Google a tenu à démentir une nouvelle fuite de données a été découverte en octobre 2025, révélant 183 millions de mots de passe et identifiants d'utilisateurs, dont plusieurs associés à des comptes Gmail. L'incident, signalé par le site de veille en cybersécurité Have I Been Pwned (HIBP), ne constitue pas une attaque directe contre Google, mais résulte de la compilation de données volées par des logiciels malveillants (« infostealers »). Selon Troy Hunt, fondateur de HIBP, la fuite provient de l'analyse de plus de 3,5 téraoctets de données, soit 23 milliards d'enregistrements collectés par la société de cybersécurité Synthient sur une période d'un an. Ces fichiers contiennent des combinaisons de sites web, adresses e-mail et mots de passe dérobées par des malwares. Parmi les 183 millions d'entrées, environ 16,4 millions seraient totalement inédites, c'est-à-dire jamais apparues dans une autre violation connue. Gmail figure parmi les services les plus représentés, aux côtés de Microsoft Outlook et Yahoo. Face à la panique provoquée sur les réseaux sociaux, Google a tenu à clarifier la situation : « Il ne s'agit pas d'un piratage de Gmail », a précisé l'entreprise. « Ces données proviennent d'anciennes fuites ou de vols de mots de passe liés à d'autres sites. Nos systèmes restent sécurisés. » Le géant américain recommande néanmoins à ses utilisateurs de changer immédiatement tout mot de passe compromis, d'activer la vérification en deux étapes et, si possible, d'adopter les passkeys, un système d'authentification plus sûr que les mots de passe classiques. Pour les experts, cette fuite souligne à nouveau la nécessité de surveiller régulièrement ses identifiants et de ne jamais réutiliser le même mot de passe sur plusieurs sites. Les cybercriminels exploitent en effet ces données pour mener des attaques dites de « credential stuffing », consistant à tester automatiquement les combinaisons e-mail/mot de passe sur différents services en ligne. Les utilisateurs peuvent vérifier si leurs informations figurent dans la base compromise en consultant le site Have I Been Pwned ou via le Google Password Manager, qui alerte en cas de mot de passe faible ou exposé.
