Navigation – Plan du site
Repères

Sensibilisation aux coûts et conséquences du spam

Nathalie Dagorn

Résumé

Cet article a pour but de sensibiliser le manager à l’ampleur et à la gravité du phénomène actuel du spam. Après avoir présenté les principales caractéristiques de cette problématique, l’article met en lumière les coûts directs et indirects du spam pour les organisations. Les récentes approches organisationnelles, technologiques et juridiques destinées à inhiber le spam sont exposées. En annexe, une étude pratique menée en avril 2009 auprès de trois organisations représentatives de différents contextes d’exposition au spam, confirme les coûts estimés et montre l’importance de l’application de « meilleures pratiques » managériales et de sécurité dans ce contexte.

Haut de page

Entrées d’index

Haut de page

Texte intégral

Introduction

1Le mot spam est un anglicisme (parfois traduit en français par les termes « pourriel » ou « polluriel ») qualifiant un courrier électronique envoyé à des destinataires qui ne l’ont pas demandé. Le “spamming” peut être défini comme l’usage abusif d’un système de messagerie électronique visant à exposer délibérément et généralement de manière répétée tout ou partie de ses utilisateurs à des messages non pertinents et non sollicités, en tentant de les confondre avec les messages habituellement échangés ou recherchés par ces utilisateurs [Barron, 2006].

2Au cours des dix dernières années, la quantité de courriels non sollicités a augmenté de façon spectaculaire, passant en Europe de 10 % à plus de 70 % du trafic total des courriels selon les Fournisseurs d’Accès à Internet (FAI). Le spamming consomme énormément de ressources, pénalisant à la fois les FAI et les utilisateurs finaux des messageries, à savoir les organisations et les particuliers.

3Cet article dresse un bilan lourd des coûts directs et indirects engendrés par le spam pour les organisations et explique comment l’application de meilleures pratiques managériales de sécurité permet de s’en préserver.

Une problématique qui s’impose

Bref historique du développement du spam

  • 1 Arpanet (Advanced Research Projects Agency Network) a été développé aux États-Unis à partir de 1967 (...)

4Le spam est plus vieux qu’Internet  : déjà à l’époque de la télégraphie au XIXe siècle, la Western Union aux États-Unis avait autorisé sur son réseau l’envoi de messages télégraphiques non sollicités à plusieurs destinataires. Le premier spam a été envoyé en 1978 par Gray Thuerk ; il s’agissait d’un message en chaîne transmis à six cents utilisateurs du réseau Arpanet1. En 1994, le premier courriel commercial non sollicité a été lancé par deux avocates, Laurence Canter et Martha Siegel ; le message était destiné aux immigrants désirant vivre aux Etats-Unis, il a rapporté 100 000 dollars aux avocates.

5Dans les années 1990, le spam était faiblement diffusé car la capacité d’Internet ne permettait pas les abus (connexion par ligne téléphonique). Depuis que l’ADSL existe, le spam est devenu beaucoup plus encombrant et également plus dangereux.

Les caractéristiques du spam

Les différentes formes de spam

6Deux formes de spam sont aujourd’hui identifiées [Armstrong et Black, 2007]. Les courriels commerciaux non sollicités (en anglais UCE pour Unsolicited Commercial Email) sont envoyés à des fins de marketing direct. Si la plupart des professionnels réfutent le terme de spam, très péjoratif et surtout lié à une pratique illégale, ils reconnaissent néanmoins pratiquer des campagnes marketing ciblées par courriel de façon massive.

  • 2 Charte définissant les règles de conduite et de politesse à adopter sur l’Internet.

7Les courriels de masse non sollicités (en anglais UBE pour Unsolicited B u lk Email) peuvent traiter de sujets divers (sexuels, politiques, religieux, messages en chaîne, messages de détresse, propagande politique, pornographie, propos négationnistes, pédophilie, etc.) ; ils peuvent être également vecteurs de contenus frauduleux ou malveillants (virus, etc.). Certains de ces messages non sollicités peuvent être le fait d’erreurs de manipulation ou de méconnaissance de la netiquette2, par exemple la transmission de messages en chaîne (hoax) [Rooksby, 2007].

Qui sont les spammeurs ?

8Le spammeur peut être simplement un particulier souhaitant se constituer une base d’envoi et diffuser des informations (par exemple, à chaque mise à jour de sa page personnelle). Ce peut être une entreprise traditionnelle désireuse de vendre ses produits. Ce peut être également une agence de marketing chargée d’organiser des campagnes de “spamming” pour le compte d’un client. Enfin, les spammeurs peuvent être des professionnels du spam, qui sont des spécialistes de l’Internet et recherchent un retour maximum, quel que soit le produit à vendre. Souvent très au point techniquement, ils utilisent (parfois frauduleusement) des serveurs qu’ils ne gardent jamais très longtemps, en s’arrangeant pour que les envois ne soient pas traçables. Reconnus comme les spammeurs les plus abusifs, ils sont souvent les plus riches.

9L’objectif du spamming est de profiter de l’envoi massif de messages de publicité à bas prix. Le but des organisations à l’origine du spam est de toucher une masse de personnes, même si la probabilité de trouver un acheteur parmi elles est petite [Tanzila et Oppenheim, 2006]. Par exemple, si le spam permet de contacter un million d’utilisateurs, et qu’une personne sur cent seulement achète le produit, alors on peut espérer tout de même dix milles ventes ! Le tout sans oublier que le spam ne coûte quasiment rien à son expéditeur : d’un point de vue économique, seules quelques ressources sont nécessaires pour mettre en place une activité très lucrative de spamming [Goodman, Cormack et Heckerman, 2007]. En outre, sur l’Internet, il est facile pour les internautes expérimentés d’effacer toute trace de leur violation [Legand, 2006].

