Vialet.orgBlog personnel de Guillaume Vialet : RGPD, spam et vie privée2023-09-04T14:34:42+02:00Guillaume Vialeturn:md5:9535d818376275b9673fdcc78d8ab0ebDotclearLa recherche d'emploi face au spamurn:md5:55bcf760f1291f1f6ca00388b6ad7e742022-08-15T19:25:00+01:002022-08-15T22:15:33+01:00Guillaume VialetHall of Spamapecemploispamstrateoswebengineering <p>En matière de collecte illicite de données personnelles, il existe une catégorie dont nous avons déjà parlé à plusieurs reprises sur ce blog : <strong>la recherche d'emploi.</strong> Rappelez-vous notamment <a href="https://vialet.org/post/2014/01/Spamme-par-le-site-d-emploi-Qapa">du cas Qapa</a> (aujourd'hui repris par la société Addeco). Malgré la mise en œuvre du <abbr title="Règlement générale de protection des données">RGPD</abbr>, force est de constater que certaines entreprises prennent de sérieuses libertés avec nos données.</p>
<h3>Le cas WebEngineering</h3>
<p>Fin novembre 2021, et bien que n'ayant pas postulé en ligne sur le site <a href="https://www.webengineering.fr" hreflang="fr">www.webengineering.fr</a>, j'ai commencé à recevoir régulièrement des e-mail intitulés <strong>Dernières offres d 'emploi - Ingénieur ASP .NET</strong>, à un rythme d'environ un e-mail par semaine. Les e-mails reçus (<strong>32 à ce jour</strong>, le dernier en date du <strong>15/08/2022</strong>) portent tous sur cette même recherche d'ingénieur ASP .NET.</p>
<p><em><strong>Pour votre recherche d'emploi pensez à WebEngineering : n°1 sur l'emploi ingénieur.</strong></em></p>
<p>Dans ces e-mails, il est toujours indiqué que je reçois ces messages « <strong>dans le cadre de [ma] recherche d'emploi</strong> ». Il est aussi précisé ceci :</p>
<blockquote><p>Conformément à la loi “règlement général sur la protection des données à caractère personnel” du 25 mai 2018 (<em>sic</em>), vous bénéficiez d’un droit d’accès et de rectification aux informations qui vous concernent, que vous pouvez exercer en vous adressant à contact@webengineering.fr</p></blockquote>
<p>La page des mentions légales du site Web est hélas réduite au plus stricte minimum, voire non conforme au <abbr title="Règlement générale de protection des données">RGPD</abbr>. Elle nous indique des informations contradictoires avec le pied de page de l'e-mailing concernant l'adresse de la société (<strong>Bordeaux</strong> pour l'e-mailing, <strong>Paris</strong> pour le site Web). Un numéro de déclaration CNIL est présent (cette démarche n'est plus obligatoire depuis la mise en œuvre du <abbr title="Règlement générale de protection des données">RGPD</abbr>).</p>
<p><a href="https://vialet.org/public/Spam/WebEngineering/mentions_legales_WebEngineering.png" title="Mentions légales WebEngineering.fr, août 2022"><img src="https://vialet.org/public/Spam/WebEngineering/.mentions_legales_WebEngineering_m.png" alt="Mentions légales WebEngineering.fr, août 2022" style="display:table; margin:0 auto;" title="Mentions légales WebEngineering.fr, août 2022" /></a></p>
<p>Vérification faite, la déclaration existe, en voici l'extrait qui est aussi <a href="https://www.cnil.fr/fr/les-formalites-prealables-accomplies-aupres-de-la-cnil-avant-le-25-mai-2018" hreflang="fr" title="Site de la CNIL">consultable sur le site de la CNIL</a> :</p>
<pre>
Organisme déclarant (raison sociale) : ROY Alexandre
38 RUE DE LUBECK 75116 PARIS
Date d'enregistrement : 30/05/2012
Finalité du fichier déclaré : NS48 - Fichiers clients-prospects
Catégories et destinataires des données : n/a
Numéro de déclaration : 1591032 - v0
Type de déclaration : Déclaration simplifiée
</pre>
<p>La société est française, donc soumise aux obligations relatives à la protection des données personnelles lors de leur traitement.</p>
<p>M. ROY se déclare <strong>CEO</strong> de la société <em>WebEngineering</em>, selon <a href="https://www.linkedin.com/in/alexandre-roy-5123b916/" title="PAge profil LinkedIn">son profil LinkedIn</a>. D'après le registre du commerce et des sociétés, <em>WebEngineering</em> est enregistrée à Bordeaux et non pas Paris. Peut-être le siège a-t-il été <a href="https://www.societe.com/societe/webengineering-789733508.html" hreflang="fr" title="Fiche signalétique sur Societe.com">déplacé à Bordeau</a> ? Les mentions légales du site ne sont donc probablement pas mises à jour.</p>
<p>Sur le descriptif <em>LinkedIn</em> de la société, on peut lire notamment que :</p>
<blockquote><p>WebEngineering est le leader français pour l’emploi des ingénieurs : plus de 20 000 offres d’emploi ingénieurs, 300 000 CV d'ingénieur, 6 500 nouveaux CV / mois (plus grande communauté d'ingénieurs en recherche d'emploi en France), 80% des ingénieurs en recherche d'emploi en France utilisent WebEngineering, 1 000 recruteurs (industriels, sociétés de conseil en ingénierie, cabinets de recrutement...</p></blockquote>
<p>Deux autres noms de domaine sont en support de ces traitements :</p>
<ul>
<li><strong>service-engineer.fr</strong> pour le tracking des clics dans les e-mails,</li>
<li><strong>aplitrak.com</strong> pour celui des offres.</li>
</ul>
<p>Pour la partie offre aux entreprises, il faut se tourner vers le <a href="https://www.strateos.io/" hreflang="fr" title="Page d'accueil de Strateos">site Strateos</a> qui détaille les fonctionnalités, les tarifs proposées pour exploiter la CVthèque de WebEngineering. Le chiffre de 50 millions d'e-mails envoyés par an est évoqué, ainsi que des « profils » candidats. Étant référencé dans cette base d'envoi, suis-je aussi automatiquement fiché ?</p>
<p><a href="https://vialet.org/public/Spam/WebEngineering/strateos_chiffres.png" title="Extrait du site Strateos (chiffres), août 2022"><img src="https://vialet.org/public/Spam/WebEngineering/.strateos_chiffres_m.png" alt="Extrait du site Strateos (chiffres), août 2022" style="display:table; margin:0 auto;" title="Extrait du site Strateos (chiffres), août 2022" /></a></p>
<h3>Des données personnelles en provenance de l'Apec</h3>
<p>Bien souvent, les données personnelles confiées à un site d'annonces d'emploi (un « <em>job board</em> »), aussi connu soit-il, nous exposent quasi inévitablement aux spammeurs. Souvent occasionnel, parfois systématique, comme dans cet exemple.</p>
<p>Fin 2021, j'ai réactivé mon profil sur le site de l'<strong>Apec</strong> et débuté la consultation d'offres d'emploi. Ce site fonctionne dans les deux sens : pour faire simple, des offres sont publiées sur l'Apec et les recruteurs consultent votre profil. Vous pouvez soit postuler sur le site de l'Apec, et fournir votre profil Apec ou votre propre CV, soit directement sur le site du recruteur ou via un agrégateur (donc un tiers entre vous et le recruteur, c'est là que les choses se gâtent généralement). Les recruteurs peuvent eux aussi vous contacter après consultation de votre profil Apec. C'est ce que font nombre d'<abbr title="Entreprises de service du numérique">ESN</abbr>, par exemple.</p>
<p>Il y a donc dans le monde de la recherche d'emploi et de son <em>modèle économique</em>, pléthore d'acteurs, d'intermédiaires, qui parfois se rémunèrent qui au contrat (pourcentage ou honoraires), qui au profil fourni, qui au clic, qui à la publicité affichée...</p>
<p>Pour ma part, je ne connaissais pas <em>WebEngineering</em>, <strong>n'ayant jamais consulté le site avant d'être spammé</strong> et donc n'ayant jamais répondu à une offre d'emploi sur leur plateforme. D'ailleurs, je ne suis pas « ingénieur ASP .NET », je ne l'ai jamais été et je ne sais comment ce rapprochement a pu se faire, surtout sur <em>le site leader en France pour l'emploi des ingénieurs</em>. Et pour couronner le tout, les annoncent qui me sont proposées à travers cette alerte n'ont aucun lien avec le développement <abbr title="Active Server Pages">ASP</abbr> !</p>
<p>Quant aux données personnelles, <strong>elles proviennent du site de l'Apec</strong> : je suis en effet spammé sur l'adresse e-mail laissée sur ce site et qui apparaît aussi sur les candidatures que j'ai pu soumettre via cette plateforme. Il est donc évident que mon adresse circule en dehors du site de l'Apec, qu'elle a été captée par plusieurs acteurs du marché et utilisée, notamment par WebEngineering.</p>
<h4>Que dit le site de l'Apec à ce sujet ?</h4>
<blockquote><p>En publiant votre profil depuis votre compte Apec.fr, vous consentez à partager vos données à caractère personnel avec les recruteurs titulaires d'un compte sur apec.fr (entreprises qui recrutent, entreprises de travail temporaire et cabinets de recrutement ayant accès à la <em>Candidapec</em> (base de Profils, CV) qui peuvent consulter les données que vous aurez accepté de rendre visibles et vous contacter à des fins de mobilité professionnelle et de recrutement. <strong>Les recruteurs deviennent responsable des traitements</strong> de données contenues dans les Profils, CV, dès l'instant où ils procèdent à l'utilisation et à l'enregistrement de vos données dans leurs propres bases de données.</p></blockquote>
<p>Et :</p>
<blockquote><p>Toute utilisation des informations personnelles du candidat pour une finalité différente doit faire l'objet d'une nouvelle information préalablement à ce nouvel usage et d'un consentement spécifique.</p></blockquote>
<p>En d'autres termes, le recruteur ou son mandataire (site tiers) ont eux aussi <strong>des obligations à remplir</strong> en matière d'information, formalités et protection des données personnelles des candidats. Toute utilisation de ces données autre que le traitement d'une candidature, comme par exemple, l'abonnement à alerte d'emploi, nécessiterait d'obtenir le consentement de la personne concernée.</p>
<p>Il n'est pas non plus légalement possible de se faire passer pour un recruteur sur un <em>job board</em> afin de récupérer des CV ou coordonnées de demandeurs d'emploi <strong>afin d'alimenter par la suite son propre service de recherche d'emploi</strong>.</p>
<h3>Que dit le RGPD ?</h3>
<p>Il s'agit d'un cas classique de traitement illicite de données personnelles, <strong>dont la captation s'est faite de manière malhonnête</strong>, comme le souligne le Règlement. La finalité du traitement (l'envoi d'alertes d'emploi) n'a pas de base légale sans consentement. Ne sont pas non plus précisées les données traitées ni la durée de conservation (je reçois ces spams depuis plus de 9 mois).</p>
<h4>Les manquements de WebEngineering</h4>
<p>Quelles sont les informations que la société <em>WebEngineering</em> auraient du <ins>me communiquer</ins> préalablement au traitement de mes données personnelles ? Là encore, reprenons les informations <a href="https://www.apec.fr/infos-legales/infos-donnees-personnelles.html" hreflang="fr">publiées sur le site de l'Apec</a> :</p>
<ul>
<li>La source d'où proviennent ces données</li>
<li>L'identité et les coordonnées du responsable de traitement</li>
<li>Le cas échéant, les coordonnées du délégué à la protection des données (<abbr title="Délégué à la protection des données">DPD</abbr>/<abbr title="Data Protection Officer">DPO</abbr>)</li>
<li>La finalité du traitement</li>
<li>La base légale du traitement</li>
<li>Les destinataires des données</li>
<li>Un éventuel transfert de données vers un pays tiers à l'Union européenne et le dispositif juridique appliqué à ce transfert</li>
<li>La durée de conservation des informations</li>
<li>L'existence et les conditions d'exercice des droits applicables tels que ceux d'accès, de rectification ou l'effacement des données, ou une limitation du traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des données</li>
<li>La possibilité d'introduire une réclamation auprès de la CNIL</li>
<li>Le cas échéant, de l'existence d'une prise de décision automatisée, <strong>y compris un profilage</strong> (la presse parle d'IA et de Machine Learning concernant Strateos)</li>
</ul>Quand Deeluxe récupère des données clients de Julesurn:md5:00ecadba1b79c3b449182d993fcd623f2022-08-13T11:04:00+01:002022-09-03T15:00:50+01:00Guillaume VialetHall of Spamdeeluxejulesrgpdspam <p>Je ne connaissais pas <strong>Deeluxe</strong> avant d'être spammé par son service marketing. Cette enseigne de prêt-à-porter est créée en 2004 par les frères Jean-Michel et Laurent Sanchez. Deeluxe propose à la fois des boutiques en propre et, selon L'Observatoire de la franchise, <a href="https://www.observatoiredelafranchise.fr/interviews-deeluxe/grace-a-notre-adn-de-detaillants-nous-connaissons-parfaitement-les-besoins-et-les-attentes-du-commerce-de-detail-4594-6674.htm" hreflang="fr" title="Observatoire de la franchise">des boutiques en franchise</a>. Voilà pour le contexte du spammeur.</p>
<h3>De <em>Jules</em> à <em>Deeluxe</em></h3>
<p>Il y a quelques années, j'ai procédé à un achat tout ce qu'il y a de plus banal dans une boutique <strong>Jules</strong>, au centre commercial <strong>Auchan Soisy-sous-Montmorency</strong>. Au moment de régler, on me demande <strong>mon adresse e-mail</strong>, associée à mon compte client Jules. Jusqu'ici, rien de plus normal à une époque où ventes physiques et gestion de la relation client numérique sont intimement liées.</p>
<p>Pour celles et ceux qui ne seraient pas familiers de ce blog, j'utilise une adresse e-mail spécifique <ins>par service</ins>, qu'il soit hors ligne ou sur Internet.</p>
<h3>Utilisation possible du fichier clients Jules au profit de Deeluxe</h3>
<p>Mi-2021, la boutique Jules Auchan Soisy ferme définitivement ses portes. Le prêt-à-porter en France va mal en général et particulièrement pour la marque <a href="https://fr.wikipedia.org/wiki/Association_familiale_Mulliez" hreflang="fr" title="Association familiale Mulliez (Wikipédia)">du groupe Mulliez</a>. L'annonce est notamment faite <a href="https://www.facebook.com/JulesSoisysousMontmorency/" hreflang="fr" title="Page Facebook Jules Soisy-sous-Montmorency">sur la page Facebook</a> de la boutique.</p>
<p>Courant août 2021, l'emplacement de la boutique Jules est occupé par une nouvelle marque, <a href="https://www.deeluxe.fr/content/47-magasin-deeluxe-soisy" hreflang="fr" title="Page information boutique Deeluxe Soizy">Deeluxe</a>. Une <a href="https://www.facebook.com/profile.php?id=100071994678688" hreflang="fr" title="Page Facebook Deeluxe Auchan Soisy-sous-Montmorency">page Facebook est créée</a> à cette occasion.</p>
<p>Ce n'est d'ailleurs <a href="https://www.lunion.fr/id280992/article/2021-08-03/le-jules-depernay-remplace-par-deeluxe" hreflang="fr" title="Le Jules d’Épernay remplacé par Deeluxe">pas un cas isolé de reprise de point</a> de vente Jules par Deeluxe :</p>
<blockquote><p>L’équipe du magasin attend la fin des travaux pour reprendre le travail. - Mathis Menu Jusqu’au 31 juillet, la boutique de vêtements pour hommes Jules a liquidé sa marchandise avant de fermer définitivement ses portes. En travaux depuis le 2 août, le magasin s’apprête à afficher sa nouvelle enseigne : Deeluxe. <sup>[<a href="https://vialet.org/post/2022/08/13/Quand-Deeluxe-r%C3%A9cup%C3%A8re-des-donn%C3%A9es-clients-Jules#wiki-footnote-1" id="rev-wiki-footnote-1">1</a>]</sup></p></blockquote>
<p>Deux mois plus tard, le 27 octobre 2021, je reçois <strong>mon premier spam poussé par Deeluxe</strong> sur mon adresse e-mail réservée au compte client <strong>Jules</strong>. Ce spam m'invite à découvrir les nouvelles boutiques de la marque et à localiser le point de vente le plus proche de chez moi.</p>
<p>Ce détail semblerait indiquer que les données des clients <em>Jules</em> ne sont pas simplement restées au niveau du précédent point de vente physique, mais sont bien remontées au groupe, la société <strong>JL 26</strong> qui opère la marque <em>Deeluxe</em>. Les coordonnées parfois citées dans les e-mails ne sont notamment pas celles de la boutique Auchan mais du siège, situé à Marseille.</p>
<p>Entre octobre 2021 et juillet 2022, <em>Deeluxe</em> m'enverra <strong>70 messages</strong> (promotions, livraisons offertes, soldes, etc.), soit pratiquement <strong>7 e-mails « commerciaux » par mois</strong>. D'autres messages ont pu être bloqués ou filtrés. Il s'agit donc de l'hypothèse basse du nombre de spams poussés par la marque entre ces deux dates.</p>
<p>On s'étonnera qu'un concurrent de <em>Jules</em> puisse utiliser directement et impunément les données des clients d'une de ses anciennes boutiques !</p>
<h3>Que dit le <abbr title="Règlement général de protection des données (personnelles)">RGPD</abbr> dans ce cas de figure atypique ?</h3>
<h4>Quelles données personnelles sont utilisées ?</h4>
<p>Deeluxe, dans son traitement de données, fait usage du <strong>nom</strong>, du <strong>prénom</strong> et d'une <strong>adresse e-mail</strong>. Chaque envoi d'e-mail fait référence à ces informations dans le champ destinataire. Aucune ambiguïté sur le caractère personnel et nominatif de ces données (on les appelle des <abbr title="Données à caractère personnel">DCP</abbr>).</p>
<h4>Qui opère ce traitement ?</h4>
<p>Manifestement il s'agit de l'enseigne <em>Deeluxe</em>, c'est-à-dire la société <strong>JL 26</strong>. Jean-Michel SANCHEZ, en sa qualité de dirigeant, est donc responsable de ce traitement.</p>
<h4>Comment les données personnelles ont-elles été collectées ?</h4>
<p>Aucune indication de la nature de la collecte n'est précisée dans les 70 e-mailings. Il n'y a pas non plus de renvoi vers une page d'information et d'exercice des droits à destination de la personne faisant l'objet de ce traitement (si ce n'est un lien de désinscription, qui sous-entend que vous vous êtes au préalable inscrit ou que vous êtes client <em>Deeluxe</em>). Comme nous l'avons vu plus avant, les données ont été à l'origine collectées par Jules (Mulliez) avant d'être ensuite exploitée par Deeluxe (JL 26). Ce <strong>transfert entre deux responsables de traitement</strong>, sans en informer la personne concernée et sans qu'aucun consentement n'ait été demandé et encore moins obtenu, rend dès le départ le traitement illicite.</p>
<h4>Quelles sont les finalités de ce traitement et quel est son fondement ?</h4>
<p>Le fondement et les finalités ne sont pas non plus exposés dans les e-mails commerciaux ou sur une page de renvoi. <em>Deeluxe</em> effectue ici du démarchage commercial. Il a donc besoin du <strong>consentement des personnes visées</strong> par ces e-mails de prospection (consentement direct ou indirect, donné via un tiers qui agirait alors en co-responsable de traitement). Le fondement serait donc l'intérêt légitime, à condition que la mise en œuvre du traitement soit cohérente et licite de bout en bout.</p>
<h4>Quels articles ne seraient pas respectés ?</h4>
<p>Tout d'abord, <strong>Jules</strong> se rend coupable du point de vue du <abbr title="Règlement général de protection des données (personnelles)">RGPD</abbr>, de ne pas avoir su <strong>sécuriser les données personnelles collectées</strong> auprès de ses clients en boutique (accès illégitime aux données personnelles) (articles 5, 25, 32, éventuellement 33 et 34<sup>[<a href="https://vialet.org/post/2022/08/13/Quand-Deeluxe-r%C3%A9cup%C3%A8re-des-donn%C3%A9es-clients-Jules#wiki-footnote-2" id="rev-wiki-footnote-2">2</a>]</sup>)... Son fichier client s'est retrouvé pour une raison que j'ignore, entre les mains des repreneurs de la boutique Auchan de Soisy-sous-Montmorency (du groupe Mulliez, auquel appartient aussi Jules). Il ne semble pas y avoir de lien juridique entre les deux entités. Si Jules/Mulliez avait souhaité vendre son fichier client, il aurait fallu obtenir le consentement préalable de ses clients. Ce qui, dans mon cas personnel, n'a pas été fait.</p>
<p>Jules s'expose en théorie à une sanction maximale de 12 millions d'euros si la boutique était gérée directement par la marque et non par un franchisé.</p>
<p><strong>Deeluxe</strong>, pour sa part :</p>
<ol>
<li>Met en œuvre et maintient <strong>un traitement illicite</strong> au regard des articles 5 et 6 du <abbr title="Règlement général de protection des données (personnelles)">RGPD</abbr> (licéité contestée, pas collecte loyale, pas de consentement, pas de relation contractuelle...).</li>
<li>Ne fait pas <del>suffisamment</del> preuve de transparence (et pour cause) en matière d'informations, de communication et modalités d'exercice des droits de la personne (article 12).</li>
<li>En l'occurrence, la collecte n'ayant pas été du fait de la personne concernée, le responsable de traitement ne respecte pas non plus l'article 14 concernant les informations obligatoires à fournir soit dans l'e-mail, soit dans sur une page Web dédiée.</li>
</ol>
<h3>Un site qui n'est pas non plus en reste</h3>
<p>Enfin, la page des <a href="https://www.deeluxe.fr/content/2-mentions-legales" hreflang="fr" title="Page des mentions légales du site Deeluxe">mentions légales</a> du site Deeluxe laisse elle aussi grandement à désirer. Elle s'inscrit typiquement dans l'ère du « pré-RGPD » où seules quelques mentions relatives à la loi « Informatique et Libertés » prévalaient. Pour rappel, la mise en conformité avec le <abbr title="Règlement général de protection des données (personnelles)">RGPD</abbr> avait comme date butoir fin 2018.</p>
<p>D'ailleurs, le site Web de la marque Deeluxe ne respecte pas non plus la <em>Délibération n° 2020-091 du 17 septembre 2020</em> de la <a href="https://www.cnil.fr/sites/default/files/atoms/files/lignes_directrices_de_la_cnil_sur_les_cookies_et_autres_traceurs.pdf" hreflang="fr" title="Document PDF de la délibération de la CNIL">CNIL</a> en matière de consentement relatifs aux traceurs de suivi (les cookies). D'une part, il n'est pas possible de décliner le pistage en ligne de vos données personnelles lors de votre visite : le bandeau qui prévient le visiteur de l'utilisation de ces outils n'offre pas d'autre possibilité que celle d'accepter. La liste des cookies déposés, les données collectées, les durées de conservation, leur finalité respective... ne sont pas non plus affichées sur la page des mentions légales.</p>
<p>Plus grave : les cookies de pistage <strong>sont déjà déposés</strong> avant même que le consentement du visiteur soit recueilli. Et la liste des outils de suivi est relativement longue avec des acteurs peu recommandables en matière de respect de la vie privée : <strong>NetAffiliation</strong>, <strong>Facebook</strong>, <strong>Criteo</strong>, <strong>Affilae</strong> et <strong>Google</strong>. Google et Facebook sont d'ailleurs des cas particuliers, le traitement des données collectées se faisant hors Union européenne, sans réciprocité en matière de protection des données entre le droit européen et celui nord-américain.</p>
<div class="footnotes"><h4>Notes</h4>
