Comment savoir quelles entreprises connaissent votre adresse e-mail ?

Votre adresse e-mail traîne probablement dans beaucoup plus de bases de données que vous ne l’imaginez. Voici comment retrouver les services auxquels vous l’avez donnée, vérifier si elle a été exposée dans une fuite et reprendre progressivement le contrôle de votre identité numérique.

On donne notre adresse e-mail partout : commande en ligne, newsletter, compte client, concours, application, réservation, programme de fidélité… Le problème est, qu’après quelques années, il devient presque impossible de savoir avec précision qui possède encore cette adresse, pourquoi et depuis quand.

Pire encore, puisqu’avec la démultiplication des attaques en ligne, nos identifiants comme notre adresse e-mail peuvent trop facilement se retrouver entre des mains malveillantes.

Malheureusement, si vous lisez cet article en espérant trouver une recette miracle donnant un accès rapide à une liste complète des entreprises concernées, vous n’êtes pas au bon endroit. Notre article va toutefois répondre à une question simple : comment faire l’inventaire des services qui disposent de votre adresse e-mail, vérifier si elle a été exposée et reprendre le contrôle ?

Ce qu’il y a à savoir sur le partage de votre adresse e-mail

Comme précisé ci-dessus, il est important de savoir qu’une adresse e-mail peut se retrouver dans plusieurs catégories.

• Vous avez volontairement créé un compte et elle a été fournie à AliExpress, Shein, Amazon, Spotify, un opérateur, un média, une banque…
• Vous avez accepté une newsletter et l’entreprise possède donc votre adresse e-mail dans sa base marketing.
• Vous avez utilisé votre adresse pour un achat et l’entreprise la conserve potentiellement dans son historique client, même après désabonnement.
• Votre adresse est concernée par une fuite de données et peut circuler en dehors de l’entreprise à laquelle vous l’avez confiée.
• Une entreprise possède votre adresse via un partenaire, un cas beaucoup plus difficile à détecter.

Généralement, les cas pour lesquels c’est l’utilisateur qui a transmis, de manière volontaire, son adresse e-mail sont plus faciles à repérer. Lorsqu’il s’agit d’une fuite de données, l’adresse peut se retrouver dans la nature ou sur le dark web. Une entreprise ne peut pas librement transmettre votre adresse à une autre société. Elle doit disposer d’une base juridique pour le faire et vous informer de l’utilisation qui sera faite de vos données. Dans de nombreux cas liés au marketing ou au partage avec des partenaires commerciaux, le consentement de l’utilisateur joue un rôle central.

Commencer par fouiller sa boîte mail

Tout d’abord, l’un des conseils les plus rapides et sages que l’on puisse vous donner est de fouiller votre boîte mail. C’est probablement la méthode la plus simple et la plus efficace, puisque l’on part du principe que votre boîte mail est une sorte d’archive géante de votre vie numérique et le parfait témoin de tous les sites qui possèdent vos données.

Dans la barre de recherche de votre boîte mail, cherchez certains mots-clés qui sont généralement présents dans des mails de création de compte ou de newsletter. Ce sont des termes assez bateau, mais vous verrez que les résultats fournis sont assez révélateurs de l’empreinte que vous laissez sur le web.

• bienvenue ;
• création de compte ;
• confirmer votre adresse ;
• vérifiez votre adresse e-mail ;
• votre compte ;
• abonnement ;
• newsletter ;
• unsubscribe ;
• désinscription ;
• commande ;
• facture ;
• reçu ;
• votre inscription ;
• mot de passe ;
• réinitialisation.

De cette manière, vous pourrez retrouver toutes les newsletters auxquelles vous êtes inscrit. Avec les informations qui en ressortent, nous vous conseillons de créer un tableau, dans Word ou Excel, reprenant la liste complète des entreprises qui possèdent votre adresse mail. Le tableau peut se composer comme suit :

L’objectif n’est pas seulement de savoir qui possède votre adresse. Il faut ici déterminer pourquoi elle la possède et si c’est encore pertinent.

Il peut également être intéressant de faire l’inventaire des comptes créés avec des plateformes tierces, comme Apple, Google ou Microsoft. Apple permet de générer un alias grâce à un abonnement iCloud+, mais Google et Microsoft renseignent directement votre adresse mail. Pour les nouveaux comptes Apple, une autre solution consiste à ne plus communiquer systématiquement son adresse principale. Apple permet par exemple aux abonnés iCloud+ de créer des alias uniques avec « Masquer mon adresse e-mail ». Si l’un de ces alias commence soudainement à recevoir du spam, il devient également beaucoup plus facile d’identifier l’origine du problème.

