Spam levelek: honnan szerzik meg a spammerek a címedet?

A spammerek adatszivárgásokból, a cégek által eladott vagy megosztott listákból, weboldalak és nyilvános profilok automatikus begyűjtésével (scraping), gyakori nevek találgatásával, mások címjegyzékeiből és régi domainregisztrációs adatokból szerzik meg az e-mail-címeket. Ezután azt vizsgálják, mely címek élnek: figyelik, megnyitják-e a leveleiket, kattintanak-e bennük, válaszolnak-e rájuk. A spam levelek olyan címre is eljuthatnak, amelyet soha senkinek nem adtál meg – találgatás, begyűjtés vagy valaki más névjegyei révén –, és ezek közül az utak közül csak néhányat zárhatsz le te magad. Azokon az utakon, amelyek nálad kezdődnek, a CatchNone minden webáruháznak és hírlevélnek saját címet ad, és megmutatja, melyikre érkezett az egyes üzenet, így egy adatszivárgás vagy listaeladás elárulja a forrását, iPhone-on, iPaden és Macen.

Így szerzik meg a spammerek az e-mail-címeket: a 7 út

1. Adatszivárgások és a belőlük összeállított jelszólisták.
2. Listák eladása és megosztása adatkereskedőkön és „partnereken” keresztül.
3. Begyűjtés weboldalakról, közösségimédia-profilokból és kódból.
4. Találgatás: gyakori nevek kipróbálása, főleg olyan domaineken, amelyek bármilyen címre érkező levelet elfogadnak.
5. Mások címjegyzékei: névjegyfeltöltés, kártevők és hosszú Cc-láncok.
6. Régi WHOIS-adatok 2018 előttről.
7. Megerősítés: nyomkövető képek, kattintások, válaszok és üres tesztüzenetek, amelyek bizonyítják, hogy egy cím működik.

Adatszivárgások és kombólisták

Ha egy céget feltörnek, az ügyféllistája is kikerülhet, akár használod még a szolgáltatást, akár nem. A Have I Been Pwned (HIBP) 2026. szeptember 25-én 1038 adatszivárgást és több mint 17,8 milliárd kiszivárgott fiókrekordot tartott nyilván. Ez az összeg egy címet annyiszor számol, ahány adatszivárgásban szerepel, így fiókokat mér, nem embereket. Keress rá ott a saját címedre: látni fogod, mely adatszivárgásokban szerepel, mikor történtek, és mik voltak a kiszivárgott adatok. Ha egyikben sem szerepel, valószínűbb, hogy listaeladás, begyűjtés vagy találgatás áll a háttérben.

A kiszivárgott címeket újra felhasználják. A kombólisták (combo lists) korábbi adatszivárgásokból összegyűjtött, e-mail-címből és jelszóból álló párok, amelyeket credential stuffing támadásokhoz használnak, vagyis ugyanazt a jelszót más oldalakon is kipróbálják. A HIBP a Collection #1 (2019) listát így írja le: „773 millió egyedi e-mail-cím, azokkal a jelszavakkal együtt, amelyeket ezek a címek más feltört szolgáltatásokban használtak”. A harmadik forrás az adatlopó kártevők naplói (stealer logs): a fertőzött eszközön futó kártevő rögzíti „az e-mail-címeket, a jelszavakat és azt a weboldalt, ahol bejelentkezéskor megadják őket”.

Lezárhatod ezt az utat? Nem. Azt viszont korlátozhatod, mi kerül ki egy-egy adatszivárgással: minden oldalon egyedi jelszó, kétfaktoros hitelesítés az e-mail-fiókodon, és minden cégnek külön cím, hogy egy adatszivárgás csak egy tartalékcímet tegyen ki, ne a fő címedet. A HIBP ingyenes Notify Me (értesíts) riasztásai a következő adatszivárgásról is szólnak.

