Onde os spammers conseguem seu endereço de e-mail? 7 fontes comuns e o que fazer

De onde os spammers obtêm seu endereço de e-mail?

Os spammers obtêm seu endereço de e-mail de algumas fontes comuns: bancos de dados de clientes vazados, empresas e corretores de dados que compartilham listas de contatos, páginas e perfis públicos, contatos e conversas de outras pessoas, formulários de phishing e endereços adivinhados. Receber spam não significa que sua caixa de entrada foi hackeada e, a menos que você tenha usado um endereço separado para cada cadastro, muitas vezes é impossível provar a origem exata.

Um endereço exposto e uma conta hackeada são problemas diferentes. Um spammer só precisa do seu endereço para enviar e-mails, mas precisaria da sua senha para lê-los. O mesmo endereço pode estar em várias listas ao mesmo tempo, então fechar um vazamento raramente faz o spam parar da noite para o dia.

• Depois que um endereço entra em uma lista, raramente é possível removê-lo de todos os lugares, mas você pode parar de alimentar novas listas.
• Cancele a inscrição apenas em listas de e-mail que você reconhece; em vez disso, denuncie remetentes desconhecidos ou suspeitos como spam.
• Um endereço ou alias separado para cada cadastro é a forma prática mais clara de descobrir onde o spam começou.
• O e-mail temporário é adequado para cadastros pontuais e de baixo risco, não para contas que você precisa manter ou recuperar.

Sete fontes comuns de endereços de e-mail para spam

Cada fonte abaixo funciona de forma diferente, deixa pistas diferentes e exige uma solução diferente. Um endereço pode vir de várias delas ao mesmo tempo e, como os spammers trocam listas, a primeira fonte costuma ser difícil de identificar.

1. Vazamentos de dados em serviços que você usou

Quando uma loja, um aplicativo ou um fórum em que você se cadastrou sofre um vazamento, seu banco de dados de clientes pode ser copiado, vendido ou publicado online. Se os registros expostos incluírem endereços de e-mail, esses endereços podem aparecer depois em listas de spam e phishing. Dados copiados de uma conta antiga podem continuar em circulação mesmo depois que você encerra a conta.

Pistas: spam ou phishing que menciona o serviço pelo nome, ou um aumento no spam logo após um aviso de vazamento. O que ajuda: verifique seu endereço no Have I Been Pwned, um serviço gratuito de consulta de vazamentos, e ative os alertas se quiser saber de vazamentos futuros. Um resultado limpo não prova que seu endereço nunca foi exposto, porque o serviço só cobre vazamentos presentes em seu próprio banco de dados. Se um vazamento envolveu uma senha que você reutilizou, altere-a em todos os lugares em que a usou. Para limitar o que o próximo vazamento pode expor, veja como o correio temporário pode reduzir as consequências de vazamentos de dados.

2. Cadastros, formulários de captação de leads e empresas que compartilham dados

Muitos sites pedem um endereço de e-mail antes de você poder comprar, baixar, participar de um sorteio, responder a um quiz ou continuar lendo. Alguns o usam apenas para o próprio marketing. Outros o compartilham com "parceiros", "afiliados" ou "patrocinadores" conforme a política de privacidade ou as regras do concurso, e uma caixa de consentimento já marcada pode ser tudo o que basta. O guia do consumidor da FTC "How To Get Less Spam in Your Email" observa que as empresas podem compartilhar ou vender seu endereço e sugere verificar as políticas de privacidade antes de fornecê-lo.

Pistas: marketing de marcas com as quais você nunca teve contato, começando logo após um cadastro ou uma participação em sorteio. O que ajuda: desmarque as caixas de marketing de parceiros, evite sorteios cujas regras mencionem o compartilhamento de inscrições com patrocinadores e use um endereço separado para cadastros em que você não confia totalmente.

3. Corretores de dados e vendedores de listas

Os corretores de dados coletam informações de registros públicos, compras e atividades online e depois vendem perfis e listas de marketing. O estudo da FTC de 2014 sobre nove corretores de dados, "Data Brokers: A Call for Transparency and Accountability", constatou que os corretores vendiam produtos de marketing, incluindo listas de consumidores que atendem a determinados critérios. Spammers e profissionais de marketing agressivos podem comprar ou alugar listas como essas em vez de coletar endereços por conta própria.