Attention : supprimer une connexion dans votre compte Google ne signifie pas nécessairement que le compte correspondant disparaît chez le service tiers. Cela empêche surtout le service de continuer à accéder aux données autorisées de votre compte Google. Pour faire supprimer les informations déjà récupérées, il peut être nécessaire de contacter directement l’entreprise.

Votre gestionnaire de mots de passe peut aussi vous aider

Après avoir fouillé votre boîte mail, une autre méthode très simple permet de retrouver des comptes dont vous aviez parfois complètement oublié l’existence : consulter votre gestionnaire de mots de passe.

Google Password Manager, Apple Passwords, Edge, Firefox ou encore des services comme Bitwarden et 1Password conservent généralement la liste des sites pour lesquels vous avez enregistré des identifiants. Et puisque certains d’entre nous utilisent la même adresse e-mail depuis dix ou quinze ans, la liste peut réserver quelques surprises.

L’intérêt est surtout de compléter la recherche effectuée dans votre boîte mail. Un ancien compte peut très bien ne plus générer aucun e-mail depuis des années, tandis que son identifiant et son mot de passe sont toujours enregistrés dans votre navigateur. Parcourez donc la liste des sites sauvegardés et ajoutez à votre tableau ceux qui n’y figurent pas encore.

Attention toutefois : la présence d’un mot de passe enregistré ne signifie pas nécessairement que le compte existe encore. Vous avez peut-être supprimé celui-ci entre-temps sans retirer l’identifiant de votre gestionnaire. À l’inverse, l’absence d’un site dans cette liste ne signifie évidemment pas que celui-ci ne possède aucune donnée vous concernant.

Votre adresse mail a-t-elle été exposée par un hack ?

Malheureusement, quand vous donnez délibérément votre adresse mail à une plateforme et que celle-ci fait l’objet d’une fuite de données, votre adresse se retrouve dans la nature voire, pire encore, sur le dark web. Les entreprises ne sont malheureusement pas invulnérables face aux attaques, et c’est alors le client qui en est la première victime.

Pour savoir si vous êtes au cœur d’une fuite de données, un site de référence qu’on ne présente plus : Have I Been Pwned. Il permet ainsi de vérifier si une adresse apparaît dans une fuite de données connue. Mais il est toutefois important de noter que si votre adresse mail est relevée dans une fuite concernant telle ou telle entreprise, cela ne signifie pas pour autant que cette entreprise la possède encore. Pour vérifier si elle a été exposée, une simple recherche suffit.

Attention cependant : Have I Been Pwned n’est pas une boule de cristal. Une absence de résultat signifie simplement que l’adresse n’apparaît pas dans les fuites référencées par le service. Une base de données volée peut ne jamais avoir été rendue publique ou ne pas avoir encore été intégrée au site.

Que faire si mon adresse a fuité ?

• Changer immédiatement le mot de passe du service concerné ;
• changer également le mot de passe partout où il a été réutilisé ;
• activer la double authentification ou une passkey si disponible ;
• surveiller les tentatives de phishing utilisant les données révélées par la fuite ;
• ne pas forcément changer d’adresse e-mail, car connaître une adresse n’équivaut pas à avoir accès à la boîte mail.

Mine peut retrouver automatiquement une partie de vos anciens comptes

Si fouiller manuellement plusieurs milliers de mails ne vous enthousiasme pas particulièrement, il existe également des outils capables d’automatiser une partie du travail. Mine, ou SayMine, est probablement l’un des exemples les plus connus. Le service grand public de Mine a depuis rejoint McAfee, où sa technologie est notamment utilisée dans la fonction Online Account Cleanup.

Le principe est assez proche de la méthode que nous vous proposions plus haut, sauf que le travail est ici automatisé. Avec l’autorisation de l’utilisateur, le service analyse certains éléments de sa boîte mail pour identifier les entreprises et services avec lesquels il a probablement créé un compte. McAfee précise analyser notamment l’adresse de l’expéditeur, l’objet, l’horodatage et les premiers mots du message, mais pas l’intégralité du contenu des e-mails ni leurs pièces jointes.

Concrètement, après avoir lié votre adresse e-mail au service, celui-ci établit une liste des comptes qu’il pense avoir retrouvés. À vous ensuite de déterminer lesquels vous souhaitez conserver et lesquels sont devenus inutiles. Selon la formule McAfee utilisée, le service peut simplement vous indiquer la procédure à suivre ou faciliter l’envoi d’une demande de suppression. Une nouvelle analyse peut ensuite être réalisée régulièrement afin de détecter d’autres comptes.

L’outil est particulièrement intéressant pour retrouver un site sur lequel vous vous êtes inscrit il y a plusieurs années avant de l’oublier complètement. Il faut néanmoins accepter une contrepartie évidente : pour analyser votre empreinte numérique, vous autorisez à votre tour un service tiers à accéder à certaines informations de votre boîte mail. Il appartient donc à chacun de déterminer si le gain de temps justifie cet accès.

