登録してないのに迷惑メールが届く理由：アドレスが漏れる7つの経路

迷惑メール業者（スパマー）は、情報漏洩、企業が販売・共有する名簿、ウェブサイトや公開プロフィールのスクレイピング（自動収集）、よくある名前の推測、他人のアドレス帳、古いドメイン登録情報からメールアドレスを手に入れます。そのうえで、開封、クリック、返信を見て、どのアドレスが実際に使われているかを確かめます。どこにも登録してない、誰にも教えていないアドレスでも、推測やスクレイピング、他人の連絡先を通じて迷惑メールが届くことがあります。これらの経路のうち、自分で防げるのは一部だけです。自分から始まる経路については、CatchNoneが、iPhone、iPad、Macでショップやメルマガごとに専用のアドレスを用意し、各メッセージがどのアドレスに届いたかを表示します。そのため、情報漏洩や名簿の販売があれば、その出どころがわかります。

迷惑メールはどこから来る？アドレスが知られる7つの経路

1. 情報漏洩と、そこから作られたパスワードのリスト。
2. 名簿の販売と共有：データブローカー（名簿業者）や「提携企業」を通じて。
3. スクレイピング：ウェブページ、SNSのプロフィール、コードから。
4. 推測：よくある名前を試す。特に、どんなアドレスでも受け付けるドメインで。
5. 他人のアドレス帳：連絡先のアップロード、マルウェア、長いCcのやり取り。
6. 古いWHOISレコード：2018年より前のもの。
7. 確認：トラッキング画像、クリック、返信、空のテストメールで、アドレスが使われていることを確かめる。

情報漏洩とコンボリスト

企業が不正アクセスを受けると、顧客リストも一緒に流出することがあります。そのサービスを今も使っているかどうかは関係ありません。Have I Been Pwned（HIBP）には、2026年9月25日時点で1,038件の情報漏洩と、178億件を超える漏洩アカウントの記録が登録されていました。この合計は、1つのアドレスを含まれている漏洩ごとに1回ずつ数えているため、人数ではなくアカウント数を表しています。自分のアドレスを検索すると、どの漏洩に含まれているか、それがいつ起きたか、何が流出したかがわかります。どれにも含まれていなければ、名簿の販売、スクレイピング、推測のほうが可能性は高いでしょう。

漏洩したアドレスは使い回されます。コンボリストとは、過去の漏洩から集めたメールアドレスとパスワードの組み合わせで、リスト型攻撃（クレデンシャルスタッフィング）、つまり同じパスワードをほかのサイトで試す攻撃に使われます。HIBPはCollection #1（2019年）を、「7億7,300万件の重複のないメールアドレスと、それらのアドレスがほかの漏洩したサービスで使っていたパスワード」と説明しています。3つ目の出どころはスティーラーログ（情報窃取型マルウェアの記録）です。感染したデバイス上のマルウェアが、「メールアドレス、パスワード、そしてログイン時にそれらが入力されたウェブサイト」を記録します。

防げるか：いいえ。ただし、1件の漏洩で流出する範囲は限定できます。サイトごとに別のパスワードを使い、メールアカウントで二段階認証を設定し、会社ごとに別のアドレスを使えば、漏洩してもメインのアドレスではなく予備のアドレス1つで済みます。HIBPの無料のNotify Me（通知を受け取る）アラートは、次の漏洩が起きたときに知らせてくれます。

名簿の売買、データブローカー、「提携企業」

米連邦取引委員会（FTC）ははっきりこう述べています。「企業にメールアドレスを伝えると、その企業はアドレスを第三者と共有したり、第三者に販売したりする可能性があります」。登録フォームも、この売買の材料になります。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、ほかの商品に関するメールを受け取るオプションが初期状態で選択されていることがあり、「選択を外さなければ、それらのリストからもメールが届くようになる可能性があります」と指摘しています。懸賞、謝礼付きアンケート、ギフトカードのキャンペーンも同じです。HIBPによると、迷惑メールのリストは、「金銭的な見返りを約束して人々から個人情報を引き出す」ことで集められることがよくあります。

メールアドレスを買うのは誰でしょうか。マーケティング担当者は名簿販売業者やデータブローカーから買い、迷惑メール業者は業者どうしで売り買いします。SpamhausのFAQ（一般利用者向け）は、入手元の1つとして「ほかのスパマーから購入した」アドレスを挙げています。企業向けの名簿は、それ自体が1つの商品です。2016年には、Dun & BradstreetのNetProspexサービスに由来する、米国企業に勤める3,300万人以上の名簿がネット上に流出しました。D&Bは、名簿を購入した顧客から流出したものとみていました。

