24 milliards d’identifiants volés : comment savoir si vous êtes concerné et que faire maintenant

Le 17 juin 2026, les chercheurs de Cybernews ont publié une découverte qui dépasse tout ce que nous avons documenté jusqu’ici : une base de données contenant 24 milliards d’identifiants et de mots de passe en clair, amassés par des infostealers depuis plusieurs années. Cette mégafuite touche, en théorie, un service ou un compte en ligne sur deux accessible depuis la France. Voici ce qu’il faut savoir pour vérifier votre exposition et réagir efficacement.

Comment 24 milliards d’identifiants ont-ils pu s’accumuler ?

La base documentée par Cybernews n’est pas le fruit d’une seule attaque. Elle résulte de presque une décennie de vols silencieux, automatisés, à très grande échelle, par des logiciels malveillants appelés infostealers. Ces programmes s’installent sur un ordinateur, souvent via un logiciel piraté, une fausse mise à jour de navigateur ou une pièce jointe, puis extraient silencieusement tout ce que le navigateur a stocké : cookies, mots de passe enregistrés, données de formulaires, historiques.

Les chercheurs ont reconstitué une base unique d’environ 24 milliards d’identifiants uniques (adresse e-mail + mot de passe), accompagnés du service d’origine (URL où ils ont été volés) et parfois de l’adresse IP de la machine infectée. Cette base est exploitée par des groupes criminels pour des attaques par credential stuffing, c’est-à-dire des tentatives automatisées de connexion sur des milliers de sites avec des couples e-mail / mot de passe recyclés.

L’ampleur de la fuite tient en partie à une mécanique simple : la majorité des particuliers réutilisent le même mot de passe (ou une variante) sur plusieurs dizaines de services. Selon une étude de LastPass publiée en 2025, 65 % des utilisateurs déclarent réutiliser au moins partiellement leurs mots de passe, et un particulier moyen gère plus de 240 comptes en ligne. Un identifiant volé sur un site marginal peut donc compromettre une messagerie, un compte bancaire ou un accès professionnel.

Que trouve-t-on exactement dans cette base de données ?

Le chercheur en chef de Cybernews, Mantas Sasnauskas, a confirmé que la base contient 24 milliards d’enregistrements actifs, soit environ 9 à 10 fois le nombre d’internautes dans le monde (estimé à 5,5 milliards en 2026 selon l’UIT). Cette différence s’explique par la présence de comptes anciens, désactivés, ou créés pour un usage unique. Les doublons ont été retirés : il s’agit bien de couples adresse e-mail / mot de passe effectivement valides au moment du vol.

Comment savoir si vos identifiants sont concernés ?

Trois services de référence permettent de vérifier gratuitement si votre adresse e-mail figure dans des bases de données compromises. Nous vous recommandons de tester les trois, car leurs sources de données ne sont pas strictement identiques : un résultat négatif sur l’un n’exclut pas une exposition enregistrée par un autre.

1. HaveIBeenPwned (haveibeenpwned.com) : le service historique, créé par le chercheur australien Troy Hunt en 2013. Il recense plus de 900 incidents de sécurité documentés et alimente les navigateurs Firefox et 1Password.
2. Cybernews Personal Data Leak Check (cybernews.com/personal-data-leak-check) : le moteur de recherche dédié à la mégafuite 24 milliards, accessible gratuitement depuis le 18 juin 2026.
3. Mozilla Monitor (monitor.mozilla.org) : la version Mozilla de HaveIBeenPwned, intégrée au navigateur Firefox, avec des recommandations de remédiation pas à pas.

Saisissez votre adresse e-mail principale, puis toutes les adresses secondaires que vous utilisez (professionnelle, alias, ancienne adresse Free / Orange). Si l’un des services renvoie un résultat, ne paniquez pas : lisez l’incident concerné, la date de l’exposition, et concentrez-vous sur la modification des mots de passe associés. Notre guide pour vérifier si votre adresse e-mail a fuité sur le dark web détaille la marche à suivre complète.

Chronologie de la mégafuite 24 milliards : comment en est-on arrivé là ?

La découverte de Cybernews s’inscrit dans une trajectoire de fuites massives initiée en 2017. Voici les principales étapes qui ont conduit à la constitution d’une base de 24 milliards d’identifiants.

La France particulièrement exposée par rapport au reste du monde ?

La France figure parmi les pays européens les plus présents dans les bases d’identifiants, et ce pour trois raisons documentées : une forte digitalisation des services publics (FranceConnect, impots.gouv.fr, Ameli), un taux élevé de comptes e-commerce créés sur des plateformes internationales, et une moyenne d’âge d’équipement numérique qui laisse une proportion importante d’utilisateurs équipés de postes non maintenus à jour.

Quelles mesures concrètes adopter dans les 24 prochaines heures ?

Si l’ampleur de la fuite peut sembler décourageante, la marche à suivre concrète se résume en cinq étapes priorisées. Nous estimons qu’un particulier équipé peut réaliser l’ensemble en moins d’une heure, à condition de procéder dans l’ordre.