<p>[<a href="https://vialet.org/post/2022/08/13/Quand-Deeluxe-r%C3%A9cup%C3%A8re-des-donn%C3%A9es-clients-Jules#rev-wiki-footnote-1" id="wiki-footnote-1">1</a>] <em><a href="https://www.lunion.fr/id280992/article/2021-08-03/le-jules-depernay-remplace-par-deeluxe" hreflang="fr" title="Le Jules d’Épernay remplacé par Deeluxe">Le Jules d’Épernay remplacé par Deeluxe</a></em> publié dans le journal l'Union</p>
<p>[<a href="https://vialet.org/post/2022/08/13/Quand-Deeluxe-r%C3%A9cup%C3%A8re-des-donn%C3%A9es-clients-Jules#rev-wiki-footnote-2" id="wiki-footnote-2">2</a>] Consulter le règlement général de protection des données sur <a href="https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679" hreflang="fr" title="RÈGLEMENT (UE) 2016/679 DU PARLEMENT EUROPÉEN ET DU CONSEIL">le site officiel EUR-Lex</a></p></div>
De Viadeo à Espace Directurn:md5:7bb648645ff4aab981617a68f5c302922021-01-26T19:39:00+01:002022-08-14T10:45:03+02:00Guillaume VialetHall of Spamccm benchmarkdassaultespace directfigaroovhsagespamtotaltouchvibesviadeo <p>Le fabuleux voyage des données personnelles de Viadeo à CCM Benchmark Group (Groupe Le Figaro), en passant par un mystérieux Espace Direct. Quand une inscription au sein d'un réseau social destiné notamment à faciliter le retour à l'emploi fait-elle de vous une cible <abbr title="business to business">B2B</abbr> ?</p>
<h3>Viadeo racheté par le Groupe Figaro...</h3>
<p><strong>Viadeo</strong> est un réseau social <em>professionnel</em> dédié, lors de sa création en 2003 (alors appelé Viaduc), à mettre en relation anciens élèves, étudiants, salariés, entrepreneurs, futurs employeurs... au sein d'un site Web sur un modèle équivalent au populaire <a href="https://fr.wikipedia.org/wiki/LinkedIn" hreflang="fr" title="Page Wikipédia de LinkedIn">LinkedIn</a> (aujourd'hui propriété de Microsoft).</p>
<p>Face à <a href="https://www.lesechos.fr/2016/12/viadeo-les-raisons-dun-echec-1113551" hreflang="fr" title="Viadeo, les raisons d'un échec">ses mauvais résultats</a> et placée en redressement judiciaire, la marque est rachetée 1,5 millions d'euros par le <strong>Groupe Le Figaro</strong> en décembre 2016.</p>
<p>Le Groupe Le Figaro est lui-même propriétaire de <strong>CCM Benchmark</strong> <a href="https://www.lefigaro.fr/medias/2015/10/29/20004-20151029ARTFIG00328--le-figaro-finalise-le-rachat-de-ccm-benchmark.php" hreflang="fr" title="Le Figaro finalise le rachat de CCM Benchmark">depuis 2015</a>, éditeur entre autres du <strong>Journal du Net</strong> (JDN). Le site Viadeo, après quelques années passées dans un état végétatif, est refondu courant 2020 et <a href="https://www.offremedia.com/le-groupe-figaro-rapproche-viadeo-du-jdn" hreflang="fr" title="Le groupe Figaro rapproche Viadeo du JDN">rattaché à la marque JDN</a>.</p>
<p>Cette refonte est présentée ainsi à ses membres :</p>
<p><q>Cher membre, Viadeo - votre réseau social français - évolue, et nous souhaitions partager avec vous cette nouvelle étape importante. Ce changement se traduit d'abord par une association avec la marque leader sur l'information Tech, le Journal du Net, et par un nouveau nom : Viadeo by JDN. Au-delà de ce changement de nom, notre objectif est de vous proposer un nouveau site et une nouvelle expérience recentrés autour de notre promesse initiale : vous permettre de constituer un réseau professionnel de qualité. Pour mieux répondre à vos attentes et vous aider à faire évoluer votre carrière, l'ensemble de nos services seront désormais entièrement gratuits !</q></p>
<h3>...devient Viadeo by JDN</h3>
<p><img src="https://vialet.org/public/Spam/espace-direct/.Logo_Viadeo.jpg_s.png" alt="Logotype du site Viadeo" style="float:left; margin: 0 1em 1em 0;" /></p>
<p>Devenu <strong>Viadeo by JDN</strong>, le site mise sur la gratuité de ses services. Ce qui hélas est souvent synonyme de commercialisation des données personnelles des utilisateurs et parfois sans leur consentement.</p>
<p>Et c'est précisément ce qui s'est produit pour ma part début janvier 2021 avec l'arrivée de premiers e-mails promotionnels indésirables.</p>
<p>Ces spams ont pour point commun un seul et unique expéditeur : le site <strong>espacebusiness.com</strong>, qui, après quelques recherches, se révèle être édité par la société <strong> Espace Direct</strong>.</p>
<p>Sur <a href="https://www.linkedin.com/in/philipperichalet/" hreflang="fr">le profil LinkedIn</a> :-) du co-fondateur d'Espace Direct, on apprend que « <strong>l'entreprise a rejoint en juillet 2018, la société CCM Benchmark, activité digitale du Groupe Figaro</strong> ».</p>
<p>Espace Direct indique aussi sur son site posséder <em>« 2,5 millions d'adresses emails qualifiées de dirigeants et de cadres opérationnels (et) le meilleur de la data b2b »</em>.</p>
<p>La réalité est un peu plus compliquée : Espace Direct serait <a href="http://www.espace-direct.com/espace-direct-mentions-legales/" hreflang="fr" title="Mentions légales du site Espace Direct">une marque déposée</a> par la société <strong>Touchvibes</strong> et non pas une société.</p>
<p>Touchvibes, de son côté, a bien été rachetée par CCM Benchmark <a href="https://www.lesechos.fr/2013/01/ccm-benchmark-acquiert-la-start-up-touchvibes-334067" hreflang="fr" title="CCM-Benchmark acquiert la start-up Touchvibes">mais en 2013</a> et s'appelle maintenant <a href="http://www.ccmperformance.com/mentions-legales/" hreflang="fr" title="Mentions légales de CCM PERFORMANCE">CCM PERFORMANCE</a>.</p>
<p>Pourtant, <strong>en se désabonnement des e-mailings d'EspaceBusiness.com</strong>, il est clairement indiqué sur le site de destination que l'éditeur est bien Espace Direct, SAS au capital de 40 000 €, immatriculée au RCS de Paris sous le n° B 394 248 280 et dont le siège social est situé 94 rue de Provence à Paris.</p>
<p>Cependant, <strong>cette société n'existe plus</strong> depuis le 18 janvier 2019. La confusion est totale. Voici des extraits des mentions légales :</p>
<p><strong>EspaceBusiness.com :</strong> (radiée au RCS le 18/01/2019)</p>
<pre>
Le site EspaceBusiness.com est édité et géré par la société Espace Direct, SAS au capital de 40 000 €, immatriculée au RCS de Paris sous le n° B 394 248 280 et dont le siège social est situé 94 rue de Provence - 75009 Paris.
</pre>
<p>Sur le site <strong>Espace Direct :</strong> (immatriculée au RCS le 04/07/2013)</p>
<pre>
TOUCHVIBES
SAS au capital de 15 769 euros
Siège social : 94 rue de Provence – 75009 Paris
RCS Paris : B 509 247 912
SIREN : 509 247 912 00066
NAF : 7022Z
</pre>
<p>Sur le site <strong>CCM PERFORMANCE :</strong> (établissement fermé le 03/01/2017)</p>
<pre>
CCM PERFORMANCE (TOUCHVIBES SAS)
Siège social : 94 RUE DE PROVENCE, 75009 PARIS
Société Anonyme au capital de 15 375€
522 869 593 RCS Paris
Siret : 52286959300064
</pre>
<p>Sur la <a href="https://www.facebook.com/ccmperformance/" hreflang="fr" title="Page Facebook de CCM Peformance">page Facebook dédiée à CCM Performance</a>, on peut lire notamment : <em>Crée en Décembre 2016, fruit de la fusion entre CCM Data & Marketing, et CCM Business, CCM Performance est la nouvelle entité entièrement dédiée au marketing à la performance appartenant au group Figaro/CCM Benchmark.</em></p>
<p>Qui est donc le porteur juridique de ce traitement ?</p>
<h4>« La société CCM Benchmark Group respecte votre droit à la vie privée »</h4>
<p>En résumé, le site <strong>Viadeo by JDN</strong> transfert à travers sa maison-mère <strong>CCM Benchmark</strong> les données personnelles de ses membres (la liste des données transmises reste introuvable) à une société du groupe, TOUCHVIBES SAS (radiée au RCS selon ses propres mentions légales), qui ensuite les commercialise auprès de ses clients.</p>
<p>CCM Benchmark appartient au <strong>Groupe Figaro</strong>, lui-même propriété du <strong>Groupe Dassault</strong>.</p>
<h3>Que dit le RGPD ?</h3>
<p>Le site <em>Viadeo</em> sur lequel vous vous étiez inscrit, n'existe plus. Il a été refondu en 2020 à travers la nouvelle marque <strong>Viadeo by JDN</strong>.</p>
<p>Cependant, CCM Benchmark Group, son nouvel éditeur et responsable de traitement, a conservé données personnelles et paramètres (préférences, confidentialité, vie privée, etc.).</p>
<p>Il précise sur la page dédiée à sa <a href="http://www.ccmbenchmark.com/donnees-personnelles?origin=viadeo.journaldunet.com" hreflang="fr">politique de confidentialité</a>, que :</p>
<p><q>...sous réserve de votre consentement lorsqu'il est requis ou sauf autres options de votre part, les données personnelles concernant les abonnées et titulaires de comptes Viadeo (…) sont partagées entre les entités du <strong>Groupe Figaro</strong><sup>[<a href="https://vialet.org/post/2021/01/26/De-Viadeo-a-Espace-Direct#wiki-footnote-1" id="rev-wiki-footnote-1">1</a>]</sup> à des fins de gestion centralisée de la relation client, d'étude, analyse et segmentation, ainsi qu'à des fins de prospection commerciale.</q></p>
<p>Ainsi, nos données personnelles sont transmises à des fins commerciales <strong>à d'autres entités du Groupe Figaro</strong> (qui devient co-responsable de traitement avec CCM Benchmark Group, éditeur du site) sans qu'il soit possible de déterminer lesquelles ni de mesurer l'ampleur et la fréquence de ces transferts.</p>
<p>Les mentions légales sont donc ici lacunaires du point de vue du <abbr title="Règlement général de protection des données">RGPD</abbr>.</p>
<p>En matière de prospection électronique <abbr title="business to business">B2B</abbr>, <a href="https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique" hreflang="fr" title="La prospection commerciale par courrier électronique">que nous dit la CNIL</a> ? En admettant que Viadeo soit un annuaire <abbr title="business to business">B2B</abbr>, ce qui est discutable, la personne doit, au moment de la collecte de son adresse de messagerie :</p>
<ul>
<li>être informée que son adresse électronique sera utilisée à des fins de prospection,</li>
<li>être en mesure de s'opposer à cette utilisation de manière simple et gratuite,</li>
<li>l'objet de la sollicitation doit être en rapport avec la profession de la personne démarchée (par exemple nous dit la CNIL : un message présentant les mérites d'un logiciel à paul.toto@nomdelasociété, directeur informatique).</li>
</ul>
<p>Sur la page d'inscription du nouveau site <strong>Viadeo by JDN</strong>, un paragraphe écrit en petits caractères nous précise que :</p>
<p><q>(Les) informations recueillies ci-dessus sont destinées à CCM Benchmark Group pour assurer la création et la gestion de votre compte, ainsi que des abonnements et autres services souscrits. Elles seront également utilisées <strong>sous réserve des options souscrites</strong>, à des fins de ciblage publicitaire et prospection commerciale au sein du Groupe Le Figaro, ainsi qu'avec nos partenaires commerciaux.<a href="https://www.ccmperformance.com/privacy/" hreflang="fr" title="Mentions d'information CCM PERFORMANCE"></a></q></p>
<p>La prospection s'étend ici à des partenaires commerciaux qui ne sont pas non plus identifiés dans les mentions d'information<sup>[<a href="https://vialet.org/post/2021/01/26/De-Viadeo-a-Espace-Direct#wiki-footnote-2" id="rev-wiki-footnote-2">2</a>]</sup>. Cette prospection semble cependant encadrée par <strong>la présence d'une case à cocher</strong> dans le formulaire d'inscription, que l'on retrouve dans l'espace utilisateur.</p>
<p>Ayant déjà réglé par le passé - mais sur l'ancien site - mes « options en matière de prospection » comme signifié sur la page d'inscription et n'ayant pas reçu de spam avant janvier 2021, que s'est-il passé lors de la refonte de Viadeo ?</p>
<p>Soit mes choix ne sont plus respectés, soit le responsable de traitement a pris le parti de considérer que l'<abbr title="option de retrait du consentement">opt-out</abbr> s'appliquait ici.</p>
<h3>Vous recevez ce message car vous êtes référencé dans la base de données Espace Direct</h3>
<p>Attardons-nous maintenant sur les e-mails commerciaux qui m'ont été envoyés.</p>
<p>Comme je l'écrivais plus haut, ces e-mails sont routés via une adresse et des <abbr title="Uniform Resource Locator">URL</abbr> de tracking détenues par EspaceBusiness.com, propriété de la société <del>Espace Direct</del> Touchvibes SAS. C'est cependant le nom d'une marque qui est utilisé en signature de l'e-mail (Espace Direct), en plus du nom de la société cliente pour le compte de laquelle la communication est émise (c'est d'ailleurs une obligation légale).</p>
<blockquote><p>Notre objectif est de réduire le volume de publicités que vous recevez pour ne sélectionner que celles que (<em>sic</em>) vous intéressent réellement (CCM PERFORMANCE).</p></blockquote>
<p>Il n'est jamais fait mention de Viadeo/CCM Benchmark Group ou de CCM PERFORMANCE/Touchvibes, c'est-à-dire les responsables de traitement qui ont pourtant la responsabilité de la collecte, du transfert et du traitement des <abbr title="Données à caractère personnel">DCP</abbr>. Dès lors, l'internaute ne peut agir directement à la source mais uniquement se « désabonner » des pourriels envoyés par un « Espace Direct » sur un site maintenu par une société qui n'existe plus.</p>
<p>Entre le 6 janvier et le 28 janvier, Espace Direct m'a adressé <strong>20 e-mails commerciaux</strong>. Soit près d'un spam par jour.</p>
<p>Voici la liste des messages poussés (souvent à l'identique) :</p>
<ul>
<li><strong>Sage France</strong> (8 spams) pour le téléchargement d'un livre blanc</li>
<li><strong>Bodet Software</strong> (3 spams) concernant le contrôle et filtrage des accès aux locaux d'entreprise</li>
<li><strong>Total Direct Energie</strong> (1 spam) concernant la fin des tarifs pour la société <strong>Almavia</strong> (sic)</li>
<li><strong>Verizon Connect</strong> (6 spams) afin de faire la promotion d'un logiciel de gestion de flotte de véhicules</li>
<li><strong>Perhentia</strong> (1 spam), une agence de communication</li>
<li><strong>NEOMA Business School</strong> (1 spam) promotion de formations</li>
</ul>
<p>Un responsable marketing de Bodet Sotftware témoignage d'ailleurs <a href="http://www.espace-direct.com/nos-clients-b2b/" hreflang="fr" title="Site Espace Direct">sur le site commercial</a> d'Espace Direct :</p>
<blockquote><p>Espace Direct a toujours su anticiper nos besoins et nos attentes, l'équipe est une véritable force de proposition. Les campagnes sont d'une qualité irréprochable et je sais que je peux m'appuyer à 100% sur leur expertise pour sélectionner les meilleurs fichiers.</p></blockquote>
<p>La suppression de mon compte <strong>Viadeo by JDN</strong> le 14 janvier n'a manifestement pas arrêté l'envoi de spams, malgré la promesse d'Espace Direct <a href="http://www.espace-direct.com/base-de-donnees-btob/" hreflang="fr" title="Page du site Espace Direct">de mettre à jour quotidiennement</a> sa base de prospection.</p>
<p>Plus grave, le spam poussé au profit de <strong>Total Direct Energie</strong> fait spécifiquement référence à un ancien employeur que j'ai quitté il y a 3 ans et s'adresse directement à cette société et non pas à moi, à travers mes données personnelles.</p>
<p>Ce traitement est donc une exploitation <strong>illicite et potentiellement dangereuse</strong> du fait de l'utilisation erronée des données collectées. Enfin, il est important de noter qu'Espace Direct est <a href="https://www.sncd.org/membres/espace-direct/" hreflang="fr" title="Site du SNCD">membre du SNCD</a> et que les e-mails sont routés par <strong>OVHcloud</strong> (qui a été plusieurs fois alertée).</p>
<h3>Demande d'accès à mes données personnelles</h3>
<p>Extrait des mentions d'information de <a href="http://www.ccmbenchmark.com/donnees-personnelles?origin=viadeo.journaldunet.com" hreflang="fr">Viadeo by JDN</a> :</p>
<p><q>Sous réserve de votre consentement lorsqu'il est requis, elles peuvent également être partagées avec les autres entités du Groupe Le Figaro et nos partenaires commerciaux, afin de nous permettre de vous faire bénéficier d’offres promotionnelles, y compris de tiers, ainsi qu’à des fins de publicité le plus souvent adaptées à vos centres d’intérêt et/ou votre localisation. </q></p>
<p>Étant donné que le site Viadeo (by JDN) a transmis, sans m'en informer, mes données personnelles potentiellement à l'ensemble du Groupe Figaro comme stipulé ci-dessus, mais qu'il n'est pas fait mention de l'existence d'un <abbr title="Délégué à la protection des données">DPO</abbr> pour le groupe CCM Benchmark (qui est pourtant le responsable de traitement de Viadeo by JDN) voire du Figaro, je me suis tourné vers les contacts <abbr title="Délégué à la protection des données">DPO</abbr> d'Espace Direct et de Touchvibes alias CCM PERFORMANCE. Le Figaro a lui-aussi été averti.</p>
<p>J'attends maintenant l'envoi de la copie intégrale de mes données personnelles, la finalité et la base légale du traitement ainsi que la liste de l'ensemble des filiales ou partenaires du CCM Benchmark Group à qui mes données auraient été transmises.</p>
<h3>Sanctions RGPD</h3>
<p>Si l'on se fie au chiffre d'affaires de Touchvibes (ceux de 2011), cette société risque 73 268,00 € d'amende. CCM Benchmark Group (2017) risque quant à elle 1,5 millions d'euros et le Groupe Figaro (2017) 22 millions d'euros.</p>
<div class="mise-a-jour" id="mise-a-jour-01">
<p><strong>Mise à jour au 02/02/2021</strong> : malgré le fait que l'adresse e-mail indiquée sur le site de CCP Performance semble fausse, j'ai très rapidement reçu une réponse de leur DPO m'indiquant que, « dans un objectif purement professionnel, on m'avait proposé les nouveaux services de leurs partenaires ».</p>
<p>Ensuite, les données fournies par le DPO m'ont donné le vertige : en réalité, CCM Performance cible la société <strong>Almavia</strong> dont elle m'a fourni le SIRET, à travers mon adresse personnelle déposée sur le site Viadeo by JDN.</p>
<p>Enfin, toujours selon leur DPO, j'aurais reçu le 18 septembre 2020 un e-mail m'informant que mon adresse e-mail personnelle était entrée dans la base de données de CCM Performance et que je pouvais m'y opposer (principe de l'<em>opt-out</em>).</p>
</div>
<div class="footnotes"><h4>Notes</h4>
<p>[<a href="https://vialet.org/post/2021/01/26/De-Viadeo-a-Espace-Direct#rev-wiki-footnote-1" id="wiki-footnote-1">1</a>] La liste de ces entités est disponible sur la page <a href="https://groupe.lefigaro.fr/" hreflang="fr">groupe.lefigaro.fr</a></p>
<p>[<a href="https://vialet.org/post/2021/01/26/De-Viadeo-a-Espace-Direct#rev-wiki-footnote-2" id="wiki-footnote-2">2</a>] Il faut aller consulter la page de la politique de confidentialité de la société CCM PERFORMANCE afin de trouver la liste de ces fameux partenaires.</p></div>
Vers plus de protection de nos donnéesurn:md5:bb9a0747be30740f304cc64d2df50da82015-08-06T17:23:00+02:002015-08-06T21:43:42+02:00Guillaume VialetInternetcnildroitinternetlcenpacitelspam<p>Deux annonces sont tombées coup sur coup qui vont dans le sens d'un renforcement de la protection des données personnelles : la gratuité de la liste rouge signant la fin de <em>Pacitel</em> et un renforcement de la loi Informatique et libertés.</p> <p><a href="https://vialet.org/public/stock-image/keyboard_vieprivee.jpg" title="Vie privée"><img src="https://vialet.org/public/stock-image/.keyboard_vieprivee_m.jpg" alt="Vie privée" style="display:block; margin:0 auto;" title="Vie privée" /></a></p>
<p>Le blog <a href="http://www.lemonde.fr/pixels/article/2015/06/18/le-gouvernement-presente-sa-strategie-numerique-pour-la-france_4657207_4408996.html" hreflang="fr">Pixel</a> a relayé les annonces faites le 18 juin dernier par le gouvernement de <a href="https://fr.wikipedia.org/wiki/Manuel_Valls" hreflang="fr">Manuel Valls</a> concernant de nouvelles mesures s'appliquant au numérique français.</p>
<p>Cette <strong>nouvelle stratégie numérique</strong> aura notamment un impact dans le domaine de la protection des données personnelles :</p>
<p><q><strong>Inscription de la « neutralité du Net » dans la loi</strong> sans attendre l’issue des négociations à Bruxelles et après une période de concertation.<br /> <br />Inspection par les services de la concurrence des conditions générales d’utilisation des grands sites opérant en France.<br /> <br /><strong>Modification de la loi sur les données personnelles</strong> avant les nouveaux textes européens et instauration de la possibilité de transporter ses données personnelles d’un service à un autre.<br /> <br />Lancement de travaux avec le Conseil de l’Europe pour établir une <strong>charte des droits du citoyen et du numérique</strong> (source <em>Pixel/LeMonde.fr</em>).</q></p>
<p>Outre le fait que la neutralité du Net, notion essentielle mais néanmoins sujette à débat en France, sera inscrite dans la loi et que certaines <abbr title="Conditions générales d'utilisation">CGU</abbr> de grands sites seront inspectés probablement par la <abbr title="Commission nationale de l'informatique et des libertés">CNIL</abbr>, c'est bien la modification de la loi sur les données personnelles et la charte du citoyen et du numérique qui est remarquable.</p>
<h3>Renforcement de la loi n° 78-17 du 6 janvier 1978 et de la LCEN</h3>
<p><a href="https://www.youtube.com/watch?v=01gGuXRKH5I" hreflang="fr" title="Ministre, Loi renseignement, Stratégie européenne">Interpellée par Benjamin Bayart</a> de <a href="https://fr.wikipedia.org/wiki/French_Data_Network" hreflang="fr">French Data Network</a> sur l'impossibilité d'exercer son droit d'accès à ses propres données personnelles, <strong>Axelle Lemaire</strong>, secrétaire d’État chargée du Numérique, aura peut-être écouté les détracteurs d'une législation qui a besoin d'un sérieux rafraîchissement.</p>
<p>Hélas, les atermoiements autour de la proposition de loi européenne n'en finissent plus - débats, harmonisation et lobbies obliges - repoussant d'année en année le vote et l'application d'une nouvelle directive.</p>
<p><a href="https://fr.wikipedia.org/wiki/Axelle_Lemaire" hreflang="fr" title="Axelle Lemaire sur Wikipédia France">Axelle Lemaire</a> aura donc décidé de <strong>devancer le calendrier européen</strong> en renforçant la législation française au plus, sans pour autant connaître le détail ni la date de la mise au vote de ces nouvelles mesures.</p>
<p>Les données personnelles (y compris images, contenus produits par l'individu) deviendront aussi <strong>transposables d'un service à un autre</strong>, une notion qui les rapproche de la portabilité du numéro dans le domaine de la téléphonie mobile.</p>
<p>Arriverons-nous un jour aussi à la portabilité d'une adresse e-mail ou IP ?</p>
<h3>La fin annoncée de <em>Pacitel</em></h3>
