Skąd spamerzy biorą Twój adres e-mail? 7 typowych źródeł i co zrobić

Skąd spamerzy biorą Twój adres e-mail?

Spamerzy pozyskują Twój adres e-mail z kilku powszechnych źródeł: z naruszonych baz danych klientów, od firm i brokerów danych, którzy udostępniają listy kontaktów, z publicznych stron internetowych i profili, z kontaktów i wątków innych osób, z formularzy phishingowych oraz ze zgadywanych adresów. Otrzymywanie spamu nie oznacza, że Twoja skrzynka odbiorcza została zhakowana, a jeśli nie używałeś osobnego adresu przy każdej rejestracji, dokładnego źródła często nie da się udowodnić.

Ujawniony adres i zhakowane konto to dwa różne problemy. Spamer potrzebuje tylko Twojego adresu, aby wysłać Ci wiadomość, ale do jej odczytania potrzebowałby Twojego hasła. Ten sam adres może znajdować się jednocześnie na wielu listach, więc zamknięcie jednego przecieku rzadko powstrzymuje spam z dnia na dzień.

• Gdy adres trafi już na listę, rzadko można go usunąć wszędzie, ale możesz przestać zasilać nowe listy.
• Rezygnuj tylko z list mailingowych, które rozpoznajesz; nieznanych lub podejrzanych nadawców zgłaszaj jako spam.
• Osobny adres lub alias dla każdej rejestracji to najprostszy praktyczny sposób, by zobaczyć, gdzie zaczął się spam.
• Tymczasowy e-mail sprawdza się przy jednorazowych rejestracjach o niskim ryzyku, a nie przy kontach, które trzeba zachować lub odzyskać.

Siedem powszechnych źródeł spamowych adresów e-mail

Każde z poniższych źródeł działa inaczej, zostawia inne wskazówki i wymaga innego rozwiązania. Jeden adres może pochodzić jednocześnie z kilku z nich, a spamerzy handlują listami, więc pierwsze źródło często trudno ustalić.

1. Wycieki danych w usługach, z których korzystałeś

Gdy sklep, aplikacja lub forum, w których się zarejestrowałeś, padnie ofiarą naruszenia, jego baza danych klientów może zostać skopiowana, sprzedana lub opublikowana w internecie. Jeśli ujawnione rekordy zawierają adresy e-mail, te adresy mogą później pojawić się na listach spamowych i phishingowych. Dane skopiowane ze starego konta mogą pozostawać w obiegu nawet po jego zamknięciu.

Wskazówki: spam lub phishing, w którym usługa jest wymieniona z nazwy, albo wzrost ilości spamu wkrótce po powiadomieniu o naruszeniu. Co pomaga: sprawdź swój adres w Have I Been Pwned, darmowej usłudze wyszukiwania naruszeń, i zapisz się na powiadomienia, jeśli chcesz dowiadywać się o przyszłych naruszeniach. Czysty wynik nie dowodzi, że Twój adres nigdy nie został ujawniony, ponieważ usługa obejmuje tylko naruszenia ze swojego własnego zbioru danych. Jeśli naruszenie dotyczyło hasła, którego używałeś ponownie, zmień je wszędzie tam, gdzie go używałeś. Aby ograniczyć to, co może ujawnić kolejne naruszenie, zobacz, jak tymczasowa poczta może zmniejszyć skutki naruszeń danych.

2. Rejestracje, formularze leadów i firmy udostępniające dane

Wiele stron prosi o podanie adresu e-mail, zanim możesz kupić, pobrać plik, wziąć udział w konkursie, wypełnić quiz lub czytać dalej. Niektóre używają go wyłącznie do własnego marketingu. Inne udostępniają go "partnerom", "afiliantom" lub "sponsorom" zgodnie z polityką prywatności lub zasadami konkursu, a wystarczy wstępnie zaznaczone pole zgody. Przewodnik konsumencki FTC "How To Get Less Spam in Your Email" zauważa, że firmy mogą udostępniać lub sprzedawać Twój adres, i zaleca sprawdzenie polityki prywatności, zanim go przekażesz.

