Comment les spammeurs obtiennent votre adresse : 7 fuites et quoi faire

Vous ouvrez votre boîte : promotions agressives, offres de crédit douteuses, notifications de gains imaginaires côtoient le courrier utile. La question revient inévitablement — d'où tiennent ces expéditeurs mon adresse ? Le spam ne naît presque jamais d'une intuition miraculeuse sur votre identité. Quelque part, votre email a quitté un contexte maîtrisé pour entrer dans un circuit de diffusion de masse. Identifier ces sorties, c'est cesser de jouer au chat et à la souris avec les boutons « Se désabonner » et reprendre la main en amont.

#Fuite 1 : les listes d'inscription revendues en bloc

La source la plus volumineuse reste banale : vous vous êtes inscrit quelque part et votre adresse est devenue une ligne dans une base clients. Cette ligne a de la valeur. Entreprises en difficulté qui cèdent leurs actifs numériques, services marketing qui « partagent » des fichiers avec des partenaires, employés qui exportent des contacts — les chemins se multiplient. Les fichiers fusionnent, se dédoublonnent, se revendent, jusqu'à alimenter des bases de prospection comptant des millions d'entrées. Votre adresse devient une ressource d'envoi groupé.

Le piège, c'est l'invisibilité : vous ignorez quel acteur a cédé vos données, et aucun bouton ne permet de « retirer » une adresse déjà copiée sur dix serveurs. Une inscription à un jeu-concours il y a cinq ans peut encore nourrir des campagnes aujourd'hui — le décalage entre fuite et saturation de la boîte rend l'origine floue alors que le mécanisme est trivial : revente de listes.

#Fuite 2 : violations de données et bases piratées

Dans presque toute fuite médiatisée, l'adresse email figure parmi les champs exposés — c'est l'identifiant universel en ligne. Les dumps circulent, se croisent, s'enrichissent de mots de passe ou de numéros de téléphone quand c'est possible. Les escrocs en tirent des campagnes d'hameçonnage ciblées ; les filières spam les utilisent pour grossir leurs fichiers. Vous n'avez peut-être utilisé qu'une fois un petit forum oublié ; des années plus tard, sa base ressort sur un marché clandestin et votre boîte principale devient une cible sans que vous ayez changé quoi que ce soit récemment. Les services d'alerte de breach décrivent le passé — ils n'effacent pas les copies déjà vendues.

#Fuite 3 : adresses en clair aspirées par des robots

Publier une adresse lisible n'importe où sur le web — signature de forum, page « Contact », commit GitHub, pied de page d'association — équivaut à la confier à un harvester. Ces robots parcourent le HTML en continu, repèrent les chaînes qui ressemblent à un email et les stockent. Une fois collectée, l'adresse rejoint des packs « annuaires professionnels » ou « leads B2B » revendus à des marketers qui ne se demandent pas d'où vient le fichier. Même si vous retirez la page plus tard, des copies peuvent déjà circuler dans des archives indexées.

#Fuite 4 : jeux-concours, sondages et registres papier

QR code pour tenter de gagner un cadeau, formulaire pour télécharger un livre blanc, badge de salon scanné, connexion Wi-Fi en centre commercial — la collecte d'email est souvent explicitement réservée à de futures « communications marketing » dans les petites lignes. Les tableaux papier en événement sont pires : personne ne trace où vont les photocopies. On échange une adresse personnelle contre un coupon de réduction unique et l'on hérite de mois — parfois d'années — de messages promotionnels parce que la transaction semblait instantanée alors que le coût arrive en différé.

#Fuite 5 : listes de destinataires en copie visible (CC)

Quand quelqu'un envoie une annonce à des dizaines de contacts en mettant tout le monde en copie (CC) au lieu de copie cachée (CCI / BCC), chaque destinataire voit l'adresse des autres. Il suffit qu'un fil soit transféré, qu'une boîte soit compromise, pour que la liste entière se propage. Votre fuite n'est alors pas la vôtre — c'est l'erreur d'un parent, d'un bénévole associatif, d'un coach — et aucune prudence rétroactive ne la répare. Utiliser la CCI par défaut sur les envois groupés protège les autres et, indirectement, vous-même lorsque vous figurez sur la liste.

