Typologie des abus par email

Face à tout signalement, la première tâche du service abus est la classification : de quel type d’abus s’agit-il, qui en est la victime, et qui en est l’acteur ? Ces trois réponses déterminent la procédure à suivre. Cet article est la couche de classification des articles de la base de connaissances consacrés aux abus : chaque entrée définit le type d’abus, nomme la victime, liste les signaux de détection visibles depuis le poste de l’ESP (et non depuis celui du serveur de réception), identifie l’acteur type et renvoie à l’article qui prend en charge la réponse. L’ordre de priorité du tri et la boucle de remédiation elle-même sont traités dans Abuse Desk Operations.

L’axe de l’acteur

Un même symptôme sortant (du spam qui s’échappe de vos IP) peut avoir quatre causes réellement différentes, et la réponse diffère pour chacune ; se tromper d’acteur est l’erreur de tri la plus coûteuse :

Ce qui distingue les deux premiers, c’est un historique d’utilisation légitime : le test compromis ou malveillant décrit dans Compromised Accounts. Analysez soigneusement les indicateurs avant de présumer du mécanisme : ce qui ressemble à une compromission est souvent un abus d’inscription à une offre d’essai, et inversement.

Tableau récapitulatif

Spam / UBE

Définition (Spamhaus) : Unsolicited Bulk Email (email non sollicité envoyé en masse) ; non sollicité signifie que le destinataire n’a pas accordé de permission vérifiable, en masse signifie que le message fait partie d’un ensemble plus large de messages substantiellement identiques. Les deux conditions doivent être réunies ; « le spam est une question de consentement, pas de contenu ». C’est la catégorie mère : la plupart des autres entrées de cette typologie sont du spam assorti d’une circonstance aggravante (tromperie, logiciel malveillant, fraude).

• Victime : les destinataires ; et, parce que les ESP sont jugés sur l’agrégat, tous les autres clients qui partagent les mêmes IP ou domaines (Multi-Tenant Architecture).
• Signaux côté ESP : pics du taux de plaintes FBL, adresses pièges touchées, hausse des rejets et des reports de remise chez les grands serveurs de réception, inscriptions sur des listes de blocage, profils de rebonds anormaux lors de l’import de listes. Seuils et mesures correctives : Indicateurs et valeurs de référence.
• Acteur : client intentionnel (listes achetées, pas de consentement) ou client négligent (hygiène de base de données dégradée). Distinguez-le d’une compromission grâce au comportement de référence.
• Réponse : boucle de remédiation du service abus (valider → notifier en citant les conditions d’utilisation → corriger → suspendre → résilier) ; prévention par la vérification des clients ; incidents déclenchés par des adresses pièges via Spam-Trap Incident Response.

Phishing (y compris le spear phishing et le BEC)

Définition : des emails qui se font passer pour un tiers de confiance afin de voler des identifiants, des données de paiement ou de l’argent. Le spear phishing vise des personnes précises avec des prétextes documentés. Le BEC (business email compromise, compromission de la messagerie en entreprise), selon l’IC3 du FBI, en est l’extrémité la plus sophistiquée : se faire passer pour un salarié, un fournisseur ou un dirigeant (par usurpation d’identité, par des domaines sosies ou via une boîte réellement compromise) pour déclencher des virements frauduleux ; l’APWG le définit comme l’usurpation de l’identité d’un tiers de confiance pour amener un salarié à envoyer de l’argent ou des actifs sensibles. Le BEC ne comporte souvent aucune URL ni pièce jointe malveillante (c’est de l’ingénierie sociale pure), ce qui met en échec les filtres de contenu.

