Cómo consiguen tu correo los spammers: las 7 rutas

¿Por qué te llegan correos no deseados? Porque los spammers y los estafadores consiguen direcciones de correo en filtraciones de datos, en listas que las empresas venden o comparten, con la recolección automática (scraping) de sitios web y perfiles públicos, adivinando nombres comunes, en las libretas de direcciones de otras personas y en registros antiguos de dominios. Después comprueban qué direcciones están activas: se fijan en quién abre, hace clic o responde. El spam puede llegar incluso a una dirección que nunca diste, porque alguien la adivinó, la recolectó o la sacó de los contactos de otra persona, y solo puedes cerrar algunas de estas rutas. Para las rutas que empiezan contigo, CatchNone le da a cada tienda y boletín su propia dirección y muestra a cuál llegó cada mensaje, así que una filtración o una venta de listas revela su origen, en iPhone, iPad y Mac.

Cómo consiguen los spammers las direcciones de correo: las 7 rutas

1. Filtraciones de datos y las listas de contraseñas que se arman con ellas.
2. Venta y cesión de listas, a través de corredores de datos (data brokers) y “socios”.
3. Recolección automática (scraping) de páginas web, perfiles sociales y código.
4. Direcciones adivinadas a partir de nombres comunes, sobre todo en dominios que aceptan cualquier dirección.
5. Las libretas de direcciones de otras personas: contactos que se suben a apps, malware y cadenas largas de correos con copia (Cc).
6. Registros WHOIS antiguos, de antes de 2018.
7. Confirmación: imágenes de seguimiento, clics, respuestas y mensajes de prueba en blanco que demuestran que una dirección funciona.

Filtraciones de datos y listas combinadas

Cuando una empresa sufre una filtración, su lista de clientes puede irse con ella, sigas usando o no el servicio. Have I Been Pwned (HIBP) registraba 1038 filtraciones y más de 17 800 millones de registros de cuentas filtradas al 25 de septiembre de 2026. Ese total cuenta una dirección una vez por cada filtración en la que aparece, así que mide cuentas, no personas. Busca ahí tu propia dirección para ver en qué filtraciones está, cuándo ocurrieron y qué datos quedaron expuestos. Si no aparece en ninguna, es más probable que haya sido una venta de listas, el scraping o una dirección adivinada.

Las direcciones filtradas se reutilizan. Las listas combinadas (combo lists) son pares de correo y contraseña reunidos de filtraciones anteriores y usados para el relleno de credenciales (credential stuffing), es decir, para probar la misma contraseña en otros sitios. HIBP describe Collection #1 (2019) como “773 millones de direcciones de correo únicas junto con contraseñas que esas direcciones habían usado en otros servicios filtrados”. Los registros de ladrones de información (stealer logs) son una tercera fuente: el malware de un dispositivo infectado registra “direcciones de correo, contraseñas y el sitio web en el que se ingresan al iniciar sesión”.

¿Puedes cerrarla? No. Puedes limitar lo que expone una filtración: una contraseña única para cada sitio, la verificación en dos pasos en tu cuenta de correo y una dirección distinta para cada empresa, para que una filtración exponga una dirección secundaria y no la principal. Las alertas gratuitas Notify Me (“Avísame”) de HIBP te avisan de la siguiente.

Venta de listas, corredores de datos y “nuestros socios”

La Comisión Federal de Comercio de EE. UU. (FTC) lo dice sin rodeos: “Cuando le das tu dirección de correo a una empresa, podría compartirla o venderla a terceros”. Los formularios de registro alimentan el mismo negocio. La Agencia de Ciberseguridad y Seguridad de Infraestructura de EE. UU. (CISA) señala que las opciones para recibir correos sobre otros productos a veces vienen marcadas de forma predeterminada, “así que, si no las desmarcas, también podrías empezar a recibir correos de esas listas”. Los sorteos, las encuestas pagadas y las ofertas de tarjetas de regalo también lo alimentan: HIBP dice que las listas de spam a menudo se arman “obteniendo información personal de la gente con la promesa de una recompensa monetaria”.

¿Quién compra direcciones de correo? Los anunciantes se las compran a vendedores de listas y a corredores de datos, y los spammers se las compran entre ellos: las preguntas frecuentes para consumidores de Spamhaus mencionan direcciones “compradas a otros spammers” entre sus fuentes. Las listas de empresas son un producto aparte. En 2016 se filtró en internet una lista de más de 33 millones de personas del mundo corporativo estadounidense, procedente del servicio NetProspex de Dun & Bradstreet, y D&B creía que la había perdido un cliente que la había comprado.