Listaeladás, adatkereskedők és „partnereink”

Az amerikai Szövetségi Kereskedelmi Bizottság (FTC) egyenesen fogalmaz: „Ha megadod egy cégnek az e-mail-címedet, az megoszthatja vagy eladhatja harmadik feleknek.” A regisztrációs űrlapok ugyanezt a kereskedelmet táplálják. Az amerikai Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) megjegyzi, hogy a más termékekről szóló e-mailek fogadására vonatkozó opciók néha alapértelmezés szerint be vannak jelölve, „így ha nem veszed ki a jelölést, ezekről a listákról is kezdhetsz leveleket kapni”. A nyereményjátékok, a fizetett kérdőívek és az ajándékkártya-ajánlatok szintén ezt táplálják: a HIBP szerint a spamlistákat gyakran úgy állítják össze, hogy „pénzjutalom ígéretével személyes adatokat csalnak ki az emberektől”.

Ki vásárol e-mail-címeket? A marketingesek listakereskedőktől és adatkereskedőktől veszik őket, a spammerek pedig egymástól: a Spamhaus fogyasztóknak szóló GYIK-je a források között említi a „más spammerektől vásárolt” címeket. Az üzleti listák önálló terméket jelentenek. 2016-ban kiszivárgott az internetre a Dun & Bradstreet NetProspex szolgáltatásának egy listája, amely több mint 33 millió amerikai vállalati munkavállaló adatait tartalmazta, és a D&B úgy vélte, hogy egy ügyfele veszítette el, aki megvásárolta.

Az Egyesült Államokban a CAN-SPAM törvény nem követel meg hozzájárulást a marketinglevelek küldéséhez. Ha viszont leiratkozol, a cégnek 10 munkanapon belül abba kell hagynia a levelek küldését, és attól a pillanattól kezdve, hogy kéred, „nem adhatja el és nem adhatja tovább” a címedet.

Lezárhatod ezt az utat? Részben. Vedd ki a jelölést az előre bejelölt négyzetekből, iratkozz le azokról a marketinglevelekről, amelyeket nem olvasol, és adj minden cégnek saját címet, hogy a következő eladásnál kiderüljön, ki adta el. A hogyan derítheted ki, ki adta el az e-mail-címedet című cikk részletesen foglalkozik a fejlécekkel, az adatszivárgás-ellenőrzéssel és az adathozzáférési kérelmekkel.

Begyűjtés: weboldalak, profilok és kód

„A spammerek bármilyen e-mail-címet begyűjthetnek, amelyet egy weboldalon közzétettek” – figyelmeztet a CISA. Az FTC egy 2002-es kísérletében a weboldalakon közzétett címek 86%-a kapott spamet hat héten belül, egy csevegőszobában közzétett cím pedig kilenc perccel az első használata után már spamet kapott (az eredményeket az ICANN közli újra). Nem számított, hol volt a cím az oldalon: „ha a címben szerepelt a »@« jel, spamet vonzott”.

A profilokat tömegesen gyűjtik be. A HIBP szerint 2021-ben támadók több százmillió nyilvános LinkedIn-profilt gyűjtöttek be, és ebből körülbelül 125 millió egyedi e-mail-cím származott. Támadók egy Twitter API-val is visszaéltek, amely e-mail-címeket párosított fiókokhoz, és az így összegyűjtött több mint 200 millió rekord 2023-ban került elő.

A nyilvános kód is felfedi a címeket: minden Git-commit tartalmazza a szerzője e-mail-címét. A GitHubon nyisd meg a Settings → Emails (Beállítások → E-mailek) oldalt, jelöld be a „Keep my email addresses private” (e-mail-címeim privátban tartása) és a „Block command line pushes that expose my email” (az e-mail-címemet felfedő parancssori pushok letiltása) beállítást, majd a számítógépeden állítsd be a Gitben az ott látható @users.noreply.github.com címet. A módosítás előtt készült commitok „továbbra is az előző e-mail-címedhez vannak társítva” (GitHub Docs). A teljes lépéssort az e-mail-címed elrejtéséről szóló cikk GitHub- és GitLab-commitokról szóló része tartalmazza.

