Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Comment valider si votre adresse courriel se retrouve dans le « dark web »?

Recommendations Par Eric Rousseau · 1 avril 2022 · Mis à jour le 31 octobre 2026 · 7 min de lecture
Écran d'ordinateur affichant des lignes de code dans le noir
En bref

Entrez votre adresse sur Have I Been Pwned : si elle apparaît dans une fuite, changez les mots de passe et activez la double authentification.

Pour savoir si votre adresse courriel circule dans le « dark web », rendez-vous sur le site gratuit Have I Been Pwned (haveibeenpwned.com), entrez votre adresse et lisez la liste des fuites dans lesquelles elle apparaît. Le résultat est immédiat. Si votre adresse y figure, changez sans attendre le mot de passe des comptes concernés et de tous ceux qui partagent le même mot de passe, puis activez la double authentification. Pour un service de garde, cette vérification vaut pour le courriel de la direction, celui de l’administration et toute adresse utilisée pour se connecter au logiciel de gestion.

Gros plan sur le clavier rétroéclairé d'un ordinateur portable dans la pénombre

Une adresse courriel qui circule dans le dark web, c’est d’abord un mot de passe que des robots vont essayer partout.

Ce qu’on appelle le « dark web », et pourquoi votre courriel peut s’y retrouver

Le dark web est une partie d’Internet accessible seulement avec des outils spécialisés, où se vendent entre autres des listes d’identifiants volés. Ces listes viennent de fuites de données chez des entreprises bien connues : un site de commerce, un réseau social, un fournisseur de services en ligne. Vous n’avez rien fait de mal ; votre adresse était simplement dans la base de données d’une entreprise qui s’est fait pirater.

L’ampleur est difficile à imaginer. Au moment d’écrire ces lignes, Have I Been Pwned recense plus de 17,8 milliards d’adresses compromises provenant de plus de 1 000 sites piratés. Autrement dit, la question n’est pas de savoir si votre adresse a déjà fui, mais combien de fois et avec quel mot de passe.

Le danger vient de la réutilisation. Si le mot de passe qui a fui chez un commerçant est le même que celui de votre courriel professionnel, un pirate l’essaiera automatiquement, et ça fonctionne souvent : selon Pensez cybersécurité, 41 % des Canadiens utilisent le même mot de passe pour plusieurs comptes.

Comment vérifier en cinq minutes

  1. Ouvrez haveibeenpwned.com, un service gratuit tenu par un chercheur en sécurité reconnu, utilisé par des gouvernements et des entreprises du monde entier.
  2. Entrez votre adresse courriel. Le site ne vous demande ni mot de passe ni inscription.
  3. Lisez la liste : pour chaque fuite, vous verrez le nom du site, la date et le type de données exposées (adresse, mot de passe, numéro de téléphone, adresse postale).
  4. Cliquez sur « Notify me » pour recevoir un avis gratuit si votre adresse apparaît dans une fuite future.
  5. Répétez l’exercice pour chaque adresse utilisée dans le milieu : direction, administration, adresse générique « info@ », comptes des éducatrices si elles utilisent un courriel professionnel.

Une précision : un résultat négatif ne veut pas dire que vous êtes à l’abri, seulement que votre adresse n’apparaît pas dans les fuites connues et publiées. Un résultat positif, par contre, est une certitude.

Quoi faire si votre adresse apparaît

D’abord, ne paniquez pas : la fuite est peut-être vieille et le mot de passe déjà changé. Ensuite, agissez dans cet ordre. Changez le mot de passe du compte concerné. Changez-le aussi partout où vous aviez utilisé le même, en commençant par le courriel, le logiciel de gestion et la banque. Activez la double authentification sur ces comptes. Enfin, surveillez pendant quelques semaines les courriels d’hameçonnage ciblés : les fraudeurs qui achètent ces listes savent exactement chez quel commerçant vous avez un compte et s’en servent pour rendre leurs messages crédibles.

