Spam

Lespam,courriel indésirableoupourrielest unecommunication électroniquenon sollicitée, en premier lieu via lecourrier électronique. Il s'agit en général d'envois en grande quantité effectués à des finspublicitairesou d'escroquerie (hameçonnage).
Si le spam dépassait les 90 % decourrielsà la fin des années 2000, il reste élevé dans les années 2010, représentant plus de la moitié des courriels envoyés.
Certains préconisent le terme « polluriel » pour définir les messages inutiles, souvent provocateurs et n'ayant aucun lien avec le sujet de discussion, qui sont diffusés massivement sur de nombreuxforumsou groupes de nouvelles, ce qui entraîne une pollution des réseaux.
SPAMest une marque créée et déposée parHormel Foodsen1937, l'origine du nom étant «Spiced Ham» ou «SpicedPorkandMeat»(« jambon épicé », le produit ayant été nomméHormel Spiced Hamà ses débuts). Cette viande précuite enboîtea largement été utilisée par l'intendance des forces armées américaines pour la nourriture des soldats pendant laSeconde Guerre mondialeet sera introduite dans diverses régions du monde à cette occasion.
L'association de « spam » et de « indésirable » provient d'un sketch comique desMonty Pythonde 1970, intituléSpam, dans lequel le mot « spam », désignant le fameux jambon en boîte, envahit la conversation et le menu d'un petit restaurant (il entre dans la composition de chaque plat et est répété à tout bout de champ). Un groupe de Vikings présent dans le restaurant interrompt régulièrement la conversation en chantant bruyamment«Spam, Spam, Spam, Spam, lovely Spam, wonderful Spam». Le sketch parodie une publicité radiophonique pourSPAM, pendant laquelle la marque était répétée de nombreuses fois («SPAM SPAM SPAM SPAM/ Hormel's new miracle meat in a can»). Déjà en 1944 dans un sketch radiophoniqueAlerte au spam !, l'humoriste françaisPierre Dacévoquait « l'auto-génération » du spam et le chantait sur l'air deLes Montagnards.
Sur l'emploi du terme «spam» pour parler de courrier indésirable, laBBCfournit l'explication suivante enoctobre 1999: le début d'Internet coïncide plus ou moins avec la diffusion du sketchSpam. Parmi les premiers utilisateurs d'Internet certains étaient des fans desMonty Python, qui connaissaient par cœur les sketchs de leurs humoristes préférés et les répétaient sans cesse. Ceux-ci avaient d’ailleurs créé unnewsgroupdédié aux Monty Python. Le sketchSpamétant populaire, un message apparut dans ce newsgroup, contenant uniquement le mot « spam » répété des centaines de fois, à la manière du sketch. Ce message fut repris régulièrement et finit par atterrir dans d'autres newsgroups où il continua à être diffusé. C'est ainsi que le fait de poster des messages sans référence au thème d'un newsgroup finit par être appelé «spamming».
Par opposition aux messages indésirables, leslogiciels de filtrage de courrier électroniquetels queSpamAssassindéfinissent comme «ham», littéralement « jambon », tout message électronique légitime.
Le verbe « spammer » est souvent utilisé dans le langage familier pour qualifier l'action d'envoyer des messages indésirables. Le mot « spammeur » désigne celui qui envoie ces messages.
Le mot « pourriel », proposé par l'Office québécois de la langue française(OQLF) enmai 1997, est unmot-valiseconstruit à partir de « poubelle » et « courriel » tandis que « polluriel » est construit à partir de « pollution » et « courriel ». Le mot « pourriel » est d'usage courant auQuébec, alors qu'enEurope, « spam » est l'appellation privilégiée. Le terme « polluriel », quant à lui, est plutôt réservé au contexte des messages indésirables dans lesforums de discussionet groupes de nouvellesUsenet. La proposition d'officialisation de « pourriel » par laCommission générale de terminologie et de néologie françaisea été rejetée par l'Académie françaiseparce quephonétiquementtrop proche de «courriel». Le mot québécois « pourriel » a toutefois été consigné dans les éditions récentesduPetit Larousse illustréet duPetit Robert.
Le verbe « polluposter », proposé par l'OQLF, est utilisé pour désigner l'action d'envoyer des pourriels. Le mot « polluposteur » (en anglais : «spammer») désigne celui qui envoie les pourriels, action désignée par le mot « pollupostage » (en anglais : «spamming»).
