Comment protéger ses cryptos : 2FA et les habitudes qui comptent vraiment
Deux incidents de sécurité récents et ce qu'ils nous apprennent : six habitudes qui protègent vraiment vos cryptos et vos comptes, à commencer par l'authentification à deux facteurs.
En dix jours, deux incidents de sécurité majeurs ont fait la une. Aucun utilisateur ordinaire n'aurait pu les empêcher. Tous deux rappellent néanmoins tout ce que vous pouvez faire vous-même.
Ce qui s'est passé
PHP2Shell, 20-21 octobre 2026. PHP est un langage de programmation qui tourne derrière de nombreux sites web et services en ligne. Les détails de deux failles critiques ont fuité avant qu'un correctif soit prêt ; PHP a publié les versions corrigées le 21 octobre. Selon CERT-EU, toute installation PHP répondant à des requêtes web était exposée jusqu'à sa mise à jour. Les exploitants de sites devaient appliquer le correctif. Les utilisateurs ne pouvaient qu'attendre.
Un piratage record d'une plateforme d'échange, 29 octobre 2026. Binance a confirmé une attaque portant sur environ 6,3 milliards de dollars, dont près de 3 milliards gelés. La plateforme pense que les attaquants sont entrés via l'ordinateur portable d'un employé. Elle indique n'avoir trouvé aucune preuve de fuite de clés privées et couvrira toutes les pertes. Les chiffres peuvent encore évoluer (Blick propose la couverture suisse).
Deux types de risque
Le risque de plateforme, c'est ce qui se passe dans les systèmes d'autrui : un site web, une plateforme d'échange, une application. Vous ne pouvez pas corriger leurs serveurs ni sécuriser les ordinateurs portables de leurs employés.
Le risque de compte, c'est la manière dont quelqu'un accède à votre compte ou à votre portefeuille. Cette partie dépend en grande partie de vous, et c'est là que les bonnes habitudes font la plus grande différence.
1. Activer l'authentification à deux facteurs
L'authentification à deux facteurs (2FA) demande, en plus du mot de passe, une seconde preuve : quelque chose que vous possédez, comme votre téléphone, ou votre empreinte digitale. Le Centre national pour la cybersécurité recommande de l'utiliser partout où c'est possible, et au minimum pour l'e-mail, l'e-banking et les réseaux sociaux.
Toutes les 2FA ne se valent pas :
- La plus solide : les passkeys ou une clé de sécurité matérielle. Elles ne fonctionnent que sur le vrai site web, une fausse page de connexion ne peut donc pas les capturer.
- Bonne : une application d'authentification. Elle génère sur votre téléphone des codes qui changent toutes les quelques secondes.
- La plus faible : les codes par SMS. Ils peuvent être interceptés, par exemple si quelqu'un prend le contrôle de votre numéro de téléphone.
Commencez par votre compte e-mail. Celui qui contrôle votre boîte de réception peut réinitialiser la plupart de vos autres mots de passe. Conservez vos codes de secours hors ligne.
2. Utiliser un mot de passe différent partout
Lorsqu'un site web est piraté, les mots de passe volés sont essayés sur d'autres sites. Des failles comme PHP2Shell sont précisément le genre qui mène à ces fuites. Un gestionnaire de mots de passe rend les mots de passe uniques faciles : vous en retenez un, il retient le reste.
3. Garder ses appareils à jour
Le piratage de la plateforme aurait commencé par un seul ordinateur portable compromis. À la maison, c'est pareil : votre téléphone et votre ordinateur sont la porte d'entrée de vos comptes et de votre portefeuille. Installez les mises à jour rapidement, utilisez un verrouillage d'écran et n'installez des applications que depuis les stores officiels.
4. S'attendre au hameçonnage après les grandes actualités
Les escrocs exploitent l'actualité. Après un piratage majeur, attendez-vous à de faux messages à propos d'« indemnisations », de « remboursements » ou de « vérification de compte ».
- Ne communiquez jamais votre phrase de récupération, votre clé privée ou un code 2FA. Aucun prestataire sérieux ne vous les demandera.
- Ouvrez le site web ou l'application vous-même, au lieu de cliquer sur un lien dans un message.
- Considérez l'urgence comme un signal d'alerte. Les prestataires sérieux ne vous laissent pas dix minutes pour agir.