Le Centre canadien pour la cybersécurité recommande des mots de passe d’au moins 12 caractères ou des phrases de passe d’au moins 4 mots et 15 caractères, uniques pour chaque compte, et de ne jamais réutiliser un mot de passe trouvé dans une violation de données connue (ITSAP.30.032). Un gestionnaire de mots de passe rend tout cela possible sans rien mémoriser.

Un exemple concret dans un CPE

Imaginons un CPE de Gatineau. La directrice vérifie l’adresse de l’administration sur Have I Been Pwned et découvre qu’elle apparaît dans trois fuites, dont une récente qui incluait les mots de passe. L’adjointe confirme qu’elle utilisait ce mot de passe pour sa boutique en ligne préférée, pour le courriel du CPE et pour le portail de paie. En une heure, les trois mots de passe sont remplacés par des phrases de passe uniques générées par un gestionnaire, et la double authentification est activée sur le courriel et la paie. Deux semaines plus tard, un courriel bien imité « de la paie » arrive avec une demande de connexion urgente : l’adjointe le reconnaît tout de suite, parce qu’elle sait maintenant que son adresse circule. Sans la vérification, ce courriel avait de bonnes chances de fonctionner, et avec lui l’accès aux relevés de 35 employés.

Ce que ça change pour votre service de garde

  1. Vérifiez toutes les adresses du milieu cette semaine. Direction, administration, adresse générique, bureau coordonnateur. Cinq minutes par adresse sur haveibeenpwned.com, sans frais. Notez les résultats dans un fichier daté.
  2. Abonnez le domaine entier aux alertes. Si vous avez votre propre nom de domaine (votrecpe.ca), Have I Been Pwned permet, après vérification de propriété, de surveiller gratuitement toutes les adresses du domaine. Une heure avec votre fournisseur de courriel.
  3. Changez les mots de passe compromis le jour même. Et partout où ils ont été réutilisés. Utilisez le générateur de votre gestionnaire de mots de passe : 12 caractères minimum ou phrase de passe de 4 mots, comme le recommande le Centre canadien pour la cybersécurité.
  4. Activez la double authentification sur le courriel, le logiciel de gestion et la banque. Inclus dans les abonnements, 10 minutes par compte. C’est ce qui rend un mot de passe fuité inutile.
  5. Déployez un gestionnaire de mots de passe pour l’équipe administrative. Les versions d’équipe coûtent généralement quelques dollars par utilisateur par mois ; certaines offrent une surveillance intégrée des fuites. Une demi-journée de déploiement.
  6. Ajoutez la vérification à votre routine. Une fois par trimestre, en même temps que la vérification des sauvegardes, la direction refait le tour des adresses. Quinze minutes.
  7. Formez l’équipe à reconnaître l’hameçonnage qui suit une fuite. Quinze minutes en réunion d’équipe : un courriel qui cite un service que vous utilisez vraiment n’est pas forcément légitime. En cas de doute, on ne clique pas, on ouvre le site soi-même.

Sources

Foire aux questions

Comment vérifier si mon adresse courriel est sur le dark web ?

Ouvrez haveibeenpwned.com, un service gratuit, et entrez votre adresse : sans inscription ni mot de passe, vous voyez immédiatement la liste des fuites où elle apparaît, avec la date et le type de données exposées. Cliquez sur « Notify me » pour être averti des prochaines.

Quoi faire si mes données ont été compromises ?

Changez le mot de passe du compte concerné et de tous ceux qui partageaient le même, en commençant par le courriel, le logiciel de gestion et la banque, puis activez la double authentification. Un gestionnaire de mots de passe permet de générer des mots de passe uniques sans rien mémoriser.

Est-ce que seuls les petits sites sont victimes de fuites de données ?

Non. Have I Been Pwned recense plus de 17,8 milliards d’adresses compromises provenant de plus de 1 000 sites piratés, dont des commerces, des réseaux sociaux et des fournisseurs de services très connus. Vous n’avez rien fait de mal : votre adresse était simplement dans leur base de données.

À lire aussi

Étiqueté , ,