米国のCAN-SPAM法では、広告メールの送信に受信者の同意は必要ありません。ただし、受信を拒否（オプトアウト）すると、企業は10営業日以内にメールの送信を止めなければならず、申し出た時点から、そのアドレスを「販売または譲渡することはできません」。

防げるか：一部は防げます。あらかじめ選択されているチェックボックスを外し、読んでいない広告メールは配信停止にして、会社ごとに専用のアドレスを渡しておけば、次に売られたときに誰が売ったかがわかります。ヘッダーの確認、情報漏洩の確認、個人データの開示請求については、メールアドレスを売った会社を調べる方法で詳しく説明しています。

スクレイピング：ウェブサイト、プロフィール、コード

「スパマーは、ウェブサイトに掲載されたメールアドレスなら、どれでも収集できます」とCISAは警告しています。2002年のFTCの実験では、ウェブページに掲載したアドレスの86%に6週間以内に迷惑メールが届き、チャットルームに書き込んだあるアドレスには、初めて使ってから9分後に迷惑メールが届きました（ICANNが再掲した結果）。ページ上のどこに書かれていたかは関係なく、「アドレスに『@』記号が含まれていれば、迷惑メールが届いた」とされています。

プロフィールは大規模に収集されています。HIBPによると、2021年には攻撃者が数億件の公開されたLinkedInのプロフィールをスクレイピングし、重複のないメールアドレス約1億2,500万件を手に入れました。また、メールアドレスとアカウントを照合するTwitterのAPIも悪用され、その方法で集められた2億件を超える記録が2023年に出回りました。

公開されたコードからもアドレスがわかります。Gitのコミットには、どれも作成者のメールアドレスが含まれているからです。GitHubでは、「Settings」（設定）＞「Emails」（メール）を開き、「Keep my email addresses private」（メールアドレスを非公開にする）と「Block command line pushes that expose my email」（メールアドレスを公開するコマンドラインからのプッシュをブロックする）を選択します。そのうえで、パソコンのGitに、その画面に表示される@users.noreply.github.comのアドレスを設定します。変更前のコミットは「引き続き以前のメールアドレスに関連付けられます」（GitHub Docs）。詳しい手順は、GitHubやGitLabのコミットにアドレスを残さない方法を参照してください。

防げるか：これから先の分は防げます。CISAの助言どおり、メインのアドレスは公開ページに載せず、代わりに問い合わせフォームや別のアドレスを使い、SNSのプロフィールはメールアドレスを信頼できる人だけが見られるように設定しましょう。すでに収集されたアドレスは、出回ったままです。

推測：アドレスは推測だけで知られる？

はい。しかも名簿は必要ありません。ICANNのセキュリティ委員会は、2007年にこの手口を説明しています。迷惑メール業者は「よくある名や姓を単独で、または組み合わせて」試したり、文字のあらゆる組み合わせを試したりして、メールサーバーが受け付けたアドレスを残します。これはディレクトリハーベスト攻撃と呼ばれます。委員会のあるテストでは、迷惑メールの70%が、テスト用ドメインにある、一度もどこにも公開していないアドレスに届きました。短くてよくある名前がいちばん狙われやすく、会社がfirst.last@example.comの形式を使っていれば、誰でも社員のアドレスを組み立てられます。

キャッチオール設定は、推測されたアドレスをすべて受け付けます。自分のドメインがどんなアドレス宛てのメールでも届ける設定なら、admin@example.comやinfo@example.com宛てのメールは、そのアドレスを使ったことがあるかどうかに関係なく届きます。addy.ioのFAQは「スパマーやボットは、ランダムなメールアドレスを試すことがよくあります」と警告しており、cPanelも、迷惑メール業者にドメインを狙われると、キャッチオールアドレスには「大量の迷惑メールが届く可能性があります」としています。メリットとデメリットは、キャッチオールメールアドレスとは？で詳しく説明しています。

防げるか：一部は防げます。短くてよくあるアドレスは推測されやすいままですが、次に作るアドレスまでそうである必要はありません。英国の個人情報保護機関ICOの助言どおり、推測されにくいアドレスを選びましょう。自分のドメインでは、キャッチオール設定をオフにすれば、推測されたアドレス宛てのメールは届かなくなります。キャッチオール設定を残す場合は、推測された名前をメールサービス側でブロックします。たとえばCloudflare Email Routing（メールルーティング）では、「Compute」＞「Email Service」＞「Email Routing」＞「Routing Rules」（ルーティングルール）を開き、そのアドレスに対して、アクションを「Drop」（破棄）にしたルールを追加します。Dropは「ルールに一致したメールを、ルーティングせずに削除します」。Cloudflareによると、送信者からはそのアドレスが引き続き有効に見えます。テストメールを送って、そのルールがキャッチオール設定より優先されることを確認してください。

