Chi ha il mio indirizzo email? Scopri chi l’ha venduto

Puoi scoprire con certezza chi ha venduto o lasciato trapelare il tuo indirizzo email solo se avevi dato a quell’azienda un indirizzo che non aveva nessun altro. Su un indirizzo principale che usi da anni, di solito puoi restringere il campo ma non trovare il colpevole: l’indirizzo è in decine di database di clienti, e un messaggio di spam raramente riconduce a quello da cui è uscito. Quello che puoi scoprire è chi ha il tuo indirizzo email e ti scrive, tramite quale servizio, se un’azienda l’ha lasciato trapelare in una violazione dei dati (data breach) nota e, nell’UE e nel Regno Unito, cosa dice un’azienda su dove l’ha preso. CatchNone, per iPhone, iPad e Mac, rende questa configurazione con un indirizzo per ogni azienda la scelta predefinita: ogni messaggio è contrassegnato con l’alias a cui è arrivato, così la prossima fuga indica la sua fonte.

I passaggi, in ordine:

1. Trova il primo messaggio indesiderato e l’indirizzo esatto a cui è arrivato.
2. Leggi le sue intestazioni per identificare il mittente e il suo servizio di invio.
3. Controlla su Have I Been Pwned se l’indirizzo compare in una violazione.
4. Chiedi al mittente dove ha preso il tuo indirizzo e chiedi all’azienda che sospetti a quali aziende l’ha dato.
5. D’ora in poi, dai a ogni azienda un indirizzo tutto suo.

Puoi scoprire chi ha venduto il tuo indirizzo email?

A volte. Dipende dalle prove:

• Le intestazioni mostrano chi ha inviato un messaggio e tramite quale servizio (una firma DKIM valida dimostra quale dominio l’ha firmato), non da dove viene la lista.
• Una violazione documentata dimostra che un’azienda ha perso il tuo indirizzo, senza escludere le altre.
• Una richiesta legale può obbligare un’azienda a dire cosa sa della fonte, se lo sa (in California, solo per categorie).
• Un indirizzo casuale che hai dato a una sola azienda porta dritto a una fonte: se su quell’indirizzo ti scrive qualcun altro, significa che è uscito da quell’azienda, che sia stato venduto, condiviso o rubato.

Un’improvvisa ondata di spam può avere altre cause: vedi perché lo spam può aumentare all’improvviso. Per capire come si diffondono gli indirizzi, tra vendite, violazioni, raccolta automatica e tentativi a caso, vedi come fanno gli spammer a trovare gli indirizzi email.

Passaggio 1: trova il primo messaggio e l’indirizzo a cui è arrivato

Cerca il mittente sconosciuto e trova il risultato più vecchio: il primo messaggio è il più vicino al momento in cui il tuo indirizzo è passato di mano. Controlla esattamente a quale indirizzo è stato inviato e come ti saluta. Un vecchio indirizzo o un refuso che hai usato una sola volta, una versione del tuo indirizzo con un +tag, il tuo nome scritto male in un certo modulo di iscrizione o un dettaglio che conosceva una sola azienda: sono tutti indizi che portano a una fonte.

Nell’UE e nel Regno Unito, leggi anche il piè di pagina di quel primo messaggio e il link all’informativa privacy. In base al GDPR (art. 14), un’azienda che ha ottenuto i tuoi dati da qualcun altro deve comunicarti “la fonte da cui hanno origine i dati personali”. Se usa i dati per contattarti, il termine è “al più tardi al momento della prima comunicazione”. Se il primo messaggio non lo diceva, fallo notare nella richiesta del passaggio 4.

Passaggio 2: leggi le intestazioni

Le intestazioni (header) sono le righe nascoste sopra un messaggio. Indicano il mittente e il servizio che ha trasportato la posta, e quindi ti dicono a chi scrivere nel passaggio 4.

Come vedere le intestazioni

Percorsi tratti dalle pagine di assistenza di ciascun produttore, aggiornati a settembre 2026:

Scorciatoia di Gmail: sul web, fai clic sulla freccia giù sotto il nome del mittente per vedere “Mailed by” (Inviato da) e “Signed by” (Firmato da), i domini che hanno inviato e firmato il messaggio.