Le premier spam est envoyé le3 mai 1978parGary Thuerk, marketeur travaillant chezDEC. Il envoie son message à près de la totalité des utilisateurs d'ARPANET(ancêtre d'Internet) vivant sur lacôte ouest des États-Unis, soit environ 600 personnes. Il fit cela sans mauvaise intention, afin d'inviter ces utilisateurs technophiles à une démonstration de la gamme DEC. Voulant éviter d'écrire un message à chaque adresse, il mit les 600 adresses directement dans le champ « Destinataire ». Les réactions furent vives et contrastées, l'administration américaine gérant le réseau condamnant d'office la pratique, la jugeant non conforme aux termes d'utilisation du réseau.
Il s'agit d'un exemple classique de spam qui repose sur le principe suivant : le message demande de l'aide afin de transférer des fonds depuis un compte en banque. Le destinataire (supposé compatissant) est censé faire l'intermédiaire pour la transaction.
Les anglophones parlent de «nigerian scam» (littéralement « arnaque nigériane ») car une bonne partie de ces messages émanaient duNigeria. On rencontre aussi le terme de «fraude 4-1-9», la numérotation étant relative à un texte de loi du Nigeria.
Le principe de ces messages n'est pas nouveau : ils sont inspirés desLettres de Jérusalemqui remontent à la Révolution française. Les mêmes messages étaient diffusés par fax dans les années 1980.
C'est l'une des formes les plus courantes de spam, consistant à l'envoi en masse d'un message publicitaire. Les auteurs de ce spam utilisent souvent frauduleusement les ressources informatiques d'autrui via des «machines zombies», car la génération automatique de millions d'adresses destinataires nécessite une largebande passanteet une certaine puissance de calcul.
Certains escrocs font usage du spam pour masquer le piratage d'un compte lié à une adresse mail en particulier. Par exemple, un escroc ayant pris le contrôle d'uncompte utilisateurpourra inscrire celui-ci en masse à des listes d'envoi de mails publicitaires ou générer une grande quantité de faux mails publicitaires. Ce procédé sert alors à masquer parmi la masse des mails reçus les alertes de connexion depuis un nouvel emplacement. Il est notamment utilisé après le piratage de comptes de plateformes decommerce en ligne, auquel cas il sert généralement à masquer un mail de confirmation pour l'achat d'un ou de plusieurs produits. Cette technique est le plus fréquemment utilisée pour des adresses mail, mais elle peut aussi affecter lessmartphones(via SMS ou appels).
Le spam continue d'exister et de prospérer grâce aux revenus qu'il peut engendrer, ce qui motive certains commanditaires car près de 11 % d'internautes admettent avoir acheté un produit à la suite de la réception d'un spam publicitaire, d'après une étude de la société britanniqueSophos.
Le spam peut s'attaquer à divers médias électroniques : lescourriels, lesforums de discussiondeUsenet, lesmoteurs de recherche, leswikis, lesmessageries instantanées, lesblogues.
Le spam parcourrier électroniqueest le type le plus répandu. Le coût d'envoi d'un courriel étant négligeable, des millions de destinataires peuvent être ciblés à la fois. Les destinataires paient le coût de réception et de stockage en boîte aux lettres, répercuté par leurs prestataires de services informatiques. En effet, si le spam a dépassé les 90 % de courriels à la fin des années 2000(en 2006, 95 % pour la France, selon Secuserve; en 2008, 97 % selonMicrosoft; en 2009, 90 % selonSymantec, 95 % selon l'ENISAet 97 % toujours selon Microsoft), il resterait élevé dans les années 2010(en 2014, 66 % selonKaspersky; en 2015, 50 % selon Symantec).
Contrairement aux promotions commerciales pour lesquelles les utilisateurs peuvent avoir donné leur accord, le spam n'est pas sollicité. Il est souvent rédigé spécialement pour contourner lesfiltres anti-spam. Unmot clétel queViagra(souvent vanté dans les spams) peut être ainsi écrit «vi@gr@» ou « v|agra » ou « v i a g r a » de manière à tromper un filtrage automatique basé sur ce mot. Une autre méthode employée, appelée «spam image» consiste à accompagner un texte anodin d'une image sur laquelle se trouve le véritable message publicitaire, l'absence de mot compromettant en dehors de l'image rendant le filtrage de ces messages très compliqué.
Les expéditeurs de spam redoublent d'imagination pour dissimuler leurs activités et ne pas être démasqués, que ce soit en falsifiant les adresses d'expéditeur ou en utilisant des serveursSMTP(serveur de courrier électronique) non sécurisés, qui permettent des envois anonymes.
