Un courriel de l’éditeur annonce que son service a été compromis. Des codes de réinitialisation que vous n’avez pas demandés arrivent par SMS, puis votre messagerie et votre banque en ligne tombent l’une après l’autre. Quand le coffre qui conserve vos mots de passe est lui-même atteint, chaque compte devient une porte ouverte. La Commission nationale de l’informatique et des libertés présente pourtant le gestionnaire comme un logiciel qui conserve vos mots de passe chiffrés : même recommandé, l’outil reste un traitement de données soumis à des obligations, et sa compromission déclenche des droits précis.
Cet article explique pourquoi vos identifiants sont des données personnelles et ce que leur fuite impose à l’éditeur, quelles peines encourt celui qui les exploite, puis la méthode à suivre : sécuriser, prouver, déposer plainte, saisir la CNIL et demander réparation.
Contrôlez aussi le mot de passe maître lui-même. Si l’éditeur acceptait un code court ou sans exigence de complexité, il s’écartait de la recommandation qui impose au moins douze caractères avec chiffres et caractères spéciaux. Un coffre ouvert par un mot de passe faible que l’éditeur a validé cumule votre négligence et son manquement : relevez les conditions imposées à l’inscription, par captures ou par les conditions générales, car elles mesurent le niveau de sécurité promis et celui qui a été pratiqué.
Contactez aussi le délégué à la protection des données de l’éditeur, dont les coordonnées doivent figurer dans la notification. Ce délégué conseille l’éditeur, contrôle l’application des règles et sert de point de contact avec l’autorité : lui écrire crée une trace datée des manquements que vous avez constatés, notamment l’absence d’information claire sur les catégories de données exposées. Si l’éditeur a imposé une réinitialisation générale des mots de passe et révoqué les sessions actives, reconnaissez-le dans vos écrits : le juge et la CNIL tiennent compte des mesures correctrices prises après les faits, sans qu’elles effacent les manquements initiaux. À l’inverse, un éditeur qui minimise, tarde à prévenir ou refuse de dire ce qui a fuité aggrave son cas à chaque échange.
Identifiez ensuite les rôles, car ils commandent les recours. L’éditeur qui fournit le coffre est responsable du traitement ; son hébergeur infonuagique est sous-traitant et doit le prévenir « dans les meilleurs délais » de toute violation qu’il constate. Vos conditions générales d’utilisation fixent ce partage : durée de conservation des journaux, chiffrement promis, assistance en cas d’incident. L’éditeur doit aussi documenter chaque violation dans un registre interne permettant de vérifier le respect de ses obligations. Ces pièces contractuelles et techniques feront vos preuves devant la CNIL comme devant le juge : réclamez-les par écrit dès la découverte des faits, avant toute résiliation du compte qui effacerait vos accès.
I. Un coffre compromis n’est pas un simple incident technique
A. Vos identifiants sont des données personnelles et leur fuite est une violation
Un identifiant, un mot de passe, une adresse de courrier électronique ou un numéro de téléphone permettent de vous identifier. Le règlement européen définit la « violation de données à caractère personnel » comme une faille de sécurité qui, par accident ou de façon illicite, détruit, perd, altère ou divulgue sans autorisation vos données, ou y donne un accès non autorisé. La copie du coffre par un attaquant entre dans cette définition, qu’il ait lu le contenu ou seulement accédé au service.
L’éditeur du gestionnaire est responsable du traitement. Le règlement lui impose que les données soient traitées de façon à garantir une sécurité appropriée, contre tout traitement non autorisé ou illicite comme contre toute perte ou destruction accidentelle, et ajoute que le responsable du traitement répond du respect de ces principes et doit pouvoir le démontrer. Concrètement, le même texte exige des des mesures techniques et organisationnelles adaptées au risque, au premier rang desquelles dont le chiffrement des données. Un coffre dont le contenu est conservé en clair ou chiffré avec des moyens obsolètes ne satisfait pas ce standard.
