Dari Mana Spammer Mendapatkan Alamat Email Anda? 7 Sumber Umum dan Apa yang Harus Dilakukan

Dari mana para pengirim spam mendapatkan alamat email Anda?

Para pengirim spam mendapatkan alamat email Anda dari beberapa sumber umum: basis data pelanggan yang dibobol, perusahaan dan broker data yang membagikan daftar kontak, halaman web dan profil publik, kontak dan utas pesan orang lain, formulir phishing, serta alamat yang ditebak. Menerima spam tidak berarti kotak masuk Anda diretas, dan kecuali Anda memakai alamat terpisah untuk setiap pendaftaran, sumber pastinya sering kali tidak mungkin dibuktikan.

Alamat yang terekspos dan akun yang diretas adalah dua masalah yang berbeda. Pengirim spam hanya perlu alamat Anda untuk mengirimi Anda email, tetapi perlu kata sandi Anda untuk membacanya. Alamat yang sama bisa ada di banyak daftar sekaligus, jadi menutup satu kebocoran jarang menghentikan spam dalam semalam.

• Setelah sebuah alamat masuk ke sebuah daftar, Anda jarang bisa menghapusnya di semua tempat, tetapi Anda bisa berhenti menambahkannya ke daftar baru.
• Berhenti berlangganan hanya dari milis yang Anda kenali; laporkan pengirim tak dikenal atau mencurigakan sebagai spam.
• Alamat atau alias terpisah untuk setiap pendaftaran adalah cara praktis paling jelas untuk melihat dari mana spam bermula.
• Email sementara cocok untuk pendaftaran sekali pakai yang berisiko rendah, bukan untuk akun yang perlu Anda simpan atau pulihkan.

Tujuh sumber umum alamat email spam

Setiap sumber di bawah ini bekerja dengan cara berbeda, meninggalkan petunjuk berbeda, dan memerlukan penanganan berbeda. Satu alamat bisa berasal dari beberapa sumber sekaligus, dan para pengirim spam saling memperdagangkan daftar, sehingga sumber pertamanya sering kali sulit dipastikan.

1. Kebocoran data pada layanan yang Anda gunakan

Ketika toko, aplikasi, atau forum tempat Anda mendaftar dibobol, basis data pelanggannya dapat disalin, dijual, atau diposting online. Jika catatan yang terekspos mencakup alamat email, alamat tersebut bisa muncul di daftar spam dan phishing di kemudian hari. Data yang disalin dari akun lama dapat tetap beredar bahkan setelah Anda menutup akun tersebut.

Petunjuk: spam atau phishing yang menyebut nama layanan tersebut, atau lonjakan spam tak lama setelah pemberitahuan kebocoran. Yang membantu: periksa alamat Anda di Have I Been Pwned, layanan pencarian kebocoran gratis, dan daftarkan diri untuk menerima peringatannya jika Anda ingin tahu tentang kebocoran di masa mendatang. Hasil yang bersih tidak membuktikan alamat Anda tidak pernah terekspos, karena layanan ini hanya mencakup kebocoran dalam datasetnya sendiri. Jika kebocoran melibatkan kata sandi yang Anda pakai ulang, ubahlah di semua tempat Anda memakainya. Untuk membatasi apa yang bisa terekspos pada kebocoran berikutnya, lihat bagaimana surat sementara dapat memperkecil dampak dari pelanggaran data.

2. Pendaftaran, formulir prospek, dan perusahaan yang membagikan data

Banyak situs meminta alamat email sebelum Anda bisa membeli, mengunduh, mengikuti undian, mengikuti kuis, atau terus membaca. Sebagian hanya memakainya untuk pemasaran mereka sendiri. Sebagian lain membagikannya kepada "mitra", "afiliasi", atau "sponsor" sesuai kebijakan privasi atau aturan kontes mereka, dan kotak persetujuan yang sudah tercentang bisa jadi satu-satunya syaratnya. Panduan konsumen FTC "How To Get Less Spam in Your Email" mencatat bahwa perusahaan dapat membagikan atau menjual alamat Anda dan menyarankan untuk memeriksa kebijakan privasi sebelum Anda menyerahkannya.