他人のアドレス帳と受信ボックス

メールをやり取りした相手の連絡先には、どれも自分のアドレスが入っています。そのコピーは自分では管理できません。

• 連絡先のアップロード：誰かがFacebook、Messenger、Instagramと連絡先を同期すると、Metaは「アドレス帳にある名前、電話番号、メールアドレス」を毎日アップロードします。そこにはMetaのアプリを使っていない人の情報も含まれます。それだけで迷惑メール業者の手に渡るわけではありませんが、Metaによると、2019年9月より前には、スクレイピングを行う者が連絡先のインポート機能を悪用し、電話番号とアカウントを照合していました。
• 他人のパソコンのマルウェア：マルウェアのEmotetは、「Outlookからメールアドレスを収集」し、実際のメールのやり取りを乗っ取って拡散することができました（CISAの勧告AA20-280A）。
• Ccのやり取りとメーリングリスト：長い転送メールには、スレッド内のすべてのアドレスが含まれます。ICANNのセキュリティ委員会は、迷惑メール業者がメーリングリストに参加し、From、Reply-To、Ccの各ヘッダーからアドレスを集める手口を説明しています。
• 誰かに勝手に登録される：Gmailのヘルプでは、他人が誤って、または故意にアドレスを使い、「プロモーションやニュースレターなどのメールに登録する」ことがあると説明しています。

防げるか：直接は防げません。複数の人に送るメールではBccを使い、転送する前にスレッドからほかの人のアドレスを削除して、周りの人にも同じようにしてもらいましょう。

古いWHOISレコード

以前は、ドメインの登録情報で所有者のメールアドレスが公開されていました。2007年、ICANNのセキュリティ委員会は、WHOISに載ったアドレスには「迷惑メールが届くことがほぼ確実」だと結論づけています。

この経路はほぼふさがれています。2018年5月25日から、ICANNの暫定仕様（Temporary Specification）により、レジストラ（ドメイン登録サービス）は欧州に関係する登録について連絡先情報を伏せることになり、それ以外の地域でも伏せることが認められました。代わりに、中継用のアドレスやウェブフォームが提供されます。2021年のInterisleの調査では、.comなどの汎用ドメインのうち、実際の登録者名がまだ載っていたのは13.5%だけでした。2025年8月21日に施行されたICANNの恒久的な登録データポリシー（Registration Data Policy）も、同じ仕組みを引き継いでいます。

ただし、公開に同意した場合、組織や欧州以外の登録者の情報を公開しているレジストラ、一部の国別コードドメインの独自ルール、2018年より前の記録を集めた有料のアーカイブでは、この経路が今も残っています。

防げるか：初期状態でほぼふさがれています。ドメインを持っている場合は、ICANN Lookupで検索して何が公開されているかを確認し、レジストラのプライバシー保護オプションをオンのままにして、連絡先の公開には同意しないようにしましょう。

確認：開封、クリック、返信、空メール

アドレスは、使われていることがわかると価値が上がります。SpamhausのFAQ（一般利用者向け）によると、スパマーは「使われているアドレスを『配信確認済み』のアドレスとして、さらに別のスパマーに高値で売ります」。アドレスの確認には、次のような方法が使われます。

• トラッキング画像：「メールソフトが業者のウェブサーバーから画像をダウンロードすると、スパマーはメッセージが開封されたことを知ります」（CISA）。
• クリックと返信：「リストから削除して」という依頼も含め、クリックや返信をすれば、誰かがそのアドレスを読んでいることが確認されます。
• 配信停止リンク：ワンクリックで登録解除するための規格RFC 8058は、配信停止が「メッセージの送信先アドレスが有効だったことを、送信者に強く示唆する」と指摘しています。
• 空メール：Gmailのヘルプによると、「迷惑メールの送信者は、メールアドレスが有効かどうかを確認するために、本文や件名のないメールを送ることがよくあります」。有効だったアドレスには、あとから迷惑メールが届きます。

防げるか：はい。知らない相手からのメールには、返信もクリックも配信停止もせず、迷惑メールとして報告しましょう。知っているブランドや自分で登録したブランドのメールは、Gmailが勧めるようにメールアプリの「登録解除」ボタンを使うか、ICOの助言どおりメッセージ内の配信停止の手続きを使います。送信者ごとの判断基準は、配信停止リンクが安全なときにまとめています。