<p><strong>Pacitel</strong> est une liste d'opposition à la prospection téléphonique mise en place et gérée par les professionnels du télémarketing à l'initiative du <abbr title="Syndicat National de la Communication Directe">SNCD</abbr>, de la <a href="http://www.fevad.com/" hreflang="fr">FEVAD</a>, de la <abbr title="Fédération Française des Télécoms">FFTELECOMS</abbr> et de l'<abbr title="Association Française de la Relation Client">AFRC</abbr>.</p>
<p>Elle se décrit <a href="http://www.pacitel.fr/" hreflang="fr">sur son site</a> en ces termes :</p>
<blockquote><p>Pacitel est une liste regroupant les numéros de téléphone fixes et mobiles des consommateurs qui ne souhaitent plus être démarchés téléphoniquement par les entreprises dont ils ne sont pas clients. Fondée sur le droit d'opposition classique de la loi de 1978, elle a pour objectif de mettre les consommateurs à l'abri des appels provenant des entreprises auxquelles ils n'ont pas donné leur consentement.</p></blockquote>
<p><em>Pacitel</em> a malheureusement échoué dans sa mission du fait de l'absence d'obligation de la part des professionnels du télémarketing de respecter cette liste rouge.</p>
<p>Seuls les membres de <em>Pacitel</em> sont tenus de s'y conformer, sans pour autant connaître les risques réellement encourus en cas de manquement ni si manquement il y a déjà eu (contrairement à un jugement par nature public).</p>
<p>Non contraignante, cette initiative louable <a href="http://www.nextinpact.com/news/93490-la-liste-anti-demarchage-telephonique-loi-hamon-operationnelle-d-ici-octobre.htm" hreflang="fr">oblige aujourd'hui le gouvernement</a> à rendre cette liste « anti-démarchage téléphonique » obligatoire et sanctionnée <strong>d'une amende de 75 000 euros</strong> en cas d'infraction constatée.</p>
<p>Il aurait été préférable d'appliquer le principe d<em>'opt-in</em> pour la téléprospection tel que nous le connaissons pour la prospection électronique plutôt que de bâtir une énième base de données personnelles certes gratuite pour les particuliers mais qui présente à la fois des risques de sécurité et engendrera des coûts en matière de maintenance.</p>
<p>Sa mise en place doit théoriquement se faire au plus tard le <strong>1er octobre 2015</strong>.</p>
<h3>La charte des droits du citoyen et du numérique</h3>
<p>Enfin, toujours selon Axelle Lemaire, « <em>le gouvernement va travailler avec le Conseil de l'Union européenne à la rédaction d’une charte des droits du citoyen et du numérique</em> », un projet déjà initié par certaines ONG affiliées à l'ONU.</p>
<p>Peut-on espérer que les données personnelles deviennent un jour un bien inaliénable ? Va-t-on vers un véritable droit des données personnelles numériques ? Mais surtout : le droit à l'anonymat sera-t-il sacralisé ?</p>Spammé par Net Lead via Assurlandurn:md5:bd8d228ccfb222146b2dcbf440ef8a9b2015-06-17T10:06:00+02:002022-08-14T10:01:14+02:00Guillaume VialetHall of Spama7-emailingassurlandcnilnet-leadpromo-shoppingsofradomspamtradelab <p><strong>Net Lead</strong> fait son entrée dans le <em>Hall of Spam</em> à travers le site <strong>Assurland</strong> et le prestataire A7 Emailing, qui aura fait « fuiter » une adresse e-mail.</p>
<p>Ce n'est pas la première fois que mes données personnelles sont exploitées commercialement sans mon consentement par ou au profit d'<strong>Assurland.com</strong>. J'écrivais en <strong>octobre 2009</strong> mes déboires avec le site <em>SeLoger.com</em> qui m'avait alors poussé un e-mail commercial au profit de ce comparateur d'assurances en ligne.</p>
<p>En <strong>juillet 2013</strong>, je devais recevoir deux <em>spams</em>, le premier par « <strong>Mamie pratique</strong> », le second par « <strong>Suggestion du Chef</strong> », tous deux poussés avec la même base car disposant du même numéro <abbr title="Commission nationale de l'informatique et des libertés">CNIL</abbr> (1436832).</p>
<blockquote><p>Nous vous adressons ce message car vous êtes membre Mamie Pratique. Enregistrement auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) sous le numéro 1436832.</p></blockquote>
<p>Derrière ce numéro d'enregistrement utilisé sur de très nombreux sites Web se cache en réalité la société de marketing <a href="http://tradelab-publishing.fr/" hreflang="fr">Tradelab Publishing</a>.</p>
<h3>Leaking ou revente de données ?</h3>
<p>Les spams ont repris en avril dernier, cette fois poussés par le mystérieux <em>actualites@e.news-promoshopping.net</em>. Pas de numéro CNIL vers lequel se tourner.</p>
<p>Le domaine e.news-promoshopping.net redirige vers <a href="http://www.promo-shopping.net/" hreflang="fr">www.promo-shopping.net</a> et nous révèle enfin la société à l'origine de l'envoi de ce courriel indésirable : <strong>Net Lead</strong>.</p>
<p><a href="https://vialet.org/public/Spam/Net_Lead/screenshot-net-lead_2015-06-17.png" title="Capture d'écran du site Net Lead, tous droits réservés"><img src="https://vialet.org/public/Spam/Net_Lead/.screenshot-net-lead_2015-06-17_m.png" alt="Capture d'écran du site Net Lead, tous droits réservés" style="display:table; margin:0 auto;" title="Capture d'écran du site Net Lead, tous droits réservés" /></a></p>
<p><em>Net Lead</em> est une petite <a href="https://vialet.org/post/2015/06/Société par actions simplifiée" hreflang="fr" title="Société par actions simplifiée">SAS</a> créé il y a deux ans et dont le siège social se trouve au 12, Avenue Maurice Thorez à Ivry-sur-Seine. En réalité, il s'agit des bureaux de <strong>Sofradom</strong>, société qui s'est spécialisée dans la domiciliation d'entreprises.</p>
<blockquote><p>Le site promo-shopping.net édité par la société Net Lead a pour objet de permettre aux utilisateurs inscrits de recevoir les actualités et bons plans du web tels que des offres promotionnelles, des offres de participation à des jeux concours, l’annonce de nouveaux produits...</p></blockquote>
<p><a href="https://vialet.org/public/Spam/Net_Lead/net-lead-chez-sofradom.jpg" title="Boîte postale de Net Lead chez Sofradom à Ivry-sur-Seine"><img src="https://vialet.org/public/Spam/Net_Lead/.net-lead-chez-sofradom_s.jpg" alt="Boîte postale de Net Lead chez Sofradom" style="float:right; margin: 0 0 1em 1em;" title="Boîte postale de Net Lead chez Sofradom à Ivry-sur-Seine" /></a></p>
<p>La société serait dirigée par une certaine <strong>Mme Lea RILLARDON</strong>. Le site <a href="http://www.verif.com/dirigeants/Lea-RILLARDON-2783243/" hreflang="fr">Verif.com</a> nous révèle que la société <em>Net Lead</em> aurait réalisée en 2013, année de son immatriculation, un chiffre d'affaires de <strong>472 919 €</strong> pour un résultat net de <strong>17 654 €</strong>.</p>
<p>Il existe cependant <a href="http://www.net-lead.ch" hreflang="fr">une autre société Net Lead</a> proposant les mêmes services depuis 2009 sous les mêmes couleurs mais depuis la <strong>Suisse</strong>. Cette seconde entité semble gérée par <strong>Jean-Charles Perazzi</strong>.</p>
<h3>De Net Lead à A7 Emailing</h3>
<p>L'étude du <em>whois</em> du nom de domaine <em>news-promoshopping.net</em> nous révèle l'existence de la société <strong>A7 Emailing</strong>, intermédiaire technique lors du dépôt du nom chez <strong>OVH</strong> (OVH qui se trouve être l'hébergeur du serveur dédié ayant émis le dernier <em>spam</em> en date, reçu ce jour).</p>
<pre>
Domain Name: news-promoshopping.net
Registry Domain ID: 1855112228_DOMAIN_NET-VRSN
Registrar WHOIS Server: whois.ovh.com
Registrar URL: http://www.ovh.com
Updated Date: 2015-03-25T10:12:58.0Z
Creation Date: 2014-04-17T14:23:11.0Z
Registrar Registration Expiration Date: 2016-04-17T14:23:11.0Z
Registrar: OVH, SAS
Registrar IANA ID: 433
Registrar Abuse Contact Email: abuse@ovh.net
Registrar Abuse Contact Phone: +33.899498765
Domain Status: clientTransferProhibited
Domain Status: clientDeleteProhibited
Registry Registrant ID:
Registrant Name: RILLARDON LEA
Registrant Organization: NET-LEAD
Registrant Street: 12 avenue Maurice Thorez
Registrant City: Ivry sur Seine
Registrant State/Province:
Registrant Postal Code: 94200
Registrant Country: FR
Registrant Phone: +33.621817148
Registrant Phone Ext:
Registrant Fax:
Registrant Fax Ext:
Registrant Email: qg0aplmvkyiqnj94rc2v@x.o-w-o.info
Registry Admin ID:
Admin Name: RILLARDON LEA
Admin Organization: NET-LEAD
Admin Street: 12 avenue Maurice Thorez
Admin City: Ivry sur Seine
Admin State/Province:
Admin Postal Code: 94200
Admin Country: FR
Admin Phone: +33.180919506
Admin Phone Ext:
Admin Fax:
Admin Fax Ext:
Admin Email: cdd8dtomspnt5wi4ty7y@j.o-w-o.info
Registry Tech ID:
Tech Name: Sabas Gilles
Tech Organization: A7 Interactive
Tech Street: 1 rue du gabian
Tech City: monaco
Tech State/Province:
Tech Postal Code: 98000
Tech Country: FR
Tech Phone: +377.97982943
Tech Phone Ext:
Tech Fax:
Tech Fax Ext:
Tech Email: 2dyi2g1wktdcqgznxlm2@z.o-w-o.info
Name Server: dns108.ovh.net
Name Server: ns108.ovh.net
DNSSEC: signedDelegation
</pre>
<p>La société <em>A7 Emailing</em> fondée et dirigée par M. <strong>Gilles Sabas</strong> serait domiciliée à <strong>Monaco</strong>, bien que l'on trouve une adresse postale sur Nice. On retrouve aussi Gilles Sabas et A7 Emailing en <strong>Angleterre</strong>, plus précisément à Londres (via A7 Interactive Ltd.).</p>
<blockquote><p>A7 Tranquillité - Tout ce dont vous avez besoin pour : Importer vos fichiers, gérer les nouveaux abonnés et désabonnés, désactiver les adresses qui vous mettent en spam, créer des campagnes rapidement, les planifier, les livrer en NOSPAM, suivre les retours, étudier les statistiques jusque dans les détails, gérer votre base et l'enrichir automatiquement, suivre les ventes, être interconnecté avec votre site.</p></blockquote>
<p>Étant donné que sur le papier, <em>Net Lead</em> et <em>A7 Emailing</em> proposent les mêmes services (routage, e-marketing, bases de données, etc.), il est difficile de savoir qui est le
prestataire et qui est le client.</p>
<p>Mais puisque l'adresse IP du serveur dédié 176.31.66.32 indique que cette machine louée chez <strong>OVH</strong>, est géré par <strong>A7 Interactive Ltd.</strong> (Sovereign House, 212-224 Shaftesbury Avenue, London), tout porte à croire que Net Lead a fourni la base de données et <em>A7 Emailing</em> le routage.</p>
<h3>Utilisation abusive de l'opt-in partenaire par d'Assurland</h3>
<p>Cet enchaînement de spams démontre une nouvelle fois que l'application d'office de l'opt-in partenaire (que je dénonçais courant 2010 <a href="https://twitter.com/deckarudo/status/10364973829" hreflang="fr">sur Twitter</a>) par <em>Assurland</em> entraîne irrémédiablement la fuite de données personnelles vers des acteurs de moins en moins scrupuleux en matière de collecte, utilisation ou même routage.</p>
<p>L'absence d'obligation légale en matière de traçabilité des campagnes d'e-mailing favorise les dérives et l'utilisation abusive de données collectées sur le Web.</p>
<p>Il n'en reste pas moins qu'il est malheureusement impossible de savoir comment <em>Net Lead</em> aura récupéré de manière illicite ou non l'adresse e-mail laissée il y a plus de 5 ans à <em>Assurland</em> sans que cette information ne soit révélée par l'expéditeur lui-même (il n'est fait aucunement mention d'Assurland dans les e-mailings).</p>
<p>Faut-il regarder vers <em>Tradelab Publishing</em> qui a par le passé exploité cette adresse ?</p>
<h3><ins>Mise à jour au 24 juin 2015</ins></h3>
<p>Suite à un message laissé sur le site de la société <strong>A7 Emailing</strong>, j'ai obtenu deux réponses. L'une de cette société, conciliant, l'autre de<strong> NET LEAD</strong>. Toutes deux me demandent un complément d'information afin de « procéder à une enquête », se disent concernées par la plainte que je leur ai remontée et m'ont expliqué agir dans le plus grand respect des lois et des « règles du Web », tout en luttant activement contre le spam (<em>sic</em>).</p>
<p>Enfin, <em>NET LEAD</em> <strong>me menace de poursuites judiciaires</strong> si je n'amende pas ce billet dans les 48 heures en supprimant tout ce qui touche cette société.</p>
<p>On me demande donc de livrer toujours plus de données personnelles afin d'aider ces deux sociétés à faire leur travail : choisir le bon prestataire, la bonne base de données (en <em>opt-in</em> partenaire réel), le bon fournisseur, respecter la législation, assurer la traçabilité des données, afficher des mentions légales explicites, cesser les envois de courriels indésirables, etc.</p>Advertise Me, fournisseur de FENAREFurn:md5:5ed5a5e84c96c3b29c3b43e4aadc4dfe2015-05-29T12:52:00+02:002015-06-03T09:25:02+02:00Guillaume VialetHall of Spamadvertise-mecoreg-feedcpadaxondigital-metricfedereffenarefjavascriptspam<p>Une nouvelle fois le tandem société d'affiliation marketing/spammeur permet l'envoi massif de courriels non sollicités. Une nouvelle fois des acteurs bien connus sont identifiés.</p> <p><a href="https://vialet.org/public/Spam/federef/screenshot-Advertise-Me.jpg" title="Capture d'écran du site Advertise Me, tous droits réservés"><img src="https://vialet.org/public/Spam/federef/.screenshot-Advertise-Me_m.jpg" alt="Capture d'écran du site Advertise Me, tous droits réservés" style="display:block; margin:0 auto;" title="Capture d'écran du site Advertise Me, tous droits réservés" /></a></p>
<p>A ma droite, la société <a href="http://www.societe.com/societe/fenaref-532097540.html" hreflang="fr" title="FENAREF sur Societe.com">FENAREF</a> qui travaillait déjà avec <strong>Zanox</strong>, membre du <a href="http://www.cpa-france.org/" hreflang="fr" title="Site Internet du CPA">Collectif des plateformes d'affiliation</a>, l'équivalent du <abbr title="Syndicat national de la communication directe, de la data à la logistique">SNCD</abbr> pour ce métier.</p>
<p>A ma gauche, « l'agence <a href="http://digital-metric.com" hreflang="fr" title="Site Internet de Digital Metric">Digital Metric</a> », propriété de la société <a href="http://www.advertise-me.fr" hreflang="fr" title="Site Internet d'Advertise Me">Advertise Me</a>.</p>
<p><a href="https://vialet.org/public/Spam/federef/screenshot-mails-promo-plus.fr.png" title="Une sélection de spams poussés par promo-plus.fr - FEDEREF"><img src="https://vialet.org/public/Spam/federef/.screenshot-mails-promo-plus.fr_m.png" alt="Une sélection de spams poussés par promo-plus.fr - FEDEREF" style="float:right; margin: 0 0 1em 1em;" title="Une sélection de spams poussés par promo-plus.fr - FEDEREF" /></a></p>
<p>J'avais <a href="https://vialet.org/blog/post/2013/11/Ou-l-on-retrouve-encore-Soft-Direct">déjà signalé un spam</a> courant 2013 à<em> Advertise Me</em> poussé par le tristement célèbre spammeur <strong>Soft Direct</strong> alias <strong>Liotelex</strong>.</p>
<p>Cette campagne avait été poussée sur une base présumée en <strong>opt-in partenaire</strong>, ce qu'elle n'était bien sûr pas, tous comme les e-mails reçus ces dernières semaines.</p>
<p>Il me parait évidement qu'aucune base de ce type ne devrait être exploitée pour des raisons évidente déjà longuement exposées sur ce blog.</p>
<h3>Utilisation de <em>Javascript</em> afin de masquer les redirections ?</h3>
<p>Nous repartons donc avec les mêmes acteurs, les mêmes méthodes pour un même résultat : toujours plus de spam poussé par des sociétés françaises vers des internautes français, contrevenant totalement avec la législation ou les codes éthiques soi-disant imposés par leurs pairs.</p>
<p>A une petite différence près : il m'a été impossible de remonter la piste vers la plateforme d'affiliation à partir du lien contenu dans l'un des spams.</p>
<pre>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" >
<head>
<title>Forward</title>
<meta http-equiv="Content-Type" content="text/html; CHARSET=utf-8" />
<script type="text/javascript" src="browser.js"></script>
<script type="text/javascript">
function openMailto(Url) {
window.open(Url);
window.close();
}
function getInfo() {
BrowserObject.init();
appendStrings();
document.A7Hit.submit();
}
function appendStrings() {
var info = "";
for (i in BrowserObject.params) {
info += i + "=" + BrowserObject.params[i] + ";"
}
document.getElementById('jsobjectinput').value = info;
}
</script>
</head>
<body style="background-color:white; margin-top:10px; margin-left:8px; margin-right:8px" onload="getInfo()">
<noscript>
Problem : JavaScript is not enabled on your browser.
</noscript>
<form method="post" action="?id=" id="A7Hit">
<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="" />
<input type="hidden" name="__VIEWSTATEGENERATOR" id="__VIEWSTATEGENERATOR" value="" />
<input type="hidden" name="__EVENTVALIDATION" id="__EVENTVALIDATION" value="" />
<input name="jsobjectinput" type="hidden" id="jsobjectinput" />
</form>
</body>
</html>
</pre>
<p>En effet, la redirection qui permet de pister les clics et comptabiliser les vues, les inscriptions et donc <strong>payer à la fois la plateforme d'affiliation et le spammeur</strong> est gérée via une série de fonctions <em>Javascript</em> qui bloquent le <em>sniffing</em> d'URL.</p>
<p>L'internaute n'a plus que jamais aucunement la possibilité de remonter à la source : <strong>ni le spammeur ni la société d'affiliation ne sont identifiables</strong>.</p>
<p>Avec l'aide d'un ami développeur, j'ai pu dresser la liste des différents points empruntés de l'e-mail jusqu'à l'annonceur, ici la société <strong>Daxon</strong> :</p>
<pre>
1. http://e.promo-plus.fr/tr/?id=74a0f3...
2. http://mtrc1.digital-metric.com/clic.php?params=2fcc...
3. http://www.daxon.fr/femme.htm?CodeAvantage=6067&cmpid=REL-EXT-AME-CPC-87D12-1698
</pre>
<p>Le fournisseur des campagnes en affiliation semble donc être <strong>Digital Metric</strong>, marque déposée par <strong>Advertise Me</strong>. <em>Daxon</em> est d'ailleurs <a href="http://www.coreg-feed.com/img/cf-ref-logos.png" hreflang="fr">cité comme client</a> sur leur site. Le spammeur, lui, sait se protéger : société de domiciliation, adresse e-mail Gmail, etc.</p>
<p>A noter que courant 2013, la société FENAREF a changé de gérant : monsieur <strong>Rubens Seror</strong> aurait laissé sa place à un certain <strong>Didier Atlani</strong>.</p>
<p>Ce M. Seror apparait aussi le site <a href="http://www.mailandclic.com" hreflang="fr">Mailandclick.com</a>, édité par FENAREF alias FEDEREF. Sur une des pages du site, on peut notamment lire :</p>
<blockquote><p>Mailandclick.com est un service webmarketing proposé et géré par Fenaref SAS. Nos fichiers sont déclarés à la CNIL et nous adhérons de maniére proactive aux politiques et initiatives de lutte contre le SPAM.</p></blockquote>
<p>Rubens Seror y témoigne même en qualité de « Directeur Marketing Federef.fr » !</p>
<p><a href="https://vialet.org/public/Spam/federef/Screenshot_Mail_And_Click.png" title="Capture d'écran du site Mail And Click, tous droits réservés"><img src="https://vialet.org/public/Spam/federef/Screenshot_Mail_And_Click.png" alt="Capture d'écran du site Mail And Click, tous droits réservés" style="display:block; margin:0 auto;" title="Capture d'écran du site Mail And Click, tous droits réservés" /></a></p>
<p>Une requête <em>whois</em> sur le nom de domaine <em>mailandclick.com</em> nous donne ce résultat :</p>
<pre>
Registrant Name: Yoni KRIEF
Registrant Organization: FENAREF/FEDEREF
Registrant Street: 102, Avenue des Champs Elysees
Registrant City: Paris
Registrant State/Province:
Registrant Postal Code: 75008
Registrant Country: FR
Registrant Phone: +33.017543408
Registrant Phone Ext:
Registrant Fax:
Registrant Fax Ext:
Registrant Email: djhois@gmail.com
</pre>
<p>Le nom de domaine <em>federef.net</em> est aussi déposé par M. <strong>Yoni KRIEF</strong> qui semble résider <strong>en Israël</strong>, peut-être la véritable localisation de cette société.</p>
<p><a href="https://vialet.org/public/Spam/federef/screenshot_e.promo-plus_to_daxon.commander1.png" title="Alerte tracking publicitaire sur le lien de redirection vers Daxon"><img src="https://vialet.org/public/Spam/federef/.screenshot_e.promo-plus_to_daxon.commander1_s.png" alt="Alerte tracking publicitaire sur le lien de redirection vers Daxon" style="float:left; margin: 0 1em 1em 0;" title="Alerte tracking publicitaire sur le lien de redirection vers Daxon" /></a></p>
<p>A noter enfin que les services de la société <strong>TagCommander</strong> fondée par Michael Froment ont été utilisés par un des trois protagonistes de ces spams.</p>
<div class="mise-a-jour" id="mise-a-jour-01">
<p><strong>Mise à jour au 3 juin</strong> : Je reçois toujours autant de spams en provenance de FENAREF qui sont toujours alimentés par la société <strong>Advertise Me</strong> (<em>Digital Metric</em>) gérée par MM. <strong>Philippe Klochendler</strong> (ex-Reactivpub) et <strong>Elyes Briki</strong> que l'on retrouve tous deux chez <strong>Coreg Feed</strong>.</p>
</div>
Spammé par PKY SERVICES, membre du SNCDurn:md5:10bff7a29c89adad718cc3ea08ba7eec2015-05-18T16:25:00+02:002022-08-14T10:46:16+02:00Guillaume VialetHall of Spamdbsmanutianeodevispkyplacedesleadssncdspamtechwise <p>Un nouvel exemple de l'inutilité des chartes professionnelles et de l'obsolescence de la législation française en matière d'exploitation commerciale des données personnelles.</p>
<p>J'ai reçu en l'espace de quelques minutes pas moins de 5 spams sur une adresse e-mail personnelle hors opt-in partenaire d'aucune sorte. Aucune indication de l'origine de la collecte n'était précisée dans les e-mailings successifs.</p>
<h3>Spammé au profit de Pierre & Vacances...</h3>
<p><a href="https://vialet.org/public/Spam/PKY_Service/screenshot-spams-pky-services.png" title="Spams envoyés par PKY Services pour Pierre & Vacances"><img src="https://vialet.org/public/Spam/PKY_Service/.screenshot-spams-pky-services_m.png" alt="Spams envoyés par PKY Services pour Pierre & Vacances" style="display:table; margin:0 auto;" title="Spams envoyés par PKY Services pour Pierre & Vacances" /></a></p>
<p>Tous ces spams routés au profit de la société <strong>Pierre & Vacances</strong> ne sont pas signés par l'expéditeur, si ce n'est d'une phrase qui prend ici un caractère ironique :</p>
<blockquote><p>Si ce message vous a causé un quelconque dérangement, nous vous prions de nous en excuser.</p></blockquote>
<p>Les e-mails sont envoyés avec comme expéditeur <em>Groupe Pierre & Vacances <Groupe@manutia.fr></em>. Un des liens mène notamment vers une page de « désinscription » hébergée sur le domaine <strong>manutia.fr</strong>.</p>
<p>Les différents liens hypertextes pistés mènent au final sur le site édité par un certain <a href="http://immobilier-locatif.reaction-patrimoine.com/" hreflang="fr">Réaction Patrimoine</a>.</p>
<pre>
1. http://www.manutia.fr/r/?m=...
