Pourquoi votre adresse e-mail intéresse autant les cybercriminels
À force de l’utiliser partout, l’adresse e-mail paraît presque anodine. Elle sert à recevoir une facture, créer un compte, réserver un billet ou récupérer un mot de passe oublié. Pour un cybercriminel, elle constitue une donnée précieuse.
Une adresse e-mail active et vérifiée représente une cible de choix, parfois revendue par milliers sur des forums spécialisés. Aux yeux du cybercriminel, elle n’est pas seulement un moyen de vous contacter : c’est un identifiant central, souvent relié à vos comptes, à vos achats, à vos démarches administratives et à une partie de votre vie numérique.
Sa valeur vient justement de cette concentration d’informations. Une adresse encore utilisée permet de lancer des campagnes de phishing plus crédibles, de tester des mots de passe volés, de retrouver d’autres comptes associés ou d’établir un profil exploitable pour de futures arnaques.
Votre adresse e-mail est bien plus qu’un simple moyen de contact
L’adresse e-mail est avant tout une donnée personnelle qui permet d’identifier directement ou indirectement quelqu’un. De nombreuses personnes utilisent d’ailleurs leur nom et prénom pour construire leur adresse, ce qui laisse déjà deviner leur identité.
S’il s’agit d’une adresse e-mail professionnelle, le nom de domaine peut indiquer l’employeur. Et parfois, la partie placée avant l’arobase peut contenir la fonction ou le service, comme « compta », « rh » ou « paie ».
Son autre intérêt tient à son rôle d’identifiant. Réseaux sociaux, boutiques e-commerce, plateformes de streaming, administration… quasiment tous les services en ligne utilisent une adresse e-mail pour reconnaître leur client. La messagerie sert également à confirmer les inscriptions et à réinitialiser les mots de passe. L’adresse se trouve ainsi au centre d’un ensemble de comptes qui, mis ensemble, peuvent révéler une part importante d'une identité numérique.
Un fraudeur peut alors dresser un profil plus crédible : identité probable, entreprise, centres d’intérêt, enseignes fréquentées ou services utilisés.
Cette capacité de recoupement explique pourquoi une adresse ancienne reste exploitable. Même si les données qui l’accompagnent datent, elle peut toujours servir à identifier le propriétaire, puis à préparer un message mieux ciblé.
Comment votre adresse tombe entre de mauvaises mains
Une adresse peut être exposée sans que celui qui l’utilise ait commis la moindre imprudence. L’un des scénarios courants est la violation de données d’un service auprès duquel il s’est inscrit. Si une base clients est copiée, rendue accessible par erreur ou piratée, des adresses peuvent circuler avec d’autres informations.
De nombreuses entreprises en France ont par exemple été victimes de violations de données ces dernières années. France Travail a ainsi signalé en mars 2024 une cyberattaque susceptible de concerner jusqu’à 43 millions de personnes. Free a également été touché par une attaque ayant entraîné l’exfiltration de données personnelles de clients.
D’autres adresses sont récupérées sur des sites publics, des annuaires, des réseaux sociaux ou des pages d’entreprise. Des formulaires trompeurs, de faux concours et des tentatives de phishing peuvent également servir à collecter une adresse valide, parfois avec un mot de passe ou un numéro de téléphone.
Les données obtenues par plusieurs voies sont ensuite agrégées. Une liste ancienne devient plus intéressante lorsqu’elle est enrichie avec des informations récentes
Que risquez-vous si votre adresse e-mail est aux mains d’un pirate ?
L’usage le plus courant reste le phishing. Le message imite une banque, un service de livraison, une administration ou une plateforme connue afin de provoquer un clic, le téléchargement d’un fichier ou la saisie d’informations, souvent après que la victime a été redirigée vers un domaine malveillant.
Lorsque le fraudeur possède des renseignements personnels supplémentaires, le message devient plus convaincant. Une fausse alerte concernant une enseigne réellement utilisée ou un faux échange professionnel reprenant le nom d’un responsable suscite moins de méfiance qu’un courrier générique.
Une autre attaque consiste à réutiliser des couples adresse-mot de passe issus d’une fuite sur différents sites. Cette pratique, souvent appelée « credential stuffing » ou « bourrage d’identifiants », se base sur une habitude répandue : employer le même mot de passe sur plusieurs comptes. Une fuite touchant un service secondaire peut alors permettre de compromettre un compte plus sensible si les mêmes identifiants y sont réutilisés.
Comment mieux se protéger ?
La protection se joue en amont et en aval. Il y a des précautions que vous pouvez prendre personnellement, en plus de vous faire aider par des outils spécialisés.
La mesure la plus élémentaire consiste à utiliser des mots de passe complexes et uniques. Un gestionnaire de mots de passe vous évite d’avoir à mémoriser une combinaison différente pour chaque service. Ce faisant, quand une adresse email est compromise, il devient plus difficile pour les pirates d’accéder à plusieurs de vos comptes.
L’authentification à double facteur est également importante quand elle est proposée. Elle ajoute une vérification en plus du mot de passe, ce qui peut empêcher par exemple un attaquant d’accéder à votre compte même lorsqu’il dispose de l’identifiant et du mot de passe.
L’utilisation des alias d’e-mail est aussi une bonne méthode de protection. Vous réservez votre adresse principale pour les mails importants, tandis qu’une adresse secondaire ou des alias servent aux achats, aux newsletters et inscriptions ponctuelles. Cette organisation limite le nombre de services reliés à un même identifiant.
Enfin, certains outils peuvent compléter les bonnes pratiques de sécurité. NetShield, intégré à Proton VPN, peut notamment filtrer la plupart des domaines malveillants avant même qu’ils ne se chargent, ce qui peut contribuer à bloquer certains sites de phishing, logiciels malveillants, traqueurs et publicités.
Proton propose par ailleurs un écosystème avec d’autres outils pratiques. C’est le cas de Proton Pass, un gestionnaire de mots de passe, Proton Mail, qui inclut des fonctionnalités anti-phishing et la surveillance des fuites de données, ou encore Proton Drive. Ce dernier est un espace de stockage cloud chiffré de bout en bout pour les documents sensibles.