Wskazówki: marketing od marek, z którymi nigdy się nie kontaktowałeś, zaczynający się wkrótce po jednej rejestracji lub zgłoszeniu do konkursu. Co pomaga: odznacz pola marketingu partnerskiego, pomiń konkursy, których zasady wspominają o udostępnianiu zgłoszeń sponsorom, i używaj osobnego adresu do rejestracji, którym nie ufasz w pełni.

3. Brokerzy danych i sprzedawcy list

Brokerzy danych zbierają informacje z publicznych rejestrów, zakupów i aktywności online, a następnie sprzedają profile i listy marketingowe. Badanie FTC z 2014 roku dotyczące dziewięciu brokerów danych, "Data Brokers: A Call for Transparency and Accountability", wykazało, że brokerzy sprzedają produkty marketingowe, w tym listy konsumentów spełniających określone kryteria. Spamerzy i agresywni marketerzy mogą kupować lub wynajmować takie listy, zamiast samodzielnie zbierać adresy.

Wskazówki: spam, który już zna Twoje imię lub miasto. Może to wskazywać na brokera, ale może też wynikać z połączonych danych z naruszeń, więc traktuj to jako wskazówkę, a nie dowód. Co pomaga: wnioski o rezygnację kierowane do poszczególnych brokerów mogą ograniczyć przyszłe udostępnianie, choć nie wycofają list już sprzedanych. Mieszkańcy Kalifornii mogą skorzystać z platformy Delete Request and Opt-out Platform (DROP) stanu Kalifornia, aby wysłać jeden wniosek o usunięcie do zarejestrowanych brokerów danych, którzy muszą przetwarzać takie wnioski od 1 sierpnia 2026 roku, z zastrzeżeniem wyjątków prawnych.

4. Publiczne strony, profile, fora i rejestry

Zautomatyzowane programy skanują publiczne strony internetowe i kopiują wszystko, co wygląda na adres e-mail. Typowe miejsca to strony osobiste i firmowe, posty na forach, CV online, pliki PDF, sekcje komentarzy, publiczne profile w mediach społecznościowych i firmowe oraz niektóre publiczne rejestry. Starsze publiczne rejestry WHOIS dotyczące domen mogły również ujawniać adres e-mail rejestrującego. W 2018 roku ICANN ograniczył publikację danych kontaktowych osób fizycznych dla ogólnych domen najwyższego poziomu i wymagał zamiast tego anonimowego adresu e-mail lub formularza internetowego.

Wskazówki: wyszukaj pełny adres w cudzysłowie. Wynik pokazuje, gdzie adres jest publicznie widoczny, ale brak wyniku nie dowodzi, że nigdy nie został opublikowany, ponieważ strony zarchiwizowane lub nieindeksowane się nie pojawią. Co pomaga: usuń adres tam, gdzie to możliwe, używaj formularza kontaktowego zamiast podanego adresu, ukryj e-mail w ustawieniach prywatności profilu i włącz prywatność domeny, jeśli jesteś właścicielem strony internetowej.

5. Kontakty i wątki wiadomości innych osób

Twój adres znajduje się też w książkach adresowych innych osób, starych wątkach mailowych i wiadomościach grupowych. Jeśli jedno z tych kont lub urządzeń zostanie przejęte, jego lista kontaktów i rozmowy mogą zostać skopiowane. Długie łańcuchy w polu DW i przekazywane wiadomości również ujawniają każdego widocznego odbiorcę każdemu, kto później je otrzyma.

Wskazówki: spam, który wydaje się pochodzić od znajomego lub współpracownika albo który powtarza temat autentycznego starego wątku. Co pomaga: używaj pola UDW do wiadomości grupowych, aktualizuj oprogramowanie zabezpieczające zgodnie z zaleceniami FTC i poinformuj kontakt, jeśli jego konto wydaje się wysyłać wiadomości, których nie napisał.

