L’évolution du spam par e-mail

Le premier e-mail spam a été envoyé par Gary Thuerk en 1978 à environ 400 personnes. L’e-mail comprenait une brochure pour les ordinateurs DECSYSTEM-20. Son succès a été phénoménal et il a généré environ 13 millions de dollars de ventes. Il a aussi fait de l’e-mail un nouveau canal pour atteindre les clients et vendre des produits.

Il y a deux façons de voir le spam par e-mail.

1. Il arrive dans votre boîte de réception, vous cliquez sur supprimer, où est le problème ?

2. Un jeu international du chat et de la souris, où votre boîte de réception, et ce qui y atterrit, se trouve en première ligne pendant que les géants de la tech, les agences gouvernementales et les organisations criminelles se battent pour votre sécurité, votre attention et votre compte bancaire.

Le second point de vue peut sembler dramatique, mais s’il peut vous éviter quelques maux de tête et peut-être même vous faire économiser de l’argent, cela vaut la peine de le comprendre, non ?

Eh bien… tout commence par une blague sur une boîte de viande en conserve.

Qu’est-ce qu’un e-mail spam, et pourquoi s’appelle-t-il spam ?

Le spam peut prendre de nombreuses formes : publicités, arnaques, newsletters indésirables, et la liste est longue. Mais s’il y a bien une chose que le spam n’est pas, c’est sollicité. Comme un essaim de moustiques arrivant à la première mention de l’été, le spam arrive presque toujours en masse. Il est non sollicité, indésirable et franchement agaçant.

Mais pourquoi partage-t-il son nom avec une boîte de viande en conserve à base d’épaule de porc et de jambon ? Pour cela, nous pouvons remercier un célèbre sketch des Monty Python, dans lequel le mot « spam » était répété encore et encore, presque jusqu’à la folie. Cela a ancré « spam » comme symbole de l’incessant et de l’indésirable. En 1993, un internaute avisé a repris cette idée et a décrit un flot de messages répétés comme du spam, et voilà, le nom est resté.

Mais malgré ses origines insolites, le mot lui-même ne reflète pas à quel point le spam peut être nuisible – ni à quel point il est difficile de s’en débarrasser. Comme les moustiques, les e-mails spam transportent souvent des éléments dangereux capables de semer le chaos sur vos appareils. Sans parler du risque pour vos données personnelles, ni de la migraine que peut provoquer une boîte de réception inondée de publicités douteuses. Mais comprendre son histoire aide. Si vous comprenez comment le spam trouve son chemin jusqu’à votre boîte de réception, vous ferez un meilleur travail pour l’en empêcher.

Quand le premier e-mail spam a-t-il été envoyé ?

Alors, d’où vient le spam par e-mail ? Vous serez peut-être surpris d’apprendre que le premier e-mail spam a été envoyé avant même l’existence d’Internet. Il ne venait pas d’un groupe criminel obscur, mais d’un seul marketeur essayant de vendre une nouvelle gamme d’ordinateurs, et croyez-le ou non, cela lui a rapporté des millions.

En 1978, le responsable marketing Gary Thuerk a envoyé un e-mail à environ 400 personnes via ARPANET, le réseau militaire qui a précédé Internet. Son message faisait la promotion d’une présentation des nouveaux ordinateurs DECSYSTEM-20. L’e-mail a généré environ 13 millions de dollars de ventes, mais il a aussi agacé presque tous ceux qui l’ont reçu.

La partie la plus intéressante de cette histoire du spam n’est pas la date d’envoi de l’e-mail, mais le caractère à double tranchant qui se cache derrière le spam par e-mail. D’un côté, il y a des sommes d’argent colossales à gagner grâce à des publicités envoyées à des centaines, des milliers, voire des millions de personnes. Mais le spam est évidemment agaçant. Malheureusement, c’est cette relation de tension permanente qui accompagnera le spam tout au long de son histoire mouvementée.

Comment le spam a-t-il évolué au fil des décennies ?

Si vous avez eu la chance de grandir à l’ère de la protection de Google et Microsoft, vous ne vous souvenez peut-être pas des débuts d’Internet, quand retirer le spam de votre boîte de réception relevait davantage d’une tâche manuelle.