En EE. UU., la ley CAN-SPAM no exige consentimiento para enviar correos de marketing. Pero una vez que pides que te excluyan, la empresa debe dejar de escribirte en un plazo de 10 días hábiles y, desde el momento en que lo pides, “no puede vender ni transferir” tu dirección. En México, la Ley Federal de Protección al Consumidor te permite exigirle a una empresa que no te envíe publicidad a tu correo y que no ceda tus datos a terceros.

¿Puedes cerrarla? En parte. Desmarca las casillas que vienen marcadas de antemano, pide que te excluyan de los correos de marketing que no lees y dale a cada empresa su propia dirección, para que la próxima venta revele quién la hizo. Cómo saber quién vendió tu dirección de correo explica a fondo los encabezados, la revisión de filtraciones y las solicitudes de acceso a tus datos.

Recolección automática (scraping): páginas web, perfiles y código

“Los spammers pueden recolectar cualquier dirección de correo publicada en un sitio web”, advierte CISA. En un experimento de la FTC de 2002, el 86 % de las direcciones publicadas en páginas web recibió spam en un plazo de seis semanas, y una dirección publicada en una sala de chat recibió spam nueve minutos después de usarse por primera vez (resultados reproducidos por la ICANN). No importaba en qué parte de la página estuviera: “si la dirección tenía el signo ‘@’, atraía spam”.

Los perfiles se recolectan a gran escala. En 2021, unos atacantes extrajeron cientos de millones de perfiles públicos de LinkedIn y obtuvieron unos 125 millones de direcciones de correo únicas, según HIBP. También hubo atacantes que abusaron de una API de Twitter que relacionaba direcciones de correo con cuentas, y en 2023 salieron a la luz más de 200 millones de registros reunidos de esa forma.

El código público también expone direcciones: cada commit de Git lleva la dirección de correo de su autor. En GitHub, ve a Settings → Emails (Configuración → Correos electrónicos), selecciona “Keep my email addresses private” (mantener privadas mis direcciones de correo) y “Block command line pushes that expose my email” (bloquear los envíos desde la línea de comandos que expongan mi correo), y luego configura Git en tu computadora con la dirección @users.noreply.github.com que aparece ahí. Los commits hechos antes del cambio “siguen asociados a tu dirección de correo anterior” (GitHub Docs). Cómo mantener tu dirección fuera de los commits de GitHub y GitLab tiene los pasos completos.

¿Puedes cerrarla? De aquí en adelante. Mantén tu dirección principal fuera de las páginas públicas, usa en su lugar un formulario de contacto o una dirección aparte, y configura tus perfiles sociales para que solo las personas de confianza vean tu correo, como aconseja CISA. Lo que ya se recolectó sigue circulando.

Direcciones adivinadas: ¿pueden los spammers simplemente adivinar tu dirección?

Sí, y no necesitan ninguna lista. El comité de seguridad de la ICANN describió el método en 2007: los spammers prueban “nombres y apellidos comunes, solos y concatenados”, o todas las combinaciones de caracteres, y se quedan con las direcciones que un servidor de correo acepta. Esto se llama ataque de recolección de directorio (directory harvest attack). En una de las pruebas del comité, el 70 % del spam fue a direcciones de los dominios de prueba que nunca se habían publicado en ningún lado. Los nombres cortos y comunes son los blancos más fáciles, y el patrón first.last@example.com de una empresa le permite a cualquiera armar las direcciones de su personal.

Un catch-all acepta cualquier dirección que alguien intente adivinar. Si tu propio dominio entrega el correo de cualquier dirección, admin@example.com e info@example.com te llegan aunque nunca las hayas usado. Las preguntas frecuentes de addy.io advierten que “los spammers y los bots suelen probar direcciones de correo al azar”, y cPanel dice que un catch-all “puede recibir una gran cantidad de spam” cuando los spammers atacan un dominio. ¿Qué es una dirección de correo catch-all? explica a fondo las ventajas y desventajas.