Lezárhatod ezt az utat? A jövőre nézve igen. Ne tedd közzé a fő címedet nyilvános oldalakon, használj helyette kapcsolatfelvételi űrlapot vagy külön címet, és a CISA tanácsának megfelelően állítsd be a közösségimédia-profiljaidat úgy, hogy csak azok lássák az e-mail-címedet, akikben megbízol. Amit már begyűjtöttek, az forgalomban marad.

Találgatás: ki tudják egyszerűen találni a címedet a spammerek?

Igen, és ehhez nem is kell lista. Az ICANN biztonsági bizottsága 2007-ben leírta a módszert: a spammerek „gyakori utó- és vezetékneveket próbálnak ki, önmagukban és összefűzve”, vagy a karakterek összes kombinációját, és megtartják azokat a címeket, amelyeket a levelezőszerver elfogad. Ezt címtárgyűjtő támadásnak (directory harvest attack) nevezik. A bizottság egyik tesztjében a spam 70%-a a tesztdomainek olyan címeire érkezett, amelyeket soha sehol nem tettek közzé. A rövid, gyakori nevek a legkönnyebb célpontok, és ha egy cég a first.last@example.com mintát használja, bárki összerakhatja a munkatársai címét.

A catch-all cím (az Apple magyar útmutatójában: mindenes cím) minden találgatást elfogad. Ha a saját domained bármilyen címre érkező levelet kézbesít, az admin@example.com és az info@example.com címre küldött levelek is eljutnak hozzád, akár használtad valaha ezeket a címeket, akár nem. Az addy.io GYIK-je figyelmeztet, hogy „a spammerek és a botok gyakran próbálkoznak véletlenszerű e-mail-címekkel”, a cPanel pedig azt írja, hogy egy catch-all cím „nagy mennyiségű spamet kaphat”, ha a spammerek egy domaint vesznek célba. Az előnyöket és a hátrányokat részletesen a Mi az a catch-all e-mail-cím? című cikk tárgyalja.

Lezárhatod ezt az utat? Részben. Egy rövid, gyakori cím kitalálható marad, a következőnek viszont nem kell annak lennie: válassz nehezen kitalálható címet, ahogy a brit adatvédelmi hatóság, az ICO is tanácsolja. Saját domainen a catch-all kikapcsolásával megakadályozod, hogy a kitalált címekre küldött levelek eljussanak hozzád. Ha megtartod, a kitalált neveket a szolgáltatódnál tiltsd le. A Cloudflare Email Routing (e-mail-útválasztás) esetében például válaszd a Compute → Email Service → Email Routing → Routing Rules (útválasztási szabályok) menüpontot, és adj hozzá a címhez egy szabályt a Drop (eldobás) művelettel, amely „útválasztás nélkül törli a szabálynak megfelelő e-maileket”. A Cloudflare megjegyzi, hogy a cím a feladók számára továbbra is érvényesnek tűnik; küldj egy tesztüzenetet, hogy meggyőződj róla, hogy a szabály elsőbbséget élvez a catch-all címmel szemben.

Mások címjegyzékei és postafiókjai

A címed ott van mindenkinek a névjegyei között, akinek valaha írtál, és ezek a példányok nincsenek a kezedben.

