Les campagnes de spam reposent sur un principe d’industrialisation : collecter un maximum d’adresses, envoyer un volume massif de messages et exploiter le faible taux de réponse par effet de nombre. Les techniques ont évolué vers des approches plus ciblées, conçues pour contourner les filtres de messagerie et exploiter la confiance plutôt que le simple volume.
Authentification des domaines expéditeurs : SPF, DKIM et DMARC contre l’usurpation
Le spam technique commence par l’usurpation d’identité d’un domaine légitime. Un spammeur forge l’en-tête « From » d’un courriel pour faire croire que le message provient d’une banque, d’un service public ou d’un fournisseur connu. Sans mécanisme de vérification côté serveur, la messagerie du destinataire n’a aucun moyen de distinguer un message authentique d’un faux.
Google et Yahoo ont introduit des exigences renforcées pour les expéditeurs en masse, imposant la mise en place de SPF, DKIM et DMARC sur les domaines d’envoi. Microsoft a commencé à appliquer ses propres exigences aux expéditeurs en masse en mai 2025. Ces protocoles fonctionnent en chaîne : SPF vérifie que le serveur d’envoi est autorisé par le domaine, DKIM signe cryptographiquement le message, et DMARC définit la politique à appliquer en cas d’échec des deux premiers.
Pour qui reçoit du spam, cette évolution a une conséquence directe : un message dont le domaine expéditeur n’est pas correctement authentifié a désormais plus de chances d’être filtré automatiquement. Nous recommandons aux organisations qui gèrent leur propre domaine de vérifier régulièrement leurs enregistrements DNS pour éviter que leurs propres envois légitimes soient classés en indésirables.
Pour comprendre la création de spam dans sa dimension technique, il faut saisir que l’absence de ces protocoles sur un domaine en fait une cible d’usurpation privilégiée par les spammeurs.
Spam commercial légal ou spam malveillant : critères de distinction
La confusion entre prospection commerciale et spam malveillant est un problème opérationnel. Un courriel publicitaire envoyé sans consentement préalable viole le RGPD et la directive ePrivacy, mais ne constitue pas nécessairement une menace de sécurité. Un spam malveillant (malspam), en revanche, vise à installer un malware, dérober des identifiants ou rediriger vers un site frauduleux.
Le contexte d’envoi compte autant que le contenu du message. Voici les critères qui permettent de faire la distinction :
- L’expéditeur est identifiable : un nom de domaine cohérent avec la marque, un numéro SIRET ou une adresse physique dans le pied de page, et un historique d’interaction (achat, inscription) avec l’entreprise.
- Le lien de désinscription renvoie vers le domaine officiel de l’expéditeur, pas vers un domaine tiers inconnu ou un raccourcisseur d’URL opaque.
- Le message ne demande aucune action urgente sur des données sensibles (mot de passe, coordonnées bancaires, numéro de sécurité sociale).
- Les pièces jointes, si elles existent, correspondent à un format attendu (PDF de facture, par exemple) et non à un exécutable ou une archive protégée par mot de passe.
Quand un courriel commercial provient d’une source identifiée, les exigences des fournisseurs de messagerie incluent désormais un mécanisme de désinscription en un clic. Utiliser ce bouton est sûr dans ce contexte.
Quand le lien de désinscription devient un piège
Dans un message d’origine douteuse, cliquer sur « Se désinscrire » confirme au spammeur que l’adresse est active et surveillée. Le lien peut aussi rediriger vers une page de phishing ou déclencher le téléchargement d’un script. Un message suspect se signale comme indésirable, il ne se désinscrit pas.
La plateforme Signal Spam, partenaire de la CNIL, permet de transmettre le message aux autorités compétentes. Cette action alimente les bases de données qui servent à améliorer les filtres de l’ensemble des fournisseurs de messagerie français.
Codes QR dans les courriels : un vecteur de spam en progression
Un rapport de l’Anti-Phishing Working Group (APWG) sur le deuxième trimestre 2025 identifie les codes QR intégrés dans les courriels comme une catégorie mesurable d’attaques liées à la fraude par courriel en entreprise. Le principe est simple : le lien malveillant n’apparaît pas en texte cliquable (ce que les filtres analysent facilement) mais sous forme d’image QR que le destinataire scanne avec son téléphone.
Cette technique contourne deux barrières. Le filtre anti-spam du serveur de messagerie ne décode pas systématiquement les QR codes intégrés dans les images. Le téléphone du destinataire, une fois le code scanné, ouvre le navigateur mobile sans les protections éventuellement installées sur le poste de travail.
Avant de scanner un QR reçu par courriel, vérifier l’URL de destination affichée par l’application de lecture est un réflexe à acquérir. Si l’adresse ne correspond pas au domaine attendu, ne pas poursuivre.
Réduire la surface d’exposition au spam : mesures techniques et comportementales
La collecte d’adresses par les spammeurs s’appuie sur plusieurs sources : moissonnage automatique des pages web publiques, fuites de bases de données, formulaires de jeux concours et génération par combinaison de préfixes courants (info@, contact@, admin@) sur des domaines connus.
Limiter la diffusion publique de son adresse principale reste la mesure la plus efficace. Utiliser une adresse dédiée pour les inscriptions en ligne et les formulaires réduit le volume de spam reçu sur la boîte principale.
Côté technique, les protections se cumulent :
- Activer le filtre anti-spam natif de la messagerie et le maintenir à jour en signalant systématiquement les faux négatifs (spam non détecté) et les faux positifs (message légitime filtré).
- Ne jamais ouvrir de pièce jointe ni cliquer sur un lien dans un message dont l’expéditeur n’est pas vérifié, même si le nom affiché semble familier.
- Vérifier l’adresse réelle de l’expéditeur (le champ technique, pas le nom affiché) : un courriel affiché comme « Service Client BNP » mais envoyé depuis un domaine sans rapport est un indicateur fiable de spam malveillant.
Les campagnes de spam deviennent plus précises et plus évasives dans leur conception, selon un rapport de Carrier Management de novembre 2026. Cette tendance confirme que la vigilance porte désormais sur le contexte et l’expéditeur, pas seulement sur le contenu du message. Un courriel bien rédigé, sans faute, avec un logo authentique, peut être frauduleux si le domaine d’envoi ne correspond pas à l’organisation revendiquée.
Le spam ne disparaîtra pas des boîtes de réception. Les protocoles d’authentification rendent l’usurpation plus difficile, les filtres progressent, mais le facteur décisif reste la capacité du destinataire à évaluer chaque message reçu avant d’interagir avec son contenu.