  • 3 Activité qui consiste à générer artificiellement, par l’intermédiaire d’une personne ou d’un progra (...)

10Enfin, le spam peut être diffusé par des bots (contraction de robots). Un bot est un agent logiciel automatique ou semi-automatique qui interagit avec un serveur informatique comme un programme client utilisé par un humain. Les bots sont interconnectés, ce qui leur permet de partager toutes sortes d’informations, telles que des listes d’utilisateurs par exemple. Ces bots constituent alors des réseaux de PC zombies, appelés botnets. Sous cette forme, ils peuvent être utilisés à des fins malveillantes pour perpétrer une attaque distribuée contre des services Internet, véhiculer du spam (spambots), jouer un rôle actif dans une fraude au clic3 (webbots), etc. Les spambots ont la capacité de s’inscrire d’eux-mêmes sur les forums de discussion dans le but de diffuser du spam. 2008 a vu l’explosion du nombre de botnets.

11Ceux-ci peuvent désormais être développés (des kits de développement sont en vente sur Internet), loués ou achetés pour relayer du spam [Renault, 2008] ; des pratiques plus ou moins récentes permettent également de réserver en quelques clics toute une campagne de spamming [Posluns, 2004 ; Point24, 2008].

Comment les adresses sont-elles récupérées par les spammeurs ?

12On peut se demander pourquoi les organisations sont tant « bombardées » de spam. La réponse est simple : aujourd’hui, nombre d’entre elles sont représentées sur Internet par un site Web, qui fournit généralement une adresse électronique de contact. Il existe des logiciels, appelés aspirateurs, qui recherchent automatiquement ces adresses ; très efficaces, ils sont capables de récupérer des milliers d’adresses par minute [Georgiou et al., 2008]. Ces adresses sont ensuite vendues aux spammeurs. Certains amalgameurs d’adresses n’hésitent pas à reconstituer les adresses de messagerie d’une organisation à partir des noms et prénoms de ses salariés, en prenant comme racine l’adresse de contact indiquée sur Internet (des adresses simples à reconstituer sont, par exemple, du type prénom.nom@organisation.fr).

Les coûts du spam pour les organisations

13Selon le bilan 2007 d’IronPort Systems, division de Cisco et spécialiste dans la protection des organisations contre le spam, un utilisateur passerait en moyenne cinq à dix minutes par jour à gérer son spam. Aujourd’hui, le spamming est un phénomène atteignant de vastes proportions, qui gaspille énormément de ressources des FAI, des organisations et des particuliers [Clement et al., 2008]. Cette section présente une évaluation des coûts directs et indirects générés par le spam pour les organisations.

Les coûts directs

14En amont de tout traitement, les coûts directs relatifs au spam sont liés à la réception (largeur de la bande passante utilisée, taux de saturation) et au stockage du spam sur le serveur de messagerie (chaque courriel doit être stocké jusqu’à sa lecture ou sa suppression ; dans certains cas, le spam reste sur le serveur dans un dossier d’éléments supprimés même après sa destruction). Par exemple, si le courrier électronique représente 50 % du trafic réseau de l’organisation, et que ce courrier comporte effectivement 96 % de spam, alors 48 % de la bande passante, soit près de la moitié, est utilisée pour récupérer du spam !

15En outre, la mise en œuvre par les FAI de diverses techniques antispam pour protéger leurs clients (i.e., empêcher le spam de parvenir dans l’organisation) et pouvoir continuer à produire un service efficace est onéreuse. Ces coûts sont répercutés par les FAI sur les abonnés sous forme d’une hausse du tarif de leur abonnement. Par exemple, Neuf Cegetel multiplie les couches de protections et les techniques antispam, combinant plusieurs méthodes d’analyse (serveurs émetteurs, caractéristiques des messages, mots-clés) ; cet effort de protection a provoqué une hausse de 10 à 20 % des coûts d’exploitation (Savary, cité dans Renault, 2008). Chez Secuserve, la multiplication des filtrages des flux coûte de un à trois euros par mois et par boîte aux lettres.

16Suivant le coût de la connexion Internet et le volume nécessaire au stockage du spam, les pertes de données (courriels entrants perdus par faute de stockage) et les dommages causés par l’indisponibilité du service de messagerie (interruptions de service) peuvent être importants, équivalents à un coût de plusieurs centaines d’euros par utilisateur selon Antispam (2007).

17Le spam entraîne une perte de productivité importante des salariés. Un utilisateur perd environ dix secondes de son temps par spam à traiter ; l’estimation du temps perdu doit intégrer le temps nécessaire à l’analyse et à la destruction du message, mais également la déconcentration générée [Gilmore, 2008 ; Grimesa et al., 2007]. Par exemple, si un utilisateur reçoit vingt courriels non sollicités par jour, la perte de temps liée à leur gestion est estimée à 12,78 heures par an (10 secondes x 20 spams x 230 jours travaillés environ), soit presque deux jours de travail. Antispam (2007) indique une moyenne annuelle des coûts globaux liés à la réception de spam équivalente à 2,5 jours de travail par utilisateur.

18Dans certaines organisations, le spam engendre une consommation de ressources et une charge de travail accrues de la part du service de support technique, qui est alors moins disponible pour d’autres tâches.

19En matière de sécurité, le spam peut véhiculer toutes sortes de maliciels (par exemple, rootkits, virus, espiogiciels, etc.), induisant des risques d’intrusion et d’infection. Dans les organisations technologiquement protégées, les investissements réalisés pour résoudre les problèmes inhérents au spam et aux assauts viraux (filtres, solutions antispam et antivirus, etc.) sont à considérer. En outre, il se peut qu’un temps de traitement et une perte d’information soient occasionnés par les filtres mis en place.