Les adresses auxquelles envoyer du spam sont généralement collectées par desrobots d'indexation(«web crawler»). Il existe un marché pour les listes d'adresses (sous forme deCD-ROM, ou autres, contenant des milliers d'adresses...) qui aggrave le phénomène du spam : une fois qu'une adresse électronique est divulguée publiquement sur le net et collectée, sa divulgation se fera par le biais du marché noir et non plus sur le seul support du Net.
Ennovembre 2004,Steve Ballmer, CEO de Microsoft, indique que le fondateur de celle-ci,Bill Gates, qui donne son adresse à chaque prise de parole en public, est sans doute la personne la plus « spammée » au monde, puisqu'il reçoit à l'époque jusqu'à quatre millions d'e-mails par jour. Tout un service de Microsoft est consacré à trier cette masse, essentiellement composée de spams, et dont seulement dix messages par jour arrivent finalement à Bill Gates.
Ce type de spam est apparu surUsenetavant celui par courrier électronique. Lesforums de discussionde Usenet sont une cible facile de spam. En effet, un message envoyé à un forum touche tous les lecteurs du forum. Certains groupes de discussion ne reçoivent pratiquement plus que du spam (c'est l'une des raisons pour lesquelles de nombreux forums sont modérés, c'est-à-dire surveillés par un humain ou un robot qui effectue un tri parmi les articles proposés). D'autre part, les participants de Usenet faisant généralement figurer leuradresse électroniquedans leurs articles, les expéditeurs de spam peuvent facilement récolter des milliers d'adresses au moyen d'un robot, puis envoyer du spam aux auteurs de ces articles parcourrier électronique.
Le phénomène est rendu encore plus pénible par la publication croisée ou la publication multiple, qui consistent respectivement à destiner un message à plusieurs groupes simultanément ou à envoyer le message dans plusieurs groupes de suite.
Pour cette raison, tout message de promotion, quel qu'il soit, est prohibé dans les forums Usenet, à l'exception du groupe alt.business et apparentés.
Dans Usenet, on parle également de spam lorsqu'un article, quel que soit son contenu, et même s'il n'appartient pas aux catégories usuelles de messages abusifs (publicités commerciales, escroqueries, insultes…) est publié en un nombre d'exemplaires excessif : tous les exemplaires d'un tel article peuvent être annulés par les utilisateurs (les critères numériques exacts permettant d'identifier de tels spams dans la principale hiérarchie francophone sont donnés dans la documentation du forum). Les diverses hiérarchies possédant des critères différents pour identifier et annuler les articles de spam, il existe une certaine incertitude quant aux traitements qui peuvent être appliqués aux spams diffusés simultanément dans plusieurs de ces hiérarchies. Une règle particulièrement simple décide du sort des escroqueries manifestes, c'est-à-dire des articles proposant de « gagner de l'argent rapidement et sans rien faire » (habituellement appelés « MMF », de l'anglais «Make money fast» - « gagnez de l'argent rapidement ») : ces articles peuvent être annulés immédiatement par n'importe quel utilisateur.
Les actions des usenautes spécialisés dans la lutte contre le spam donnent souvent lieu à des accusations decensureet decabale.
Depuis peu, le terme général de «spamposting» est parfois utilisé pour désigner le spam apparaissant dans lesblogs, forums, livre d'or, etc.
Le «Messenger spam» est le spam par messagerie instantanée, ouSpim.
Le développement de lavoix sur réseau IP(téléphonie parInternet) fait craindre l'arrivée prochaine sur nos combinés d'un nouveau type de spam, le spam vocal, baptisé «SpIT» (Spam over Internet Telephony). En effet, des systèmes commeSkypevoient déjà une part notable des appels être d'origine non sollicitée, même s'il s'agit encore de contacts personnels plutôt que de sollicitations commerciales.
Le nombre deSMSde type spam est en forte augmentation. Début 2009, trois mois après l'ouverture du service, 190 000 signalements avaient été transmis au33700, le numéro mis en place en France pour lutter contre ce type de spam. Le principe est en général d'inciter le destinataire du message à rappeler un numéroAudiotelsurtaxé (préfixé en « 0899 »).
Une autre forme de spam est apparue fin 2009, appelée «ping call»: étant appelée par un numéro surtaxé qui ne laisse pas le temps de décrocher (une seule sonnerie), la victime rappelle en fait une boîte vocale, facturée entre 1 et 3 euros.
