Le spam email est l'un des plus vieux problèmes d'internet, et selon toute logique il devrait être résolu depuis longtemps. Les filtres sont extraordinairement sophistiqués. Les standards d'authentification existent. Les lois sont en vigueur depuis des décennies. Et pourtant, une part significative de tout le courrier électronique circulant sur internet reste indésirable — et le courrier indésirable qui compte le plus est devenu plus dangereux, pas moins. Plutôt que de brandir des chiffres qui vieillissent mal et sont difficiles à vérifier, examinons les mécanismes : pourquoi le spam persiste, comment il a changé de forme, et ce qui fonctionne vraiment contre lui.
L'économie : le spam survit parce qu'envoyer est presque gratuit
Toute explication du spam commence et finit par la structure des coûts. Envoyer un email ne coûte presque rien par message à l'expéditeur, et l'infrastructure pour envoyer à très grande échelle — machines compromises, botnets loués, domaines jetables, services gratuits détournés — est bon marché et constamment renouvelée. Quand envoyer un million de messages coûte une poignée de centimes, un taux de réponse infinitésimal reste rentable.
C'est pourquoi le spam ne peut pas être éliminé par le filtrage. Les filtres augmentent le coût de la *réussite*, mais tant que le coût de l'*envoi* reste proche de zéro, le choix rationnel pour un spammeur est simplement d'envoyer davantage. La course aux armements est structurelle.
Le paradoxe du filtrage : une victoire qui n'en a pas l'air
Voici l'étrange vérité : le filtrage du spam est l'une des grandes réussites du machine learning. Les filtres modernes combinent analyse de contenu, réputation de l'expéditeur, contrôles d'authentification et signaux comportementaux, et l'écrasante majorité du spam brut n'atteint jamais un œil humain.
Mais trois effets maintiennent le problème vivant du point de vue de l'utilisateur :
- La sélection par survie. Le spam qui atteint votre boîte est, par définition, celui qui est assez bon pour battre des filtres de classe mondiale. Ce que vous voyez est le meilleur travail de l'adversaire, ce qui explique pourquoi le spam en boîte de réception semble plus convaincant que jamais alors même que le blocage global s'améliore.
- La zone grise. Une grande partie du courrier indésirable n'est techniquement pas du spam — c'est du marketing « légitime » d'entreprises à qui vous avez un jour donné votre adresse, envoyé avec un lien de désinscription fonctionnel et une authentification en règle. Les filtres ne le tueront pas, parce que vous avez consenti, une fois, dans une case à cocher dont vous ne vous souvenez pas.
- Des enjeux asymétriques. Un email promotionnel raté vous coûte une seconde d'attention. Un seul message de phishing réussi peut vous coûter un compte, un solde bancaire ou une entreprise. Le filtrage peut gagner sur le volume tout en perdant là où ça fait mal.
De la nuisance à l'arme
La composition du spam a évolué au fil des décennies. Le spam à l'ancienne vendait des choses — médicaments douteux, fausses montres, produits miracles. Cela existe encore, mais le centre de gravité s'est déplacé vers du courrier dont l'objectif est vous, pas directement votre portefeuille :
- Le phishing d'identifiants qui imite des services que vous utilisez réellement, pour récolter mots de passe et codes de session.
- La livraison de malwares via pièces jointes et liens, souvent comme premier coup d'une attaque par ransomware.
- La compromission d'emails professionnels, des messages ciblés usurpant l'identité de dirigeants ou de fournisseurs pour détourner des paiements.
- Des appâts polis par l'IA. Les modèles de langage largement disponibles ont supprimé le signe distinctif historique du spam : un texte bancal et maladroit. La grammaire n'est plus une défense, ce qui rend les vérifications structurelles — domaines d'expéditeur, destinations des liens, vérification par un autre canal — plus importantes que jamais. Notre guide des signaux d'alerte du phishing couvre les indices qui fonctionnent encore.
Où les spammeurs obtiennent votre adresse
Le spam a besoin de cibles, et les listes d'adresses sont une marchandise récoltée via quelques canaux durables :
- Les fuites de données. Chaque service piraté qui stockait des adresses email les alimente dans des listes combinées en circulation. Une fois votre adresse dans ces listes, elle n'en sort jamais. Vous pouvez voir si la vôtre apparaît dans les corpus de fuites connues avec notre outil de contrôle des fuites.
- Le commerce de listes et les « partenaires ». Les adresses données à une entreprise migrent au gré des ventes, acquisitions et partenariats marketing dont vous n'avez jamais vraiment examiné la portée.
- Le scraping et la devinette. Les adresses publiées publiquement sont moissonnées ; les schémas de noms courants sur les domaines populaires sont devinés par force brute.
- La confirmation par engagement. Les ouvertures pistées via des pixels cachés indiquent aux expéditeurs qu'une adresse est active et consultée — ce qui augmente sa valeur sur chaque liste où elle figure. Voir comment fonctionne le pistage par email pour la mécanique.
Remarquez ce que ces quatre canaux ont en commun : ils reposent tous sur le fait que votre adresse est *dans la nature*. C'est le levier que vous contrôlez réellement.
Ce qui réduit vraiment le spam pour vous
Vous ne pouvez pas réparer l'économie du spam, mais vous pouvez faire de votre boîte une cible médiocre :
- Stoppez les nouvelles fuites à la source. Ne donnez votre vraie adresse qu'aux relations qui méritent la permanence. Pour les inscriptions ponctuelles, les téléchargements et les murs à coupons, utilisez une boîte jetable — une adresse MailDrop ne coûte rien, n'exige aucune inscription et expire d'elle-même, si bien que toute liste où elle atterrit se périme automatiquement. Elle est taillée pour les inscriptions aux newsletters et promos qui génèrent l'essentiel de l'exposition des adresses.
- Compartimentez. Des adresses séparées pour l'identité centrale, les abonnements et le jetable font qu'une fuite n'inonde jamais tout.
- N'interagissez jamais avec du vrai spam. Ne répondez pas, ne cliquez pas, et n'utilisez pas les liens de désinscription dans du courrier auquel vous ne vous êtes jamais abonné — toute forme d'engagement confirme que votre adresse est active. (Désinscrivez-vous librement des expéditeurs *légitimes* que vous reconnaissez.)
- Signalez-le. Le bouton « signaler comme spam » entraîne les filtres qui protègent tout le monde.
Les perspectives honnêtes
Le spam persistera tant que l'email restera ouvert, universel et presque gratuit à envoyer — c'est-à-dire tant que l'email restera l'email. L'objectif réaliste n'a jamais été l'éradication. C'est le confinement : des filtres de classe mondiale pour le gros du travail, des habitudes affûtées pour attraper ce qui passe, et une adresse jetable dressée entre votre vraie boîte et chaque liste qui n'en a jamais eu besoin.