20Comme nous venons de le voir, le spam paralyse donc l’activité des organisations et peut être source de nombreuses déconvenues (pertes en termes de revenu, de résultats et de performances de l’organisation). Selon une étude réalisée par Nucleus Research et KnowledgeStorm (2007) aux ÉtatsUnis, le spam coûterait aux organisations américaines en moyenne 712 dollars par an et par employé, ce qui équivaut pour l’ensemble des organisations américaines à une somme annuelle de 71 milliards de dollars. La société d’études américaine Ferris Research (2005) révèle que les Etats-Unis engagent le plus de moyens financiers pour lutter contre le spamming, suivis par l’Allemagne et le Canada ; ces résultats s’expliquent en partie par le fait que le spam coûte plus cher dans les pays où le travail lui-même coûte cher.

Les coûts indirects

21Le spam a également un coût social. Les coûts indirects du spam se traduisent au premier plan par une baisse de la bonne volonté et du moral des salariés, car la suppression de spam constitue une frustration pour l’utilisateur [Sipior et al., 2004 ; Kim et al., 2006].

22Au second plan, c’est la réputation de l’organisation qui est en jeu, de par sa responsabilité vis-à-vis de la protection de l’individu (par exemple, messages à caractère pornographique ou antisémite, harcèlement en ligne, etc.).

Les moyens de prévention et de protection

23Cette section expose les principaux moyens personnels, organisationnels, techniques et juridiques pour lutter contre le spam.

Les moyens organisationnels

24Pour se prémunir contre le spam, une organisation peut mettre en œuvre quelques bonnes pratiques, une politique de sécurité, ainsi qu’un programme de sensibilisation et formation des utilisateurs.

25Sans détailler toutes ces mesures (qui à elles seules font l’objet de nombreuses publications telles que Aoun et Rasle, 2003), notons simplement que l’organisation peut décider d’utiliser deux adresses de messagerie pour ses salariés exposés au spam, la première destinée à un usage interne (dont l’usage extérieur sera restreint), et la seconde pour usage externe et public. Pour limiter le risque de reconstitution des adresses par les amalgameurs, les organisations peuvent intégrer dans l’adresse le nom du service concerné afin d’instaurer un paramètre variable (par exemple, prénom.nom.ventes@organisation.fr).

26De manière générale, une adresse de messagerie doit être considérée par les salariés comme une donnée privée (telle qu’un numéro de téléphone, par exemple) ; elle ne doit jamais circuler librement. De même, ne doivent être présentes sur l’Internet que les seules adresses de messagerie jugées indispensables ; mieux vaut alors les afficher sous forme d’image. Afin de limiter la circulation des messages, une bonne gestion des contacts est nécessaire, etc. L’organisation se doit d’établir une charte qui énumère les premiers réflexes en matière de sécurité des systèmes d’information.

27Si la prudence est de rigueur en ce qui concerne la diffusion et l’utilisation de l’adresse de messagerie, elle l’est aussi en ce qui concerne la réception des courriels. Il est possible de reconnaître un message de spam par l’adresse de l’expéditeur (se méfier lorsqu’elle est inconnue), par l’objet du message (se méfier lorsque des termes tels que « viagra » ou « gagner de l’argent » apparaissent), par le contenu du message (inattendu, sans rapport avec les correspondances en cours), par la langue employée dans le message (plus de 4/5 des messages de spam sont rédigés en langue anglaise), et éventuellement par l’effet de répétition du message (parfois déjà reçu d’autres expéditeurs).

28Ensuite, la prudence recommande de ne jamais répondre à un message de spam, même pour se désinscrire. En effet, le spammeur diffuse ses messages en aveugle sans savoir si l’adresse de messagerie est (encore) utilisée ; si le destinataire se manifeste, son adresse sera requalifiée et datée, revendue, échangée et spammée à nouveau (car une adresse fraîche a beaucoup plus de valeur qu’une adresse qui n’a pas donné signe de vie depuis quelque temps). Il convient également d’être très attentif aux cases à cocher dans cer tains formulaires d’inscription : celles-ci sont parfois précochées, peu visibles ou ambiguës. Il ne faut jamais cliquer sur un lien contenu dans un message de spam, la consultation d’une page Web pouvant révéler énormément d’informations sur l’utilisateur (jusqu’à ses coordonnées s’il clique depuis un lien identifié ou si les informations sont croisées) ; si l’on souhaite malgré tout visiter le site en question, il suffit de copier-coller le lien dans son navigateur en supprimant tous les noms et chemins après le nom de domaine.

Les contre-mesures techniques

29Il existe aujourd’hui plusieurs mécanismes technologiques tentant d’inhiber le spam.

Les fonctionnalités antispam des clients de messagerie

30En tant que protection de base, presque tous les clients de messagerie (tels que Microsoft Outlook, Microsoft Outlook Express, Lotus Notes, Mozilla Thunderbird, etc.) possèdent des fonctionnalités antispam, c’est-à-dire des règles de filtrage automatiques telles que le blocage d’un expéditeur ou d’un domaine, le maintien d’une liste d’expéditeurs considérés comme sûrs, etc. Thunderbird, en particulier, possède des fonctions très intéressantes [Garance, Quatravaux A.L. et Quatravaux D., 2005]. La bonne configuration de ces règles de filtrage permet déjà un traitement efficace des courriels et le blocage d’une grande partie du spam. Pourtant il est difficile de mettre en place un niveau de contrôle élevé du spam sans risque de mauvais fonctionnement.

