« 12 millions de mots de passe tunisiens » : ce que vaut le chiffre, vérifier les vôtres et protéger votre entreprise

Repris le jour même par La Presse et Tuniscope, ce chiffre pose à chacun deux questions : les miens en font-ils partie, et que faire ? Ce guide y répond dans l’ordre : ce que recouvre le chiffre, vérifier vos adresses et vos mots de passe, que faire dans l’heure, protéger les comptes d’une PME, ce que la loi tunisienne impose et où signaler. Faits arrêtés au 29 octobre 2026.

L’essentiel en cinq points

• Un relevé de l’année 2025, avancé à la radio sans rapport ni méthode publiés, pas l’annonce d’une fuite d’octobre.
• Des mots de passe, pas des victimes : dans les décomptes de ce type, une même adresse compte souvent autant de fois qu’elle apparaît, et l’ancien se mêle au récent.
• Un vieux mot de passe reste une clé s’il protège encore un compte ou sert sur plusieurs sites.
• On vérifie une adresse, jamais un mot de passe tapé sur un site tiers : Have I Been Pwned pour les adresses, le gestionnaire pour les mots de passe.
• Une entreprise vérifie tout son domaine, sécurise d’abord sa messagerie et, selon la loi 2004-63, protège les données de ses clients.

Le chiffre de 12 millions : qui l’avance, et ce qu’il recouvre

Ce qui a été dit, et par qui

Selon La Presse, Oussama Lassissi a fait état d’« environ 12 millions de mots de passe associés à des utilisateurs tunisiens recensés en 2025 ». Tuniscope, qui écrit son nom « Lassies », précise que la déclaration a été faite à Express FM. L’entretien portait aussi sur les failles de PHP et de Node.js d’octobre ; pour PHP, nous avons détaillé ce que la faille PHP2Shell demande aux sites WordPress et PrestaShop.

Aucun des deux articles ne cite de rapport ni de méthode, et au 29 octobre 2026 nous n’avons trouvé aucune étude publique qui contienne ces chiffres. Cela ne les rend pas faux, mais on ignore ce qui a été compté, et comment.

Un relevé de l’année 2025, pas une fuite d’octobre

Les mots qui comptent sont « recensés en 2025 » : c’est le bilan d’une année écoulée, pas l’annonce d’un piratage récent. Et la date retenue n’est pas forcément celle du vol : Surfshark, par exemple, date chaque fuite du jour où elle est partagée dans des bases publiques (bilan 2025 de Surfshark). Un fichier volé il y a six ans et rediffusé l’an dernier compte alors pour l’an dernier.

En juin 2025, une « fuite de 16 milliards de mots de passe » a fait les gros titres ; Troy Hunt, qui gère Have I Been Pwned, a montré qu’il s’agissait de journaux de logiciels voleurs exposés publiquement, qui pour la plupart circulaient depuis un moment : dans la part qu’il a reçue, environ 17 % du total annoncé, il a compté 231 millions de mots de passe uniques, dont 96 % déjà connus de son service (analyse de Troy Hunt, août 2025). Le total d’une année ne dit donc pas, à lui seul, ce qui vient d’être volé.

Des mots de passe, pas des personnes

La Tunisie comptait 11 972 169 habitants au recensement du 6 novembre 2024 (bilan démographique de l’INS). Douze millions de mots de passe ne signifient donc pas que chaque Tunisien, nourrissons compris, a perdu le sien. Les décomptes de ce genre additionnent souvent des apparitions, et rien ne dit que le chiffre de 12 millions fasse exception. Have I Been Pwned affiche au 29 octobre 2026 un compteur de 17 846 896 404 adresses compromises : c’est exactement la somme des 1 048 fuites que liste son interface publique (notre calcul), si bien qu’une adresse présente dans trois fuites y compte trois fois.

Ancien ne veut pas dire inoffensif

Un mot de passe volé en 2018 ne vaut plus rien s’il a été changé partout depuis. Il reste une clé s’il protège encore un compte, ou s’il a été réutilisé. C’est ce qu’exploite le bourrage d’identifiants (credential stuffing) : des robots essaient automatiquement les paires adresse et mot de passe volées sur des dizaines ou des centaines d’autres sites, en pariant sur la réutilisation (définition de l’OWASP). Le mot de passe d’un forum oublié ouvre alors une boîte e-mail.

