Vos données ont été volées : que peuvent réellement en faire les escrocs ?

Votre nom, votre adresse, votre numéro de téléphone, votre date de naissance… Vous pensez peut-être que ces informations n’intéressent personne. Après tout, votre date d’anniversaire n’est pas un secret d’État et votre adresse figure probablement dans quelques vieux fichiers commerciaux. Pourtant, entre les mains d’un escroc, ces renseignements peuvent devenir les pièces d’un puzzle particulièrement dangereux. Et en Belgique, les fuites de données se multiplient.

En Belgique, les données personnelles prennent l’eau

La Belgique n’échappe pas à la multiplication des incidents de cybersécurité. Selon un décompte relayé par la presse belge en octobre 2026, au moins 47 entreprises et institutions auraient déjà été touchées par des fuites de données depuis le début de l’année, contre 40 recensées sur l’ensemble de 2025. Des administrations, des entreprises privées et des organismes de santé figurent parmi les structures concernées.

Ces chiffres doivent être interprétés avec prudence : ils ne constituent pas un inventaire exhaustif de toutes les cyberattaques survenues dans le pays. Ils illustrent néanmoins un problème très concret. Chaque incident peut exposer des informations concernant des centaines, des milliers, voire davantage de personnes qui n’ont parfois rien fait d’autre que commander un produit, réserver un voyage ou remplir un formulaire.

Le plus inquiétant, c’est que les conséquences ne s’arrêtent pas lorsque l’entreprise annonce avoir sécurisé ses systèmes. Une donnée copiée peut circuler longtemps, être revendue, combinée avec d’autres informations et réapparaître des mois plus tard dans une tentative d’escroquerie.

Et contrairement à ce que l’on imagine, les pirates n’ont pas forcément besoin de connaître votre mot de passe bancaire pour commencer à vous causer des ennuis.

Votre identité vaut davantage que vous ne le pensez

Imaginez qu’un escroc dispose de votre nom, de votre numéro de téléphone, de votre adresse électronique et de votre date de naissance. Pris séparément, ces renseignements semblent relativement anodins. Ensemble, ils permettent pourtant de fabriquer un message extrêmement crédible.

Un SMS qui vous appelle par votre nom, mentionne votre commune et fait référence à une commande récente inspire davantage confiance qu’un message annonçant simplement que votre colis est bloqué. Le fraudeur n’a même pas besoin de connaître votre dernière commande : il peut exploiter des informations publiques ou une autre fuite pour rendre son scénario vraisemblable.

C’est ce qu’on appelle le phishing ciblé, ou spear phishing. Plutôt que d’envoyer le même message grossier à un million de personnes, l’escroc adapte son discours à sa victime.

L’intelligence artificielle facilite encore la tâche. Elle permet de produire rapidement des messages bien rédigés, dans un français correct, avec le ton d’un service client, d’une banque ou d’une administration. La bonne vieille arnaque truffée de fautes d’orthographe a désormais accès à un correcteur particulièrement performant.

Ce que les escrocs peuvent faire avec vos données

Toutes les informations volées ne présentent pas le même danger. Une adresse électronique exposée n’offre pas automatiquement accès à votre boîte mail, tandis qu’un mot de passe réutilisé ou des identifiants bancaires compromis peuvent avoir des conséquences beaucoup plus immédiates.

Ce tableau décrit des possibilités, pas des conséquences automatiques. Posséder un IBAN, par exemple, ne permet pas à lui seul de vider librement un compte bancaire. De même, connaître une date de naissance ne suffit normalement pas à usurper une identité auprès d’un organisme disposant de contrôles sérieux.

La dangerosité dépend surtout de la combinaison des informations disponibles, des protections mises en place et de la capacité du fraudeur à manipuler sa victime.

Cinq arnaques très concrètes 

1. Le faux conseiller bancaire qui connaît déjà votre nom

Votre téléphone sonne. Votre interlocuteur se présente comme un employé du service antifraude de votre banque. Il connaît votre nom, votre adresse et éventuellement une partie de vos coordonnées bancaires. Il affirme qu’un paiement suspect vient d’être détecté et qu’il faut agir immédiatement.

Le piège consiste à vous faire communiquer un code de sécurité, confirmer une opération dans votre application bancaire ou transférer de l’argent vers un prétendu compte sécurisé. Les informations volées servent surtout à rendre le personnage crédible.

Une banque ne vous demandera pas de transférer votre argent vers un compte de sécurité. Et un numéro affiché sur votre téléphone peut être falsifié : raccrochez et contactez votre banque par son canal officiel.

2. Le faux colis qui tombe au bon moment

Vous recevez un SMS annonçant un problème de livraison. Le message contient votre nom et parfois votre adresse. Il vous demande de payer 1,95 € pour débloquer votre colis.

Le montant est suffisamment faible pour ne pas éveiller les soupçons. Mais le véritable objectif peut être de récupérer les informations de votre carte bancaire ou de vous amener à valider une opération frauduleuse.

Le fait que l’expéditeur connaisse votre adresse ne prouve absolument pas qu’il travaille pour bpost, DHL ou un autre transporteur.

3. Le compte piraté grâce à un ancien mot de passe

C’est l’un des scénarios les plus dangereux. Lorsqu’une fuite contient des identifiants et des mots de passe, les criminels peuvent tester automatiquement ces combinaisons sur d’autres services.