Un esempio pratico

Un insieme di intestazioni a titolo illustrativo, accorciato. Il tuo indirizzo è k7qm-2xrd@example.com, un indirizzo casuale che hai dato solo a un negozio di giardinaggio. Il marchio è dealsdaily.example.net, e mailer.example.org è il servizio di invio che usa.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Qui il mittente è Deals Daily, che invia tramite mailer.example.org, e l’indirizzo raggiunto è quello casuale che hai dato solo al negozio di giardinaggio: quindi è da lì che è uscito. Le intestazioni non possono dire come Deals Daily l’abbia ottenuto: indicano il mittente, mai il venditore. ICANN Lookup mostra i dati di registrazione di un dominio sconosciuto, anche se i dati del proprietario sono per lo più oscurati.

Passaggio 3: controlla se un’azienda l’ha lasciato trapelare in una violazione

Have I Been Pwned (HIBP) mostra in quali violazioni dei dati e in quali liste di spam compare un indirizzo. Al 25 settembre 2026 elenca 1.038 siti violati e oltre 17,8 miliardi di account violati (un indirizzo presente in più violazioni viene contato una volta per ciascuna).

• Una violazione indica il servizio che ha perso i dati e quando: un indizio forte se lo spam è cominciato poco dopo.
• Una lista di spam significa che il tuo indirizzo è comparso in dati usati per spam mirato. Queste liste “sono spesso aggregate da più fonti”, quindi raramente indicano l’azienda di partenza. Le voci provenienti da paste (testi pubblicati su siti di condivisione) e le violazioni che HIBP segnala come inventate o non verificate valgono ancora meno.
• Le violazioni sensibili compaiono solo dopo che hai effettuato l’accesso e verificato di ricevere posta a quell’indirizzo.

Un risultato pulito significa solo che l’indirizzo non è in una violazione caricata da HIBP, non che nessuno l’abbia venduto. Attiva gli avvisi gratuiti Notify Me (avvisami). Se sul tuo dominio usi un indirizzo diverso per ogni azienda, Domain Search (ricerca per dominio) mostra quali di questi compaiono in quale violazione, dopo che hai verificato il dominio (i domini più grandi di norma richiedono un abbonamento). Il report sul dark web di Google, consigliato nelle guide più vecchie, è stato dismesso all’inizio del 2026.

Passaggio 4: chiedi direttamente alle aziende

UE e Regno Unito: chiedi da dove arriva e dove è finito

Il diritto di accesso previsto dal GDPR ti permette di fare due domande a due aziende:

• Chiedi al mittente dove ha preso il tuo indirizzo. L’articolo 15, paragrafo 1, lettera g), del GDPR ti dà diritto a “tutte le informazioni disponibili sulla loro origine”, e le linee guida sulla trasparenza approvate dal Comitato europeo per la protezione dei dati affermano che un’azienda che ha ottenuto i tuoi dati altrove dovrebbe indicare la fonte specifica, salvo che le sia impossibile.
• Chiedi all’azienda che sospetti a quali aziende ha dato il tuo indirizzo. In base all’articolo 15, paragrafo 1, lettera c), la Corte di giustizia dell’Unione europea ha stabilito nella sentenza Österreichische Post (C-154/21) che un’azienda deve indicare, su richiesta, i destinatari effettivi, tranne quando non è ancora in grado di identificarli o quando la richiesta è manifestamente infondata o eccessiva. L’autorità britannica per la protezione dei dati, l’ICO, dice lo stesso ai sensi dello UK GDPR.

Nessuna delle due richieste obbliga qualcuno a nominare un venditore: un’azienda può rispondere che non lo sa, o che i dati provengono da più fonti (considerando 61), anche se una risposta evasiva è motivo di reclamo. Usa i recapiti indicati nell’informativa privacy di ciascuna azienda e lascia perdere gli spammer veri e propri, perché rispondere conferma che il tuo indirizzo funziona.

Ecco una richiesta di accesso ai dati personali che puoi copiare (ometti il punto 4 quando scrivi all’azienda che sospetti):

Oggetto: Richiesta di accesso ai sensi dell’articolo 15 del GDPR

Ai sensi dell’articolo 15 del GDPR (o dello UK GDPR), in relazione al mio indirizzo email, you@example.com, chiedo di conoscere:

1. Da dove è stato ottenuto, con l’indicazione della fonte specifica (art. 15, par. 1, lett. g).
2. A quali destinatari è stato comunicato, indicati per nome (art. 15, par. 1, lett. c).
3. Quali dati personali che mi riguardano sono conservati, con una copia.
4. Perché il primo messaggio che mi è stato inviato, il [data], non indicava tale fonte (art. 14, par. 2, lett. f, e par. 3, lett. b).