Chronologie de l’évolution du spam par e-mail

Années 1980–1990 : le Far West de l’e-mail

En 1983, un an avant la prédiction de George Orwell d’un super-État totalitaire, quelque chose de très différent prenait forme. Pour la première fois, il devenait possible à plusieurs réseaux indépendants de se connecter entre eux, créant ainsi les bases du réseau mondial de réseaux d’aujourd’hui, ou d’Internet comme nous aimons l’appeler.

Au cours de la décennie suivante, des millions de nouveaux utilisateurs se sont connectés et ont commencé à créer des adresses e-mail. Il n’y avait aucune autorité centrale pour dire « vous ne pouvez pas faire ça » et l’e-mail pouvait essentiellement servir de canal publicitaire gratuit. Un seul message diffusé à des milliers, voire des millions, de personnes pour un coût presque nul.

Quel en a été le résultat ? Dans les années 1990, le spam a explosé, tout comme les efforts pour le contrôler. En 1994, les avocats Canter & Siegel ont lancé leur tristement célèbre publicité « Green Card Lottery » dans des milliers de groupes Usenet, souvent considérée comme la première grande campagne de spam commercial. Les défenses ont rapidement suivi. Le Mail Abuse Prevention System (MAPS) a déployé la première Real-time Blackhole List en 1996, bloquant les e-mails provenant de serveurs de spam connus, et des groupes comme Spamhaus ont créé des listes de blocage et partagé des renseignements pour tenir les spammeurs à l’écart.

Années 2000 : la décennie où le spam est devenu plus sombre

Les années 2000 ont peut-être marqué la fin du millénaire, mais pour beaucoup, elles ont surtout marqué le véritable début des e-mails agaçants qui inondaient les boîtes de réception. Google, Yahoo et Microsoft se sont tous lancés dans la lutte contre le spam. Mais il ne s’agissait plus de publicités ringardes ou de combines pour devenir riche rapidement : le spam prenait une tournure plus sombre. Les spammeurs avaient commencé à utiliser des « botnets », des réseaux d’ordinateurs infectés, pour envoyer du spam à très grande échelle.

Les gouvernements ont décidé qu’il était temps d’intervenir. En 2003, les États-Unis ont mis en place la loi CAN-SPAM (Controlling the Assault of Non-Solicited Pornography and Marketing). Elle obligeait les spammeurs à respecter les demandes de désinscription et à éviter les objets trompeurs, mais le problème était que la responsabilité reposait toujours sur les destinataires pour se désabonner. L’Europe, en revanche, a adopté une approche plus stricte. L’UE a mis en place un système d’opt-in pour l’e-mail marketing, ce qui signifiait que les entreprises ne pouvaient pas envoyer d’e-mails commerciaux sans avoir obtenu d’abord une autorisation.

Les années 2000 ont marqué la véritable explosion du jeu du chat et de la souris qui allait définir le spam. Les spammeurs inventaient de nouvelles astuces, et les défenseurs trouvaient des moyens de les contrer. Prenons par exemple le filtrage bayésien : il analyse les mots d’un e-mail, calcule les probabilités et décide s’il s’agit d’un message indésirable ou légitime. Lorsqu’il est apparu, cela a constitué une avancée majeure dans la manière dont les fournisseurs d’e-mail pouvaient lutter contre le spam. En 2004, Bill Gates a même prédit que le problème du spam serait résolu en deux ans. Mais, comme toujours, les spammeurs se sont rapidement adaptés.

Exemples du va-et-vient du spam en action :

L’ère moderne : quand le spam a appris à penser

Stephen Hawking a un jour averti que les humains pourraient un jour être à l’IA ce que les chiens sont aux humains, une pensée troublante. Et même si cela peut sembler sombre, il n’est pas exagéré de dire que l’essor de l’IA pourrait être aussi transformateur que l’invention de la machine à vapeur. Il n’est donc pas surprenant que l’IA façonne la bataille entre ceux qui cherchent à tirer profit du spam et ceux qui tentent de le contrôler. La différence, c’est que contrairement aux filtres anti-spam traditionnels, l’IA peut apprendre et s’adapter.

L’ironie ici, c’est que les escrocs utilisent les mêmes outils pour améliorer leurs e-mails spam que les étudiants utilisent pour réussir leurs examens. Avant les outils d’IA, les e-mails spam étaient truffés de fautes de frappe, d’erreurs grammaticales et de signaux d’alerte évidents. Aujourd’hui, grâce aux grands modèles de langage, des e-mails spam à la grammaire irréprochable, au ton localisé et aux accroches personnalisées peuvent être envoyés en masse. Au lieu d’envoyer 10’000 e-mails identiques, les escrocs peuvent envoyer 10’000 e-mails légèrement différents et éviter les filtres. En faisant passer le texte par des modèles qui simulent l’évaluation du spam, les attaquants peuvent ajuster leurs messages jusqu’à ce qu’ils paraissent « sûrs ».