Les logiciels antispam

31Les logiciels antispam sont exclusivement dédiés à la protection de la messagerie. Ils peuvent être installés soit directement sur le poste de travail de l’utilisateur, soit sur/en amont du serveur de messagerie de l’organisation, soit être entièrement externalisés. Les logiciels actuels mettent en œuvre un certain nombre de techniques, telles que les listes (noires ou blanches), le filtrage (analyse lexicale, filtrage bayésien, algorithmes de régression logistique, analyse des URL), les bases collaboratives de signatures, la compression, la pondération selon l’historique des transactions, l’identification sécurisée côté serveur, l’enregistrement DNS, la surveillance en temps réel de l’activité SMTP, le teergrubing ou encore le greylisting [Abraham et al., 2007 ; Becchetti et al., 2008 ; Chih-Chin, 2007 ; Fdez-Riverola et al. 2007 ; Gomes et al., 2007 ; Jiang, 2007 ; Lueg, 2005 ; Marsono et al., 2009 ; Mengjun et al., 2008 ; Pera et Ng, 2009 ; Richard et Doncescu, 2008 ; Wei et al., 2008 ; Yu et Xu, 2008 ; Zheleva et al., 2008 ; Zorkadis et al., 2005].

32Mais toutes ces techniques comportent leurs avantages et leurs inconvénients. La technique idéale n’existe pas (encore) [Goldsborough, 2008]. C’est pourquoi les logiciels antispam combinent généralement plusieurs techniques, et plusieurs logiciels antispam peuvent être utilisés simultanément. L’objectif est de trouver le meilleur compromis entre le volume de spam supprimé et le temps (voire l’argent) investi dans la mise en œuvre de protections antispam. Remarquons qu’à mesure que les filtres antispam deviennent plus sophistiqués, les technologies des spammeurs s’améliorent également pour les contourner [Ramachandran et Feamster, 2006].

Les moyens juridiques

33Tout d’abord, il est nécessaire de rappeler qu’une adresse de messagerie est une information personnelle, même si elle ne comporte pas le nom de l’utilisateur, tant qu’elle est rattachée à une personne physique ; dès lors, le spam est une invasion indiscutable de la vie privée et représente une attaque à la protection des données à caractère personnel. Selon la CNIL, quelques pays dans le monde (essentiellement les pays les plus avancés du point de vue de l’utilisation et de la diffusion d’Internet) commencent à légiférer dans le sens de la protection de l’internaute. Le phénomène d’envoi en masse de courriels commerciaux et non commerciaux non sollicités est ainsi réglementé du point de vue juridique, dans le but de définir des actions spécifiques considérées comme illégales et de les contenir par la menace de sanctions.

La législation française

34Selon la législation française, l’envoi de courriels commerciaux sans le consentement explicite des destinataires est interdit (opt-in) ; ce consentement doit être recueilli très clairement. Selon la Loi Informatique et Libertés du 6 juillet 1978, tout envoi de prospection commerciale est soumis à la législation sur la protection des données personnelles ; une dérogation est accordée aux personnes morales ou physiques qui auraient déjà fourni un bien ou un service analogue ayant permis la collecte de l’adresse de messagerie.

35Les fichiers doivent être déclarés à la CNIL, même si les adresses ne sont stockées que quelques fractions de seconde (c’est le cas notamment pour les aspirateurs à envoi automatique). Les sanctions encourues sont de 750 euros d’amende par message de spam envoyé, cinq ans de prison et 300 000 euros d’amende par fichier non déclaré ou utilisé de façon « déloyale ». Par exemple, un spammeur français a été condamné le 18 mai 2005 à 3 000 euros d’amende... ce qui n’a pas effrayé les quelques autres millions de spammeurs.

La législation européenne

36Au cours des dix dernières années, la législation européenne a élaboré des mesures juridiques pour combattre le spam. Favorable à l’opt-in, elle prévoit ainsi l’information obligatoire lors de la collecte et l’information sur les moyens d’opposition. Par ses directives 95/46/CE du 24 octobre 1995, 97/7/CE du 20 mai 1997, 2000/31/CE du 8 juin 2000 et 2006/24/CE du 15 mars 2006, la Commission Européenne réglemente les questions relatives à la protection des données personnelles, au commerce électronique et aux consommateurs impliqués dans des contrats distants.

37L’Irlande, l’Espagne, l’Angleterre, la Finlande, le Danemark, l’Italie, l’Autriche et l’Allemagne ajoutent à ces directives, comme la France, le consentement obligatoire préalable à toute constitution de fichier de prospection.

38Hormis en Espagne et en Allemagne, peu de condamnations sont prononcées. Jusqu’ici, aucun cas spectaculaire n’a encore rappelé les spammeurs à l’ordre. Malgré l’existence d’un message juridique et social clair qui, au fil des ans, a produit des résultats tangibles et certainement une prise de conscience grandissante de la nature illégale du spam, l’impuissance de l’arsenal juridique déployé et les maigres sanctions l’accompagnant semblent favoriser malheureusement la contamination de l’Europe.

Les législations ailleurs dans le monde

39Aux Etats-Unis, il existe dans la plupart des Etats un droit d’opposition a posteriori au spam (opt-out) et les envois pollueurs de réseaux sont surveillés (adresses inexistantes notamment).

40Au niveau fédéral, le CAN-SPAM Act (Controlling the Assault of Non Solicited Pornography and Marketing Act), ajoute au droit d’opposition la création d’une liste rouge des adresses de messagerie des internautes ne désirant pas recevoir de spam.

41Les particuliers ne peuvent pas porter plainte, seuls les organisations ou les fournisseurs d’accès le peuvent. Cette loi oblige également au respect d’une certaine déontologie : pas de publicité mensongère ou camouflée, pas de sexe sans avertissement, les coordonnées exactes de l’expéditeur doivent être visibles et la procédure de désinscription claire. Contrairement aux pays européens, les sanctions aux Etats-Unis sont très lourdes (au minimum, un an de prison et un million de dollars d’amende ; une cinquantaine de procédures étaient en cours en 2005).