• Victime : double : la marque usurpée (réputation, difficultés DMARC) et le destinataire escroqué.
• Signaux côté ESP : URL hostiles ou trompeuses dans le contenu des clients (correspondances SURBL PH, Spamhaus DBL ou HBL, voir Réputation des URL et empreintes de contenu) ; avis de retrait émis par des sociétés de protection des marques et des signaleurs de confiance ; côté hébergement, des kits de phishing sur les sites des clients (le Hosting Abuse BCP note que le phishing passe presque toujours par des comptes d’utilisateurs finaux compromis dotés de scripts obsolètes). Le BEC pur transite rarement par un ESP en volume (il est ciblé et à faible volume), mais les campagnes de phishing d’identifiants visant vos propres clients pour préparer une prise de contrôle de compte, si.
• Acteur : inscription frauduleuse (intentionnelle) ou compte ou site client compromis. Externe quand seule votre marque est imitée (voir l’entrée suivante).
• Réponse : P2 dans les niveaux de priorité du service abus (les activités malveillantes passent avant le spam) ; suspension immédiate du mécanisme d’envoi, puis bifurcation entre compte compromis et compte frauduleux. Le phishing visant vos clients pour récolter des identifiants de l’ESP alimente Compromised Accounts.

Usurpation de marque et domaines sosies

Définition : un attaquant externe envoie des emails au nom d’une marque sans toucher à son infrastructure : usurpation du domaine exact (From falsifié, mise en échec par une politique contraignante DMARC), ou domaines cousins ou sosies (fautes de frappe, termes ajoutés comme « -login », autres TLD), qui s’authentifient parfaitement en leur propre nom et passent donc sans difficulté l’obstacle DMARC.

• Victime : la marque et ses destinataires. L’ESP est aussi victime quand sa propre marque ou les domaines de ses clients sont imités pour hameçonner des identifiants.
• Signaux côté ESP : rapports agrégés DMARC des clients montrant des sources non autorisées (Rapports agrégés DMARC) ; inscriptions, au moment de la vérification, utilisant des domaines sosies de marques connues (un indice classique d’inscription frauduleuse, voir Customer Vetting) ; alertes de surveillance de la transparence des certificats et des enregistrements de domaines.
• Acteur : externe. La variante côté ESP est un client frauduleux qui enregistre le domaine sosie et vous demande de l’authentifier ; c’est pourquoi les contrôles d’authentification des domaines clients ont leur place dans l’intégration des nouveaux clients.
• Réponse : Protection de la marque : gestion des domaines prend en charge l’inventaire, l’enregistrement défensif, la surveillance et les procédures de retrait ; une politique DMARC contraignante traite le cas du domaine exact.

Snowshoeing (IP et domaine)

Définition (Spamhaus) : répartir finement l’émission de spam sur de nombreuses IP et de nombreux domaines pour diluer la réputation de chaque identité et rester sous les seuils des filtres : « des plages et des domaines à l’identification médiocre ou changeant fréquemment », envoyés depuis des IP que le spammeur utilise légitimement (et non depuis des botnets). La variante par domaine fait tourner de la même façon des domaines fraîchement enregistrés.

• Victime : les filtres et les serveurs de réception (contournement), plus l’ESP dont l’espace d’adresses IP et les outils de délégation de domaines sont accaparés, et les voisins, quand des inscriptions CSS touchent des plages partagées.
• Signaux côté ESP : lors de la vérification, des prospects qui demandent un nombre inhabituel d’IP ou de domaines d’envoi par rapport à leur volume, un WHOIS anonymisé, plusieurs ESP précédents, le moindre indice d’un changement d’infrastructure pour échapper à une inscription (un signal d’alerte explicite du Vetting BCP) ; en exploitation, des changements fréquents de domaine, des arrêts et reprises pour diluer les indicateurs entre plateformes, des inscriptions Spamhaus CSS (« de nombreux domaines changeant fréquemment constituent en soi le signal »).
• Acteur : client intentionnel, par définition : le snowshoeing est une architecture préméditée, jamais un accident.
• Réponse : Inscriptions Spamhaus en détail pour le fonctionnement des inscriptions et le retrait de liste ; résilier plutôt que corriger, car une opération de snowshoeing n’a aucune configuration légitime à restaurer. La prévention repose sur la vérification et sur le modèle de droits par paliers (les nouveaux comptes n’obtiennent pas de flottes d’IP ou de domaines).

Bombardement d’inscriptions (list bombing / subscription bombing)

Définition : un déni de service contre une boîte de réception : la soumission scriptée et massive de l’adresse de la victime dans des milliers de formulaires d’inscription non protégés, pour que l’avalanche d’emails légitimes de confirmation ou de bienvenue noie la boîte, souvent afin de masquer des notifications de fraude.

