स्पैम मेल कैसे आता है? ईमेल पता स्पैमर्स तक जाने के 7 रास्ते

स्पैम मेल कैसे आता है? स्पैमर्स को ईमेल पते डेटा ब्रीच (डेटा लीक) से मिलते हैं, उन लिस्टों से जिन्हें कंपनियाँ बेचती या साझा करती हैं, वेबसाइटों और सार्वजनिक प्रोफ़ाइलों से पते बटोरकर (स्क्रैपिंग), आम नामों का अंदाज़ा लगाकर, दूसरे लोगों की एड्रेस बुक से, और डोमेन रजिस्ट्रेशन के पुराने रिकॉर्ड से। फिर वे मेल खुलने, क्लिक और जवाबों पर नज़र रखकर जाँचते हैं कि कौन-से पते चालू हैं। स्पैम उस पते पर भी आ सकता है जो आपने कभी किसी को नहीं दिया, अंदाज़े, स्क्रैपिंग या किसी और के कॉन्टैक्ट के ज़रिए, और इनमें से कुछ ही रास्ते ऐसे हैं जिन्हें आप बंद कर सकते हैं। जो रास्ते आपसे शुरू होते हैं, उनके लिए CatchNone हर दुकान और न्यूज़लेटर को उसका अपना पता देता है और दिखाता है कि हर संदेश किस पते पर पहुँचा, ताकि कोई ब्रीच या लिस्ट की बिक्री अपने स्रोत का नाम ख़ुद बता दे, iPhone, iPad और Mac पर।

स्पैम मेल कैसे आता है: स्पैमर्स को ईमेल पते मिलने के 7 रास्ते

1. डेटा ब्रीच, और उनसे बनी पासवर्ड लिस्टें।
2. लिस्ट की बिक्री और साझेदारी, डेटा ब्रोकरों (डेटा ख़रीदने-बेचने वाली कंपनियों) और “पार्टनरों” के ज़रिए।
3. वेब पेजों, सोशल प्रोफ़ाइलों और कोड की स्क्रैपिंग।
4. आम नामों का अंदाज़ा, ख़ासकर उन डोमेन पर जो हर पता स्वीकार करते हैं।
5. दूसरे लोगों की एड्रेस बुक: कॉन्टैक्ट अपलोड, मैलवेयर और लंबी Cc चेन।
6. 2018 से पहले के पुराने WHOIS रिकॉर्ड।
7. पुष्टि: ट्रैकिंग इमेज, क्लिक, जवाब और ख़ाली टेस्ट संदेश, जो साबित करते हैं कि पता काम करता है।

डेटा ब्रीच और कॉम्बो लिस्ट

जब किसी कंपनी में डेटा ब्रीच होता है, तो उसकी ग्राहक लिस्ट भी साथ जा सकती है, चाहे आप वह सेवा अब भी इस्तेमाल करते हों या नहीं। 25 सितंबर 2026 तक Have I Been Pwned (HIBP) पर 1,038 ब्रीच और ब्रीच हुए खातों के 1,780 करोड़ से ज़्यादा रिकॉर्ड दर्ज थे। इस कुल संख्या में कोई पता उतनी बार गिना जाता है जितने ब्रीच में वह शामिल है, इसलिए यह खातों की गिनती है, लोगों की नहीं। वहाँ अपना पता खोजें और देखें कि वह किन ब्रीच में शामिल है, वे कब हुए और क्या-क्या उजागर हुआ। अगर वह किसी में नहीं है, तो लिस्ट की बिक्री, स्क्रैपिंग या अंदाज़ा ज़्यादा संभावित रास्ता है।

ब्रीच हुए पते दोबारा इस्तेमाल होते हैं। कॉम्बो लिस्ट पिछले ब्रीच से जुटाए गए ईमेल-और-पासवर्ड के जोड़े होते हैं, जिनका इस्तेमाल क्रेडेंशियल स्टफ़िंग में होता है, यानी वही पासवर्ड दूसरी साइटों पर आज़माना। HIBP, Collection #1 (2019) के बारे में कहता है: “77.3 करोड़ यूनीक ईमेल पते, साथ में वे पासवर्ड जो इन पतों ने ब्रीच हुई दूसरी सेवाओं पर इस्तेमाल किए थे।” स्टीलर लॉग तीसरा स्रोत हैं: संक्रमित डिवाइस पर मौजूद मैलवेयर “ईमेल पते, पासवर्ड और वह वेबसाइट जिस पर लॉगिन के समय इन्हें डाला गया” रिकॉर्ड कर लेता है।