Enjuin 2010, le33700a été élargi au spams vocaux avec le même principe de signalement. Ainsi, en France, si un consommateur reçoit un appel ou un message douteux, l’incitant à rappeler un numéro surtaxé, il peut envoyer au 33700 la mention « spam vocal + le numéro d’appel » pour réaliser un signalement.
Optimisation abusive des techniques de référencement destinée auxrobots d'indexationdemoteur de recherchequi consiste à modifier despages weben utilisant des mots-clés d'une façon abusive pour améliorer le classement dans les moteurs de recherche.
Parmi les techniques utilisées :
Les opérateurs de sites de recherche comme Google cherchent en permanence des moyens de détecter ce genre de choses et les rendre plus difficiles à utiliser effectivement. Par exemple, un nombre excessif de liens provenant de « fermes » comme «www.ferme-aux-liens-inutiles.spam.exemple.com, peut se solder par une diminution de la pertinence attribuée au site pointé, ce qui est l'effet inverse de celui recherché initialement.
La présence de liens vers un site web est un critère important de classement dans les moteurs de recherche. Afin d'augmenter artificiellement le nombre de liens pointant vers leurs sites, certains créent des blogs, ou mettent des messages de commentaires dans desblogspréexistants, uniquement pour ajouter des liens vers un ou plusieurs sites web à promouvoir.
L'automatisation de ce genre de pollution a mené plusieurs logiciels de blog à introduire des contrôles (CAPTCHA) qui rendent cette automatisation par une machine plus complexe à réaliser.
De nombreux expéditeurs de spam ou publicitaires ajoutent des liens vers leurs sites sur deswikis, en particulier ceux modifiables par des personnes non inscrites, commeWikipédia. En réponse, certains wikis mettent en place des listes noires (liens interdits) ou l'obligation (sauf éventuellement pour les membres inscrits depuis suffisamment de temps) de passer un CAPTCHA pour ajouter un lien vers un autre site lors de la modification d'une page.
Le spam représente tout d'abord un coût direct pour les entreprises, organisations et particuliers, sous forme de consommation électrique, donc notamment d'émissions de gaz à effet de serre, et d'utilisation d'équipements informatiques. La mise en œuvre defiltres anti-spampar les fournisseurs de messagerie constitue un coût supplémentaire, qui peut atteindre quelques euros par mois et par client. Les destinataires de spam, enfin, peuvent perdre jusqu'à plusieurs jours par an en traitement desfaux positifs(vérification de la boîte spam, par exemple) etfaux négatifs(spam étant passé outre les filtres). En outre, les risques liés auxlogiciels malveillantsreprésentent un surcoût potentiel difficile à chiffrer.
Le coût « indirect » du spam est de nature sociale. Il s'agit d'une part de la baisse de la bonne volonté et du moral des utilisateurs, due à la frustration. D'autre part, la responsabilité desentreprises de service informatiqueest en jeu, lorsqu'elles ne parviennent pas à éliminer efficacement le spam.
Le spam se traduit par une hausse significative de la consommation électrique des réseaux etserveurs informatiques.
Selon une étude de l'éditeur de logicielsMcAfee, en 2008, environ 62 000 milliards de messages indésirables ont consommé une quantité d’énergie (électrique) équivalente pour sa production à l’émission de 17 millions de tonnes de CO2, soit 0,2 % des émissions mondiales degaz à effet de serre(GES) ou l'équivalent des émissions de 3,1 millions de voitures. Les 33 milliards de kWh ainsi gaspillés correspondent à 4GWde puissance, soit l'équivalent de quatre centrales électriques modernes.
Près de la moitié (52 %) de cette énergie est consommée à l’ouverture et au tri du spam par l’utilisateur (18 milliards de kWh par an), alors que la circulation de l'émetteur au récepteur ne consomme « que » 2 % de toute l’électricité dépensée par le réseau Internet. Chaque usager professionnel d'Internet a ainsi émis indirectement, en 2008, 131kgd’équivalent CO2par l'utilisation ducourrier électronique, dont environ 22 % (29kg) à cause des spams.
Enfin, les filtres anti-spam représentent 16 % de l'énergie perdue (5,5 milliards de kWh par an), une faible proportion du gaspillage total, ce à quoi il faut ajouter 27 % correspondant à la gestion des « faux positifs ».