¿Puedes cerrarla? En parte. Una dirección corta y común se puede seguir adivinando, pero la próxima no tiene por qué serlo: elige una que sea difícil de adivinar, como aconseja la ICO, la autoridad de protección de datos del Reino Unido. En tu propio dominio, desactivar el catch-all impide que te lleguen las direcciones adivinadas. Si lo mantienes, bloquea los nombres adivinados en tu proveedor de correo. En Cloudflare Email Routing (enrutamiento de correo), por ejemplo, ve a Compute → Email Service → Email Routing → Routing Rules (Cómputo → Servicio de correo → Email Routing → Reglas de enrutamiento) y agrega una regla para la dirección con la acción “Drop” (descartar), que “elimina los correos que coinciden con la regla sin enrutarlos”. Cloudflare advierte que la dirección sigue pareciendo válida para los remitentes; envía un mensaje de prueba para confirmar que la regla tiene prioridad sobre tu catch-all.

Las libretas de direcciones y bandejas de entrada de otras personas

Tu dirección está en los contactos de todas las personas a las que les has escrito, y esas copias no dependen de ti.

• Contactos subidos. Cuando alguien sincroniza sus contactos con Facebook, Messenger o Instagram, Meta sube a diario “los nombres, números de teléfono y direcciones de correo de su libreta de direcciones”, incluidos los de personas que no usan las apps de Meta. Eso por sí solo no se los entrega a los spammers, pero Meta dice que, antes de septiembre de 2019, unos scrapers abusaron de su importador de contactos para relacionar números de teléfono con cuentas.
• Malware en la computadora de otra persona. El malware Emotet podía “extraer direcciones de correo de Outlook” y secuestrar conversaciones de correo reales para propagarse (aviso AA20-280A de CISA).
• Cadenas con copia (Cc) y listas de correo. Un reenvío largo arrastra todas las direcciones de la conversación, y el comité de seguridad de la ICANN describió cómo los spammers se unen a listas de correo para recolectar direcciones de los encabezados From, Reply-To y Cc.
• Alguien te suscribe. La ayuda de Gmail describe casos de personas que usan tu dirección “para registrarse en correos, como promociones o boletines”, por accidente o a propósito.

¿Puedes cerrarla? No directamente. Usa copia oculta (Cco) para los correos grupales, quita las direcciones de los demás de una conversación antes de reenviarla y pídeles a otros que hagan lo mismo.

Registros WHOIS antiguos

Los registros de dominios solían publicar la dirección de correo del titular. En 2007, el comité de seguridad de la ICANN concluyó que una dirección en WHOIS “prácticamente garantiza que llegará spam”.

Esa ruta está casi cerrada. A partir del 25 de mayo de 2018, la Especificación Temporal (Temporary Specification) de la ICANN obligó a los registradores a ocultar los datos de contacto de los registros vinculados a Europa y les permitió hacerlo en todos los demás lugares, con una dirección de reenvío o un formulario web en su lugar. Un estudio de Interisle de 2021 encontró que solo 135 de cada 1000 dominios genéricos, como .com, seguían mostrando el nombre de un titular real. La Política de Datos de Registro (Registration Data Policy) permanente de la ICANN, vigente desde el 21 de agosto de 2025, mantiene el mismo modelo.

La ruta sigue existiendo cuando aceptaste que se publicaran tus datos, en registradores que publican los datos de organizaciones o de titulares fuera de Europa, bajo las reglas propias de algunos dominios de código de país y en archivos de pago con registros de antes de 2018.

¿Puedes cerrarla? En su mayoría ya está cerrada de forma predeterminada. Si tienes un dominio, búscalo en ICANN Lookup para ver qué es público, mantén activada la opción de privacidad de tu registrador y no aceptes publicar tus datos de contacto.

Confirmación: aperturas, clics, respuestas y mensajes en blanco

Una dirección vale más cuando se sabe que funciona. Los spammers “venden las direcciones activas a un precio más alto, como direcciones de ‘entrega confirmada’, a otros spammers más”, dicen las preguntas frecuentes para consumidores de Spamhaus. Confirman las direcciones mediante:

• Imágenes de seguimiento. “Cuando tu programa de correo descarga la imagen de su servidor web, los spammers saben que abriste el mensaje” (CISA).
• Clics y respuestas. Cualquier clic o respuesta, incluida una solicitud de “elimíname”, confirma que alguien lee esa dirección.
• Enlaces para cancelar la suscripción. El estándar de cancelación de la suscripción con un clic, RFC 8058, señala que cancelar la suscripción “le da al remitente un fuerte indicio de que la dirección a la que se envió el mensaje era válida”.
• Mensajes en blanco. “Para comprobar si las direcciones de correo son válidas, los spammers suelen enviar correos sin contenido en el cuerpo ni en el asunto”, dice la ayuda de Gmail. A las direcciones que funcionan les llega spam después.