La CNIL donne le mode d’emploi de cette sécurité. Son article de référence explique que le mot de passe maître qui ouvre le coffre doit compter au moins douze caractères, chiffres et caractères spéciaux inclus. Sa recommandation sur l’authentification retient le même plancher de douze caractères et juge que l’authentification forte ou à plusieurs facteurs protège mieux, en visant notamment la conservation en clair et les fonctions de hachage robustes telles qu’Argon2. Après une fuite, ses conseils prescrivent de ne pas réutiliser le même mot de passe sur plusieurs services et d’« utilisez les authentifications multifacteurs » proposées par les services de confiance.
Quand la violation survient, l’éditeur doit la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance (article 33 du règlement), sauf absence de risque pour vos droits et libertés. Si le risque est élevé pour vous, il doit aussi vous prévenir directement « dans les meilleurs délais », en des termes clairs et simples, sauf s’il avait rendu les données incompréhensibles, par exemple grâce au « chiffrement ». L’absence de notification comme la notification tardive sont des manquements que la CNIL peut sanctionner : ses amendes doivent être « effectives, proportionnées et dissuasives », et le Conseil d’État vient de le rappeler en rejetant, le 16 octobre 2026, le recours formé contre une amende de 50 millions d’euros (Conseil d’État, 16 octobre 2026, n° 501268, rejet).
Le niveau de sécurité exigé s’apprécie au regard des risques, en tenant compte notamment de la destruction, de la perte, de l’altération ou de la divulgation non autorisée que le traitement peut provoquer. Pour un coffre de mots de passe, le risque est maximal par construction : une seule intrusion expose l’ensemble des comptes, bancaires et administratifs compris. L’éditeur ne peut donc pas se contenter d’une sécurité ordinaire ; il doit chiffrer, cloisonner, journaliser les accès et tester régulièrement ses défenses, puis prouver qu’il l’a fait. Quand il manque à ces devoirs, chaque manquement documente votre dossier.
B. Celui qui exploite vos mots de passe encourt des peines
Voler le contenu d’un coffre puis l’utiliser, c’est d’abord entrer sans droit dans un système. Le code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données ». Extraire les identifiants qui s’y trouvent tombe sous un texte plus sévère : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende ». La collecte elle-même est visée : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ».
Dès que l’auteur se fait passer pour vous, l’usurpation d’identité s’ajoute. Le code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération », en précisant que « Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne ». Si les identifiants servent à détourner des fonds, l’escroquerie s’applique : « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende ».
Les juges appliquent ces textes sans hésiter. Le 2 septembre 2025, la chambre criminelle a confirmé la condamnation d’un administrateur réseau pour maintien frauduleux dans le système de son ancien employeur, en retenant que « la perte de confiance éprouvée » par la victime « était constitutive d’un préjudice moral découlant directement du délit prévu par l’article 323-1 du code pénal », avec 10 000 euros de dommages et intérêts, et a prononcé le « rejet » du pourvoi (Cass. crim., 2 septembre 2025, n° 24-83.605). Dès 2018, la même chambre avait cumulé l’atteinte au système et l’atteinte au secret des correspondances électroniques (Cass. crim., 16 janvier 2018, n° 16-87.168), ce qui vise directement la lecture de votre messagerie après vol de son mot de passe.
Votre propre réutilisation d’un même mot de passe sur plusieurs services ne dédouane pas l’éditeur. La victime qui facilite la tâche de l’attaquant commet une imprudence, mais les obligations de sécurité et de notification pèsent sur le responsable du traitement indépendamment de votre comportement. Le juge répartit les responsabilités en comparant les fautes : un coffre non chiffré ou une absence de notification pèsent lourd face à une simple négligence d’utilisateur. Ne laissez donc aucun interlocuteur vous opposer votre réutilisation pour refuser toute mesure : elle se discute, au pire, sur le montant de la réparation, jamais sur l’existence des manquements.
L’exploitation en cascade aggrave chaque qualification. Le même mot de passe ouvre la messagerie, qui permet de réinitialiser le compte bancaire, qui valide des virements : chaque accès frauduleux, chaque extraction et chaque usage d’identité s’additionnent et se prouvent séparément. C’est pourquoi la chambre criminelle cumule les qualifications au lieu de les absorber, comme l’illustre sa décision de 2018 retenant à la fois l’atteinte au système et l’atteinte au secret des correspondances. Relevez donc chaque compte atteint, chaque heure de connexion et chaque opération : le dossier pénal comme le dossier indemnitaire se construisent compte par compte.
