Fuites de données : vérifier sans se mettre en danger

Où regarder si vos données ont fuité, ce que la loi interdit, les sites à fuir, et quoi faire ensuite.

Mis à jour le 7 novembre 2026

Attention : sites illégaux. N’utilisez jamais les sites qui affichent des données volées, comme BrixHub. Selon la CNIL, ils ne respectent pas la loi, et le gouvernement a saisi la justice. Les utiliser peut vous exposer à des poursuites.

L’essentiel

Vérifiez seulement vos propres données, sur un service qui ne montre pas le contenu de la fuite.
Ne cherchez pas les données d’une autre personne, et ne téléchargez, ne gardez ni ne partagez jamais un fichier de fuite.
N’utilisez jamais un mot de passe trouvé dans une fuite pour entrer dans un compte qui n’est pas le vôtre.
Ne payez jamais pour faire retirer vos données d’un site.

Où vérifier si vos données ont fuité

Have I Been Pwned : le bon réflexe pour votre e-mail

Entrez votre adresse sur haveibeenpwned.com : le site liste les fuites connues où elle apparaît. Il n’affiche pas vos mots de passe. Les fuites sensibles, comme celles de sites de rencontre, ne sont visibles qu’après avoir prouvé que l’adresse est la vôtre. Vous pouvez aussi demander une alerte en cas de nouvelle fuite.

Limite : ce service gratuit est loin d’être complet. Ne rien y trouver ne prouve pas que vos données sont à l’abri.

Sources : FAQ de Have I Been Pwned · Que Choisir, 14 octobre 2026

Notre test de mot de passe

L’outil Mot de passe déjà fuité ? cherche votre mot de passe parmi ceux déjà publiés. Il n’est jamais envoyé : seuls les 5 premiers signes de son empreinte partent vers Have I Been Pwned.

L’organisme concerné

Si la fuite vous expose à des risques, l’organisme doit vous prévenir dans les meilleurs délais. Vous pouvez aussi lui demander si vos données sont touchées. La CNIL, elle, ne peut pas vous le confirmer.

Source : CNIL : fuite ou vol de données

Intelligence X : un outil d’enquête, pas pour le grand public

Intelligence X (IntelX) est un moteur de recherche édité par une société tchèque. Il couvre notamment le darknet, des plateformes de partage de documents et des fuites publiques. Ses résultats peuvent contenir des noms, des adresses IP et des mots de passe. L’accès gratuit est très limité, et les formules payantes visent surtout les enquêteurs et les entreprises.

Un service payant ne rend pas votre usage légal. Ses conditions précisent que le client est seul et entièrement responsable de la légalité de son utilisation. Bellingcat, spécialiste de l’enquête en sources ouvertes, invite à peser les enjeux éthiques et à ne jamais utiliser ces données pour pirater des comptes. Pour vérifier votre e-mail, Have I Been Pwned suffit.

Sources : conditions d’utilisation d’Intelligence X · fiche Bellingcat

Mise en garde de la CNIL : « certains sites web indiquent détenir les données et pouvoir vous dire si vous êtes ou non concerné(e). La CNIL déconseille de les utiliser. » Elle ne cite aucun nom. Que Choisir recommande Have I Been Pwned, mais déconseille les moteurs qui affichent les données des personnes.

Sources : CNIL : fuite ou vol de données · Que Choisir, 14 octobre 2026

Ce qui est illégal, et ce que vous risquez

Une donnée déjà en ligne reste protégée : elle ne devient pas libre parce qu’elle a fuité. Les peines ci-dessous sont les maximums prévus par le code pénal. Le juge décide selon les faits.

Ce que vous faites	Peine maximale	Texte
Entrer dans le compte d’une autre personne avec un mot de passe fuité	3 ans, 100 000 €	art. 323-1
Extraire, copier ou transmettre frauduleusement les données d’un système	5 ans, 150 000 €	art. 323-3
Garder ou transmettre des données volées, ou en profiter, en connaissant leur origine (recel)	5 ans, 375 000 €	art. 321-1
Collecter des données personnelles par un moyen frauduleux, déloyal ou illicite	5 ans, 300 000 €	art. 226-18
Diffuser des informations sur une personne pour l’exposer à un danger, en connaissant ce risque	3 ans, 45 000 €	art. 223-1-1
Usurper l’identité d’une personne, ou utiliser ses données pour troubler sa tranquillité ou nuire à sa réputation	1 an, 15 000 €	art. 226-4-1
Exploiter, dans certaines conditions, une plateforme qui permet sciemment de céder des contenus manifestement illicites	7 ans, 500 000 €	art. 323-3-2

Certaines peines augmentent selon les cas : par exemple 7 ans et 300 000 € pour un accès frauduleux à un système de données personnelles de l’État, ou 5 ans et 75 000 € pour une diffusion visant un mineur ou une personne vulnérable.