• Victime : le titulaire de la boîte ciblée. Victimes secondaires : les propriétaires des formulaires (empoisonnement des listes, soumission d’adresses pièges) et l’ESP (Spamhaus a inscrit des IP d’envoi d’ESP lors de la vague de 2016).
• Signaux côté ESP : anomalies de vitesse d’inscription sur toute la plateforme vers une même adresse ou un même domaine, à travers les formulaires de nombreux clients ; avalanches de confirmations par adresse ; apparition brutale, sans montée progressive.
• Acteur : attaquant externe ; les clients sont des intermédiaires négligents, via leurs formulaires non protégés.
• Réponse : Subscription Bombing & Signup-Form Abuse prend en charge toute la procédure : signatures de détection, obligation de CAPTCHA et de COI (double opt-in), suppression par adresse pendant les attaques, coordination entre acteurs du secteur.

Distribution de logiciels malveillants et de rançongiciels

Définition : des emails qui livrent des charges malveillantes (pièces jointes telles que des droppers ou des documents à macros, ou liens vers des sites d’exploitation ou de téléchargement), y compris la diffusion de rançongiciels et le recrutement de botnets.

• Victime : les machines et les organisations des destinataires ; la réputation de l’ESP s’effondre vite, car la distribution de logiciels malveillants déclenche les réactions les plus sévères des serveurs de réception et des listes de blocage.
• Signaux côté ESP : détections lors de l’analyse des pièces jointes et des logiciels malveillants sortants (le Web Messaging BCP : restreindre les types de fichiers téléversés et les analyser) ; correspondances SURBL MW ou Spamhaus HBL sur les domaines liés ; avis urgents de signaleurs de confiance et de CERT ; côté hébergement, dépôts de logiciels malveillants sur les sites des clients (P2 dans les niveaux de priorité de l’hébergement).
• Acteur : rarement l’intention d’un client d’ESP (les outils des ESP grand public sont un mauvais canal pour les logiciels malveillants : les pièces jointes sont limitées et le contenu est inspecté) ; en général un site ou un compte client compromis, ou une inscription frauduleuse qui abuse de l’envoi en offre gratuite.
• Réponse : P2 du service abus : arrêt immédiat des envois, sans délai de correction pour le trafic lui-même ; puis bifurcation entre compte compromis et compte frauduleux dans Compromised Accounts. Contexte de la détection côté contenu : Réputation des URL et empreintes de contenu.

Fraude 419 (avance de frais) et autres contenus frauduleux

Définition : des fraudes où le contenu lui-même constitue le délit : la fraude à l’avance de frais (« 419 », d’après l’article du code pénal nigérian qui réprime la fraude), qui promet des gains importants contre un paiement préalable ; les arnaques à la loterie ou à l’héritage ; les fraudes aux faux emplois et au trop-perçu ; les arnaques sentimentales progressives ; l’appel du « voyageur en détresse » envoyé depuis un compte piraté à ses propres contacts.

• Victime : les destinataires, financièrement. Le volume est généralement faible par rapport au spam en masse (UBE) : c’est le préjudice par message qui aggrave ce type d’abus.
• Signaux côté ESP : heuristiques de contenu et signatures de filtrage anciennes (ce genre existe depuis des décennies et reste stable sur le fond) ; texte des plaintes décrivant l’arnaque ; comptes à faible volume envoyant des messages de style personnel à des destinataires dispersés ; pour les variantes « voyageur en détresse », un compte établi qui écrit soudain à toute sa liste de contacts.
• Acteur : inscription frauduleuse intentionnelle, ou compte compromis pour les variantes personnalisées ; le Compromised User ID BCP classe les arnaques du voyageur en détresse dans la catégorie « identifiant permanent, exploitation personnalisée », qui exige toujours une intervention humaine.
• Réponse : tri par le service abus (les signalements de fraude peuvent aussi arriver par les canaux des forces de l’ordre, qui passent avant le spam dans la file d’attente) ; les comptes frauduleux suivent la voie de la résiliation sans ménagement.