क्या आप इसे बंद कर सकते हैं? नहीं। आप यह सीमित कर सकते हैं कि एक ब्रीच में क्या उजागर हो: हर साइट के लिए अलग पासवर्ड, अपने ईमेल खाते पर टू-स्टेप वेरिफ़िकेशन, और हर कंपनी के लिए अलग पता, ताकि ब्रीच में आपका मुख्य पता नहीं, बल्कि एक अतिरिक्त पता उजागर हो। HIBP के मुफ़्त Notify Me अलर्ट आपको अगले ब्रीच के बारे में बताते हैं।

लिस्ट की बिक्री, डेटा ब्रोकर और “हमारे पार्टनर”

FTC (अमेरिका का फ़ेडरल ट्रेड कमीशन) साफ़ शब्दों में कहता है: “जब आप किसी कंपनी को अपना ईमेल पता देते हैं, तो वह उसे थर्ड पार्टी के साथ साझा कर सकती है या उन्हें बेच सकती है।” साइनअप फ़ॉर्म भी इसी कारोबार तक पते पहुँचाते हैं। अमेरिका की साइबर सुरक्षा एजेंसी, Cybersecurity and Infrastructure Security Agency (CISA), बताती है कि दूसरे प्रोडक्ट के बारे में ईमेल पाने के विकल्प कभी-कभी पहले से चुने हुए होते हैं, “इसलिए अगर आप उन्हें अनचेक नहीं करते, तो आपको उन लिस्टों से भी ईमेल आने लग सकते हैं।” इनाम वाले ड्रॉ, पैसे देने वाले सर्वे और गिफ़्ट-कार्ड ऑफ़र भी इस कारोबार तक पते पहुँचाते हैं: HIBP के मुताबिक़ स्पैम लिस्टें अक्सर “पैसे के इनाम का वादा करके लोगों से निजी जानकारी निकलवाकर” जुटाई जाती हैं।

ईमेल पते ख़रीदता कौन है? मार्केटर इन्हें लिस्ट बेचने वालों और डेटा ब्रोकरों (डेटा ख़रीदने-बेचने वाली कंपनियों) से ख़रीदते हैं, और स्पैमर एक-दूसरे से: Spamhaus के उपभोक्ता FAQ में स्पैमर्स के स्रोतों में “दूसरे स्पैमर्स से ख़रीदे गए” पते भी गिनाए गए हैं। बिज़नेस लिस्टें अपने-आप में एक अलग प्रोडक्ट हैं। 2016 में Dun & Bradstreet की NetProspex सेवा की एक लिस्ट ऑनलाइन लीक हुई, जिसमें अमेरिकी कॉर्पोरेट जगत के 3.3 करोड़ से ज़्यादा लोग थे, और D&B का मानना था कि यह लिस्ट उसे ख़रीदने वाले किसी ग्राहक के हाथ से निकली।

अमेरिका में CAN-SPAM क़ानून के तहत मार्केटिंग ईमेल भेजने के लिए किसी सहमति की ज़रूरत नहीं। पर आपके ऑप्ट आउट करने के बाद कंपनी को 10 कामकाजी दिनों के भीतर आपको ईमेल भेजना बंद करना होता है, और जिस पल आप यह कहते हैं, उसी पल से वह आपका पता “न बेच सकती है, न किसी और को दे सकती है”।

क्या आप इसे बंद कर सकते हैं? कुछ हद तक। पहले से टिक किए गए बॉक्स अनटिक करें, जो मार्केटिंग मेल आप नहीं पढ़ते उससे ऑप्ट आउट करें, और हर कंपनी को उसका अपना पता दें, ताकि अगली बिक्री पर पता चल जाए कि बेचा किसने। ईमेल पता किसने बेचा, कैसे पता करें में हेडर, ब्रीच की जाँच और डेटा-ऐक्सेस अनुरोधों के बारे में विस्तार से बताया गया है।

स्क्रैपिंग: वेबसाइटें, प्रोफ़ाइलें और कोड

CISA चेतावनी देती है: “वेबसाइट पर डाला गया कोई भी ईमेल पता स्पैमर बटोर सकते हैं।” 2002 में FTC के एक प्रयोग में, वेब पेजों पर डाले गए 86% पतों पर छह हफ़्तों के भीतर स्पैम आया, और चैट रूम में डाले गए एक पते पर उसके पहले इस्तेमाल के नौ मिनट बाद ही स्पैम आ गया (ICANN द्वारा दोबारा छापे गए नतीजे)। पेज पर पता कहाँ था, इससे कोई फ़र्क़ नहीं पड़ा: “अगर पते में ‘@’ चिह्न था, तो उस पर स्पैम आया।”