6. Strony phishingowe i oszukańcze formularze

Fałszywa strona logowania, ankieta, odbiór nagrody lub wiadomość "potwierdź konto" mogą bezpośrednio zebrać Twój adres e-mail, często wraz z hasłem. Tutaj adres jest efektem ubocznym; prawdziwym celem jest Twoje konto. Jeśli wprowadziłeś hasło na stronie, do której trafiłeś z niespodziewanego e-maila, traktuj to jako problem z kontem, a nie ze spamem: zmień hasło na prawdziwej stronie i włącz uwierzytelnianie dwuskładnikowe.

Co pomaga: otwieraj ważne strony z własnej zakładki lub aplikacji, a nie z linków w e-mailu, i uważaj na wszelkie formularze, które proszą o hasło do Twojego e-maila.

7. Zgadywane adresy

Spamerzy wysyłają też na adresy, których nigdzie nie znaleźli, zbudowane z popularnych imion i typowych formatów adresów u popularnych dostawców lub w domenach firmowych. Przewodnik FTC dotyczący zgodności z CAN-SPAM wymienia pozyskiwanie adresów i te "ataki słownikowe" wśród poważniejszych naruszeń, które mogą wiązać się z dodatkowymi karami, ale nie powstrzymuje to nadawców ignorujących prawo.

Wskazówki: spam na adres, którego prawie nie używałeś lub nigdy nie udostępniałeś, zwłaszcza krótki lub oparty na imieniu i nazwisku. Co pomaga: polegaj na filtrze spamu swojego dostawcy. Nie musisz z tego powodu rezygnować z adresu, ale mniej przewidywalny adres może pomóc w przypadku nowych kont.

Dlaczego nagle dostaję tyle spamu?

Nagły skok zwykle oznacza, że Twój adres trafił na nową listę lub że starą listę znów zaczęto wykorzystywać do wysyłki. Typowe przyczyny to niedawno ujawniony wyciek danych, rejestracja lub konkurs, w których udostępniono Twój adres, albo nowa kampania, której Twój filtr spamu jeszcze nie nauczył się wykrywać. Spam często przychodzi seriami, ponieważ listy są wymieniane i wykorzystywane do masowej wysyłki.

Trzy szybkie pytania mogą zawęzić przyczynę:

• Czy w ciągu ostatnich kilku tygodni zapisałeś się na coś nowego?
• Czy spam wspomina o konkretnej firmie, produkcie lub starym koncie?
• Czy wyszukiwanie wycieków pokazuje niedawny wyciek dotyczący Twojego adresu?

Odpowiedzi, kliknięcia i załadowane obrazy

Niektórzy spamerzy szukają też oznak, że dany adres jest używany. Odpowiadanie na spam, klikanie jego linków (w tym linku do wypisania się) lub ładowanie zdalnych obrazów może przekazać nadawcy, że wiadomość dotarła do działającej skrzynki odbiorczej. Sygnał jest niedoskonały, ponieważ niektóre aplikacje pocztowe i skanery bezpieczeństwa ładują obrazy automatycznie, ale nic nie zyskujesz, wysyłając go. Zamiast odpowiadać, zgłoś wiadomość.

Zalew potwierdzeń rejestracji

Jeśli w ciągu kilku godzin dotrze kilkadziesiąt lub kilkaset potwierdzeń subskrypcji newslettera albo e-maili powitalnych, ktoś może zapisywać Twój adres na wielu stronach naraz. Czasem nazywa się to bombardowaniem subskrypcjami. Może to być zwykłe nękanie, ale może też służyć ukryciu prawdziwego ostrzeżenia, na przykład potwierdzenia zamówienia lub powiadomienia o zmianie hasła, w natłoku wiadomości. Sprawdź swoje ważne konta, otwierając oficjalną aplikację lub samodzielnie wpisując adres strony, a nie klikając linki w tej powodzi wiadomości, i nie klikaj w linki potwierdzające.

Jak dowiedzieć się, kto sprzedał lub ujawnił Twój adres e-mail?

Zwykle nie da się udowodnić, kto sprzedał lub ujawnił adres, gdy zaczyna się spam. Unikalny adres lub alias pokazuje, gdzie pierwotnie używałeś tego adresu, ale nie pozwala odróżnić sprzedaży od naruszenia u dostawcy lub późniejszego udostępnienia. Czas, dane osobowe i firma wymieniona w wiadomości to wskazówki, a nie dowody.

