Parlons des fuites de données. Pas celles que vous lisez dans les gros titres et que vous oubliez avant le déjeuner, mais celles qui affectent directement votre vie. Si vous utilisez la même adresse email depuis plus de deux ans, statistiquement, vos données ont déjà fuité. Pas une fois. Probablement plusieurs.
La fuite de LinkedIn en 2021 a exposé 700 millions de dossiers. Facebook a divulgué 533 millions de numéros de téléphone et d'emails en 2019. Twitter a vu 200 millions d'emails aspirés début 2023. Et ce ne sont que celles dont on a connaissance. Le nombre réel de fuites — incluant les petites entreprises sans budget sécurité et les services qui ne divulguent jamais les incidents — est astronomiquement plus élevé.
Voici la vérité qui dérange : votre adresse email est déjà entre les mains de personnes à qui vous ne l'avez jamais donnée. Et chaque nouveau site auquel vous vous inscrivez est un nouveau pari risqué.
La réaction en chaîne d'une seule fuite
Quand une entreprise se fait pirater, que volent les attaquants ? Des noms d'utilisateur, des adresses email et des mots de passe. Même si les mots de passe sont hashés, les adresses email sont presque toujours stockées en clair. Votre email est l'identifiant universel qui relie tous les morceaux de votre identité numérique.
Une fois votre email divulgué, voici ce qui se passe :
- Attaques de credential stuffing — Des bots testent automatiquement votre couple email + mot de passe sur des sites bancaires, réseaux sociaux et plateformes e-commerce.
- Spear phishing — Les attaquants connaissent désormais votre nom, votre employeur (LinkedIn), vos centres d'intérêt (Facebook) et peuvent créer des emails qui ressemblent exactement à des communications légitimes.
- Revente sur le dark web — Votre email est regroupé dans des bases de données et revendu en masse. L'adresse email moyenne divulguée change de mains 3 à 5 fois la première année.
- Infestation permanente de spam — Une fois votre email sur les listes de spam, il n'en sort jamais. Vous pouvez vous désabonner, filtrer, signaler — ils le revendront ailleurs.
Comment l'email jetable crée une barrière protectrice
Considérez votre vraie adresse email comme votre adresse postale, et un email jetable comme une boîte postale. Quand vous commandez sur un site douteux, vous ne donnez pas votre adresse personnelle. Vous donnez la boîte postale. Si quelque chose tourne mal, votre domicile réel est intouché.
L'email jetable fonctionne de la même manière. Quand vous vous inscrivez à un service avec une adresse jetable et que ce service subit une fuite, les attaquants obtiennent :
- Une adresse email qui ne renvoie pas à votre identité
- Aucun accès à votre vraie boîte de réception
- Aucun risque de réutilisation de mot de passe
- Aucune surface de phishing
En bref : la fuite a toujours lieu, mais ce n'est pas la vôtre. Votre identité réelle reste complètement isolée.
Auditez où votre vrai email est utilisé
Voici un exercice pratique. Ouvrez votre gestionnaire de mots de passe et comptez combien de comptes sont liés à votre vraie adresse email.
La plupart des gens ont entre 80 et 200 comptes liés à leur email principal. Chacun d'eux représente un vecteur de fuite potentiel. Imaginez réduire ce nombre à 20 — banque, administration, santé, vos comptes sociaux principaux et quelques services de confiance. Tout le reste reçoit un email jetable.
C'est la stratégie : le vrai email pour ce qui compte, l'email jetable pour tout le reste.
Construisez votre stratégie de sécurité email
Voici un protocole simple à mettre en place dès aujourd'hui :
- Niveau 1 — Vrai email uniquement : Banque, portails gouvernementaux, santé, comptes professionnels principaux et récupération 2FA.
- Niveau 2 — Email jetable avec extension : Achats en ligne, comptes de forums, essais de streaming, inscriptions aux newsletters, téléchargements de contenu.
- Niveau 3 — Pure usage unique : Portails Wi-Fi, téléchargements ponctuels, concours, tout ce que vous ne revisiterez jamais.
Cette approche par niveaux signifie que lorsque la prochaine fuite inévitable se produira, le rayon d'explosion sera limité à quelques adresses temporaires sans importance au lieu de toute votre vie numérique.
Les fuites de données ne disparaîtront pas. Elles s'accélèrent. La question n'est pas de savoir si d'autres entreprises seront piratées. La question est de savoir si votre vrai email sera dans leur base de données quand cela arrivera.