Data leaks
Fuites de données
Your data leaked. Here's what to actually do about it
Vos données ont fuité. Voici ce qu'il faut vraiment faire
Data leaks aren't reported nearly as often as they happen — barely a week goes by without a new one, like the 500-plus organisations hit by the Medusa ransomware group reported this week, or the 55 million accounts exposed in the Suno AI breach a few months back. "Change your password" is the advice everyone repeats, but it's rarely the whole story. What actually leaked matters — an email address and a full payslip call for very different responses.
Les fuites de données sont bien plus fréquentes qu'on ne le rapporte — à peine une semaine se passe sans une nouvelle, comme le piratage de la DGFiP touchant les données sensibles de millions de citoyens, révélé cette semaine, ou la hausse de 9,5 % des violations de données signalées à la CNIL en 2025. "Changez votre mot de passe" est le conseil qu'on répète partout, mais ce n'est presque jamais suffisant. Ce qui a réellement fuité change tout : une adresse e-mail et une fiche de paie complète n'appellent pas la même réponse.
What can actually leak
Ce qui peut réellement fuiter
When a company says "your data may have been affected," it can mean almost anything. Here's the range, from least to most sensitive:
Quand une entreprise annonce que "vos données ont peut-être été concernées", cela peut recouvrir presque n'importe quoi. Voici l'éventail, du moins au plus sensible :
Name, email address, phone number, home address, date of birth.
Nom, adresse e-mail, numéro de téléphone, adresse postale, date de naissance.
Passwords (sometimes hashed, sometimes not), security question answers.
Mots de passe (parfois hachés, parfois en clair), réponses aux questions de sécurité.
Full or partial card numbers, expiry dates, and — separately — your IBAN or bank account number.
Numéros de carte complets ou partiels, dates d'expiration, et — séparément — votre IBAN ou numéro de compte bancaire.
Payslips, employment contracts, your full HR file, tax documents — anything that proves your income or job title.
Fiches de paie, contrats de travail, dossier RH complet, documents fiscaux — tout ce qui prouve vos revenus ou votre poste.
Rental agreements, loan contracts, ID scans, insurance paperwork.
Baux locatifs, contrats de crédit, copies de pièces d'identité, documents d'assurance.
What you bought, from which site, your delivery address, and sometimes order numbers scammers can quote back to you to sound legitimate.
Ce que vous avez acheté, sur quel site, votre adresse de livraison, et parfois des numéros de commande que des escrocs peuvent vous citer pour paraître légitimes.
What to do for each type
Que faire selon ce qui a fuité
Work through whichever of these actually applies to you — not every leak includes everything.
Parcourez celles qui vous concernent réellement — une fuite ne contient pas toujours tout à la fois.
Expect more targeted phishing texts and calls — ones that already use your real name. Don't let a caller sounding informed be your reason to trust them. Turn on spam filtering where your provider offers it.
Attendez-vous à des SMS et appels de phishing plus ciblés — qui utiliseront votre vrai nom. Le fait qu'un interlocuteur semble bien informé ne doit jamais suffire à lui faire confiance. Activez le filtrage anti-spam si votre opérateur le propose.
Change it immediately — and on every other site where you reused it, not just the breached one. A password manager makes unique passwords realistic to maintain. Turn on two-factor authentication anywhere it's offered.
Changez-le immédiatement — et sur tous les autres sites où vous l'aviez réutilisé, pas seulement celui touché par la fuite. Un gestionnaire de mots de passe rend réaliste l'usage de mots de passe uniques. Activez la double authentification partout où elle est proposée.
Block and reissue the card through your banking app straight away — don't wait to see if anything happens first. Check your recent transactions for anything unfamiliar, including tiny "test" charges of a euro or less.
Faites opposition et demandez une nouvelle carte directement depuis votre application bancaire — n'attendez pas de voir si quelque chose se passe. Vérifiez vos transactions récentes, y compris les petits débits de test d'un euro ou moins.
An IBAN alone can't be used to drain your account the way it happens in films, but it can be used to set up a fraudulent direct debit. Watch your statements for a payment mandate you didn't authorise, and query anything unrecognised with your bank straight away.
Un IBAN seul ne permet pas de vider un compte comme dans les films, mais il peut servir à créer un prélèvement frauduleux. Surveillez vos relevés pour tout mandat de prélèvement que vous n'avez pas autorisé, et signalez sans attendre toute opération inconnue à votre banque.
This is more sensitive than it sounds — payslips are exactly the kind of "proof of income" document used to apply for loans or credit in someone else's name. Keep an eye on your credit file for applications you didn't make, and contact your employer's HR or IT team so they know their systems (or a supplier's) may be affected.
C'est plus sensible qu'il n'y paraît : une fiche de paie est justement le type de "justificatif de revenus" utilisé pour souscrire un crédit au nom de quelqu'un d'autre. Surveillez votre dossier de crédit pour toute demande que vous n'avez pas faite, et prévenez le service RH ou informatique de votre employeur, car ses systèmes (ou ceux d'un prestataire) sont peut-être concernés.
Rental agreements, loan paperwork, and ID scans can all be combined to impersonate you convincingly to a bank, landlord, or government office. Ask the organisation that lost the documents what specifically was in them, and flag your file with them as at risk if they offer that option.
Baux, documents de crédit et copies de pièces d'identité peuvent être combinés pour usurper votre identité de façon convaincante auprès d'une banque, d'un bailleur ou d'une administration. Demandez à l'organisme concerné ce que contenaient exactement les documents, et signalez votre dossier comme à risque s'il propose cette option.