Mi oppongo inoltre al marketing diretto (art. 21). Chiedo una risposta entro un mese (art. 12, par. 3).

[Il tuo nome]

Di solito le risposte sono gratuite (le scadenze sono nella tabella più sotto). Dopo la tua opposizione al marketing diretto, i tuoi dati non possono più essere usati per quello scopo.

Nel Regno Unito, se la risposta manca o è evasiva, presenta prima un reclamo all’azienda: per i reclami presentati dal 19 giugno 2026, il Data (Use and Access) Act la obbliga a confermare la ricezione del tuo entro 30 giorni. Poi, entro tre mesi dall’ultimo contatto significativo con l’azienda, presenta un reclamo all’ICO. Nell’UE, l’articolo 77 ti consente di presentare un reclamo a un’autorità di protezione dei dati (in Italia, il Garante per la protezione dei dati personali).

Stati Uniti: California e Oregon

In California, una richiesta “right to know” (diritto di sapere) ai sensi del CCPA ti restituisce le categorie di fonti e di terzi, più le informazioni personali detenute, ma non ti dirà chi ha venduto il tuo indirizzo. Le risposte sono gratuite. Puoi anche chiedere a un’azienda di smettere di vendere o condividere i tuoi dati, oppure di cancellare quelli che ha raccolto da te. La legge si applica solo alle aziende che superano determinate soglie, come un fatturato annuo superiore a 26.625.000 dollari (a settembre 2026).

Se vivi in Oregon, un’azienda soggetta alla legge sulla privacy dello Stato deve, su richiesta, fornire un elenco dei terzi specifici a cui ha comunicato dati, anche se può elencare quelli che hanno ricevuto dati personali di chiunque anziché i tuoi (ORS 646A.574). Questi diritti derivano da leggi statali, quindi ciò che puoi chiedere dipende da dove vivi.

Chi risiede in California può anche usare DROP, la Delete Request and Opt-out Platform (piattaforma per le richieste di cancellazione e di opt-out), per inviare un’unica richiesta di cancellazione a tutti i data broker (intermediari di dati) registrati. È attiva dal 1° gennaio 2026 e, dal 1° agosto 2026, i broker devono elaborare le richieste almeno ogni 45 giorni. Raggiunge solo i data broker, cioè aziende con cui non hai un rapporto diretto, non il negozio a cui hai dato il tuo indirizzo.

Chiunque può consultare i registri dei data broker di California, Vermont, Texas e Oregon. Cerca in questi registri il nome dell’azienda mittente e i domini trovati al passaggio 2. Una corrispondenza ti dice che il mittente è un data broker registrato, una delle aziende che DROP raggiunge se vivi in California.

Cosa puoi ottenere con ogni richiesta

Ovunque: il servizio di invio

Il servizio di invio indicato in DKIM-Signature d=, Return-Path o List-Unsubscribe ha le sue regole. La Acceptable Use Policy di Mailchimp (norme di utilizzo accettabile), per esempio, vieta l’invio a “liste acquistate, noleggiate, di terzi, di co-registrazione, di dati pubblicamente disponibili o di partner di qualsiasi tipo”, e il suo servizio per le segnalazioni di abuso chiede “l’intestazione completa dell’email” (entrambe le pagine controllate il 25 settembre 2026). Invia le intestazioni complete all’ufficio abusi del servizio di invio. Non ti dirà chi ha venduto il tuo indirizzo, ma può impedire al mittente di usare il suo servizio.

Cosa fare una volta scoperto

• Dismetti l’indirizzo. Dai un nuovo indirizzo all’azienda che l’ha lasciato trapelare, oppure chiudi l’account, poi disattiva o elimina quello vecchio. Tienilo attivo finché non ricevi risposta a eventuali richieste di accesso, perché la risposta o una verifica dell’identità potrebbero arrivare lì. Se è il tuo indirizzo principale, usa i filtri.
• Fai smettere i messaggi. Invia l’opposizione dell’articolo 21 (UE, Regno Unito), disiscriviti dai mittenti statunitensi legittimi, oppure esercita l’opt-out dalla vendita e dalla condivisione e usa DROP (California). Se in passato disiscriverti non ha funzionato, leggi perché la disiscrizione non funziona.
• Segnalalo su ReportFraud.ftc.gov negli Stati Uniti, con lo strumento dell’ICO per le email di spam nel Regno Unito (non risponde alle singole segnalazioni) o all’ufficio abusi del servizio di invio, e contrassegnalo come spam nella tua app di posta.
• Se si è trattato di una violazione, metti in sicurezza anche l’account (vedi le domande frequenti).