Pistas: spam que já sabe seu nome ou sua cidade. Isso pode apontar para um corretor, mas também pode vir de dados de vazamentos combinados, então encare como uma dica, não como prova. O que ajuda: pedidos de exclusão a corretores individuais podem reduzir o compartilhamento futuro, embora não consigam recolher listas já vendidas. Os residentes da Califórnia podem usar a Plataforma de Solicitação de Exclusão e Opt-out (DROP) do estado para enviar um único pedido de exclusão a corretores de dados registrados, que precisam processar esses pedidos desde 1º de agosto de 2026, sujeito a exceções legais.

4. Páginas públicas, perfis, fóruns e registros

Programas automatizados varrem páginas públicas da web e copiam tudo o que pareça um endereço de e-mail. Os locais comuns incluem sites pessoais e empresariais, posts em fóruns, currículos online, PDFs, seções de comentários, perfis públicos em redes sociais e de empresas, além de alguns registros públicos. Registros WHOIS públicos mais antigos de nomes de domínio também podiam expor o endereço de e-mail do registrante. Em 2018, a ICANN restringiu a publicação de dados pessoais de contato para domínios genéricos de primeiro nível e passou a exigir um endereço de e-mail anonimizado ou um formulário web em seu lugar.

Pistas: pesquise seu endereço completo entre aspas. Um resultado mostra onde o endereço está visível publicamente, mas a ausência de resultados não prova que ele nunca foi publicado, pois páginas arquivadas ou não indexadas não aparecerão. O que ajuda: remova o endereço onde puder, use um formulário de contato em vez de um endereço impresso, oculte seu e-mail nas configurações de privacidade do perfil e ative a privacidade de domínio se você tiver um site.

5. Contatos e conversas de outras pessoas

Seu endereço também fica na agenda de contatos de outras pessoas, em conversas de e-mail antigas e em mensagens em grupo. Se uma dessas contas ou dispositivos for comprometido, sua lista de contatos e suas conversas podem ser copiadas. Cadeias longas de CC e mensagens encaminhadas também expõem todos os destinatários visíveis a qualquer pessoa que as receba depois.

Pistas: spam que parece vir de um amigo ou colega de trabalho, ou que reutiliza o assunto de uma conversa antiga genuína. O que ajuda: use Cco para mensagens em grupo, mantenha seu software de segurança atualizado conforme a recomendação da FTC e avise um contato se a conta dele parecer estar enviando mensagens que ele não escreveu.

6. Páginas de phishing e formulários enganosos

Uma página de login falsa, uma pesquisa, um resgate de prêmio ou uma mensagem de "confirme sua conta" pode coletar seu endereço de e-mail diretamente, muitas vezes junto com uma senha. Aqui o endereço é um efeito colateral; o verdadeiro alvo é a sua conta. Se você digitou uma senha em uma página acessada a partir de um e-mail inesperado, trate isso como um problema de conta, e não de spam: altere a senha no site real e ative a autenticação em dois fatores.

O que ajuda: abra sites importantes pelo seu próprio favorito ou aplicativo, em vez de por links em e-mails, e desconfie de qualquer formulário que peça sua senha de e-mail.

7. Endereços adivinhados

Os spammers também enviam para endereços que nunca encontraram em lugar nenhum, montados a partir de nomes comuns e formatos de endereço comuns em provedores populares ou domínios de empresas. O guia de conformidade com a CAN-SPAM da FTC lista a coleta de endereços e esses "ataques de dicionário" entre as violações agravadas que podem gerar penalidades extras, mas isso não impede os remetentes que ignoram a lei.

Pistas: spam para um endereço que você mal usou ou nunca compartilhou, especialmente um curto ou baseado em nome. O que ajuda: confie no filtro de spam do seu provedor. Você não precisa abandonar um endereço só por isso, mas um endereço menos previsível pode ajudar em novas contas.

Por que de repente estou recebendo tanto spam?

Um salto repentino geralmente significa que seu endereço entrou em uma nova lista, ou que uma lista antiga voltou a ser usada para envios. Gatilhos comuns incluem um vazamento divulgado recentemente, uma inscrição ou sorteio que compartilhou seu endereço, ou uma nova campanha que seu filtro de spam ainda não aprendeu a detectar. O spam costuma chegar em rajadas porque as listas são negociadas e enviadas em massa.

