Mails indésirables : comment les spammeurs ont votre adresse

Pourquoi je reçois des mails indésirables ? Parce que les spammeurs récupèrent les adresses e-mail dans les fuites de données, dans les fichiers que des entreprises vendent ou partagent, en aspirant (scraping) les sites web et les profils publics, en devinant des noms courants, dans les carnets d’adresses d’autres personnes et dans d’anciens registres de noms de domaine. Ils vérifient ensuite quelles adresses sont actives en guettant les ouvertures, les clics et les réponses. Le spam peut atteindre même une adresse que vous n’avez jamais communiquée, parce qu’elle a été devinée, aspirée ou trouvée dans les contacts de quelqu’un d’autre, et vous ne pouvez fermer que certaines de ces voies. Pour les voies qui partent de vous, CatchNone donne à chaque boutique et newsletter sa propre adresse et montre laquelle chaque message a atteinte : une fuite ou une revente de fichier désigne ainsi sa source, sur iPhone, iPad et Mac.

D’où viennent les spams : les 7 voies vers votre adresse

1. Les fuites de données et les listes de mots de passe qui en sont tirées.
2. La revente et le partage de fichiers, par des courtiers en données (data brokers) et des « partenaires ».
3. L’aspiration (scraping) de pages web, de profils sociaux et de code.
4. Les adresses devinées à partir de noms courants, surtout sur les domaines qui acceptent n’importe quelle adresse.
5. Les carnets d’adresses des autres : import de contacts, logiciels malveillants et longues chaînes de destinataires en copie.
6. Les anciens enregistrements WHOIS, antérieurs à 2018.
7. La confirmation : images de suivi, clics, réponses et messages de test vides qui prouvent qu’une adresse fonctionne.

Fuites de données et combo lists

Quand une entreprise est piratée, sa liste de clients peut partir avec, que vous utilisiez encore le service ou non. Have I Been Pwned (HIBP) recensait 1 038 fuites et plus de 17,8 milliards de comptes compromis au 25 septembre 2026. Ce total compte une adresse autant de fois qu’elle apparaît dans des fuites : il mesure des comptes, pas des personnes. Cherchez-y votre adresse pour voir quelles fuites la contiennent, quand elles ont eu lieu et quelles données ont été exposées. Si elle n’apparaît dans aucune, une revente de fichier, l’aspiration ou une adresse devinée est plus probable.

Les adresses issues de fuites sont réutilisées. Les combo lists sont des paires e-mail et mot de passe rassemblées à partir de fuites antérieures et utilisées pour le credential stuffing (bourrage d’identifiants), qui consiste à essayer le même mot de passe sur d’autres sites. HIBP décrit Collection #1 (2019) comme « 773 millions d’adresses e-mail uniques, accompagnées des mots de passe que ces adresses avaient utilisés sur d’autres services piratés ». Les journaux de stealers (stealer logs) sont une troisième source : un logiciel malveillant présent sur un appareil infecté enregistre « les adresses e-mail, les mots de passe et le site web sur lequel ils sont saisis à la connexion ».

Pouvez-vous la fermer ? Non. Vous pouvez limiter ce qu’expose une fuite : un mot de passe unique pour chaque site, la double authentification sur votre compte de messagerie, et une adresse distincte pour chaque entreprise, pour qu’une fuite expose une adresse secondaire plutôt que votre adresse principale. Les alertes gratuites Notify Me (prévenez-moi) de HIBP vous signalent la suivante.

Revente de fichiers, courtiers en données et « nos partenaires »

La FTC américaine le dit sans détour : « Quand vous donnez votre adresse e-mail à une entreprise, elle peut la partager avec des tiers ou la leur vendre. » Les formulaires d’inscription alimentent le même commerce. L’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) note que les options pour recevoir des e-mails sur d’autres produits sont parfois cochées par défaut, « donc si vous ne les décochez pas, vous pourriez aussi commencer à recevoir des e-mails de ces listes ». Les jeux-concours, les sondages rémunérés et les offres de cartes cadeaux l’alimentent aussi : selon HIBP, les listes de spam sont souvent constituées « en soutirant des informations personnelles aux gens contre la promesse d’une récompense financière ».