1. Vérifier l’exposition de toutes vos adresses e-mail sur HaveIBeenPwned, Cybernews Check et Mozilla Monitor. Notez les services mentionnés dans les incidents.
2. Changer le mot de passe de votre messagerie principale (Gmail, Outlook, ProtonMail) en priorité, et activer la double authentification. Si un attaquant prend le contrôle de votre messagerie, il peut réinitialiser tous vos autres comptes.
3. Changer le mot de passe des comptes sensibles : banque, administrations, achats, réseaux sociaux. Générez un mot de passe unique par compte à l’aide d’un gestionnaire de mots de passe.
4. Activer une clé d’accès (passkey) sur les services qui la supportent : Apple, Google, Microsoft, GitHub, PayPal. Une passkey remplace le mot de passe par une clé cryptographique liée à votre appareil, invulnérable au phishing.
5. Surveiller vos relevés bancaires pendant 90 jours : si un paiement inconnu apparaît, contestez-le auprès de votre banque sous 13 mois, délai maximal de rétrofacturation CB.

Le point 3 mérite un développement : la majorité des utilisateurs craignent de gérer 240 mots de passe uniques, mais un gestionnaire moderne (Bitwarden, Proton Pass, KeePass) génère, retient et remplit automatiquement ces identifiants. Vous n’avez qu’à mémoriser un mot de passe maître fort, idéalement une phrase longue de 6 mots non liée à votre vie, comme “le-chat-dore-mange-six-poireaux”.

Pourquoi les mots de passe traditionnels ont-ils atteint leurs limites ?

Notre article dédié au credential stuffing explique en détail la mécanique du recyclage des mots de passe. En synthèse : un attaquant qui possède 24 milliards d’identifiants peut tester 1 000 couples e-mail / mot de passe par seconde sur les sites les plus populaires. Le succès est quasi garanti pour les comptes où le mot de passe a été réutilisé, ce qui représente la majorité.

Pour les organisations, l’enjeu est désormais d’imposer une authentification multifacteur (MFA) systématique, voire de basculer vers l’authentification sans mot de passe via les passkeys standardisées par le FIDO Alliance (normes FIDO2 / WebAuthn). Ces clés cryptographiques ne sont jamais transmises au serveur : même en cas de fuite de base utilisateurs, l’attaquant ne dispose d’aucun secret à exploiter.

Que faire si votre adresse e-mail est dans la base 24 milliards ?

Si l’un des trois services de vérification confirme votre exposition, voici l’ordre des actions à mener, par priorité décroissante.

Quel est le rôle des forces de l’ordre et de la CNIL ?

La CNIL, gendarme français des données personnelles, a annoncé qu’elle coordonne son action avec l’ANSSI (Agence nationale de la sécurité des systèmes d’information) et la plateforme THESEE du ministère de l’Intérieur, qui reçoit les plaintes pour atteintes aux systèmes de traitement automatisé de données (article 323-1 et suivants du code pénal).

Si vous constatez une utilisation frauduleuse de vos identifiants (commande passée, compte piraté, demande de prêt à votre nom), nous vous recommandons de déposer plainte sur THESEE (menace-risque.cyber.gouv.fr) et de notifier l’incident à la CNIL dans les 72 heures si vous êtes responsable d’un service touché. Pour un particulier, la marche à suivre est documentée par le dispositif national d’assistance Cybermalveillance.gouv.fr.

Les entreprises doivent-elles reconsidérer leur politique d’authentification ?

La mégafuite 24 milliards pousse les directions des systèmes d’information à accélérer deux chantiers déjà amorcés en 2025 : la migration vers les passkeys pour les comptes à privilèges, et la mise en place de politiques de passwordless sur les applications métier internes.

Pour les organisations confrontées à un risque immédiat, l’ANSSI recommande trois mesures applicables en moins d’une semaine : l’activation systématique de la MFA sur tous les comptes (y compris les comptes de service), la mise en place d’une politique de mots de passe vérifiée contre HaveIBeenPwned au moment de la création, et la surveillance active des listes de credential stuffing partagées sur les forums cybercriminels.

Conclusion : traiter cette fuite comme un changement d’hygiène durable

La mégafuite 24 milliards n’est pas un événement isolé : c’est le point culminant d’une tendance de fond, où la compromission silencieuse d’un poste personnel peut se transformer en catastrophe collective. La bonne nouvelle est que les outils de protection ont eux aussi progressé : gestionnaires de mots de passe gratuits, passkeys FIDO2, authentification biométrique locale, vérifications publiques systématiques.

Si nous ne devions retenir qu’une seule action de cet article, ce serait celle-ci : installez un gestionnaire de mots de passe cette semaine. Le reste des bonnes pratiques découle mécaniquement de cet outil, qui devient l’infrastructure de base de votre sécurité numérique. Une heure investie aujourd’hui vous évitera des semaines de démarches le jour où l’un de vos comptes critiques sera pris pour cible.