42Le Japon et la Corée fonctionnent selon le même mécanisme d’opt-out ; le Canada et l’Australie appliquent l’opt-in. Selon la législation en vigueur dans les divers pays participant au processus de lutte contre le spam, le spammeur particulier risque généralement des sanctions plus ou moins sévères comprenant une amende et/ou une peine d’emprisonnement ; les organisations à l’origine de messages de spam risquent des sanctions financières et des poursuites judiciaires plus sévères, surtout lorsque le spamming est accompagné de la collecte de données personnelles ou de la détention illégale de bases de données.

Conclusions et perspectives

43Cette étude met en lumière qu’en dépit des efforts organisationnels, technologiques et juridiques déployés, il est extrêmement difficile de contenir le spamming, en raison notamment de l’ampleur du phénomène (plusieurs millions de messages en circulation chaque jour). La technologie progresse, mais permet par ailleurs aux spammeurs de contourner subrepticement les lois en vigueur [Hoanca, 2006]. La législation reste certes nécessaire afin de réglementer la question du spam, mais n’est certainement pas suffisante pour combattre les spammeurs ; différentes études mettent en évidence la faiblesse de ces dispositions lorsqu’elles sont appliquées seules [par exemple, Grimes, 2007 ; Schryen, 2007].

44Pour réduire les effets du spam, diverses solutions ont ainsi été proposées. Une approche envisagée récemment est de taxer les courriels comme le courrier traditionnel. Quelques projets émergent en ce sens, mais rien n’est prévu à court terme ; de plus, l’envoi de spam par l’intermédiaire de PC zombies affecterait alors le propriétaire du PC et non le spammeur...

45Selon Rèbre (2008), le taux de spam devrait continuer à évoluer et atteindre la quasi-totalité des courriels en 2009 en l’absence de mesures à l’échelle mondiale. En effet, le spam est devenu une source de revenus régulière pour les bandes organisées. Avec la prolifération des dispositifs mobiles, le spam par SMS est apparu inévitablement sur nos téléphones portables ; à titre d’exemple, les organisations envoient désormais des publicités personnalisées aux consommateurs (marketing direct) en fonction de leurs préférences ou de leurs achats précédents par courriel ou par SMS [Paniza-Fullana et Payeras-Capellà, 2005 ; Brown, 2007]. Le spam sur les réseaux sans fil et les dispositifs mobiles ne cesse de se développer [Coskun, 2006 ; Kosta et al., 2009]. Le spim (Spam over Instant Messaging) est une variante nouvelle de spam qui transite via les messageries instantanées ; il contient généralement un lien vers un site que le spammeur veut faire connaître. Le spit (Spam over Internet Telephony) a pour but de saturer les boîtes vocales des utilisateurs par des messages non sollicités [Dongwook et al., 2006 ; Kim et al., 2009 ; Kolan et Dantu, 2007].

46Depuis le dernier trimestre 2007, nous assistons également à l’essor des « spams images » dissimulant un message non sollicité dans une image ; il devient ainsi bien plus complexe pour les filtres antispam d’analyser le contenu des courriels (car il faut analyser le contenu des images en reconnaissant les caractères). Selon les spécialistes de la sécurité, la tendance prévue pour 2009 est le développement des maliciels sociaux (en anglais social malware), codes malveillants (chevaux de Troie ou autres) empruntant les caractéristiques des réseaux sociaux (forums, etc.) et des sites collaboratifs liés au Web 2.0. Collaboratifs, adoptifs, transmissibles en pair-à-pair, intelligents et surtout furtifs (car capables de dormir sur les ordinateurs des organisations ou des particuliers pendant des années), ces nouvelles variantes de maliciels seront de plus en plus difficiles à détecter [IronPort, 2007].

Haut de page

Bibliographie

ABRAHAM, A., Z.-X. CHI, Y.-Y. HAO AND H. MO (2007). « Artificial immune system inspired behavior-based anti-spam filterV ». Soft Computing A Fusion of Foundations Methodologies and Applications, June, 11(8), 729-740.

ANTISPAM (2007). « Guide antispam : le coût du spam ». Antispam.fr, 4 juin, http://www.antispam.fr/le_cout_du_spam.html.

AOUN, F. AND B. RASLE (2003). Halte au Spam. Paris : Eyrolles.

ARMSTRONG, D. AND D. BLACK (2007). « The Book of SPAM : A Most Glorious and Definitive Compendium of the World’s Favorite Canned Meat ». Atria Books, New York.

BARRON, A. (2006). « Understanding spam : A macro-textual analysis ». Journal of Pragmatics, June, 38(6), 880-904.

BECCHETTI, L., C. CASTILLO, D. DONATO, R. BAEZA-YATES AND S. LEONARDI (2008). « Link

analysis for Web spam detection ». ACM Transactions on the Web, February, 2(1), 1-42.

BROWN, B.C. (2007). « The Complete Guide to E-Mail Marketing : How to Create Successful, Spam-Free Campaigns to Reach Your Target Audience and Increase Sales ». Ocala, Atlantic Publishing Company.

CHIH-CHIN, L. (2007). « An empirical study of three machine learning methods for spam filtering ». Knowledge-Based Systems, April, 20(3), 249-254.

CLEMENT, M., D. PAPIES AND H.-J. BOIE (2008). « Kosten und Kostentreiber von unerwunschten Werbemails (Spam) – Eine empirische Analyse auf Provider und Anwenderseite (Costs and Cost Drivers of Unsolicited Bulk Email (Spam) – An Empirical Analysis). Zeitschrift für Betriebswirtschaft, April, 78(4), 339-366.

