Spam par e-mail : que faire et comment le signaler ?

Votre messagerie se remplit de publicités que vous n'avez jamais demandées, de gains improbables ou de messages qui ressemblent à ceux d'une banque. Il existe des gestes simples pour réagir. Cet article reprend ceux que recommande Cybermalveillance.gouv.fr, le service d'assistance aux victimes de cybermalveillance.

Qu'est-ce qu'un spam, au juste ?

Le spam électronique, aussi appelé courrier indésirable ou pourriel, est un message non sollicité. Il peut avoir un but publicitaire, commercial ou malveillant.

Dans la majorité des cas, il s'agit de prospection commerciale qui ne respecte pas les obligations légales sur le consentement des destinataires. Mais certains spams vont plus loin :

• des astuces pour gagner de l'argent ;
• des demandes pour transférer des fonds ;
• des tentatives d'hameçonnage (phishing en anglais), c'est-à-dire des messages qui imitent un expéditeur de confiance pour vous soutirer des informations.

Les expéditeurs visent surtout les boîtes de messagerie. Ils peuvent aussi passer par les messageries instantanées ou les réseaux sociaux. Un spam peut parfois contenir un logiciel malveillant, par exemple un rançongiciel, qui permettrait d'utiliser ou de bloquer votre appareil à votre insu.

Le but recherché varie : vendre des produits ou des services, diffuser des virus, voler des données personnelles ou professionnelles, ou mener une escroquerie financière.

Les premiers réflexes face à un message douteux

Si vous avez un doute sur un message ou son expéditeur, voici l'ordre simple à suivre.

Ne répondez pas

C'est le conseil le plus important. En répondant, même pour dire « arrêtez », vous indiquez à l'expéditeur que votre adresse est valide. Cela vaut pour tout message dont vous ne connaissez pas l'expéditeur.

N'ouvrez rien, ne cliquez sur rien

Évitez d'ouvrir les courriels, leurs pièces jointes et leurs liens lorsqu'ils proviennent :

• de chaînes de messages ;
• d'expéditeurs inconnus ;
• d'un expéditeur connu, mais dont le message est inhabituel ou vide.

Vérifiez le lien sans cliquer

Positionnez le curseur de votre souris sur le lien suspect, sans cliquer. La véritable adresse vers laquelle il redirige s'affiche, et vous pouvez juger si elle est vraisemblable.

Si vous êtes tout de même arrivé sur un site, regardez l'adresse affichée dans votre navigateur. Si elle ne correspond pas exactement au site attendu, c'est très certainement un site frauduleux. Parfois, un seul caractère change dans l'adresse pour vous tromper.

Signaler le spam à Signal Spam

Cybermalveillance.gouv.fr recommande de signaler tout message ou site douteux à Signal Spam. Vous ne répondez pas à l'expéditeur : vous transmettez le message à ce service de signalement.

Il est possible d'installer une extension sur votre navigateur ou votre messagerie. Elle permet de signaler plus facilement un message ou un site suspect.

Signal Spam et la Commission Nationale de l'Informatique et des Libertés (CNIL) sont associés. Leur but est d'identifier les principaux organismes à l'origine du spam et de mener des actions de contrôle et de répression ciblées.

Trier, filtrer et bloquer

En parallèle du signalement, vous pouvez réduire ce qui arrive dans votre boîte.

• Marquez les spams comme « indésirables ». Cette fonction existe dans la majorité des clients de messagerie et des webmails, ainsi que dans le module de Signal Spam.
• Créez des règles dans votre messagerie pour filtrer ou supprimer certains types de messages.
• Bloquez les expéditeurs dans les paramètres de votre messagerie, de vos réseaux sociaux ou des autres services qui le permettent.
• Utilisez un filtre ou un logiciel anti-spam. Certains antivirus proposent cette protection.

Et si l'expéditeur semble légitime ?

Tous les messages non désirés ne sont pas des arnaques. Une boutique, une association ou une lettre d'information peut vous écrire sans que vous vous en souveniez.

Si l'émetteur vous paraît légitime, utilisez le lien de désinscription ou de désabonnement. Il est souvent placé à la fin du message. Vous faites ainsi valoir votre droit au retrait du consentement.

