Protéger ses informations personnelles
La réponse à « Quel était le nom de ton premier animal de compagnie ? » se trouve souvent dans la légende d'une photo publique : c'est pourquoi le NIST interdit désormais aux services de proposer des questions de sécurité quand tu choisis un mot de passe.
Quatre publications qui semblent chacune sans danger
Voici une histoire inventée. Minji, une collégienne, publie quatre choses en un mois : un selfie dans son uniforme scolaire, un gâteau d'anniversaire avec la date écrite dessus, une photo de son chien avec son nom en légende, et une courte vidéo prise chaque matin au même arrêt de bus. Aucune ne semble risquée. Ensemble, pourtant, elles s'additionnent. Mises côte à côte, elles révèlent à un inconnu son école, son trajet quotidien, sa date d'anniversaire et la réponse à « Quel était le nom de ton premier animal de compagnie ? »
Comment la loi coréenne définit les informations personnelles
Une information personnelle est toute information sur une personne vivante qui permet de l'identifier. La loi coréenne sur la protection des informations personnelles y inclut les informations qui n'identifient personne à elles seules mais le permettent une fois facilement combinées à d'autres, ce qui est exactement la situation de Minji. Le nom, le numéro de téléphone et le numéro d'enregistrement de résident sont les exemples évidents. Les moins évidents s'additionnent : le nom d'une école, un trajet quotidien, une photo de ta porte d'entrée, une date d'anniversaire. Chacun semble sans danger seul. Ensemble, ils peuvent suffire pour deviner des réponses de sécurité, se faire passer pour quelqu'un auprès d'un opérateur téléphonique ou trouver son domicile.
En donner moins dans les formulaires, les publications et les photos
La protection la plus simple est d'en donner moins. Avant de remplir un formulaire, demande-toi si le service a vraiment besoin de chaque champ ; beaucoup de champs sont facultatifs même quand ce n'est pas indiqué. Sur les réseaux sociaux, vérifie qui peut voir tes publications et ta liste d'amis, et réfléchis à deux fois avant de publier tes projets de voyage pendant ton absence, l'uniforme scolaire d'enfants ou tout ce qui montre ton adresse. Les appareils photo des téléphones peuvent enregistrer le lieu de la prise de vue dans le fichier image : vérifie le réglage de localisation de ton appareil photo et si l'application de partage la supprime.
Les applications demandent des autorisations comme la localisation, les contacts, le micro et les photos. N'accorde que ce dont une application a besoin pour l'usage que tu en fais : une application lampe de poche n'a aucune raison de lire tes contacts. La plupart des téléphones permettent d'autoriser la localisation seulement quand l'application est ouverte, ou de donner une position approximative au lieu d'une position exacte. Revois de temps en temps les autorisations et supprime les applications que tu n'utilises plus, car une application abandonnée garde tout ce que tu lui as permis.
Pourquoi la question de l'animal est un verrou fragile
Les questions de sécurité demandent des faits souvent publics ou faciles à deviner, comme le montre le chien de Minji. NIST SP 800-63B-4 indique que les services ne doivent pas t'inviter à en utiliser quand tu choisis un mot de passe. Si un site insiste malgré tout, traite la réponse comme un mot de passe : invente une réponse aléatoire et enregistre-la dans ton gestionnaire de mots de passe. Sur un Wi-Fi public, cherche https:// dans la barre d'adresse. HTTPS chiffre ce que tu envoies à ce site, si bien que les autres personnes du réseau ne peuvent pas le lire, mais cela ne rend pas honnête un site malhonnête. Évite de te connecter à des comptes sensibles sur un ordinateur partagé, et déconnecte-toi quand tu as fini.
Quand une entreprise t'annonce que tes données ont fuité
Si un service t'annonce qu'il a subi une fuite, change ton mot de passe chez lui et partout où tu l'as réutilisé, et active la connexion en deux étapes. Attends-toi à des messages d'hameçonnage qui parlent de la fuite, car les criminels savent que tu attends des nouvelles ; ne contacte l'entreprise que par sa propre application ou son site. En Corée, le centre de signalement des atteintes aux informations personnelles de la KISA (privacy.kisa.or.kr) reçoit les signalements et les questions, et la ligne 118 donne des conseils généraux sur les informations personnelles en semaine de 9 h du matin à 6 h du soir, tandis que les urgences liées au piratage et aux virus sont traitées jour et nuit.
- « Seules des choses comme mon numéro d'identité sont des informations personnelles. » L'article 2 de la loi sur la protection des informations personnelles couvre aussi les informations qui identifient quelqu'un une fois facilement combinées à d'autres, comme une école, un trajet et une date d'anniversaire.
- « Le site affiche https://, on peut donc lui faire confiance. » HTTPS chiffre ce que tu envoies à ce site pour que les autres personnes du réseau ne puissent pas le lire. Cela ne dit rien de l'honnêteté du site lui-même.
- « Je dois donner ma vraie réponse à une question de sécurité. » Les vraies réponses sont souvent publiques ou faciles à deviner. Utilise une réponse inventée et aléatoire, et garde-la dans un gestionnaire de mots de passe, comme un mot de passe.