Le aziende vendono il tuo indirizzo email? È legale?

Sì, alcune lo fanno. La FTC afferma: “Quando dai il tuo indirizzo email a un’azienda, questa potrebbe condividerlo con terzi o venderlo”. Negli Stati Uniti la legge federale lo consente finché non eserciti l’opt-out. Nel Regno Unito e nell’UE un’azienda ha bisogno del tuo consenso per scriverti usando una lista acquistata, e nel Regno Unito in genere le serve il tuo consenso anche per venderne una.

• Stati Uniti: in base alla legge federale CAN-SPAM, un’azienda non ha bisogno del consenso per inviarti email di marketing. Dopo il tuo opt-out ha 10 giorni lavorativi per smettere e non può vendere né cedere a terzi il tuo indirizzo. La California aggiunge l’opt-out dalla vendita, e la sua definizione di “vendita” comprende il noleggio o la messa a disposizione dei dati in cambio di “altro corrispettivo di valore”: anche uno scambio con un partner può quindi rientrarci, senza alcun passaggio di denaro. La “condivisione” (sharing) è un termine distinto, riferito alla pubblicità comportamentale cross-context.
• Regno Unito: in base alle Privacy and Electronic Communications Regulations (PECR), un’azienda può scrivere alle persone di una lista acquistata solo se queste hanno “acconsentito specificamente a ricevere quel tipo di messaggio” da lei; un consenso generico a qualsiasi terza parte non basta, e la vendita di una lista, cioè la cessione dei dati a terzi, in genere richiede il consenso delle persone che ne fanno parte (linee guida dell’ICO, in fase di revisione dopo il Data (Use and Access) Act). Per gli indirizzi aziendali valgono regole diverse.
• UE: la direttiva ePrivacy consente le email di marketing solo con il “consenso preventivo”, tranne quando un venditore promuove prodotti analoghi presso i propri clienti, un’eccezione che chi compra una lista non può sfruttare.

Perché il trucco del + è una prova debole

Il “trucco di Gmail” consiste nell’iscriversi con un indirizzo con tag, come you+shopname@example.com al posto di you@example.com, e osservare quale tag compare nello spam. La descrizione di Google stessa ne mostra il punto debole: “I messaggi inviati al tuo indirizzo attuale o a qualsiasi sua variante con il segno più arrivano tutti nella tua posta in arrivo attuale”.

• Il tuo vero indirizzo è in bella vista. Basta togliere il tag e la posta ti arriva comunque, e la prova sparisce.
• Il tag non significa nulla per il mittente. Solo il tuo provider interpreta la parte prima della @ (RFC 5321, §2.3.11), e il separatore varia da sistema a sistema (RFC 5233).
• Dimostra meno di quanto sembri. Un indirizzo con tag nello spam mostra che è uscito da quell’azienda, non se è stato venduto, condiviso o sottratto in una violazione. E se non arriva spam con il tag, nessuno è scagionato: il tag potrebbe semplicemente essere stato rimosso.

Il trucco del punto, cioè iscriverti come your.name presso un’azienda e come yo.urname presso un’altra, è ancora più debole: Gmail ignora i punti negli indirizzi personali, quindi chiunque può toglierli (negli account di lavoro o della scuola, invece, i punti contano). Il plus addressing (l’indirizzo con il +) resta comunque utile per filtrare la posta; la guida al plus addressing spiega dove funziona.

Passaggio 5: fai in modo che la prossima fuga riveli la sua fonte

Il metodo affidabile funziona in avanti: dai a ogni azienda un indirizzo tutto suo, che non contenga quello vero. Se all’indirizzo che hai dato a un solo negozio scrive qualcun altro, sai da dove è uscito, e puoi disattivare soltanto quell’indirizzo.

• CatchNone dà a ogni azienda un alias tutto suo e contrassegna ogni messaggio con l’alias a cui è arrivato, così un indirizzo venduto salta fuori senza dover leggere le intestazioni. Gli indirizzi @catchnone.com richiedono Premium; un dominio di tua proprietà funziona anche con il piano Gratuito.
• I servizi di alias come “Nascondi la mia email” di Apple (con iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io e Firefox Relay inoltrano la posta alla tua casella. Il confronto tra servizi di alias email spiega le differenze.
• Un indirizzo catch-all sul tuo dominio accetta la posta per qualsiasi indirizzo di quel dominio, così puoi inventarne uno per ogni iscrizione. Cloudflare Email Routing, per esempio, è disponibile sia nei piani gratuiti sia in quelli a pagamento (a settembre 2026) e prevede una regola catch-all. Per i pro e i contro, vedi cos’è un indirizzo email catch-all.

