1. Une fuite d'adresse mail, c'est quoi ?
Une fuite de données survient lorsqu'un service que vous utilisez (boutique en ligne, réseau social, administration, prestataire) laisse échapper sa base clients, par piratage, erreur de configuration ou compromission d'un sous-traitant. Votre adresse mail s'y trouve presque toujours : c'est l'identifiant central de votre vie numérique.
Le phénomène a changé d'échelle. Selon la compilation de référence Have I Been Pwned, une seule liste de credential stuffing agrégée par la société Synthient et indexée en novembre 2025 contenait environ 2 milliards d'adresses mail uniques et 1,3 milliard de mots de passe, issus de fuites anciennes recompilées au fil des ans. En France, l'écosystème spécialisé recense plus de 300 services piratés et environ 250 millions de données exposées depuis janvier 2026.
Important : une adresse présente dans une « méga-fuite » ne signifie pas qu'un compte précis est piraté. Ces listes recyclent souvent de vieilles données. Mais elles suffisent à cibler, croiser et exploiter votre adresse — c'est là qu'est le danger.
2. Comment savoir si mon adresse a fuité ?
La référence mondiale est Have I Been Pwned (HIBP), service gratuit créé en 2013 par le chercheur en sécurité Troy Hunt. Vous saisissez votre adresse, et il vous indique dans quelles fuites elle apparaît, leur date, et quelles autres données y étaient associées.
La méthode en 1 minute
- Rendez-vous sur haveibeenpwned.com et saisissez votre adresse dans le champ de recherche.
- Lisez la liste des fuites : pour chacune, notez si un mot de passe était exposé (le cas le plus grave).
- Activez l'option « Notify me » pour être prévenu des futures fuites contenant votre adresse.
- Vérifiez vos mots de passe (sans les saisir en clair) via l'outil distinct Pwned Passwords.
3. Quels sont les risques réels ?
Tout dépend de ce qui a fuité avec votre adresse. Voici les quatre menaces principales.
Le phishing ciblé
Avec votre adresse, votre nom et le nom du service piraté, un attaquant rédige un faux message crédible (« votre commande chez X », « problème de paiement »). C'est le risque numéro un, car il exploite directement la confiance que vous accordez à une marque connue.
Le credential stuffing
Si un mot de passe a fuité avec votre adresse, les pirates le testent automatiquement sur des dizaines d'autres sites. Comme beaucoup de gens réutilisent le même mot de passe, une fuite sur un forum anodin peut ouvrir l'accès à votre messagerie, votre banque ou vos réseaux sociaux. Vos identifiants deviennent, selon l'expression de Troy Hunt, « les clés du château ».
Le spam et l'usurpation d'identité
Une adresse circulant dans les bases pirates est revendue et arrosée de spam. Combinée à d'autres données (téléphone, adresse postale, date de naissance), elle alimente des tentatives d'usurpation d'identité et de fraude — un risque particulièrement sérieux quand la fuite touche un service public ou un titre officiel.
4. Que faire si mon adresse a fuité : les 5 étapes
Vérifier l'ampleur
Listez sur HIBP toutes les fuites concernées et repérez celles où un mot de passe était exposé.
Changer les mots de passe
En priorité celui de votre messagerie, puis tout compte partageant le même mot de passe. Utilisez un gestionnaire de mots de passe pour en générer des uniques.
Activer la double authentification (2FA)
Partout où c'est possible, en commençant par votre adresse mail — c'est elle qui réinitialise tous vos autres comptes.
Se méfier du phishing
Pendant les semaines qui suivent, traitez tout message inattendu d'un service connu avec prudence : ne cliquez pas, allez sur le site officiel par vous-même.
Faire supprimer vos données
Demandez l'effacement de vos données auprès des responsables de traitement et des courtiers en données, au titre de l'article 17 du RGPD. C'est l'étape que Sheeldy prend en charge pour vous.
Votre adresse traîne dans trop de bases ?
Sheeldy identifie qui détient vos données et envoie les demandes de suppression à votre place, avec suivi et relance.
Lancer ma suppression5. Vos droits RGPD
En tant que résident de l'Union européenne, vous disposez de droits que la plupart des gens n'exercent jamais. Face à une fuite, trois articles du RGPD sont décisifs :
- Article 15 — droit d'accès : savoir quelles données un organisme détient sur vous.