• Névjegyfeltöltés. Ha valaki szinkronizálja a névjegyeit a Facebookkal, a Messengerrel vagy az Instagrammal, a Meta naponta feltölti „a címjegyzékében szereplő neveket, telefonszámokat és e-mail-címeket”, azokét is, akik nem használják a Meta appjait. Ez önmagában még nem juttatja el a címedet a spammerekhez, a Meta szerint azonban 2019 szeptembere előtt adatgyűjtők visszaéltek a névjegyimportáló funkciójával, hogy telefonszámokat párosítsanak fiókokhoz.
• Kártevő valaki más számítógépén. Az Emotet kártevő képes volt „e-mail-címeket kigyűjteni az Outlookból”, és valódi levélváltásokat eltéríteni, hogy terjedjen (a CISA AA20-280A számú figyelmeztetése).
• Cc-láncok és levelezőlisták. Egy hosszú továbbított levél a szál összes címét magával viszi, az ICANN biztonsági bizottsága pedig leírta, hogy a spammerek levelezőlistákra iratkoznak fel, hogy a From, a Reply-To és a Cc fejlécből gyűjtsenek címeket.
• Valaki feliratkoztat. A Gmail súgója leírja, hogy mások – véletlenül vagy szándékosan – a címedet használva „iratkoznak fel e-mailekre, például promóciókra vagy hírlevelekre”.

Lezárhatod ezt az utat? Közvetlenül nem. Csoportos levélnél használj titkos másolatot (Bcc), továbbítás előtt töröld mások címét a levélláncból, és kérd meg a többieket is, hogy tegyenek így.

Régi WHOIS-adatok

A domainregisztrációs adatok régebben nyilvánosan közölték a tulajdonos e-mail-címét. Az ICANN biztonsági bizottsága 2007-ben arra jutott, hogy egy WHOIS-ban szereplő cím „gyakorlatilag garantálja, hogy spam fog érkezni”.

Ez az út nagyrészt bezárult. Az ICANN ideiglenes specifikációja (Temporary Specification) 2018. május 25-től előírta a domainregisztrátoroknak, hogy az Európához kötődő regisztrációknál kitakarják a kapcsolattartási adatokat, máshol pedig megengedte nekik, hogy ugyanezt tegyék; helyettük egy továbbítócímet vagy webes űrlapot kínáltak. Az Interisle egy 2021-es tanulmánya szerint az általános domaineknek, például a .com végűeknek már csak 13,5%-a nevezett meg valódi regisztrálót. Az ICANN állandó regisztrációs adatokra vonatkozó szabályzata (Registration Data Policy), amely 2025. augusztus 21. óta hatályos, ugyanezt a modellt követi.

Az út ott még létezik, ahol hozzájárultál a közzétételhez, azoknál a regisztrátoroknál, amelyek szervezetek vagy Európán kívüli regisztrálók adatait közzéteszik, egyes országkódos domainek saját szabályai szerint, valamint a 2018 előtti adatok fizetős archívumaiban.

Lezárhatod ezt az utat? Alapértelmezés szerint nagyrészt zárva van. Ha van domained, nézd meg az ICANN Lookup oldalon, mi látható belőle nyilvánosan, hagyd bekapcsolva a regisztrátorod adatvédelmi opcióját, és ne járulj hozzá a kapcsolattartási adataid közzétételéhez.

Megerősítés: megnyitások, kattintások, válaszok és üres levelek

Egy cím többet ér, ha tudni lehet róla, hogy működik. A spammerek „az élő címeket felárral adják el »igazoltan kézbesíthető« címekként újabb spammereknek” – írja a Spamhaus fogyasztóknak szóló GYIK-je. A címeket a következőkkel erősítik meg:

• Nyomkövető képek. „Amikor a levelezőprogramod letölti a képet a webszerverükről, a spammerek tudják, hogy megnyitottad az üzenetet” (CISA).
• Kattintások és válaszok. Bármilyen kattintás vagy válasz, még egy „töröljenek a listáról” kérés is megerősíti, hogy valaki olvassa a címre érkező leveleket.
• Leiratkozási linkek. Az egykattintásos leiratkozás szabványa, az RFC 8058 megjegyzi, hogy a leiratkozás „erős jelzés a feladónak arra, hogy a cím, amelyre az üzenetet küldte, érvényes volt”.
• Üres levelek. „Hogy ellenőrizzék, érvényesek-e az e-mail-címek, a spammerek gyakran küldenek olyan e-maileket, amelyeknek sem a törzsében, sem a tárgyában nincs tartalom” – írja a Gmail súgója. A működő címekre később spam érkezik.