Preferisci gli indirizzi casuali a quelli facili da indovinare come gardenshop@example.com, che uno spammer potrebbe inventare su un catch-all, e annota quale indirizzo hai dato a chi.

CatchNone: ogni messaggio mostra l’indirizzo a cui è arrivato

CatchNone è pensato per il passaggio 5. Dai a ogni negozio, newsletter o account un alias tutto suo, e ogni messaggio nell’app è contrassegnato con l’alias a cui è arrivato. Quando uno sconosciuto scrive all’indirizzo che avevi dato solo al negozio di giardinaggio, il badge mostra da dove è uscito, senza intestazioni da leggere. Attività ti segnala la posta su un alias che hai segnato come non in uso e i mittenti che ti scrivono per la prima volta, e puoi disattivare un indirizzo @catchnone.com trapelato, così la posta torna al mittente mentre gli altri alias continuano a funzionare.

Con Premium ottieni indirizzi @catchnone.com casuali come abcde-12345@catchnone.com, senza dominio, DNS o casella da configurare, e viene attribuita all’alias giusto anche la posta ricevuta in copia nascosta (Ccn). Oppure usa un dominio di tua proprietà la cui posta il tuo provider consegna già in una casella: l’app legge quella casella in sola lettura, tramite IMAP o JMAP, direttamente dal tuo dispositivo, con fino a 10 alias con il piano Gratuito e nessun limite con Lite e Premium. CatchNone è disponibile per iPhone, iPad e Mac.

Funziona in avanti, non a ritroso sugli indirizzi che hai usato in passato, e non ha un database di violazioni né un sistema di rilevamento delle fughe di dati: i badge e le note di Attività sono indizi che spetta a te valutare. Sul tuo dominio legge solo la posta in arrivo, e solo i messaggi in cui i campi A, Cc o Ccn riportano un indirizzo del tuo dominio, quindi lo spam finito nella posta indesiderata non comparirà. Lì, segnare un alias come non in uso serve solo a etichettarlo, quindi blocca l’indirizzo trapelato presso il tuo provider. I messaggi @catchnone.com vengono eliminati 30 giorni dopo l’arrivo: contrassegna quelli che ti servono come prova per conservarne il testo completo sul tuo dispositivo.

Domande frequenti

Cosa devo fare se un’azienda ha lasciato trapelare il mio indirizzo email?

Cerca l’indirizzo su Have I Been Pwned per vedere in quale violazione compare e cos’altro è trapelato insieme. Cambia la password di quel sito e di tutti i siti in cui l’hai riutilizzata, e attiva l’autenticazione a due fattori. Aspettati email di phishing che citano i dati trapelati e non seguire i link nei messaggi che parlano della violazione. Se avevi dato a quell’azienda un indirizzo tutto suo, dismettilo e dagliene uno nuovo.

LinkedIn o Google vendono il mio indirizzo email?

Nessuna delle due dice di vendere le tue informazioni personali, ma LinkedIn dichiara di condividerle per la pubblicità cross-context. La sua informativa sulla privacy per la California afferma “Non vendiamo le tue informazioni personali” e consente ai residenti in California di opporsi a questa condivisione. Il Safety Center (Centro sicurezza) di Google afferma “Non vendiamo mai a nessuno le tue informazioni personali”, e la sua informativa sulla privacy (in vigore dal 26 maggio 2026) dice che condivide informazioni personali al di fuori di Google solo nei casi elencati, il primo dei quali è con il tuo consenso. Tutte e tre le pagine sono state controllate il 25 settembre 2026. Per le altre aziende, leggi l’informativa e considera separatamente “vendere” e “condividere”.

Chi compra gli indirizzi email?

Data broker, list broker (intermediari di liste) e operatori di marketing; i registri statali citati sopra elencano i broker registrati. Il commercio può avvenire alla luce del sole: nel caso Österreichische Post, l’operatore postale austriaco ha dichiarato di offrire dati personali “a partner commerciali per finalità di marketing”, e in seguito ha elencato tra i destinatari anche “fornitori di mailing list”. Quel caso riguardava dati detenuti da un operatore postale, non indirizzi email.