Celui qui connaît son ennemi et se connaît lui-même mènera un combat sans risque

Sun Zi, L’art de la Guerre

Chaque jour des messages indésirables pourrissent votre boite mail ou vos discussions sur les blogs et forums. Le spam fait perdre un temps fou, gaspille les ressources serveurs et réseau pour rien, et est énervant à la longue ; mais que ce soit par malveillance, pas intérêt ou par simple négligence, il semble voué à ne jamais disparaître !

Depuis la démocratisation du web, utilisateurs d’Internet et spammeurs s’affrontent dans cette « guerre du spam« , où chacun redouble d’effort pour contourner les stratagèmes mis en place par l’autre camp ; passons en revue les forces engagées dans la bataille.

Les troupes ennemies

Les robots (ou « bots »)

Description : depuis certains pays, des centaines d’ordinateurs passent leur temps à faire trois choses : chercher des adresses emails sur les pages web, envoyer des messages non sollicités par courrier électronique, et publier des messages publicitaires sur les blogs et forums.

Leur force : l’automatisation leur permet chaque jour d’envoyer très facilement des milliers d’emails, de visiter des milliers de sites et d’ajouter des messages sur des milliers de forum.

Leur point faible : ce sont des machines, et elles ne sont donc pas douées pour s’adapter.

Leur mode d’attaque : la force brute au service de la publicité

• envoi de messages par email, avec des expéditeurs différents, des titres différents, des portions de message aléatoires ou des images pour leurrer les antispams (à la façon des captcha !).
• ajout de messages sur les forums, de commentaires sur les blogs, avec des liens vers les sites concernés (porno, médicaments, logiciels, casino, etc.)

Les défenses efficaces :

• Traitez le problème à la source : ne laissez jamais votre adresse email en clair sur Internet (forum, blog, etc.). Une fois que votre adresse email est référencée, vous ne pourrez plus la retirer des bases de données des robots.
• Si c’est trop tard, utilisez les outils antispam de votre logiciel de courrier électronique pour signaler le spam (et espérez qu’il soit filtré à l’avenir) ou utilisez un logiciel client avec un algorithme bayésien.
• Ne répondez jamais à un spam (vous êtes foutus si vous utilisez le gestionnaire d’absence du bureau 😛 ).
• Dans le pire des cas, changez d’adresse email (mais vos amis risquent de ne plus pouvoir vous contacter).
• Tenez vos blogs, CMS et forums à jour avec la dernière version. Personnalisez vos formulaires pour que les robots ne sachent pas s’en servir. Obligez une intervention humaine, par exemple avec une validation par email ou un CAPTCHA (système basé sur le fait que les robots ne savent pas lire une image).

 

Les voleurs et les escrocs

Description : il y en a toujours eu, mais Internet leur permet de contacter rapidement et presque gratuitement des centaines de gogos qu’ils peuvent essayer de tromper. Sur les milliers de personnes contactées par email, il y en aura bien une qui se fera avoir…

Leur force : ce sont des « caméléons » patients (en tout cas qui persistent), sachant utiliser la technologie de façon inventive.

Leur points faible : ils ont besoin de pigeons pour arriver à leurs fins.

Leur mode d’attaque : la tromperie

• Les emails de phishing qui se font passer pour paypal, ebay, ou d’autres banques
• L’escroquerie classique type fraude 4-1-9
• Les sites qui vous promettent de l’argent ou une aubaine (actions en bourse, logiciels pas chers, etc.)

Les défenses efficaces : ne soyez pas leur pigeon

• Ne cliquez jamais sur un lien dans un email.
• Ne vous fiez pas à ce que vous voyez, et tournez 7 fois la souris dans votre main avant de donner vos codes d’accès sur un site.
• Ne croyez pas aux aubaines : si c’est trop beau pour être vrai, alors c’est sûrement le cas ! En règle générale : si ça vous promet la fortune, l’amour ou que ça prédit une catastrophe, alors c’est une arnaque ou un canular.

 

Les entreprises et les publicitaires

Description : Autrefois, elles envoyaient un chèque factice de 10.000 Francs avec une photo de Denise Favre à votre porte pour vous l’offrir ; la seule condition ? acheter un produit et (surtout !) donner toutes vos coordonnées sur le bon de commande. Le système n’a pas changé, mais aujourd’hui, toutes ces sociétés utilisent Internet pour prospecter de nouveaux clients, tout en faisant grossir leur fichier avec vos informations personnelles.