Qui achète des adresses e-mail ? Les professionnels du marketing les achètent à des vendeurs de fichiers et à des courtiers en données, et les spammeurs se les achètent entre eux : la FAQ grand public de Spamhaus cite parmi leurs sources des adresses « achetées à d’autres spammeurs ». Les fichiers professionnels sont un produit à part entière. En 2016, une liste de plus de 33 millions de salariés d’entreprises américaines, issue du service NetProspex de Dun & Bradstreet, a fuité en ligne, et D&B pensait qu’elle avait été perdue par un client qui l’avait achetée.

Aux États-Unis, la loi CAN-SPAM n’exige aucun consentement pour envoyer des e-mails marketing. En revanche, une fois que vous vous êtes désinscrit, une entreprise doit cesser de vous écrire dans un délai de 10 jours ouvrés et, dès votre demande, elle « ne peut ni vendre ni céder » votre adresse.

Pouvez-vous la fermer ? En partie. Décochez les cases précochées, désinscrivez-vous des e-mails marketing que vous ne lisez pas, et donnez à chaque entreprise sa propre adresse : la prochaine revente montrera qui l’a faite. Comment savoir qui a vendu votre adresse e-mail détaille les en-têtes, la vérification des fuites et les demandes d’accès aux données.

Aspiration (scraping) : sites web, profils et code

« Les spammeurs peuvent récolter n’importe quelle adresse e-mail publiée sur un site web », avertit la CISA. Lors d’une expérience de la FTC en 2002, 86 % des adresses publiées sur des pages web ont reçu du spam en six semaines, et une adresse publiée dans un salon de discussion a reçu du spam neuf minutes après sa première utilisation (résultats reproduits par l’ICANN). Son emplacement sur la page ne changeait rien : « si l’adresse contenait le signe “@”, elle attirait du spam ».

Les profils sont aspirés à grande échelle. En 2021, des attaquants ont aspiré des centaines de millions de profils LinkedIn publics, ce qui leur a donné environ 125 millions d’adresses e-mail uniques, selon HIBP. Des attaquants ont aussi détourné une API de Twitter qui associait des adresses e-mail à des comptes, et plus de 200 millions d’enregistrements collectés ainsi ont refait surface en 2023.

Le code public expose lui aussi des adresses : chaque commit Git porte l’adresse e-mail de son auteur. Sur GitHub, allez dans « Settings → Emails » (Paramètres → E-mails), cochez « Keep my email addresses private » (garder mes adresses e-mail privées) et « Block command line pushes that expose my email » (bloquer les push en ligne de commande qui exposent mon adresse), puis configurez Git sur votre ordinateur avec l’adresse @users.noreply.github.com qui s’y affiche. Les commits faits avant ce changement « restent associés à votre ancienne adresse e-mail » (GitHub Docs). Garder votre adresse hors des commits GitHub et GitLab donne toutes les étapes.

Pouvez-vous la fermer ? Pour l’avenir. Gardez votre adresse principale hors des pages publiques, utilisez plutôt un formulaire de contact ou une adresse distincte, et réglez vos profils sociaux pour que seules les personnes de confiance voient votre adresse e-mail, comme le conseille la CISA. Ce qui a déjà été aspiré reste en circulation.

Adresses devinées : les spammeurs peuvent-ils deviner votre adresse ?

Oui, et sans aucune liste. Le comité de sécurité de l’ICANN a décrit la méthode en 2007 : les spammeurs essaient « des prénoms et des noms de famille courants, seuls ou accolés », ou toutes les combinaisons de caractères, et gardent les adresses qu’un serveur de messagerie accepte. C’est ce qu’on appelle une attaque par moissonnage d’annuaire (directory harvest attack). Dans l’un des tests du comité, 70 % du spam est arrivé à des adresses des domaines de test qui n’avaient jamais été publiées nulle part. Les noms courts et courants sont les cibles les plus faciles, et le format first.last@example.com (prénom.nom) d’une entreprise permet à n’importe qui de construire les adresses de ses salariés.