Três perguntas rápidas podem ajudar a identificar a causa:

• Você se inscreveu em algo novo nas últimas semanas?
• O spam menciona alguma empresa, produto ou conta antiga específica?
• Uma consulta de vazamentos mostra um vazamento recente com o seu endereço?

Respostas, cliques e imagens carregadas

Alguns spammers também procuram sinais de que um endereço está em uso. Responder ao spam, clicar nos links (inclusive no link de cancelamento de inscrição) ou carregar as imagens remotas pode indicar ao remetente que a mensagem chegou a uma caixa de entrada ativa. O sinal é imperfeito porque alguns aplicativos de e-mail e scanners de segurança carregam imagens automaticamente, mas você não ganha nada ao enviá-lo. Denuncie a mensagem em vez de responder.

Uma enxurrada de confirmações de inscrição

Se dezenas ou centenas de confirmações de newsletters ou e-mails de boas-vindas chegarem em poucas horas, alguém pode estar cadastrando seu endereço em vários sites ao mesmo tempo. Isso às vezes é chamado de subscription bombing. Pode ser puro assédio, mas também pode ter o objetivo de esconder um alerta real, como uma confirmação de pedido ou um aviso de mudança de senha, em meio ao ruído. Verifique suas contas importantes abrindo o aplicativo oficial ou digitando você mesmo o endereço do site, e não seguindo links da enxurrada, e não clique nos links de confirmação.

Como você pode descobrir quem vendeu ou vazou seu endereço de e-mail?

Normalmente, não é possível provar quem vendeu ou vazou um endereço quando o spam começa. Um endereço ou alias exclusivo mostra onde você usou originalmente esse endereço, mas não consegue distinguir uma venda de um vazamento no fornecedor ou de um compartilhamento posterior. O momento, os dados pessoais e a empresa citada na mensagem são pistas, não provas.

Use um endereço ou alias separado para cada cadastro

O Gmail e o Google Workspace oferecem suporte ao endereçamento com sinal de mais: adicionar uma tag após seu nome de usuário, como seunome+loja, ainda entrega na sua caixa de entrada principal, e a tag mostra qual versão do endereço o remetente usou. O endereçamento com sinal de mais, porém, é apenas uma pista: um formulário pode rejeitar o sinal de mais, e a tag pode ser removida antes que o endereço seja compartilhado. Os aliases de encaminhamento vão além, porque cada alias é um endereço separado que você pode desativar. Nossa comparação de apelidos de correspondência temporária vs e-mail explica qual tipo é mais adequado para as contas que você mantém.

Um endereço exclusivo mostra qual endereço vazou, não quem o vazou. A empresa pode tê-lo vendido, um de seus fornecedores pode ter sofrido um vazamento, ou uma lista pode ter sido repassada mais adiante na cadeia.

Quais detalhes da mensagem podem ou não revelar

O endereço "Para", qualquer tag com sinal de mais e quando o spam começou são os detalhes mais úteis. Os cabeçalhos completos da mensagem mostram por quais servidores a mensagem passou e se ela passou nas verificações de autenticação, mas não podem mostrar quem vendeu ou compartilhou seu endereço. Os spammers costumam enviar por meio de serviços ou máquinas comprometidas que não têm nenhuma relação com o vazamento original.

É seguro clicar em cancelar inscrição?

É seguro cancelar a inscrição de uma lista de e-mails que você reconhece e lembra de ter assinado, de preferência com o botão Cancelar inscrição do seu aplicativo de e-mail. Para remetentes desconhecidos, suspeitos ou que se passam por outra pessoa, não siga o link de cancelamento de inscrição de jeito nenhum; marque a mensagem como spam ou phishing.

Use o controle de cancelamento de inscrição do seu aplicativo de e-mail

Profissionais legítimos de marketing têm motivos legais e práticos para respeitar os cancelamentos. Nos EUA, o guia CAN-SPAM da FTC diz que o e-mail comercial deve oferecer uma forma de cancelar a inscrição, os pedidos devem ser atendidos em até 10 dias úteis e o mecanismo de cancelamento deve continuar funcionando por pelo menos 30 dias após o envio da mensagem. Os remetentes não podem cobrar taxa nem pedir mais do que seu endereço de e-mail e, depois que você cancela a inscrição, não podem vender ou transferir seu endereço, exceto para uma empresa contratada para ajudá-los a cumprir a lei.