Petunjuk: pemasaran dari merek yang belum pernah Anda hubungi, yang dimulai tak lama setelah satu pendaftaran atau keikutsertaan undian. Yang membantu: hapus centang kotak pemasaran mitra, lewati undian yang aturannya menyebutkan pembagian entri kepada sponsor, dan gunakan alamat terpisah untuk pendaftaran yang tidak sepenuhnya Anda percayai.

3. Broker data dan penjual daftar

Broker data mengumpulkan informasi dari catatan publik, pembelian, dan aktivitas online, lalu menjual profil dan daftar pemasaran. Studi FTC tahun 2014 terhadap sembilan broker data, "Data Brokers: A Call for Transparency and Accountability", menemukan bahwa broker menjual produk pemasaran, termasuk daftar konsumen yang memenuhi kriteria tertentu. Para pengirim spam dan pemasar agresif dapat membeli atau menyewa daftar semacam ini alih-alih mengumpulkan alamat sendiri.

Petunjuk: spam yang sudah mengetahui nama atau kota Anda. Itu bisa mengarah ke broker, tetapi juga bisa berasal dari data kebocoran yang digabungkan, jadi anggap saja sebagai petunjuk, bukan bukti. Yang membantu: permintaan opt-out kepada masing-masing broker dapat mengurangi pembagian data di masa mendatang, meskipun mereka tidak bisa menarik kembali daftar yang sudah terjual. Penduduk California dapat menggunakan Delete Request and Opt-out Platform (DROP) milik negara bagian untuk mengirim satu permintaan penghapusan kepada broker data terdaftar, yang wajib memproses permintaan tersebut sejak 1 Agustus 2026, dengan tunduk pada pengecualian hukum.

4. Halaman publik, profil, forum, dan catatan

Program otomatis memindai halaman web publik dan menyalin apa pun yang tampak seperti alamat email. Tempat yang umum meliputi situs web pribadi dan bisnis, unggahan forum, résumé online, PDF, kolom komentar, profil media sosial dan bisnis publik, serta beberapa catatan publik. Catatan WHOIS publik lama untuk nama domain juga dapat mengungkap alamat email pendaftar. Pada tahun 2018, ICANN membatasi publikasi data kontak pribadi untuk domain tingkat atas generik dan mewajibkan alamat email atau formulir web yang dianonimkan sebagai gantinya.

Petunjuk: cari alamat lengkap Anda dengan tanda kutip. Hasilnya menunjukkan di mana alamat tersebut terlihat secara publik, tetapi tidak adanya hasil tidak membuktikan bahwa alamat itu tidak pernah diposting, karena halaman yang diarsipkan atau tidak terindeks tidak akan muncul. Yang membantu: hapus alamat tersebut jika memungkinkan, gunakan formulir kontak alih-alih mencantumkan alamat, sembunyikan email Anda di pengaturan privasi profil, dan aktifkan privasi domain jika Anda memiliki situs web.

5. Kontak dan utas pesan orang lain

Alamat Anda juga tersimpan di buku alamat orang lain, utas email lama, dan pesan grup. Jika salah satu akun atau perangkat tersebut disusupi, daftar kontak dan percakapannya dapat disalin. Rantai CC yang panjang dan pesan yang diteruskan juga memperlihatkan setiap penerima yang terlihat kepada siapa pun yang kemudian menerimanya.

Petunjuk: spam yang tampaknya berasal dari teman atau rekan kerja, atau yang menggunakan kembali baris subjek dari utas lama yang asli. Yang membantu: gunakan BCC untuk pesan grup, perbarui perangkat lunak keamanan Anda seperti yang direkomendasikan FTC, dan beri tahu kontak jika akun mereka tampaknya mengirim email yang tidak mereka tulis.

6. Halaman phishing dan formulir menipu

Halaman masuk palsu, survei, klaim hadiah, atau pesan "konfirmasi akun Anda" dapat mengumpulkan alamat email Anda secara langsung, sering kali beserta kata sandi. Di sini alamat email hanyalah efek samping; sasaran sebenarnya adalah akun Anda. Jika Anda memasukkan kata sandi pada halaman yang Anda akses dari email tak terduga, anggap itu sebagai masalah akun, bukan masalah spam: ganti kata sandi di situs aslinya dan aktifkan autentikasi dua faktor.

