Un salarié reçoit un email de son service RH lui demandant de confirmer ses identifiants sur un formulaire. Le lien pointe vers un domaine qui ressemble au portail interne, à une lettre près. En 2024, la plateforme cybermalveillance.gouv.fr a enregistré plus de 420 000 demandes d’assistance, dont environ un tiers liées au phishing.
La sécurité des données en ligne ne se joue plus sur des principes vagues, mais sur des réflexes précis face à des attaques de plus en plus ciblées.
A lire en complément : Astuces essentielles pour naviguer en sécurité avec Pinkgeek leaks en 2026
Phishing ciblé et fuites massives : ce que les chiffres récents changent
Le baromètre des fuites de données personnelles réalisé en partenariat avec la CNIL recense 8 613 violations notifiées entre septembre 2024 et septembre 2025, soit une hausse de 45 % par rapport à la période précédente. Les incidents dits « de masse », touchant plus d’un million de personnes, se multiplient.
On ne parle plus de risques abstraits. Quand une base de données d’opérateur ou de mutuelle fuit, ce sont des noms, des adresses, des numéros de sécurité sociale qui circulent sur des forums spécialisés. Chaque fuite alimente des campagnes de phishing personnalisé : le message frauduleux contient votre vrai nom, votre vraie adresse, parfois un numéro de contrat. Le filtre anti-spam classique ne suffit plus.
A lire également : Découvrez les meilleurs équipements pour optimiser vos projets d'architecture en ligne
Face à cette réalité, on retrouve des ressources techniques actualisées sur la rubrique sécurité sur Tech Mafia, qui détaille les mécanismes d’attaque courants et les contre-mesures adaptées.
Le réflexe à installer dans toute équipe : vérifier systématiquement le domaine expéditeur avant de cliquer sur un lien ou d’ouvrir une pièce jointe. Pas le nom affiché, mais l’adresse technique complète. Sur mobile, cela demande un appui long sur l’adresse, un geste que peu de gens ont.
Gestionnaire de mots de passe : le seul outil qui tient dans la durée
On connaît la règle : un mot de passe unique par service, long, complexe. En pratique, une personne gère entre cinquante et cent comptes en ligne. Sans outil dédié, on retombe sur des variantes du même mot de passe, ou on les stocke dans un fichier texte.
Un gestionnaire de mots de passe (KeePass, Bitwarden, 1Password) génère et stocke des identifiants aléatoires derrière un seul mot de passe maître. Le mot de passe maître est la seule chaîne à mémoriser. Le reste est chiffré localement ou dans un coffre-fort synchronisé.
Critères concrets pour choisir un gestionnaire
- Chiffrement de bout en bout : le fournisseur ne doit pas pouvoir lire vos mots de passe, même en cas de compromission de ses serveurs
- Compatibilité multi-appareils : le gestionnaire doit fonctionner sur votre navigateur de bureau, votre téléphone et votre tablette sans friction
- Audit de sécurité publié : privilégiez les solutions dont le code a été audité par un tiers indépendant, avec un rapport accessible
Les retours varient sur le choix entre solution auto-hébergée et solution cloud. Pour un usage personnel, une solution cloud auditée couvre la plupart des besoins. Pour une entreprise manipulant des données sensibles, l’auto-hébergement offre un contrôle total sur l’infrastructure.
Double authentification : où l’activer en priorité
Activer la double authentification (2FA) partout d’un coup, c’est le meilleur moyen de ne pas le faire du tout. On commence par les comptes dont la compromission aurait l’impact le plus grave.
Messagerie principale, banque en ligne, espace employeur : ces trois accès concentrent l’essentiel du risque. Un attaquant qui contrôle votre boîte mail peut réinitialiser les mots de passe de tous vos autres services.
SMS, application, clé physique : que choisir
Le code par SMS reste vulnérable au SIM swapping (détournement de carte SIM). Une application d’authentification type Google Authenticator ou Authy génère des codes localement, sans passer par le réseau mobile. Pour les profils les plus exposés (dirigeants, administrateurs système), une clé physique FIDO2 bloque toute tentative de phishing, même sophistiquée, car elle vérifie le domaine du site avant de s’activer.
Concrètement, passer du SMS à une application prend moins de dix minutes par compte. Le gain en protection est significatif.
Sauvegardes et chiffrement des données sensibles
Quand un ransomware chiffre un disque dur, la question n’est pas de savoir si on peut payer la rançon. La question est : dispose-t-on d’une sauvegarde récente, déconnectée du réseau, et testée ?
La règle opérationnelle tient en trois points :
- Une copie locale sur un disque externe débranché après chaque sauvegarde, pour résister à un ransomware qui chiffre tout ce qui est connecté
- Une copie distante (cloud chiffré ou serveur externe), pour couvrir le risque d’incendie, de vol ou de panne matérielle
- Un test de restauration au moins une fois par trimestre, parce qu’une sauvegarde qu’on n’a jamais restaurée est une sauvegarde qui n’existe pas
Chiffrer les fichiers sensibles avant de les stocker ajoute une couche de protection. Des outils comme VeraCrypt permettent de créer un volume chiffré sur un disque externe en quelques minutes. Si le disque est volé, les données restent illisibles sans la clé.
Permissions et mises à jour : deux angles négligés au quotidien
Installer une application lampe torche qui demande l’accès aux contacts, au micro et à la géolocalisation, c’est une situation courante. Chaque permission accordée est une surface d’attaque potentielle.
Sur Android comme sur iOS, on peut désormais accorder des permissions temporaires (uniquement pendant l’utilisation) ou les révoquer application par application. Un nettoyage trimestriel des permissions installées prend quinze minutes et réduit sensiblement l’exposition.
Côté mises à jour, un appareil non mis à jour est une porte ouverte. Les correctifs de sécurité comblent des failles activement exploitées. Activer les mises à jour automatiques sur tous les appareils, y compris le routeur domestique, supprime le risque d’oubli.
La protection des données en ligne repose moins sur la connaissance des règles que sur leur application régulière. Un gestionnaire de mots de passe configuré, une double authentification activée sur trois comptes critiques, une sauvegarde testée : ces trois actions couvrent la majorité des scénarios d’attaque auxquels on est réellement exposé.