प्रोफ़ाइलें बड़े पैमाने पर स्क्रैप की जाती हैं। HIBP के मुताबिक़, 2021 में हमलावरों ने करोड़ों सार्वजनिक LinkedIn प्रोफ़ाइलें स्क्रैप कीं, जिनसे लगभग 12.5 करोड़ यूनीक ईमेल पते मिले। हमलावरों ने Twitter के एक API का भी ग़लत इस्तेमाल किया, जो ईमेल पतों को खातों से मिलाता था, और इस तरह जुटाए गए 20 करोड़ से ज़्यादा रिकॉर्ड 2023 में सामने आए।

सार्वजनिक कोड से भी पते उजागर होते हैं: हर Git कमिट में उसके लेखक का ईमेल पता होता है। GitHub पर “Settings” (सेटिंग्ज़) > “Emails” (ईमेल) पर जाएँ, “Keep my email addresses private” (मेरे ईमेल पते निजी रखें) और “Block command line pushes that expose my email” (मेरा ईमेल उजागर करने वाले कमांड लाइन पुश ब्लॉक करें) चुनें, फिर अपने कंप्यूटर पर Git में वहाँ दिखाया गया @users.noreply.github.com पता सेट करें। बदलाव से पहले किए गए कमिट “अब भी आपके पिछले ईमेल पते से जुड़े रहते हैं” (GitHub Docs)। पूरे चरणों के लिए देखें GitHub और GitLab कमिट से अपना ईमेल पता कैसे दूर रखें।

क्या आप इसे बंद कर सकते हैं? आगे के लिए, हाँ। अपना मुख्य पता सार्वजनिक पेजों पर न डालें, उसकी जगह कॉन्टैक्ट फ़ॉर्म या अलग पता इस्तेमाल करें, और CISA की सलाह के मुताबिक़ सोशल प्रोफ़ाइलें ऐसे सेट करें कि आपका ईमेल सिर्फ़ वही लोग देख सकें जिन पर आप भरोसा करते हैं। जो पहले ही स्क्रैप हो चुका है, वह चलन में बना रहता है।

अंदाज़ा: क्या स्पैमर आपका पता बस अंदाज़े से जान सकते हैं?

हाँ, और इसके लिए किसी लिस्ट की ज़रूरत नहीं। ICANN की सुरक्षा समिति ने 2007 में यह तरीक़ा बताया था: स्पैमर “आम पहले नाम और सरनेम, अकेले और जोड़कर” आज़माते हैं, या अक्षरों के सारे संभव कॉम्बिनेशन, और जिन पतों को मेल सर्वर स्वीकार कर लेता है, उन्हें रख लेते हैं। इसे डायरेक्टरी हार्वेस्ट अटैक (directory harvest attack) कहते हैं। समिति के एक टेस्ट में, 70% स्पैम टेस्ट डोमेन के ऐसे पतों पर गया जो कभी कहीं प्रकाशित ही नहीं हुए थे। छोटे, आम नाम सबसे आसान निशाना होते हैं, और किसी कंपनी का first.last@example.com वाला पैटर्न किसी को भी उसके कर्मचारियों के पते बनाने देता है।

कैच-ऑल (catch-all) हर अंदाज़े को स्वीकार कर लेता है। अगर आपका अपना डोमेन किसी भी पते का मेल पहुँचाता है, तो admin@example.com और info@example.com पर भेजा गया मेल आप तक पहुँचता है, चाहे आपने ये पते कभी इस्तेमाल किए हों या नहीं। addy.io का FAQ चेतावनी देता है कि “स्पैमर और बॉट अक्सर रैंडम ईमेल पते आज़माते हैं”, और cPanel कहता है कि जब स्पैमर किसी डोमेन को निशाना बनाते हैं, तो कैच-ऑल पर “बहुत ज़्यादा स्पैम आ सकता है”। इसके फ़ायदे और नुक़सान पूरे विस्तार से catch-all ईमेल पता क्या है? में हैं।