Yang membantu: buka situs penting dari bookmark atau aplikasi Anda sendiri, bukan dari tautan di email, dan waspadai formulir apa pun yang meminta kata sandi email Anda.

7. Alamat yang ditebak

Spammer juga mengirim ke alamat yang tidak pernah mereka temukan di mana pun, yang disusun dari nama umum dan format alamat umum di penyedia populer atau domain perusahaan. Panduan kepatuhan CAN-SPAM dari FTC mencantumkan pemanenan alamat dan "serangan kamus" ini sebagai pelanggaran berat yang dapat mendatangkan sanksi tambahan, tetapi itu tidak menghentikan pengirim yang mengabaikan hukum.

Petunjuk: spam ke alamat yang hampir tidak pernah Anda gunakan atau bagikan, terutama alamat yang singkat atau berbasis nama. Yang membantu: andalkan filter spam dari penyedia Anda. Anda tidak perlu meninggalkan sebuah alamat hanya karena hal ini, tetapi alamat yang lebih sulit ditebak dapat membantu untuk akun baru.

Mengapa saya tiba-tiba menerima begitu banyak spam?

Lonjakan mendadak biasanya berarti alamat Anda masuk ke daftar baru, atau daftar lama mulai dikirimi email lagi. Pemicu umumnya meliputi kebocoran data yang baru diungkapkan, pendaftaran atau giveaway yang membagikan alamat Anda, atau kampanye baru yang belum bisa dikenali oleh filter spam Anda. Spam sering datang secara bergelombang karena daftar diperdagangkan dan dikirim secara massal.

Tiga pertanyaan singkat dapat mempersempit penyebabnya:

• Apakah Anda mendaftar sesuatu yang baru dalam beberapa minggu terakhir?
• Apakah spam tersebut menyebutkan perusahaan, produk, atau akun lama tertentu?
• Apakah pencarian kebocoran data menunjukkan kebocoran terbaru untuk alamat Anda?

Balasan, klik, dan gambar yang dimuat

Sebagian spammer juga mencari tanda-tanda bahwa sebuah alamat sedang digunakan. Membalas spam, mengklik tautannya (termasuk tautan berhenti berlangganan), atau memuat gambar jarak jauhnya dapat memberi tahu pengirim bahwa sebuah pesan telah sampai ke kotak masuk yang aktif. Sinyalnya tidak sempurna karena sebagian aplikasi email dan pemindai keamanan memuat gambar secara otomatis, tetapi Anda tidak mendapatkan apa pun dengan mengirimkannya. Laporkan pesan tersebut daripada membalasnya.

Banjir konfirmasi pendaftaran

Jika puluhan atau ratusan konfirmasi newsletter atau email sambutan tiba dalam hitungan jam, bisa jadi seseorang mendaftarkan alamat Anda ke banyak situs sekaligus. Ini kadang disebut subscription bombing. Bisa jadi ini murni pelecehan, tetapi bisa juga dimaksudkan untuk menenggelamkan peringatan penting, seperti konfirmasi pesanan atau pemberitahuan perubahan kata sandi, di tengah banjir pesan. Periksa akun penting Anda dengan membuka aplikasi resmi atau mengetik sendiri alamat situsnya, bukan dengan mengikuti tautan dalam banjir pesan itu, dan jangan klik tautan konfirmasinya.

Bagaimana Anda bisa mengetahui siapa yang menjual atau membocorkan alamat email Anda?

Biasanya Anda tidak bisa membuktikan siapa yang menjual atau membocorkan sebuah alamat setelah spam mulai berdatangan. Alamat unik atau alias menunjukkan di mana Anda awalnya menggunakan alamat tersebut, tetapi tidak bisa membedakan penjualan dari kebocoran di pihak vendor atau pembagian data di kemudian hari. Waktu, detail pribadi, dan perusahaan yang disebutkan dalam pesan hanyalah petunjuk, bukan bukti.