次に、画像から開封を知られないようにします。iPhone（iOS 27）の「メール」では、「設定」＞「アプリ」＞「メール」＞「プライバシー保護」で、「“メール”でのアクティビティを保護」をオンにします。画像がバックグラウンドで非公開に読み込まれるため、メッセージを読んだかどうかや、いつ読んだかが送信者にはわからなくなります（Appleのガイド）。パソコンのGmailでは、「設定」＞「すべての設定を表示」を開き、「Images」（画像）を「Ask before displaying external images」（外部画像を表示する前に確認する）に設定して、「Save Changes」（変更を保存）をクリックします（Googleのヘルプ）。どちらも、リンクや添付ファイルには効果がありません。ほかのメールアプリでの手順と、それぞれの方法でまだ何が伝わるかは、トラッキングピクセルをブロックする方法で説明しています。

どの経路で届いたかを見分ける方法

Bccはほかの受信者を隠します。Gmailのヘルプによると、「迷惑メールの送信者は、返信させようとして『Bcc』欄にランダムなメールアドレスを追加することがあります」。返信はしないでください。

迷惑メールのリストを確認したり、リストから外れたりできる？

迷惑メールの受信者を集めた公式のリストはなく、迷惑メール業者が独自に持つリストから外れる方法もありません。流出したスパマーのリストに自分のアドレスが含まれていたかどうかは確認できます。Have I Been Pwnedで検索してください。2026年9月25日時点で、こうしたリストが16件登録されています。最大のものはOnliner Spambot（7億1,100万件のアドレス、2017年）とRiver City Media（3億9,300万件、2017年）です。検索結果にこうした名前があれば、スパマーがアドレスを持っていたということです。

ブロックリストは別物で、迷惑メールがどこから来るかを追跡するものです。Spamhausはブロックリストを「IPアドレス、ドメイン、またはハッシュを収めたデータベース」と定義しています。それぞれ、迷惑メールの送信やその他の害が確認されたか、評判が悪いことを理由に登録されています。SpamhausのHash Blocklistにはメールアドレスが含まれることもありますが、それは乗っ取られたアカウントのように、迷惑メールを送信しているアドレスや迷惑メールの中に現れるアドレスです。MxToolboxのBlacklist Checkのようなブロックリストの確認ツールが調べるのは、メールサーバーのIPアドレスで、自分のメールアドレスではありません。

メール版の受信拒否リスト（Do Not Email）も役に立ちません。2004年、FTCは米議会に対し、そうした登録簿はおそらく逆効果になると報告しました。「スパマーはそうした登録簿を、有効なメールアドレスの名簿として使う」からです（FTC）。Spamhausは、スパマーのリストから削除すると約束する有料サービスを、「よくて詐欺、悪ければスパマーのための『有効なアドレス』の確認システム」と呼んでいます。

現実にある選択肢のうち最も近いものでも、届くのは法律を守る事業者だけで、スパマーには届きません。2026年9月時点では、次のものがあります。

• カリフォルニア州のDROP（Delete Request and Opt-out Platform）を使うと、カリフォルニア州の住民は、登録済みの600社を超えるデータブローカーに、1回の無料の削除請求を送れます。データブローカーは少なくとも45日ごとに請求を処理しなければなりません。直接取引した企業には届きません（DROPの利用規約）。
• 全米広告主協会（ANA）のEmail Preference Service（DMAchoice.orgからリンクされています）は無料で、10年間有効です（FTC）。ただし、届くのは、リストの整理にこのサービスを使うマーケティング事業者だけです。

メールアドレスだけで何ができるのか

パスワードがなければ、心配するほど多くのことはできません。アドレスだけでできるのは、次のようなことです。

• 本物らしく見えるフィッシングメールを送る（情報漏洩で得た詳しい情報があれば、なおさら本物らしくなる）
• ほかのサイトから漏洩したパスワードで、アカウントへのログインを試す
• 以前のTwitterのAPIのように、どのサービスを使っているかを調べる
• 頼んでもいないメールに勝手に登録する
• 転売する（使われていることが確認されれば、より高く売れる）

詐欺師がメールアドレスを欲しがるのはなぜ？

受信ボックスに入り込むための第一歩だからです。メールアカウントに入り込んだ犯罪者は、「ほかのすべてのアカウントのパスワードを再設定」できてしまいます。英国の国家サイバーセキュリティセンター（NCSC）は、メールには強力で、ほかと使い回さないパスワードを設定し、さらに二段階認証を使うよう勧めています。

