Où les spammeurs obtiennent-ils votre adresse e-mail ? 7 sources courantes et que faire

Où les spammeurs obtiennent-ils votre adresse e-mail ?

Les spammeurs obtiennent votre adresse e-mail à partir de quelques sources courantes : bases de données clients piratées, entreprises et courtiers en données qui partagent des listes de contacts, pages web publiques et profils, contacts et fils de discussion d’autres personnes, formulaires de phishing et adresses devinées. Recevoir du spam ne signifie pas que votre boîte de réception a été piratée, et à moins d’utiliser une adresse distincte pour chaque inscription, la source exacte est souvent impossible à prouver.

Une adresse exposée et un compte piraté sont deux problèmes différents. Un spammeur n’a besoin que de votre adresse pour vous envoyer du courrier, mais il lui faudrait votre mot de passe pour le lire. Une même adresse peut figurer sur plusieurs listes à la fois, si bien que colmater une fuite suffit rarement à arrêter le spam du jour au lendemain.

• Une fois qu’une adresse figure sur une liste, il est rare de pouvoir la faire supprimer partout, mais vous pouvez arrêter d’alimenter de nouvelles listes.
• Ne vous désabonnez que des listes de diffusion que vous reconnaissez ; signalez plutôt les expéditeurs inconnus ou suspects comme spam.
• Une adresse ou un alias distinct pour chaque inscription est le moyen pratique le plus clair de voir d’où vient le spam.
• L’email temporaire convient aux inscriptions ponctuelles et à faible risque, pas aux comptes que vous devez conserver ou récupérer.

Sept sources courantes d’adresses e-mail de spam

Chaque source ci-dessous fonctionne différemment, laisse des indices différents et appelle une solution différente. Une même adresse peut provenir de plusieurs d’entre elles à la fois, et comme les spammeurs échangent des listes, la première source est souvent difficile à identifier.

1. Violations de données chez les services que vous avez utilisés

Lorsqu’une boutique, une application ou un forum auquel vous vous êtes inscrit subit une violation, sa base de données clients peut être copiée, vendue ou publiée en ligne. Si les enregistrements exposés contiennent des adresses e-mail, celles-ci peuvent ensuite apparaître sur des listes de spam et de phishing. Les données copiées d’un ancien compte peuvent rester en circulation même après la fermeture de ce compte.

Indices : spam ou phishing qui mentionne le service par son nom, ou bond du spam peu après un avis de violation. Ce qui aide : vérifiez votre adresse sur Have I Been Pwned, un service gratuit de recherche de fuites, et inscrivez-vous à ses alertes si vous souhaitez être informé des futures violations. Un résultat vierge ne prouve pas que votre adresse n’a jamais été exposée, car le service ne couvre que les violations présentes dans son propre jeu de données. Si une violation impliquait un mot de passe que vous avez réutilisé, changez-le partout où vous l’avez utilisé. Pour limiter ce que la prochaine violation peut exposer, voyez comment le courrier temporaire peut réduire les conséquences des violations de données.

2. Inscriptions, formulaires de prospection et entreprises qui partagent des données

De nombreux sites demandent une adresse e-mail avant que vous puissiez acheter, télécharger, participer à un concours, répondre à un quiz ou continuer à lire. Certains ne l’utilisent que pour leur propre marketing. D’autres la partagent avec des « partenaires », des « affiliés » ou des « sponsors » en vertu de leur politique de confidentialité ou du règlement du concours, et une case de consentement précochée peut suffire. Le guide consommateur de la FTC « How To Get Less Spam in Your Email » indique que les entreprises peuvent partager ou vendre votre adresse et suggère de vérifier les politiques de confidentialité avant de la communiquer.

Indices : marketing de marques que vous n’avez jamais contactées, débutant peu après une inscription ou une participation à un concours. Ce qui aide : décochez les cases de marketing des partenaires, renoncez aux concours dont le règlement mentionne le partage des participations avec les sponsors, et utilisez une adresse distincte pour les inscriptions auxquelles vous ne faites pas entièrement confiance.

3. Courtiers en données et vendeurs de listes

Les courtiers en données collectent des informations à partir des registres publics, des achats et de l’activité en ligne, puis vendent des profils et des listes marketing. L’étude de 2014 de la FTC portant sur neuf courtiers en données, « Data Brokers: A Call for Transparency and Accountability », a constaté que des courtiers vendaient des produits marketing, dont des listes de consommateurs correspondant à certains critères. Les spammeurs et les marketeurs agressifs peuvent acheter ou louer de telles listes au lieu de collecter eux-mêmes les adresses.

