Polémique autour de l’alerte de sécurité de Gmail : que s’est-il réellement passé ?
Pratiquement tous les grands médias tech (et même non tech, d’ailleurs) ont récemment fait état d’un avertissement de sécurité qui a été envoyé — ou pas — à quelques milliards d’utilisateurs de Gmail, les invitant à changer leur mot de passe. Pour faire court, il y a bien eu une violation, et Google l’a reconnue, mais l’entreprise affirme que les malfaiteurs n’ont obtenu que des coordonnées professionnelles et des noms, pas des identifiants Gmail. Cela ne signifie pas pour autant que vous ne devez pas changer votre mot de passe Gmail : c’est quelque chose qu’il vaut mieux faire régulièrement, par prudence, que vous ayez activé l’A2F ou non.
Vous voulez toute l’histoire ? Lisez la suite.
La véritable violation à l’origine des articles sur l’alerte de mot de passe Gmail
Début 2025, un groupe de pirates connu sous le nom de ShinyHunters a compromis l’une des bases de données Salesforce de Google et a volé des informations concernant un nombre d’utilisateurs non divulgué (du moins, nous n’avons pas trouvé le chiffre). Les informations, comme indiqué ci‑dessus, étaient des coordonnées professionnelles et des noms.
Google a reconnu la violation, en précisant qu’elle s’est produite via une extension Salesforce. Début août 2025, l’entreprise avait terminé de notifier les personnes concernées.
Il semble toutefois que les médias aient mal interprété la situation : certains articles ont lié cet incident à une prétendue alerte massive de Google invitant les utilisateurs de Gmail — les plus de 2,5 milliards d’entre eux — à changer leur mot de passe.
Ces articles sont devenus viraux et ont forcé l’entreprise à réagir : le 1er septembre 2025, Google a publié sur son blog Workspace un billet intitulé “Les protections de Gmail sont solides et efficaces, et les affirmations faisant état d’une importante alerte de sécurité Gmail sont fausses”. Dans ce texte, le géant dément avoir envoyé une telle alerte, qualifiant ces affirmations d’inexactes. En outre, Google affirme que ses “protections continuent d’empêcher plus de 99,9 % des tentatives d’hameçonnage et de distribution de logiciels malveillants d’atteindre les utilisateurs.”
Comment vous protéger du phishing et du vishing ?
Nous avons traité ces types d’attaques dans “Ingénierie sociale dans le hacking : méthodes courantes et protections” ; lisez cet article si vous l’avez manqué, il contient des informations précieuses. Pour en rappeler une partie, voici des moyens de bon sens de vous protéger contre de telles tentatives malveillantes.
Faites confiance mais vérifiez ; mieux encore, ne faites pas confiance. Si un e-mail est ne serait-ce qu’un peu suspect — une publicité non sollicitée ou une proposition surprise d’une personne que vous connaissez entre dans cette catégorie — n’y cliquez sur aucun lien.
Activez l’authentification à deux facteurs partout où c’est possible, et privilégiez les applications d’authentification plutôt que les SMS. Envisagez de passer aux passkeys, cela arrivera tôt ou tard, de toute façon.
Utilisez des gestionnaires de mots de passe, configurez correctement votre pare-feu, envisagez de souscrire un abonnement VPN et mettez en place une routine de sauvegarde — de manière générale, suivez les conseils que nous avons donnés dans “Cybersécurité pour tous : bonnes pratiques et outils”.
Restez en sécurité !