Un catch-all accepte toutes les tentatives. Si votre propre domaine distribue le courrier adressé à n’importe quelle adresse, admin@example.com et info@example.com vous parviennent, que vous les ayez déjà utilisées ou non. La FAQ d’addy.io prévient que « les spammeurs et les robots essaient souvent des adresses e-mail au hasard », et cPanel indique qu’un catch-all « peut recevoir une grande quantité de spam » quand des spammeurs ciblent un domaine. Qu’est-ce qu’une adresse catch-all ? détaille les avantages et les inconvénients.

Pouvez-vous la fermer ? En partie. Une adresse courte et courante reste facile à deviner, mais la prochaine n’a pas à l’être : choisissez-en une difficile à deviner, comme le conseille l’ICO britannique. Sur votre propre domaine, désactiver le catch-all empêche les adresses devinées de vous parvenir. Si vous le gardez, bloquez les noms devinés chez votre hébergeur. Dans Cloudflare Email Routing, par exemple, allez dans « Compute → Email Service → Email Routing → Routing Rules » (Calcul → Service e-mail → Routage des e-mails → Règles de routage) et ajoutez une règle pour l’adresse avec l’action « Drop » (supprimer), qui « supprime les e-mails correspondant à la règle sans les acheminer ». Cloudflare précise que l’adresse semble toujours valide aux yeux des expéditeurs ; envoyez un message de test pour vérifier que la règle l’emporte sur votre catch-all.

Les carnets d’adresses et les boîtes mail des autres

Votre adresse figure dans les contacts de tous ceux à qui vous avez écrit, et ces copies vous échappent.

• L’import de contacts. Quand quelqu’un synchronise ses contacts avec Facebook, Messenger ou Instagram, Meta importe chaque jour « les noms, numéros de téléphone et adresses e-mail de son carnet d’adresses », y compris ceux des personnes qui n’utilisent pas les apps de Meta. Cela ne suffit pas à livrer votre adresse aux spammeurs, mais Meta indique que des scrapers ont détourné son outil d’import de contacts avant septembre 2019 pour associer des numéros de téléphone à des comptes.
• Un logiciel malveillant sur l’ordinateur de quelqu’un d’autre. Le malware Emotet pouvait « aspirer les adresses e-mail d’Outlook » et détourner de vrais fils de discussion pour se propager (avis AA20-280A de la CISA).
• Les chaînes en copie et les listes de diffusion. Un long message transféré emporte toutes les adresses du fil, et le comité de sécurité de l’ICANN a décrit des spammeurs qui s’abonnent à des listes de diffusion pour collecter les adresses des en-têtes From, Reply-To et Cc.
• Quelqu’un vous inscrit. L’aide de Gmail décrit des personnes qui utilisent votre adresse « pour s’inscrire à des e-mails, comme des promotions ou des newsletters », par erreur ou volontairement.

Pouvez-vous la fermer ? Pas directement. Utilisez la copie cachée (Cci) pour les e-mails de groupe, retirez les adresses des autres d’un fil avant de le transférer, et demandez aux autres d’en faire autant.

Anciens enregistrements WHOIS

Les données d’enregistrement des noms de domaine publiaient autrefois l’adresse e-mail du titulaire. En 2007, le comité de sécurité de l’ICANN a conclu qu’une adresse dans le WHOIS « garantit pratiquement la réception de spam ».

Cette voie s’est en grande partie refermée. À partir du 25 mai 2018, la Temporary Specification (spécification temporaire) de l’ICANN a obligé les bureaux d’enregistrement à masquer les coordonnées des enregistrements liés à l’Europe et leur a permis de le faire partout ailleurs, en proposant à la place une adresse relais ou un formulaire web. Une étude d’Interisle de 2021 a montré que seuls 13,5 % des domaines génériques, comme les .com, nommaient encore un vrai titulaire. La Registration Data Policy (politique sur les données d’enregistrement) permanente de l’ICANN, en vigueur depuis le 21 août 2025, conserve le même modèle.