La même répression frappe la préparation. Détenir un programme conçu pour casser les mots de passe ou exploiter les failles du coffre expose son détenteur, et la chambre criminelle retient ensemble l’atteinte au système, l’atteinte au secret des correspondances et la détention de l’outil. Conservez donc aussi les messages où l’auteur se vante de ses méthodes ou propose de revendre vos codes : ils établissent l’intention et élargissent les qualifications retenues par le procureur.
II. La méthode, dans l’ordre : sécuriser, prouver, saisir
A. Couper l’hémorragie et figer les preuves
Changez d’abord le mot de passe maître du coffre depuis un appareil sain, puis chaque mot de passe réutilisé ailleurs, en commençant par la messagerie de récupération, les impôts, la banque et les commerces enregistrant votre carte. Activez l’authentification à plusieurs facteurs partout où elle existe et révoquez les sessions ouvertes sur les appareils inconnus. Ne répondez à aucun message qui vous demande vos nouveaux codes et ne versez rien à un maître chanteur : le paiement n’efface aucune copie et finance l’exploitation suivante. Les fiches réflexes publiques décrivent les mêmes gestes : Cybermalveillance.gouv.fr pour les fuites de données personnelles et les fiches du ministère de l’Intérieur pour les violations de données.
Vérifiez si vos identifiants circulent déjà. Des services publics de signalement et des bases de fuites recensent les adresses et mots de passe compromis : une adresse jetable ou un mot de passe unique y apparaissent quand ils ont fuité. Cette vérification ne remplace ni la notification de l’éditeur ni votre droit d’accès, mais elle date l’exposition et oriente l’ordre des changements. Traitez en priorité les comptes qui commandent les autres : messagerie de récupération, identifiant fiscal et social, banque, opérateur téléphonique, commerces conservant votre carte. Pour chacun, changez le mot de passe, activez le second facteur et contrôlez les adresses de secours, les numéros de récupération et les applications autorisées, car l’attaquant modifie d’abord ces portes de sortie.
Faites constater les faits importants par un professionnel. Un commissaire de justice peut dresser procès-verbal du contenu d’une boîte de réception compromise, d’une notification de l’éditeur ou d’un relevé bancaire avant toute modification, avec une force probante supérieure à vos captures personnelles. Ce constat fige la date et le contenu au moment où vous l’avez découvert et résiste aux contestations sur la manipulation des pièces. Classez l’original de chaque preuve avec sa date d’obtention et ne transmettez que des copies, en conservant les métadonnées des fichiers. Réservez-le aux éléments décisifs, car chaque constat a un coût : la notification de violation, les opérations frauduleuses et l’état des comptes suffisent le plus souvent.
Conservez la notification de l’éditeur, les courriels et SMS suspects, les relevés bancaires anormaux et des captures datées des connexions inconnues. Demandez ensuite à l’éditeur du coffre quelles catégories de données ont été exposées, combien de comptes sont concernés et quelles mesures il a prises : la notification qu’il adresse à l’autorité doit précisément les décrire. Exercez en parallèle votre droit d’accès pour savoir quelles données vous concernant il conserve et à qui il les a transmises ; la démarche complète est décrite dans notre article sur le droit d’accès à vos données personnelles et la copie de votre dossier. Si des comptes ont été ouverts à votre nom, faites établir des relevés et des attestations par chaque organisme : sans écrit, la cascade de comptes reste une affirmation.
Surveillez votre ligne téléphonique avec la même attention que vos comptes. L’attaquant qui possède vos identifiants tente souvent de faire transférer votre numéro vers une autre carte SIM pour intercepter les codes de validation : toute perte inexpliquée de réseau, toute notification de changement de carte ou tout code reçu sans action de votre part impose un appel immédiat à votre opérateur et une vérification en boutique avec pièce d’identité. Demandez le verrouillage des opérations à distance sur la ligne et conservez les relevés d’incidents fournis par l’opérateur.