2. http://www.neo-devis.com/affiliate/...
3. http://immobilier-locatif.reaction-patrimoine.com
</pre>
<h3>...par PKY Services/Database Security...</h3>
<blockquote><p>Ce projet de résidence de tourisme rare et haut de gamme allie la force d’Euro Disney S.C.A. à l’expertise du Groupe Pierre & Vacances - Center Parcs, spécialiste du tourisme et de l’investissement locatif.</p></blockquote>
<p><a href="https://vialet.org/public/Spam/PKY_Service/17685637360_c75fd9ae3a.png" title="Avis d'internautes à propos de PKY Services - Google"><img src="https://vialet.org/public/Spam/PKY_Service/.17685637360_c75fd9ae3a_s.png" alt="Avis d'internautes à propos de PKY Services - Google" style="float:left; margin: 0 1em 1em 0;" title="Avis d'internautes à propos de PKY Services - Google" /></a></p>
<p>Le site <strong>Manutia</strong> ainsi que <strong>Réaction Patrimoine</strong> sont en réalité édités par la société <strong>DBS by PKY-SERVICES</strong> comme l'indiquent <a href="http://www.manutia.fr/index.php?page=mention_legale" hreflang="fr" title="Mentions légales de PKY Services">les mentions légales</a>.</p>
<p>On retrouve cette société sur <a href="http://www.societe.com/societe/pky-services-502050818.html" hreflang="fr">Societe.com</a> et on peut y apprendre qu'il s'agit d'une <abbr title="Société à responsabilité limitée">SARL</abbr> créée en 2008 et dont la gérante s'appelle <strong>Pauline YOUDOM KOUONTCHOU</strong> qui semble bien connue dans le milieu de l'e-mailing d'après certains <a href="http://www.sedlex.fr/cas-pratiques/experience-personnelle-inside-le-demarcharge-commercial-non-sollicite/" hreflang="fr">résultats de recherche</a> sur Google.</p>
<p>La petite société (un seul salarié) aurait réalisé <strong>305 033 € de chiffre d'affaires</strong> et 27 700 € de bénéfices en 2012.</p>
<p>Elle a déposé plusieurs noms commerciaux : <strong>DATABASE SECURITY</strong>, <strong>DBS</strong>, <strong>TECHWISE FRANCE</strong>, <strong>TEAMWISE GROUP</strong>...</p>
<p>Elle édite aussi un site à l'adresse <em>marches-des-tpe-pme.fr</em> dont l'objet est la récolte de données <abbr title="Business to business">B2B</abbr>.</p>
<h3>...membre du <abbr title="Syndicat national de la communication directe">SNCD</abbr></h3>
<p><a href="https://vialet.org/public/Spam/PKY_Service/screenshot-sncd.org_2015-05-18.png" title="Capture d'écran de la page membre du SNCD de la société PKY Service"><img src="https://vialet.org/public/Spam/PKY_Service/.screenshot-sncd.org_2015-05-18_s.png" alt="Capture d'écran de la page membre du SNCD de la société PKY Service" style="float:right; margin: 0 0 1em 1em;" title="Capture d'écran de la page membre du SNCD de la société PKY Service" /></a></p>
<p>Et l'on découvre que cette société est <a href="http://www.sncd.org/membres/pky-service/" hreflang="fr" title="Fiche PKY Services sur le site du SNCD">membre du Syndicat national de la communication directe</a> qui proscrit pourtant l'utilisation de données personnelles collectées illégalement et sans le consentement de l'internaute.</p>
<p>Va-t-on enfin voir ce syndicat prendre les mesures qui s'imposent et exclure la société <em>PKY Services</em> ?</p>
<p>Personnellement j'en doute, car il est difficile d'être juge et partie.</p>
<p>C'est au contraire l'exemple même qu'une charte de bonne conduite et l'autorégulation d'une profession sont insuffisantes et que la législation en matière de protection des données personnelles doit être renforcée, comme l'Union Européenne l'a proposée il y a plusieurs années.</p>
<p><a href="https://vialet.org/public/Spam/PKY_Service/screenshot-immobilier-locatif-reaction-patrimoine.com-2015-05-18.jpg" title="Capture d'écran de la page de destination du spam immobilier-locatif-reaction-patrimoine.com"><img src="https://vialet.org/public/Spam/PKY_Service/.screenshot-immobilier-locatif-reaction-patrimoine.com-2015-05-18_m.jpg" alt="Capture d'écran de la page de destination du spam immobilier-locatif-reaction-patrimoine.com" style="display:table; margin:0 auto;" title="Capture d'écran de la page de destination du spam immobilier-locatif-reaction-patrimoine.com" /></a></p>
<p>A noter que les envois sont monétisés par la société <a href="http://www.neo-devis.com" hreflang="fr">NeoDevis</a> qui aurait pour client <em>Pierre & Vacances</em> et comme affilié la société <em>PKY Services</em>.</p>
<p>Les données remplies sur le site Réactions Patrimoine doivent ainsi être revendues par <strong>NeoDevis</strong> à <em>Pierre & Vacances</em> et tous ces acteurs prélèvent au passage leur commission.</p>
<h3>Une méthode maintes fois utilisée</h3>
<p><em>PKY Services</em> a recourt aux méthodes classiques des spammeurs :</p>
<ol>
<li>Acquérir à peu de frais une base de données illicite d'adresses e-mail.</li>
<li>Trouver une société peu regardante afin d'obtenir des campagnes au <abbr title="Coût par lead">CPL</abbr>.</li>
<li>Se faire passer dans l'objet de l'e-mail pour une marque connue du grand public, ici <em>Pierre & Vacances</em>.</li>
<li>Router un maximum de courriels non sollicités.</li>
<li>Déployer une page de destination afin de collecter des données provenant d'internautes crédules.</li>
<li>Les monétiser à travers la société d'affiliation, elle-même payée par un annonceur, ici <em>Pierre & Vacances</em>.</li>
</ol>
<div class="mise-a-jour" id="mise-a-jour-01">
<p><strong>Mise à jour au 19 mai</strong> : Le site <strong>NeoDevis</strong> est en réalité édité par la société <strong>DATABASE SECURITY DBS</strong>, alias PKY Services, ce que j'avais omis de vérifier. Cette société semble aussi liée à <a href="http://www.amat-rh.com">AMAT RH CONSULTING</a> hébergée sur le même serveur et domiciliée dans la même ville que <em>PKY Service</em> (Serris).</p>
<p>Le véritable commanditaire de ces envois et de ces différentes sociétés (ou un intermédiaire) pourrait être un certain <a href="http://www.verif.com/dirigeants/Alexandre-TSHIBANGU-MUKOLA-MUTSHIMA-2548652/">Alexandre Tshibangu</a> secondé par Nathan NOËL de <strong>Techwise</strong> (<a href="http://www.mailing-pme.com/">mailing-pme.com</a>), d'après le <em>whois</em> du domaine <em>amat-rh.com</em> et tout semble pointer vers le 1 (et 4) boulevard Michael Faraday à Serris. Difficile pour l'internaute spammé de s'y retrouver dans cette multitude de sociétés, de dénominations commerciales et sites Web.</p>
<p>Nous sommes bien loin de la première règle du SNCD qui demande à ses membres « <em>[d']agir d'une part en conformité avec la législation en vigueur, d'autre part, en respectant les codes et usages spécifiques des métiers représentés au Sncd »</em>.</p>
<p>Enfin, les conditions générales d'utilisation du service d'affiliation de <em>NeoDevis</em> sont identiques à celles proposées par le site <strong>Place des Leads</strong>, bien connu <a href="http://vialet.org/blog/post/2014/11/Autopsie-d-un-spam">de mes lecteurs</a>.</p>
</div>
Adblock Plus et les régies publicitairesurn:md5:26a383ec64e8c937bf3ce77d59c2f5ce2015-04-01T14:30:00+02:002015-04-02T15:51:57+02:00Guillaume VialetInternetadblockadvertisingcookiedo-not-trackfrenchwebnavigateurweb<p>Billet-réponse <a href="http://www.dailymotion.com/video/x2jfngb_adblock-ami-ou-ennemi-des-medias_tech" hreflang="fr">au débat</a> qui a opposé Kai Recke, responsable juridique d'Eyeo, éditeur d'Adblock Plus et Cyril Zimmermann, président d'Hi-Media et à <a href="http://frenchweb.fr/adblock-plus-ce-quils-pretendent-faire-et-ce-quils-font-reellement/188871" hreflang="fr">l'article écrit par Frédéric Montagnon</a>, fondateur de Secret Media.</p> <p><a href="https://vialet.org/public/marketing/adblock-plus.jpg" title="adblock-plus.jpg"><img src="https://vialet.org/public/marketing/.adblock-plus_m.jpg" alt="adblock-plus.jpg" style="display:block; margin:0 auto;" /></a></p>
<p>Je pense que deux visions radicalement différentes du Web s'opposent à travers le débat maintenant récurrent des <em>adblockers</em> qui condamneraient à terme les sites de contenu en accès libre en bloquant systématiquement la publicité qui les fait vivre.</p>
<p>Les sites qui proposent « gratuitement » du contenu financé par de la « publicité » qui n'en est plus vraiment (je m'expliquerai) ne sont qu'une toute petite partie d'un tout qui s'appelle <strong>World Wide Web</strong>.</p>
<p>Ce Web répond à des standards définis de longue date et reposent sur le principe d'un serveur qui <strong>délivre du contenu à la demande d'un client</strong>.</p>
<blockquote><p>Violation de la propriété intellectuelle.</p></blockquote>
<p>Au milieu des années 90, lorsque la connexion au Web se faisait avec des modems 2.400 kbps, il n'était pas rare de couper le téléchargement des images afin de gagner en vitesse de chargement d'une page.</p>
<p>Autrement dit, le client est maître du traitement de ce qu'il reçoit d'un serveur : il peut en faire ce que bon lui semble, comme arrêter le chargement, exclure l'exécution de scripts, bloquer des images ou des contenus gérés via des <em>plugins</em>, etc.</p>
<p><strong>C'est l'essence même du Web.</strong></p>
<p>Certains sites proposent donc du contenu en partie ou totalement financé par de la publicité. Cette publicité fait vivre ces sites et permettent d'avoir accès à des contenus éditoriaux, de la musique, des vidéos, etc.</p>
<p>Cette publicité est à bien des égards différentes de celle que l'on subit qui dans le métro, qui à la télévision ou à la radio pour reprendre l'exemple utilisé dans ce débat.</p>
<p>La radio émet un message publicitaire de manière totalement linéaire qui vient interrompre l'écoute d'une émission. Elle ne connaît rien de son auditeur ni s'est capable de s'adapter automatiquement à l'audience, en dehors de la thématique de la station radio ou du programme diffusé. La publicité ne vous suivra pas sur d'autres fréquences radios ni ne cherchera à vous envoyer un e-mail en croisant plusieurs bases de données radiophoniques.</p>
<p>L'écoute d'un titre ne sera pas brutalement interrompue par un message publicitaire ou couvert par une publicité et encore moins conditionné par l'écoute d'un spot.</p>
<p>La publicité à la radio ne se mélangera pas aux paroles de la chanson du moment. Elle ne changera pas non plus de station à votre insu. Vous n'aurez pas non plus à remplir des questionnaires révélant vos données personnelles afin d'avoir accès à la fréquence de votre choix.</p>
<p>Aucun cookie ne sera installé dans votre poste radio et celui-ci ne pourra pas être pisté grâce à des techniques de <em>fingerprinting</em> qui rendent caduc toutes les initiatives du type « <a href="http://fr.wikipedia.org/wiki/Do_Not_Track" hreflang="fr">Do Not Track</a> ».</p>
<p>A force de détourner les principes fondamentaux du Web et d'en abuser, les régies publicitaires et leurs clients se sont mis à dos des millions d'internautes.</p>
<p>Il est donc temps de leur répondre non pas par la menace d'hypothétiques sanctions pénales mais en réfléchissant à de nouvelles formes de publicités dans le respect total de la <a href="http://fr.wikipedia.org/wiki/N%C3%A9tiquette" hreflang="fr">nétiquette</a>, des standards et de la vie privée des internautes.</p>Quand l'Afnic fait le jeu des domaineursurn:md5:841bb17750602d2bc02647ee600543612015-03-31T15:01:00+02:002022-08-14T09:51:04+02:00Guillaume VialetInternetafnicdomainedomainerfbsarlfluydkifcorp <p>Suite au raté du <a href="https://vialet.org/blog/post/2015/03/Main-basse-sur-le-landrush-des-noms-de-domaines-FR">9 mars dernier</a>, l'Afnic a libéré 311 noms de domaine courts qui tous ou presque ont été immédiatement déposés par des <em>domaineurs</em>. Explications de ce système.</p>
<p>Afin de réserver un nom de domaine <em>.FR</em>, les personnes physiques (vous et moi) ou morales (une entreprise, une association...) doivent passer par un bureau d'enregistrement. Selon <a href="https://www.afnic.fr/fr/ressources/documents-de-reference/chartes/charte-de-nommage-en-vigueur-5.html" hreflang="fr" title="Charte de nommage de l'Afnic">la charte de l'Afnic</a> :</p>
<blockquote><p>[Les] bureaux d’enregistrement [sont] les personnes morales qui, dans le cadre d’un contrat d’enregistrement conclu avec l’Afnic, fournissent des services d’enregistrement de nom de domaine.</p></blockquote>
<h3>Que s'est-il passé le 9 mars dernier ?</h3>
<p>La société <strong>SCI T Colombet</strong> gérée par M. Tristan Colombet a procédé par erreur au dépôt de <strong>311 noms de domaine</strong> entre 11h30 et 11h59, c'est-à-dire juste avant le <a href="http://www.numerama.com/magazine/32242-les-noms-de-domaine-courts-en-fr-sont-disponibles-mais-il-faut-y-mettre-le-prix.html" hreflang="fr" title="Les noms de domaine courts en .fr sont disponibles, mais il faut y mettre le prix">basculement tarifaire</a> de noms de domaine <em>.FR</em> de deux caractères.</p>
<p>La <em>SCI T Colombet</em> s'est appuyée sur son réseau de bureaux d'enregistrement, tous reliés à la même société et dont l'objectif était de déposer le plus grand nombre de <em>.FR</em> de deux caractères dans les secondes suivants le changement tarifaire effectué par l'Afnic.</p>
<p>Hélas pour <strong>4x</strong>, site de vente de noms de domaine <em>.FR</em>, <a href="https://vialet.org/blog/post/2015/03/Main-basse-sur-le-landrush-des-noms-de-domaines-FR" hreflang="fr" title="Lire le billet : Main basse sur le landrush des .FR">l'ordre de dépôt aura été exécuté bien trop tôt</a>. L'Afnic a donc décidé le 10 mars, le lendemain, de libérer ces 311 noms de domaine tout en interdisant à <a href="https://4x.fr/" hreflang="fr">4x</a> de participer à ces nouveaux dépôts. La nouvelle date de libération était fixée au 11 mars à 15h.</p>
<h3>Une libération qui n'en a que le nom</h3>
<p>Ce mercredi 11 mars à 15h, ces 311 noms de domaine qui ont fait <a href="https://vialet.org/public/domaines/afnic/20150310-liste-des-311-ndd-1--2-car.pdf">l'objet d'un listing particulier</a> ont donc été « libérés ».</p>
<p><a href="https://vialet.org/public/domaines/afnic/whois-gandi_gv.fr.png" title="Whois Gandi du nom de domaine gv.fr"><img src="https://vialet.org/public/domaines/afnic/.whois-gandi_gv.fr_s.png" alt="Whois Gandi du nom de domaine gv.fr" style="float:right; margin: 0 0 1em 1em;" title="Whois Gandi du nom de domaine gv.fr" /></a></p>
<p>Cette libération de noms de domaine était gérée selon la règle du « premier arrivé - premier servi ». En clair, plus votre demande de dépôt était effectuée rapidement et plus vous aviez de chance d'obtenir un de ces noms de domaine.</p>
<p>Or, trois minutes plus tard, ils étaient tous réservés.</p>
<p>Le processus de réservation d'un nom de domaine chez <strong>OVH</strong>, le plus gros bureau d'enregistrement des <em>.FR</em>, prend au minimum deux à trois minutes, le temps de passer par une série d'écrans d'options, de mentions légales, d'identification, de paiement en ligne, etc.</p>
<p>Mais lorsqu'on procède à l'étude détaillée<sup>[<a href="https://vialet.org/post/2015/03/Quand-l-Afnic-fait-le-jeu-des-domaineurs#wiki-footnote-1" id="rev-wiki-footnote-1">1</a>]</sup> des bureaux d'enregistrement qui ont avec succès réservés un de ces 311 noms de domaine, on ne trouve pratiquement pas trace d'OVH, de <strong>1&1</strong> ou encore de <strong>Gandi</strong>, trois des plus populaires bureaux accrédités par l'Afnic.</p>
<h3>Qui a profité de cette libération ?</h3>
<p>On peut légitimement s'étonner de ne voir pratiquement aucun grand <em>registrar</em> dans la liste des bureaux ayant avec succès réservé un de ces précieux noms de domaine.</p>
<p>La liste des bureaux est pourtant assez longue, si l'on s'en réfère aux données publiques révélées par le <em>whois</em> de chaque nom de domaine.</p>
<p>On compte ainsi <strong>pas moins de 41 bureaux d'enregistrement</strong>, certains connus (<strong>Namebay</strong>, <strong>Mailclub</strong>, <strong>Orange</strong>) d'autres plus farfelus dans leur dénomination : <em>AD</em>, <em>AE</em>, <em>E</em>, <em>G</em>...</p>
<p><a href="https://vialet.org/public/domaines/afnic/stats-bureaux.png" title="Répartition des dépôts de .FR par bureaux d'enregistrement"><img src="https://vialet.org/public/domaines/afnic/.stats-bureaux_m.png" alt="Répartition des dépôts de .FR par bureaux d'enregistrement" style="display:table; margin:0 auto;" title="Répartition des dépôts de .FR par bureaux d'enregistrement" /></a></p>
<p>Voici la liste des bureaux d'enregistrement ayant réussi un dépôt ou plus parmi les 311 noms disponibles :</p>
<pre>
AD, AE, AFIR, ALCOTECH, ASTURIA, BZH 5 LIMITED, CYBER TAILLEFER, CYBERGESTION, DAUPHINE CONNECTE, DELTA PHI, DIGITALPES, DOMAINOO, E, ECOMMERCE SARL, EUROPE BUREAU, EXCEPTIONNEL, FB SARL, FB Sàrl, G, GRANSY s.r.o., IN MEDIA VERITAS, INTERNET SARL, KEY-SYSTEMS GmbH, MAILCLUB, MONAROBASE, NAMEBAY, NETIM, NETKREA, NEXTHAL, NORDNET, ONE 2 NET, OR, ORANGE, OVH, OXONE TECHNOLOGIES, P, PLANETHOSTER, PLANET-WORK, PROGRAMMEURS REUNIS, SONEXO B.V, TV
</pre>
<p>On constate immédiatement que <strong>13 bureaux sur les 41 ont déposés 10 noms de domaine ou plus</strong>, avec un record de de 22 noms sur 311 pour <strong>EUROPE BUREAU</strong> soit 7% de la totalité des noms disponibles à 15 heures.</p>
<p>Avec <strong>208 noms de domaine</strong> <em>.FR</em> de deux caractères déposés, ces 13 bureaux ont raflé <strong>près de 67% de la totalité des noms</strong> ainsi remis en vente.</p>
<p><a href="https://vialet.org/public/domaines/afnic/screenshot-www.nic.fr_2015-03-13.png" title="Données d'un bureau d'enregistrement sur le site de l'Afnic"><img src="https://vialet.org/public/domaines/afnic/.screenshot-www.nic.fr_2015-03-13_s.png" alt="Données d'un bureau d'enregistrement sur le site de l'Afnic" style="float:right; margin: 0 0 1em 1em;" title="Données d'un bureau d'enregistrement sur le site de l'Afnic" /></a></p>
<p>Étrangement, <em>Gandi</em> ou <em>1&1</em> sont absents du tableau tandis qu<em>'OVH</em> n'aura déposé que 4 noms de domaine, <strong>Nordnet</strong> 4 aussi ou <em>Orange</em> un seul petit nom.</p>
<p>En étudiant l'identité des déposants, c'est-à-dire le la personne physique ou morale qui a réellement effectué le dépôt à travers l'un de ces 41 bureaux, l'ampleur de ce détournement se précise.</p>
<p>Ainsi, derrière des dénominations cabalistiques comme P, OR, DIGITALPES, NETKREA... se cachent en réalité souvent la même société et quasi-systématiquement les mêmes individus.</p>
<p>Rapportés non plus par bureau d'enregistrement mais par propriétaire, lorsque celui-ci est connu, le graphique prend alors une toute autre forme.</p>
<p><a href="https://vialet.org/public/domaines/afnic/stats-deposants.png" title="Répartition des dépôts de .FR par déposants"><img src="https://vialet.org/public/domaines/afnic/.stats-deposants_m.png" alt="Répartition des dépôts de .FR par déposants" style="display:table; margin:0 auto;" title="Répartition des dépôts de .FR par déposants" /></a></p>
<p>En voici les données brutes :</p>
<pre>
BZH 5 Ltd. ... 6
CEPP S.A. ... 2
Cybergestion Tel Erotique Tchat ... 2
DOX.FR SAS ... 3
Naël Berbery (Exceptionnel.fr) ... 41
Faciès communication visuelle ... 1
Force Business (FB) SARL ... 152
FLUYD SAS ... 8
Inconnu ... 24
Jan Horak ... 4
KIFCORP SAS ... 36
Lyvans B ... 1
Monarobase SARL ... 3
NetTalk ... 17
POLE EMPLOI ... 1
Profession libérale ... 1
RACHAT DE SUCCESSION COM SAS ... 1
Saint-Gobain Distribution Bâtiment SAS ... 1
SDM SAS ... 1
THOM EUROPE (Histoire d'Or) ... 1
TRANSPORTS ALAINE SAS ... 1
</pre>
<p>On retrouve ainsi très souvent <strong>Mehdi Ghaoui</strong> (secondé de <a href="http://dirigeant.societe.com/dirigeant/Pierre.ACHACHE.95267882.html" hreflang="fr" title="Pierre Achache sur Societe.com">Pierre Achache</a>), notamment via la société <a href="http://www.force-business.com/mentions-legales" hreflang="fr" title="Mentions légales du site Force Business">Force Business</a> précédemment dénommée <em>TOP 5 DOMAINER</em>, ou encore <strong>Régis Gaillard</strong> du site <a href="http://www.kifdom.com/mentions-legales.php" hreflang="fr">KifDom.com</a> dont l'objet est <strong>la revente de noms expirés</strong>, ce qui donne une indication de la finalité des dépôts effectués : spéculer sur le prix de revente de ces noms rares.</p>
<p><strong>Naël Berbery</strong> a quant à lui plusieurs sociétés/bureaux à son actif : <strong>Dotlia</strong>, TV, AD, etc. qui lui ont permis de mettre la main sur 41 noms pour ce seul <a href="http://fr.wikipedia.org/wiki/Domaineur" hreflang="fr">domaineur</a>.</p>
<p>Enfin, on notera que <em>FB SARL</em> et <em>KIFCORP SAS</em> sont toutes deux basées à Grenoble.</p>
<h3>Des règles de gestion à revoir</h3>
<p>Le résultat de cette libération était donc joué d'avance : si comme moi vous espériez déposer un nom de domaine, il fallait pour cela multiplier les bureaux d'enregistrement comme l'ont fait <strong>ces acteurs du second marché</strong>.</p>
<p>La méthode est simple : il suffit de débourser <strong>500 € HT par an</strong> auprès de l'Afnic (voire <strong>1450 € HT</strong> afin de bénéficier d'une remise supplémentaire sur chaque opération) et vous avez votre bureau, le dossier technique et ses obligations étant très facilement répliqué.</p>