Gunakan alamat atau alias terpisah untuk setiap pendaftaran

Gmail dan Google Workspace mendukung plus addressing: menambahkan tag setelah nama pengguna Anda, misalnya yourname+shop, tetap terkirim ke kotak masuk utama Anda, dan tag tersebut menunjukkan versi alamat mana yang digunakan pengirim. Namun plus addressing hanya petunjuk: sebuah formulir bisa menolak tanda plus, dan tag bisa dihapus sebelum alamat dibagikan. Alias penerusan lebih jauh lagi, karena setiap alias adalah alamat terpisah yang bisa Anda nonaktifkan. Perbandingan alias email sementara vs email kami menjelaskan jenis mana yang cocok untuk akun yang Anda pertahankan.

Alamat unik menunjukkan alamat mana yang bocor, bukan siapa yang membocorkannya. Perusahaan mungkin telah menjualnya, salah satu vendornya mungkin mengalami kebocoran, atau daftar tersebut mungkin diteruskan lebih jauh ke pihak lain.

Detail pesan apa yang bisa dan tidak bisa memberi tahu Anda

Alamat "To", tag plus apa pun, dan kapan spam mulai muncul adalah detail yang paling berguna. Header pesan lengkap menunjukkan server yang dilalui sebuah pesan dan apakah pesan itu lolos pemeriksaan autentikasi, tetapi tidak bisa menunjukkan siapa yang menjual atau membagikan alamat Anda. Spammer sering mengirim melalui layanan atau mesin yang telah diretas yang sama sekali tidak terkait dengan kebocoran aslinya.

Apakah aman mengklik berhenti berlangganan?

Aman untuk berhenti berlangganan dari milis yang Anda kenali dan ingat pernah bergabung, idealnya dengan tombol Berhenti Berlangganan bawaan aplikasi email Anda. Untuk pengirim yang tidak dikenal, mencurigakan, atau menyamar, jangan ikuti tautan berhenti berlangganan sama sekali; tandai pesan tersebut sebagai spam atau phishing.

Gunakan kontrol berhenti berlangganan di aplikasi email Anda

Pemasar yang sah memiliki alasan hukum dan praktis untuk menghormati permintaan berhenti berlangganan. Di AS, panduan CAN-SPAM dari FTC menyatakan bahwa email komersial harus menawarkan cara untuk berhenti berlangganan, permintaan harus dipenuhi dalam 10 hari kerja, dan mekanisme berhenti berlangganan harus tetap berfungsi setidaknya 30 hari setelah pesan dikirim. Pengirim tidak boleh mengenakan biaya atau meminta lebih dari alamat email Anda, dan setelah Anda berhenti berlangganan mereka tidak boleh menjual atau mengalihkan alamat Anda, kecuali kepada perusahaan yang disewa untuk membantu mereka mematuhi hukum.

Google juga mewajibkan pengirim yang mengirim lebih dari 5.000 pesan per hari ke akun Gmail untuk mendukung berhenti berlangganan sekali klik untuk pesan pemasaran dan pesan berlangganan. Pesan yang mematuhi aturan membawa header berhenti berlangganan standar yang dapat digunakan Gmail dan aplikasi email lain untuk menampilkan opsi Berhenti Berlangganan, sehingga Anda tidak perlu mencari-cari di dalam pesan atau mengunjungi halaman yang dipilih pengirim. Panduan spam FTC juga merekomendasikan fitur berhenti berlangganan yang disediakan penyedia email Anda.

Kapan tidak boleh mengikuti tautan berhenti berlangganan

• Anda tidak mengenali perusahaannya, atau Anda tidak pernah mendaftar.
• Nama atau domain pengirim meniru merek yang Anda kenal, dengan sedikit kesalahan ejaan atau domain yang tidak terkait.
• Halaman berhenti berlangganan meminta Anda masuk, memasukkan kata sandi, atau memberikan informasi lebih dari alamat email Anda.
• Tautan memulai unduhan, atau pesan mendesak Anda untuk segera bertindak.