Indices : spam qui connaît déjà votre nom ou votre ville. Cela peut indiquer un courtier, mais peut aussi provenir de données de violation fusionnées : considérez-le donc comme un indice plutôt qu’une preuve. Ce qui aide : les demandes de désinscription adressées à chaque courtier peuvent réduire les partages futurs, même si elles ne peuvent pas retirer les listes déjà vendues. Les résidents de Californie peuvent utiliser la plateforme de demande de suppression et de désinscription (DROP) de l’État pour envoyer une seule demande de suppression aux courtiers en données enregistrés, qui doivent traiter ces demandes depuis le 1er août 2026, sous réserve d’exceptions légales.

4. Pages publiques, profils, forums et registres

Des programmes automatisés parcourent les pages web publiques et copient tout ce qui ressemble à une adresse e-mail. Les endroits courants incluent les sites personnels et professionnels, les messages de forum, les CV en ligne, les PDF, les sections de commentaires, les profils publics sur les réseaux sociaux et professionnels, ainsi que certains registres publics. Les anciens enregistrements WHOIS publics des noms de domaine pouvaient aussi exposer l'adresse e-mail du titulaire. En 2018, l'ICANN a restreint la publication des données de contact personnelles pour les domaines génériques de premier niveau et a exigé à la place une adresse e-mail anonymisée ou un formulaire web.

Indices : recherchez votre adresse complète entre guillemets. Un résultat montre où l'adresse est visible publiquement, mais l'absence de résultat ne prouve pas qu'elle n'a jamais été publiée, car les pages archivées ou non indexées n'apparaîtront pas. Ce qui aide : supprimez l'adresse quand vous le pouvez, utilisez un formulaire de contact au lieu d'une adresse imprimée, masquez votre e-mail dans les paramètres de confidentialité du profil et activez la confidentialité du domaine si vous possédez un site web.

5. Les contacts et fils de discussion d'autres personnes

Votre adresse figure aussi dans les carnets d'adresses d'autres personnes, dans d'anciens fils d'e-mails et dans les messages de groupe. Si l'un de ces comptes ou appareils est compromis, sa liste de contacts et ses conversations peuvent être copiées. Les longues chaînes de CC et les messages transférés exposent aussi chaque destinataire visible à quiconque les reçoit ensuite.

Indices : un spam qui semble provenir d'un ami ou d'un collègue, ou qui reprend l'objet d'un véritable ancien fil. Ce qui aide : utilisez le CCO pour les messages de groupe, maintenez votre logiciel de sécurité à jour comme le recommande la FTC, et prévenez un contact si son compte semble envoyer des messages qu'il n'a pas écrits.

6. Pages de phishing et formulaires trompeurs

Une fausse page de connexion, un sondage, une annonce de gain ou un message « confirmez votre compte » peut collecter directement votre adresse e-mail, souvent avec un mot de passe. Ici, l'adresse n'est qu'un effet secondaire ; la vraie cible, c'est votre compte. Si vous avez saisi un mot de passe sur une page atteinte depuis un e-mail inattendu, traitez cela comme un problème de compte plutôt que comme un problème de spam : changez le mot de passe sur le vrai site et activez l'authentification à deux facteurs.

Ce qui aide : ouvrez les sites importants depuis votre propre favori ou application plutôt que depuis des liens contenus dans un e-mail, et méfiez-vous de tout formulaire qui demande votre mot de passe e-mail.

7. Adresses devinées

Les spammeurs envoient aussi à des adresses qu'ils n'ont trouvées nulle part, construites à partir de noms courants et de formats d'adresses courants chez des fournisseurs populaires ou des domaines d'entreprise. Le guide de conformité CAN-SPAM de la FTC classe la collecte d'adresses et ces « attaques par dictionnaire » parmi les infractions aggravées pouvant entraîner des sanctions supplémentaires, mais cela n'arrête pas les expéditeurs qui ignorent la loi.

Indices : un spam envoyé à une adresse que vous avez à peine utilisée ou jamais partagée, surtout une adresse courte ou basée sur votre nom. Ce qui aide : fiez-vous au filtre anti-spam de votre fournisseur. Vous n'avez pas besoin d'abandonner une adresse pour cette seule raison, mais une adresse moins prévisible peut être utile pour de nouveaux comptes.

Pourquoi est-ce que je reçois soudainement autant de spam ?

Un bond soudain signifie généralement que votre adresse a atterri sur une nouvelle liste, ou qu'une ancienne liste a recommencé à être utilisée. Les déclencheurs courants incluent une violation de données récemment révélée, une inscription ou un jeu-concours qui a partagé votre adresse, ou une nouvelle campagne que votre filtre anti-spam n'a pas encore appris à détecter. Le spam arrive souvent par vagues, car les listes sont échangées et envoyées en masse.