Lezárhatod ezt az utat? Igen. Ismeretlenek leveleire ne válaszolj, ne kattints bennük, és ne iratkozz le róluk; jelentsd őket spamként. Az ismert márkáknál, illetve ahol te magad regisztráltál, használd a levelezőappod leiratkozási gombját, ahogy a Gmail javasolja, vagy az üzenetben található leiratkozási lehetőséget, ahogy az ICO tanácsolja; azt, hogy feladónként mikor biztonságosak a leiratkozási linkek, külön cikk tárgyalja.

Ezután akadályozd meg, hogy a képek eláruljanak. iPhone-on az Apple Mailben (iOS 27) válaszd a Beállítások > Appok > Mail > Adatvédelem menüpontot, és kapcsold be a „Mail-tevékenység védelme” funkciót, amely a háttérben, privát módon tölti be a képeket, így a feladó nem tudja megállapítani, hogy elolvastad-e az üzenetet, és ha igen, mikor (az Apple útmutatója). Számítógépen a Gmailben válaszd a Settings (Beállítások) > See all settings (összes beállítás megtekintése) lehetőséget, az Images (képek) beállításnál jelöld be az „Ask before displaying external images” (rákérdezés a külső képek megjelenítése előtt) opciót, majd kattints a „Save Changes” (módosítások mentése) gombra (a Google súgója). Egyik sem vonatkozik a linkekre és a mellékletekre. Más levelezőappok lépéseit, és azt, hogy mit árul el még mindegyik, a nyomkövető pixelek (tracking pixel) letiltásáról szóló cikk írja le.

Honnan tudhatod, melyik úton érkeznek a spam levelek?

A titkos másolat (Bcc) elrejti a többi címzettet, és a Gmail súgója megjegyzi, hogy „a spammerek néha véletlenszerű e-mail-címeket írnak a »Bcc« mezőbe, hogy válaszra bírják az embereket” – ezért ne válaszolj.

Van olyan spamlista, amelyet ellenőrizhetsz, vagy amelyről lekerülhetsz?

Nincs hivatalos lista a spamek címzettjeiről, és a spammerek saját listáiról sem lehet lekerülni. Azt viszont ellenőrizheted, hogy a címed felbukkant-e egy kiszivárgott spammerlistán: keress rá a Have I Been Pwned oldalon, amely 2026. szeptember 25-én 16 ilyen listát tartalmazott. A legnagyobbak az Onliner Spambot (711 millió cím, 2017) és a River City Media (393 millió, 2017). Ha ezek közül valamelyik megjelenik a találataid között, egy spammernek megvolt a címed.

A tiltólisták (blocklists) mást jelentenek: azt követik, honnan jön a spam. A Spamhaus meghatározása szerint a tiltólista „IP-címeket, domaineket vagy hasheket tartalmazó adatbázis”, amelynek minden eleme azért került fel, mert spamküldésen vagy más kártevésen kapták, vagy mert rossz a hírneve. A Hash Blocklist nevű listája e-mail-címeket is tartalmazhat, de ezek spamet küldő vagy spamben szereplő címek, például egy feltört fiók címe. A tiltólista-ellenőrzők, például az MxToolbox Blacklist Check szolgáltatása, egy levelezőszerver IP-címét vizsgálják, nem a te e-mail-címedet.

Egy „ne küldj e-mailt” lista sem segítene. Az FTC 2004-ben azt mondta az amerikai Kongresszusnak, hogy egy ilyen nyilvántartás valószínűleg visszafelé sülne el, mert „a spammerek az érvényes e-mail-címek címtáraként használnák” (FTC). A Spamhaus szerint azok a fizetős szolgáltatások, amelyek azt ígérik, hogy levesznek a spammerek listáiról, „a legjobb esetben átverések, a legrosszabb esetben pedig »élő cím«-megerősítő rendszerek a spammer számára”.