क्या आप इसे बंद कर सकते हैं? कुछ हद तक। छोटे, आम पते का अंदाज़ा आगे भी लगाया जा सकता है, पर आपका अगला पता ऐसा हो, यह ज़रूरी नहीं: ब्रिटेन के डेटा संरक्षण नियामक ICO की सलाह के मुताबिक़ ऐसा पता चुनें जिसका अंदाज़ा लगाना मुश्किल हो। अपने डोमेन पर कैच-ऑल बंद करने से अंदाज़े वाले पतों का मेल आप तक पहुँचना बंद हो जाता है। अगर आप उसे चालू रखते हैं, तो अंदाज़े वाले नामों को अपने होस्ट पर ब्लॉक करें। उदाहरण के लिए, Cloudflare Email Routing (ईमेल रूटिंग) में “Compute” (कंप्यूट) > “Email Service” (ईमेल सेवा) > “Email Routing” (ईमेल रूटिंग) > “Routing Rules” (रूटिंग नियम) पर जाएँ और उस पते के लिए “Drop” (छोड़ दें) ऐक्शन वाला नियम जोड़ें, जो “नियम में आने वाले ईमेल को रूट किए बिना मिटा देता है”। Cloudflare बताता है कि भेजने वालों को वह पता तब भी मान्य दिखता है। एक टेस्ट संदेश भेजकर पक्का करें कि आपका नियम कैच-ऑल से पहले लागू होता है।

दूसरे लोगों की एड्रेस बुक और इनबॉक्स

आपने जिस-जिसको ईमेल भेजा है, उन सबके कॉन्टैक्ट में आपका पता मौजूद है, और वे कॉपियाँ आपके हाथ में नहीं हैं।

• कॉन्टैक्ट अपलोड। जब कोई Facebook, Messenger या Instagram के साथ अपने कॉन्टैक्ट सिंक करता है, तो Meta रोज़ “उसकी एड्रेस बुक के नाम, फ़ोन नंबर और ईमेल पते” अपलोड करता है, जिनमें उन लोगों के भी होते हैं जो Meta के ऐप इस्तेमाल नहीं करते। सिर्फ़ इससे आपका पता स्पैमर्स तक नहीं पहुँच जाता, पर Meta के मुताबिक़ सितंबर 2019 से पहले स्क्रैपर्स ने उसके कॉन्टैक्ट इंपोर्टर का ग़लत इस्तेमाल करके फ़ोन नंबरों को खातों से मिलाया था।
• किसी और के कंप्यूटर पर मैलवेयर। Emotet मैलवेयर “Outlook से ईमेल पते स्क्रैप” कर सकता था और फैलने के लिए असली ईमेल थ्रेड को हाईजैक कर लेता था (CISA एडवाइज़री AA20-280A)।
• Cc चेन और मेलिंग लिस्ट। लंबे फ़ॉरवर्ड में थ्रेड का हर पता साथ चला जाता है, और ICANN की सुरक्षा समिति ने बताया था कि स्पैमर मेलिंग लिस्टों से जुड़कर From, Reply-To और Cc हेडर से पते जुटाते हैं।
• कोई और आपको साइन अप करा देता है। Gmail सहायता में बताया गया है कि लोग ग़लती से या जानबूझकर आपके पते का इस्तेमाल “प्रमोशन या न्यूज़लेटर जैसे ईमेल के लिए साइन अप करने” में कर लेते हैं।

क्या आप इसे बंद कर सकते हैं? सीधे तौर पर नहीं। ग्रुप मेल के लिए Bcc इस्तेमाल करें, कोई थ्रेड फ़ॉरवर्ड करने से पहले उसमें से दूसरों के पते हटा दें, और दूसरों से भी ऐसा ही करने को कहें।

पुराने WHOIS रिकॉर्ड

पहले डोमेन रजिस्ट्रेशन के रिकॉर्ड में मालिक का ईमेल पता सार्वजनिक होता था। 2007 में ICANN की सुरक्षा समिति इस नतीजे पर पहुँची कि WHOIS में दिया गया पता “लगभग पक्का कर देता है कि उस पर स्पैम आएगा”।

यह रास्ता अब ज़्यादातर बंद हो चुका है। 25 मई 2018 से ICANN की Temporary Specification (अस्थायी विनिर्देश) के तहत रजिस्ट्रारों को यूरोप से जुड़े रजिस्ट्रेशन के संपर्क विवरण छिपाने पड़े, और बाक़ी हर जगह ऐसा करने की छूट मिली, जिनकी जगह मेल आगे भेजने वाला एक रिले पता या वेब फ़ॉर्म दिया जाता है। 2021 की Interisle की एक स्टडी में पाया गया कि .com जैसे जेनेरिक डोमेन में से सिर्फ़ 13.5% में अब भी असली रजिस्ट्रेंट (डोमेन के मालिक) का नाम था। ICANN की स्थायी Registration Data Policy (रजिस्ट्रेशन डेटा नीति), जो 21 अगस्त 2025 से लागू है, यही मॉडल बनाए रखती है।

