Have I Been Pwned? (HIBP) est un site créé fin 2013 par l'expert en cybersécurité Troy Hunt. Ce site vous permet de savoir si vos données personnelles ont été compromises sur la toile. L’interface est en anglais, mais le principe d’utilisation n’est pas bien compliqué, vous mettez votre donnée dans un champ et on vous dit si elle est compromise. En juin 2019, le site est consulté 150 000 fois par jour et compte environ 3 millions d'inscrits.

Pour information, les plus grosses fuites de données connues sont par exemple : Facebook en avril 2021 (500 millions de comptes), MySpace en 2008 (360 millions de comptes) LinkedIn en 2016 (164 millions d’emails et de mot de passe exposés), Youporn en 2012 (plus d’un million de comptes) etc...

Il y a donc quelques chances que vous soyez concernés. Même si vous ne vous êtes jamais connecté à ces sites, il vaut quand même mieux tester vos données pour être sûr de vous.

Que puis-je vérifier, que faire ?

Sur HIBP, vous pouvez tester que votre adresse mail, votre numéro de téléphone ou encore votre mot de passe n’ont pas fuité... 

Vous pouvez également vous enregistrer sur le site afin d’être prévenu lors de potentielles compromissions futures.

Si jamais vos données ont été compromises, il vaut mieux renforcer la sécurité du compte concerné (double authentification, changement de mot de passe avec un mot de passe auto généré, notifications de compromissions…).

Puis-je faire confiance à Have I Been Pwned pour tester mon mot de passe, mes données personnelles, ou m’inscrire ?

Il n’y a pas à ce jour de brèche connue avec le site. Si vous voulez tester votre adresse email, allez-y, c’est tout bénef. De plus, la façon dont HIBP est conçue vous empêche normalement d’avoir un quelconque problème (un protocole spécial pour la partie sur les mots de passe). Après c’est toujours pareil, vous devez quand même faire confiance au site pour tester vos données. Mais bon, vous avez déjà fait confiance à d’autres sites moins sécurisés sans vous poser la question non ? Pour plus d’informations, je vous invite à lire cet article sur la sécurité de Have I Been Pwned ?

Quelles sont les bonnes pratiques pour éviter de “me faire avoir” mon mot de passe ?

Il y a quelques règles à connaitre pour éviter de vous faire pirater vos comptes. La première est de ne jamais utiliser le même mot de passe (ni de variantes de celui-ci). Il ne faut pas non plus que votre mot de passe soit trop simple ni trop court (il faut des caractères spéciaux, des lettres majuscules et minuscules et des chiffres) . Enfin, il est recommandé d’utiliser un gestionnaire de mot de passe comme Dashlane ou Bitwarden. Ces outils permettent d’avoir un coffre fort avec tous vos mot de passe et de facilement y accéder. Vous n’aurez qu’à retenir (et à ne pas perdre) un mot de passe maître qui vous ouvrira la porte de tous vos autres mots de passe. Ces outils intégrés aux navigateurs sont normalement dignes de confiance, la sécurité est leur métier.