Commission européenne. « Documents législatifs, jurisprudence et propositions de la Commission », http://ec.europa.eu/justice_home/fsj/privacy/law/index_fr.htm.

COSKUN, V. (2006). « Quarantine region scheme to mitigate spam attacks in wireless-sensor networks ». IEEE Transactions on Mobile Computing, August, 5(8), 1074-1086.

DONGWOOK, S., J. AHN AND S. CHOON (2006). « Shim Progressive multi gray-leveling : a voice spam protection algorithm ». IEEE Network, September, 20(5), 18-24.

FDEZ-RIVEROLA, F., E.L. IGLESIAS, F. DÍAZ, J.R. MÉNDEZ AND J.M. CORCHADO (2007). « 

Applying lazy learning algorithms to tackle concept drift in spam filtering ». Expert Systems with Applications, July, 33(1), 36-48.

FERRIS RESEARCH (2005). « The Global Economic Impact of Spam ». Report. GARANCE, D. AND A. L. QUATRAVAUX (2005). « Mozilla Thunderbird ». Paris : Eyrolles.

GEORGIOU, E., M.D. DIKAIAKOSAND A. STASSOPOULOU (2008). « On the properties of spam-

advertised URL addresses ». Journal of Network and Computer Applications (formerly Journal of Microcomputer Applications), November, 31(4), 966-985.

GILMORE, B.L. (2008). « Spam Creates Costs, Hassles For Local Businesses ». Rutland Business Journal, October, 25 (10), 1-21.

GOLDSBOROUGH, R. (2008). « In search of a better spam solution ». Business Journal (Central New York), 6/27/2008, 22 (26), 22-24.

GOMES, L.H., C. CAZITA, J.M. ALMEIDA, V. ALMEIDA AND M.JR WAGNER (2007). « Workload

models of spam and legitimate e-mails ». Performance Evaluation, August, 64(7), 690-714.

GOODMAN, J., G.V. CORMACK AND D. HECKERMAN (2007). « Spam and the ongoing battle for the inbox ». Communications of the ACM, 50(2), 24-33.

GRIMES, G.A. (2007). « Compliance with the CAN-SPAM Act of 2003 ». Communications of the ACM, 50 (2), 56-62.

GRIMESA, G.A., M.G. HOUGHA AND M.L. SIGNORELLA (2007). « Email end users and spam :

relations of gender and age group to attitudes and actions ». Computers in Human Behavior, January, 23(1), 318-332.

HOANCA, B (2006). « How good are our weapons in the spam wars ? » IEEE Technology and Society Magazine, April, 25 (1), 22-30.

IRONPORT (2007). « Internet Security Trends for 2008 ». Report.

JIANG, E. (2007). « Detecting spam email by radial basis function networks ». International Journal of Knowledge-Based and Intelligent Engineering Systems, January, 11 (6), 409-418.

KIM, H.-J., M.J. KIM, Y. KIM AND H.C. JEONG (2009). « DEVS-Based modeling of VoIP spam

callers’ behavior for SPIT level calculation ». Simulation Modelling Practice & Theory, April, 17(4), 569-584.

KIM, Y., Y. PARK AND J.-D. LEE (2006). « Using stated-preference data to measure the inconvenience cost of spam among Korean E-mail users ». Applied Economics Letters, October, 13(12), 795-800.

KOLAN, P. AND R. DANTU (2007). « Socio-technical defense against voice spamming ». ACM Transactions on Autonomous and Adaptive Systems (TAAS), March, 2(1), p. 2.

KONOW, F. AND D. FROSCH-WILKE (2005). « The spam problem – consequences for ecommerce and a multi-faceted solution approach ». In Proceedings of IADIS International Conference e-Commerce 2005, Porto, Portugal, 187-194.

KOSTA, E., P. VALCKE AND D. STEVENS (2009). « Spam, spam, spam, spam ... Lovely spam ! Why is Bluespam different  ? » International Review of Law, Computers & Technology, March, 23(1-2), 89-97.

LEGAND, P. (2006). Sécuriser enfin son PC Réflexes et techniques contre les virus, spams, phishing, vols et pertes de données. Paris : Eyrolles.

LUEG, C.P. (2005). « From spam filtering to information retrieval and back : Seeking conceptual foundations for spam filtering ». In Proceedings of the American Society for Information Science and Technology, January, 42(1).

MARSONO, M.N., M.W. EL-KHARASHI AND F. GEBALI (2009). « Targeting spam control on middleboxes : Spam detection based on layer-3 e-mail content classification ». Computer Networks, April, 53(6), 835-848.

MENGJUN, X., H. YIN AND H. WANG (2008). « Thwarting E-mail Spam Laundering ». ACM Transactions on Information and System Security (TISSEC), December, 12(2), 1-32.

NUCLEUS RESEARCH, KNOWLEDGESTORM (2007). « Spam : The Repeat Offender ». Report H22,

<http://nucleusresearch.com/research/notes-and-reports/spam-the-repeat-offender>

PANIZA-FULLANA, A. AND M. PAYERAS-CAPELLÀ (2004). « Unsolicited commercial communications and direct marketing. E-mail and sms for marketing purposes ». In Proceedings of IADIS International Conference e-Commerce 2004, Lisbon, Portugal, 261-268.

PERA, M.S. AND Y. NG (2009). « SpamED : A spam E-mail detection approach based on phrase similarity ». Journal of the American Society for Information Science and Technology, February, 60(2), 393-409.

POINT24 (2008). « La nouvelle menace sur Internet  : les botnets ». Point24, rubrique multimédia, Saint-Paul Luxembourg Editeur, Luxembourg, 1 (4), 7 janvier, p. 6.

POSLUNS, J. (2004). Inside the SPAM Cartel « Trade Secrets from the Dark Side ». Rockland : Syngress.