यह रास्ता अब भी वहाँ खुला है जहाँ आपने जानकारी प्रकाशित करने की सहमति दी, उन रजिस्ट्रारों के यहाँ जो संगठनों या यूरोप से बाहर के रजिस्ट्रेंट का डेटा प्रकाशित करते हैं, कुछ कंट्री-कोड डोमेन के अपने नियमों के तहत, और 2018 से पहले के रिकॉर्ड के पेड आर्काइव में।

क्या आप इसे बंद कर सकते हैं? डिफ़ॉल्ट रूप से यह ज़्यादातर बंद है। अगर आपका कोई डोमेन है, तो ICANN Lookup में उसे खोजकर देखें कि क्या-क्या सार्वजनिक है, अपने डोमेन रजिस्ट्रार (जहाँ से आपने डोमेन ख़रीदा) का प्राइवेसी विकल्प चालू रखें, और अपने संपर्क विवरण प्रकाशित करने की सहमति न दें।

पुष्टि: मेल खोलना, क्लिक, जवाब और ख़ाली संदेश

जब पता चल जाए कि कोई पता काम करता है, तो उसकी क़ीमत बढ़ जाती है। Spamhaus के उपभोक्ता FAQ के मुताबिक़ स्पैमर “चालू पतों को ‘पक्के तौर पर डिलीवर होने वाले’ पते बताकर और स्पैमर्स को ऊँचे दाम पर बेचते हैं”। वे पतों की पुष्टि इन तरीक़ों से करते हैं:

• ट्रैकिंग इमेज। “जब आपका मेल क्लाइंट उनके वेब सर्वर से ग्राफ़िक डाउनलोड करता है, तो स्पैमर्स को पता चल जाता है कि आपने संदेश खोला है” (CISA)।
• क्लिक और जवाब। कोई भी क्लिक या जवाब, “मुझे हटा दें” वाला अनुरोध भी, यह पक्का कर देता है कि उस पते को कोई पढ़ता है।
• अनसब्सक्राइब लिंक। एक क्लिक में अनसब्सक्राइब का स्टैंडर्ड, RFC 8058, बताता है कि अनसब्सक्राइब करना “मेल भेजने वाले को साफ़ इशारा देता है कि जिस पते पर संदेश भेजा गया था, वह मान्य था”।
• ख़ाली संदेश। Gmail सहायता के मुताबिक़, “ईमेल पते मान्य हैं या नहीं, यह जाँचने के लिए स्पैमर अक्सर ऐसे ईमेल भेजते हैं जिनके मुख्य भाग या विषय में कुछ नहीं होता।” जो पते काम करते हैं, उन पर बाद में स्पैम आता है।

क्या आप इसे बंद कर सकते हैं? हाँ। अनजान लोगों के मेल का न जवाब दें, न उसमें क्लिक करें, न अनसब्सक्राइब करें: उसे स्पैम के रूप में रिपोर्ट करें। जिन ब्रांड को आप पहचानते हैं या जिनके लिए आपने साइन अप किया था, उनके लिए Gmail के सुझाव के मुताबिक़ अपने मेल ऐप का अनसब्सक्राइब बटन (Gmail में “सदस्यता छोड़ें”) इस्तेमाल करें, या ICO की सलाह के मुताबिक़ संदेश में दिया गया ऑप्ट-आउट। किस भेजने वाले के लिए क्या नियम है, यह अनसब्सक्राइब लिंक कब सुरक्षित होते हैं में है।

इसके बाद ध्यान रखें कि इमेज आपकी पोल न खोलें। iPhone (iOS 27) पर Apple Mail में सेटिंग्ज़ > ऐप्स > मेल > गोपनीयता सुरक्षा पर जाएँ और “मेल ऐक्टिविटी की सुरक्षा करें” चालू करें। यह इमेज को बैकग्राउंड में निजी तरीक़े से लोड करता है, ताकि भेजने वाला यह न जान सके कि आपने संदेश पढ़ा या नहीं, या कब पढ़ा (Apple की गाइड)। कंप्यूटर पर Gmail में सेटिंग > “सभी सेटिंग देखें” पर जाएँ, “Images” (इमेज) को “Ask before displaying external images” (बाहरी इमेज दिखाने से पहले पूछें) पर सेट करें, और “Save Changes” (बदलाव सेव करें) पर क्लिक करें (Google सहायता)। इनमें से कोई भी लिंक या अटैचमेंट को कवर नहीं करता। दूसरे मेल ऐप के चरण, और हर ऐप फिर भी क्या-क्या उजागर करता है, यह ट्रैकिंग पिक्सेल कैसे ब्लॉक करें में है।