La lutte contre le spam s'articule autour de quelques grands axes :
Le11 novembre 2008, aux États-Unis, un fournisseur d'accès a bloqué l’hébergeur californien McColo Inc (l'un des premiers pourvoyeurs de messages indésirables, l'autre étant le réseau dePC zombiesSrizbi) ; le volume de spam mondial a chuté de 70 % le lendemain pour néanmoins ensuite remonter en deux mois au niveau antérieur.
Alan Ralsky, unhackeraméricain auto-proclamé « Parrain du spam », a été condamné en 2009 à quatre ans de prison pour avoir créé un réseau de PC zombies.
En 2018,Googletravaille avec un outil d'intelligence artificielle(AI) pour bloquer les spams les plus difficiles à identifier.
La directive du24 octobre 1995relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces donnéesprévoit que les données à caractère personnel doivent être traitées loyalement et licitement, avec le consentement clair de la personne concernée. Ces données ne peuvent être collectées que pour des finalités déterminées et explicites.
Ladirective du 12 juillet 2002 sur la protection de la vie privée dans le secteur des communications électroniquesprécise l'interdiction d'envoi de messages commerciaux non sollicités en instaurant le principe dit de l'«opt-in» : un opérateur doit obtenir le consentement du destinataire avant de lui envoyer des messages commerciaux.
Le principe introduit par la directive européenne a été transposé en France par laloi du 21 juin 2004 pour la confiance dans l’économie numériqueet figure désormais à l'article L.34-5ducode des postes et des communications électroniques, repris à l'article L.121-20-5ducode de la consommation:
LaCommission nationale de l'informatique et des libertés(CNIL) indique qu'un formulaire doit demander le consentement d'une personne à l'envoi de messages commerciaux à son adresse ; la case correspondante ne doit pas être pré-cochée. Même si le message est envoyé de manière légale, le courrier de prospection doit proposer au destinataire un moyen simple de refuser toute utilisation ultérieure de ses coordonnées. La formation contentieuse de la Commission a prononcé une sanction pécuniaire de 20 000eurosle12 janvier 2012, à l'encontre d'une société qui utilisait lesnuméros de téléphonedes internautes, contenus dans des petites annonces diffusées en ligne. La délibération relève quatre manquements à laLoi informatique et libertéscommis par la société D.S.E. France : absence de consentement des prospects ; absence des mentions légales relatives à l'identité du responsable de la collecte et de ses finalités ; absence des mentions légales relatives au droit d'opposition, d’accès ou de rectification de la collecte ; absence de prise en compte des plaintes adressées par les prospects aux responsables de la société D.S.E. France.
La récupération des adresses électroniques (sur le web, sur des forums de discussion) de manière automatique est elle-même interdite. L'article 226-18-1ducode pénal, introduit par une loi du6 août 2004, punit de cinq ans d'emprisonnement et de 300 000 euros d'amende un « traitement de données à caractère personnel concernant une personne physique malgré l'opposition de cette personne, lorsque ce traitement répond à des fins de prospection, notamment commerciale ». Même pour des faits antérieurs à la loi du6 août 2004, lacour de cassationavait déjà confirmél'interdiction d'utiliser des robots collecteurs d'adresses électroniques en se basant sur l'article 226-18ducode pénal, qui réprime « le fait de collecter des données par un moyen frauduleux, déloyal ou illicite, ou de procéder à un traitement d'informations nominatives malgré l'opposition de la personne ».
LesÉtats-Unisont développé une législation anti-spam au niveau d'un grand nombre d'États ainsi qu'au niveau fédéral (CAN-SPAM Actdu16 décembre 2003). Le mécanisme est celui de l'opt-out, c’est-à-dire que le destinataire de messages commerciaux doit avoir la possibilité de demander à ne plus recevoir ces messages, alors que le système européen, plus restrictif pour les auteurs de messages commerciaux, exige un consentementa prioridu destinataire (opt in).
Techniquement, l'envoi de courriel en masse demande des ressources importantes. Les spammeurs n'en disposent pas forcément, et ils souhaitent en outre masquer ou effacer les traces de leur activité frauduleuse. Pour cela, ils attaquent très couramment des machines tierces, notamment pour les transformer enmachines zombies. En France, il est donc fréquent que, du point de vue juridique, les expéditeurs de spam tombent également sous le coup des articles 323-1 et suivants du code pénal, qui punissent« le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données ».
Variantes de spam
Culture informatique générale
Contre-mesures anti-spam à l'usage des destinataires
Contre-mesures anti-spam pourwebmasters