Leur force : elles ont les moyens de vous cibler et de valoriser vos informations personnelles

Leur point faible : elles doivent respecter la loi (en principe)

leur mode d’attaque : le marketing ciblé

• Des offres spéciales à durée limitée, annoncées par email ou avec des bannières sur les sites.
• Elles veulent vous vendre quelque chose et feront le maximum pour récupérer vos données personnelles (votre email au minimum, par exemple en vous demandant de remplir le petit formulaire pour obtenir le cadeau).
• Certaines entreprises revendent vos informations personnelles afin d’arrondir leur fin de mois. Votre email se retrouve alors dans la base de données d’un robot.

Les défenses efficaces :

• Utilisez une adresse email alternative pour les sites et fournisseurs en qui vous n’avez pas confiance.
• Toujours cocher (ou décocher) la case en bas du formulaire pour ne PAS recevoir la newsletter, et que vos informations personnelles ne soient PAS transmises aux partenaires commerciaux.
• Toutes les newsletters ont l’obligation de vous permettre de vous désinscrire ; on serait donc tenté de cliquer sur les liens indiqués. Sauf que souvent, ces liens mènent vers des sites façades avec des noms bizarre (genre zegvfz55.com). Personnellement, je n’ai pas confiance, et je le fais uniquement pour les grandes sociétés françaises (SNCF, France Telecom, EDF, etc.) et jamais pour les emails en anglais (je ne connais pas législation dans les autres pays, donc dans le doute je m’abstiens !).

 

Les virus, « spywares » et autres « malwares »

Description : programmes qui « font des choses » sans l’accord de l’utilisateur (collecte de données personnelles, destruction de données, affichage de messages publicitaires, envoi d’email, etc.)

Leur force : se faire passer pour quelque chose d’inoffensif

Leur point faible : leur signature qui permet de les identifier

Leur mode d’attaque : parasiter votre ordinateur

• Ils s’installent souvent lors de la navigation (popup qui ressemblent à des messages windows, téléchargement de fichier, etc.).
• Diffusion virale par le réseau (vers), ou via email (virus qui expédient des emails en utilisant les contacts).
• Récupération d’informations personnelles (données de navigation, mots clés, keylogger pour savoir quelles touches vous tapez sur le clavier).
• Altération de la navigation pour vous emmener sur des sites que vous n’avez pas demandé à visiter.

les défenses efficaces :

• Ne jamais cliquer OK pour les messages d’erreur qu’on ne comprend pas.
• Avoir un antivirus à jour (avec protection firewall, et protection en temps réel pour les fichiers téléchargés et les pièces jointes).
• Réfléchissez avant d’ouvrir une pièce jointe (« Pourquoi mon grand-père m’enverrait-il un email en anglais avec un fichier attaché Carla.zip ? », « Si je n’ai jamais envoyé de message à Edward -d’ailleurs je ne connais pas de Edward-, pourquoi est-ce qu’il me répond ? »).
• Ne jamais installer de barres d’outils pour Firefox ou Internet Explorer.

 

Les collègues, la famille et les copains

Description : ils viennent de découvrir les possibilités infinies de l’informatique en terme de non-productivité, et ils sont bien décidés à vous en faire profiter !

Leur force : ils ont vos coordonnées personnelles.

Leur point faible : ils sont capables d’apprendre, et vous pouvez donc les convaincre de quitter le côté obscur de la force.

Leur mode d’attaque : l’inconscience

• Le chain-mail pour aider les malheurs du monde ou propager des fausses rumeurs ; évidemment, ils laissent en clair toutes les adresses des destinataires, qui se retrouveront donc tôt ou tard dans les mains d’un spammeur.
• Les trolls sur les forums.
• Les powerpoint débiles (calendrier Pirelli et autres blagues douteuses, ou simplement des photos kitsch de petits chats pour promouvoir l’amour et la paix).
• Dans tous les cas, ils pensent servir une noble cause, ou sont convaincus de vous faire plaisir.

les défenses efficaces : l’éducation et la discipline

• Toujours prendre le temps de leur apprendre à mettre les destinataires en CCI et à vérifier sur hoaxbuster la véracité d’une histoire.
• Leur expliquer que dans le doute, il vaut mieux ne PAS diffuser une information (alors que souvent, ils se disent que ça ne peut pas faire de mal).
• Mettre des règles sur les forums et les listes de diffusion pour limiter leur pouvoir de nuisance (temps de latence, taille du message, réponse à l’expéditeur et pas à la liste, etc.)