कैसे पहचानें कि कौन-सा रास्ता आप तक पहुँचा

Bcc बाक़ी पाने वालों को छिपा देता है, और Gmail सहायता बताती है कि “स्पैमर कभी-कभी लोगों से जवाब दिलवाने की कोशिश में ‘Bcc’ फ़ील्ड में रैंडम ईमेल पते जोड़ देते हैं”, इसलिए जवाब न दें।

क्या कोई स्पैम लिस्ट है जिसे आप जाँच सकें या जिससे अपना पता हटवा सकें?

स्पैम पाने वालों की कोई आधिकारिक लिस्ट नहीं है, और स्पैमर्स की अपनी लिस्टों से निकलने का कोई तरीक़ा नहीं। आप यह जाँच सकते हैं कि आपका पता किसी स्पैमर की लीक हुई लिस्ट में आया या नहीं: उसे Have I Been Pwned पर खोजें, जिसमें 25 सितंबर 2026 तक ऐसी 16 लिस्टें शामिल हैं। इनमें सबसे बड़ी हैं Onliner Spambot (71.1 करोड़ पते, 2017) और River City Media (39.3 करोड़, 2017)। अगर आपके नतीजों में इनमें से कोई नाम दिखे, तो आपका पता किसी स्पैमर के पास था।

ब्लॉकलिस्ट अलग चीज़ है: यह ट्रैक करती है कि स्पैम कहाँ से आता है। Spamhaus इसकी परिभाषा देता है, “IP पते, डोमेन या हैश वाला डेटाबेस”, जिसमें हर चीज़ इसलिए दर्ज होती है कि उसे स्पैम भेजते या कोई और नुक़सान करते देखा गया, या उसकी साख ख़राब है। उसकी Hash Blocklist में ईमेल पते हो सकते हैं, पर वे स्पैम भेजने वाले या स्पैम में दिखने वाले पते होते हैं, जैसे कोई हैक हुआ खाता। MxToolbox के Blacklist Check जैसे ब्लॉकलिस्ट चेकर किसी मेल सर्वर का IP पता जाँचते हैं, आपका ईमेल पता नहीं।

“ईमेल न भेजें” वाली कोई लिस्ट भी काम नहीं आएगी। 2004 में FTC ने अमेरिकी संसद (कांग्रेस) से कहा था कि ऐसी रजिस्ट्री का शायद उल्टा असर होगा, क्योंकि “स्पैमर ऐसी रजिस्ट्री को मान्य ईमेल पतों की डायरेक्टरी की तरह इस्तेमाल करेंगे” (FTC)। जो पेड सेवाएँ आपको स्पैमर्स की लिस्टों से हटाने का वादा करती हैं, उन्हें Spamhaus “ज़्यादा से ज़्यादा एक धोखा, और सबसे बुरी हालत में स्पैमर के लिए ‘चालू पते’ की पुष्टि करने वाला सिस्टम” कहता है।

इसके सबसे क़रीब जो असली विकल्प हैं, वे क़ानून मानने वाली कंपनियों तक पहुँचते हैं, स्पैमर्स तक नहीं। सितंबर 2026 तक:

• कैलिफ़ोर्निया का DROP (Delete Request and Opt-out Platform) कैलिफ़ोर्निया के निवासियों को 600 से ज़्यादा रजिस्टर्ड डेटा ब्रोकरों (डेटा ख़रीदने-बेचने वाली कंपनियों) को डेटा मिटाने का एक मुफ़्त अनुरोध भेजने देता है, और इन ब्रोकरों को कम से कम हर 45 दिन में अनुरोध निपटाने होते हैं। यह उन कंपनियों तक नहीं पहुँचता जिनसे आपका सीधा लेन-देन रहा (DROP की शर्तें)।
• Association of National Advertisers की Email Preference Service, जिसका लिंक DMAchoice.org पर है, मुफ़्त है और 10 साल तक चलती है (FTC), पर यह सिर्फ़ उन मार्केटरों तक पहुँचती है जो अपनी लिस्टें साफ़ करने के लिए इसका इस्तेमाल करते हैं।

सिर्फ़ ईमेल आईडी से क्या-क्या हो सकता है?

