スパマーはどこであなたのメールアドレスを入手するのか?よくある7つの入手元と対処法

スパマーはどこであなたのメールアドレスを手に入れるのか?

スパマーがあなたのメールアドレスを入手する経路は、いくつかの一般的な情報源に限られます。漏洩した顧客データベース、連絡先リストを共有する企業やデータブローカー、公開されたウェブページやプロフィール、他人の連絡先やメッセージスレッド、フィッシングフォーム、そして推測されたアドレスです。スパムが届いたからといって受信箱がハッキングされたわけではなく、登録ごとに別のアドレスを使っていない限り、正確な出所を突き止めるのは多くの場合不可能です。

アドレスが露出することとアカウントがハッキングされることは、別の問題です。スパマーはメールを送るのにアドレスさえあればよく、読むにはパスワードが必要です。同じアドレスが複数のリストに同時に載っていることもあるため、一つの漏洩元を塞いでもスパムが一夜で止まることはほとんどありません。

• 一度リストに載ったアドレスをあらゆる場所から削除するのはほぼ不可能ですが、新たなリストに供給されるのを止めることはできます。
• 購読解除は、心当たりのあるメーリングリストに対してのみ行いましょう。心当たりのない送信者や不審な送信者は、代わりにスパムとして報告してください。
• 登録ごとに別のアドレスやエイリアスを使うことが、スパムがどこから始まったかを知る最も明確で実用的な方法です。
• 使い捨てメールは、一度きりの低リスクな登録に向いており、保持したり復元したりする必要のあるアカウントには向きません。

スパムメールアドレスの7つの一般的な発生源

以下の各発生源は仕組みが異なり、残す手がかりも異なり、それぞれ別の対処法が必要です。一つのアドレスが複数の発生源から同時に流出することもあり、スパマー同士がリストを売買するため、最初の発生源を特定するのは難しいことがよくあります。

1. 利用したサービスでのデータ漏洩

登録したショップ、アプリ、フォーラムが侵害されると、その顧客データベースがコピーされたり、販売されたり、オンラインに公開されたりする可能性があります。流出した記録にメールアドレスが含まれていれば、それらのアドレスは後にスパムやフィッシングのリストに現れることがあります。古いアカウントからコピーされたデータは、アカウントを閉鎖した後も出回り続けることがあります。

手がかり: サービス名に言及したスパムやフィッシング、あるいは漏洩通知の直後にスパムが急増すること。役立つ対策: 無料の漏洩検索サービス「Have I Been Pwned」で自分のアドレスを確認し、今後の漏洩を知りたい場合はそのアラートに登録しましょう。結果がクリーンでも、あなたのアドレスが一度も流出していない証拠にはなりません。このサービスは自社のデータセットに含まれる漏洩しか対象にしていないからです。漏洩に使い回しのパスワードが含まれていた場合は、それを使ったすべての場所で変更してください。次の漏洩で何が流出しうるかを抑える方法は、一時メールがデータ漏洩の影響をどのように縮小できる をご覧ください。

2. サインアップ、リードフォーム、データを共有する企業

多くのサイトは、購入、ダウンロード、プレゼント企画への応募、クイズへの参加、続きを読むことなどの前にメールアドレスを求めます。自社のマーケティングにしか使わないサイトもあれば、プライバシーポリシーやコンテスト規約に基づいて「パートナー」「アフィリエイト」「スポンサー」と共有するサイトもあり、事前にチェックが入った同意欄があるだけで共有されてしまうこともあります。FTCの消費者ガイド「How To Get Less Spam in Your Email」は、企業があなたのアドレスを共有または販売する可能性があると指摘し、渡す前にプライバシーポリシーを確認するよう勧めています。

手がかり: 一度のサインアップやプレゼント企画への応募の直後から始まる、一度も連絡を取ったことのないブランドからのマーケティング。役立つ対策: パートナー向けマーケティングのチェックを外し、応募内容をスポンサーと共有すると規約に書かれたプレゼント企画は避け、完全には信用できない登録には別のアドレスを使いましょう。

3. データブローカーとリスト販売業者

データブローカーは公開記録、購入履歴、オンライン上の活動から情報を集め、プロフィールやマーケティング用リストを販売します。FTCが2014年に9社のデータブローカーを調査した報告書「Data Brokers: A Call for Transparency and Accountability」では、特定の条件に当てはまる消費者のリストなど、マーケティング向け商品を販売するブローカーが確認されました。スパマーや強引なマーケターは、自分でアドレスを集める代わりに、こうしたリストを購入したり借りたりすることができます。