Pengirim yang sudah mengabaikan hukum tidak punya alasan untuk menghormati permintaan Anda, dan tautannya bisa mengonfirmasi alamat Anda atau mengarah ke halaman phishing. Laporkan pesan tersebut dan lanjutkan.

Cara mengurangi email spam yang sudah Anda terima

Anda tidak bisa menghapus alamat Anda dari setiap daftar yang telah disalin, jadi menghentikan spam biasanya berarti memfilter dan melaporkannya, bukan menghentikan setiap pengiriman. Saran konsumen FTC merekomendasikan dasar-dasar berikut:

• Tandai spam sebagai spam atau junk di aplikasi email Anda.
• Blokir pengirim atau domain yang membandel jika sumber yang sama terus lolos.
• Periksa folder spam sesekali untuk email asli yang tertangkap keliru.
• Laporkan pesan yang tidak diinginkan ke penyedia email Anda, dan laporkan penipuan ke FTC di ReportFraud.ftc.gov.

Sebagai tindakan pencegahan tambahan, jangan membalas pesan mencurigakan atau menelepon nomor telepon yang tercantum di dalamnya.

Beralih ke alamat baru adalah pilihan terakhir. Itu hanya membantu jika Anda memindahkan akun penting dengan hati-hati dan melindungi alamat baru lebih baik daripada alamat lama.

Jauhkan alamat utama Anda dari daftar pendaftaran di masa mendatang

Langkah jangka panjang yang paling efektif adalah memberikan alamat utama Anda kepada lebih sedikit perusahaan. Pengaturan tiga tingkat yang sederhana cocok untuk kebanyakan orang:

• Alamat utama: perbankan, pekerjaan, layanan pemerintah, dan akun apa pun yang perlu Anda pulihkan.
• Alias penerusan: belanja, langganan, dan akun yang Anda pertahankan, sehingga Anda dapat menonaktifkan alias apa pun yang mulai menerima spam.
• Email sementara: unduhan sekali pakai, kupon, uji coba forum, dan pendaftaran berisiko rendah lainnya yang tidak ingin Anda pertahankan.

Kapan email sementara cocok, dan kapan tidak

Alamat email sementara menjauhkan pendaftaran sekali pakai dari kotak masuk utama Anda. Jika alamat yang Anda gunakan hanya untuk satu pendaftaran kemudian menerima spam, pendaftaran itu menjadi petunjuk yang berguna, meskipun tidak dapat membuktikan apakah perusahaan, salah satu vendornya, atau pihak lain di rantai berikutnya yang membagikan alamat tersebut. Jika Anda baru mengenal konsep ini, gambaran umum tentang cara kerja surat sementara ini mencakup dasar-dasarnya.

Tmailor hanya bisa menerima, jadi Anda tidak dapat mengirim atau membalas dari alamat tersebut, dan alamat ini tidak menerima lampiran. Pesan dihapus secara otomatis sekitar 24 jam setelah tiba. Anda dapat kembali ke alamat yang sama nanti dengan Access Token-nya, tetapi token yang hilang tidak dapat dipulihkan, dan beberapa situs memblokir domain email sekali pakai. Karena itu, email sementara kurang cocok untuk perbankan, pekerjaan, pembelian yang mungkin memerlukan bukti transaksi, atau akun apa pun yang mungkin perlu Anda pulihkan. Untuk informasi lebih lanjut tentang penggunaan sehari-hari, lihat panduan kami tentang perlindungan sementara terhadap email dan spam.

Anda tidak bisa melacak setiap pesan spam, tetapi Anda bisa berhenti menambah daftar baru

Spam dimulai dari alamat yang dikumpulkan, dibagikan, atau ditebak seseorang, dan setelah menyebar, Anda tidak bisa menariknya kembali. Yang bisa Anda kendalikan adalah berapa banyak daftar baru yang melihat alamat utama Anda. Laporkan spam yang lolos, berhenti berlangganan hanya dari pengirim yang Anda kenal, dan pisahkan pendaftaran sekali pakai. Lain kali ada unduhan atau kupon yang meminta email, buatlah email sementara gratis untuk itu daripada menggunakan email asli Anda.