Passez en revue les applications et services tiers autorisés à se connecter à vos comptes : gestionnaires annexes, sauvegardes automatiques, extensions de navigateur, délégations d’accès. Révoquez chaque autorisation inconnue ou inutile, changez les jetons d’interface et déconnectez les appareils perdus ou revendus. L’attaquant installe souvent une persistance silencieuse, une règle de transfert ou une adresse de secours, qui survit au changement du mot de passe principal : sans ce nettoyage, la fuite recommence à l’identique quelques jours plus tard.
Commencez toujours par la messagerie qui reçoit les réinitialisations : tant qu’elle reste compromise, chaque nouveau mot de passe est rejoué par l’attaquant. Vérifiez ses règles de transfert, ses adresses de secours et ses sessions actives avant de reconstruire le reste. Si un second facteur a été ajouté ou supprimé à votre insu, signalez-le dans la plainte comme un indice d’intrusion, et conservez la notification de l’opérateur.
Prévenez votre banque dès le premier mouvement que vous n’avez pas ordonné. Demandez le blocage des opérations en cours, la révocation des bénéficiaires ajoutés à votre insu et la mise sous surveillance du compte, puis confirmez chaque demande par écrit. Les établissements disposent de procédures de contestation des opérations non autorisées avec leurs propres formulaires et leurs propres délais : réclamez-les et respectez-les à la lettre, car un dossier bancaire incomplet retarde le remboursement. Si un crédit a été souscrit à votre nom, exigez une copie du contrat et contestez par écrit en joignant votre plainte pénale.
Surveillez durablement vos comptes bancaires, vos remboursements d’assurance maladie et votre boîte de réception fiscale, car des identifiants volés resservent des mois plus tard. Placez vos pièces d’identité sous surveillance : une copie associée à un mot de passe permet d’ouvrir des lignes, des crédits ou des portefeuilles en ligne. Notez chaque incident nouveau avec sa date, son canal et son montant, dans un tableau tenu au jour le jour.
B. Plaintes, identification de l’auteur et réparation
Déposez plainte auprès de la police ou de la gendarmerie en visant l’accès frauduleux, l’extraction de données, la collecte illicite et, selon les faits, l’usurpation d’identité ou l’escroquerie, avec vos preuves et la notification de l’éditeur. La plainte fait constater l’infraction, ouvre l’enquête technique et conditionne la plupart des remboursements bancaires. Si l’auteur a agi sous pseudonyme sur un réseau social ou une messagerie, le juge des référés peut contraindre l’hébergeur à livrer son identité : le 15 juillet 2026, le tribunal judiciaire de Paris a ainsi ordonné à une plateforme de communiquer, dans les huit jours, les données d’identification d’un compte usurpant une identité, y compris « les données destinées à permettre à l’utilisateur de vérifier son mot de passe ou de le modifier » (TJ Paris, ord. réf., 15 juillet 2026, RG 26/50431).
Devant le juge pénal, constituez-vous partie civile dès le dépôt de plainte. L’arrêt criminel de 2025 l’illustre : la victime du maintien frauduleux a obtenu 10 000 euros pour son préjudice moral, somme confirmée par le rejet du pourvoi. L’action civile permet au juge répressif de réparer le dommage personnel directement causé par l’infraction, sans attendre l’issue d’un procès civil séparé. Joignez vos factures, vos relevés et le décompte des heures passées à reconstruire vos accès : le juge indemnise le préjudice prouvé, pas l’inquiétude alléguée.
Pour faire identifier un auteur masqué, l’ordonnance de référé parisienne vise l’article 145 du code de procédure civile, qui permet de solliciter des mesures d’instruction avant tout procès, ainsi que les textes imposant aux hébergeurs de conserver les données d’identification de leurs utilisateurs. Agissez vite : ces données de connexion ne sont pas conservées indéfiniment, et une demande tardive se heurte à leur effacement. Faites signifier l’ordonnance dans le délai qu’elle fixe, huit jours à compter de sa signification dans l’affaire parisienne, puis transmettez les éléments obtenus au service d’enquête déjà saisi de votre plainte.