手がかり: すでにあなたの名前や都市を知っているスパム。これはブローカーを示す手がかりになり得ますが、統合された漏洩データから来ていることもあるため、証拠ではなくヒントとして扱いましょう。役立つ対策: 個々のブローカーへのオプトアウト申請は今後の共有を減らせますが、すでに販売されたリストを取り戻すことはできません。カリフォルニア州の住民は、州の削除リクエストおよびオプトアウトプラットフォーム(DROP)を使い、登録済みのデータブローカーにまとめて削除依頼を送ることができます。ブローカーは法的な例外を除き、2026年8月1日以降これらの依頼を処理することが義務づけられています。

4. 公開ページ、プロフィール、フォーラム、記録

自動化されたプログラムは公開ウェブページをスキャンし、メールアドレスに見えるものを片端からコピーします。よく狙われるのは、個人や企業のウェブサイト、フォーラムの投稿、オンライン履歴書、PDF、コメント欄、公開されたソーシャルメディアやビジネスのプロフィール、そして一部の公的記録です。ドメイン名の古い公開WHOIS記録から登録者のメールアドレスが露出することもありました。2018年、ICANNは一般的なトップレベルドメインにおける個人の連絡先データの公開を制限し、代わりに匿名化されたメールアドレスまたはウェブフォームの掲載を義務付けました。

手がかり: メールアドレス全体を引用符で囲んで検索してみましょう。結果が表示されれば、そのアドレスが公開されている場所がわかります。ただし、結果が出ないからといって、一度も投稿されたことがない証拠にはなりません。アーカイブされたページやインデックスされていないページは表示されないからです。効果的な対策: 可能な場所ではアドレスを削除し、印刷したアドレスの代わりに問い合わせフォームを使い、プロフィールのプライバシー設定でメールアドレスを非表示にし、ウェブサイトを運営している場合はドメインプライバシーを有効にしましょう。

5. 他人の連絡先やメッセージのやり取り

あなたのアドレスは、他人のアドレス帳や古いメールスレッド、グループメッセージの中にも残っています。そうしたアカウントや端末のどれかが侵害されると、その連絡先リストや会話がコピーされる可能性があります。長いCCの連鎖や転送されたメッセージも、後から受け取った人に表示されるすべての受信者を露出させてしまいます。

手がかり: 友人や同僚から届いたように見えるスパム、あるいは本物の古いスレッドの件名をそのまま使い回しているスパム。効果的な対策: グループメッセージにはBCCを使い、FTCが推奨するようにセキュリティソフトを常に最新の状態に保ち、知人が本人の書いていないメールを送っているようなら、その人に知らせましょう。

6. フィッシングページと偽のフォーム

偽のサインインページ、アンケート、賞品の受け取り、あるいは「アカウントを確認してください」というメッセージは、多くの場合パスワードと一緒にメールアドレスを直接収集します。ここではアドレスは副産物にすぎず、本当の狙いはあなたのアカウントです。予期しないメールからアクセスしたページにパスワードを入力してしまった場合は、スパムの問題ではなくアカウントの問題として対処しましょう。本物のサイトでパスワードを変更し、二要素認証を有効にしてください。

効果的な対策: 重要なサイトはメール内のリンクからではなく、自分のブックマークやアプリから開き、メールのパスワードを求めるフォームには警戒しましょう。

7. 推測されたアドレス

スパマーは、どこにも見つけていないアドレスにも送信します。人気のプロバイダーや企業ドメインでよく使われる名前と一般的なアドレス形式を組み合わせて作ったものです。FTCのCAN-SPAM遵守ガイドでは、アドレスの収集やこうした「辞書攻撃」が悪質な違反として挙げられており、追加の罰則の対象となり得ますが、法律を無視する送信者を止めることはできません。

手がかり: ほとんど使ったことがない、あるいは一度も共有したことのないアドレス、特に短いものや名前をもとにしたアドレスにスパムが届く。効果的な対策: プロバイダーのスパムフィルターに任せましょう。これだけでアドレスを手放す必要はありませんが、新しいアカウントには予測しにくいアドレスが役立ちます。

なぜ急にこんなにスパムが来るのでしょうか?