La distinction compte. Le lien de désinscription d'un expéditeur légitime est un outil utile. Dans un message douteux, mieux vaut ne pas répondre et le signaler.

Quand déposer plainte

Deux situations sont distinguées par Cybermalveillance.gouv.fr.

Vous avez demandé à une société de ne plus vous solliciter, et les messages continuent. Vous pouvez déposer plainte auprès de la CNIL.

Vous êtes victime d'une escroquerie. Déposez plainte au commissariat de police ou à la brigade de gendarmerie dont vous dépendez. Vous pouvez aussi adresser votre plainte par écrit au procureur de la République du tribunal judiciaire dont vous dépendez, en fournissant toutes les preuves en votre possession.

Pensez donc à garder les messages concernés avant de les supprimer : ils peuvent faire partie des preuves à fournir.

Ce que dit la loi

La fiche de Cybermalveillance.gouv.fr rappelle plusieurs infractions possibles, selon les cas.

• La prospection sans consentement préalable. Elle est interdite lorsqu'elle utilise, par courrier électronique, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable. La fiche cite l'article L34-5 du Code des postes et communications électroniques et l'article L121-20-5 du Code de la consommation. Par prospection directe, on entend tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne qui en vend ou en fournit.
• La pratique commerciale trompeuse, notamment lorsqu'elle repose sur des allégations fausses ou de nature à induire en erreur, ou lorsque la personne pour le compte de laquelle elle est menée n'est pas clairement identifiable.
• L'escroquerie, lorsque le spam a pour objet de tromper dans le but de capter des données ou des fonds.
• La tromperie en matière commerciale.

Nous ne sommes pas juristes : ces références vous aident à comprendre que le spam n'est pas qu'une gêne, et qu'il peut relever de la loi. Pour une situation précise, rapprochez-vous des autorités citées plus haut.

Limiter le spam à la source

Le plus utile reste de réduire les occasions pour votre adresse de circuler. Cybermalveillance.gouv.fr conseille de :

• rester vigilant quand vous donnez votre adresse à des tiers ;
• faire attention aux formulaires d'inscription, aux bons de commande et aux jeux-concours : certains acteurs n'appliquent pas toujours les bonnes pratiques, et votre adresse peut figurer dans des bases de données à votre insu ;
• vérifier la fiabilité d'une marque, par une recherche sur Internet ou la lecture d'avis, avant d'accepter ses publicités ou lettres d'information ;
• vous désabonner ou supprimer les comptes que vous n'utilisez plus, pour limiter la diffusion de vos données à des tiers ;
• créer plusieurs adresses ou des alias selon l'usage (réseaux sociaux, échanges personnels, sites marchands) afin de préserver votre adresse principale.

Voir ce qui est visible à votre sujet

Savoir d'où peut venir le spam aide à mieux s'en protéger. Remove Me propose une analyse gratuite, sans compte : vous saisissez vos informations, et le service recherche les résultats publiquement visibles sur le web, les fuites de données connues (via Have I Been Pwned) et un registre de courtiers en données. Un bilan s'affiche ensuite, que vous débloquez avec un code à 6 chiffres reçu par e-mail.

Une précision honnête : un bilan vide ne signifie pas que rien n'existe à votre sujet, seulement que l'analyse n'a rien vu. Remove Me n'envoie pas encore de demandes d'effacement en votre nom. L'analyse vous montre ce qui est visible, elle ne fait pas disparaître le spam.

À retenir

1. Ne répondez pas au moindre doute.
2. Ne cliquez pas, n'ouvrez pas les pièces jointes, et vérifiez les liens en passant la souris dessus.
3. Signalez à Signal Spam, marquez comme indésirable, bloquez l'expéditeur.
4. Utilisez la désinscription uniquement si l'expéditeur vous semble légitime.
5. Déposez plainte auprès de la CNIL si les envois continuent après votre opposition, ou auprès de la police, de la gendarmerie ou du procureur en cas d'escroquerie.

Si vous pensez avoir été victime d'une cybermalveillance, Cybermalveillance.gouv.fr propose aussi un service d'assistance avec un diagnostic en ligne.

the Remove Me team