Le recel d’informations, un point à connaître

Le 18 février 2026, la Cour de cassation a jugé que bénéficier en connaissance de cause d’une information issue d’un délit, par tout moyen, peut constituer un recel. L’affaire concernait des informations d’entreprise, pas une fuite sur internet. Ce raisonnement n’a pas encore été appliqué, à notre connaissance, à une personne qui consulte un site de données volées.

Source : Cour de cassation, 18 février 2026, n° 24-82.611

Les sites de données volées

On les appelle des « lookups » : des moteurs de recherche qui affichent, à partir d’un nom, des données issues de piratages. L’un d’eux revendique plus de 11 milliards d’enregistrements. Selon la presse, on peut y trouver une adresse, un téléphone, un e-mail, un IBAN ou un numéro de Sécurité sociale. Le retrait des fiches y est payant.

Pourquoi ces sites sont mis en cause

Le 5 octobre 2026, la ministre déléguée au Numérique a signalé l’un de ces sites au procureur de Paris, au titre de l’article 40 du code de procédure pénale. Son cabinet évoque de probables piratages, ainsi que des accès et extractions frauduleux.
La CNIL indique que ces sites « n’apparaissent pas conformes à la législation », et que leurs responsables ne sont pas tous identifiables.
Ce site affirme n’exploiter que des fuites déjà publiques. Il reviendra à la justice d’apprécier cet argument.

Nous n’avons trouvé, à la date de cette page, aucune décision de justice sur ce site : c’est aux tribunaux de trancher. Nous ne faisons aucun lien vers ces sites.

Ce que vous risquez en l’utilisant

Chercher le nom d’une autre personne : c’est là que le risque est réel, surtout si vous gardez, transmettez ou exploitez la fiche. Le recel, la collecte illicite, la diffusion et l’usurpation d’identité peuvent alors être en jeu. Une bonne raison, comme retrouver un proche ou vérifier un locataire, ne supprime pas ce risque.
Chercher votre propre nom : selon une analyse d’avocat, aucun texte ne punit la simple consultation et les poursuites seraient difficiles. La question n’a toutefois pas été tranchée, et vous donnez votre identité à un site douteux.
Payer le retrait : rien ne garantit la suppression, et les données continuent de circuler. La ministre l’a dit clairement : « ne payez jamais pour faire retirer vos données ».

Sources : article 40 du code de procédure pénale · Que Choisir, 14 octobre 2026 · Siècle Digital, 8 octobre 2026 · analyse du cabinet Kohen Avocats

Vos données ont fuité : que faire

Changez le mot de passe concerné sans attendre, puis partout où vous l’utilisiez. Commencez par la messagerie, les impôts, la banque et les sites d’achat.
Activez la double authentification et gardez vos mots de passe dans un gestionnaire.
Méfiez-vous des messages réalistes : n’ouvrez pas les pièces jointes, ne cliquez pas, et tapez vous-même l’adresse du service.
Surveillez vos comptes bancaires et prévenez votre banque au moindre mouvement suspect.
Si quelqu’un utilise votre identité : portez plainte au plus vite et prévenez vos banques. Vous pouvez aussi consulter le fichier FICOBA depuis votre espace sur impots.gouv.fr.
Si un site affiche vos données : ne payez pas et saisissez la CNIL.
Si une « association » propose de les effacer : ne répondez pas et n’envoyez aucun justificatif. Ces courriels peuvent contenir vos vraies données pour paraître crédibles.

Pour une aide en direct, contactez 17Cyber ou Cybermalveillance.gouv.fr. Pour signaler un contenu illicite en ligne : Pharos.

Sources : CNIL : fuite ou vol de données · CNIL : alerte du 24 juin 2026 · fiche réflexe Cybermalveillance (PDF)

Toutes les sources

Textes officiels (Légifrance)

Code pénal : art. 323-1, art. 323-3, art. 323-3-2, art. 321-1, art. 226-18, art. 223-1-1, art. 226-4-1
Cour de cassation, 18 février 2026, n° 24-82.611
Article 40 du code de procédure pénale

Autorités publiques

Documentation des services

Presse et analyses (sources non officielles)

Que Choisir, 14 octobre 2026 : propos de la CNIL et fonctionnement de ces sites
Siècle Digital, 8 octobre 2026 : signalement de la ministre
analyse du cabinet Kohen Avocats : avis d’un cabinet, pas une décision de justice

Cette page donne une information générale et ne remplace pas l’avis d’un avocat. Pour votre situation précise, adressez-vous à un professionnel du droit.