Trois questions rapides peuvent aider à y voir plus clair :

• Vous êtes-vous inscrit à quelque chose de nouveau ces dernières semaines ?
• Le spam mentionne-t-il une entreprise, un produit ou un ancien compte précis ?
• Une recherche de fuite de données montre-t-elle une fuite récente pour votre adresse ?

Réponses, clics et images chargées

Certains spammeurs cherchent aussi des signes indiquant qu'une adresse est utilisée. Répondre au spam, cliquer sur ses liens (y compris son lien de désabonnement) ou charger ses images distantes peut indiquer à l'expéditeur qu'un message est arrivé dans une boîte de réception active. Le signal est imparfait, car certaines applications de messagerie et certains analyseurs de sécurité chargent automatiquement les images, mais vous ne gagnez rien à le leur envoyer. Signalez le message au lieu d'y répondre.

Un flot de confirmations d'inscription

Si des dizaines ou des centaines de confirmations d’inscription à des newsletters ou d’emails de bienvenue arrivent en quelques heures, quelqu’un a peut-être inscrit votre adresse sur de nombreux sites à la fois. On parle parfois de « subscription bombing ». Cela peut relever du simple harcèlement, mais peut aussi viser à noyer une véritable alerte, comme une confirmation de commande ou un avis de changement de mot de passe, sous le bruit. Vérifiez vos comptes importants en ouvrant l’application officielle ou en saisissant vous-même l’adresse du site, sans suivre les liens présents dans ce flot, et ne cliquez pas sur les liens de confirmation.

Comment savoir qui a vendu ou divulgué votre adresse e-mail ?

En général, une fois le spam commencé, vous ne pouvez pas prouver qui a vendu ou divulgué une adresse. Une adresse ou un alias unique indique où vous avez utilisé cette adresse à l’origine, mais ne permet pas de distinguer une vente d’une fuite chez un prestataire ou d’un partage ultérieur. Le moment, les informations personnelles et l’entreprise citée dans un message sont des indices, pas des preuves.

Utilisez une adresse ou un alias distinct pour chaque inscription

Gmail et Google Workspace prennent en charge l’adressage avec signe plus : ajouter une étiquette après votre nom d’utilisateur, par exemple votrenom+shop, achemine toujours le message vers votre boîte de réception principale, et l’étiquette indique quelle version de l’adresse l’expéditeur a utilisée. L’adressage avec signe plus n’est toutefois qu’un indice : un formulaire peut refuser le signe plus, et l’étiquette peut être supprimée avant que l’adresse ne soit partagée. Les alias de transfert vont plus loin, car chaque alias est une adresse distincte que vous pouvez désactiver. Notre comparaison de les alias de courrier temporaire et d’email explique quel type convient aux comptes que vous conservez.

Une adresse unique indique quelle adresse a fuité, pas qui l’a divulguée. L’entreprise a pu la vendre, l’un de ses prestataires a pu être victime d’une fuite, ou une liste a pu être transmise plus loin dans la chaîne.

Ce que les détails d’un message peuvent ou ne peuvent pas vous apprendre

L’adresse « À », l’éventuelle étiquette avec signe plus et la date de début du spam sont les détails les plus utiles. Les en-têtes complets d’un message montrent les serveurs par lesquels il est passé et s’il a réussi les contrôles d’authentification, mais ils ne peuvent pas révéler qui a vendu ou partagé votre adresse. Les spammeurs envoient souvent via des services ou des machines compromises qui n’ont aucun lien avec la fuite d’origine.

Est-il sans danger de cliquer sur un lien de désabonnement ?

Il est sans danger de se désabonner d’une liste de diffusion que vous reconnaissez et dont vous vous souvenez vous être inscrit, idéalement grâce au bouton de désabonnement intégré à votre application de messagerie. Pour les expéditeurs inconnus, suspects ou usurpés, ne suivez pas du tout le lien de désabonnement ; signalez plutôt le message comme spam ou comme tentative de phishing.

Utilisez le bouton de désabonnement de votre application de messagerie

Les marketeurs légitimes ont des raisons légales et pratiques de respecter les désabonnements. Aux États-Unis, le guide CAN-SPAM de la FTC indique que les emails commerciaux doivent offrir un moyen de se désabonner, que les demandes doivent être traitées sous 10 jours ouvrables et que le mécanisme de désabonnement doit continuer à fonctionner pendant au moins 30 jours après l’envoi du message. Les expéditeurs ne peuvent pas facturer de frais ni demander plus que votre adresse e-mail, et après votre désabonnement, ils ne peuvent ni vendre ni transférer votre adresse, sauf à une entreprise engagée pour les aider à respecter la loi.

