¿Cómo consiguen mis datos? Las 7 vías de los spammers

Si te preguntas “¿cómo consiguen mis datos personales?” porque te llega spam, la respuesta está en tu dirección de correo: los spammers la sacan de filtraciones de datos, de listas que las empresas venden o comparten, rastreando webs y perfiles públicos (scraping), adivinando nombres comunes, de las agendas de otras personas y de antiguos registros de dominios. Después comprueban qué direcciones están activas fijándose en quién abre, hace clic o responde. El spam puede llegar incluso a una dirección que nunca has dado, porque alguien la ha adivinado, la ha rastreado o la tenía entre sus contactos, y solo está en tu mano cerrar algunas de estas vías. Para las vías que empiezan por ti, CatchNone da a cada tienda y cada newsletter su propia dirección y te muestra a cuál llegó cada mensaje, así que una filtración o una venta de listas delata su origen, en iPhone, iPad y Mac.

Cómo consiguen los spammers tu dirección de correo: las 7 vías

1. Filtraciones de datos y las listas de contraseñas creadas a partir de ellas.
2. Venta y cesión de listas, a través de data brokers (empresas que compran y venden datos personales) y “socios”.
3. Scraping de páginas web, perfiles en redes sociales y código.
4. Adivinación de nombres comunes, sobre todo en dominios que aceptan cualquier dirección.
5. Las agendas de otras personas: contactos subidos, malware y largas cadenas en copia (CC).
6. Registros WHOIS antiguos, anteriores a 2018.
7. Confirmación: imágenes de seguimiento, clics, respuestas y mensajes de prueba en blanco que demuestran que una dirección funciona.

Filtraciones de datos y listas combo

Cuando una empresa sufre una filtración, su lista de clientes puede irse con ella, sigas usando o no el servicio. Have I Been Pwned (HIBP) recogía 1038 filtraciones y más de 17 800 millones de registros de cuentas filtradas a 25 de septiembre de 2026. Esa cifra cuenta una dirección una vez por cada filtración en la que aparece, así que mide cuentas, no personas. Busca allí tu dirección para ver en qué filtraciones aparece, cuándo ocurrieron y qué datos quedaron expuestos. Si no aparece en ninguna, es más probable que haya llegado por una venta de listas, por scraping o porque alguien la adivinó.

Las direcciones filtradas se reutilizan. Las listas combo (combo lists) son pares de correo y contraseña reunidos de filtraciones anteriores y usados para el relleno de credenciales (credential stuffing), es decir, para probar la misma contraseña en otras webs. HIBP describe Collection #1 (2019) como “773 millones de direcciones de correo únicas junto con contraseñas que esas direcciones habían usado en otros servicios filtrados”. Los registros de los programas que roban información (stealer logs) son una tercera fuente: el malware de un dispositivo infectado registra “direcciones de correo, contraseñas y la web en la que se introducen al iniciar sesión”.

¿Puedes cerrarla? No. Puedes limitar lo que expone una filtración: una contraseña distinta para cada web, verificación en dos pasos en tu cuenta de correo y una dirección diferente para cada empresa, de modo que una filtración exponga una dirección secundaria y no la principal. Las alertas gratuitas Notify Me (avísame) de HIBP te avisan de la siguiente.

Venta de listas, data brokers y “nuestros socios”

La FTC (Comisión Federal de Comercio de EE. UU.) lo dice sin rodeos: “Cuando das tu dirección de correo a una empresa, puede que la comparta con terceros o se la venda”. Los formularios de registro alimentan el mismo negocio. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA) señala que las casillas para recibir correo sobre otros productos a veces vienen marcadas por defecto, “así que, si no las desmarcas, también podrías empezar a recibir correo de esas listas”. Los sorteos, las encuestas remuneradas y las ofertas de tarjetas regalo también lo alimentan: según HIBP, las listas de spam se reúnen a menudo “obteniendo datos personales de la gente con la promesa de una recompensa económica”.

¿Quién compra direcciones de correo? Las empresas de marketing se las compran a vendedores de listas y a data brokers, y los spammers se las compran entre sí: las preguntas frecuentes para consumidores de Spamhaus citan entre sus fuentes las direcciones “compradas a otros spammers”. Las listas de contactos de empresas son un producto aparte. En 2016 se filtró en internet una lista de más de 33 millones de profesionales de empresas estadounidenses procedente del servicio NetProspex de Dun & Bradstreet, y D&B creía que la había perdido un cliente que la había comprado.

