent vos informations et demander leur suppression, puis leur déréférencement aux moteurs de recherche. Si les données restent accessibles un mois après votre demande, saisir la CNIL.
6. Porter plainte en cas d'usage frauduleux, en conservant les preuves.

Deux compléments, absents de la fiche. L'article L133-24 impose de signaler un prélèvement non autorisé sans tarder, et au plus tard dans les 13 mois suivant la date de débit. Ensuite, pour être orienté ou porter plainte en ligne, la page Comment réagir en cas d'arnaque d'impots.gouv.fr renvoie vers 17Cyber (assistance), PHAROS (signalement d'un contenu en ligne), THÉSÉE (plainte en ligne, pour les cas qui entrent dans son champ) et un numéro vert gratuit, le 0 805 805 817.

Pour lire l'adresse réelle d'un expéditeur et repérer un faux message, voir notre guide pour vérifier l'authenticité d'un email suspect.

Réduire l'impact des prochaines fuites

• Un mot de passe différent par site. Une fuite ne compromet alors qu'un seul compte. Un gestionnaire de mots de passe rend la règle tenable, et beaucoup signalent aussi les mots de passe apparus dans des fuites.
• La double authentification sur les comptes sensibles : messagerie en priorité, puisqu'elle permet de réinitialiser tous les autres, puis banque, impôts et réseaux sociaux.
• Des adresses email différenciées. Avec Gmail, vous pouvez ajouter un suffixe après un signe plus (par exemple prenom.nom+boutique@gmail.com) : le message arrive dans votre boîte habituelle, et le spam reçu sur cette adresse indique quel site l'a laissée fuiter. Certains sites refusent toutefois le signe plus, et un fraudeur peut retirer le suffixe. Les vraies adresses alias, proposées par certains services de messagerie, sont plus robustes.
• Le moins de données possible. Ne remplissez que les champs obligatoires des formulaires : une date de naissance ou un numéro jamais donnés ne peuvent pas fuiter.

Si vous découvrez un compte, un crédit ou un abonnement ouvert à votre nom, la situation relève de l'usurpation d'identité, avec des démarches plus urgentes, détaillées dans notre guide sur l'usurpation d'identité en ligne.