5. Savoir qui détient vos clés
Avec un service dépositaire (custodial), le prestataire détient les clés de vos cryptos. Il peut vous aider si vous perdez l'accès, mais vos fonds dépendent de la qualité de la protection de ses propres systèmes.
Avec un service non dépositaire (non-custodial), c'est vous qui détenez les clés. Une intrusion dans les systèmes du prestataire ne livre pas vos clés aux attaquants, mais la sauvegarde de votre phrase de récupération est votre responsabilité.
Aucun modèle n'est sans risque. Ce qui compte, c'est de savoir lequel vous utilisez et ce que cela signifie pour vous.
6. Vérifier chaque adresse et tester d'abord
Les transferts de cryptos sont irréversibles. Vérifiez l'adresse du destinataire en entier, pas seulement les premiers et derniers caractères, car les escrocs créent des adresses très ressemblantes. Pour les montants importants, envoyez d'abord une petite transaction test.
Votre checklist
- 2FA sur votre e-mail, idéalement avec une passkey ou une application d'authentification
- 2FA sur chaque compte crypto et bancaire
- Un mot de passe unique pour chaque compte, enregistré dans un gestionnaire de mots de passe
- Téléphone et ordinateur à jour
- Phrase de récupération sauvegardée hors ligne, jamais en photo ni dans le cloud
- Des favoris pour les sites que vous utilisez, plutôt que des liens issus de messages
La sécurité n'est jamais un seul réglage. Ce sont quelques habitudes, tenues dans la durée.
Sources officielles
Centre national pour la cybersécurité (Suisse) : doublez la sécurité de vos accès
CERT-EU Security Advisory 2026-018 : vulnérabilités critiques dans PHP (en anglais)
Dernière révision : 30 octobre 2026. Cet article ne constitue pas un conseil en investissement.
Questions fréquentes
- Qu'est-ce que l'authentification à deux facteurs (2FA) ?
- La 2FA demande, en plus du mot de passe, une seconde preuve d'identité, généralement un code issu d'une application ou une confirmation sur le téléphone. Même si quelqu'un vole votre mot de passe, il ne peut pas se connecter sans ce second facteur.
- La 2FA par SMS vaut-elle mieux que rien ?
- Oui, nettement. Les codes par SMS peuvent être interceptés, une application d'authentification ou une passkey est donc plus solide, mais toute 2FA vaut bien mieux qu'un mot de passe seul.
- Qu'est-ce qu'une passkey ?
- Une passkey remplace votre mot de passe par une clé stockée sur votre appareil, déverrouillée par empreinte digitale, visage ou code PIN. Elle ne fonctionne que sur le site pour lequel elle a été créée, une fausse page de connexion ne peut donc pas l'utiliser.
- La 2FA m'aurait-elle protégé lors du piratage de la plateforme ?
- Non. Cette attaque a eu lieu au sein des systèmes de la plateforme, et non via les connexions des clients. La 2FA protège votre compte contre ceux qui tentent de se connecter à votre place.
- J'ai cliqué sur un lien suspect. Que faire ?
- Changez le mot de passe du compte concerné depuis un autre appareil de confiance et déconnectez toutes les sessions actives. Si vous avez saisi votre phrase de récupération quelque part, considérez ce portefeuille comme compromis et transférez immédiatement vos fonds vers un nouveau portefeuille.
- Où dois-je conserver ma phrase de récupération ?
- Hors ligne : écrite sur papier ou gravée sur métal, dans un endroit sûr. Jamais en photo, dans un dossier cloud, dans votre e-mail ou dans une application de notes, et ne la communiquez à personne.
- Que faire si je perds le téléphone utilisé pour la 2FA ?
- Utilisez les codes de secours que vous avez enregistrés lors de la configuration de la 2FA. Si vous ne les avez pas, contactez le support du prestataire, qui devra vérifier votre identité avant de rétablir l'accès.
À lire aussi
Investir dans des crypto-actifs comporte des risques importants. La valeur des crypto-actifs peut augmenter comme diminuer, et vous pourriez perdre la totalité du capital investi. Eti-Tech AG est membre de l'OAR VQF (VASP). Ceci ne constitue pas un conseil en investissement.
Crypto. À la Suisse.