突然スパムが急増した場合は、通常、あなたのアドレスが新しいリストに載ったか、古いリストが再び配信され始めたことを意味します。よくあるきっかけは、最近公表された情報漏洩、あなたのアドレスを共有してしまったサインアップやプレゼント企画、あるいはスパムフィルターがまだ学習していない新しいキャンペーンなどです。リストは売買され、まとめて配信されるため、スパムは一度に大量に届くことが多いのです。

次の3つの簡単な質問で絞り込めます:

• ここ数週間で何か新しいサービスに登録しましたか?
• スパムに特定の会社、製品、古いアカウントの名前が出てきますか?
• 漏洩情報の検索で、あなたのアドレスに関する最近の漏洩が見つかりますか?

返信、クリック、画像の読み込み

スパマーの中には、アドレスが実際に使われている証拠を探す者もいます。スパムに返信したり、リンク(配信停止リンクを含む)をクリックしたり、リモート画像を読み込んだりすると、メッセージが有効な受信箱に届いたことを送信者に知らせてしまいます。一部のメールアプリやセキュリティスキャナーは画像を自動的に読み込むため、この信号は完全ではありませんが、送信者に何も得させないに越したことはありません。返信する代わりに、そのメッセージを報告しましょう。

登録確認メールの洪水

数時間のうちにニュースレターの確認メールやウェルカムメールが数十通、あるいは数百通届いたら、誰かがあなたのアドレスを一度に多くのサイトへ登録している可能性があります。これはサブスクリプション爆撃と呼ばれることもあります。単なる嫌がらせのこともありますが、注文確認やパスワード変更の通知といった本当の警告を、大量のメールの中に埋もれさせる狙いがある場合もあります。重要なアカウントは、この大量のメールにあるリンクをたどるのではなく、公式アプリを開くか自分でサイトのアドレスを入力して確認し、確認リンクはクリックしないでください。

誰があなたのメールアドレスを売ったり流出させたりしたのか、どうすれば突き止められますか?

通常、スパムが届き始めてから、誰がアドレスを売ったのか、流出させたのかを証明することはできません。固有のアドレスやエイリアスを使えば、そのアドレスを最初にどこで使ったかは分かりますが、売却とベンダーの漏洩やその後の共有を区別することはできません。タイミングや個人情報、メッセージに書かれた会社名は手がかりであって、証拠ではありません。

登録ごとに別のアドレスやエイリアスを使う

GmailやGoogle Workspaceはプラスアドレスに対応しています。ユーザー名の後にyourname+shopのようなタグを付けてもメインの受信トレイに届き、そのタグによって送信者がどのバージョンのアドレスを使ったかが分かります。ただし、プラスアドレスはあくまで手がかりにすぎません。フォームがプラス記号を受け付けないこともあり、アドレスが共有される前にタグを削除されることもあります。転送エイリアスはさらに効果的で、各エイリアスが個別のアドレスなので無効にできます。一時メールとメールの別名 の比較では、どの種類が継続して使うアカウントに適しているかを説明しています。

固有のアドレスで分かるのは、どのアドレスが漏洩したかであって、誰が漏洩させたかではありません。会社が売却したのか、取引先のどこかが侵害されたのか、あるいはリストがさらに先へと渡ったのかもしれません。

メッセージの詳細から分かることと分からないこと

「To」のアドレス、プラスタグの有無、スパムがいつ始まったかが最も役立つ情報です。完全なメッセージヘッダーを見れば、メッセージが経由したサーバーや認証チェックに合格したかどうかが分かりますが、誰があなたのアドレスを売ったり共有したりしたかは分かりません。スパマーはしばしば、元の漏洩とは無関係なサービスや侵害されたマシンを使って送信します。

配信解除をクリックしても安全ですか?

覚えがあって自分から登録したメーリングリストなら、できればメールアプリ内蔵の「配信解除」ボタンを使って解除しても安全です。心当たりのない送信者、怪しい送信者、なりすましの送信者の場合は、配信解除リンクは絶対にたどらず、代わりにそのメッセージをスパムまたはフィッシングとして報告してください。

メールアプリの配信解除機能を使う

正規のマーケターには、オプトアウトを尊重する法的・実務的な理由があります。米国では、FTCのCAN-SPAMガイドによれば、商業メールはオプトアウトの手段を提供しなければならず、解除の申し出は10営業日以内に処理し、オプトアウトの仕組みはメッセージ送信後少なくとも30日間は機能し続けなければならないとされています。送信者は手数料を請求したり、メールアドレス以外の情報を求めたりすることはできず、オプトアウト後は、法令遵守を支援するために雇われた会社に譲渡する場合を除き、あなたのアドレスを売却したり譲渡したりすることはできません。