En Tunisie, les statistiques ne mesurent pas les fuites, mais ce qui occupe le tunCERT : au premier semestre 2026, l’hameçonnage représentait 33,98 % des incidents qu’il a traités, et les intrusions ou accès non sécurisés 38,95 % (statistiques de l’ANCS, 1er semestre 2026).

Trois chemins vers une liste de mots de passe volés

Par où un mot de passe est sorti décide de la réaction. Il y a trois cas ; le troisième est le plus sérieux.

Le deuxième cas est bien documenté en Tunisie. En juin 2026, le tunCERT a signalé un faux site qui reproduisait l’apparence de plateformes financières officielles pour recueillir identifiants et mots de passe (Business News, 15 juin 2026) ; notre article sur les arnaques qui visent les Tunisiens décrit les campagnes de 2025 et 2026 et les signes qui les trahissent.

Le troisième cas touche aussi le pays. En septembre 2025, Kaspersky a décrit une campagne qui envoyait sur Facebook de faux avis de blocage de compte ; le bouton de recours installait StealC v2, un logiciel qui dérobe notamment mots de passe et cookies. La Tunisie figure dans la liste des pays où des infections ont été confirmées (communiqué de Kaspersky, 8 septembre 2025). Have I Been Pwned classe ces données à part, sous le nom de stealer logs : leur présence signale que l’appareil lui-même a pu être infecté (FAQ de Have I Been Pwned).

Faut-il cesser d’enregistrer ses mots de passe dans le navigateur ?

C’est le conseil donné à la radio, et la menace est réelle : un logiciel voleur cherche précisément les mots de passe et cookies gardés par le navigateur. Revenir à la note sous le clavier ou au fichier Excel serait pire : l’ANSSI, l’agence française de cybersécurité, recommande un coffre-fort de mots de passe protégé par un mot de passe maître robuste (elle cite KeePass), et proscrit le fichier bureautique protégé par un mot de passe : de telles solutions « n’apportent pas du tout le même niveau de protection » (guide de l’ANSSI sur les mots de passe, section 4.8 et recommandations R34 et R35).

Notre conseil : sur un appareil infecté, aucun rangement ne protège tout, car un logiciel voleur relève aussi les mots de passe saisis à la connexion (FAQ de Have I Been Pwned) ; la vraie parade est de ne pas l’installer. Gardez au moins la messagerie, la banque et les accès d’administration dans un coffre-fort dédié ; ailleurs, le gestionnaire de Chrome ou l’app Mots de passe d’Apple, qui signalent les mots de passe réutilisés ou divulgués, valent mieux qu’un même mot de passe partout.

Vérifier ses adresses et ses mots de passe sans rien exposer

Une règle d’abord : on ne tape jamais un vrai mot de passe dans un site qui promet de vérifier s’il a fuité. Un faux vérificateur serait le piège idéal. On vérifie une adresse sur un service reconnu ; les mots de passe, c’est le gestionnaire qui les contrôle.

Les adresses : Have I Been Pwned et Mozilla Monitor

Have I Been Pwned est le service de référence, gratuit pour une recherche par adresse. Il affiche les fuites où l’adresse apparaît et le type de données exposées, jamais le mot de passe : le service ne conserve aucun mot de passe à côté d’une adresse (FAQ). Inscrivez aussi l’adresse à l’alerte gratuite « Notify Me », qui vous écrit si elle apparaît dans une fuite à venir. Les fuites dites sensibles et le détail des journaux de logiciels voleurs (les sites où vos identifiants ont été capturés) ne s’affichent qu’après avoir prouvé, dans le tableau de bord, que l’adresse est à vous.

Mozilla Monitor fait la même recherche et surveille gratuitement vos adresses, avec une alerte à chaque nouvelle fuite. Le « rapport sur le dark web » de Google, lui, n’existe plus depuis le 16 février 2026 (aide de Google).