En EE. UU., la ley CAN-SPAM no exige consentimiento para enviar correo comercial. Eso sí, en cuanto te das de baja, la empresa tiene que dejar de escribirte en un plazo de 10 días hábiles y, desde el momento en que lo pides, “no puede vender ni transferir” tu dirección.

¿Puedes cerrarla? En parte. Desmarca las casillas que vienen marcadas de antemano, date de baja del marketing que no lees y da a cada empresa su propia dirección, para que la próxima venta delate a quien la hizo. En cómo saber quién vendió tu dirección de correo se explican a fondo las cabeceras, la consulta de filtraciones y las solicitudes de acceso a los datos.

Scraping: webs, perfiles y código

“Los spammers pueden recopilar cualquier dirección de correo publicada en una web”, advierte CISA. En un experimento de la FTC de 2002, el 86 % de las direcciones publicadas en páginas web recibió spam en seis semanas, y una dirección publicada en una sala de chat recibió spam nueve minutos después de usarse por primera vez (resultados reproducidos por la ICANN). Daba igual en qué parte de la página estuviera: “si la dirección llevaba el signo ‘@’, atraía spam”.

Los perfiles se rastrean a gran escala. En 2021, unos atacantes extrajeron cientos de millones de perfiles públicos de LinkedIn y obtuvieron unos 125 millones de direcciones de correo únicas, según HIBP. También hubo atacantes que abusaron de una API de Twitter que relacionaba direcciones de correo con cuentas, y en 2023 salieron a la luz más de 200 millones de registros reunidos de esa forma.

El código público también expone direcciones: cada commit de Git lleva la dirección de correo de su autor. En GitHub, ve a Settings > Emails (Ajustes > Correos), marca “Keep my email addresses private” (mantener privadas mis direcciones de correo) y “Block command line pushes that expose my email” (bloquear los push desde la línea de comandos que expongan mi correo) y, después, configura Git en tu ordenador con la dirección @users.noreply.github.com que aparece ahí. Los commits hechos antes del cambio “siguen asociados a tu dirección de correo anterior” (documentación de GitHub). En cómo mantener tu dirección fuera de los commits de GitHub y GitLab tienes todos los pasos.

¿Puedes cerrarla? De aquí en adelante. No pongas tu dirección principal en páginas públicas, usa en su lugar un formulario de contacto o una dirección aparte y configura tus perfiles sociales para que solo vea tu correo la gente de confianza, como recomienda CISA. Lo que ya se ha rastreado sigue circulando.

Adivinar direcciones: ¿pueden los spammers dar con la tuya sin más?

Sí, y no necesitan ninguna lista. El comité de seguridad de la ICANN describió el método en 2007: los spammers prueban “nombres y apellidos comunes, sueltos y combinados”, o todas las combinaciones de caracteres, y se quedan con las direcciones que acepta el servidor de correo. Es lo que se llama un ataque de recolección de directorio (directory harvest attack). En una de las pruebas del comité, el 70 % del spam fue a direcciones de los dominios de prueba que nunca se habían publicado en ningún sitio. Los nombres cortos y comunes son los blancos más fáciles, y el patrón first.last@example.com de una empresa permite a cualquiera construir las direcciones de su plantilla.

Un catch-all acepta cualquier intento. Si tu propio dominio entrega el correo de cualquier dirección, admin@example.com e info@example.com te llegan aunque nunca las hayas usado. Las preguntas frecuentes de addy.io advierten de que “los spammers y los bots suelen probar direcciones de correo aleatorias”, y cPanel dice que un catch-all “puede recibir una gran cantidad de spam” cuando los spammers apuntan a un dominio. En ¿qué es una dirección de correo catch-all? se explican a fondo sus pros y contras.

¿Puedes cerrarla? En parte. Una dirección corta y común seguirá siendo fácil de adivinar, pero la siguiente no tiene por qué serlo: elige una difícil de adivinar, como recomienda la ICO del Reino Unido. En tu propio dominio, desactivar el catch-all impide que te lleguen las direcciones adivinadas. Si lo mantienes, bloquea los nombres adivinados en tu proveedor. En Cloudflare Email Routing, por ejemplo, ve a Compute > Email Service > Email Routing > Routing Rules (reglas de enrutamiento) y añade una regla para esa dirección con la acción “Drop” (descartar), que “elimina los correos que coinciden con la regla sin enrutarlos”. Cloudflare advierte de que, para los remitentes, la dirección sigue pareciendo válida; envía un mensaje de prueba para confirmar que la regla se impone a tu catch-all.