またGoogleは、1日に5,000通を超えるメッセージをGmailアカウントに送る送信者に対し、マーケティングメールや登録メールでワンクリック配信解除に対応することを義務付けています。要件を満たしたメッセージには標準的な配信解除ヘッダーが付き、Gmailなどのメールアプリはそれを使って配信解除の選択肢を表示できるため、メッセージの中を探し回ったり、送信者が指定したページを訪れたりする必要はありません。FTCのスパムガイドも同様に、メールプロバイダーが提供する配信解除機能を推奨しています。

配信解除リンクをたどるべきでない場合

• その会社に心当たりがない、または登録した覚えがない。
• 送信者の名前やドメインが、よく知っているブランドを少し綴りを変えたり、無関係なドメインを使ったりして模倣している。
• 配信解除ページでサインインやパスワードの入力、メールアドレス以上の情報の提供を求められる。
• リンクがダウンロードを開始する、またはメッセージが早く行動するよう迫ってくる。

すでに法律を無視している送信者には、あなたの申し出を尊重する理由がなく、そのリンクはあなたのアドレスを確認するためやフィッシングページへ誘導するために使われかねません。メッセージを報告して、それ以上は関わらないようにしましょう。

すでに届いているスパムメールを減らす方法

コピーされたすべてのリストから自分のアドレスを削除することはできないため、スパムを止めるには、すべての送信を止めるのではなく、フィルタリングして報告することが基本になります。FTCの消費者向けアドバイスでは、次の基本が推奨されています。

• メールアプリでスパムをスパムまたは迷惑メールとしてマークする。
• 同じ送信元から何度も届く場合は、その送信者やドメインをブロックする。
• 迷惑メールフォルダを時々確認し、誤って振り分けられた本物のメールがないか確かめる。
• 不要なメッセージはメールプロバイダーに報告し、詐欺はFTCのReportFraud.ftc.govに報告する。

念のため、怪しいメッセージに返信したり、そこに書かれた電話番号に電話したりしないでください。

新しいアドレスに切り替えるのは最後の手段です。重要なアカウントを慎重に移行し、新しいアドレスを古いアドレスよりも厳重に守った場合にのみ効果があります。

今後の登録リストにメインのアドレスを載せないようにする

最も効果的な長期的な対策は、主要なアドレスを渡す相手を減らすことです。多くの人には、シンプルな3層の使い分けが有効です。

• メインアドレス： 銀行、仕事、行政サービス、そして復旧が必要になるあらゆるアカウント用です。
• 転送用エイリアス： 買い物、サブスクリプション、維持したいアカウント用で、スパムが届き始めたエイリアスはオフにできます。
• 使い捨てメール： 一度きりのダウンロード、クーポン、フォーラムの試用など、維持する予定のない低リスクの登録用です。

使い捨てメールが向いている場合と向いていない場合

使い捨てメールアドレスは、一度きりの登録をメインの受信箱から遠ざけます。一度だけ登録に使ったアドレスに後からスパムが届いた場合、その登録は有用な手がかりになりますが、その会社、その取引先、あるいはさらに先の誰かがアドレスを共有したかどうかまでは証明できません。この仕組みに初めて触れる方は、こちらの 時郵便の基本的な 概要で基本を解説しています。

Tmailorは受信専用のため、そのアドレスから送信や返信はできず、添付ファイルも受け付けません。メッセージは届いてから約24時間後に自動的に削除されます。後で同じアドレスにアクセストークンで戻ることはできますが、紛失したトークンは復元できず、一部のサイトは使い捨てメールのドメインをブロックしています。そのため、銀行取引、仕事、領収書が必要になる買い物、復旧が必要になる可能性のあるアカウントには使い捨てメールは向いていません。日常的な使い方については、こちらの 一時的なメールとスパム防止のガイド をご覧ください。

すべてのスパムを追跡することはできませんが、新たなリストにアドレスを渡すのをやめることはできます

スパムは誰かが収集し、共有し、あるいは推測したアドレスから始まり、一度広まると取り戻すことはできません。自分でコントロールできるのは、メインアドレスがどれだけ多くの新しいリストに渡るかです。届いたスパムは報告し、購読解除は知っている送信者にだけ行い、一度きりの登録は別のアドレスに分けておきましょう。次にダウンロードやクーポンでメールアドレスを求められたら、本当のアドレスではなく 無料の一時メールを作成 を使いましょう。