¿Puedes cerrarla? Sí. Con el correo de desconocidos, no respondas, no hagas clic ni canceles la suscripción; márcalo como spam. Con las marcas que reconoces o en las que te registraste, usa el botón para cancelar la suscripción de tu app de correo, como sugiere Gmail, o la opción de baja que trae el mensaje, como aconseja la ICO; cuándo son seguros los enlaces para cancelar la suscripción explica la regla según el remitente.

Después, evita que las imágenes te delaten. En la app Mail del iPhone (iOS 27), ve a Configuración → Apps → Mail → Protección de la privacidad y activa “Proteger actividad en Mail”, que carga las imágenes de forma privada en segundo plano para que el remitente no pueda saber si leíste un mensaje ni cuándo (guía de Apple). En Gmail en una computadora, ve a Configuración → Ver toda la configuración, en “Images” (Imágenes) elige “Ask before displaying external images” (preguntar antes de mostrar imágenes externas) y haz clic en “Save Changes” (guardar cambios) (ayuda de Google). Ninguna de las dos opciones cubre los enlaces ni los archivos adjuntos. Cómo bloquear los píxeles de seguimiento tiene los pasos para otras apps de correo y lo que cada una sigue revelando.

Cómo saber por qué ruta te llegó el spam

La copia oculta (Cco) esconde a los demás destinatarios, y la ayuda de Gmail señala que “a veces, los spammers agregan direcciones de correo al azar en el campo ‘Cco’ para intentar que la gente responda”, así que no respondas.

¿Hay una lista de spam que puedas consultar o de la que puedas salir?

No existe una lista oficial de destinatarios de spam, ni forma de salir de las listas propias de los spammers. Lo que sí puedes comprobar es si tu dirección apareció en la lista filtrada de algún spammer: búscala en Have I Been Pwned, que incluye 16 de esas listas al 25 de septiembre de 2026. Las más grandes son Onliner Spambot (711 millones de direcciones, 2017) y River City Media (393 millones, 2017). Si uno de esos nombres aparece en tus resultados, un spammer tenía tu dirección.

Las listas de bloqueo (blocklists) son otra cosa: registran de dónde viene el spam. Spamhaus define una como “una base de datos que contiene direcciones IP, dominios o hashes”, cada uno incluido porque se le vio enviando spam o causando otros daños, o porque tiene mala reputación. Su Hash Blocklist puede incluir direcciones de correo, pero se trata de direcciones que envían spam o que aparecen en él, como una cuenta hackeada. Los verificadores de listas de bloqueo, como Blacklist Check de MxToolbox, comprueban la dirección IP de un servidor de correo, no tu dirección de correo.

Una lista de “no enviar correos” tampoco serviría. En 2004, la FTC le dijo al Congreso de EE. UU. que un registro así probablemente sería contraproducente, porque “los spammers usarían ese registro como un directorio de direcciones de correo válidas” (FTC). Spamhaus dice que los servicios de pago que prometen sacarte de las listas de los spammers son “en el mejor de los casos, una estafa y, en el peor, un sistema de confirmación de ‘direcciones activas’ para el spammer”.

Las opciones reales más cercanas llegan a las empresas que cumplen la ley, no a los spammers. A septiembre de 2026:

• DROP de California (Delete Request and Opt-out Platform, la plataforma de solicitudes de eliminación y exclusión) permite a los residentes de California enviar una sola solicitud de eliminación gratuita a más de 600 corredores de datos registrados, que deben procesar las solicitudes al menos cada 45 días. No llega a las empresas con las que trataste directamente (términos de DROP).
• El Email Preference Service (servicio de preferencias de correo) de la Association of National Advertisers, enlazado desde DMAchoice.org, es gratuito y dura 10 años (FTC), pero solo llega a los anunciantes que lo usan para depurar sus listas.

¿Qué pueden hacer con solo tu correo electrónico?

Sin tu contraseña, menos de lo que podrías temer. Con la dirección sola, alguien puede:

• enviarte phishing que parece real, sobre todo con datos de una filtración
• probar contra tus cuentas contraseñas filtradas de otros sitios
• averiguar qué servicios usas, como lo permitió en su momento la API de Twitter
• suscribirte a correos que nunca pediste
• revenderla, a un precio más alto una vez confirmado que está activa

¿Por qué un estafador querría tu dirección de correo?

Porque es el primer paso para llegar a tu bandeja de entrada, y un delincuente dentro de tu cuenta de correo podría “restablecer todas las contraseñas de tus otras cuentas”. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) recomienda una contraseña segura y exclusiva para tu correo, además de la verificación en dos pasos.