Google exige également que les expéditeurs qui envoient plus de 5 000 messages par jour à des comptes Gmail prennent en charge le désabonnement en un clic pour les messages marketing et les messages auxquels l’utilisateur est abonné. Les messages conformes comportent des en-têtes de désabonnement standard que Gmail et d’autres applications de messagerie peuvent utiliser pour afficher une option de désabonnement, afin que vous n’ayez pas à chercher dans le message ni à visiter une page choisie par l’expéditeur. Le guide anti-spam de la FTC recommande également les fonctionnalités de désabonnement proposées par votre fournisseur de messagerie.

Quand ne pas suivre un lien de désabonnement

• Vous ne reconnaissez pas l’entreprise, ou vous ne vous êtes jamais inscrit.
• Le nom ou le domaine de l’expéditeur imite une marque que vous connaissez, avec de petites fautes d’orthographe ou un domaine sans rapport.
• La page de désabonnement vous demande de vous connecter, de saisir un mot de passe ou de fournir plus que votre adresse e-mail.
• Le lien déclenche un téléchargement, ou le message vous presse d’agir rapidement.

Un expéditeur qui ignore déjà la loi n’a aucune raison de respecter votre demande, et son lien peut confirmer votre adresse ou mener à une page de phishing. Signalez le message et passez à autre chose.

Comment réduire les spams que vous recevez déjà

Vous ne pouvez pas retirer votre adresse de toutes les listes copiées ; enrayer le spam consiste donc généralement à le filtrer et à le signaler plutôt qu’à empêcher chaque envoi. Les conseils aux consommateurs de la FTC recommandent ces principes de base :

• Marquez le spam comme spam ou indésirable dans votre application de messagerie.
• Bloquez les expéditeurs ou domaines persistants lorsque la même source continue de passer.
• Vérifiez de temps en temps le dossier spam pour repérer de vrais messages pris par erreur.
• Signalez les messages indésirables à votre fournisseur de messagerie, et signalez les arnaques à la FTC sur ReportFraud.ftc.gov.

Par précaution supplémentaire, ne répondez pas aux messages suspects et n’appelez pas les numéros de téléphone qui y figurent.

Changer d’adresse est un dernier recours. Cela n’aide que si vous transférez soigneusement vos comptes importants et protégez la nouvelle adresse mieux que l’ancienne.

Gardez votre adresse principale hors des futures listes d’inscription

La mesure la plus efficace à long terme consiste à donner votre adresse principale au moins d’entreprises possible. Une configuration simple à trois niveaux convient à la plupart des gens :

• Adresse principale : banque, travail, services publics et tout compte dont vous auriez besoin pour récupérer l’accès.
• Alias de transfert : achats, abonnements et comptes que vous conservez, afin de pouvoir désactiver tout alias qui commence à recevoir du spam.
• Email temporaire : téléchargements ponctuels, coupons, essais sur des forums et autres inscriptions à faible risque que vous ne comptez pas conserver.

Quand l’email temporaire convient, et quand il ne convient pas

Une adresse email temporaire tient les inscriptions ponctuelles à l’écart de votre boîte de réception principale. Si une adresse utilisée pour une seule inscription reçoit ensuite du spam, cette inscription est une piste utile, même si elle ne permet pas de prouver si l’entreprise, l’un de ses prestataires ou quelqu’un de plus éloigné a partagé l’adresse. Si vous découvrez le concept, cet aperçu de fonctionnement du courrier temporaire en présente les bases.

Tmailor est uniquement en réception : vous ne pouvez ni envoyer ni répondre depuis l’adresse, et il n’accepte pas les pièces jointes. Les messages sont supprimés automatiquement environ 24 heures après leur arrivée. Vous pouvez revenir à la même adresse plus tard avec son Access Token, mais un token perdu ne peut pas être récupéré, et certains sites bloquent les domaines d’email jetable. L’email temporaire est donc peu adapté aux services bancaires, au travail, aux achats pour lesquels vous pourriez avoir besoin d’un reçu, ou à tout compte que vous pourriez devoir récupérer. Pour en savoir plus sur les usages quotidiens, consultez notre guide de protection temporaire contre les e-mails et le spam.

Vous ne pouvez pas tracer chaque message spam, mais vous pouvez arrêter d’alimenter de nouvelles listes

Le spam commence par une adresse que quelqu’un a collectée, partagée ou devinée, et une fois qu’elle circule, vous ne pouvez plus la retirer. Ce que vous pouvez maîtriser, c’est le nombre de nouvelles listes qui voient votre adresse principale. Signalez ce qui passe, désinscrivez-vous uniquement auprès des expéditeurs que vous reconnaissez, et gardez les inscriptions ponctuelles à part. La prochaine fois qu’un téléchargement ou un coupon vous demande un email, créez un mail temporaire gratuit plutôt que d’utiliser le vôtre.