Ramachandran, A. and N. Feamster (2006). « Understanding the network-level behavior of spammers ». ACM SIGCOMM Computer Communication Review and in Proceedings of SIGCOMM ‘06, 36 (4), 291-302.

RÈBRE, P. (2008). « Panorama annuel des menaces emails en France pour l’année 2007 ». Secuserve, Communiqué de presse, 4 janvier,

<www.secuserve.com/fr/pdf/presse/PANORAMA %20DES %20MENACES %20EMAILS

 %20en %20FRANCE %20-202007.htm ?Jpto=116&IdNode=293&Lang=FR>

RENAULT, S. (2008). « 96 % de spams dans votre boîte aux lettres ». 01net, 7 janvier,

<">www.01net.com/editorial/368808/96-pour-cent-de-spams-dans-votre-boite-aux-lettres>

RICHARD, G. AND A. DONCESCU (2008). « Spam filtering using Kolmogorov complexity analysis ». International Journal of Web and Grid Services, January, 4(1), 136-148.

ROOKSBY, E. (2007). « The ethical status of non-commercial spam ». Ethics and Information Technology, July, 9(2), 141-152.

SCHRYEN, G. (2007). « Anti-spam legislation : An analysis of laws and their effectiveness ».

Information & Communications Technology Law, March, 16(1), 17-32.

SIPIOR, J.C., B.T. WARD AND P.G. BONNER (2004). « Should spam be on the menu ? »

Communications of the ACM, 47 (6), 59-63.

SOPHOS (2007). « Classement trimestriel Sophos des douze principaux pays émetteurs de spam ». Sophos, 24 octobre,

<">www.sophos.fr/pressoffice/news/articles/2007/10/dirtydozoct07.html>

TANZILA, A. AND C. OPPENHEIM (2006). « Experiments to identify the causes of spam ». In

Aslib Proceedings, May, 58 (3), 156-178.

WEI, C.-P., H.-C. CHEN AND T.-H. CHENG (2008). « Effective spam filtering : A single-class learning and ensemble approach ». Decision Support Systems, June, 45(3), 491-503.

YU, B. AND Z.-B. XU (2008). « A comparative study for content-based dynamic spam classification using four machine learning algorithms ». Knowledge-Based Systems, May, 21(4), 355-362.

ZHELEVA, E., A. KOLCZ AND L. GETOOR (2008). « Trusting spam reporters : A reporter-based reputation system for email filtering ». ACM Transactions on Information Systems (TOIS), December, 27(1), 1-27.

ZORKADIS, V., D.A. KARRAS AND M. PANAYOTOU (2005). « Efficient information theoretic strategies for classifier combination, feature extraction and performance evaluation in improving false positives and false negatives for spam e-mail filtering ». Neural Networks, June, 18(5-6), 799-807.

Haut de page

Annexe

Etude pratique

Nous référant à quelques calculateurs en ligne plus ou moins pertinents et actualisés (www.antispam.fr, www.commtouch.com, etc.), nous avons conçu notre propre calculateur pour évaluer le coût annuel direct du spam supporté par les organisations. Nous exposons ci-dessous les exemples concrets de trois organisations ayant accepté de se prêter à l’évaluation en avril 2009, que nous avons respectivement estimées faiblement, moyennement et fortement exposées au spam, en fonction de leur présence sur Internet et du nombre de salariés connectés aux applications de messagerie électronique de l’organisation.

Exemple d’une organisation faiblement exposée au spam

Ce premier exemple met en scène une entreprise industrielle française du secteur de la métallurgie. Elle emploie 41 salariés, dont 11 administratifs utilisent quotidiennement l’application de messagerie électronique de l’entreprise (client Microsoft Outlook). La masse salariale déclarée pour ces salariés dans le bilan social de l’entreprise en 2008 s’élève à 603 700 euros, soit un coût annuel moyen par salarié de 54 882 euros. L’entreprise n’a pas de site Web dédié ; aucune adresse de messagerie n’est visible sur Internet. Un salarié connecté reçoit en moyenne 35 courriels par jour, dont 8 sont des messages de spam (i.e., 23 %). Les résultats affichés par notre calculateur en fonction de ces données sont illustrés par le tableau A1.

Tableau A1. Coût annuel direct du spam pour une organisation faiblement exposée

Le calculateur évalue le coût annuel direct du spam à près de 1 400 euros pour cette entreprise, soit l’équivalent du salaire net mensuel d’un salarié de l’entreprise, ou le tiers de son coût total mensuel pour l’entreprise4.

Exemple d’une organisation moyennement exposée au spam

Ce second exemple décrit la situation d’un centre commercial (shopping center) luxembourgeois comprenant un supermarché, quelques restaurants/café-bars, une galerie de boutiques spécialisées et banques, une stationservice, une station de lavage, un parking et une exploitation agricole. Le centre commercial emploie plus de deux cents salariés, dont une cinquantaine est connectée à l’application de messagerie électronique de l’organisation (client Microsoft Outlook). Le coût annuel moyen par salarié est d’environ 4 000 euros.

L’organisation dispose d’un site Web ne dévoilant aucune adresse électronique (contact par formulaire). Un salarié connecté reçoit en moyenne 25 courriels par jour, dont 20 sont des messages de spam (i.e., 80 %). Les résultats affichés par notre calculateur en fonction de ces données sont illustrés par le tableau A2.

Tableau A2. Coût annuel direct du spam pour une organisation moyennement exposée

Le calculateur évalue le coût annuel direct du spam à près de 14 000 euros pour cette organisation, soit l’équivalent du salaire net mensuel de sept salariés de l’organisation ou le coût total mensuel (théorique) de trois salariés et demi pour l’organisation5. Depuis notre étude, la direction du centre commercial a investi dans le logiciel professionnel de sécurité (protections antispam et autres) Kaspersky WorkSpace Security, de Kaspersky Lab. Une licence annuelle pour 50 postes a coûté à l’organisation 1 100 euros.