 

Vos alliés (pour lutter contre le côté obscur de la force)

Vous-même

Votre force : vous êtes capable de jugement.

Votre point faible : vous naviguez sur Internet, téléchargez des fichiers et lisez vos emails (non mais c’est vrai à la fin, y’aurait pas de problème si vous ne faisiez pas tous ces trucs insensés ! 😛 )

Les choses à faire (ou à éviter) :

• La lecture de cet article un premier pas vers la sagesse 😉
• Faites attention… Tout le temps !
• Appliquez et faites respecter la Netiquette.

Vous êtes le premier (et le plus important) maillon de la lutte antispam !

Votre hébergeur

Sa force : il emploie des professionnels qui gèrent les serveurs de votre site et de votre messagerie.

Son point faible : il ne peut pas s’occuper de chaque cas particulier.

les choses à faire (ou à éviter) :

• Choisissez un hébergeur qui propose filtre parental, antispam bayésien, etc.
• Regardez l’avis des autres clients pour connaître la fiabilité et le niveau de service des différents hébergeurs.
• Installez uniquement des produits qui ont fait leur preuve en terme de sécurité, notamment si ce sont des solutions libres (forum, webmail, etc.)

 

Votre ordinateur

Sa force : vous pouvez faire ce que vous voulez avec.

Son point faible : vous avez installé n’importe quoi dessus.

les choses à faire (ou à éviter) :

• N’enregistrez pas vos mots de passe sur votre ordinateur.
• N’installez pas des dizaines de gadgets inutiles qui vous encombrent l’écran et la base de registre ; faites « le ménage » régulièrement pour supprimer les applications dont vous ne vous servez plus.
• Faites des sauvegardes.
• Installez un antivirus (voir paragraphe suivant).

Votre antivirus

Sa force : il est constamment vigilant (même quand vous ne l’êtes pas)

Son point faible : il ne reconnaît que ce qu’il connaît

Les choses à faire (ou à éviter) :

• Mettez le à jour. Aussi souvent que possible !
• N’ayez pas peur de changer, ou utilisez-en plusieurs (chaque année, c’est un antivirus différent qui est le meilleur).
• Installez et utilisez régulièrement des antispyware et antimalware.
• L’antivirus ne doit pas vous empêcher de réfléchir (désolé 😛 )

 

Le gouvernement (si si 🙂 )

Sa force : peut informer une large population en apportant sa crédibilité, fait appliquer la loi.

Son point faible : ne va pas beaucoup plus loin que les déclarations de principe.

 

Les choses à faire (ou à éviter) :

• Signalez les spams sur les sites officiels https://www.internet-signalement.gouv.fr et https://www.signal-spam.fr – ça ne résoudra pas votre problème individuel, mais parfois ça mène à une action d’envergure pour faire baisser le spam.

• Poussez les parlementaires à légiférer pour encadrer les nouvelles pratiques liées à Internet, même si rétrospectivement on peut douter de l’efficacité des initiatives précédentes de l’Union Européenne…

En conclusion

Selon moi, la guerre du spam n’est pas finie, et notamment parce qu’elle profite :

• aux éditeurs de logiciel : plus il y a de spam, plus ils pourront vendre des solutions pour éliminer les spams,
• aux FAI : plus il y a de spam, plus il faut de bande passante, et plus ça fait les affaires de ceux qui la vendent !

En attendant, je vous propose de rejoindre les rangs des spam fighters (pour y suivre une cure de déspamification) et passer vos nerfs sur le jeu « Spam Attack » !

Le but du jeu ? Vous défendez un firewall, et vous devez empêcher les spams de passer grâce à votre canon, faute de quoi les pop-ups publicitaires apparaissent sur votre écran 😛

 

Pour aller plus loin : des articles sur un site spécialisé, un site dédié à la lutte antispam, le projet « penny black » et l’apparition du spam par SMS.