Agendas y bandejas de entrada ajenas

Tu dirección está en los contactos de todas las personas a las que has escrito, y esas copias escapan a tu control.

• Contactos subidos. Cuando alguien sincroniza sus contactos con Facebook, Messenger o Instagram, Meta sube a diario “los nombres, números de teléfono y direcciones de correo de su agenda”, incluidos los de personas que no usan las apps de Meta. Eso, por sí solo, no la pone en manos de los spammers, pero Meta dice que, antes de septiembre de 2019, hubo quien abusó de su importador de contactos para hacer scraping y relacionar números de teléfono con cuentas.
• Malware en el ordenador de otra persona. El malware Emotet podía “extraer direcciones de correo de Outlook” y secuestrar hilos de correo reales para propagarse (aviso AA20-280A de CISA).
• Cadenas en copia y listas de correo. Un reenvío largo arrastra todas las direcciones del hilo, y el comité de seguridad de la ICANN describió cómo los spammers se apuntan a listas de correo para recoger direcciones de las cabeceras From, Reply-To y Cc.
• Alguien te apunta. La ayuda de Gmail describe a personas que usan tu dirección “para suscribirse a correos, como promociones o newsletters”, por error o a propósito.

¿Puedes cerrarla? No directamente. Usa la copia oculta (CCO) en los correos a grupos, quita las direcciones de otras personas de un hilo antes de reenviarlo y pide a los demás que hagan lo mismo.

Registros WHOIS antiguos

Los registros de dominios publicaban antes la dirección de correo del titular. En 2007, el comité de seguridad de la ICANN concluyó que una dirección en WHOIS “prácticamente garantiza que llegará spam”.

Esa vía está casi cerrada. Desde el 25 de mayo de 2018, la especificación temporal (Temporary Specification) de la ICANN obligó a los registradores a ocultar los datos de contacto de los registros vinculados a Europa y les permitió hacerlo en el resto del mundo, ofreciendo a cambio una dirección de reenvío o un formulario web. Un estudio de Interisle de 2021 encontró que solo el 13,5 % de los dominios genéricos, como .com, seguía mostrando el nombre de un titular real. La política de datos de registro (Registration Data Policy) permanente de la ICANN, en vigor desde el 21 de agosto de 2025, mantiene el mismo modelo.

La vía sigue abierta si diste tu consentimiento para la publicación, en los registradores que publican los datos de organizaciones o de titulares de fuera de Europa, con las normas propias de algunos dominios de código de país y en los archivos de pago de registros anteriores a 2018.

¿Puedes cerrarla? Por defecto ya está casi cerrada. Si tienes un dominio, búscalo en ICANN Lookup para ver qué datos son públicos, mantén activada la opción de privacidad de tu registrador y no aceptes publicar tus datos de contacto.

Confirmación: aperturas, clics, respuestas y mensajes en blanco

Una dirección vale más cuando se sabe que funciona. Los spammers “venden las direcciones activas más caras, como direcciones ‘de entrega confirmada’, a otros spammers”, según las preguntas frecuentes para consumidores de Spamhaus. Confirman las direcciones mediante:

• Imágenes de seguimiento. “Cuando tu cliente de correo descarga la imagen de su servidor web, los spammers saben que has abierto el mensaje” (CISA).
• Clics y respuestas. Cualquier clic o respuesta, incluida una petición de “bórrame de la lista”, confirma que alguien lee esa dirección.
• Enlaces para darse de baja. El estándar de baja con un clic, RFC 8058, señala que darse de baja “da al remitente un indicio claro de que la dirección a la que se envió el mensaje era válida”.
• Mensajes en blanco. “Para comprobar si las direcciones de correo son válidas, los spammers suelen enviar correos sin contenido en el cuerpo ni en el asunto”, dice la ayuda de Gmail. Las direcciones que funcionan reciben spam más adelante.

¿Puedes cerrarla? Sí. Con el correo de desconocidos, no respondas, no hagas clic y no te des de baja: márcalo como spam. Con las marcas que reconoces o en las que te registraste, usa el botón para darte de baja de tu app de correo, como sugiere Gmail, o la opción de baja del propio mensaje, como aconseja la ICO; en cuándo son seguros los enlaces para darse de baja tienes la regla según el remitente.

