Nous allons regarder ci-après les Attaques par dictionnaire(s) dans le cadre du spam mais ce genre d'attaques s'applique à d'autres formes d'insécurité dont les attaques de mots de passe pour tenter de les découvrir.

Des utilitaires sont disponibles pour découvrir les adresses e-mail de ceux qui ne les publierais pas.

La technique est simple et l'intégralité des adresses e-mails probables de ce type, sur tout un pays et au delà, peut être découvert en quelques minutes.

Le premier réflexe du nouvel internaute, incité en ceci par les exemples donnés dans les modes d'emploi des inscriptions chez les FAI, est de se créer sa première boîte aux lettres en utilisant ses nom et prénom. On peut, sans se tromper, affirmer que la totalité des internautes français a au moins une adresse e-mail à son nom (prénom et patronyme) chez son FAI et probablement, une autre, également à son nom (prénom et patronyme) à @laposte.

Les spammeurs utilisent un moyen, au demeurant simple, pour découvrir toutes les adresses e-mail de cette nature : c'est l'attaque par dictionnaire.

Un logiciel va utiliser:

• un dictionnaire de tous les noms patronymiques d'un pays + quelques généralités
• un dictionnaire de tous les prénoms de ce même pays + quelques généralités
• un dictionnaire des domaines du pays plus les grands internationaux (Yahoo etc. ...)

Ceci nous donnerais, pour la France :

• Dictionnaire des patronymes
  Dupont
  Durand
  Martin
  etc. ...
  
  
• Dictionnaire des prénoms
  Pierre
  Paul
  Jacques
  etc. ...
  
  
• Dictionnaire des domaines
  free.fr
  wanadoo.fr
  9telecom.fr
  aol.fr
  aol.com
  chello.fr
  club-internet.fr
  colt-telecom.fr
  compuserve.fr
  compuserve.com
  interpc.fr
  magic.fr
  msn.fr
  ncnumericable.com
  numericable.fr
  noos.com
  noos.fr
  Chez
  Freesbee
  Infonie
  LibertySurf
  World Online
  Tiscali.fr
  worldcom.com
  fr.uu.net
  Yahoo France
  laposte.fr

A partir de ça, l'utilitaire va tester toutes les combinaisons d'adresses possibles.

dupont.pierre@free.fr
dupont.paul@free.fr
dupont.jacques@free.fr

pierre.dupont@free.fr
paul.dupont@free.fr
jacques.dupont@free.fr

durand.pierre@free.fr
durand.paul@free.fr
durand.jacques@free.fr

pierre.durand@free.fr
paul.durand@free.fr
jacques.durand@free.fr

martin.pierre@free.fr
martin.paul@free.fr
martin.jacques@free.fr

pierre.martin@free.fr
paul.martin@free.fr
jacques.martin@free.fr

dupont.pierre@wanadoo.fr
dupont.paul@wanadoo.fr
dupont.jacques@wanadoo.fr

pierre.dupont@wanadoo.fr
paul.dupont@wanadoo.fr
jacques.dupont@wanadoo.fr

durand.pierre@wanadoo.fr
durand.paul@wanadoo.fr
durand.jacques@wanadoo.fr

pierre.durand@wanadoo.fr
paul.durand@wanadoo.fr
jacques.durand@wanadoo.fr

martin.pierre@wanadoo.fr
martin.paul@wanadoo.fr
martin.jacques@wanadoo.fr

pierre.martin@wanadoo.fr
paul.martin@wanadoo.fr
jacques.martin@wanadoo.fr

etc. etc. etc. ...

Le test consiste à envoyer une demande à un DNS (Domain Name Serveur) du domaine testé pour, en gros, lui demander l'autorisation d'envoyer un message à une adresse donnée et le serveur va répondre aussitôt "Ok, vas-y" ou "Connaît pas". C'est aussi simple que ça. Toutes les combinaisons pour lesquelles les DNS ont répondu OK sont des adresses existantes et validées.

Se protéger :
Pour protéger son adresse e-mail de ce type de découverte, ne jamais utiliser votre patronyme (ni aucun autre) ni votre prénom (ni aucun autre) pour créer un compte e-mail sur Internet.

Nouvelle adresse du site Assiste.com depuis le 22 octobre 2012 : http://assiste.com