Génération de backscatter

Définition : du trafic de rebonds mal dirigés : un serveur accepte un message portant une adresse de retour falsifiée, puis envoie le rebond à cette adresse innocente au lieu de rejeter le message pendant la session SMTP. En volume, ces rebonds constituent eux-mêmes du spam en masse (UBE) et font inscrire sur des listes de blocage l’opérateur qui génère les rebonds.

• Victime : les titulaires des adresses falsifiées (souvent les vrais utilisateurs d’une marque usurpée) ; puis l’ESP qui génère le backscatter, via les listes de blocage spécialisées dans le backscatter et l’atteinte à sa réputation.
• Signaux côté ESP : volume de DSN ou de réponses automatiques sortantes vers des adresses auxquelles vous n’avez jamais livré de messages ; plaintes du type « des rebonds pour des emails que je n’ai jamais envoyés » ; inscriptions sur des DNSBL spécialisées dans le backscatter.
• Acteur : aucun au sens habituel : c’est une erreur de configuration (accepter puis renvoyer un rebond, répondeurs automatiques non protégés, systèmes de challenge-response). Le spammeur externe qui falsifie les adresses de vos clients fournit le déclencheur mais ne touche jamais à vos systèmes.
• Réponse : Abuse Desk, backscatter prend en charge les contre-mesures (rejet pendant la session SMTP, BATV, suppression des rebonds conditionnée par SPF, nettoyage des files d’attente). Fonctionnement des rebonds : DSN.

Rejeu DKIM

Définition : un attaquant obtient un seul message légitimement signé DKIM (par exemple via une offre d’essai gratuite ou une confirmation d’inscription envoyée à une boîte qu’il contrôle) et le retransmet tel quel à des millions de destinataires ; chaque copie porte une signature valide, si bien que la réputation du domaine d= est dépensée pour des messages qu’il n’a jamais envoyés à ces destinataires.

• Victime : le domaine signataire : l’ESP lui-même quand les clients signent avec des domaines partagés de l’ESP, ou le propre domaine du client. Les destinataires sont les victimes secondaires du spam.
• Signaux côté ESP : l’anomalie caractéristique est une atteinte à la réputation sans trace d’envoi correspondante : plaintes et blocages pour des messages, des destinataires ou des volumes absents de vos journaux ; un même Message-ID observé à une échelle massive dans les retours des serveurs de réception ; effondrement soudain de la réputation du domaine sur un flux dont les propres indicateurs semblent sains.
• Acteur : externe. L’attaquant n’a besoin que de pouvoir recevoir un message signé ; une inscription à une offre gratuite suffit, et c’est pourquoi le rejeu est précisément une attaque contre les ESP qui proposent des essais en libre-service.
• Réponse : DKIM Replay Attacks prend en charge les contre-mesures et leurs compromis (x= court, sélecteurs et clés par flux, sursignature, contrôles des comptes d’essai) ; hygiène des clés dans DKIM Key Rotation. La vérification des inscriptions aux essais réduit l’accès de l’attaquant à des messages fraîchement signés (Customer Vetting).

Prise de contrôle de compte / envoi compromis

Définition : un compte client légitime entièrement ou partiellement sous contrôle non autorisé (le « compte utilisateur compromis » du Compromised User ID BCP), utilisé pour envoyer du spam, du phishing ou des fraudes en profitant de la réputation acquise par le client et de l’infrastructure de l’ESP.

• Victime : d’abord le client (réputation, données, contacts), puis tous les locataires qui partagent des IP ou des domaines, puis les destinataires.
• Signaux côté ESP : rupture de comportement par rapport à la référence propre au compte : connexions depuis de nouvelles zones géographiques ou déplacements impossibles, user-agents inconnus, changements soudains de volume ou d’ensemble de destinataires, nouvelles catégories de contenu, messages envoyés supprimés, modification du transfert ou du reply-to ; hausse brutale des plaintes FBL sur un compte historiquement sain ; renseignements issus de fuites d’identifiants mentionnant des adresses de clients.
• Acteur : client compromis, par définition. Le test de l’historique d’utilisation légitime distingue ce cas de l’abus d’inscription.
• Réponse : Compromised Accounts & Outbound Abuse prend en charge tout le cycle : sources de détection, contre-mesures pour les quatre types de compromission, réauthentification forcée, gestion des nouvelles compromissions. Le signalement arrive souvent par le service abus ; fonctionnement des FBL dans Complaint Feedback Loops.