Cette voie existe encore quand vous avez consenti à la publication, chez les bureaux d’enregistrement qui publient les données des organisations ou des titulaires situés hors d’Europe, sous certaines extensions nationales qui ont leurs propres règles, et dans des archives payantes d’enregistrements antérieurs à 2018.

Pouvez-vous la fermer ? Elle est en grande partie fermée par défaut. Si vous possédez un domaine, recherchez-le dans ICANN Lookup pour voir ce qui est public, laissez activée l’option de confidentialité de votre bureau d’enregistrement et n’acceptez pas de publier vos coordonnées.

Confirmation : ouvertures, clics, réponses et messages vides

Une adresse vaut plus cher dès qu’on sait qu’elle fonctionne. Les spammeurs « revendent plus cher les adresses actives, comme adresses “à distribution confirmée”, à d’autres spammeurs encore », selon la FAQ grand public de Spamhaus. Ils confirment les adresses par :

• Les images de suivi. « Quand votre logiciel de messagerie télécharge l’image depuis leur serveur web, les spammeurs savent que vous avez ouvert le message » (CISA).
• Les clics et les réponses. Tout clic ou toute réponse, y compris une demande du type « retirez-moi de votre liste », confirme que quelqu’un lit l’adresse.
• Les liens de désabonnement. La norme de désabonnement en un clic, RFC 8058, note que le désabonnement « donne à l’expéditeur un indice fort que l’adresse à laquelle le message a été envoyé était valide ».
• Les messages vides. « Pour vérifier si des adresses e-mail sont valides, les spammeurs envoient souvent des e-mails sans contenu dans le corps ni dans l’objet », indique l’aide de Gmail. Les adresses qui fonctionnent reçoivent du spam plus tard.

Pouvez-vous la fermer ? Oui. Pour le courrier d’inconnus, ne répondez pas, ne cliquez pas et ne vous désabonnez pas ; signalez-le comme spam. Pour les marques que vous connaissez ou auxquelles vous avez donné votre adresse, utilisez le bouton de désabonnement de votre app de messagerie, comme le suggère Gmail, ou le lien de désinscription du message, comme le conseille l’ICO ; quand les liens de désabonnement sont sans danger donne la règle selon l’expéditeur.

Ensuite, empêchez les images de vous trahir. Dans l’app Mail sur iPhone (iOS 27), allez dans Réglages > Apps > Mail > « Protection de la confidentialité » et activez « Protéger votre activité dans Mail », qui charge les images de façon privée en arrière-plan pour que l’expéditeur ne puisse savoir ni si ni quand vous lisez un message (guide d’Apple). Dans Gmail sur ordinateur, allez dans « Settings > See all settings » (Paramètres > Voir tous les paramètres), réglez « Images » sur « Ask before displaying external images » (Demander avant d’afficher des images externes), puis cliquez sur « Save Changes » (Enregistrer les modifications) (aide de Google). Aucun des deux ne protège les liens ni les pièces jointes. Comment bloquer les pixels de suivi donne la marche à suivre pour les autres apps de messagerie et ce que chacune révèle encore.

Pourquoi je reçois des spams : repérer la voie en cause

La copie cachée (Cci) masque les autres destinataires, et l’aide de Gmail note que « les spammeurs ajoutent parfois des adresses e-mail au hasard dans le champ “Cci” pour tenter de faire réagir les gens » : ne répondez donc pas.

Existe-t-il une liste de spam à consulter ou dont se faire retirer ?

Il n’existe aucune liste officielle des destinataires de spam, ni aucun moyen de vous faire retirer des listes des spammeurs eux-mêmes. Vous pouvez vérifier si votre adresse figure dans une liste de spammeur qui a fuité : cherchez-la sur Have I Been Pwned, qui comprend 16 listes de ce type au 25 septembre 2026. Les plus grandes sont Onliner Spambot (711 millions d’adresses, 2017) et River City Media (393 millions, 2017). Si l’un de ces noms apparaît dans vos résultats, un spammeur avait votre adresse.