Używaj osobnego adresu lub aliasu przy każdej rejestracji

Gmail i Google Workspace obsługują adresowanie z plusem: dodanie znacznika po nazwie użytkownika, np. yourname+shop, nadal dostarcza wiadomości do głównej skrzynki odbiorczej, a znacznik pokazuje, której wersji adresu użył nadawca. Adresowanie z plusem to jednak tylko wskazówka: formularz może odrzucić znak plus, a znacznik można usunąć, zanim adres zostanie udostępniony. Aliasy przekierowujące idą dalej, bo każdy alias to osobny adres, który możesz wyłączyć. Nasze porównanie tymczasowych aliasów mailowych i e-mail wyjaśnia, który typ pasuje do kont, które zachowujesz.

Unikalny adres pokazuje, który adres wyciekł, a nie kto go ujawnił. Firma mogła go sprzedać, jeden z jej dostawców mógł paść ofiarą naruszenia albo lista mogła zostać przekazana dalej.

Jakie szczegóły wiadomości mogą Ci powiedzieć, a jakich nie

Adres w polu „Do”, ewentualny znacznik z plusem oraz moment, w którym zaczął się spam, to najbardziej przydatne informacje. Pełne nagłówki wiadomości pokazują serwery, przez które wiadomość przeszła, oraz czy przeszła kontrole uwierzytelniania, ale nie mogą pokazać, kto sprzedał lub udostępnił Twój adres. Spamerzy często wysyłają przez usługi lub przejęte komputery, które nie mają nic wspólnego z pierwotnym wyciekiem.

Czy bezpiecznie jest kliknąć „wypisz się”?

Bezpiecznie jest wypisać się z listy mailingowej, którą znasz i pamiętasz, że się na nią zapisałeś, najlepiej za pomocą wbudowanego przycisku wypisania się w aplikacji e-mail. W przypadku nieznanych, podejrzanych lub podszywających się nadawców w ogóle nie korzystaj z linku do wypisania się; oznacz wiadomość jako spam lub phishing.

Skorzystaj z opcji wypisania się w aplikacji e-mail

Legalni marketerzy mają prawne i praktyczne powody, by respektować rezygnacje. W USA przewodnik FTC dotyczący CAN-SPAM mówi, że komercyjna poczta e-mail musi oferować możliwość rezygnacji, wnioski trzeba realizować w ciągu 10 dni roboczych, a mechanizm rezygnacji musi działać co najmniej 30 dni po wysłaniu wiadomości. Nadawcy nie mogą pobierać opłat ani żądać niczego więcej niż Twój adres e-mail, a po rezygnacji nie mogą sprzedawać ani przekazywać Twojego adresu, z wyjątkiem firmie zatrudnionej do pomocy w przestrzeganiu prawa.

Google wymaga również, aby nadawcy wysyłający ponad 5000 wiadomości dziennie na konta Gmail obsługiwali wypisanie się jednym kliknięciem w przypadku wiadomości marketingowych i subskrybowanych. Zgodne z wymogami wiadomości zawierają standardowe nagłówki wypisania się, których Gmail i inne aplikacje e-mail mogą użyć do wyświetlenia opcji wypisania się, więc nie musisz szukać jej w treści wiadomości ani odwiedzać strony wybranej przez nadawcę. Przewodnik FTC dotyczący spamu również zaleca korzystanie z funkcji wypisania się oferowanych przez Twojego dostawcę poczty.

Kiedy nie należy korzystać z linku do wypisania się

• Nie rozpoznajesz firmy albo nigdy się nie zapisałeś.
• Nazwa lub domena nadawcy naśladuje znaną Ci markę, z drobnymi błędami w pisowni lub niepowiązaną domeną.
• Strona wypisania się prosi o zalogowanie, podanie hasła lub więcej niż adres e-mail.
• Link rozpoczyna pobieranie albo wiadomość wywiera presję, byś działał szybko.