आपके पासवर्ड के बिना, उतना नहीं जितने का आपको डर हो। सिर्फ़ ईमेल आईडी (यानी ईमेल पता) से कोई:

• असली लगने वाले फ़िशिंग ईमेल भेज सकता है, ख़ासकर किसी ब्रीच से मिली जानकारी के साथ
• दूसरी साइटों से लीक हुए पासवर्ड आपके खातों पर आज़मा सकता है
• पता लगा सकता है कि आप कौन-सी सेवाएँ इस्तेमाल करते हैं, जैसा Twitter का API कभी करने देता था
• आपको ऐसे मेल के लिए साइन अप करा सकता है जो आपने कभी नहीं माँगा
• इसे आगे बेच सकता है, और पता चालू होने की पुष्टि हो जाए तो ज़्यादा दाम पर

स्कैमर को आपका ईमेल पता क्यों चाहिए?

क्योंकि यह आपके इनबॉक्स तक पहुँचने का पहला क़दम है, और आपके ईमेल खाते में घुसा अपराधी “आपके बाक़ी सभी खातों के पासवर्ड रीसेट” कर सकता है। ब्रिटेन का National Cyber Security Centre (NCSC) सलाह देता है कि ईमेल के लिए एक मज़बूत, अलग पासवर्ड रखें, और साथ में टू-स्टेप वेरिफ़िकेशन भी।

अगर किसी स्पैम में भेजने वाले की जगह आपका ही पता दिखे, तो इससे यह साबित नहीं होता कि कोई आपके खाते में घुस गया, क्योंकि From लाइन में हेरफेर करना आसान है। Gmail, Outlook.com और iCloud Mail के लिए जाँच के चरण कैसे जाँचें कि आपका ईमेल खाता हैक हुआ या नहीं में हैं।

क्या अपनी ईमेल आईडी किसी को देना सुरक्षित है?

आम तौर पर, हाँ। पता पासवर्ड नहीं है, और उसे जान लेने से आपका खाता नहीं खुल जाता। अपना मुख्य पता लोगों को और उन कंपनियों को दें जिन पर आप निर्भर हैं, जैसे आपका बैंक। दुकानों, न्यूज़लेटर और एक बार के साइनअप के लिए हर कंपनी का अलग पता ब्रीच और लिस्ट की बिक्री को आपके मुख्य पते से दूर रखता है, और आपका मुख्य पता सार्वजनिक रूप से कहीं डाला ही नहीं जाना चाहिए।

स्पैमर्स तक अपना पता पहुँचने से कैसे रोकें: कौन-से रास्ते आप बंद कर सकते हैं

हर कंपनी के लिए अलग पता कई तरीक़ों से मिल सकता है। CatchNone हर कंपनी को उसका अपना ईमेल उपनाम (email alias) देता है, वह मेल आपके मुख्य इनबॉक्स से बाहर रखता है, और हर संदेश पर उस उपनाम का बैज लगाता है जिस पर वह पहुँचा, ताकि कोई लीक या बिक्री सामने आ जाए। Plus addressing (प्लस एड्रेसिंग, यानी नाम+टैग@ वाला पता) से शुरुआत ज़्यादा जल्दी होती है, अगर आपका प्रोवाइडर इसे सपोर्ट करता हो (you+shop@example.com), पर टैग कोई भी हटा सकता है, इसलिए इससे लीक की पहचान तभी होती है जब भेजने वाला उसे हटाने की ज़हमत न उठाए। Apple का “मेरा ईमेल छिपाएँ” (Hide My Email) (iCloud+ का हिस्सा), DuckDuckGo Email Protection और दूसरी ईमेल उपनाम सेवाएँ मेल को आपके इनबॉक्स में फ़ॉरवर्ड करती हैं। अपने डोमेन पर कैच-ऑल भी काम करता है, ऊपर बताए अंदाज़े वाले नुक़सान के साथ। इनके फ़र्क़ ईमेल उपनाम सेवाओं की तुलना में बताए गए हैं।