Abus de clés d’API

Définition : des abus d’envoi réalisés avec des identifiants d’API volés ou divulgués plutôt que par une connexion interactive : clés publiées dans des dépôts publics, récoltées sur des serveurs clients compromis, ou hameçonnées. Un sous-type de prise de contrôle de compte avec son propre profil de détection, traité à part parce que le trafic d’API échappe aux signaux d’anomalie de connexion sur lesquels s’appuie l’essentiel de la détection des prises de contrôle. Note de classification : cette distinction relève de la pratique des professionnels des plateformes d’envoi (recommandations de sécurité des éditeurs sur la révocation des clés divulguées, analyse des secrets à la manière de GitHub), et non d’une catégorie formellement définie par le M3AAWG.

• Victime : le client titulaire de la clé ; l’infrastructure partagée.
• Signaux côté ESP : envois par API sans activité correspondante sur le tableau de bord ou en mode interactif ; nouvelles IP ou nouveaux ASN sources sur le chemin de l’API ; notifications d’analyse des secrets (clés divulguées dans des dépôts publics) ; une implémentation d’API nouvelle ou modifiée précédant immédiatement un pic d’adresses pièges touchées ou de plaintes, déclencheur explicite d’une nouvelle vérification dans Spam-Trap Incident Response ; profils de volume sans rapport avec l’historique de l’intégration.
• Acteur : client compromis (identifiant divulgué). À distinguer d’un client intentionnel qui script des abus avec sa propre clé : c’est alors du spam ordinaire transporté par API.
• Réponse : Compromised Accounts : c’est le modèle « identifiant temporaire ou permanent » appliqué aux identifiants machine : révoquer immédiatement la clé (jamais une simple réinitialisation du mot de passe, car la clé survit aux changements de mot de passe), émettre des clés de remplacement à portée limitée, auditer ce que la clé a touché. Prévention côté plateforme : droits par paliers pour les nouveaux comptes (accès restreint à l’API tant que l’ancienneté et la réputation n’en justifient pas davantage, voir Customer Vetting, fraud-prevention practices) et application des règles par locataire pour limiter les dégâts (Multi-Tenant Architecture).

Spam d’affiliation

Définition : du spam envoyé par des affiliés tiers qui font la promotion de l’offre d’un client (ou d’un annonceur) contre commission. L’annonceur peut être parfaitement légitime ; l’abus repose sur des affiliés dont personne n’a vérifié les listes ni les méthodes. Le Vetting BCP signale cette catégorie comme un vecteur d’abus historique ; les programmes gérés en interne sont plus risqués que ceux gérés par des réseaux tiers réputés.

• Victime : les destinataires (aucun consentement envers l’expéditeur réel), la marque de l’annonceur, et l’ESP si les emails des affiliés ou le trafic vers les pages promues par spam touchent son infrastructure (le « spamvertising sur le réseau » occupe sa propre ligne dans les niveaux de priorité des abus d’hébergement).
• Signaux côté ESP : réponses lors de la vérification reconnaissant des programmes d’affiliation ; contenu chargé de redirecteurs et de chaînes de suivi aboutissant à des offres tierces (Réputation des URL et empreintes de contenu, traitement des redirecteurs) ; taux de plaintes ou d’adresses pièges touchées très supérieurs à ceux des flux vers la liste interne du même client ; inscriptions Spamhaus DBL des domaines promus, même quand vos IP d’envoi restent propres.
• Acteur : client intentionnel (qui achète sciemment du trafic généré par du spam) ou client négligent (programme sans contrôle des affiliés). Les affiliés eux-mêmes sont extérieurs à la relation avec l’ESP, et c’est précisément ce vide de responsabilité qui rend la catégorie dangereuse.
• Réponse : Customer Vetting (examen renforcé lors de l’intégration, questions sur la gestion des programmes) ; Méthodes de consentement pour comprendre pourquoi les listes d’affiliés présentent des profils de plaintes proches de ceux des listes achetées ; application continue des règles par la boucle habituelle du service abus, le client répondant de ses affiliés.