Les géants de l’e-mail font de même. Ils utilisent l’IA et le machine learning non seulement pour analyser le contenu, mais aussi pour examiner le comportement de l’expéditeur, les signaux réseau et même le contexte des messages. Gmail, par exemple, peut désormais repérer des schémas suspects, comme des vagues soudaines d’e-mails provenant de nouveaux domaines ou des contenus qui imitent des appâts de phishing connus, et s’adapter en temps réel pour bloquer les nouvelles campagnes de spam.

Quel impact le spam a-t-il eu sur l’e-mail et les entreprises ?

Si l’on revient à l’histoire des origines du spam par e-mail, et à son homonyme chez Monty Python, le thème était simple : agaçant. À l’époque, c’est exactement ainsi que la plupart des gens voyaient le spam. Mais au fil des décennies, il est devenu bien plus dangereux. Cliquer sur le mauvais lien peut désormais entraîner des virus ou de lourdes pertes financières.

Et ce ne sont pas seulement les particuliers qui sont en danger. Depuis les années 2000, les escrocs ont imaginé des méthodes élaborées pour s’attaquer à des cibles plus importantes. Beaucoup de ces stratagèmes ont même des surnoms accrocheurs qui minimisent la gravité réelle de leurs conséquences.

Exemples de spam ciblant les entreprises :

Spam de masse et arnaques – Les e-mails en masse continuent d’inonder les boîtes de réception chaque jour, des publicités agaçantes aux fausses loteries ou aux arnaques du « prince nigérian ». Ils sont de bas niveau, mais encombrent les boîtes de réception et peuvent encore tromper les employés.

E-mails de phishing – Ils usurpent l’identité de marques de confiance et attirent les utilisateurs vers de faux sites. Autrefois maladroits, ces e-mails de phishing sont désormais soignés, automatisés et difficiles à distinguer des vrais.

Spear phishing et whaling – Des attaques ciblées utilisant de vrais noms ou projets pour tromper des employés précis. Lorsqu’elles visent des dirigeants, on parle de « whaling », et les gains peuvent être énormes.Business Email Compromise (BEC) – Des criminels se font passer pour des PDG, des fournisseurs ou les RH afin de pousser le personnel à virer de l’argent ou à envoyer des données.

Malwares et ransomwares – Le spam contient souvent des pièces jointes ou des liens malveillants. Un seul clic peut libérer des virus ou des ransomwares, bloquer des systèmes entiers et coûter des millions aux entreprises.

Mais le véritable danger réside dans l’ampleur des conséquences. Le spam fait perdre un temps énorme. Des employés qui doutent des e-mails ou des responsables qui enquêtent sur de fausses alertes. Tout cela grignote la productivité.

Le véritable coût du spam

Le FBI estime que le Business Email Compromise à lui seul a entraîné plus de 50 milliards de dollars de pertes entre 2013 et 2022. C’est pourquoi la lutte contre le spam continue d’évoluer. Les filtres vont désormais au-delà des mots-clés pour analyser les schémas, les pièces jointes et même le comportement de l’expéditeur. Des lois comme CAN-SPAM et le RGPD fixent des règles en matière de consentement et de transparence. Et les fournisseurs d’e-mail ont ajouté des protections comme SPF, DKIM et DMARC, rendant beaucoup plus difficile pour les attaquants de se faire passer pour quelqu’un d’autre.

Comment combattons-nous le spam aujourd’hui ?

Les filtres anti-spam modernes sont alimentés par l’IA et le machine learning. Ils peuvent analyser le comportement de l’expéditeur et le contexte du message, puis s’adapter en temps réel.

Mais la sensibilisation reste importante. Même avec les meilleurs filtres anti-spam, la formation des employés doit devenir un élément clé de la lutte contre le spam.