A legközelebbi valódi lehetőségek a törvényt betartó cégeket érik el, nem a spammereket. 2026 szeptemberében:

• A kaliforniai DROP (Delete Request and Opt-out Platform, vagyis törlési és leiratkozási platform) lehetővé teszi a kaliforniai lakosoknak, hogy egyetlen ingyenes törlési kérelmet küldjenek több mint 600 nyilvántartott adatkereskedőnek, amelyeknek legalább 45 naponta fel kell dolgozniuk a kérelmeket. Azokat a cégeket nem éri el, amelyekkel közvetlenül kapcsolatban álltál (a DROP feltételei).
• Az Association of National Advertisers (az amerikai hirdetők szövetsége) Email Preference Service szolgáltatása (e-mail-preferenciaszolgáltatás), amely a DMAchoice.org oldalról érhető el, ingyenes, és 10 évig érvényes (FTC), de csak azokat a marketingeseket éri el, akik a listáik tisztítására használják.

Mit tehet valaki csupán az e-mail-címeddel?

A jelszavad nélkül kevesebbet, mint gondolnád. Pusztán a cím birtokában valaki:

• hitelesnek tűnő adathalász e-maileket küldhet, különösen egy adatszivárgásból származó részletekkel
• kipróbálhatja a fiókjaidon a más oldalakról kiszivárgott jelszavakat
• kiderítheti, milyen szolgáltatásokat használsz, ahogy azt egykor a Twitter API-ja lehetővé tette
• feliratkoztathat olyan levelekre, amelyeket sosem kértél
• továbbadhatja, és többet kérhet érte, ha már megerősítették, hogy élő

Miért kell egy csalónak az e-mail-címed?

Mert ez az első lépés a postafiókod felé, és egy bűnöző, aki bejutott az e-mail-fiókodba, „az összes többi fiókod jelszavát visszaállíthatja”. A brit Nemzeti Kiberbiztonsági Központ (NCSC) erős, külön jelszót tanácsol az e-mail-fiókodhoz, kétfaktoros hitelesítéssel kiegészítve.

Ha egy spam feladójaként a saját címed látszik, az nem bizonyítja, hogy bárki bejutott, mert a From sort könnyű hamisítani. Azt, hogyan ellenőrizheted, hogy feltörték-e az e-mail-fiókodat, a sok spam okairól szóló cikk mutatja be lépésről lépésre a Gmailhez, az Outlook.com-hoz és az iCloud Mailhez.

Biztonságos megadni az e-mail-címedet?

Általában igen. Egy cím nem jelszó, és attól, hogy valaki ismeri, még nem jut be a fiókodba. A fő címedet add meg az embereknek és azoknak a cégeknek, amelyekre támaszkodsz, például a bankodnak. Webáruházaknál, hírleveleknél és egyszeri regisztrációknál a cégenként külön cím távol tartja a fő címedtől az adatszivárgásokat és a listaeladásokat, a fő címedet pedig egyáltalán ne tedd közzé nyilvánosan.

Hogyan védheted meg a címedet a spammerektől: mely utakat zárhatod le

Cégenkénti címeket többféleképpen szerezhetsz. A CatchNone minden cégnek saját e-mail-aliast (az appban: álnév) ad, ezeket a leveleket a fő postafiókodon kívül tartja, és minden üzeneten jelvény mutatja, melyik aliasra érkezett, így kiderül, ha egy címet kiszivárogtattak vagy eladtak. A pluszjeles címzéssel (plus addressing) gyorsabban elkezdheted, ha a szolgáltatód támogatja (you+shop@example.com), de a címkét bárki törölheti, így csak akkor azonosítja a kiszivárgás forrását, ha a feladó nem veszi a fáradságot, hogy eltávolítsa. Az Apple E-mail-cím elrejtése funkciója (az iCloud+ része), a DuckDuckGo Email Protection és más aliasszolgáltatások a postafiókodba továbbítják a leveleket. Saját domainen egy catch-all cím is megfelel, a fent leírt találgatási kockázattal. A különbségeket az e-mail-alias-szolgáltatások összehasonlítása mutatja be.