Les mots de passe : le contrôle intégré à votre gestionnaire

Pour savoir si un mot de passe précis a circulé, passez par l’outil qui le garde déjà :

• Google : le Check-up du Gestionnaire de mots de passe, sur passwords.google.com ou dans Chrome, signale les mots de passe compromis, réutilisés ou trop faibles (aide de Google).
• Apple : l’option « Détecter les mots de passe compromis » de l’app Mots de passe (Réglages > Apps > Mots de passe ; Réglages > Mots de passe > Avis relatifs à la sécurité jusqu’à iOS 17) prévient quand un mot de passe enregistré apparaît dans une fuite connue, sans révéler le mot de passe à Apple (Apple, Mots de passe et confidentialité ; guide pour iOS 17).

Une telle comparaison peut se faire sans transmettre le mot de passe. Avec Pwned Passwords, la base de Have I Been Pwned, votre appareil calcule l’empreinte SHA-1 du mot de passe, n’en envoie que les cinq premiers caractères, reçoit toutes les empreintes qui commencent ainsi et compare lui-même (Pwned Passwords) : le service ne voit ni le mot de passe, ni son empreinte complète.

Lire le résultat

• Aucune fuite trouvée : une bonne nouvelle, pas une garantie. Un service ne connaît que les fuites qu’il a pu indexer.
• Des fuites anciennes : le mot de passe de l’époque sert-il encore quelque part ? Si oui, changez-le partout.
• Une fuite récente, ou un service de tous les jours : changez ce mot de passe aujourd’hui et activez la double authentification.
• Des journaux de logiciel voleur : le cas grave. Un de vos appareils a pu être infecté ; commencez par lui (première étape ci-dessous).

Un e-mail cite votre mot de passe et réclame de l’argent

Certains découvrent une fuite par un chantage : un inconnu affirme vous avoir filmé par la webcam, cite pour preuve un de vos mots de passe et exige des bitcoins sous 24 heures. L’ANSI, aujourd’hui ANCS, avait signalé une telle campagne en avril 2020 en conseillant d’ignorer ces messages et de ne pas payer (Managers, 26 avril 2020). Les trois lecteurs qui ont écrit à Krebs on Security y reconnaissaient un mot de passe vieux de près de dix ans, jamais utilisé sur leur ordinateur actuel : il venait vraisemblablement d’une fuite, pas de l’appareil (Krebs on Security, 12 juillet 2018). Ne répondez pas, ne payez pas, et changez ce mot de passe partout où il sert encore.

Pour une PME : vérifier toutes les adresses du domaine d’un coup

Vérifier les adresses une à une laisse passer celles qu’on oublie : l’ancien stagiaire, le « contact@ » inscrit chez une dizaine de fournisseurs, le commercial parti l’an dernier. Have I Been Pwned cherche toutes les adresses d’un domaine à la fois, à condition de prouver qu’il vous appartient.

1. Ouvrez le tableau de bord de Have I Been Pwned avec votre adresse, puis ajoutez le domaine (par exemple votre-entreprise.tn).
2. Prouvez que le domaine est à vous, au choix : un code envoyé à l’une des adresses prédéfinies du domaine, une balise meta sur la page d’accueil, un fichier déposé à la racine du site ou un enregistrement TXT dans la zone DNS (guide de l’unité CSIRT du gouvernement slovaque (CSIRT.SK), en slovaque, mars 2026). Si votre domaine est géré chez nous, notre guide pour modifier une zone DNS sans interrompre vos services indique où publier un jeton TXT.
3. Consultez la liste : chaque adresse touchée, et les fuites où elle apparaît.

La recherche est gratuite tant que le domaine compte au plus 10 adresses touchées ; au-delà, un abonnement payant est nécessaire (tarifs de Have I Been Pwned).

Traitez le résultat comme une liste de travail : pour chaque adresse, qui l’utilise, sur quels services, avec quel mot de passe. Commencez par les personnes parties, dont plus personne ne lit la boîte ni les alertes de connexion, et datez chaque vérification.

Une adresse ou un mot de passe a fuité : que faire dans l’heure

L’ordre compte : changer un mot de passe depuis un ordinateur infecté revient à le donner une seconde fois.