Nadawca, który już ignoruje prawo, nie ma powodu, by spełnić Twoją prośbę, a jego link może potwierdzić Twój adres lub prowadzić do strony phishingowej. Zgłoś wiadomość i zajmij się czymś innym.

Jak ograniczyć spam, który już otrzymujesz

Nie możesz usunąć swojego adresu z każdej skopiowanej listy, więc powstrzymanie spamu zwykle oznacza jego filtrowanie i zgłaszanie, a nie zatrzymanie każdej wysyłki. Porady konsumenckie FTC zalecają te podstawy:

• Oznaczaj spam jako spam lub wiadomość-śmieć w aplikacji e-mail.
• Blokuj uporczywych nadawców lub domeny, gdy to samo źródło ciągle się przedostaje.
• Od czasu do czasu sprawdzaj folder spamu, czy nie trafiła tam prawdziwa wiadomość przez pomyłkę.
• Zgłaszaj niechciane wiadomości swojemu dostawcy poczty, a oszustwa do FTC na stronie ReportFraud.ftc.gov.

Dla dodatkowego bezpieczeństwa nie odpowiadaj na podejrzane wiadomości ani nie dzwoń na numery telefonów w nich podane.

Zmiana adresu to ostateczność. Pomaga tylko wtedy, gdy ostrożnie przeniesiesz ważne konta i lepiej ochronisz nowy adres niż stary.

Trzymaj swój główny adres poza przyszłymi listami rejestracji

Najskuteczniejszym długoterminowym krokiem jest podawanie głównego adresu mniejszej liczbie firm. Prosty układ trzech poziomów sprawdza się u większości osób:

• Główny adres: bankowość, praca, usługi rządowe oraz każde konto, które musiałbyś odzyskiwać.
• Alias przekierowujący: zakupy, subskrypcje i konta, które chcesz zachować, dzięki czemu możesz wyłączyć każdy alias, na który zacznie przychodzić spam.
• Tymczasowy e-mail: jednorazowe pobrania, kupony, próby na forach i inne rejestracje o niskim ryzyku, których nie zamierzasz zachować.

Kiedy tymczasowy e-mail się sprawdza, a kiedy nie

Tymczasowy adres e-mail trzyma jednorazowe rejestracje z dala od głównej skrzynki odbiorczej. Jeśli na adres użyty tylko przy jednej rejestracji później zacznie przychodzić spam, ta rejestracja jest przydatnym tropem, choć nie dowodzi, czy adres udostępniła firma, jeden z jej dostawców, czy ktoś jeszcze dalej. Jeśli dopiero poznajesz ten temat, ten przegląd działania tymczasowej poczty omawia podstawy.

Tmailor obsługuje tylko odbiór, więc nie możesz wysyłać ani odpowiadać z tego adresu, a także nie akceptuje załączników. Wiadomości są automatycznie usuwane około 24 godziny po ich nadejściu. Możesz wrócić na ten sam adres później z jego Access Tokenem, ale zgubionego tokena nie da się odzyskać, a niektóre strony blokują jednorazowe domeny e-mail. To sprawia, że tymczasowa korespondencja nie nadaje się do bankowości, pracy, zakupów, za które możesz potrzebować paragonów, ani do każdego konta, które możesz potrzebować odzyskać. Więcej o codziennym użytkowaniu znajdziesz w naszym przewodniku dotyczącym tymczasowej ochrony przed pocztą i spamem.

Nie prześledzisz każdej wiadomości spamowej, ale możesz przestać zasilać nowe listy

Spam zaczyna się od adresu, który ktoś zebrał, udostępnił lub odgadł, a gdy już krąży, nie da się go wycofać. Możesz kontrolować to, ile nowych list pozna Twój główny adres. Zgłaszaj to, co przechodzi przez filtry, wypisuj się tylko od nadawców, których rozpoznajesz, i trzymaj jednorazowe rejestracje osobno. Następnym razem, gdy pobranie lub kupon będzie wymagać adresu e-mail, stwórz darmową tymczasową wiadomość zamiast używać prawdziwego.