Saisissez ensuite la CNIL contre l’éditeur dont la sécurité a failli. Le règlement donne à « toute personne concernée » le droit d’introduire une réclamation si elle estime que le traitement de ses données viole le règlement, et l’autorité doit l’informer de l’état d’avancement et de l’issue. Mais exercez d’abord vos droits directement auprès de l’éditeur, car la CNIL prévient qu’elle « ne peut pas être votre mandataire » et qu’elle ne traite pas une « plainte imprécise ou incomplète » : joignez vos demandes, ses réponses et la notification reçue. Le parcours complet, de la mise en demeure à la relance, est détaillé dans notre article sur la plainte CNIL sans réponse et ses suites.
La plainte CNIL vise l’éditeur, pas l’auteur du piratage. Si l’enquête établit des manquements à la sécurité ou à la notification, la formation restreinte peut prononcer des mesures correctrices, une injonction de mise en conformité et une amende, comme celle de 50 millions d’euros infligée à un opérateur puis confirmée par le Conseil d’État. Cette sanction punit l’éditeur ; elle ne vous indemnise pas. C’est l’action en réparation, devant le juge judiciaire, qui compense votre dommage : menez les deux voies en parallèle, chacune avec ses preuves.
Chiffrez votre préjudice avec méthode. Additionnez les sommes détournées, les frais de remplacement des moyens de paiement, les abonnements de surveillance souscrits après les faits et les heures de travail perdues à reconstruire vos accès, pièces à l’appui. Décrivez le préjudice moral sans exagération : nuits sans sommeil, démarches anxiogènes auprès de chaque organisme, crainte durable d’une nouvelle utilisation de votre identité. L’arrêt criminel de 2025 montre qu’une perte de confiance précisément décrite obtient réparation ; une angoisse alléguée sans fait rattaché n’obtient rien.
Demandez enfin réparation de votre préjudice. Le règlement ouvre à « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement » le droit d’obtenir du responsable du traitement ou du sous-traitant « réparation du préjudice subi ». Le 24 juin 2026, la chambre sociale a précisé le régime : « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation », mais le juge ne peut pas exiger un seuil de gravité, car le droit européen « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité », et la somme allouée « doit permettre de compenser intégralement le préjudice concrètement subi » sans poursuivre une fonction punitive (Cass. soc., 24 juin 2026, n° 24-22.792). Conservez chaque facture, chaque relevé et chaque message : sans preuve du dommage, même une violation établie ne donne lieu à aucune réparation. Le même texte garantit à chacun « droit à un recours juridictionnel effectif » contre le responsable ou le sous-traitant devant les juridictions de l’État membre.
La réparation peut être demandée à l’éditeur comme à son hébergeur. Le règlement prévoit que tout responsable ayant participé au traitement répond du dommage causé et que, lorsque plusieurs acteurs participent au même traitement, chacun des acteurs impliqués répond de la totalité du dommage, pour garantir une réparation effective. Vous pouvez donc agir contre celui qui est solvable ou identifié, à charge pour lui de se retourner contre l’autre. L’exonération suppose qu’il prouve que le fait dommageable ne lui est nullement imputable, preuve redoutable quand le chiffrement promis faisait défaut.
Conclusion
Un coffre de mots de passe compromis cumule deux fautes possibles : celle de l’éditeur qui n’a pas chiffré ni protégé vos identifiants, et celle de l’auteur qui les vole puis les exploite. La première relève du règlement européen et de la CNIL, avec notification dans les meilleurs délais et réparation du dommage prouvé ; la seconde relève du code pénal, de l’accès frauduleux à l’escroquerie en passant par l’usurpation d’identité. Changez vos codes sans attendre, figez les preuves, déposez plainte, exercez vos droits puis saisissez la CNIL, et chiffrez votre préjudice pièce par pièce : c’est cet enchaînement, mené dans l’ordre, qui transforme une fuite subie en dossier réparable. Agissez dans les heures qui suivent, car les journaux techniques s’effacent et les fonds détournés transitent vite. Un dossier complet, avec notification de l’éditeur, demandes écrites, plainte pénale, réclamation CNIL et décompte chiffré du préjudice, donne à chaque autorité ce qu’elle attend et évite les allers-retours qui font perdre des mois et affaiblissent la preuve du préjudice devant le juge saisi. C’est à cette condition que la violation technique devient une faute sanctionnée et que le dommage chiffré devient une indemnité effectivement versée par le responsable condamné après épuisement de ses contestations.