Después, evita que las imágenes te delaten. En la app Mail del iPhone (iOS 27), ve a Ajustes > Apps > Mail > “Protección de la privacidad” y activa “Proteger la actividad en Mail”, que carga las imágenes de forma privada en segundo plano para que el remitente no sepa si has leído un mensaje ni cuándo (guía de Apple). En Gmail en el ordenador, ve a Configuración > “Ver todos los ajustes”, en “Images” (imágenes) elige “Ask before displaying external images” (preguntar antes de mostrar imágenes externas) y haz clic en “Save Changes” (guardar cambios) (ayuda de Google). Ninguna de las dos opciones cubre los enlaces ni los archivos adjuntos. En cómo bloquear los píxeles de seguimiento tienes los pasos para otras apps de correo y lo que cada una sigue revelando.

Cómo saber por qué vía te ha llegado el spam

La copia oculta esconde a los demás destinatarios, y la ayuda de Gmail señala que “a veces los spammers añaden direcciones de correo aleatorias en el campo ‘CCO’ para intentar que la gente responda”, así que no respondas.

¿Hay alguna lista de spam que puedas consultar o de la que puedas salir?

No existe ninguna lista oficial de destinatarios de spam, ni forma de salir de las listas de los propios spammers. Lo que sí puedes comprobar es si tu dirección apareció en la lista filtrada de algún spammer: búscala en Have I Been Pwned, que incluye 16 listas de ese tipo a 25 de septiembre de 2026. Las mayores son Onliner Spambot (711 millones de direcciones, 2017) y River City Media (393 millones, 2017). Si uno de esos nombres aparece en tus resultados, un spammer tenía tu dirección.

Las listas de bloqueo (blocklists) son otra cosa: registran de dónde viene el spam. Spamhaus define una como “una base de datos que contiene direcciones IP, dominios o hashes”, cada uno incluido porque se le ha visto enviar spam o causar otros daños, o porque tiene mala reputación. Su Hash Blocklist puede incluir direcciones de correo, pero son direcciones que envían spam o que aparecen en él, como una cuenta hackeada. Los comprobadores de listas de bloqueo, como el Blacklist Check de MxToolbox, analizan la dirección IP de un servidor de correo, no tu dirección de correo.

Una lista de exclusión de correo tampoco serviría. En 2004, la FTC advirtió al Congreso de EE. UU. de que un registro así probablemente sería contraproducente, porque “los spammers usarían ese registro como un directorio de direcciones de correo válidas” (FTC). Spamhaus califica los servicios de pago que prometen sacarte de las listas de los spammers de “en el mejor de los casos, una estafa y, en el peor, un sistema de confirmación de ‘direcciones activas’ para el spammer”.

Las opciones reales más parecidas llegan a las empresas que cumplen la ley, no a los spammers. A septiembre de 2026:

• DROP de California (Delete Request and Opt-out Platform, plataforma de solicitudes de eliminación y exclusión) permite a los residentes en California enviar una única solicitud de eliminación gratuita a más de 600 data brokers registrados, que deben tramitar las solicitudes al menos cada 45 días. No llega a las empresas con las que has tratado directamente (condiciones de DROP).
• El Email Preference Service de la Association of National Advertisers, enlazado desde DMAchoice.org, es gratuito y dura 10 años (FTC), pero solo llega a las empresas de marketing que lo usan para depurar sus listas.

¿Qué pueden hacer con tu correo electrónico si solo tienen la dirección?

Sin tu contraseña, menos de lo que podrías temer. Solo con la dirección, alguien puede:

• enviarte phishing que parezca real, sobre todo con datos de una filtración
• probar contra tus cuentas contraseñas filtradas de otras webs
• averiguar qué servicios usas, como permitía en su día la API de Twitter
• apuntarte a correos que nunca has pedido
• revenderla, y más cara una vez confirmado que está activa

¿Para qué quiere un estafador tu dirección de correo?

Porque es el primer paso para llegar a tu bandeja de entrada, y un delincuente dentro de tu cuenta de correo podría “restablecer las contraseñas de todas tus demás cuentas”. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) recomienda una contraseña robusta y exclusiva para tu correo, además de la verificación en dos pasos.

Que te llegue spam con tu propia dirección como remitente no demuestra que alguien haya entrado, porque la línea From es fácil de falsificar. En cómo comprobar si han hackeado tu cuenta de correo se repasan las comprobaciones para Gmail, Outlook.com e iCloud Mail.