<p>Celui-ci ne sera contrôlé que tous les deux ans et manifestement, l'Afnic ne semble pas très regardante au vu de ce que j'ai pu trouver dans mes recherches : aucun de ces bureaux n'a réellement pignon sur rue, ils partagent souvent la même adresse ou ne disposent pas de moyens de contact ni même de site Web<sup>[<a href="https://vialet.org/post/2015/03/Quand-l-Afnic-fait-le-jeu-des-domaineurs#wiki-footnote-2" id="rev-wiki-footnote-2">2</a>]</sup>.</p>
<p><a href="https://vialet.org/public/domaines/afnic/Bareme-de-facturation-applicable-au-.fr.png" title="Barème de facturation applicable au .fr"><img src="https://vialet.org/public/domaines/afnic/.Bareme-de-facturation-applicable-au-.fr_m.png" alt="Barème de facturation applicable au .fr" style="display:table; margin:0 auto;" title="Barème de facturation applicable au .fr" /></a></p>
<p>En multipliant les bureaux, vous augmentez vos chances de déposer un nom de domaine libéré, soit dans le cadre d'évènements exceptionnels comme cette ouverture aux domaines d'1&2 caractères en .fr (vente qui doit venir alimenter une caisse de l'Afnic), soit lors de l'expiration d'un nom de domaine grâce aux techniques de « <a href="http://en.wikipedia.org/wiki/Domain_drop_catching" hreflang="en" title="Domain drop catching on Wikipedia">sniping</a> » <sup>[<a href="https://vialet.org/post/2015/03/Quand-l-Afnic-fait-le-jeu-des-domaineurs#wiki-footnote-3" id="rev-wiki-footnote-3">3</a>]</sup>.</p>
<p>Vous programmez vos propres robots qui attaqueront chacun une liste de noms de domaine à une heure et une date donnée en interrogeant directement l'Afnic. Votre ordre a alors toutes les chances de passer devant ceux des principaux bureaux ouverts au grand public.</p>
<p>Impossible alors de battre un robot qui place ses ordres à peine <strong>quelques secondes après la libération d'un nom</strong> de domaine quant il vous faut plusieurs dizaines voire plusieurs minutes pour boucler le votre.</p>
<p>Contrairement à ce que prétend l'Afnic, ces méthodes constituent bien <strong>une entrave à l'équitable accès de tous à ces noms de domaine</strong> : à aucun moment il n'a été fait mention de la nécessité de créer plusieurs bureaux accrédités et débourser un minimum de 500 € HT afin d'espérer pouvoir déposer un de ces noms rares.</p>
<p>L'organisation de cette libération de noms et la gestion de l'accréditation de bureaux sont donc directement en cause. Il m'apparait indispensable que le registre entreprenne la révision de ses méthodes et renforce ses contrôles.</p>
<p>Le second marché du nom de domaine a ainsi raflé la quasi-totalité de ces quelques 311 noms (sans parler de ce qui s'est passé lundi 9 mars) et pourra sans doute espérer les revendre <strong>entre 150 et 5000 euros pièce</strong>.</p>
<p>Enfin et pour finir sur une note légère, mentionnons le « coup de com' » <a href="http://www.numerama.com/magazine/32631-nom-de-domaine-fnfr-redirige-vers-le-ps-et-l-ump-un-troll-marketing.html" hreflang="fr" title="Nom de domaine FN.fr redirigé vers le PS et l'UMP : un troll marketing">de la société In Media Vertas</a> à travers le dépôt du nom de domaine <em>FN.FR</em>. ;-)</p>
<div class="footnotes"><h4>Notes</h4>
<p>[<a href="https://vialet.org/post/2015/03/Quand-l-Afnic-fait-le-jeu-des-domaineurs#rev-wiki-footnote-1" id="wiki-footnote-1">1</a>] Toutes les données présentées dans ce billet sont publiques, extraites du site de l'Afnic, du Registre du commerce et des sociétés, etc. Les noms cités sont ceux des représentants légaux des sociétés ou bureaux d'enregistrements listés .</p>
<p>[<a href="https://vialet.org/post/2015/03/Quand-l-Afnic-fait-le-jeu-des-domaineurs#rev-wiki-footnote-2" id="wiki-footnote-2">2</a>] Les exigences de l'Afnic sont extrêmement réduites en matière de coordonnées et méthodes de contact d'un bureau accrédité. De même, il faut bien comprendre qu'une société peut devenir son propre bureau d'enregistrement et ne réponde qu'à des besoins internes.</p>
<p>[<a href="https://vialet.org/post/2015/03/Quand-l-Afnic-fait-le-jeu-des-domaineurs#rev-wiki-footnote-3" id="wiki-footnote-3">3</a>] L'Afnic a annoncé début mars qu'elle autoriserait enfin à partir du 30 mars le dépôt des extensions dont elle a la gestion (<em>.FR</em>, <em>.RE</em>, <em>.YT</em>, <em>.WF</em>, <em>.TF</em> et <em>.PM</em>) sur plus d'une année (jusqu'à 10 ans), limitant ainsi la capacité de nuisance de certains domaineurs en matière de <em>domain sniping</em>. Source : <a href="https://www.gandi.net/news/fr/2015-03-13/3568-les_.fr_passent_en_multi-annees/" hreflang="fr" title="Les .FR passent en multi-années">Gandi au 13.03.2015</a>.</p></div>
Main basse sur le landrush des .FRurn:md5:4050525e3292405c556aed98cd49f4d72015-03-09T13:54:00+01:002022-08-14T09:52:35+02:00Guillaume VialetInternet4xafnicdomainedomainer <p>La société 4X, spécialisée dans la revente de noms de domaine, a réservé de très nombreux noms de domaine de deux caractères encore disponibles ce matin à quelques minutes de leur mise en vente à 129 euros HT.</p>
<p>Beaucoup d'internautes ont constaté avec dépit ce midi que le nom de domaine .FR de deux caractères qu'ils convoitaient n'était plus disponible avant même le début de la nouvelle phase de <em>landrush</em> organisée par <a href="http://fr.wikipedia.org/wiki/Association_fran%C3%A7aise_pour_le_nommage_Internet_en_coop%C3%A9ration" hreflang="fr">l'AFNIC</a>, le bureau de gestion de ce <em>ccTLD</em> (quand bien même il l'était à 11h).</p>
<h3>Du bureau d'enregistrement Cantal Digital...</h3>
<p><a href="https://vialet.org/public/domaines/4x/whois-nic-fr.png" title="Whois nom de domaine FR"><img src="https://vialet.org/public/domaines/4x/.whois-nic-fr_sq.png" alt="Whois nom de domaine FR" style="float:left; margin: 0 1em 1em 0;" title="Whois nom de domaine FR" /></a>Le nom de domaine que je convoitais personnellement a été déposé à 11h50 via <a href="http://fr.wikipedia.org/wiki/Bureau_d%27enregistrement" hreflang="fr">le bureau d'enregistrement</a> <em>Cantal Digital</em> au profit de la société <em>4x</em>.</p>
<p><a href="https://vialet.org/public/domaines/4x/capture_site_cantal_digital_mentions-legales.png" title="Caputre d'écran des mentions légales du site Cantal Digital"><img src="https://vialet.org/public/domaines/4x/.capture_site_cantal_digital_mentions-legales_s.png" alt="Caputre d'écran des mentions légales du site Cantal Digital" style="float:right; margin: 0 0 1em 1em;" title="Caputre d'écran des mentions légales du site Cantal Digital" /></a>En réalité, plusieurs bureaux tous domiciliés à la même adresse et appartenant à la même personne, <strong>M. Tristan Colombet</strong>, ont procédé au dépôt de très nombreux noms de domaine .FR de deux caractères encore disponibles avant 12h.</p>
<p>Ces bureaux sont notamment : <strong>Cantal Digital</strong>, <strong>Haute-Loire Registrar</strong>, <strong>Allier Connecté</strong> ou <strong>Puy de Domaîne</strong> (<em>sic</em>).</p>
<p>Toutes sont domiciliées chez <a href="http://www.societe.com/societe/sci-t-colombet-484579883.html" hreflang="fr">SCI T Colombet</a>, 22 Allée Alan Turing à Clermont-Ferrand.</p>
<h3>...à la place de marché 4X SAS</h3>
<p>Tous ces <em>registrars</em> ne semblent servir que les intérêts de la place de marché <strong>4x.fr</strong>, propriété elle aussi de M. Tristan Colombet et hébergée à la même adresse.</p>
<p>Sans intervention de la part de l'AFNIC, tous les noms de domaine devraient réapparaitre sous peu sur cette place de marché afin d'être « revendus » bien plus chers que les 129 euros demandés initialement.</p>
<p><a href="https://vialet.org/public/domaines/4x/screenshot-twitter.com_2015-03-09.png" title="Tweet de l'AFNIC"><img src="https://vialet.org/public/domaines/4x/.screenshot-twitter.com_2015-03-09_m.png" alt="Tweet de l'AFNIC" style="display:table; margin:0 auto;" title="Tweet de l'AFNIC" /></a></p>
<p>Selon l'AFNIC qui a réagi ce midi suite à différentes plaintes formulées sur les réseaux sociaux, tout domaine réservé avant midi sera facturé <strong>5 000 euros HT</strong>.</p>
<p>L'intéressé aura donc trouvé un moyen de déposer avant l'heure plusieurs noms de domaine mais facturables 129 € HT, sans quoi l'opération serait un fiasco financier.</p>
<p>Le fin mot de l'histoire devrait nous être révélé vers 15h, l'AFNIC ayant décidé de publier un communiqué de presse à ce sujet <a href="https://www.afnic.fr/fr/l-afnic-en-bref/actualites/actualites-generales/" hreflang="fr">sur son site</a>.</p>
<p>A suivre, donc.</p>
<div class="mise-a-jour" id="mise-a-jour-01">
<p><strong>Mise à jour à 15h</strong> : Voici le communiqué de l'Afnic <a href="https://www.afnic.fr/fr/l-afnic-en-bref/actualites/actualites-generales/8833/show/ouverture-des-1-2-caractere-s-derniere-semaine-de-landrush.html">publié à 15h</a> :</p>
<p style="font-style:italic;">(...) Dans le dernier quart d'heure de la période de tarification à 5000 euros HT par nom de domaine, l'Afnic a cependant constaté un emballement des enregistrements (<strong>plus de 300</strong>).</p>
<p style="font-style:italic;">Nous enquêtons actuellement auprès des bureaux d'enregistrement ayant procédé à ces demandes afin de nous assurer qu'ils ont bien provisionné ces dépenses importantes, qui permettront d'alimenter la nouvelle fondation Afnic pour la solidarité numérique.</p>
<p style="font-style:italic;">Une telle opération, si elle avait été commise sans la volonté de s'acquitter des sommes dues, représenterait une entrave à l'équitable accès de tous à ces noms de domaine. Si tel était le cas, l'Afnic prendrait des disposition immédiates, d'une part pour sanctionner les bureaux d'enregistrement fautifs, d'autre part, pour remettre à disposition ces noms de domaines indument réservés.</p>
<p style="font-style:italic;">Nous vous tiendrons informé des développements d'ici mardi 10 mars, midi.</p>
</div>
<div class="mise-a-jour" id="mise-a-jour-02">
<p><strong>Mise à jour au 10/03/2015</strong> : la sanction est tombée, l'Afnic interdit aux bureaux d'enregistrement créés pour les besoins de la place de marché de noms de domaine 4x de participer à la remise à disposition de quelques <strong>311 noms de domaine .FR de deux lettres</strong> déposés par erreur entre 11h30 et 11h59 le 9 mars dernier.</p>
<p>Voici le communiqué publié sur <a href="https://www.afnic.fr/fr/l-afnic-en-bref/actualites/actualites-generales/8849/show/ouverture-1-2-caractere-s-en-fr-311-domaines-remis-a-disposition-le-11-03-1.html">le site de l'Afnic</a> :</p>
<p style="font-style:italic;">L'Afnic a détecté un emballement des enregistrements dans la demi-heure précédent le passage en phase de facturation à 100 euros HT, soit entre 11h30 et 11h59.</p>
<p style="font-style:italic;">Suite à une enquête auprès des bureaux d'enregistrement ayant procédé à ces demandes, l'Afnic constate que 311 noms de domaine ont été enregistrés au tarif de 5000 euros HT avant le passage à la tarification à 100 euros HT, et que les bureaux d'enregistrement contactés indiquent qu'il s'agit d'une erreur technique.</p>
<p style="font-style:italic;">Étant donné que ces dépôts représentent une entrave évidente de l'accès à tous à l'enregistrement de ces noms de domaine, ils feront l'objet d'une mise à disposition spécifique le mercredi 11 mars à 15h (heure de Paris). La liste des noms de domaine concernés sera publiée sur le site de l'Afnic avant 19h ce jour mardi 10 mars 2015.</p>
<p style="font-style:italic;">De plus, cet incident ayant perturbé le bon déroulement du programme d'ouverture des 1&2 caractères, l'Afnic a pris la décision de sanctionner les bureaux d'enregistrement concernés en procédant, à compter de ce jour, à la suspension de leur contrat d'enregistrement jusqu'au mardi 17 mars à 16h (heure de Paris), les excluant de fait de la participation à la fin de l'ouverture des noms de domaine en 1 et 2 caractère(s).</p>
</div>
Cloudwatt, Push Emploi et moiurn:md5:7a230b6d61a28afb97a6aa3a1bca93462015-02-16T12:38:00+01:002022-08-14T10:04:59+02:00Guillaume VialetHall of Spamcloudwattorangepushemploispamthales <p>La fuite de données ou <em>data leak</em> en anglais, est une des sources de nombreux spams : piratage, vol de données, malversations, erreurs, prestataires indélicats. Les causes possibles de fuites sont nombreuses. En voici une.</p>
<p>En matière de fuite de données personnelles, plusieurs cas de figure se présentent habituellement :</p>
<ul>
<li>le revente licite (via l<em>'opt-in</em> partenaire) ou illicite (sans votre accord) ;</li>
<li>le piratage de données (votre fournisseur se fait voler les données de ses clients) ;</li>
<li>un salarié ou prestataire indélicat utilise ou part avec la base de données.</li>
</ul>
<p>J'ai donc reçu il y a quelques jours de cela un e-mailing commercial poussé par <strong>Agnès de Push Emploi</strong> intitulé : « 3 millions de chômeurs en France, et vous ? ». Comparant le chômage au virus Ebola ou au terrorisme, l'objet de la prospection était de me faire remplir un questionnaire sur <em>Google Docs</em> permettant « <em>d'éradiquer ce fléau</em> ».</p>
<blockquote><p>Push Emploi est un nouveau service qui va vous permettre d'accompagner un demandeur d'emploi et le transformer en trouveur d'emploi.</p></blockquote>
<p>Au-delà du ton anxiogène employé dans cette prospection commerciale, c'est l'adresse utilisée qui a retenu toute mon attention : l'e-mail visé était celui que j'avais confié à la société <a href="http://fr.wikipedia.org/wiki/Cloudwatt" hreflang="fr">Cloudwatt</a>, récemment reprise par Orange.</p>
<p>L'objet de <strong>Cloudwatt</strong> était le développement d'un <a href="http://fr.wikipedia.org/wiki/Androm%C3%A8de_%28cloud%29" hreflang="fr">cloud souverain</a> qui ne verra probablement jamais le jour, la tendance s'étant plutôt inversé : <strong>chacun doit pouvoir pouvoir posséder ses propres données personnelles</strong>, plutôt que d'espérer qu'une initiative semi-publique ne se concrétise.</p>
<p>Après avoir été notamment financé par la caisse des dépôts à hauteur de <strong>75 millions d'euros</strong>, Cloudwatt a finalement été absorbé le 15 janvier 2015 par l'un de ses contributeurs.</p>
<h3>De Cloudwatt à Push Emploi</h3>
<p>Sur le site de <a href="http://pushemploi.fr" hreflang="fr">Push Emploi</a>, aucune mention légale n'est actuellement présente : pas d'adresse, de numéro <abbr title="Registre du commerce et des sociétés">RCS</abbr>, de noms, de numéros de téléphone, de référence à une déclaration <abbr title="Commission nationale de l'informatique et des libertés">CNIL</abbr>, etc. comme la loi oblige pourtant tout responsable de publication de site Web. Les données reliées aux nom de domaine <em>pushemploi.fr</em> sont masquées.</p>
<p><a href="https://vialet.org/public/Spam/cloudwatt/capture_Terms_of_Service_PushEmploi.png" title="Capture d'écran de la page des conditions générales du site Push Emploi, tous droits réservés"><img src="https://vialet.org/public/Spam/cloudwatt/.capture_Terms_of_Service_PushEmploi_m.png" alt="Capture d'écran de la page des conditions générales du site Push Emploi, tous droits réservés" style="display:table; margin:0 auto;" title="Capture d'écran de la page des conditions générales du site Push Emploi, tous droits réservés" /></a></p>
<p>C'est en étudiant le « communiqué de presse » poussé par e-mail, <a href="http://pviq.mj.am/nl/pviq/x.html" hreflang="fr">disponible à cette adresse</a>, que je prends connaissance des commanditaires de ce courriel indésirable.</p>
<p>Il s'agit de trois associés dont deux seraient <strong>des anciens employés de la société Cloudwatt</strong> d'après leurs profils sur <strong>LinkedIn</strong>. Voilà donc le lien entre <em>Push Emploi</em> et mon adresse e-mail <em>Cloudwatt</em>.</p>
<p>Le <em>spam</em> a été envoyé via un compte <strong>Mailjet</strong>, qui a comme d'habitude tout de suite réagi à ma plainte.</p>
<h3>« Une regrettable erreur »</h3>
<p><a href="https://vialet.org/public/Spam/cloudwatt/05656188-photo-cloudwatt.jpg" title="Campagne de collecte d'adresses e-mail par Cloudwatt, tous droits réservés"><img src="https://vialet.org/public/Spam/cloudwatt/.05656188-photo-cloudwatt_m.jpg" alt="Campagne de collecte d'adresses e-mail par Cloudwatt, tous droits réservés" style="display:table; margin:0 auto;" title="Campagne de collecte d'adresses e-mail par Cloudwatt, tous droits réservés" /></a></p>
<p>J'interpelle ensuite sur Twitter <em>Cloudwatt</em> et les trois protagonistes de <em>Push Emploi</em>. L'un d'eux me donnera en message privé l'explication de ce spam : une erreur de « segmentation » de bases de données.</p>
<p>Que mon adresse personnelle soit présente sur le compte personnel d'un (nouvellement) ancien salarié de <em>Cloudwatt</em> chez <em>Mailjet</em> plus d'un an après avoir été confiée à cette société ne semble poser de problème à personne chez <em>Cloudwatt</em>.</p>
<h3>Vers plus de transparence, de responsabilité et de formalisme</h3>
<p><a href="https://vialet.org/public/Spam/cloudwatt/cloudwatt_logo.png" title="Logotype de la société Cloudwatt, tous droits réservés"><img src="https://vialet.org/public/Spam/cloudwatt/.cloudwatt_logo_s.png" alt="Logotype de la société Cloudwatt, tous droits réservés" style="float:right; margin: 0 0 1em 1em;" title="Logotype de la société Cloudwatt, tous droits réservés" /></a></p>
<p>La <a href="https://vialet.org/blog/post/2013/09/La-FEVAD-et-le-SNCD-aiment-un-peu-trop-vos-donnees-personnelles">future loi européenne</a> sur le traitement des données personnelles, notamment à des fins commerciales, va précisément répondre à ces graves manquements professionnels qui sont loin d'être des cas isolés.</p>
<p>Malgré la résistance des acteurs de ce secteur, la loi imposera notamment aux sociétés deux mesures qui me semblent ici essentielles :</p>
<ol>
<li><strong>La traçabilité des données collectées</strong> : <em>Push Emploi</em> aura la responsabilité de fournir à qui en demandera copie l'origine des données collectées depuis le jour de la collecte jusqu'au jour de son utilisation. Ainsi, <em>Mailjet</em> ou d'autres prestataires seront en droit d'exiger cette information avant le routage des e-mailings alors qu'ils ne peuvent compter que sur la bonne foi de leurs clients et une déclaration de principe.</li>
<li><strong>L'obligation de communiquer tout abus en matière d'utilisation de données personnelles</strong> : dans la nouvelle législation, <em>Cloudwatt</em> aura l'obligation de communiquer à ses utilisateurs, abonnés, clients, etc. que leurs données personnelles ont été utilisées frauduleusement par un tiers, en l'occurrence <em>Push Emploi</em> même si <em>a priori</em> cet envoi est « accidentel ». A l'heure actuelle, ces abus sont passés sous silence.</li>
</ol>
<p>Ce n'est pas à vous, internautes, de faire la chasse aux <a href="http://en.wikipedia.org/wiki/Data_breach" hreflang="en">data leaking</a> de données personnelles mais à ceux qui sont à l'origine de la collecte et qui ont de plus le devoir de vous en informer.</p>
<p>Les fournisseurs tels que les hébergeurs et les routeurs d'e-mailings doivent aussi pouvoir compter sur un document de traçabilité de la collecte des données personnelles, élément de confiance essentiel.</p>
<h3><ins>Mise à jour</ins></h3>
<p>La société <strong>Cloudwatt</strong> a été alertée la semaine dernière de l'utilisation de ce fichier constitué notamment au lancement du projet et lors de la participation à des campagnes de tests. Elle a depuis déposé plainte auprès de la CNIL et condamne fermement ce type d'agissements. Le site <em>pushemploi.fr</em> a fermé depuis la publication de ce billet, sans savoir si cette plainte en est la cause.</p>Bombardement en règle par Promo-Plusurn:md5:e6bc71eab52b8e6c4a8f97e74195a5152015-02-02T17:23:00+01:002015-02-04T13:21:10+01:00Guillaume VialetHall of Spamaffiliationemailingfedereffenarefpromo-plusspamzanox<p>Un « nouveau » super programme marketing financé par l'affiliation a déboulé dans ma boîte de réception. Son petit nom ? Promo-plus.fr !</p> <p><img src="https://vialet.org/public/FENAREF/.screenshot-www.federef_m.jpg" alt="Capture d'écran de la page d'accueil de Federef, tous droits réservés" style="display:block; margin:0 auto;" title="Capture d'écran de la page d'accueil de Federef, tous droits réservés" /></p>
<p>Il ne se passe plus une semaine sans que les bases pirates que je suis ne soient sollicitées à grand renfort de prestataires qui ont pourtant pignon sur rue et <abbr title="Registre du Commerce et des Sociétés">RCS</abbr> en bon et due forme.</p>
<h3>Un mystérieux programme appelé promo-plus.fr...</h3>
<p>Tout commence par un e-mail reçu une sur adresse e-mail qui n'est pas censé recevoir de messages, ni privés ni commerciaux, en tous les cas pas depuis 2004 et le grand nettoyage que les propriétaires de bases de données étaient censés effectuer.</p>
<p><a href="https://vialet.org/public/FENAREF/spam-screenshot-2015-01-30.png" title="Capture d'écrans de spams envoyés par FENAREF"><img src="https://vialet.org/public/FENAREF/.spam-screenshot-2015-01-30_m.png" alt="Capture d'écrans de spams envoyés par FENAREF" style="display:block; margin:0 auto;" title="Capture d'écrans de spams envoyés par FENAREF" /></a></p>