Email froid / prospection sans consentement

Définition (M3AAWG, novembre 2025) : des emails non sollicités envoyés par des expéditeurs par ailleurs légitimes et identifiables, qui cherchent à nouer une relation d’affaires avec des destinataires sans relation, lien ni consentement préalable, et diffusés avec des tactiques trompeuses (petits lots aléatoires, domaines sosies ou jetables, authentification techniquement valide servant de camouflage) pour imiter des emails individuels. Position du M3AAWG : l’email froid livré de manière trompeuse est du spam.

• Victime : les destinataires ; et l’ESP, parce que les opérations d’email froid répartissent délibérément le volume entre comptes, sous-domaines et fournisseurs pour diluer la détection, consommant la réputation partagée tout en ressemblant structurellement à du snowshoeing à l’échelle des comptes.
• Signaux côté ESP : nombreux petits envois « personnalisés » reposant sur un même modèle ; listes B2B achetées ou collectées par scraping (comptes de rôle, aucune preuve d’opt-in) ; création rapide de domaines ou de sous-comptes ; intégrations d’outils d’envoi vendus pour des « séquences outbound » ; taux de plaintes modestes en valeur absolue mais extrêmes rapportés au volume.
• Acteur : client intentionnel, généralement convaincu de sa légitimité ; c’est pourquoi la position du M3AAWG existe : pour donner aux services abus une réponse de consensus du secteur à l’argument « mais ce n’est pas du spam, c’est de la prospection commerciale ».
• Réponse : Position du M3AAWG sur l’email froid prend en charge l’argumentaire sur la définition et les indicateurs de détection ; l’application des règles relève de la politique (interdiction dans la politique d’utilisation acceptable, filtrage lors de la vérification) via Customer Vetting et le service abus. Non-transférabilité du consentement : Méthodes de consentement.

Collecte d’adresses / scraping

Définition : la collecte d’adresses email sans consentement (exploration de sites web, scraping de plateformes et de fuites de données, génération d’adresses par dictionnaire) pour constituer ou vendre des listes. L’abus que rencontre un ESP se situe en aval : un client qui écrit à une liste collectée.

• Victime : les titulaires des adresses ; puis le client qui envoie et l’ESP, parce que les listes collectées sont denses en pièges vierges (placés précisément pour attraper les collecteurs), en adresses invalides et en comptes de rôle.
• Signaux côté ESP : à l’import de la liste, une densité de comptes de rôle, des répartitions de domaines invraisemblables, aucune métadonnée d’opt-in ; au premier envoi, des taux élevés de rebonds définitifs plus des pièges vierges touchés (la combinaison caractéristique ; les pièges vierges indiquent presque exclusivement des données collectées ou achetées) ; des clients incapables de produire une preuve d’opt-in pour des adresses contrôlées par sondage (la technique d’audit des incidents d’adresses pièges).
• Acteur : le collecteur est externe ; l’acteur qui pose problème à l’ESP est le client intentionnel ou négligent qui a acheté ou collecté la liste.
• Réponse : Méthodes de consentement (la collecte est tout en bas de l’échelle des méthodes d’acquisition ; interdite par toutes les politiques d’utilisation acceptable) ; Adresses pièges + Spam-Trap Incident Response pour l’incident qui la révèle ; CAN-SPAM aggrave les sanctions pour l’envoi à des listes collectées (CAN-SPAM).

Relais ouvert / abus de proxy

Définition : des tiers qui font transiter des emails par une infrastructure qui ne devrait pas les relayer : classiquement un serveur SMTP qui accepte les messages de n’importe qui vers n’importe qui (un relais ouvert), plus les équivalents modernes : proxys ouverts, scripts de messagerie web ou PHP-mailer piratés, et instances cloud mal configurées qui relaient sans authentification.