Les listes de blocage (blocklists) sont autre chose : elles repèrent d’où vient le spam. Spamhaus en définit une comme « une base de données contenant des adresses IP, des domaines ou des hachages », chacun listé parce qu’on l’a vu envoyer du spam ou causer d’autres dommages, ou parce qu’il a une mauvaise réputation. Sa Hash Blocklist (liste de blocage de hachages) peut contenir des adresses e-mail, mais ce sont des adresses qui envoient du spam ou y apparaissent, comme un compte piraté. Les outils de vérification comme le Blacklist Check de MxToolbox (vérification de liste noire) testent l’adresse IP d’un serveur de messagerie, pas votre adresse e-mail.

Une liste d’opposition aux e-mails ne servirait à rien non plus. En 2004, la FTC a déclaré au Congrès américain qu’un tel registre aurait probablement l’effet inverse, car « les spammeurs utiliseraient ce registre comme un annuaire d’adresses e-mail valides » (FTC). Spamhaus qualifie les services payants qui promettent de vous retirer des listes des spammeurs d’« au mieux une arnaque, et au pire un système de confirmation d’“adresse active” pour le spammeur ».

Les options réelles les plus proches touchent les entreprises qui respectent la loi, pas les spammeurs. En septembre 2026 :

• DROP, en Californie (Delete Request and Opt-out Platform, plateforme de demande de suppression et d’opposition) permet aux résidents de Californie d’envoyer une seule demande de suppression gratuite à plus de 600 courtiers en données enregistrés, qui doivent traiter les demandes au moins tous les 45 jours. Elle ne touche pas les entreprises avec lesquelles vous avez traité directement (conditions de DROP).
• L’Email Preference Service (service de préférences e-mail) de l’Association of National Advertisers, accessible depuis DMAchoice.org, est gratuit et valable 10 ans (FTC), mais il ne touche que les annonceurs qui l’utilisent pour nettoyer leurs listes.

Que peut-on faire avec une adresse mail seule ?

Sans votre mot de passe, moins que vous ne le craignez. Avec la seule adresse, quelqu’un peut :

• vous envoyer des e-mails d’hameçonnage (phishing) crédibles, surtout avec des détails tirés d’une fuite
• essayer sur vos comptes des mots de passe qui ont fuité d’autres sites
• découvrir quels services vous utilisez, comme l’API de Twitter le permettait autrefois
• vous inscrire à des e-mails que vous n’avez jamais demandés
• la revendre, plus cher une fois qu’elle est confirmée active

Pourquoi un escroc voudrait-il votre adresse mail ?

Parce que c’est le premier pas vers votre boîte mail, et qu’un criminel entré dans votre compte de messagerie pourrait « réinitialiser les mots de passe de tous vos autres comptes ». Le National Cyber Security Centre britannique (NCSC) recommande un mot de passe fort et distinct pour votre messagerie, ainsi que la double authentification.

Recevoir un spam qui affiche votre propre adresse comme expéditeur ne prouve pas que quelqu’un est entré dans votre compte, car la ligne From est facile à falsifier. Comment vérifier si votre compte de messagerie a été piraté détaille les vérifications pour Gmail, Outlook.com et Mail iCloud.

Est-ce dangereux de donner son adresse mail ?

En général, non. Une adresse n’est pas un mot de passe, et la connaître n’ouvre pas votre compte. Donnez votre adresse principale aux personnes et aux entreprises sur lesquelles vous comptez, comme votre banque. Pour les boutiques, les newsletters et les inscriptions ponctuelles, une adresse distincte par entreprise tient les fuites et les reventes de fichiers à l’écart de votre adresse principale, et celle-ci ne devrait pas du tout être publiée.