O Google também exige que remetentes que enviam mais de 5.000 mensagens por dia para contas do Gmail ofereçam suporte ao cancelamento de inscrição com um clique para mensagens de marketing e mensagens assinadas. As mensagens em conformidade trazem cabeçalhos padrão de cancelamento de inscrição que o Gmail e outros aplicativos de e-mail podem usar para mostrar uma opção de cancelar inscrição, assim você não precisa procurar na mensagem nem visitar uma página escolhida pelo remetente. O guia de spam da FTC também recomenda os recursos de cancelamento de inscrição que seu provedor de e-mail oferece.

Quando não seguir um link de cancelamento de inscrição

• Você não reconhece a empresa, ou nunca se inscreveu.
• O nome ou domínio do remetente imita uma marca que você conhece, com pequenos erros de ortografia ou um domínio não relacionado.
• A página de cancelamento pede que você faça login, insira uma senha ou forneça mais do que seu endereço de e-mail.
• O link inicia um download, ou a mensagem pressiona você a agir rápido.

Um remetente que já ignora a lei não tem motivo para atender seu pedido, e o link dele pode confirmar seu endereço ou levar a uma página de phishing. Denuncie a mensagem e siga em frente.

Como reduzir os e-mails de spam que você já recebe

Você não pode remover seu endereço de todas as listas copiadas, então parar o spam geralmente significa filtrar e denunciar, em vez de impedir cada envio. O conselho ao consumidor da FTC recomenda o básico:

• Marque o spam como spam ou lixo eletrônico no seu aplicativo de e-mail.
• Bloqueie remetentes ou domínios persistentes quando a mesma fonte continua passando.
• Verifique a pasta de spam de vez em quando para encontrar e-mails reais capturados por engano.
• Denuncie mensagens indesejadas ao seu provedor de e-mail e denuncie golpes à FTC em ReportFraud.ftc.gov.

Como precaução extra, não responda a mensagens suspeitas nem ligue para os números de telefone listados nelas.

Mudar para um novo endereço é o último recurso. Só ajuda se você transferir suas contas importantes com cuidado e proteger o novo endereço melhor do que o antigo.

Mantenha seu endereço principal fora das futuras listas de cadastro

O passo mais eficaz a longo prazo é fornecer seu endereço principal a menos empresas. Uma configuração simples de três níveis funciona para a maioria das pessoas:

• Endereço principal: bancos, trabalho, serviços governamentais e qualquer conta que você precise recuperar.
• Alias de encaminhamento: compras, assinaturas e contas que você mantém, para que você possa desativar qualquer alias que comece a receber spam.
• E-mail temporário: downloads únicos, cupons, testes em fóruns e outros cadastros de baixo risco que você não pretende manter.

Quando o e-mail temporário é indicado, e quando não é

Um endereço de e-mail temporário mantém cadastros pontuais longe da sua caixa de entrada principal. Se um endereço que você usou para apenas um cadastro depois receber spam, esse cadastro é uma pista útil, embora não possa provar se a empresa, um de seus fornecedores ou alguém mais adiante compartilhou o endereço. Se você é novo na ideia, esta visão geral de como funciona a correspondência temporária cobre o básico.

O Tmailor é somente para recebimento, então você não pode enviar ou responder a partir do endereço, e ele não aceita anexos. As mensagens são excluídas automaticamente cerca de 24 horas após chegarem. Você pode voltar ao mesmo endereço depois com o Access Token, mas um token perdido não pode ser recuperado, e alguns sites bloqueiam domínios de e-mail descartável. Isso faz com que o e-mail temporário não seja adequado para banco, trabalho, compras para as quais você pode precisar de recibo ou qualquer conta que você precise recuperar. Para saber mais sobre usos do dia a dia, veja nosso guia de proteção temporária contra e-mail e spam.

Você não pode rastrear todas as mensagens de spam, mas pode parar de alimentar novas listas

O spam começa com um endereço que alguém coletou, compartilhou ou adivinhou, e, uma vez que ele circula, você não pode mais retirá-lo. O que você pode controlar é quantas novas listas veem seu endereço principal. Denuncie o que passar pelos filtros, cancele a inscrição apenas de remetentes que você reconhece e mantenha os cadastros pontuais separados. Da próxima vez que um download ou cupom pedir um e-mail, crie uma e-mail temporária gratuita use um e-mail temporário em vez do seu de verdade.