Un ami m'appelle un mardi soir, paniqué. Sa banque vient de lui envoyer un SMS : quelqu'un a tenté de payer 890 € depuis son compte, trois fois en dix minutes. Il n'a rien fait de bizarre, jure-t-il. Puis il se souvient. Ce site de chaussures, là, en février. Le même mot de passe qu'il utilisait partout depuis 2011.
Voilà comment on se fait avoir. Pas avec une attaque de génie, pas avec un film hollywoodien. Avec un vieux mot de passe recyclé et une base de données revendue sur un forum. Les bonnes pratiques de cybersécurité pour particuliers ne sont pas compliquées, mais elles demandent de renoncer à une illusion tenace : celle qu'on n'intéresse personne. Faux. On intéresse tout le monde, parce que les attaques sont automatisées et qu'elles traitent des millions de comptes à l'heure.
Points clés à retenir
- Un gestionnaire de mots de passe change tout : vous ne retenez plus qu'une seule phrase, il génère le reste.
- L'authentification multifacteur bloque la grande majorité des connexions frauduleuses, même quand le mot de passe a fuité.
- Vérifiez régulièrement si votre adresse apparaît dans une fuite connue, et changez le mot de passe concerné le jour même.
- Le phishing ne vient plus seulement par mail : SMS, appels, faux conseillers bancaires, voix clonées.
- La règle 3-2-1 pour les sauvegardes sauve votre peau en cas de rançongiciel.
- Un incident se traite dans l'ordre : isoler, changer, alerter, déposer plainte si nécessaire.
Le mot de passe unique est le vrai problème, pas votre mémoire
On vous répète depuis quinze ans qu'il faut un mot de passe long, complexe, différent partout. Conseils justes, application impossible. Personne ne mémorise quarante suites de caractères. Alors tout le monde triche, moi le premier : pendant des années, j'ai eu trois mots de passe, déclinés avec un chiffre qui changeait à la fin. Je me trouvais malin. Je ne l'étais pas.
Pourquoi un gestionnaire de mots de passe change tout
Un coffre-fort numérique fait exactement ce que votre cerveau refuse de faire. Il génère des chaînes aléatoires de 20 caractères, les stocke chiffrées, les remplit automatiquement. Vous ne retenez qu'une phrase de passe maîtresse, celle qui ouvre le coffre. C'est le seul secret que vous avez à protéger.
J'ai basculé toute ma famille sur ce système. Trois semaines de réticence, puis plus personne ne veut revenir en arrière. Le déclic, c'est quand on comprend qu'on ne tape plus jamais un mot de passe sur un site louche : le gestionnaire ne le propose même pas si le domaine ne correspond pas.
- Choisissez un outil reconnu, avec chiffrement local et synchronisation chiffrée de bout en bout.
- Une phrase de passe maîtresse longue (cinq mots sans rapport entre eux) vaut mieux qu'un mot court bourré de symboles.
- Activez la double authentification sur le gestionnaire lui-même. Beaucoup oublient cette étape.
- Imprimez le code de secours et rangez-le ailleurs qu'à côté de l'ordinateur.
Franchement, c'est le meilleur rapport effort/protection de toute la liste. Et de loin.
L'authentification multifacteur : le verrou qui tient encore
Votre mot de passe a fuité. C'est déjà arrivé, c'est peut-être le cas en ce moment. La question n'est pas « comment l'éviter » mais « qu'est-ce qui bloque encore l'attaquant quand il l'a sous les yeux ». Réponse : le second facteur.
SMS ou application : quelle différence en pratique ?
Le code par SMS est mieux que rien. Mais il a deux faiblesses connues : il peut être intercepté, et surtout il tombe dans le piège du faux conseiller qui vous demande « le code reçu » au téléphone. L'application d'authentification (ou une clé physique) ne se laisse pas lire par un inconnu au bout du fil.
Ma règle personnelle, elle est simple : application d'authentification pour la messagerie et la banque, clé physique pour les comptes que je ne veux vraiment pas perdre. Sur une trentaine de comptes, ça m'a pris une soirée à configurer. Une seule.
| Méthode | Protection réelle | Point faible |
|---|---|---|
| SMS | Correcte | Interception, hameçonnage au téléphone |
| Application d'authentification | Bonne | Perte du téléphone sans sauvegarde des codes |
| Clé physique (FIDO) | Excellente | Achat, une clé par usage important |
| Code par mail | Faible | Si la boîte mail tombe, tout tombe |
Le problème du code par mail mérite qu'on s'y arrête. Votre boîte mail est la clé de votre vie numérique : elle permet de réinitialiser tous les autres comptes. Si un attaquant y entre, il récupère le reste par rebond. Protégez-la en premier, avec le facteur le plus solide dont vous disposez.
Comment vérifier si vos données ont fuité
Il existe des services gratuits où vous tapez votre adresse mail et voyez la liste des fuites connues la concernant. Le résultat fait mal, souvent. Mon adresse principale apparaît dans une bonne dizaine de brèches, dont deux que j'avais complètement oubliées.
Que faire concrètement quand c'est le cas
- Notez le site concerné et la date approximative de la fuite.
- Changez le mot de passe de ce site, immédiatement, et par un mot de passe neuf.