Comment empêcher les spammeurs d’obtenir votre adresse : les voies que vous pouvez fermer

Vous pouvez obtenir une adresse par entreprise de plusieurs façons. CatchNone donne à chaque entreprise son propre alias, garde ce courrier hors de votre boîte principale et marque chaque message d’un badge indiquant l’alias qu’il a atteint : une fuite ou une revente se repère ainsi. L’adresse avec un « + » (plus addressing) est plus rapide à mettre en place, si votre fournisseur la prend en charge (you+shop@example.com), mais n’importe qui peut supprimer l’étiquette : elle ne révèle une fuite que si l’expéditeur ne prend pas la peine de la retirer. « Masquer mon adresse e-mail » d’Apple (inclus dans iCloud+), DuckDuckGo Email Protection (protection des e-mails) et d’autres services d’alias transfèrent le courrier vers votre boîte de réception. Un catch-all sur votre propre domaine fonctionne aussi, avec l’inconvénient des adresses devinées vu plus haut. Les services d’alias e-mail comparés présente les différences.

La place de CatchNone

CatchNone agit sur les voies qui commencent quand vous donnez vous-même une adresse. Chaque boutique, newsletter ou compte reçoit son propre alias, et chaque message porte un badge indiquant l’alias qu’il a atteint : une adresse qui a fuité ou a été vendue désigne ainsi sa source. « Activité » signale le courrier reçu sur un alias non utilisé et les expéditeurs qui écrivent pour la première fois, et les images distantes, dont la plupart des pixels de suivi, restent bloquées jusqu’à ce que vous les chargiez. Les adresses @catchnone.com nécessitent Premium et sont attribuées au hasard, comme abcde-12345@catchnone.com, si bien que personne ne les devinerait. Le courrier adressé à des adresses qui n’y existent pas est accepté puis supprimé : celui qui devine n’apprend rien, et quand vous désactivez une adresse qui a fuité, les expéditeurs reçoivent un message de non-distribution. Sur votre propre domaine, les adresses catch-all devinées apparaissent sous l’adresse qu’elles ont atteinte, avec un badge gris, ce qui rend le spam par dictionnaire facile à repérer. Téléchargez CatchNone, disponible pour iPhone, iPad et Mac.

CatchNone sert uniquement à recevoir et n’est pas un filtre anti-spam : l’app garde le courrier des inscriptions à part, loin de votre boîte principale, et montre quel alias chaque message a atteint. Sur votre propre domaine, « Marquer comme non utilisé » n’est qu’une étiquette : bloquez les adresses chez votre hébergeur.

FAQ

Comment les spammeurs ont-ils eu mon adresse mail si je ne l’ai jamais donnée ?

Le plus probable : ils l’ont devinée, aspirée sur une page, un profil ou un commit où elle était publiée, prise dans le carnet d’adresses de quelqu’un d’autre, ou obtenue d’une entreprise chez qui vous aviez créé un compte un jour avant de l’oublier, par une fuite de données chez cette entreprise ou une revente de fichier. Le tableau des signes associe ce que vous voyez à la voie probable.

Comment des entreprises inconnues ont-elles eu mon adresse mail ?

En général par une entreprise avec qui vous avez bel et bien traité, qui l’a partagée avec des « partenaires » ou la leur a vendue, souvent parce que vous aviez laissé une case précochée à l’inscription. Les courtiers en données collectent et vendent aussi des adresses. Le guide cité dans la partie revente de fichiers et courtiers en données montre comment trouver de quelle entreprise il s’agit.

Comment les spammeurs ont-ils eu mon adresse mail professionnelle ?

Par des fichiers de contacts professionnels vendus aux professionnels du marketing, par le site web de votre employeur, et en devinant le format de ses adresses. HIBP contient plusieurs fichiers professionnels qui ont fuité, comme B2B USA Businesses, qui classait les adresses par employeur et par intitulé de poste. Au Royaume-Uni, l’ICO indique que les organisations peuvent envoyer du marketing à une adresse professionnelle sans consentement, sauf si l’adresse vous identifie ; dans ce cas, vous pouvez leur demander d’arrêter.