¿Es seguro dar tu correo electrónico?

Normalmente, sí. Una dirección no es una contraseña, y conocerla no abre tu cuenta. Da tu dirección principal a las personas y a las empresas de las que dependes, como tu banco. Para tiendas, newsletters y registros puntuales, una dirección distinta para cada empresa mantiene las filtraciones y las ventas de listas lejos de la principal, y tu dirección principal no debería estar publicada en ningún sitio.

Cómo evitar que los spammers consigan tu dirección: qué vías puedes cerrar

Hay varias formas de conseguir direcciones para cada empresa. CatchNone da a cada empresa su propio alias, mantiene ese correo fuera de tu bandeja de entrada principal y pone en cada mensaje una etiqueta con el alias al que llegó, para que se note cuándo hay una filtración o una venta. El plus addressing (la dirección con el signo +) es más rápido para empezar, si tu proveedor lo admite (you+shop@example.com), pero cualquiera puede borrar la etiqueta, así que solo identifica una fuga cuando el remitente no se molesta en quitarla. “Ocultar mi correo electrónico” de Apple (incluido en iCloud+), DuckDuckGo Email Protection y otros servicios de alias reenvían el correo a tu bandeja de entrada. Un catch-all en tu propio dominio también sirve, con el inconveniente de las direcciones adivinadas que hemos visto antes. En servicios de alias de correo comparados se explican las diferencias.

Dónde encaja CatchNone

CatchNone actúa sobre las vías que empiezan cuando eres tú quien da una dirección. Cada tienda, newsletter o cuenta recibe su propio alias, y cada mensaje lleva una etiqueta con el alias al que llegó, así que una dirección filtrada o vendida delata su origen. “Actividad” señala el correo que llega a un alias sin uso y los remitentes que escriben por primera vez, y las imágenes remotas, incluida la mayoría de los píxeles de seguimiento, siguen bloqueadas hasta que las cargas. Las direcciones @catchnone.com requieren Premium y se asignan al azar, como abcde-12345@catchnone.com, así que nadie las adivinaría. El correo enviado a direcciones que no existen allí se acepta y se descarta, así que quien intenta adivinarlas no averigua nada, y si marcas como “Fuera de uso” una dirección que se ha filtrado, los remitentes reciben una devolución. En tu propio dominio, las direcciones catch-all adivinadas aparecen bajo la dirección a la que llegaron, con una insignia gris, lo que hace fácil detectar el spam de diccionario. Descarga CatchNone, disponible para iPhone, iPad y Mac.

CatchNone es de solo recepción y no es un filtro de spam: guarda el correo de tus registros en su propia app, lejos de tu bandeja de entrada principal, y muestra a qué alias llegó cada mensaje. En tu propio dominio, marcar un alias como “Fuera de uso” es solo una etiqueta, así que bloquea las direcciones en tu proveedor.

Preguntas frecuentes

¿Cómo consiguen mis datos los spammers si nunca he dado mi correo?

Lo más probable es que alguien haya adivinado tu dirección, la haya rastreado en una página, un perfil o un commit donde estaba publicada, la haya sacado de la agenda de otra persona o la haya conseguido de una empresa en la que te registraste hace tiempo y ya no recuerdas, a través de una filtración de esa empresa o de una venta de listas. La tabla de señales relaciona lo que ves con la vía probable.

¿Cómo consiguen mi dirección empresas que no conozco?

Normalmente, a través de una empresa con la que sí trataste, que la compartió con sus “socios” o se la vendió, a menudo porque al registrarte dejaste marcada una casilla que venía marcada de antemano. Los data brokers también recopilan y venden direcciones. La guía enlazada en venta de listas y data brokers explica cómo averiguar de qué empresa se trata.

¿Cómo consiguen los spammers mi dirección de correo del trabajo?

De listas de contactos profesionales que se venden a empresas de marketing, de la web de la empresa en la que trabajas y adivinando su patrón de nombres. HIBP tiene varias listas empresariales filtradas, como B2B USA Businesses, que ordenaba las direcciones por empresa y cargo. En el Reino Unido, la ICO dice que las organizaciones pueden enviar marketing a una dirección del trabajo sin consentimiento salvo que la dirección te identifique, en cuyo caso puedes pedirles que dejen de hacerlo.