自分のアドレスが送信者として表示された迷惑メールが届いても、誰かがアカウントに入り込んだ証拠にはなりません。Fromの行は簡単に偽装できるからです。Gmail、Outlook.com、iCloudメールでの確認方法は、メールアカウントが乗っ取られていないか確認する方法で順を追って説明しています。

メールアドレスを人に教えても安全？

たいていは安全です。アドレスはパスワードではなく、知られてもアカウントを開けられるわけではありません。メインのアドレスは、知人や、銀行のように頼りにしている会社に教えましょう。ショップ、メルマガ、一度きりの登録には会社ごとに別のアドレスを使えば、情報漏洩や名簿の販売がメインのアドレスに及ばずに済みます。メインのアドレスは、そもそも公開の場に載せないようにしましょう。

迷惑メール業者にアドレスを知られないために：防げる経路はどれか

会社ごとのアドレスを用意する方法はいくつかあります。CatchNoneは、会社ごとに専用のメールエイリアスを用意し、そのメールをメインの受信ボックスから切り離して、各メッセージに届いたエイリアスをバッジで表示します。そのため、漏洩や販売があればわかります。すぐに始められるのは、メールサービスが対応していればプラスアドレス（you+shop@example.comのように「+」を使うアドレス）です。ただし、タグは誰でも削除できるため、漏れた先がわかるのは、送信者がわざわざタグを取り除かなかった場合だけです。Appleの「メールを非公開」（iCloud+の機能）やDuckDuckGo Email Protectionなどのメールエイリアスサービスは、メールを受信ボックスに転送します。自分のドメインでキャッチオール設定を使う方法もありますが、前述のとおり推測されやすくなるというデメリットがあります。違いはメールエイリアスサービスの比較にまとめています。

CatchNoneの位置付け

CatchNoneは、自分でアドレスを渡すところから始まる経路に効果があります。ショップ、メルマガ、アカウントごとに専用のエイリアスを割り当て、どのメールにも届いたエイリアスがバッジで表示されるため、漏洩したり売られたりしたアドレスから、その出どころがわかります。「アクティビティ」では、未使用のエイリアスに届いたメールや、初めての送信者が示されます。リモート画像（大半のトラッキングピクセルを含む）は、読み込むまで表示されません。@catchnone.comのアドレスにはPremiumが必要で、abcde-12345@catchnone.comのようにランダムに割り当てられるため、推測されることはまずありません。そこで存在しないアドレス宛てのメールは、受け取ったうえで破棄されるため、推測する側には何もわかりません。漏れたアドレスをオフにすれば、送信者にはバウンスメールが返ります。自分のドメインでは、推測されてキャッチオール設定で届いたメールが、届いたアドレスの下にグレーのバッジ付きで表示されるため、辞書攻撃による迷惑メールをすぐに見分けられます。CatchNoneをダウンロード（iPhone、iPad、Mac向け）。

CatchNoneは受信専用で、迷惑メールフィルターではありません。登録用のメールを専用のアプリにまとめてメインの受信ボックスから切り離し、各メッセージがどのエイリアスに届いたかを表示します。自分のドメインでは、エイリアスを「未使用にする」のは整理用のラベルにすぎないため、アドレスのブロックはメールサービス側で行ってください。

よくある質問

どこにも登録してないのに迷惑メールが届くのはなぜ？

いちばん考えられるのは、推測された、アドレスが載っていたページやプロフィール、コードのコミットからスクレイピングされた、他人のアドレス帳から取られた、または以前に登録して忘れている会社から、その会社の情報漏洩や名簿の販売を通じて手に入れられた、のいずれかです。見分け方の表で、見えていることから考えられる経路を確認できます。

知らない会社からメールが届くのはなぜ？

たいていは、実際に取引した会社が「提携企業」と共有したり、販売したりしたものです。登録時にあらかじめ選択されたチェックボックスをそのままにしていたことが、きっかけになっている場合がよくあります。データブローカーもアドレスを集めて販売しています。どの会社だったかを突き止める方法は、名簿の売買とデータブローカーの項でリンクしているガイドで説明しています。

迷惑メール業者は仕事用のメールアドレスをどうやって知るのか

マーケティング担当者向けに販売されている企業の連絡先リスト、勤務先のウェブサイト、そして社内のアドレスの命名規則の推測から知ります。HIBPには、流出した企業向けの名簿がいくつか登録されています。たとえばB2B USA Businessesは、アドレスを勤務先と役職で分類していました。英国では、ICOによると、組織は同意がなくても仕事用のアドレスに広告メールを送れます。ただし、そのアドレスから個人が特定できる場合は別で、送信をやめるよう求めることができます。