1. Soupçon de logiciel voleur ? Commencez par l’appareil. Journaux de logiciel voleur dans Have I Been Pwned, fichier ouvert depuis un message (un prétendu recours Facebook, une fausse facture), alerte de l’antivirus : faites analyser l’appareil, et réinstaller en cas de doute. Tout ce qui suit se fait depuis un autre appareil, sain.
2. La messagerie en premier. Elle sert à réinitialiser tous les autres comptes : qui la tient reçoit vos liens « mot de passe oublié ». L’ANSSI rappelle que sa compromission ouvre « très généralement » l’accès aux comptes qui lui sont rattachés, et recommande pour elle un mot de passe robuste et, lorsqu’elle est disponible, une authentification multifacteur (recommandation R36). Viennent ensuite la banque et les moyens de paiement, les réseaux sociaux de l’entreprise, puis chaque site où le même mot de passe servait.
3. Un mot de passe neuf, long et unique. Générez-le avec le coffre-fort, jamais en ajoutant un chiffre à l’ancien. Le NIST américain demande au moins 15 caractères pour un mot de passe utilisé seul, et impose aux services de refuser un mot de passe figurant dans une liste de mots de passe compromis (NIST SP 800-63B-4).
4. La double authentification partout où elle existe. Selon le CERT-FR, c’est une mesure efficace pour réduire les conséquences d’un mot de passe compromis. Préférez une application d’authentification ou une clé d’accès (passkey) au code par SMS : l’envoi d’un code par le réseau téléphonique est le seul authentifiant que le NIST classe comme « restreint », c’est-à-dire moins sûr.
5. Fermez toutes les sessions ouvertes. La double authentification ne protège pas une session déjà volée : un cookie de connexion dérobé permet de contourner la plupart des authentifications multifacteurs, « puisque les sessions dérobées sont déjà authentifiées » (CERT-FR, vols de cookies, mai 2022). Utilisez la déconnexion de tous les appareils du service, puis vérifiez qu’aucun appareil inconnu n’a été ajouté comme second facteur.
6. Inspectez la boîte. Règles qui transfèrent automatiquement les messages vers une adresse inconnue ou les rangent dans un dossier qu’on n’ouvre jamais, transfert externe ajouté récemment, messages envoyés que vous ne reconnaissez pas, signature modifiée : ce sont les signes d’une boîte compromise que liste Microsoft (Microsoft Learn, mis à jour le 17 juillet 2026). Supprimez ces règles, prévenez vos correspondants si des messages sont partis en votre nom, et n’envoyez pas le nouveau mot de passe par e-mail : la boîte est peut-être encore lue par quelqu’un d’autre.
7. Mettez à jour ce qui utilisait l’ancien mot de passe : téléphone, logiciel de messagerie, imprimante qui envoie des e-mails. Chez Microsoft 365, les mots de passe d’application survivent au changement du mot de passe principal : supprimez-les et recréez-les.

Protéger les comptes de l’entreprise

La messagerie, compte maître de l’entreprise

Dans une PME, la boîte e-mail reçoit les factures, les codes de connexion, les réinitialisations de l’espace bancaire et de l’hébergement. Trois règles en découlent :

• une boîte par personne, jamais une boîte et un mot de passe partagés par toute l’équipe : on ne peut ni retirer l’accès d’un seul, ni savoir qui a fait quoi ;
• des adresses qui appartiennent à l’entreprise, pas à un compte gratuit personnel : avec des adresses e-mail professionnelles sur votre propre domaine, la boîte d’un salarié qui part reste chez vous, et son mot de passe se change le jour même ;
• un mot de passe qui ne traîne pas dans un document partagé : notre guide pour configurer une boîte dans Outlook, Thunderbird ou sur un téléphone renvoie au gestionnaire de mots de passe de l’organisation.

SPF, DKIM et DMARC : indispensables, mais aveugles face à un compte volé

Ces trois enregistrements DNS permettent aux messageries de vos correspondants de repérer, et avec une politique DMARC en « quarantine » ou « reject » d’écarter, les messages qui se font passer pour votre domaine ; notre guide pour authentifier votre domaine avec SPF, DKIM et DMARC explique comment les poser sans bloquer vos propres envois. Mais ils authentifient un domaine, pas une personne : DMARC exclut expressément de son champ l’authentification de toute autre entité que les domaines (RFC 9989, section 2.4, mai 2026). Un message parti de votre vraie boîte, avec le mot de passe volé, passe donc ces contrôles et arrive chez vos clients sous votre nom. Contre ce scénario, seuls comptent le mot de passe unique, la double authentification et l’œil sur les messages envoyés.