• Victime : tout l’écosystème de réception (le relais blanchit l’origine de l’abuseur), et l’opérateur du relais, dont les IP sont inscrites (inscriptions de type Spamhaus SBL/XBL ; la PBL existe précisément parce que l’espace d’adresses des utilisateurs finaux ne devrait pas émettre de messages directement vers les MX, voir Listes de blocage et Spamhaus).
• Signaux côté ESP : une catégorie surtout côté hébergement : des VPS ou serveurs dédiés de clients qui émettent des messages n’ayant jamais transité par le chemin de soumission de l’ESP ; anomalies d’analyse de trafic lors des autoanalyses du réseau ; inscriptions sur des listes de blocage des IP des hôtes clients ; plaintes attribuant des messages à une infrastructure client que le client ne reconnaît pas.
• Acteur : abuseur externe qui exploite l’erreur de configuration ou les logiciels non mis à jour d’un client négligent (le scénario central du Hosting Abuse BCP : les CMS et scripts obsolètes comme principale voie de compromission).
• Réponse : socle de prévention côté hébergement de Compromised Accounts (obligations contractuelles de mise à jour, WAF, adressage IPv6 par client pour des blocages chirurgicaux) ; boucle de remédiation du service abus ; fonctionnement du retrait de liste dans Inscriptions Spamhaus en détail.

SMS et messagerie : abus par ricochet

Définition : l’abus des fonctions de messagerie autres que l’email rattachées à des plateformes proches de l’email : passerelles web vers SMS, envois de cartes électroniques et d’invitations, fonctions « partager cet article », systèmes de notifications et de commentaires dans les applications, API REST de messagerie. Le Web Messaging BCP du M3AAWG les traite comme une seule surface d’attaque avec la messagerie web : toute fonction qui relaie un contenu fourni par l’utilisateur à un destinataire choisi par l’utilisateur sera scriptée pour du spam dès que le filtrage sur le chemin de l’email en fait le canal le moins coûteux.

• Victime : les destinataires sur l’autre canal (le spam par SMS coûte plus cher et est plus intrusif, message par message, que l’email ; les sanctions des opérateurs contre la plateforme sont sévères). Les relations de la plateforme avec les opérateurs et les agrégateurs jouent le rôle que jouent les listes de blocage pour l’email.
• Signaux côté ESP : anomalies de volume par fonction (messages envoyés, invitations émises) par rapport aux références de ressources auditées que prescrit le Web Messaging BCP ; schémas d’abus d’inscription alimentant la fonction ; charges utiles identiques sur de nombreux comptes ; messages courts chargés d’URL.
• Acteur : externe via des inscriptions scriptées, ou comptes compromis : même bifurcation d’acteurs que pour les abus par email ; le canal change, la procédure non.
• Réponse : Compromised Accounts : la défense à trois couches du Web Messaging BCP (accès à l’interface, filtrage du contenu, contrôles de diffusion) a été écrite exactement pour cette surface ; appliquer une limitation du débit sur « presque tous les services web qui acceptent ou relaient du contenu généré par les utilisateurs ». Les régimes de conformité côté opérateurs (par exemple l’enregistrement 10DLC aux États-Unis) sortent du périmètre email de cette base de connaissances ; l’entrée figure dans la typologie parce que l’abus arrive par les mêmes comptes et les mêmes formulaires que ceux que surveille le versant email.

Utiliser la typologie

Séquence de tri pour un signalement non classé : (1) identifiez le type d’abus à partir des signaux ci-dessus ; (2) placez-le dans les niveaux de priorité du service abus : les contenus pédopornographiques (CSAM) et les menaces passent avant tout, les activités malveillantes (phishing, logiciels malveillants) avant le spam ; (3) déterminez la catégorie d’acteur avant de choisir entre rétablissement et sanction : les égards dus à un client compromis sont exactement ceux qu’il faut refuser à un client frauduleux ; (4) transmettez à l’article responsable. Plusieurs types surviennent régulièrement ensemble (prise de contrôle de compte → phishing ; collecte d’adresses → spam → incident d’adresses pièges ; inscription frauduleuse → snowshoeing) : classez selon le mécanisme qu’il faut neutraliser, et non selon le contenu observé.