J'ai créé une adresse email piège et je l'ai donnée à 50 sites : Voici le carnage en 24h

C'est une question qu'on se pose tous, souvent en supprimant rageusement une énième newsletter pour des panneaux solaires alors qu'on habite en appartement : "Mais comment ont-ils eu mon adresse ?"

On accuse le destin. On accuse ce vieux concours Facebook de 2014. Mais rarement, on réalise la vitesse effarante à laquelle nos données circulent aujourd'hui.

Pour en avoir le cœur net, j'ai décidé de faire une expérience. Une expérience un peu masochiste, je vous l'accorde.

J'ai créé une adresse email vierge sur JunkMail : honeypot-experiment-01@junkmail.site. Et pendant une matinée, je l'ai jetée en pâture aux recoins les plus voraces du web.

Voici le récit de ces 24 heures en enfer.

Le Protocole : Comment j'ai ruiné cette boîte mail

Pour que ce test soit scientifique (et amusant), il fallait varier les sources. Je n'ai pas juste inscrit cette adresse sur des sites louches. J'ai ciblé quatre catégories de "suspects" très courants :

Les "Freebies" (15 sites) : Ces ebooks gratuits sur "Comment devenir riche en dropshipping" et ces livres blancs marketing qui demandent votre email pour télécharger un PDF de 3 pages.
Les Comparateurs (10 sites) : Assurances, crédits, voyages. Ces formulaires interminables qui promettent le meilleur prix.
Les Jeux Concours (15 sites) : Gagner un iPhone 15, un voyage aux Maldives, ou un an de croquettes pour chat.
Le E-commerce "Discount" (10 sites) : Ces boutiques qui vendent des câbles USB à 0,50€ et vous offrent -10% contre votre inscription à la newsletter.

Total : 50 inscriptions. Heure de début : 09h00. État de la boîte : 0 email. Le calme avant la tempête.

10h30 : La lune de miel (Le calme trompeur)

1h30 après mes inscriptions, le bilan est... décevant. Ou rassurant ?

Je n'ai reçu que 48 emails. Attendez, 48 ? Pour 50 inscriptions ? Oui. Deux sites n'ont même pas pris la peine de m'envoyer la confirmation promise.

À ce stade, tout est "légitime". Ce sont des emails de bienvenue : "Merci de votre inscription", "Votre ebook est là", "Confirmez votre adresse". C'est propre. C'est poli. Les filtres anti-spam de Gmail auraient laissé passer tout ça avec le sourire.

C'est là que le piège se referme. En cliquant sur "Confirmer", je viens de valider à ces 48 robots que :

Cette adresse existe.
Il y a un humain derrière qui clique.
Cet humain est "réceptif" (comprendre : naïf).

Ma valeur marchande vient de décupler.

14h00 : Les premiers craquements

Je reviens de déjeuner. Je rafraîchis ma boîte JunkMail. Compteur : 62 emails. (+14)

C'est là que ça devient intéressant. Je n'ai rien fait depuis ce matin. Je ne me suis inscrit nulle part ailleurs. Pourtant, j'ai 14 nouveaux messages.

Qui sont-ils ?

Une offre pour "Renégocier mon assurance emprunteur" (je n'ai pas d'emprunt).
Une "Opportunité unique" sur le Bitcoin.
Et curieusement, une newsletter sur le jardinage.

En analysant les en-têtes techniques de ces emails (le code source invisible), je remarque quelque chose de fascinant. L'email de jardinage provient de la même adresse IP d'envoi que l'un des sites de "Freebies" marketing de ce matin.

Conclusion : Ils partagent leurs bases de données. Ou pire, ils appartiennent à la même nébuleuse de sites créés uniquement pour récolter de la data. J'ai donné mon email à Site A, et Site B m'écrit déjà.

Temps de propagation : moins de 4 heures.

19h00 : L'inondation commence

La journée de travail se termine. Pas pour les spammeurs. Compteur : 115 emails. (+53)

Le barrage a cédé. Ce n'est plus du goutte-à-goutte, c'est un robinet ouvert.

Ce qui est frappant, c'est le changement de ton. On est passé du "Bienvenue" poli du matin à l'agression commerciale pure et dure.

"DERNIÈRE CHANCE !!!" (en rouge et majuscules)
"Votre colis est en attente" (classique arnaque au phishing)
"Leandre, vous avez oublié ceci..." (Non, je ne m'appelle pas Leandre sur cette adresse, mais ils essaient de deviner).

J'ai aussi reçu mes premiers spams en langues étrangères. De l'italien, du russe. Mon adresse a voyagé. Elle a probablement été listée sur un fichier d'échange ou vendue en temps réel sur une place de marché programmatique (RTB).

En 10 heures, mon adresse est devenue internationale.

Lendemain, 09h00 : Le bilan des 24 heures

Je me réveille, je prends mon café, et j'ouvre JunkMail avec une certaine appréhension.

Compteur final : 342 emails.

Laissez-moi répéter ça. J'ai donné mon adresse à 50 sites légitimes (ou presque). En 24 heures, j'ai reçu 342 sollicitations.

C'est un ratio de x7. Pour chaque inscription volontaire, j'ai reçu 7 emails indésirables en une seule journée. Imaginez ça sur une semaine. Sur un mois. Sur un an.

L'autopsie du cadavre

Si j'avais utilisé ma vraie adresse pro ou perso pour cette expérience :

Mon téléphone aurait vibré 342 fois.
J'aurais perdu environ 45 minutes à trier, supprimer, et me désinscrire (sans succès, car le lien de désinscription est souvent un leurre qui confirme que vous lisez).
Mon adresse serait désormais "brûlée". Marquée comme "active et réceptive" dans des centaines de bases de données. Je serais condamné à recevoir ce bruit de fond numérique pour toujours.

La morale de l'histoire

Cette expérience prouve une chose terrifiante : la réversibilité n'existe pas sur Internet.

Une fois que vous avez cliqué sur "Envoyer", vous perdez le contrôle. Votre donnée ne vous appartient plus. Elle est copiée, fragmentée, vendue, revendue, et stockée sur des serveurs dont vous ignorez l'existence.

La seule façon de gagner ce jeu, c'est de ne pas jouer avec vos vrais pions.

J'ai supprimé l'adresse honeypot-experiment-01@junkmail.site d'un clic. Les 342 emails ont disparu. Les futures relances rebondiront sur un mur. Les spammeurs gaspilleront leurs ressources à écrire à un fantôme.

Et moi ? Je peux retourner à ma vraie boîte mail. Elle est propre, silencieuse, et sûre.

Parce que pour le reste, j'ai JunkMail.

Vous aussi, faites l'expérience (sans les risques). Créez une adresse jetable maintenant et voyez qui tente de vous spammer.