Mon premier fishing

Voilà depuis le temps que j'en entendais parler, c'est fait j'ai reçu mon premier fishing, sur ma boite mail perso en plus. Alors comment l'ai-je repéré :
1/ d'abord on me parle en anglais. Bon, c'est pas que j'aime pas qu'on me parle dans la langue de Shakespeare, mais là en l'occurence Paypal a aussi ses bureaux en France et un site en français.
2/ ce message n'est pas nominatif. Pas de prénom, nom, identifiant, ...
3/ il me faut cliquer sur un lien pour confirmer mes mots de passe !!  C'est qui m'a fait tilter : Alerte rouge
4/ le lien vers le site semble sécurisé en apparence (https), mais lorsqu'on regarde de plus l'adresse url de ce lien (par le code source), d'une part il est différent et d'autre part il est très louche (pas sécurisé) :

lien aparent : https://www.paypal.com/us/cgi-bin/webscr?cmd=_login-run

lien réel :      http://www.paypal.com.us-cgibin.info/webscrcmd=_login+run/

J'ai donc prévenu le service usurpation de Paypal pour confirmation, mais aussi les autres destinataires du mail (là aussi c'est étrange) dont les adresses sont évidemment inconnues.
Un doute quand même me tourmente : comment ont-il eu mon adresse e-mail ? Paypal ne serait-il pas sécurisé ? Aurais-je un spyware sur mon PC ?

Enfin, mesdame, messieurs, si vous tombez sur ce genre de message (banque ou autre) : méfiance !!