This is what makes follow-up scam calls so convincing — a scammer who can name the exact item and site you ordered from sounds credible fast. It's the same trick behind the "missed parcel" text scam: real order details make a fake message feel real. Treat any call referencing a real purchase with the same suspicion as one that doesn't.
C'est ce qui rend les appels d'arnaque qui suivent si convaincants — un escroc capable de citer exactement l'article et le site sur lequel vous avez commandé paraît crédible en quelques secondes. C'est le même ressort que l'arnaque du SMS de "colis en attente" : de vrais détails de commande rendent un faux message crédible. Traitez tout appel évoquant un vrai achat avec la même méfiance qu'un appel qui n'en évoque pas.
Report it, not just clean it up
Signalez-le, ne vous contentez pas de réparer
Beyond fixing accounts yourself: in the UK, report identity fraud risk to Action Fraud and consider Cifas Protective Registration, which flags your name to lenders so new credit applications get extra checks. In France, you can check whether an account was opened in your name via FICOBA on impots.gouv.fr, and report the leak itself to the CNIL if the organisation involved hasn't already. In both countries, keep records — screenshots, emails, dates — in case you need to dispute a fraudulent charge or application later.
Au-delà de réparer vous-même vos comptes : en France, vous pouvez vérifier si un compte a été ouvert en votre nom via le fichier FICOBA sur impots.gouv.fr, et signaler la fuite elle-même à la CNIL si l'organisme concerné ne l'a pas déjà fait. Au Royaume-Uni, on signale le risque d'usurpation à Action Fraud et on peut s'inscrire à un service équivalent au Cifas. Dans les deux cas, conservez des preuves — captures d'écran, e-mails, dates — au cas où vous devriez contester un débit ou une demande frauduleuse plus tard.
It's not just about tech skills — it's about your habits
Ce n'est pas qu'une question de technique — ce sont vos habitudes
Here's what most advice skips: scammers using leaked data aren't only betting on you not knowing how a scam works. They're betting on your daily life. You accept a strange charge or a "confirm your delivery" text because part of you assumes your partner, your kid, or another family member ordered something and didn't mention it. That small doubt is exactly what makes people skip checking. Once your data has leaked, it's worth double-checking everything — a call, a text, a charge — even when it feels tedious, and even if you can usually rule things out in seconds. If you get a message that mentions real details about you and you're not sure what to make of it, you can check it with Clarifaux before responding to it.
Voici ce que la plupart des conseils oublient : les escrocs qui exploitent des données divulguées ne comptent pas seulement sur votre méconnaissance de leurs techniques. Ils comptent sur votre vie quotidienne. Vous acceptez un débit étrange ou un SMS "confirmez votre livraison" parce qu'une part de vous se dit que votre conjoint, votre enfant ou un autre membre de la famille a commandé quelque chose sans le mentionner. C'est exactement ce petit doute qui pousse à ne pas vérifier. Une fois vos données divulguées, mieux vaut tout revérifier — un appel, un SMS, un débit — même si cela semble fastidieux, et même si on peut généralement écarter le doute en quelques secondes. Si vous recevez un message qui mentionne de vraies informations vous concernant et que vous avez un doute, vous pouvez le vérifier avec Clarifaux avant d'y répondre.
Top 5 things to watch for afterward
Top 5 des signaux à surveiller ensuite
- Messages that already know real details about you. A caller who knows your name, your bank, or your last order isn't proof they're legitimate — after a leak, it's often proof of the opposite.
- Des messages qui connaissent déjà de vraies informations sur vous. Un interlocuteur qui connaît votre nom, votre banque ou votre dernière commande n'est pas une preuve de légitimité — après une fuite, c'est souvent la preuve du contraire.
- New accounts or credit applications you didn't make. Check your credit file or bank alerts periodically, not just right after the leak — misuse can surface months later.
- De nouveaux comptes ou demandes de crédit que vous n'avez pas faits. Vérifiez votre dossier de crédit ou vos alertes bancaires régulièrement, pas seulement juste après la fuite — une utilisation frauduleuse peut apparaître des mois plus tard.
- Small "test" transactions. Fraudsters often try a tiny charge first to see if a card still works before attempting a larger one.
- De petites transactions "test". Les fraudeurs testent souvent un petit débit pour voir si une carte fonctionne encore avant d'en tenter un plus important.
- Reused passwords anywhere else. One leaked password is a master key to every other account where you used the same one — a password manager fixes this permanently.
- Un même mot de passe réutilisé ailleurs. Un mot de passe divulgué devient une clé passe-partout pour tous les autres comptes où vous l'aviez réutilisé — un gestionnaire de mots de passe règle ce problème durablement.
- Urgency paired with a request for card details, a PIN, or a document. Legitimate organisations very rarely need you to act within minutes — pressure is the tell, not the request itself.
- De l'urgence associée à une demande de coordonnées bancaires, de code confidentiel ou de document. Un organisme légitime a rarement besoin que vous agissiez en quelques minutes — c'est la pression qui doit alerter, pas seulement la demande.
Reporting a leak — UK
Report identity-fraud risk to Action Fraud at actionfraud.police.uk or 0300 123 2040, and consider Cifas Protective Registration if your details are at heightened risk.
Signaler une fuite — France
Signalez à la CNIL si l'organisme concerné ne l'a pas fait, et obtenez des conseils sur cybermalveillance.gouv.fr.