Comment vous protéger des e-mails spam

De nos jours, les entreprises mettent en place des programmes réguliers de sensibilisation qui apprennent aux gens à ralentir et à repérer les signaux d’alerte, ou à vérifier les demandes avant d’agir. En voici quelques exemples :

Réfléchissez avant de cliquer

Les conseils éprouvés restent valables ici. Si vous avez reçu un e-mail auquel vous ne vous attendiez pas et que vous ne connaissez pas l’expéditeur, ne cliquez pas sur un lien au hasard. Sur ordinateur, vous pouvez survoler le lien, ou sur mobile faire un appui long pour prévisualiser d’abord la véritable destination. Si l’adresse du lien et l’adresse réelle sont différentes, c’est un signal d’alerte.

Si vous décidez quand même de cliquer sur un lien dans un e-mail, ne vous laissez pas tromper par un cadenas à côté de l’URL : cela ne signifie pas que le site est sûr. Le cadenas confirme seulement que quelqu’un a chiffré la connexion. Malheureusement, un site de phishing peut obtenir un certificat SSL tout aussi facilement qu’un site légitime.

Vérifiez l’expéditeur 

Le nom affiché dans un e-mail n’est pas toujours la véritable identité de l’expéditeur. C’est parce que n’importe qui peut le modifier pour afficher quelque chose de complètement différent. Pour vérifier la véritable identité, vous devez consulter l’adresse e-mail exacte d’où provient le message.

Parfois, c’est évident, par exemple si l’e-mail provient d’une adresse gratuite bon marché et jetable. Mais ce n’est pas toujours aussi simple. Les attaquants déguisent souvent les e-mails en modifiant quelques caractères, comme @p4ypal.com. Si vous n’êtes pas sûr que l’e-mail soit authentique, le mieux est de passer par les canaux de communication officiels.

Choisissez un fournisseur avec SPF, DKIM, DMARC

En matière de spam, SPF, DKIM et DMARC sont la référence absolue en matière d’authentification des e-mails. C’est le meilleur moyen de savoir si les e-mails envoyés depuis votre domaine viennent vraiment de vous, ou d’un imposteur. SPF vérifie que l’e-mail provient d’un serveur autorisé à envoyer des messages en votre nom. DKIM ajoute une signature inviolable, afin que le message ne puisse pas être discrètement modifié en cours de route. DMARC relie les deux et indique au serveur destinataire quoi faire lorsqu’un message échoue à la vérification.

La bonne nouvelle, c’est que vous n’avez pas à configurer tout cela à la main. Un bon fournisseur d’e-mail devrait le faire pour vous. Donc, lorsque vous choisissez où héberger votre e-mail, recherchez-en un qui prend en charge SPF, DKIM et DMARC en standard.

Utilisez la 2FA

La 2FA ajoute une deuxième couche de sécurité à votre compte. Cela signifie « authentification à deux facteurs » et revient essentiellement à prouver qui vous êtes avec deux éléments au lieu d’un seul. Le premier est votre mot de passe, le second peut être votre téléphone, une application d’authentification, une empreinte digitale ou une clé de sécurité.

Cela signifie que si votre mot de passe est volé, l’attaquant ne peut pas accéder à votre compte sans disposer de la seconde forme d’authentification. N’importe quelle 2FA vaut mieux que pas de 2FA du tout. Recherchez des fournisseurs d’e-mail qui la proposent et activez-la partout où vous le pouvez, en commençant par votre e-mail.

Faites attention aux pièces jointes

Les humains sont curieux, et les attaquants en profitent. La meilleure façon de vous protéger est d’éviter d’ouvrir des pièces jointes d’e-mails auxquelles vous ne vous attendiez pas. Cela vaut même si elles proviennent de quelqu’un que vous connaissez. En effet, les comptes sont souvent piratés et les expéditeurs usurpés.

Traitez toujours les PDF, les documents Word et Excel, les archives ZIP et RAR, les fichiers HTML, les images disque ISO, et surtout les fichiers .exe avec une prudence particulière. En cas de doute, confirmez avec l’expéditeur via un canal distinct avant d’ouvrir quoi que ce soit.

Gardez votre équipe formée

En fin de compte, les humains sont la dernière ligne de défense face aux attaques. Les filtres, l’authentification et l’analyse des pièces jointes arrêtent beaucoup de choses, mais tous les messages qui passent sont conçus pour tromper une personne.

C’est là que la formation peut faire une énorme différence. Il est essentiel que les entreprises se forment aux attaques d’aujourd’hui, pas à celles d’hier. Cela signifie des appâts rédigés par l’IA sans fautes, des deepfakes vocaux et vidéo, et des arnaques via SMS, codes QR et invites MFA, pas seulement par e-mail.