Plesk, prestataires et serveurs

• Plesk : un compte par intervenant, et le second facteur activé si votre accès le propose ; notre guide pour se connecter à Plesk prévoit ce cas.
• Prestataires : un mot de passe ne se transmet jamais par ticket ni par e-mail ; on crée un accès temporaire, retiré à la fin de la mission, comme le détaille notre guide pour renforcer durablement la sécurité d’un hébergement.
• Serveurs : sur nos serveurs VPS, l’accès root se fait en SSH par mot de passe ou par clé ; choisissez la clé et, une fois qu’elle fonctionne, désactivez la connexion par mot de passe (directive PasswordAuthentication no, manuel d’OpenSSH), puis vérifiez qu’elle est bien refusée : un robot qui essaie des mots de passe volés n’a alors plus rien à essayer. Si personne chez vous n’administre le serveur, notre infogérance prend en charge les comptes, les droits d’accès et le pare-feu.

WordPress : les comptes administrateurs

Un site WordPress est une cible toute trouvée pour le bourrage d’identifiants : sa page de connexion est, par défaut, au même endroit sur tous les sites.

• Double authentification des administrateurs : l’extension Two-Factor, publiée sur WordPress.org et active sur plus de 100 000 sites, ajoute un code d’application d’authentification et des codes de secours.
• Déconnecter tout le monde après une fuite : changer les clés de sécurité du fichier wp-config.php invalide tous les cookies existants et oblige chaque utilisateur à se reconnecter ; WordPress le prévoit et fournit un générateur de clés (wp-config-sample.php).
• Faire l’inventaire des comptes : un administrateur inconnu, ou un ancien prestataire resté administrateur, se supprime après vérification de son propriétaire.

Sur l’hébergement WordPress NovaHoster, Imunify360 bloque automatiquement les adresses IP malveillantes, ce qui ralentit les essais en série sans remplacer les mesures ci-dessus. Notre guide pour sécuriser WordPress contre le piratage couvre le reste : extensions, mises à jour, droits.

Une règle d’entreprise qui tient sur une page

Les trois premières lignes reprennent les recommandations de l’ANSSI et du NIST citées plus haut ; les deux dernières sont nos conseils :

• un coffre-fort fourni par l’entreprise, avec une formation (ANSSI, R31) ;
• un mot de passe différent par service, généré par le coffre-fort (R33, R34) ;
• aucun changement à date fixe pour les comptes ordinaires (R24 ; le NIST l’interdit), mais un changement « de l’ordre de la journée » en cas de compromission soupçonnée ou avérée, délai que l’ANSSI fixe pour un système d’authentification compromis (R26) ;
• double authentification obligatoire pour la messagerie et l’administration ;
• à chaque départ, le jour même : accès retirés, mots de passe partagés changés, boîte conservée.

Données de clients en cause : ce que la loi tunisienne exige

Quand le compte touché donne accès aux données de vos clients (la boîte qui reçoit les commandes, le back-office d’une boutique, la base du site), la question devient juridique.

La loi organique n° 2004-63 du 27 juillet 2004 oblige celui qui traite des données personnelles à « prendre toutes les précautions nécessaires pour assurer la sécurité de ces données » (article 18), et l’article 19 en dresse la liste. L’une d’elles vise directement les mots de passe partagés : il faut pouvoir vérifier « à posteriori l’identité des personnes ayant eu accès au système d’information ». Un compte administrateur commun à toute l’équipe rend cette vérification impossible. Le responsable reste engagé quand il confie le traitement à un sous-traitant, hébergeur compris, qu’il doit « choisir scrupuleusement » (article 20). Manquer aux articles 18 ou 19 expose à trois mois d’emprisonnement et 1 000 dinars d’amende (article 94, texte de la loi).

La loi ne prévoit pas, en revanche, d’obligation de notifier une fuite à l’Instance nationale de protection des données personnelles (INPDP) ou aux personnes concernées. Une proposition de loi sur la protection des données personnelles était encore examinée par la commission des droits et des libertés de l’ARP en juin 2026, qui avait demandé des avis écrits à plusieurs ministères et organismes, dernier état public que nous ayons trouvé (Directinfo, 4 juin 2026). Le 5 octobre 2026, le Forum Chawki Gaddes pour les droits numériques réclamait d’ailleurs la « réactivation » de l’INPDP (WebManagerCenter). Les obligations de sécurité des articles 18 et 19 s’appliquent pour autant.