<p>Elle aura donc tourné depuis 10 ans afin de se retrouver dans un lot acheté par une personne peu scrupuleuse et qui a débuté ses envois fin novembre 2013.</p>
<h3>...et 80 e-mails plus tard</h3>
<p>Entre le 25 novembre 2014 et le 31 janvier 2015, j'ai reçu pas moins de 79 e-mails poussés par promo-plus.fr, soit <strong>un peu plus d'un spam par jour</strong> pendant deux mois.</p>
<p>Le nom de domaine promo-plus.fr est <strong>hébergé chez OVH</strong> qui s'est rapidement fait une réputation en matière de laxisme vis-à-vis des spammeurs comme notre candidat au <a href="https://vialet.org/blog/category/Spam" hreflang="fr">Hall of Spam</a>. Le domaine est en <em>parking</em>, aucun site n'y est rattaché.</p>
<p>Une requête <em>wois</em> sur ce nom de domaine déposé en juillet 2013 nous donne les informations suivantes :</p>
<pre>
FENAREF
102, avenue des Champs Élysées
75008 Paris
+33 1 75 43 40 81
ifederef@gmail.com
</pre>
<p>Notre spammeur serait donc la société « FENAREF ». Nous trouvons bien une société à ce nom et à cette adresse dans <a href="http://www.societe.com/societe/fenaref-532097540.html" title="FENAREF sur Societe.com">le registre du commerce</a> sous le SIREN 532 097 540.</p>
<p>Son actuel dirigeant (un changement à la tête de la société a été opéré en 2013) s'appellerait <strong>Didier Atlani</strong> et son ancien gérant Rubens Seror, selon le <abbr title="Bulletin officiel des annonces civiles et commerciales">BODACC</abbr>.</p>
<p>Aucun compte n'a été déposé depuis 2011 et seuls deux actes ont été enregistrés au greffe.</p>
<h3>DE FENAREF à FEDEREF</h3>
<p><strong>FENAREF</strong> serait en réalité la <strong>Fédération nationale des retraites de France</strong> ou du moins elle l'aurait été un temps. Mais aucun site n'existe plus aujourd'hui.</p>
<p><a href="https://vialet.org/public/FENAREF/screenshot-mail-verbaudet.jpg" title="Spam Verbaudet poussé par FEDEREF via Zanox"><img src="https://vialet.org/public/FENAREF/.screenshot-mail-verbaudet_s.jpg" alt="Spam Verbaudet poussé par FEDEREF via Zanox" style="float:right; margin: 0 0 1em 1em;" title="Spam Verbaudet poussé par FEDEREF via Zanox" /></a></p>
<p>Par contre, la société édite toujours le site <strong>FEDEREF</strong> comme l'indiquent <a href="http://www.federef.fr/mentionslegales.aspx" hreflang="fr" title="Mentions légales du site FEDEREF">les mentions légales</a> difficilement accessibles depuis leur site.</p>
<p>FEDEREF serait donc une communauté dédiée aux séniors. Elle se revendique d'ailleurs d'associations prestigieuses comme celles du <strong>Téléthon</strong> ou de <strong>Médecins sans frontières</strong>.</p>
<p>Cette avalanche de spams n'a d'autre objectif que de monétiser les bases de données achetées et exploitées dans la plus totale illégalité.</p>
<h3>De nombreux programmes d'affiliation concernés</h3>
<p>Alerté par mes soins, <strong>Zanox</strong> qui fait partie de la liste des programmes d'affiliations par lesquels <em>FEDEREF</em> pousse ses campagnes au profit de Balsamik, Monoprix, IKKS, Habitat, Verbaudet, Nocibé, H&M, etc. semble avoir pris la mesure du problème.</p>
<p><a href="https://vialet.org/public/FENAREF/footer-federef.jpg" title="Extrait du pied de page de FEDERF"><img src="https://vialet.org/public/FENAREF/footer-federef.jpg" alt="Extrait du pied de page de FEDERF" style="display:block; margin:0 auto;" title="Extrait du pied de page de FEDERF" /></a></p>
<p>Malgré toutes les précautions et les chartes signées par les différents acteurs du marketing direct, force est de constater qu'on retrouve toujours plus de pseudo-programmes animés par de grands noms du Web : Zanox, TradeDoubler, etc.</p>
<p>Il serait grand temps que l'e-mailing disparaisse de ces plateformes en attendant que la législation européenne impose à ces acteurs ce qu'ils ne sont pas capable de mettre en place : <strong>la traçabilité de nos données personnelles</strong> exploitées commercialement par des sociétés peu scrupuleuses qui sont pourtant leurs clients.</p>
<h3>De très nombreuses marques complices</h3>
<p>Voici la longue liste des marques utilisées par le spammeur que l'on retrouve habituellement dans de nombreuses <strong>régies publicitaires en affiliation</strong> :</p>
<ul>
<li>IKKS</li>
<li>Monoprix Mode</li>
<li>Giordano Vins</li>
<li>Brice</li>
<li>Blancheporte</li>
<li>Daxon</li>
<li>Blanc Cerise</li>
<li>Oïa-Parfums.fr</li>
<li>Habitat</li>
<li>Uncle Jeans</li>
<li>Phildar</li>
<li>Ski Express</li>
<li>Tati</li>
<li>Tous les Héros</li>
<li>Balsamik</li>
<li>Derhy</li>
<li>Jacqueline Riu</li>
<li>Nocibe</li>
<li>H&M</li>
<li>iDGARAGES.com</li>
<li>Naturalliance</li>
<li>Location Vacances Express</li>
<li>Françoise Saget</li>
<li>Locasun</li>
<li>Cyrillus</li>
<li>Peter Hahn</li>
<li>Linvosges</li>
<li>L'Occitane</li>
<li>Dodo</li>
<li>Made.com</li>
<li>Norauto</li>
<li>Isotoner</li>
<li>Tintamar</li>
<li>Bonprix</li>
<li>Vertbaudet</li>
<li>My M&M's</li>
<li>A.Testoni</li>
<li>BASKETPRIVEE</li>
</ul>Toujours spammé par R2J alias Performeclicurn:md5:1ec1dcf07a4fe4d075b8c74372d06a022015-02-02T12:41:00+01:002022-08-14T10:10:40+02:00Guillaume VialetHall of Spamcapaffiliationperformeclicpflr2jspamweboramazanox <p>L'entreprise qui a déjà fait l'objet <a href="https://vialet.org/blog/post/2013/10/Une-pluie-d-e-mails-signee-R2J-Company" hreflang="fr">d'un billet</a> il y a près d'un an et demi dans ces colonnes fait encore parler d'elle grâce à plusieurs programmes d'affiliation.</p>
<p><strong>R2J</strong> est une vieille connaissance de ce blog. La société de <a href="http://www.societe.com/societe/r2j-company-529577322.html" hreflang="fr">Raphaël COHEN</a> et Jérémie ELBAZ n'en est pas à son premier coup d'essai en matière d'utilisation de bases de données frauduleusement acquises. Cette société agit aussi sous le nom de <strong>Performeclic</strong> ou <strong>PFL</strong>.</p>
<h3>« <em>Grand acteur de l'e-mailing direct</em> »</h3>
<p>La méthode est toujours la même :</p>
<ol>
<li>Acheter des bases de données d'adresses e-mails en grand nombre, sans <em>opt-in</em>, collectées illégalement, etc.</li>
<li>S'affilier auprès d'un grand nombre de <strong>plateformes d'affiliation</strong> : TradeDoubler, Zanox, Weborama, CapAffiliation...</li>
<li>Déposer de <strong>nombreux noms de domaine</strong> jetables : transisky.fr, opensoftt.fr, sysmar.fr, astraserv.fr, transiping.fr, astrafil.fr, openboxx.fr, transisoft.fr...</li>
<li>Router depuis de nombreux hébergeurs des campagnes qui rentabiliseront ces dépenses.</li>
<li>Sans préciser l'identité du routeur ou le propriétaire de la base dans l'e-mailing.</li>
<li>Encaisser son chèque de la plateforme d'affiliation.</li>
</ol>
<h3>Agir en toute impunité</h3>
<p>Passez par une offre d'hébergement jetable : un serveur virtuel chez <strong>Firstheberg</strong>, <strong>Online</strong> ou <strong>OVH</strong>, poussez autant de spams que vous pourrez avant de rendre le VPS et son IP black-listée.</p>
<p>Ne craignez pas la <strong>CNIL</strong> et son programme <a href="https://www.signal-spam.fr/" hreflang="fr">Signal-Spam</a>. Au pire, vous serez peut-être audité par la commission, si vraiment vous n'avez pas de chance. Encore faut-il que vous ayez des bureaux : une simple domiciliation commerciale suffira.</p>
<p>Les hébergeurs renverront la responsabilité des <em>spams</em> au mystérieux propriétaire des bases, tout comme le registre des noms de domaine <em>FR</em> se drapera de sa charte de responsabilité, sans parler des plateformes d'affiliation qui bénéficient en premier lieu de ce schéma classique.</p>
<p>Toutes ont pourtant un seul et même client : votre spammeur.</p>Spammé par Canal+ via Freeurn:md5:ce085b498e5927a17916d37565dc52862014-12-03T09:55:00+01:002022-08-14T10:44:38+02:00Guillaume VialetHall of Spamcanalplusfreemarketingprospectionspam<p>Lorsque vous êtes client du fournisseur d'accès à Internet <em>Free</em>, vous devenez automatiquement la cible des téléprospecteurs, des courriers commerciaux et des e-mailings publicitaires de Canal+. Et pour longtemps.</p> <p><img src="https://vialet.org/public/Spam/free/canalplay_logo_spam.jpg" alt="Logotype détourné de CanalPlay, tous droits réservés" style="display:table; margin:0 auto;" title="Logotype détourné de CanalPlay, tous droits réservés" /></p>
<p>Qui n'a jamais reçu un coup de téléphone d'un téléopérateur de <strong>Canal+</strong> sur son numéro fixe <strong>Free</strong> afin de se voir proposer les services de cette chaîne payante ? Qui n'a pas non plus pesté en relevant son courrier et constaté un énième plis publicitaire de cette même société ?</p>
<h3>De l'envoi de plis publicitaires...</h3>
<p>Comment Canal+ s'est-il procuré vos données personnelles ? Elles ont été transmises directement par un acteur en qui vous deviez avoir entière confiance : votre fournisseur d'accès à Internet, <strong>Free</strong>.</p>
<p><a href="https://vialet.org/public/Spam/free/adsl_free_fr_2014-12-02.png" title="Capture d'écran des préférences de réception de sollicitations commerciales, Free.fr"><img src="https://vialet.org/public/Spam/free/.adsl_free_fr_2014-12-02_m.png" alt="Capture d'écran des préférences de réception de sollicitations commerciales, Free.fr" style="display:table; margin:0 auto;" title="Capture d'écran des préférences de réception de sollicitations commerciales, Free.fr" /></a></p>
<p>Je pensais pourtant en avoir fini après de nombreux appels de leur service commercial qui finissaient à chaque fois par une demande de suppression de leurs fichiers, demande qui aura fini par aboutir, n'étant plus démarché par cette méthode.</p>
<p><a href="https://vialet.org/public/Spam/free/courrier-publicitaire-canalsat-free.jpg" title="Courrier publicitaire Canalsat via Free"><img src="https://vialet.org/public/Spam/free/.courrier-publicitaire-canalsat-free_s.jpg" alt="Courrier publicitaire Canalsat via Free" style="float:right; margin: 0 0 1em 1em;" title="Courrier publicitaire Canalsat via Free" /></a>Ce qui n'est malheureusement pas le cas de la publicité par courrier.</p>
<p>Je devais recevoir la semaine dernière un mailing poussé par Canal+ grâce <strong>aux données personnelles vendues par Free sans mon accord</strong> (voir le réglage <em>opt-in</em> ci-dessus qui n'a pas changé depuis plusieurs années).</p>
<p>Au passage, la civilité s'est perdue dans les rouages de ces deux sociétés, preuve s'il en faut de la qualité du traitement de l'information et je suis devenue une demoiselle. <em>Dont acte</em>.</p>
<h3>...au spam par e-mail</h3>
<p>La capacité de nuisance de cette société avec la complicité de Free a grimpé d'un niveau hier avec la réception d'un spam par e-mail poussé par <strong>Canalplay via Free</strong>.</p>
<blockquote><p>GUILLAUME, votre 1er mois offert sur CANALPLAY avec Free</p></blockquote>
<p>Il n'y a donc aucune ambiguïté sur l'origine de la vente de mes données personnelles au groupe Canal+.</p>
<p><a href="https://vialet.org/blog/post/2009/09/Deux-nouvelles-entrees-chez-les-spammeurs-Free-et-TheatreOnline">Il y a quelques années</a>, <a href="http://fr.wikipedia.org/wiki/Xavier_Niel" hreflang="fr" title="Xavier Niel sur Wikipédia">Xavier Niel</a> m'avait personnellement assuré que sa société ne faisait pas commerce de ce type de données (à l'époque, Canal+ avait vendu mon adresse e-mail à la société <strong>Yuseo</strong>). Il faut croire que les choses ont changé aujourd'hui.</p>
<p><q>Si vous ne souhaitez plus recevoir d'offres commerciales de notre part par e-mail, vous pouvez vous désinscrire ici.</q></p>
<p>Les clients de <em>Free</em> aimeraient sans doute savoir ce qu'il advient des données personnelles et confidentielles qu'ils ont confiées à leur <abbr title="Fournisseur d'accès à internet">FAI</abbr> et pourquoi ces informations sont vendues au groupe <em>Canal+</em> sans leur accord.</p>
<p>A noter que l'e-mailing a été routé par les services d'<strong>Orange Business</strong>, <strong>NP6</strong> et <strong>Akamai</strong>.</p>
<div class="mise-a-jour" id="mise-a-jour-01">
<p><strong>Mise à jour au 5 décembre</strong> : en consultant les archives de mes spams, j'ai réalisé que Canal+ avait déjà réalisé un envoi sur mon adresse Free en juillet 2013, déjà sans autorisation. Message commercial qui débutait par <em>Prénom, cet été découvrez CANALPLAY INFINITY</em>.</p>
</div>
Spammé via Weedo IT membre du SNCDurn:md5:532ac9b3e2a0008baa18b0c92dfe69a72014-11-20T13:06:00+01:002022-08-14T10:44:33+02:00Guillaume VialetHall of Spamafniclocostianetconcoursovhsncdspamweedoit <p>De nouveau du spam relayé par un programme « <em>100% à la performance</em> » probablement poussé par un client de cette société et qui utilise une base de contacts constituée dans la plus totale illégalité. Et en toute impunité.</p>
<p>Je devais recevoir ce matin un énième spam <strong>100% made in France</strong> si je puis dire, toujours articulé de la même façon : un affilié et un nom de domaine anonymes, un hébergement chez OVH, une plateforme d'affiliation complaisante et un client final lui aussi peu scrupuleux.</p>
<h3>D'un e-mail totalement anonyme...</h3>
<p>Ce spam est poussé au nom de « <strong>Locostia via netconcours</strong> » dont il fait la promotion via l'adresse anonymisée grâce aux bons soins de <strong>l'Afnic</strong>, <em>l'Association française pour le nommage Internet en coopération</em> qui le rend totalement intraçable pour qui voudrait déposer une plainte.</p>
<blockquote><p>Vous recevez ce mail car vous êtes abonné(e) à Netconcour, enregistrée auprès de la CNIL sous le numéro 168799. Conformément à la Loi Informatique et Libertés du 6 Janvier 1978, vous disposez d'un droit d'accès, de modification et de suppression des données personnelles vous concernant, que vous pouvez exercer à tout moment sur demande: contact@netconcour.com</p></blockquote>
<p>Le nom de domaine <strong>netconcour.com</strong> n'existant pas, il ne me reste qu'à me tourner vers <em>Locostia</em>.</p>
<p>Cette « société » dont le site est <a href="http://www.weedoit.fr/tracking/mentions-legales-locostia.fr.html" hreflang="fr">édité et hébergé</a> par la société <strong>Weedo IT</strong> serait en réalité la propriété de l'<strong>Européenne de Courtage d'Assurance</strong> si l'on veut bien croire le <a href="http://www.afnic.fr/fr/produits-et-services/services/whois/" hreflang="fr">whois</a> du nom de domaine <strong>locostia.fr</strong> :</p>
<pre>
EUROPEENNE DE COURTAGE D'ASSURANCE
92-98, boulevard Victor Hugo
92110 Clichy
France
Téléphone : +33 1 53 20 68 37
Courrier électronique : domaines@eca-assurances.com
</pre>
<p>Cette société <a href="http://eca-assurances.com/assurances/info_legales_.php" hreflang="fr">assure pourtant sur son site</a> son « <em>engagement de transparence au service de votre sécurité</em> », mais manifestement pas des données personnelles qui servent à la prospection de ses futurs clients.</p>
<p>A ce stade, vous avez donc reçu un <em>spam</em> poussé par la marque ou la société <em>Locostia</em> (vous n'en savez rien, le site étant enregistré au nom de <em>Weedo IT</em>) qui vous demande de nombreuses informations personnelles sur votre foyer et votre santé.</p>
<p>Le <a href="http://fr.wikipedia.org/wiki/G%C3%A9n%C3%A9ration_de_leads" hreflang="fr" title="Génération de leads sur Wikipédia">« lead » en marketing direct</a> se vend en effet très cher dans l'assurance, il rapporte donc logiquement beaucoup aux spammeurs et à leurs intermédiaires.</p>
<h3>...à une agence de marketing membre du <abbr title="Syndicat National de la Communication Directe">SNCD</abbr></h3>
<p>Le site du spammeur par lequel l'e-mailing a été envoyé est <strong>hébergé en France chez OVH</strong>, son nom de domaine <strong>sendtome.fr</strong> est lui-aussi hébergé chez OVH et protégé par l'Afnic qui en masque le dépositaire, malgré l'utilisation manifestement commerciale qui en est faite.</p>
<p><a href="https://vialet.org/public/Spam/weedoit/screenshot-www-locostia-fr-2014-11-20.jpg" title="Capture d'écran du site Locostia hébergé par Weedo IT"><img src="https://vialet.org/public/Spam/weedoit/.screenshot-www-locostia-fr-2014-11-20_m.jpg" alt="Capture d'écran du site Locostia hébergé par Weedo IT" style="display:table; margin:0 auto;" title="Capture d'écran du site Locostia hébergé par Weedo IT" /></a></p>
<p><a href="https://vialet.org/public/Spam/weedoit/screenshot_mentions_legales_2014-11-20.png" title="Mentions légale du site Locostia"><img src="https://vialet.org/public/Spam/weedoit/.screenshot_mentions_legales_2014-11-20_s.png" alt="Mentions légale du site Locostia" style="float:right; margin: 0 0 1em 1em;" title="Mentions légale du site Locostia" /></a></p>
<p><strong>L'Afnic refusant de lever l'anonymat</strong> sauf dans le cadre d'un litige portant sur un nom ou une marque commerciale et l'hébergeur campant sur les mêmes positions (« <em>merci d'écrire à abuse@...</em> ») sans parler de la <abbr title="Commission nationale de l'informatique et des libertés">CNIL</abbr>* et de son <a href="https://www.signal-spam.fr/" hreflang="fr">Signal Spam</a>, il ne reste plus à l'internaute qu'à <strong>se tourner vers la plateforme d'affiliation</strong> qui dans la plupart des cas, pour ne pas dire à chaque fois, remontera l'information à son affilié mais ne dévoilera pas son identité.</p>
<p>C'est pourtant cette plateforme qui finance malgré elle le spammeur.</p>
<p>J'attends par exemple des réponses de la part d'<strong>Effinity</strong> et de <strong>TouchVibes</strong> au sujet de <a href="https://vialet.org/blog/post/2014/10/De-K-Vern-Street-a-Jump-Communication">spams remontés à leurs services</a> qui sont les seuls à pouvoir associer un numéro de <em>tracking</em> à un de leurs affiliés.</p>
<p>J'ai aussi alerté le <a href="http://www.cpa-france.org/" hreflang="fr">Collectif des Plateformes d'Affiliation</a> qui n'a fait que transmettre ma demande à la plateforme, sans plus de suivi ou d'effet.</p>
<p>En ce qui concerne Weedo IT, l'agence « 100% à la performance » est <strong>membre du SNCD</strong>, un syndicat qui édite <a href="http://www.sncd.org/deontologie/code-de-deontologie-electronique-du-sncd/" hreflang="fr" title="Code de déontologie électronique du Sncd">une charte de l'e-mailing</a> dont le contenu est censé être appliqué par ses membres (nous verrons que non dans un prochain billet) et sur le papier plus rigoureuse que la législation actuelle, très permissive.</p>
<p>En parallèle, ce lobby essaye de <a href="https://vialet.org/blog/post/2013/09/La-FEVAD-et-le-SNCD-aiment-un-peu-trop-vos-donnees-personnelles">freiner la réforme européenne de la protection des données personnelles</a> et s'en félicite même ouvertement.</p>
<p>Mieux vaut une « autorégulation » qui ne fonctionne manifestement pas qu'une loi contraignante qui éliminerait <em>de facto</em> ce type de spam mais par la même occasion une source de revenus, est-ce ce qu'il faut comprendre ?</p>
<div class="mise-a-jour" id="mise-a-jour-01">
<p><strong>Mise à jour</strong> : d'après Weedo IT, l'adresse e-mail du spammeur affilié et dépositaire du nom de domaine <strong>sendtome.fr</strong> serait <em>charlyamido@gmail.com</em>.</p>
<p><strong>Mise à jour au 21/11</strong> : la CNIL m'a confirmé que le numéro d'enregistrement de la base « Netconcour » (<em>sic</em>) n°168799 n'existait pas et que cette soi-disant société ou programme ne figurait pas non plus dans leur base. Une information que Weedo IT n'aura pas pris la peine de vérifier.</p>
<p>Après échanges avec Weedo IT et leur affilié anonyme, j'ai pu déterminer la véritable identité du spammeur dont il aura été si difficile d'obtenir les coordonnées.</p>
<p>Il s'agit encore une fois d'une micro-entreprise créée tout récemment par un certain <strong>Charles Wountchom</strong>. Le site <a href="http://www.societe.com/societe/charles-wountchom-791852700.html">Societe.com</a> et la page des <a href="http://www.netconcours.com/mentions_legales.php">mentions légales de netconcours.com</a> nous indiquent les informations suivantes :</p>
<p>Raison sociale : CHARLES WOUNTCHOM<br />
Adresse : Chez Youdom - 3, cours du Luzard 77186 Noisiel<br />
Tél. : 01 64 62 19 12<br />
E-mail (abuse) : abuses2876@gmail.com (sans doute une adresse poubelle)<br />
Forme juridique : Auto-entrepreneur<br />
Date de création : Crée le 20/03/2013<br />
Capital Social : n/a<br />
SIREN : 791 852 700<br />
SIRET : 791 852 700 00016<br />
Numéro CNIL : 1687999<br />
APE : Activités des agences de publicité (7311Z)<br />
Nom(s) de domaine : bestcampagnes.fr, netconcours.com, sendtome.fr</p>
<p>On notera enfin que l'adresse e-mail indiquée dans l'e-mailing de Charles Wountchom comporte une « faute de frappe » tout comme le numéro CNIL (un chiffre « oublié ») par rapport aux informations obtenues.</p>
</div>
<p><em>(*) merci à la CNIL de m'avoir fourni l'identité du spammeur via son numéro d'enregistrement.</em> ;-)</p>
<h4><ins>Droit de réponse demandé par la société Weedo IT SAS (10/12/2014) :</ins></h4>
<p>La société <em>Weedo IT</em>, citée dans l'article ci-dessus, souhaite faire valoir son droit de réponse sur le jugement de Monsieur VIALET Guillaume qui paraît incomplet et discutable même si l'exposé souhaite être factuel.</p>
<p><em>Weedo IT</em> est une société spécialisée dans l'affiliation, créée en 2004.