Et là encore, le résultat ne doit pas être considéré comme une liste exhaustive. Une entreprise qui possède votre adresse sans vous avoir jamais envoyé de mail peut très bien passer entre les mailles du filet.

Holehe peut chercher directement où votre adresse a été utilisée

Une autre approche consiste à ne plus analyser votre boîte mail du tout, mais à directement demander aux sites s’ils connaissent votre adresse. C’est précisément ce que permet Holehe, un outil open source initialement destiné à l’OSINT, l’investigation à partir de sources ouvertes.

Son fonctionnement est plutôt astucieux. De nombreux sites sont capables d’indiquer indirectement si une adresse e-mail est déjà associée à un compte. Lorsque vous tentez de créer un compte avec une adresse existante, par exemple, le site peut répondre qu’elle est « déjà utilisée ». Certains formulaires de connexion ou de récupération de mot de passe donnent également ce type d’indication. Holehe automatise ces vérifications sur plus d’une centaine de services et peut ainsi déterminer si votre adresse semble être connue de certaines plateformes.

Contrairement à Have I Been Pwned, il ne cherche donc pas votre adresse dans des bases de données issues de fuites. Il cherche plutôt à répondre à la question : « existe-t-il actuellement un compte lié à cette adresse sur ce service ? »

Cela permet potentiellement de retrouver des comptes pour lesquels les e-mails de bienvenue ont disparu depuis longtemps. Mais l’outil a également ses limites. Certains sites empêchent volontairement ce type de vérification, d’autres peuvent temporairement bloquer les requêtes et un résultat négatif ne prouve donc pas qu’aucun compte n’existe. Holehe ne couvre par ailleurs qu’une fraction des millions de services disponibles sur Internet.

Autre précision importante : l’outil a été créé pour la recherche OSINT et peut techniquement être utilisé avec n’importe quelle adresse. Dans le cadre qui nous intéresse ici, mieux vaut évidemment se limiter à ses propres adresses e-mail. Et si vous utilisez une interface web plutôt que la version open source exécutée localement, n’oubliez pas que vous communiquez également votre adresse au gestionnaire de ce site.

Incogni s’attaque à ceux auxquels vous n’avez peut-être jamais rien donné

Reste enfin le cas le plus compliqué : celui des entreprises dont vous ignorez totalement l’existence.

Car les sociétés auprès desquelles vous avez volontairement créé un compte ne représentent qu’une partie du problème. Il existe également des data brokers, ou courtiers en données, dont l’activité consiste à collecter, agréger et parfois commercialiser des informations provenant de multiples sources. Nom, adresse e-mail, numéro de téléphone, anciennes adresses, habitudes de consommation ou informations professionnelles peuvent ainsi être regroupés au sein d’un même profil.

Des services comme Incogni tentent précisément de s’attaquer à ce problème. Contrairement à Mine ou Holehe, l’objectif n’est pas principalement de retrouver les comptes que vous avez créés. Incogni transmet vos informations d’identification à une série de courtiers en données et leur adresse des demandes de suppression en votre nom.

Pour démarrer, il faut fournir au service certaines informations permettant de vous identifier, notamment votre nom, votre adresse et votre adresse e-mail, puis signer une autorisation. Incogni indique actuellement couvrir plus de 420 courtiers en données et permet de suivre dans un tableau de bord les demandes envoyées et leur état d’avancement.

Le service propose également, avec certaines formules, un scanner capable de faire apparaître des pages sur lesquelles vos informations personnelles ont été détectées. L’utilisateur peut alors confirmer qu’il s’agit bien de lui et demander leur suppression. Il est aussi possible de soumettre manuellement l’adresse précise d’une page contenant vos informations.

Il faut toutefois comprendre une subtilité importante : Incogni ne possède pas une gigantesque base permettant de savoir avec certitude quelles entreprises disposent de vos informations. Certains courtiers possèdent des bases privées impossibles à consulter publiquement. L’intérêt du service est donc surtout d’automatiser les recherches et les demandes de suppression auprès d’un grand nombre d’acteurs qui seraient extrêmement fastidieux à contacter individuellement.

Pour les utilisateurs européens, les résultats peuvent également différer de ceux obtenus aux États-Unis. Incogni précise notamment que les sites spécialisés dans la recherche de personnes sont essentiellement américains et ne sont généralement pas utilisés pour rechercher des citoyens européens. Les autres catégories de courtiers en données restent en revanche concernées.

Incogni est enfin un service payant. Il s’agit donc moins d’un outil permettant simplement de dresser votre inventaire que d’une solution destinée à effectuer une partie du grand nettoyage à votre place.