CatchNone कहाँ काम आता है

CatchNone उन रास्तों पर काम करता है जो आपके किसी को अपना पता देने से शुरू होते हैं। हर दुकान, न्यूज़लेटर या खाते को उसका अपना उपनाम मिलता है, और हर संदेश पर उस उपनाम का बैज लगा होता है जिस पर वह पहुँचा, इसलिए ब्रीच हुआ या बेचा गया पता अपने स्रोत का नाम ख़ुद बता देता है। “गतिविधि” ऐसे उपनाम पर आए मेल की ओर ध्यान दिलाती है जिसे आप इस्तेमाल नहीं करते, और पहली बार लिखने वाले भेजने वालों की ओर भी, और रिमोट इमेज, जिनमें ज़्यादातर ट्रैकिंग पिक्सेल भी शामिल हैं, तब तक ब्लॉक रहती हैं जब तक आप उन्हें लोड न करें। @catchnone.com पतों के लिए Premium ज़रूरी है, और ये रैंडम तरीक़े से दिए जाते हैं, जैसे abcde-12345@catchnone.com, इसलिए कोई इनका अंदाज़ा नहीं लगा पाएगा। वहाँ जो पते मौजूद नहीं हैं, उन पर आया मेल स्वीकार करके फेंक दिया जाता है, इसलिए अंदाज़ा लगाने वाले को कुछ पता नहीं चलता, और जब आप लीक हुए किसी पते को बंद करते हैं, तो भेजने वालों को बाउंस मिलता है। अपने डोमेन पर, अंदाज़े से बने कैच-ऑल पतों पर आया मेल उसी पते के नीचे स्लेटी बैज के साथ दिखता है जिस पर वह पहुँचा, जिससे डिक्शनरी स्पैम (आम नामों का अंदाज़ा लगाकर भेजा गया स्पैम) आसानी से पकड़ में आ जाता है। CatchNone डाउनलोड करें, जो iPhone, iPad और Mac के लिए उपलब्ध है।

CatchNone सिर्फ़ मेल पाता है और स्पैम फ़िल्टर नहीं है: यह साइनअप वाले मेल को आपके मुख्य इनबॉक्स से दूर, अपने ऐप में रखता है, और दिखाता है कि हर संदेश किस उपनाम पर आया। अपने डोमेन पर किसी उपनाम को “इस्तेमाल में नहीं” मार्क करना सिर्फ़ एक लेबल है, इसलिए पतों को अपने होस्ट पर ब्लॉक करें।

अक्सर पूछे जाने वाले सवाल

अगर मैंने अपना ईमेल पता कभी किसी को नहीं दिया, तो स्पैमर्स को वह कैसे मिला?

सबसे ज़्यादा संभावना यह है कि उन्होंने उसका अंदाज़ा लगाया, उसे किसी ऐसे पेज, प्रोफ़ाइल या कोड कमिट से स्क्रैप किया जहाँ वह डाला गया था, किसी और की एड्रेस बुक से लिया, या उसे किसी ऐसी कंपनी से पाया जिसके लिए आपने कभी साइन अप किया और फिर भूल गए, उस कंपनी के ब्रीच या लिस्ट की बिक्री के ज़रिए। संकेतों वाली टेबल आपको जो दिखता है, उसे संभावित रास्ते से मिलाती है।

अनजान कंपनियों को मेरा ईमेल पता कैसे मिलता है?

आम तौर पर उस कंपनी से, जिससे आपका सचमुच लेन-देन हुआ था और जिसने उसे “पार्टनरों” के साथ साझा किया या उन्हें बेच दिया, अक्सर तब, जब साइनअप के समय आपने पहले से टिक किया गया बॉक्स वैसा ही छोड़ दिया। डेटा ब्रोकर (डेटा ख़रीदने-बेचने वाली कंपनियाँ) भी पते जुटाते और बेचते हैं। लिस्ट की बिक्री और डेटा ब्रोकर वाले हिस्से में दी गई गाइड बताती है कि वह कौन-सी कंपनी थी, यह कैसे पता करें।

स्पैमर्स को मेरा ऑफ़िस वाला ईमेल पता कैसे मिलता है?

मार्केटरों को बेची गई बिज़नेस संपर्क लिस्टों से, आपकी कंपनी की वेबसाइट से, और उसके पतों के नाम वाले पैटर्न का अंदाज़ा लगाकर। HIBP में कई लीक हुई बिज़नेस लिस्टें हैं, जैसे B2B USA Businesses, जिसमें पते कंपनी और पद के हिसाब से छाँटे गए थे। ब्रिटेन में ICO के मुताबिक़ संगठन बिना सहमति के किसी काम वाले पते पर मार्केटिंग भेज सकते हैं, जब तक उस पते से आपकी पहचान न होती हो। अगर होती है, तो आप उनसे भेजना बंद करने को कह सकते हैं।