La société <em>Weedo IT</em> met à disposition de son réseau d'affiliés des campagnes d'annonceurs à la recherche de trafic pour fidéliser ou acquérir de nouveaux clients. Le modèle indiqué est « 100% performance » car les rémunérations versées dépendent des résultats obtenus.
Il est d'ailleurs important de noter que la chance du média Internet est de cibler ses investissements marketing et de garantir les retours, à la différence des médias classiques.</p>
<p>Cette technique marketing est légale et régie par des règles strictes pour protéger l'internaute et ne pas pénaliser l'image des annonceurs.</p>
<p>Malheureusement, vous avez fait les frais d'un abus de la part affilié qui a exploité une base de données non conforme aux règles <em>opt-in</em>.
Il est cependant important de préciser plusieurs points :</p>
<ul>
<li><em>Weedo IT</em> sélectionne scrupuleusement ses affiliés grâce à divers protocoles de vérification ;</li>
<li><em>Weedo IT</em> est administrateur de certains sites comme Locostia.fr, comme spécifié dans les mentions légales ;</li>
<li><em>Weedo IT</em> met à disposition une interface Plainte Spam pour signaler et traiter les abus ;</li>
<li>L'activité de la société est soumise à des CGV qui régissent la relation commerciale avec ses partenaires, incluant une clause de confidentialité ;</li>
<li>Les plaintes Spam sont traitées sous un délai de 48h – le temps de mener une enquête et que l'affilié se manifeste sur la provenance exacte l'e-mail spammé.</li>
</ul>
<p>De manière très factuelle, nous pouvons établir que :</p>
<ul>
<li>Vous nous avez signalé un SPAM et nous avons traité la demande dans les 48h ;</li>
<li>L'affilié vous a directement répondu et n'a nullement cherché à dissimuler son identité ;</li>
<li>Après enquête, l'affilié a été exclu du réseau <em>Weedo IT</em> pour non-respect des CGV.</li>
</ul>
<p>Votre plainte a été traitée dans les délais indiqués et des sanctions ont été appliquées pour l'affilié en question. Nous vous remercions de votre prise de contact et votre implication dans la lutte contre le Spam même si votre démarche fut hâtive et accusatoire avant d'être constructive.</p>
<p>Pour rappel, nous mettons volontiers à disposition notre page pour signaler un Spam afin de lutter contre les mauvaises pratiques : http://myaffil.fr/plainte-spam.php ou http://www.weedoit.fr/plainte.php</p>
<p>En conclusion, nous vous indiquons que la société <em>Weedo IT</em> s'investit en permanence dans la lutte contre le SPAM et participe aux tables rondes pour trouver des solutions, notamment grâce à certains organismes tels que le SNCD. »</p>
<hr />
<h4>Pour conclure ce billet (18/12/2014)</h4>
<p>J'aimerais préciser certains points contradictoires avec la déclaration de <em>Weedo I</em>T et préciser au lecteur ce qu'il doit faire dans un cas pareil :</p>
<ul>
<li>Je n'ai jamais obtenu l'identité du spammeur de <em>Weedo IT</em> ou de <strong>Charles Wountchom</strong>, je l'ai déduite des bribes de données techniques qu'il a fallu reconstituer au fil d'une laborieuse investigation.</li>
<li>Je n'ai jamais non plus obtenu du spammeur ce que je cherchais : <strong>la source de ses bases illicites</strong> qu'il exploitait via <em>Weedo IT</em> ou d'autres services d'affiliation français. Toute plainte est inutile sans cette information.</li>
<li>Je <ins>déconseille fortement à tous mes lecteurs</ins> de se désinscrire de ces spams : cette démarche indique seulement aux spammeurs que votre adresse est bien active. Elle sera alors susceptible d'être revendue par ces mêmes spammeurs ou alimenter d'autres bases et envois. Au contraire, agissez directement auprès de <a href="https://www.signal-spam.fr/" hreflang="fr">Signal Spam</a> ou bien <a href="https://www.spamcop.net/" hreflang="fr">SpamCop</a>. Si la plateforme d'affiliation qui a financé le spam est membre d'un réseau (<a href="http://www.sncd.org/" hreflang="fr">SNCD</a> ou <a href="http://www.cpa-france.org/" hreflang="fr">CPA</a> par exemple), portez l'affaire auprès de leurs bureaux respectifs.</li>
<li>Contrairement à ce qu'affirme le service juridique de Weedo IT ou le SNCD, la législation ne protège pas assez les individus en matière d'exploitation commerciale de leurs données personnelles (ce blog est ses nombreux billets en constituent manifestement la preuve). C'est tout l'objet de mes billets : mettre le doigt sur les failles de ce système.</li>
<li>Vous n'êtes pas là pour faire le travail des plateformes d'affiliation, c'est-à-dire contrôler leur clientèle d'affiliés ni palier les manques de la législation européenne en matière de protection des données personnelles.</li>
</ul>Autopsie d'un spamurn:md5:8a969b7bf964bcb4a60c0cad522fad452014-11-05T09:31:00+01:002022-08-14T10:44:20+02:00Guillaume VialetHall of Spamafnicdecaneteuridjumpovhplacedesleadsspamtouchvibeswebreflexe <p>Il est souvent très difficile, pour ne pas dire impossible, de remonter à la source d'un spam. Il existe pourtant plusieurs méthodes et astuces qui permettent de lever l'anonymat de l'expéditeur.</p>
<h3>Seul et démuni face aux spammeurs français</h3>
<p>Dans cette quête légitime qui permet à l'internaute spammé de connaître l'identité de son spammeur et donc de mettre en action la fameuse <a href="http://www.cnil.fr/documentation/textes-fondateurs/loi78-17/" hreflang="fr">loi 78-17 du 6 janvier 1978</a>, l'Afnic ou les sociétés françaises de dépôt de noms de domaine comme OVH, Gandi ou Online.fr ne vous seront d'aucune aide. Pas même l'hébergeur des services par lesquels sont pourtant passés les spams ne vous aidera à appliquer la loi.</p>
<p>Vous êtes donc seul face à votre pourriel et son code source qui est pourtant la clé qui vous mènera à la personne ou la société à qui profite le crime.</p>
<p>Voici deux exemples concrets de recherche du commendataire et de ses intermédiaires, tout aussi responsables que le spammeur lui-même.</p>
<h3>« Samsung Galaxy S5 offert par Bouygues Telecom »</h3>
<p>Nous partons donc d'un e-mail reçu dans la nuit du 5 novembre intitulé : « <em>Samsung Galaxy S5 Offert</em> ». Alléchant n'est-ce pas ? :-)</p>
<p>En étudiant <strong>le code source</strong> de cet e-mail (car tout e-mail possède une source lisible directement depuis votre logiciel de messagerie ou votre <a href="http://fr.wikipedia.org/wiki/Messagerie_web" hreflang="fr" title="Messagerie web sur Wikipédia">webmail</a>), nous relevons tout d'abord trois informations importantes : l'objet, l'expéditeur et l'adresse de réponse.</p>
<pre>
...
From: Bouygues Telecom <emmanuel@tool-now01.eu>
Reply-to: Bouygues Telecom <emmanuel@tool-now01.eu>
Subject: Samsung Galaxy S5 Offert
...
</pre>
<p>Première information importante : contrairement à ce qui est affiché sur votre ordinateur, smartphone ou tablette, <strong>l'expéditeur n'est pas Bouygues Telecom</strong> mais le propriétaire du nom de domaine <strong>tool-now01.eu</strong> qui endosse ici l'identité de l'opérateur français. Il y a donc en premier lieu <strong>une usurpation d'identité</strong> avant même de parler de <em>spam</em>.</p>
<p><a href="https://vialet.org/public/Spam/Jump_Communication/logo-eurid.png" title="Logotype du registre EURid"><img src="https://vialet.org/public/Spam/Jump_Communication/.logo-eurid_s.png" alt="Logotype du registre EURid" style="float:right; margin: 0 0 1em 1em;" title="Logotype du registre EURid" /></a>Nous allons donc regarder qui a déposé le nom de domaine tool-now01.eu en interrogeant le registre des domaines européens, <strong>EURid</strong>.</p>
<p>La base du <a href="http://fr.wikipedia.org/wiki/Whois" hreflang="fr">whois</a>, qui est une source fournie par les registres de noms de domaine permettant d'obtenir des informations sur un nom de domaine, <a href="http://www.eurid.eu/en/whois-search?domain=tool-now01.eu" hreflang="en">nous indique le résultat suivant</a> :</p>
<ul>
<li>le nom de domaine a été déposé de manière anonyme,</li>
<li>mais l'adresse e-mail du déposant est indiquée : <em>d.ledoux@jump-communication.com</em>.</li>
</ul>
<p>Nous avons donc rapidement trouvé l'identité du spammeur : la société <a href="https://vialet.org/blog/post/2014/10/De-K-Vern-Street-a-Jump-Communication">Jump Communication</a>. Il est possible de confirmer cette identification en pistant les liens hypertexte contenus dans l'e-mailing, comme nous le verrons avec l'exemple suivant. C'est notamment cette étude qui aurait permis de déterminer quel était la régie publicitaire par laquelle est passée le spammeur (<a href="https://vialet.org/blog/post/2014/10/De-K-Vern-Street-a-Jump-Communication">TouchVibes</a>).</p>
<h3>« Devenez propriétaire dans l'ouest de la France »</h3>
<p>Cette fois-ci la société <strong>Ataraxia</strong> me propose de devenir propriétaire d'un bien immobilier dans l'ouest de la France.</p>
<p>Regardons en détail l'expéditeur du spam en éditant le code source de l'e-mail :</p>
<pre>
...
From: Ataraxia <noreply@freeopportunity.fr>
Reply-To: noreply@freeopportunity.fr
Subject: Devenez propriétaire dans l’ouest de la France
...
</pre>
<p>Là encore l'expéditeur n'est pas Ataraxia, l'annonceur, mais le propriétaire de l'adresse faisant usage du nom de domaine <strong>freeopportunity.fr</strong>.</p>
<p>Problème bloquant : ce nom de domaine .fr enregistré chez <strong>OVH</strong> dispose d'une protection qui rend toutes les données relatives au déposant anonymes, bien que le spam émane d'une entreprise qui ne peuvent légalement disposer de cette protection offerte par l'Afnic.</p>
<p>Cependant, en étudiant le whois de ce nom de domaine, nous obtenons plusieurs informations dans la section des serveurs de noms (<a href="http://fr.wikipedia.org/wiki/Domain_Name_System" hreflang="fr" title="Domain Name System sur Wikipédia">DNS</a>) :</p>
<pre>
nserver: vps73133.ovh.net
nserver: ns2.decanet.fr [176.31.39.65]
</pre>
<p>Le site du spammeur est hébergé chez OVH sur un <a href="http://fr.wikipedia.org/wiki/Serveur_d%C3%A9di%C3%A9_virtuel" hreflang="fr" title="Serveur dédié virtuel sur Wikipédia">VPS</a> et dispose d'un <abbr title="Domain Name System">DNS</abbr> secondaire pris en charge par <strong>decanet.fr</strong>.</p>
<p>Mais revenons au spam lui-même. En étudiant les liens de la page de destination de l'e-mail, c'est-à-dire la page finale sur laquelle la victime du spam sera acheminée si elle cliquait sur les liens pistés qu'il contient, nous arrivons sur le nom de domaine <strong>reflexemail.com</strong>.</p>
<p>Bien que le site <a href="http://www.reflexemail.com">www.reflexemail.com</a> nous retourne une page blanche, l'étude du <em>whois</em> va nous révéler d'autres indices :</p>
<pre>
Domain Name: REFLEXEMAIL.COM
Registrar: OVH
Registrant Name: KHIARI Mehdi
Registrant Organization: WebReflexe
Registrant Street: 107 Quai du docteur Dervaux
Registrant City: ASNIERES SUR SEINE
Registrant State/Province:
Registrant Postal Code: 92600
Registrant Country: FR
Registrant Phone: +33.180875174
Registrant Phone Ext:
Registrant Fax:
Registrant Fax Ext:
Registrant Email: ptykzme7yy57x9gregqu@v.o-w-o.info
</pre>
<p><a href="https://vialet.org/public/Spam/WebReflexe/Screenshot-WebReflexe.jpg" title="Capture d'écran du site WebReflexe, tous droits réservés"><img src="https://vialet.org/public/Spam/WebReflexe/.Screenshot-WebReflexe_m.jpg" alt="Capture d'écran du site WebReflexe, tous droits réservés" style="display:table; margin:0 auto;" title="Capture d'écran du site WebReflexe, tous droits réservés" /></a></p>
<p>Toujours déposé chez OVH, le nom de domaine est la propriété de la société <strong>WebReflexe</strong> et a été déposée par un certain <a href="http://fr.linkedin.com/pub/mehdi-khiari/4/468/595" hreflang="en">Mehdi KHIARI</a>.</p>
<p>WebReflexe serait une « <em>agence Webmarketing à la performance</em> » <a href="http://www.webreflexe.com/" hreflang="fr">selon son site</a>, ce qui traduit en français veut bien souvent dire « forte suspicion de spam » et qui disposerait d'une base de <strong>25 millions d'adresses e-mail</strong> !</p>
<p>Nous avons donc la société <strong>Decanet</strong>, agence de communication à Toulouse, probablement un intermédiaire technique et le commanditaire <strong>WebReflexe</strong>, votre spammeur.</p>
<p>A la décharge de cette société : ses coordonnées figurent sur la page de destination bien qu'on aurait préféré qu'elles apparaissent dans le corps de l'e-mailing lui-même. Cela n'excuse en rien le <em>spam</em>.</p>
<h3>« Votre mutuelle à partir de 6,79 €, devis gratuit et sans engagement »</h3>
<p>Dernier exemple, un spam poussé par le mystérieux <strong>comcenter.fr</strong>.</p>
<p>Une nouvelle fois, l'Afnic, l'hébergeur ou la <strong>CNIL</strong> ne nous seront d'aucune aide afin d'exercer nos droits. Tous se retranchent derrière leurs obligations légales.</p>
<p>Nous allons analyser les différents serveurs entre l'e-mail et la page de destination hébergée par l'annonceur, la <strong>Mutuelle Mcd</strong>. Pour ce faire, il est possible d'utiliser un logiciel comme <a href="https://vialet.org/blog/post/2009/04/Telechargement-de-SamSpad">SamSpad</a>, le module <a href="https://addons.mozilla.org/fR/firefox/addon/live-http-headers/" hreflang="fr">Live HTTP Headers</a> pour votre navigateur Web ou de le faire directement en ligne <a href="http://web-sniffer.net/" hreflang="en" title="View HTTP Request and Response Header">sur cette page</a>.</p>
<p>Voici le résultat de cette analyse :</p>
<pre>
1. http://comcenter.fr/inc/rdr.php?r=
2. http://click.events-10408-120.pl/?sc=
3. http://click.plt-events.com/?sc=
4. http://www.mutuelle-mcd.fr/particuliers/sante/devis_v3.php?origine=6&wysistatpr=nl_mir_pla&utm_source=placedesleads&utm_medium=email&utm_campaign=2014
</pre>
<p>Nous pouvons voir que nous passons d'abord par le site <ins>comcenter.fr</ins>, puis <ins>events-10408-120.pl</ins> (domaine polonais), <ins>plt-events.com</ins> et enfin le site de la mutuelle, tout ceci étant totalement imperceptible pour l'internaute <em>lambda</em>.</p>
<p>La mutuelle identifie cet apporteur d'affaire comme étant « placedesleads », c'est-à-dire la société <strong>Place des Leads</strong> qui propose justement <strong>un programme d'affiliation</strong>, la traditionnelle source de profits pour les spammeurs.</p>
<p>Le nom de domaine <a href="http://www.events-10408-120.pl/" hreflang="fr">events-10408-120.pl</a> est toujours déposé chez OVH par une société anglaise, <strong>Place Media Limited</strong> :</p>
<pre>
company: PLACE MEDIA LTD
street: 180-186, Kings Cross Road
city: WC1X 9DE London
location: GB
phone: +33.175776084
</pre>
<p>A cette adresse se trouve <strong>une société de domiciliation</strong>. On remarquera par contre que le numéro de téléphone <strong>est bien français</strong> compte tenu de son indicatif. <ins>plt-events.com</ins> est quant à lui géré par <em>Place des Leads</em>.</p>
<p><em>Place Media Ltd</em>. et <em>Place des Leads</em> sont indubitablement liés (sa filiale anglaise <a href="https://www.khingdom.com/" hreflang="en">Khing</a> étant domiciliée à la même adresse). Nous avons donc trouvé notre spammeur ou du moins ses intermédiaires techniques et commerciaux.</p>Un spam nommé Annonceurn:md5:8c78afc3732776daac886be71498917b2014-10-29T18:25:00+01:002022-08-14T10:44:16+02:00Guillaume VialetHall of Spamairmaildirectmailsemailingevolucielovhspamtosend<p>Vous n'avez sans doute pas été épargnés par les vagues de <em>spams</em> qui ont circulé pendant de longs mois poussés par <em>Direct Mails</em>. Mais se cache au juste derrière ce nom ?</p> <p><img src="https://vialet.org/public/Spam/DirectMails/.Screenshot-Direct-Mails-2014-10-29_m.jpg" alt="Capture d'écran du site Direct Mails" style="display:table; margin:0 auto;" title="Capture d'écran du site Direct Mails" /></p>
<blockquote><p>Bonjour, dans cette période difficile, il est important de soutenir votre activité commerciale.</p></blockquote>
<p><a href="https://vialet.org/public/Spam/DirectMails/lettre_information_septembre_2014.png" title="Spam Lettre d'information Septembre 2014 de Direct Mails"><img src="https://vialet.org/public/Spam/DirectMails/.lettre_information_septembre_2014_s.png" alt="Spam Lettre d'information Septembre 2014 de Direct Mails" style="float:right; margin: 0 0 1em 1em;" title="Spam Lettre d'information Septembre 2014 de Direct Mails" /></a>C'est par ces quelques mots que débute invariablement le spam poussé par la mystérieuse société <strong>Direct Mails</strong>.</p>
<p>On a donc poussé le vice à envoyer un e-mailing afin d'inciter à utiliser les services de la propre société qui vous aura spammé.</p>
<p>Très peu d'informations sont indiquées dans l'e-mail, si ce n'est le tarif promotionnel pratiqué et répété mois après mois : <strong>19,99 € HT pour 10 000 adresses e-mail</strong> soit moins de 2 € du mille à puiser dans un « <em>fichier national de 1 000 000 d'e-mails</em> ».</p>
<p>Seul un nom, Direct Mails et un numéro de téléphone sont indiqués dans l'e-mail. Il faut cliquer sur les liens afin de se rendre sur le site Web qui relaie ce pourriel.</p>
<p>Plusieurs noms de domaine sont utilisés dans ces spams dont on notera le goût prononcé pour le <em>.info</em> :</p>
<ul>
<li>250serveurenvoi.info</li>
<li>rocenvoi.info</li>
<li>bulk002sending.info</li>
<li>bulk003sending.info</li>
<li>jetdu56et.info</li>
<li>nexxt.info</li>
<li>skpe.info</li>
<li>sender-actif.info</li>
<li>easy-net125.info</li>
</ul>
<h3>Des informations légales fantaisistes</h3>
<p>La page <a href="http://air-email.com/mentions_legales.html" hreflang="fr">des mentions légales</a> nous révèle que le site est édité sous la responsabilité d'un certain <strong>Paul Coben</strong> et que <em>Direct Mails</em> et <em>Air Email</em> seraient des marques déposées, ce qui n'est pas le cas pour la France.</p>
<p>L'hébergement du site serait quant à lui confié à une société canadienne, <strong>UnderHost Networks Ltd</strong>. Là encore l'information se révèle fausse puisque le site est hébergé sur un serveur <a href="https://www.ovh.com/fr/vps/" hreflang="fr">VPS</a> fourni par la société française <strong>OVH</strong> et localisé à l'adresse <a href="http://vks10969.ip-37-59-123.eu">vks10969.ip-37-59-123.eu</a>.</p>
<p>Je me suis tourné vers <strong>l'Afnic afin d'obtenir la levée de l'anonymat</strong> des noms de domaine <strong>direct-mails.fr</strong> et <strong>air-email.fr</strong>, demande qui a été rejetée : en effet, le registre français ne lève l'anonymat que dans le cadre de litiges commerciaux mais pas lorsqu'il s'agit d'utilisations frauduleuses de données personnelles, cas pourtant plus grave.</p>
<p>Voici <a href="https://vialet.org/public/Spam/DirectMails/direct-mails.fr_et_air-email.fr.pdf">la copie du courrier</a> que l'Afnic m'a adressé en réponse à ma requête.</p>
<h3>Direct/Air Mails alias Tosend alias Evoluciel ?</h3>
<p>Après enquête, j'ai pu déterminer que derrière ce site se trouvait en réalité plusieurs personnes et « sociétés », notamment <a href="http://www.tosend-emailing.com/" hreflang="fr">Tosend</a>, une « plateforme marketing » et <a href="http://www.evoluciel.com/" hreflang="fr">Evoluciel</a>, une « Web agency », toutes deux situées au 1, place d'Apvril à Grenoble.</p>
<p><em>Evolutiel</em>, <a href="http://www.societe.com/societe/evoluciel-452821465.html" hreflang="fr" title="Evolution sur Societe.com">immatriculée à Grenoble</a> et dirigée par <strong>Richard Pellerin</strong>) semble aussi liée à Direct Mails qui elle est rattachées à un individu bel et bien enregistré au registre du commerce et des sociétés alors que ses coordonnées ne figurent pas sur son propre site sites ni sur les e-mailings qu'il aura expédié en très grand nombre.</p>
<p>Bien lui en aura pris, évitant ainsi les foudres des internautes et sociétés spammées.</p>
<h3>Rambaud, Maurice</h3>
<p>Il s'agit en réalité d'un entrepreneur individuel inscrit sous le numéro <a href="http://www.societe.com/societe/rambaud-maurice-442224564.html" hreflang="fr" title="Maurice Rambaud sur Societe.com">442 224 564 00017</a> depuis plus de trois ans.</p>