Certaines entreprises ont une obligation de plus. Le décret-loi n° 2023-17 du 11 mars 2023 vise notamment les hébergeurs et « les entreprises qui procèdent au traitement automatisé des données personnelles de leurs usagers » sur les réseaux (article 6), et les oblige à informer « immédiatement » le point de contact national ou le centre de réponse aux urgences cybernétiques des incidents et des attaques (article 20, texte du décret-loi). En cas de doute sur votre activité, posez la question à l’ANCS.

Prévenir ses clients n’est donc pas une obligation générale. C’est pourtant ce qui leur permet de changer à temps un mot de passe réutilisé ailleurs, et de se méfier des messages envoyés en votre nom.

Où signaler, et avec quels éléments

Une adresse présente dans une vieille fuite ne se signale pas : elle se traite. Un compte réellement piraté, des messages envoyés en votre nom ou un accès non autorisé à un système de l’entreprise, si.

• Particulier : le tunCERT de l’ANCS répond gratuitement par courriel à assistance@ancs.tn (page du tunCERT).
• Entreprise ou organisme : déclaration d’incident à incident@ancs.tn, centre d’appel au 71 843 200, ou formulaire de déclaration des incidents cybernétiques, qui prévoit notamment l’accès non autorisé et la divulgation de données confidentielles ou relatives à la vie privée (procédure de l’ANCS).
• Préjudice (argent détourné, chantage, usurpation d’identité) : plainte au poste de police ou de garde nationale, preuves imprimées à l’appui.

Préparez la date du constat, les comptes touchés, le nom des fuites indiquées par Have I Been Pwned, les messages partis en votre nom avec leurs en-têtes, et les adresses de connexion inconnues si le service les affiche. Ne supprimez rien avant d’en avoir fait une copie.

Si le compte touché est une boîte, un accès Plesk ou un site hébergé chez nous, ouvrez une demande au support avec ces éléments, l’heure et l’adresse concernées, et demandez que les journaux utiles soient conservés : leur durée de conservation est limitée.

Sources

Pages consultées le 29 octobre 2026.

• Le chiffre : La Presse et Tuniscope (26 octobre 2026)
• Les décomptes : bilan 2025 de Surfshark (3 février 2026) ; Have I Been Pwned, page d’accueil et liste publique des fuites ; Troy Hunt, sur les « 16 milliards » (13 août 2025) ; INS, bilan démographique du recensement 2024 (mai 2025)
• Les menaces : OWASP, bourrage d’identifiants ; ANCS, statistiques du 1er semestre 2026 (20 juillet 2026) ; Business News (15 juin 2026) ; Kaspersky (8 septembre 2025) ; CERT-FR, « Menaces liées aux vols de cookies et contre-mesures » (25 mai 2022) ; Managers, alerte de l’ANSI sur les e-mails de chantage (26 avril 2020) ; Krebs on Security, « Sextortion Scam Uses Recipient’s Hacked Passwords » (12 juillet 2018)
• Les outils : Have I Been Pwned, FAQ, Pwned Passwords et tarifs ; unité CSIRT du gouvernement slovaque (CSIRT.SK), vérification d’un domaine dans Have I Been Pwned (en slovaque, mars 2026) ; Mozilla Monitor ; Google, Check-up des mots de passe ; Google, fin du rapport sur le dark web ; Apple, Mots de passe et confidentialité et sécuriser les mots de passe (iOS 17 et antérieur)
• Les recommandations : ANSSI, « Recommandations relatives à l’authentification multifacteur et aux mots de passe » (8 octobre 2021) ; NIST SP 800-63B-4 (juillet 2025) ; Microsoft, répondre à un compte de messagerie compromis (mise à jour du 17 juillet 2026) ; RFC 9989 (DMARC) (mai 2026, remplace la RFC 7489) ; OpenSSH, manuel de sshd_config ; WordPress, extension Two-Factor et wp-config-sample.php
• Le droit tunisien : loi organique n° 2004-63, texte de la loi ; décret-loi n° 2023-17 (11 mars 2023) ; Directinfo (4 juin 2026) ; WebManagerCenter (5 octobre 2026) ; ANCS, page du tunCERT et procédure de déclaration des incidents