El spam que muestra tu propia dirección como remitente no demuestra que alguien haya entrado, porque la línea From es fácil de falsificar. Cómo comprobar si hackearon tu cuenta de correo explica las comprobaciones para Gmail, Outlook.com y Mail de iCloud.

¿Es seguro dar tu correo electrónico?

Por lo general, sí. Una dirección no es una contraseña, y conocerla no abre tu cuenta. Dale tu dirección principal a las personas y a las empresas de las que dependes, como tu banco. Para tiendas, boletines y registros de una sola vez, una dirección distinta para cada empresa mantiene las filtraciones y las ventas de listas lejos de la principal, y tu dirección principal no debería publicarse en ningún lado.

Cómo evitar que los spammers consigan tu dirección: qué rutas puedes cerrar

Puedes conseguir direcciones por empresa de varias formas. CatchNone le da a cada empresa su propio alias, mantiene ese correo fuera de tu bandeja de entrada principal y pone en cada mensaje una etiqueta con el alias al que llegó, para que se note una filtración o una venta. Las direcciones con el signo + (subdireccionamiento) son más rápidas para empezar, si tu proveedor las admite (you+shop@example.com), pero cualquiera puede borrar la etiqueta, así que solo identifica una filtración cuando el remitente no se molesta en quitarla. Ocultar mi correo de Apple (Hide My Email, parte de iCloud+), DuckDuckGo Email Protection y otros servicios de alias reenvían el correo a tu bandeja de entrada. Un catch-all en tu propio dominio también sirve, con la desventaja de las direcciones adivinadas que vimos arriba. Comparativa de servicios de alias de correo explica las diferencias.

Dónde encaja CatchNone

CatchNone sirve para las rutas que empiezan cuando tú entregas una dirección. Cada tienda, boletín o cuenta recibe su propio alias, y cada mensaje lleva una etiqueta con el alias al que llegó, así que una dirección filtrada o vendida revela su origen. Actividad señala el correo que llega a un alias sin usar y los remitentes que te escriben por primera vez, y las imágenes remotas, incluida la mayoría de los píxeles de seguimiento, siguen bloqueadas hasta que las cargas. Las direcciones @catchnone.com requieren Premium y se asignan al azar, como abcde-12345@catchnone.com, así que nadie las adivinaría. El correo a direcciones que no existen ahí se acepta y se descarta, así que quien intente adivinar no averigua nada, y cuando desactivas una dirección que se filtró, los remitentes reciben un rebote. En tu propio dominio, las direcciones adivinadas del catch-all aparecen bajo la dirección a la que llegaron, con una etiqueta gris, lo que hace fácil detectar el spam de diccionario. Descarga CatchNone, disponible para iPhone, iPad y Mac.

CatchNone solo recibe y no es un filtro de spam: mantiene el correo de tus registros en su propia app, lejos de tu bandeja de entrada principal, y muestra a qué alias llegó cada mensaje. En tu propio dominio, marcar un alias como fuera de uso es solo una etiqueta, así que bloquea las direcciones en tu proveedor de correo.

Preguntas frecuentes

¿Por qué me llegan correos no deseados si nunca di mi dirección?

Lo más probable es que la hayan adivinado, que la hayan recolectado de una página, un perfil o un commit donde estaba publicada, que la hayan tomado de la libreta de direcciones de otra persona o que la hayan conseguido de una empresa en la que te registraste alguna vez y olvidaste, por una filtración de esa empresa o una venta de listas. La tabla de señales relaciona lo que ves con la ruta probable.

¿Cómo consiguen mi correo empresas que no conozco?

Por lo general, de una empresa con la que sí trataste, que la compartió o vendió a sus “socios”, a menudo porque al registrarte dejaste marcada una casilla que ya venía marcada. Los corredores de datos también recopilan y venden direcciones. La guía enlazada en venta de listas y corredores de datos explica cómo averiguar qué empresa fue.

¿Cómo consiguen los spammers mi correo del trabajo?

De listas de contactos empresariales vendidas a anunciantes, del sitio web de tu empleador y adivinando su patrón de nombres. HIBP tiene varias listas empresariales filtradas, como B2B USA Businesses, que ordenaba las direcciones por empleador y cargo. En el Reino Unido, la ICO dice que las organizaciones pueden enviar marketing a una dirección del trabajo sin consentimiento, salvo que la dirección te identifique, en cuyo caso puedes pedirles que dejen de hacerlo.