- Vérifiez si vous avez réutilisé ce mot de passe ailleurs. Si oui, changez-le partout où il apparaît.
- Surveillez vos relevés bancaires les semaines suivantes.
- Activez la double authentification sur le compte touché si ce n'est pas déjà fait.
Ce qui compte n'est pas la fuite elle-même, c'est la réutilisation. Une fuite isolée sur un forum oublié, sans conséquence. La même fuite sur un site où vous aviez mis le mot de passe, celui qui sert partout, et c'est l'effet domino.
Phishing, smishing, faux conseillers : les arnaques qui marchent en 2026
Le mail grossièrement écrit avec trois fautes, c'est fini. Les campagnes actuelles copient proprement les chartes graphiques, soignent les formules, et arrivent parfois au bon moment. Un vrai colis en attente, un vrai remboursement d'impôts, une vraie mise à jour de votre espace client.
Trois signaux qui doivent vous faire ralentir
- L'urgence. « Votre compte sera suspendu sous 24 h. » Aucun service sérieux ne fonctionne comme ça.
- La demande d'information que l'émetteur possède déjà. Votre banque connaît votre numéro de carte. Elle ne vous le redemande pas.
- Le canal inattendu. Un conseiller bancaire qui vous appelle en se faisant passer pour le service fraude, c'est le scénario le plus efficace aujourd'hui.
Et là, surprise : la voix clonée. Quelques secondes d'enregistrement suffisent à reproduire une voix de façon crédible. Des proches ont reçu des appels imitant la voix d'un membre de la famille en détresse. La parade ne tient pas à l'oreille, elle tient à la procédure : raccrochez, rappelez le numéro que vous connaissez, ne rappelez jamais celui qu'on vous donne.
Le problème ? Cette règle paraît évidente écrite ici. Sur le moment, avec l'adrénaline, elle l'est beaucoup moins.
Sauvegardes et réseau : les deux dossiers qu'on repousse
La règle 3-2-1, traduite en gestes simples
Trois copies de vos données, sur deux supports différents, dont une hors de chez vous. Concrètement : le disque de l'ordinateur, un disque externe, une sauvegarde dans le cloud. Ce n'est pas un luxe de paranoïaque, c'est ce qui décide si un rançongiciel vous coûte une soirée de restauration ou dix ans de photos.
J'ai perdu un disque externe il y a quelques années, sans sauvegarde cloud à l'époque. Le contenu, je ne l'ai jamais récupéré. Depuis, la copie hors site est non négociable chez moi.
Ce que vous devez savoir sur le wifi public
Le wifi d'hôtel ou de gare n'est pas un coupe-gorge, contrairement à ce qu'on lit parfois. Ce qui compte, c'est ce que vous y faites. Consulter une recette, aucun souci. Vous connecter à votre banque sans VPN ni connexion chiffrée, c'est prendre un risque que vous n'avez aucune raison de prendre.
Autre réflexe trop souvent négligé : votre box. Le mot de passe d'administration par défaut, celui collé sur l'étiquette, devrait être changé le jour de l'installation. Et le réseau invité, si votre box en propose un, sert exactement à ça : y mettre les objets connectés, les télévisions, tout ce qui n'a pas besoin de voir vos fichiers.
Que faire en cas de piratage : l'ordre des opérations
La panique fait faire n'importe quoi. On supprime des preuves, on éteint tout, on répond à l'attaquant. Voici l'ordre qui marche, celui que j'ai fini par appliquer après avoir vu des proches s'embrouiller complètement.
- Déconnectez la machine du réseau. Câble débranché, wifi coupé. Vous limitez la casse.
- Changez les mots de passe depuis un autre appareil sain, en commençant par la messagerie.
- Prévenez votre banque si des coordonnées bancaires sont concernées. Un appel vaut mille mails.
- Déposez plainte si l'atteinte dépasse le simple désagrément. La plainte sert aussi à faire valoir vos droits auprès des organismes.
- Signalez l'incident sur la plateforme publique dédiée à la cybermalveillance, qui oriente vers le bon interlocuteur selon le cas.
- Restaurez vos données depuis une sauvegarde saine, jamais depuis une sauvegarde faite après l'infection.
Un point qu'on oublie systématiquement : demandez à votre entourage proche de se méfier des messages venant de votre compte. C'est par là que l'attaquant rebondit le plus souvent.
Ce qui compte vraiment, au fond
La cybersécurité pour un particulier n'a rien d'un sport de haut niveau. Elle tient à quatre gestes : un coffre-fort de mots de passe, un second facteur solide sur la messagerie et la banque, des sauvegardes qui existent ailleurs, et une méfiance de principe quand on vous presse d'agir vite.
Le reste, c'est du détail. Les antivirus, les réglages de navigateur, les VPN, tout ça vient après. On peut passer sa vie à peaufiner la troisième couche de protection et se faire vider son compte parce que le mot de passe de la boîte mail était le même que celui du forum de 2012.
Un dernier élément, et c'est celui auquel je crois le plus : parlez-en autour de vous. Les incidents dont j'ai eu connaissance dans mon entourage ont presque tous été détectés par un tiers, pas par la victime. Un proche qui connaît vos habitudes repère l'anomalie avant vous.
Le meilleur antivirus reste un peu de lenteur. Celle qu'on s'accorde avant de cliquer sur un lien qui presse.