<p>Voici les véritables coordonnées de la personne derrière <em>Direct Mails</em> qui vous seront utiles afin de faire appliquer votre droit d'accès à vos données personnelles et attenter d'éventuelles actions en justice :</p>
<pre>
Maurice Rambaud (Entrepreneur individuel)
Adresse : 511, route de Laille 38160 Saint-Romans
Téléphone : 04 76 38 67 94
E-mail : mrambaud@emicro.fr
SIRET : 442 224 564 00017
RCS Grenoble A 442 224 564
</pre>
<h3>Un fournisseur d'adresses e-mail au Maroc</h3>
<p>Richard Pellerin d'Evoluciel/Tosend et ce Maurice Rambaud se fournissent notamment en adresses e-mail au Maroc, auprès de la société <strong>Database-Email Network</strong> basée au 61, rue de Konakri à Oujda et gérée par un dénommé Tabet Mohammed.</p>
<p>Une <a href="https://vialet.org/public/Spam/DirectMails/Facture-Email-113.pdf">copie de leur facture</a> attestant de cet achat m'a été transmise. On peut y découvrir qu'ils ont fait l'acquisition <strong>de 170 000 adresses</strong> « <abbr title="Business to business">B2B</abbr> » pour la modique somme de <strong>100 €</strong>, soit 0,5 € du mille.</p>
<p>On trouve généralement au sein de ces « bases » de <ins>très</ins> nombreuses adresses e-mails aspirées voire forgées à partir de noms de domaine, comme par exemple des adresses info@ ou contact@ générées aléatoirement.</p>
<p>Adresses qu'ils se sont ensuite empressés d'exploiter sous la forme de cette fameuse « lettre d'information ».</p>De K Vern Street à Jump Communicationurn:md5:97bfe0419ed7951c2ef78f8ca39ef7d72014-10-29T11:14:00+01:002022-08-14T10:44:11+02:00Guillaume VialetHall of Spamjumpkvernstreetonlineovhskyturnspamtouchvibes <p>Nouveau déluge de spams sur une adresse plusieurs fois dérobée et poussés par la société <em>Jump Communication</em> gérée par Denis Ledoux.</p>
<h3>Des e-mailings anonymes</h3>
<p><strong>K Vern Street</strong> est une société dont l'activité principale est l'envoi de courriers indésirables dont vous avez sans doute déjà été victime. Un <a href="https://vialet.org/blog/post/2013/09/Spamme-par-K-Vern-Street">billet a d'ailleurs déjà été consacré</a> à cette « agence Web » dans ces colonnes.</p>
<p>La société implantée sur l'Ile Maurice est dirigée par Pierre Gougeon semble aussi liée à un certain <strong>Denis Ledoux</strong>.</p>
<p>C'est cette même personne qui déclare diriger l'entité <a href="http://jump-communication.com/" hreflang="fr" title="Site Internet de Jump Communication">Jump Communication</a> qui <em>spam</em> à nouveau une adresse e-mail captée de manière totalement illicite et depuis exploitée commercialement sans aucun moyen de s'y opposer.</p>
<blockquote><p>Nos fichiers proviennent principalement de questionnaires ciblés, mis en place sur le Web. Nos fichiers sont régulièrement réactualisés, et nous refusons tout échange de fichiers. (source : jump-communication.com)</p></blockquote>
<p>Cette fois-ci, <em>Jump Communication</em> serait une société domiciliée à Paris :</p>
<pre>
10, rue du Colisée
75008 PARIS
France
Téléphone : +33 1 79 97 40 24
E-mail : d.ledoux@jump-communication.com
</pre>
<p>Cependant, il n'est fait nullement référence à un numéro d'enregistrement de société, de numéro de TVA ou de numéro de déclaration de fichier auprès de la <strong>CNIL</strong>. Je n'ai trouvé aucune trace d'une société appelée « Jump Communication » au registre du commerce et des sociétés.</p>
<p>D'après le site Web de <em>Jump Communication</em>, la société serait liée à une entité <strong>basée au Canada ainsi qu'au Maroc</strong> (via <strong>LEADTOOLS SARL</strong> qui semble être la plateforme de routage), pays qui de par son extra-territorialité européenne est une importante source de bases de données illicites qui s'écoulent ensuite sur le marché français.</p>
<p>Aucune mention légale n'est présente dans les e-mailings eux-mêmes qui pourrait révéler à l'internaute l'identité de la plateforme de routage, du propriétaire de la base de données ou encore de la régie publicitaire. <strong>Seul l'annonceur est exposé</strong>.</p>
<p><a href="https://vialet.org/public/Spam/Jump_Communication/screenshot-jump-communication_com_2014-10-29_11-25-51.png" title="Tarifs pratiqués par Jump Communication"><img src="https://vialet.org/public/Spam/Jump_Communication/.screenshot-jump-communication_com_2014-10-29_11-25-51_m.png" alt="Tarifs pratiqués par Jump Communication" style="display:table; margin:0 auto;" title="Tarifs pratiqués par Jump Communication" /></a></p>
<p>Denis Ledoux dispose d'un profil <a href="https://www.linkedin.com/pub/denis-ledoux/55/481/175" hreflang="fr">sur le réseau social LinkedIn</a> où l'on apprend qu'il serait lui-même basé à <strong>Hong Kong</strong>. Ce personnage n'en est pas à son premier coup d'essai, certains articles le concernant remontent en effet à 2000, notamment « <a href="http://www.uzine.net/article208.html" hreflang="fr">Le spammeur contrarié</a> » qui concernait la société depuis liquidée <strong>SKYTUR</strong>.</p>
<h3>Pas de spam sans noms de domaine...</h3>
<p>Les noms de domaine utilisés par <em>Jump Communication</em> sont comme à l'accoutumé très nombreux et tous protégés contre une éventuelle recherche de propriété. En voici une petite liste :</p>
<ul>
<li>category4you-market.eu</li>
<li>popular-traffic-leads.eu</li>
<li>the-wondfull-plateforme15.eu</li>
<li>proweb-market25.eu</li>
<li>day-leads-market.eu</li>
<li>best-leads-market.eu</li>
<li>best-market.<strong>ovh</strong></li>
<li>administrative-leads-users.eu</li>
<li>haut-delivrey-market.eu</li>
<li>national-leads-market.eu</li>
<li>kind-traffic4you.eu</li>
<li>pmaplus110.eu</li>
<li>php303.eu</li>
<li>tip-match-top15.eu</li>
<li>aliveleads-tools.eu</li>
<li>opend-communication-platform.eu</li>
<li>working-leads-market.eu</li>
<li>the-right-tools4you.eu</li>
<li>market4you-wonderful.eu</li>
</ul>
<p>Ces noms de domaine sont déposés en France auprès de société comme <strong>Gandi</strong>, <strong>OVH</strong>, <strong>Online.net</strong> qui ont bien sûr toutes été prévenues. Suspendre tous ces domaines permettrait de couper immédiatement la source de rémunération de Jump Communication.</p>
<p>Enfin, la plateforme de sous-domaines <strong>uni.me</strong> a aussi été utilisée, toujours dans un souci de protéger la réputation et l'identité de l'expéditeur de ces <em>spams</em> (mais pas la vôtre bien entendu).</p>
<h3>...ni sans argent, avec la complicité des régies publicitaires</h3>
<p>Le nerf du spam, c'est bien entendu l'argent. Et ces campagnes publicitaires routées dans la plus totale illégalité bénéficient de grands annonceurs : <strong>La Poste</strong>, <strong>Opel</strong>, <strong>Sodexo</strong>, <strong>Total</strong>, <strong>Orange</strong>, <strong>Google</strong>, <strong>IKEA</strong>... En voici un petit exemple :</p>
<p><a href="https://vialet.org/public/Spam/Jump_Communication/screenshot-best-leads-market-eu-2014-10-29-11-47-24.jpg" title="Publicité pour Total par TouchVibes envoyée par Jump Communication"><img src="https://vialet.org/public/Spam/Jump_Communication/screenshot-best-leads-market-eu-2014-10-29-11-47-24.jpg" alt="Publicité pour Total par TouchVibes envoyée par Jump Communication" style="display:table; margin:0 auto;" title="Publicité pour Total par TouchVibes envoyée par Jump Communication" /></a></p>
<p>Elles proviennent toutes de la société <a href="http://www.touchvibes.fr/mentions-legales" hreflang="fr">TouchVibes</a> avec laquelle j'ai déjà eu affaire puisqu'elle travaille depuis au moins une année avec <strong>K Vern Street Communication</strong>.</p>
<p>Je leur avais en effet adressé une plainte en septembre 2013 qui avait alors abouti à un mea-culpa de Pierre Gougeon, m'expliquant que l'adresse e-mail spammée avait été « <em>obtenue auprès du site wsdata.com, qui référence tous les noms de domaines (sic)</em> ». Et bien sûr effacée.</p>
<p><a href="https://vialet.org/public/Spam/Jump_Communication/hp-visuel-boos-your-ori.jpg" title="Visuel agence TouchVibes, tous droits réservés"><img src="https://vialet.org/public/Spam/Jump_Communication/.hp-visuel-boos-your-ori_s.jpg" alt="Visuel agence TouchVibes, tous droits réservés" style="float:right; margin: 0 0 1em 1em;" title="Visuel agence TouchVibes, tous droits réservés" /></a><em>TouchVibes</em> se présente comme « <em>la première plateforme de marketing à la performance dédiée au B2B (Mailing B2B, Display, SEM, Blog, Comparateur, SEO...)</em> ».</p>
<p>Elle est notamment dirigée par <a href="http://fr.linkedin.com/pub/beno%C3%AEt-sillard/7/b09/752" hreflang="fr">Benoît Sillard</a>, <a href="http://www.offremedia.com/voir-article/ccm-benchmark-fait-lacquisition-de-touchvibes/ccm-benchmark-advertising/" hreflang="fr">après son rachat par le groupe CCM</a> et originellement fondée par Bertrand Patriarca.</p>
<blockquote><p>L'acquisition de Touchvibes va permettre à notre régie, CCM Benchmark Advertising, de proposer une offre à la performance à nos clients. Nous pourrons, ainsi, répondre à tous leurs besoins. En période de crise, c’est fondamental et cela renforce notre crédibilité sur un marché tendu (Benoît Sillard, P-Dg de CCM Benchmark).</p></blockquote>
<p><a href="https://vialet.org/public/Spam/Jump_Communication/screenshot_vision_performance_BtoB_Touchvibes.png" title="Capture d'écan - Notre vision de la performance BtoB - Touchvibes"><img src="https://vialet.org/public/Spam/Jump_Communication/screenshot_vision_performance_BtoB_Touchvibes.png" alt="Capture d'écan - Notre vision de la performance BtoB - Touchvibes" style="display:table; margin:0 auto;" title="Capture d'écan - Notre vision de la performance BtoB - Touchvibes" /></a></p>
<p>Pour information, <strong>CCM Benchmark</strong> a réalisé en 2012 plus de <strong>30 millions d'euros</strong> de chiffre d'affaires, selon <a href="http://fr.wikipedia.org/wiki/CCM_Benchmark" hreflang="fr">Wikipédia</a>, un groupe qui cherche aujourd'hui à se vendre <a href="http://www.lopinion.fr/9-septembre-2014/ccm-benchmark-cherche-a-se-vendre-entre-200-250-millions-d-euros-16129" hreflang="fr">entre 200 et 250 millions d'euros</a>.</p>Spammé par Campleads.frurn:md5:352c1198765ee7d74687bdc60d89a5872014-10-03T15:35:00+02:002022-08-14T10:44:06+02:00Guillaume VialetHall of Spamafniccampleadschemiseovhozoaspamvps <p>La formule habituelle du spammeur se répète encore : un serveur hébergé chez OVH, un nom de domaine au whois AFNIC masqué, un client final qui ne se soucie pas de la qualité de ses fournisseurs.</p>
<p>C'est une adresse e-mail collectée de manière totalement illicite et <strong>sans aucun opt-in</strong> qui est aujourd'hui la cible d'un nouveau spammeur caché derrière un nom de domaine, <strong>campleads.fr</strong>.</p>
<h3>Un domaine protégé par l'Afnic...</h3>
<p>L'Afnic, le bureau d'enregistrement des domaines .FR, protège en effet les particuliers en restreignant la diffusion de leurs données personnelles dans la base whoise du registre.</p>
<p><a href="https://vialet.org/public/Spam/campleads/Whois_campleads.fr.png" title="Whois du nom de domaine campleads dot fr"><img src="https://vialet.org/public/Spam/campleads/Whois_campleads.fr.png" alt="Whois du nom de domaine campleads dot fr" style="display:table; margin:0 auto;" title="Whois du nom de domaine campleads dot fr" /></a></p>
<p>Effet de bord de ce mécanisme : un spammeur peut très bien se protéger en déposant <strong>à titre personnel</strong> un nom de domaine. La procédure de levée de l'anonymat se fait par courrier et reste incertaine dans le cas d'un spam. Comment prouver qu'il s'agit bien d'un spam auprès d'un registre qui est et doit rester neutre dans un litige qui ne le concerne pas ?</p>
<h3>...un serveur d'envoi <em>low-cost</em> chez OVH...</h3>
<p>Deuxième effet permissif d'un Web devenu accessible à tous : le spammeur a poussé ses e-mails depuis un serveur <strong>VPS</strong> d'OVH qui pourtant a mis en place un système anti-spam plutôt discutable et ici manifestement inefficace.</p>
<p>La solution logicielle retenue afin de pousser les e-mails semble être <strong>nuevoMailer</strong>.</p>
<p>Il ne coûte quasiment rien de louer au mois un serveur, y pousser son spam, abandonner la machine et louer un nouveau VPS avec une adresse <abbr title="Internet Protocol">IP</abbr> « neuve » donc vierge de toute plainte pour abus.</p>
<h3>...et un annonceur peu scrupuleux ?</h3>
<p><a href="https://vialet.org/public/Spam/campleads/template-logo.jpg" title="Logotype Ozoa-chemises, tous droits réservés"><img src="https://vialet.org/public/Spam/campleads/.template-logo_s.jpg" alt="Logotype Ozoa-chemises, tous droits réservés" style="float:right; margin: 0 0 1em 1em;" title="Logotype Ozoa-chemises, tous droits réservés" /></a></p>
<p>Pas de spam sans payeur. Ce rôle est ici tenu par le site de vente en ligne <strong>Ozoa Chemises</strong>, propriété d'<a href="http://www.ozoa-chemises.com/ins-mentions-legales-17.htm" hreflang="fr" title="Mentions légales du site Ozoa Chemises ">Ozoa Diffusion</a>.</p>
<p>A aucun moment le propriétaire de la base de données utilisée n'est mentionné, ni même les coordonnées du demandeur d'ordre. Seul un lien « <em>Désinscrivez vous ici</em> » conclue l'e-mail commercial.</p>
<p>Coordonnées de la société <strong>Ozoa Diffusions</strong>, à défaut de les voir apparaitre dans l'e-mailing publicitaire ou de connaitre celles du mystérieux <em>Campleads.fr</em> :</p>
<pre>
Siren : 538 228 461 (R.C.S Nanterre)
Adresse : 30, rue de l'Avenir 92110 Clichy
Téléphone : 01 55 21 09 70
Adresse e-mail : serviceclient@ozoa-chemises.com
</pre>
<p>L'internaute est donc totalement désarmé face à ces pratiques pourtant illégales : il n'obtiendra de réponse ni d'OVH, ni de l'AFNIC et sans doute pas d'Ozoa Diffusion.</p>
<h3><ins>Mise à jour au 7 octobre 2014</ins></h3>
<p>Ajoutons à la liste des noms de domaine en .fr masqués et utilisés par ces spammeurs : <strong>comcenter.fr</strong> (qui ne route plus sur rien, apparemment, mais pointait lui aussi vers l'outil <strong>nuevoMailer</strong>) déposé chez <em>Online</em> et __crwcommunication.fr déposé chez <em>OVH</em>.</p>Rinkoo, J'aime la mode et les autresurn:md5:c45224a4535600ed5ce125865658756e2014-06-03T22:16:00+02:002022-08-14T10:43:59+02:00Guillaume VialetHall of Spamemailingoptinrinkoospam <p>Nouvelle entrée dans le <a href="https://vialet.org/blog/category/Spam">Hall of Spam</a> avec la société Rinkoo et son « programme » de bons plans <em>J'aime la mode</em>, alimenté par les circuits habituels du <em>spam</em>.</p>
<p>Si vous suivez les chroniques de ce blog, vous êtes probablement familiarisés avec les techniques des spammeurs. L'une d'entre elles consiste à racheter de vieilles bases de données et d'y inscrire les adresses à toutes sortes de programmes aux noms colorés.</p>
<h3>Sept millions d'adresses + 1</h3>
<blockquote><p>J'aime la mode est heureux de vous accueillir parmi ses membres privilèges.</p></blockquote>
<p>C'est aujourd'hui au tour de <strong>Rinkoo</strong>, éditrice de ce programme, de procéder à ces inscriptions d'office sous couvert d'un consentement qui aurait été donné par l'internaute.</p>
<p>Petite <a href="http://www.societe.com/societe/rinkoo-794191544.html" hreflang="fr">SAS au capital de 1000 euros</a> créée en 2013, elle annonce être une grande spécialiste de la publicité mobile disposant d'une base de pas moins de <strong>7 000 000 d'e-mails mobiles</strong>, selon les informations disponibles <a href="http://rinkoo.fr/" hreflang="fr">sur son site</a>.</p>
<p>J'ai donc reçu comme à l'accoutumé un e-mail m'indiquant que <em>j'étais</em> d'office abonné au programme « <a href="http://jaime-la-mode.com/" hreflang="fr" title="La page du programme de collecte d'adresses e-mail J'aime la mode">J'aime La mode com</a> ».</p>
<p>Le domaine en question, <strong>jaime-la-mode.com</strong>, est déposé et hébergé chez OVH :</p>
<pre>
Registrant:
Rinkoo SAS
Heyman Alexandre
231 rue Saint Honoré
Paris, 75001
FR
+33.689424633
</pre>
<p>Aucune mention légale pourtant obligatoire n'est présente sur le site. La base de données serait quant à elle déclarée à la <abbr title="Commission nationale de l'informatique et des libertés">CNIL</abbr> sous le n°1855994.</p>
<h3>Des philanthropes de l'e-mailing</h3>
<p>L'équipe éditoriale (<em>sic</em>) du « site » ou programme <strong>J'aime la mode</strong> qui je cite sélectionne « <em>dans la joie et la bonne humeur la crème de la crème des bons plans du moment</em> » rien que pour vous heureux veinards, ne touche bien sûr par d'argent :</p>
<blockquote><p>Aucun membre de l'équipe ne reçoit d'argent pour les offres proposées.</p></blockquote>
<p>Je vais donc recevoir <strong>tous les jours</strong> directement dans ma boîte aux lettres (je vous passe les fautes) <em>« les meilleures offres sélectionnées et testées par notre rédaction »</em> constituée de quatre garçons qui se trouvent être aussi les éditorialistes du site <a href="http://oh-appliday.com/" hreflang="fr" title="Base de données de Rikoo">Oh Appli Day</a> (une newsletter dédiée aux applications mobiles qui n'est pas sans rappeler <a href="https://vialet.org/blog/post/2013/06/P-comme-Performance-rachete-par-Prisma-Media" hreflang="fr">Application du jour</a>) et les gérants de la SAS <strong>Rinkoo</strong>, à savoir MM. <strong>Vincent C.</strong>, <strong>Benoit F.-R.</strong>, <strong>Alexandre H.</strong> et <strong>Ugo P.</strong> selon <em>Societe.com</em>.</p>
<p>Cette attention vient du fait que j'aurais accepté de recevoir les offres commerciales de leur partenaire. Lequel ? Quand ? Comment ? Les mystères de l'opt-in partenaire, le vide législatif et l'absence totale de traçabilité permettent la mise en place rapide de bases virales impossibles à stopper.</p>
<p>Et de créer autant de programmes qu'on souhaite louer ces adresses ou y router du spam financé par l'affiliation.</p>
<h3>Multiplication de noms et programmes</h3>
<p><em>J'aime la mode</em> est adossé au site du même nom ou plutôt un semblant de site : une page constituée de quelques liens externes sur la thématique de la mode. Je suis donc abonné d'office au programme J'aime la mode dans le cadre de la newsletter Oh-Appliday.com par la société <strong>Rinkoo</strong> dont un des fondateurs est aussi le créateur de <a href="http://www.digitalroifactory.com/" hreflang="fr">Digital ROI Factory</a>.</p>
<p><a href="https://vialet.org/public/Spam/rinkoo/screenshot_Oh_Appli_Day.png" title="Capture d'écran du site Oh Appli Day"><img src="https://vialet.org/public/Spam/rinkoo/.screenshot_Oh_Appli_Day_m.png" alt="Capture d'écran du site Oh Appli Day" style="display:table; margin:0 auto;" title="Capture d'écran du site Oh Appli Day" /></a></p>
<p>Mais ce programme n'est pas seul : en plus du site <strong>Oh Appli Day</strong>, on trouve aussi <a href="http://julesetzoe.com/" hreflang="fr" title="Programme marketing de collecte d'adresses e-mail de Rinkoo">Jules et Zoé</a> ou encore <a href="http://alphonseetlucie.com/" hreflang="fr" title="Programme marketing de collecte d'adresses e-mail de Rinkoo">Alphonse et Lucie</a>...</p>
<p>Vous n'aimez pas ces prénoms ? Pas de problème, on peut vous proposer <a href="http://tometjulie.com/" hreflang="fr" title="Programme marketing de collecte d'adresses e-mail de Rinkoo">Tom et Julie</a>, domaine qui sert aussi au tracking des ouvertures et des clics des e-mails. Tous ces sites semblent basés sur le même <em>template</em>.</p>
<h3>Noms domaines utilisés</h3>
<p>Pour finir, voici la liste des noms de domaine utilisés par ces différents programmes, tous déposés chez <strong>OVH</strong> qui se fait malgré lui complice de ces pratiques marketing d'un autre temps :</p>
<ul>
<li>jaime-la-mode.com</li>
<li>rinkoo.fr</li>
<li>julesetzoe.com</li>
<li>alphonseetlucie.com</li>
<li>tometjulie.com</li>
<li>oh-appliday.com</li>
<li>fandepotins.com</li>
</ul>
<p>A noter que le nom de domaine <em>tometjulie.com</em> a été déposé au nom de la « société » de gamification <a href="http://www.byzonmedia.fr/" hreflang="fr">Byzon Media</a> dont les prénoms des membres ne vous sont plus inconnus.</p>