#Fuite 6 : devinettes en masse par dictionnaire

Les spammeurs n'attendent pas toujours une fuite : ils génèrent des combinaisons courantes — prénom + année, mots courts suivis de chiffres — et testent à grande échelle sur les grands fournisseurs de messagerie. Plus l'adresse locale est courte ou prévisible, plus elle est touchée tôt. D'où ces messages indésirables sur une boîte neuve où vous ne vous êtes inscrit nulle part : votre adresse a simplement correspondu à une règle de génération bon marché.

#Fuite 7 : applications et extensions trop curieuses

Applications mobiles ou extensions de navigateur demandant l'accès aux contacts, au presse-papiers ou aux champs de formulaire peuvent extraire des emails et les envoyer vers des serveurs distants. Vous n'avez peut-être rien divulgué vous-même — mais vous apparaissez dans le carnet d'un proche qui a installé un outil douteux, et votre entrée part avec les autres. La confidentialité du courrier dépend aussi de l'écosystème logiciel autour de vous, pas seulement de vos propres choix.

#La réponse qui tient : superposer les boîtes, pas rattraper après coup

Les sept fuites convergent vers une même leçon : une adresse sortie ne revient jamais. Bloquer un expéditeur ou signaler un spam nettoie les symptômes ; ça ne réduit pas les fichiers déjà vendus. L'approche durable consiste à cesser de donner la même adresse partout et à organiser trois niveaux :

Niveau	Type d'adresse	Usage
Cœur	Boîte personnelle réelle	Banque, administration, employeur, proches — jamais sur un formulaire marketing
Bouclier	Alias de transfert	Achats en ligne, abonnements, comptes durables — idéalement un alias par source
Jetable	Email temporaire	Forums, téléchargements gated, inscriptions ponctuelles — à jeter après usage

1. Les demandes ponctuelles vont au jetable. Lire un fil de discussion, récupérer un lien de téléchargement, valider un essai gratuit ? Générez une adresse temporaire, terminez, laissez expirer. Si la liste est revendue plus tard, la ligne pointe vers un domaine mort — votre problème s'est arrêté avec la boîte.
2. Les relations durables méritent un alias dédié. Un alias par boutique ou newsletter : le courrier arrive dans votre vraie boîte, mais quand le spam démarre sur un alias précis, vous savez qui a lâché ou vendu la liste. Mettez cet alias en pause et le bruit s'arrête sans toucher au reste.
3. Ne publiez jamais l'adresse cœur en clair. Page web obligée d'afficher un contact ? Montrez un alias que vous pourrez remplacer après passage des robots collecteurs.
4. En CCI quand vous envoyez en groupe. Protéger les adresses des autres, c'est aussi protéger la vôtre quand vous figurez sur la liste.

#En conclusion : que les fuites comptent moins

Compter sur la bonne volonté de chaque site qui a un jour demandé votre email est illusoire — la moitié des fuites ci-dessus ne dépendait pas de vous. Inversez la logique : faites en sorte que ce qui s'échappe ne vaille plus la peine d'être conservé. EmailFW met cette stratégie en pratique : email jetable dès l'accueil pour les usages courts, jusqu'à 100 alias de transfert avec archivage 30 jours et filtrage anti-spam, règles pièces jointes alignées sur les limites produit (≤ 50 Mo conservées, 50–100 Mo transférées sans archive, au-delà refus). À partir de la prochaine inscription où vous auriez tapé votre adresse principale, superposez les niveaux — en quelques semaines, la boîte cœur devient sensiblement plus calme parce que les listes circulantes ne mènent plus chez vous.