Cette technique porte le nom de credential stuffing. Elle exploite une mauvaise habitude particulièrement répandue : réutiliser le même mot de passe sur plusieurs sites.

Un mot de passe volé sur une petite boutique en ligne peut ainsi permettre d’accéder à une messagerie, un réseau social ou un compte commercial si la même combinaison a été réutilisée.

Et si votre boîte mail principale tombe entre de mauvaises mains, le pirate peut tenter de réinitialiser les mots de passe de nombreux autres comptes. Votre messagerie est souvent la clé du trousseau numérique.

4. La fausse administration qui réclame une vérification

Un message prétend provenir du SPF Finances, d’une mutuelle, d’une commune ou d’un service public. Il annonce un remboursement, un dossier incomplet ou une vérification obligatoire de votre identité.

Le fraudeur utilise les renseignements disponibles pour rendre sa demande cohérente. Il peut même reproduire l’apparence graphique d’un site officiel.

En Belgique, le réflexe consiste à ouvrir soi-même le site ou l’application officielle, comme MyMinfin ou My eBox, plutôt que de suivre le lien reçu dans un message inattendu.

5. L’escroquerie qui utilise vos proches

Les données volées peuvent aussi faciliter les tentatives d’usurpation sur WhatsApp, Messenger ou par SMS. Un fraudeur se fait passer pour un proche et explique avoir changé de numéro, perdu son téléphone ou besoin d’un virement urgent.

Si des informations familiales ont été exposées ou récupérées sur les réseaux sociaux, le scénario devient plus convaincant.

Un message qui semble venir de votre fils et qui vous demande 850 € parce que son téléphone est cassé mérite une vérification par un autre moyen. Même si le message commence par « Coucou papa » et contient le bon prénom.

En Belgique, qui contacter si vous êtes victime ?

Les démarches dépendent de la situation. Un simple message suspect ne nécessite pas la même réaction qu’un virement frauduleux ou qu’une usurpation d’identité.

En cas de fraude financière, chaque minute compte. Contactez immédiatement votre banque pour tenter de bloquer les opérations, puis déposez plainte. Le SPF Économie recommande également de signaler les faits pour contribuer à la prévention de nouvelles escroqueries.

L’entreprise qui a perdu vos données doit-elle vous prévenir ?

En Europe, le Règlement général sur la protection des données, plus connu sous le nom de RGPD, impose des obligations précises aux organismes qui subissent une violation de données personnelles.

Lorsqu’une violation présente un risque pour les droits et libertés des personnes, l’organisme responsable doit en principe la notifier à l’autorité de contrôle compétente, si possible dans les 72 heures après en avoir pris connaissance. Lorsque le risque pour les personnes est élevé, celles-ci doivent généralement être informées sans retard injustifié, sauf exceptions prévues par le règlement.

Cela ne signifie donc pas que chaque incident informatique entraîne automatiquement un courrier à tous les clients.

Si vous recevez une notification, l’entreprise devrait notamment vous expliquer la nature de l’incident, ses conséquences possibles et les mesures prises ou recommandées.

Vous pouvez demander quelles catégories de données vous concernant ont été compromises, quelles mesures ont été adoptées et comment exercer vos droits. En cas de manquement présumé au RGPD, une plainte auprès de l’Autorité de protection des données peut être envisagée.

Quant à une éventuelle indemnisation, elle n’est pas automatique. Elle suppose notamment l’existence d’un dommage et les conditions de responsabilité prévues par le droit applicable. Une fuite de données ne se transforme donc pas systématiquement en chèque de consolation.

Et l’intelligence artificielle dans tout cela ?

L’IA ne crée pas à elle seule les fuites de données, mais elle peut aider les escrocs à exploiter plus efficacement les informations déjà disponibles.

Un fraudeur peut s’en servir pour rédiger des courriers crédibles dans plusieurs langues, adapter des scénarios à différents profils ou produire de fausses communications imitant le ton d’une entreprise. Des technologies de synthèse vocale peuvent également être détournées pour fabriquer des voix trompeuses, même si une fuite de simples coordonnées ne suffit pas à elle seule à cloner une voix.

La conséquence est importante : les anciennes astuces consistant à repérer les fautes de français ou les formulations maladroites ne suffisent plus.

Un message parfaitement rédigé peut être frauduleux. Un interlocuteur qui connaît votre nom peut être un imposteur. Et une demande présentée comme urgente mérite précisément que vous preniez le temps de la vérifier.

Le véritable problème : une donnée volée ne se récupère pas

On peut remplacer un mot de passe, bloquer une carte bancaire ou supprimer un compte compromis. Il est beaucoup plus difficile de changer son nom, sa date de naissance ou son numéro de registre national.

C’est ce qui rend certaines fuites particulièrement préoccupantes. Une fois copiées, les informations peuvent continuer à circuler indépendamment de l’entreprise qui les détenait initialement.

Pour autant, inutile de considérer qu’une adresse électronique exposée condamne définitivement votre vie numérique. Le risque dépend de la nature des données, de leur fraîcheur et des protections que vous avez mises en place.

La meilleure défense reste finalement assez peu spectaculaire : des mots de passe uniques, une authentification renforcée, des logiciels à jour et une méfiance raisonnable envers les demandes inattendues.

En 2026, les escrocs peuvent connaître votre nom, votre adresse, votre banque et même votre anniversaire. La seule information qu’il vaut mieux leur laisser ignorer, c’est le code qui permet de vider votre compte.