- « Les applications que je n'utilise plus ne peuvent pas me nuire. » Une application abandonnée garde toutes les autorisations que tu lui as données. Supprime les applications que tu n'utilises plus et revois les autorisations des autres.
| Informations personnelles (droit coréen) | Identifient une personne vivante, seules ou facilement combinées à d'autres données |
| Autorisation minimale | N'accorder à une application que ce dont elle a besoin |
| Localisation des photos | Les appareils photo peuvent enregistrer le lieu de la prise de vue |
| Les questions de sécurité | Les réponses se devinent ; utilise une réponse aléatoire |
| HTTPS | Chiffre les échanges avec le site ; ne prouve pas que le site est honnête |
| privacy.kisa.or.kr | Centre de signalement des atteintes aux informations personnelles de la KISA, 118 |
- De petits détails se combinent en informations qui identifient.
- Donne moins : champs facultatifs, réglages d'audience, autorisations des applications.
- Traite les réponses de sécurité comme des mots de passe ; vérifie HTTPS sur un Wi-Fi public.
- Après une fuite : change les mots de passe réutilisés, active la MFA, attends-toi à de l'hameçonnage.
- Selon la loi coréenne sur la protection des informations personnelles, qu'est-ce qui compte comme information personnelle ?
- Une information qui identifie une personne une fois facilement combinée à d'autres données
- Seulement un numéro d'enregistrement de résident
- Seulement un nom
- Seulement des données sur des entreprises
- Une application lampe de poche demande l'accès à tes contacts. Que dois-tu faire ?
- Refuser
- Accepter
- Accepter seulement le week-end
- Envoyer plutôt tes contacts par e-mail
- Que dit le NIST des questions de sécurité lors du choix d'un mot de passe ?
- Les services ne doivent pas les proposer
- Elles sont obligatoires
- En utiliser au moins trois
- Utiliser le vrai nom de jeune fille de ta mère
- Que protège HTTPS sur un Wi-Fi public ?
- Ce que tu envoies à ce site, face aux autres personnes du réseau
- Toi, contre tous les faux sites
- La batterie de ton téléphone
- Tes photos sur l'appareil
- Un site exige une question de sécurité. Meilleure approche ?
- Une réponse inventée et aléatoire, enregistrée dans un gestionnaire de mots de passe
- La vraie réponse
- La même réponse partout
- La laisser vide
- Pourquoi une photo que tu publies peut-elle révéler où tu habites ?
- Le fichier peut enregistrer le lieu de la prise de vue
- Les photos sont toujours publiques
- Les écrans affichent le GPS
- Les appareils photo envoient des lettres
- Une entreprise t'écrit qu'elle a subi une fuite. Que dois-tu changer en premier ?
- Ce mot de passe et chaque copie réutilisée
- Le fond d'écran de ton téléphone
- Seulement ton nom d'utilisateur
- Rien
- Quel site de la KISA reçoit les signalements d'atteintes aux informations personnelles ? Tape l'adresse.
- Quelle est la façon la plus sûre de réagir à un avis de fuite reçu par e-mail ?
- Aller toi-même sur l'application ou le site de l'entreprise
- Cliquer sur le lien de l'e-mail
- Répondre avec tes informations
- Appeler le numéro indiqué dans l'e-mail
Sources de ce cours (13)
- (checked 2026-10-17; reordered 2026-10-19: standards and law first, then official agency guidance, then technical documentation, history last)
- Standard: NIST SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management (pages.nist.gov/800-63-4/sp800-63b.html, final 31 July 2025 per the csrc.nist.gov document history (Date Published: July 2025), checked 2026-10-17: sec. 3.1.1.2 password rules, 3.1.3.3 PSTN restricted, 3.2.5 phishing resistance, Appendix B syncable authenticators)
- Law: 개인정보 보호법 제2조 (국가법령정보센터, law.go.kr)
- Official agency guidance: CISA Secure Our World: Use Strong Passwords, Turn on MFA, Recognize and Report Phishing, Update Software, and tip sheets (cisa.gov/secure-our-world, checked 2026-10-17)
- CISA, More than a Password (cisa.gov/MFA) and fact sheet Implementing Phishing-Resistant MFA (2022)
- checked 2026-10-17
- CISA #StopRansomware Guide (checked 2026-10-17)
- CISA, Back Up Business Data and Data Backup Options (Ruggiero and Heckathorn, 2012, Carnegie Mellon University, produced for US-CERT, which CISA retired into CISA.gov on 24 February 2023; 3-2-1 rule) (checked 2026-10-17)
- KISA, 118 상담 서비스 (kisa.or.kr/118, checked 2026-10-17)
- KISA 보호나라 스미싱 확인서비스 (boho.or.kr, checked 2026-10-17)
- KISA 개인정보침해 신고센터 (privacy.kisa.or.kr, checked 2026-10-17)
- Technical documentation: MDN Web Docs, Passkeys (developer.mozilla.org/en-US/docs/Web/Security/Authentication/Passkeys, checked 2026-10-17) and autocomplete attribute (checked 2026-10-17)
- No product is recommended. Every code exercise was checked with a Playwright probe against a reference solution.
Consulté le: 2026-10-17