Hol a helye a CatchNone-nak?

A CatchNone azokon az utakon segít, amelyek azzal kezdődnek, hogy te magad adod meg a címedet. Minden webáruház, hírlevél vagy fiók saját aliast kap, és minden üzeneten jelvény mutatja, melyik aliasra érkezett, így egy kiszivárgott vagy eladott cím elárulja a forrását. A „Tevékenység” kiemeli a nem használt aliasra érkező leveleket és az először író feladókat, a távoli képek pedig – köztük a legtöbb nyomkövető pixel – tiltva maradnak, amíg be nem töltöd őket. A @catchnone.com címekhez Premium szükséges, és ezeket véletlenszerűen osztja ki az app, például abcde-12345@catchnone.com, így senki sem találná ki őket. Az ott nem létező címekre érkező leveleket a szolgáltatás elfogadja és eldobja, így aki találgat, semmit sem tud meg, ha pedig kikapcsolsz egy kiszivárgott címet, a feladók visszapattanó levelet kapnak. Saját domainen a kitalált catch-all címekre érkező levelek szürke jelvénnyel, annál a címnél jelennek meg, amelyre érkeztek, így a szótáras találgatásból eredő spam könnyen felismerhető. Töltsd le a CatchNone-t; elérhető iPhone-ra, iPadre és Macre.

A CatchNone csak fogadásra szolgál, és nem spamszűrő: a regisztrációs leveleket a saját appjában tartja, a fő postafiókodtól távol, és megmutatja, melyik aliasra érkezett az egyes üzenet. Saját domainen egy alias „Nincs használatban” jelölése csak címke, ezért a címeket a szolgáltatódnál tiltsd le.

Gyakori kérdések

Honnan szerzik meg a spammerek az e-mail-címemet, ha sosem adtam meg senkinek?

A legvalószínűbb, hogy kitalálták, begyűjtötték egy oldalról, profilból vagy kódcommitból, ahol közzé volt téve, valaki más címjegyzékéből vették, vagy egy olyan cégtől jutott hozzájuk, ahol egyszer regisztráltál, majd elfelejtetted, az adott cég adatszivárgása vagy egy listaeladás révén. A jelek táblázata segít összepárosítani, amit látsz, a valószínű úttal.

Honnan szerzik meg az e-mail-címemet ismeretlen cégek?

Általában egy olyan cégtől, amellyel valóban kapcsolatban álltál, és amely megosztotta vagy eladta a „partnereinek”, gyakran azért, mert regisztrációkor bejelölve hagytál egy előre bejelölt négyzetet. Az adatkereskedők is gyűjtenek és árulnak címeket. A listaeladásról és az adatkereskedőkről szóló részben hivatkozott útmutató megmutatja, hogyan derítheted ki, melyik cég volt az.

Honnan szerzik meg a spammerek a munkahelyi e-mail-címemet?

Marketingeseknek eladott üzleti kapcsolattartói listákból, a munkáltatód weboldaláról, és a cég névmintájának kitalálásával. A HIBP több kiszivárgott üzleti listát is nyilvántart, például a B2B USA Businesses nevűt, amely munkáltató és beosztás szerint rendezte a címeket. Az Egyesült Királyságban az ICO szerint a szervezetek hozzájárulás nélkül is küldhetnek marketinglevelet egy munkahelyi címre, kivéve, ha a cím azonosít téged – ebben az esetben kérheted, hogy hagyják abba.