- Article 17 — droit à l'effacement (« droit à l'oubli ») : exiger la suppression de vos données. Le responsable dispose en principe d'un mois pour répondre.
- Article 21 — droit d'opposition : refuser l'utilisation de vos données à des fins de prospection commerciale.
Si un organisme ne répond pas ou refuse sans motif valable, vous pouvez saisir la CNIL. Notez aussi qu'en cas de violation présentant un risque élevé, le responsable a l'obligation de vous informer de la fuite.
6. Faire supprimer ses données avec Sheeldy
Exercer ces droits manuellement est fastidieux : il faut identifier chaque organisme détenteur, trouver le bon contact (DPO), rédiger un courrier juridiquement solide, puis relancer. Sheeldy automatise toute la chaîne :
- Identification des sites, services et courtiers en données qui détiennent votre adresse.
- Envoi de demandes d'effacement conformes à l'article 17, avec la base légale citée.
- Suivi et relance automatiques à J+30 si le responsable ne répond pas dans le délai légal.
- Accusé de traitement consolidé pour garder une trace de chaque démarche.
Le bénéfice : votre adresse circule dans moins de bases légales, donc dans moins de futures fuites. C'est une démarche d'hygiène numérique continue, pas un geste ponctuel.
7. Faire la démarche soi-même
C'est tout à fait possible, et nous l'encourageons pour les cas simples. Pour chaque organisme : repérez sa politique de confidentialité (elle indique le contact DPO ou une adresse dédiée, souvent du type dpo@ ou privacy@), puis envoyez une demande écrite invoquant l'article 17 du RGPD, en joignant une preuve d'identité si nécessaire. La CNIL met à disposition des modèles de courrier gratuits.
La limite : à l'échelle de plusieurs dizaines de courtiers et de services, le temps et le suivi deviennent la vraie difficulté. À vous d'évaluer le coût d'opportunité — c'est exactement ce que Sheeldy fait disparaître.
8. Questions fréquentes
Comment savoir si mon adresse mail a fuité ?
Saisissez-la sur Have I Been Pwned (haveibeenpwned.com), gratuit : il recense plus de 15 milliards de comptes compromis et indique dans quelles fuites votre adresse apparaît, avec leur date et les données associées.
Une fuite d'adresse mail est-elle vraiment dangereuse ?
Oui. Seule, elle alimente le spam et le phishing ciblé. Associée à un mot de passe, elle expose au credential stuffing : les pirates testent ce mot de passe sur tous vos autres comptes. Associée à d'autres données, elle nourrit l'usurpation d'identité.
Puis-je faire supprimer mon adresse des bases de données ?
Oui, auprès des organismes situés dans l'UE, grâce au droit à l'effacement de l'article 17 du RGPD. Le responsable a un mois pour répondre. Sheeldy automatise l'envoi, le suivi et la relance de ces demandes.
Peut-on effacer une adresse déjà publiée sur le dark web ?
Non, une donnée déjà diffusée ne peut pas être retirée des copies pirates. En revanche, vous pouvez faire supprimer votre adresse des bases légales pour limiter sa réexposition, et changer immédiatement tout mot de passe concerné.
Dois-je changer d'adresse mail après une fuite ?
Rarement nécessaire. Changer les mots de passe, activer la 2FA et rester vigilant face au phishing suffit dans la grande majorité des cas. Le changement d'adresse ne se justifie qu'en cas de harcèlement persistant ou de compromission répétée.
Combien de temps un organisme a-t-il pour me répondre ?
Un mois en principe, au titre de l'article 12.3 du RGPD, prolongeable de deux mois pour les demandes complexes. En l'absence de réponse, vous pouvez saisir la CNIL.
9. Sources
- Have I Been Pwned — fiche « Synthient Credential Stuffing Threat Data » (Troy Hunt, novembre 2025).
- Troy Hunt — analyse de l'indexation des 2 milliards d'adresses (troyhunt.com, nov. 2025).
- FrenchBreaches — annuaire des fuites de données en France et statistiques 2026.
- Cybernews / MacGeneration — fuite Alinto, 40 millions d'adresses (avril 2026).
- CNIL — droit à l'effacement, modèles de courrier et procédure de plainte.
- RGPD — articles 12, 15, 17 et 21 (Règlement UE 2016/679).
- Cybermalveillance.gouv.fr — assistance aux victimes de fuites de données.