Avec ce logiciel, le volume de spam quotidien a pu être réduit à un ou deux messages non sollicités par jour au maximum ; le logiciel n’engendre pas de faux positifs (i.e., pas de courriels légitimes perdus) et se met à jour automatiquement (i.e., pas de frais supplémentaires induits, hormis la consommation ponctuelle de bande passante). Avec cette solution, l’organisation économise globalement 12 567 euros par an (13 680,99 1 100 13,68 coût de deux messages de spam par jour).

Exemple d’une organisation fortement exposée au spam

Ce troisième exemple décrit l’expérience d’une société de services informatiques luxembourgeoise, filiale d’un groupe international renommé sur le marché des produits et services en technologies de l’information. L’entité luxembourgeoise emploie 90 salariés, tous connectés quotidiennement à l’application de messagerie électronique de l’organisation (client Microsoft Outlook). La masse salariale mensuelle de l’organisation s’élève à 640 000 euros, soit un coût annuel moyen par salarié de 92 444 euros. L’organisation est présente sur Internet par l’intermédiaire d’un site Web laissant apparaître deux adresses électroniques de contact (informations générales et ressources humaines), racines à partir desquelles il est possible de reconstruire les adresses électroniques des salariés de l’organisation.

L’organisation n’est protégée par aucun logiciel antispam, cette initiative n’ayant pas été validée par la direction informatique du groupe (corporate) ; néanmoins l’équipe informatique locale a renforcé au mois de novembre 2008 l’application des contrôles dictés par la politique de sécurité du groupe (règles de gestion des contacts et de diffusion des adresses hors de l’organisation, restrictions sur les sites visités, sensibilisation des utilisateurs, etc.), et a optimisé la configuration des règles de filtrage de l’application de messagerie.

Ces contre-mesures « simples » et non technologiques ont amené le volume de spam d’un taux de 4/26 messages reçus (i.e., 15,4 %) en moyenne par utilisateur durant les dix premiers mois de l’année 2008 (avant application des contre-mesures) à un taux de 2/32 messages reçus (i.e., 6,25 %) en moyenne par utilisateur au mois d’avril 2009 (après application des contre-mesures et délai de latence). Les résultats affichés par notre calculateur en fonction de ces données respectives sont illustrés par les tableaux A3 et A4.

Tableau A3. Coût annuel direct du spam pour l’organisation avant application de contre-mesures non-techniques

Tableau A4. Coût annuel direct du spam pour l’organisation après application de contremesures non-techniques

Avant application des contre-mesures, le calculateur évalue le coût théorique annuel direct du spam à plus de 9 000 euros pour cette organisation, soit l’équivalent du coût total mensuel (théorique) d’environ un salarié et demi pour l’organisation6. Le fait que cette organisation ne reçoive pas plus de spam (15,4 % pour 90 salariés exposés, en comparaison avec 80 % de spam pour 50 salariés exposés dans l’organisation précédente située dans le même pays) s’explique notamment par l’application d’une stratégie de sécurité efficace déjà en place, qui a juste été renforcée par la suite.

Après application des contre-mesures, le calculateur évalue le coût théorique annuel direct du spam résultant à environ 4 500 euros pour cette organisation, soit la moitié du coût avant application des contre-mesures. La mise en place de ces pratiques managériales et de sécurité a donc réduit de moitié les coûts liés au spam dans cette organisation. Les managers locaux recherchent toujours de nouvelles approches pour améliorer la protection antispam sans recourir à l’installation d’une solution dédiée.

Conclusion de l’étude

Cette étude confirme et rappelle que l’application de « meilleures pratiques » managériales et de sécurité contribue grandement à la « tranquillité » d’une organisation et, dans le cas présent, à sa non-pollution par le spam ; les solutions techniques dédiées (ici, les logiciels antispam) sont un « plus » mais ne s’y substituent en aucun cas.

Haut de page

Notes

1 Arpanet (Advanced Research Projects Agency Network) a été développé aux États-Unis à partir de 1967 ; premier réseau à transfert de paquets, il est reconnu comme étant le prédécesseur d’Internet.

2 Charte définissant les règles de conduite et de politesse à adopter sur l’Internet.

3 Activité qui consiste à générer artificiellement, par l’intermédiaire d’une personne ou d’un programme informatique, des clics sur des publicités afin de dilapider rapidement le budget publicitaire d’un concurrent.

4 Selon la répartition des cotisations sociales en France, le coût moyen annuel indiqué comprenant le paiement des rétributions sur 13 mois.

5 Selon la répartition des cotisations sociales en France, le coût moyen annuel indiqué comprenant le paiement des rétributions sur 13 mois.

6 Selon la répartition des cotisations sociales au Luxembourg, le coût moyen annuel indiqué comprenant le paiement des rétributions sur 13 mois.

Haut de page

Pour citer cet article

Référence électronique

Nathalie Dagorn, « Sensibilisation aux coûts et conséquences du spam », Terminal [En ligne], 105 | 2010, mis en ligne le , consulté le 25 juin 2018. URL : http://journals.openedition.org/terminal/1897 ; DOI : 10.4000/terminal.1897

Haut de page

Auteur

Nathalie Dagorn

Department of Human Resources and Information Systems ICN Business School Nancy (France). Courriel : nathalie.dagorn@icn-groupe.fr

Haut de page

Droits d’auteur

tous droits réservés

Haut de page
  • Logo Télécom École de Management
  • Logo CREIS terminal
  • OpenEdition Journals