스팸메일 오는 이유: 스패머가 주소를 얻는 7가지 경로

스팸 메일이 오는 이유는 스패머가 여러 경로로 이메일 주소를 얻기 때문입니다. 데이터 유출, 회사가 판매하거나 공유하는 명단, 웹사이트와 공개 프로필 크롤링, 흔한 이름 추측, 다른 사람의 주소록, 오래된 도메인 등록 기록이 그 경로입니다. 그런 다음 메일을 열거나 링크를 클릭하거나 답장하는지 지켜보며 어느 주소가 실제로 쓰이는지 확인합니다. 추측이나 크롤링, 다른 사람의 연락처를 통해 한 번도 알려 준 적 없는 주소로도 스팸 메일이 올 수 있으며, 이 경로 가운데 내가 막을 수 있는 것은 일부뿐입니다. 내게서 시작되는 경로라면, CatchNone이 iPhone, iPad, Mac에서 쇼핑몰과 뉴스레터마다 전용 주소를 주고 각 메시지가 어느 주소로 왔는지 보여 주므로, 유출이나 명단 판매가 일어나면 그 출처가 드러납니다.

스팸 메일이 오는 이유: 스패머가 이메일 주소를 얻는 7가지 경로

1. 데이터 유출, 그리고 유출된 데이터로 만든 비밀번호 목록.
2. 데이터 브로커와 “제휴사”를 통한 명단 판매와 공유.
3. 웹 페이지, 소셜 미디어 프로필, 코드 크롤링.
4. 흔한 이름 추측. 어떤 주소로 온 메일이든 받는 도메인이 특히 표적이 됩니다.
5. 다른 사람의 주소록: 연락처 업로드, 악성코드, 참조(Cc)가 길게 이어진 메일.
6. 2018년 이전의 오래된 WHOIS 기록.
7. 확인: 주소가 살아 있음을 증명하는 추적 이미지, 클릭, 답장, 빈 테스트 메일.

데이터 유출과 콤보 리스트

회사가 해킹당하면 고객 명단도 함께 유출될 수 있습니다. 내가 그 서비스를 아직 쓰는지와는 상관없습니다. Have I Been Pwned(HIBP)에는 2026년 9월 25일 기준으로 유출 사고 1,038건과 유출된 계정 기록 178억 건 이상이 등록되어 있습니다. 이 합계는 한 주소를 그 주소가 포함된 유출 사고마다 한 번씩 세므로, 사람 수가 아니라 계정 수를 나타냅니다. 이 사이트에서 내 주소를 검색해 어느 유출 사고에 포함되었는지, 사고가 언제 일어났는지, 무엇이 노출되었는지 확인하세요. 어느 유출 사고에도 없다면 명단 판매, 크롤링, 추측일 가능성이 더 높습니다.

유출된 주소는 다시 쓰입니다. 콤보 리스트는 이전 유출 사고에서 모은 이메일과 비밀번호 쌍으로, 같은 비밀번호를 다른 사이트에 넣어 보는 크리덴셜 스터핑(credential stuffing)에 쓰입니다. HIBP는 Collection #1(2019년)을 “고유 이메일 주소 7억 7,300만 개와, 그 주소들이 다른 유출 서비스에서 사용한 비밀번호”라고 설명합니다. 세 번째 출처는 스틸러 로그(stealer log)입니다. 감염된 기기의 악성코드가 “로그인할 때 입력한 이메일 주소와 비밀번호, 그리고 그 정보를 입력한 웹사이트”를 기록합니다.

막을 수 있나요? 아니요. 다만 유출 사고 한 번으로 노출되는 범위는 줄일 수 있습니다. 사이트마다 다른 비밀번호를 쓰고, 메일 계정에 2단계 인증을 켜고, 회사마다 다른 주소를 주세요. 그러면 유출 사고가 나도 주 이메일 주소 대신 여분의 주소 하나만 노출됩니다. HIBP의 무료 Notify Me(알림 신청)를 이용하면 다음 유출 사고 소식을 받을 수 있습니다.

명단 판매, 데이터 브로커, “제휴사”

미국 연방거래위원회(FTC)는 분명하게 말합니다. “회사에 이메일 주소를 알려 주면, 회사는 그 주소를 제3자와 공유하거나 제3자에게 판매할 수 있습니다.” 가입 양식도 같은 거래에 주소를 공급합니다. 미국 사이버보안·인프라보안청(CISA)은 다른 제품에 관한 메일을 받겠다는 옵션이 기본으로 선택되어 있는 경우가 있으며, “선택을 해제하지 않으면 그 명단에서 오는 메일도 받기 시작할 수 있다”고 지적합니다. 경품 추첨, 유료 설문조사, 기프트 카드 이벤트도 이 거래에 주소를 공급합니다. HIBP에 따르면 스팸 명단은 “금전적 보상을 약속하며 사람들에게서 개인정보를 끌어내는” 방식으로 모이는 경우가 많습니다.

이메일 주소는 누가 살까요? 마케터는 명단 판매업체와 데이터 브로커에게서 사고, 스패머는 서로에게서 삽니다. Spamhaus의 일반 사용자용 FAQ는 스패머가 주소를 얻는 출처 중 하나로 “다른 스패머에게서 산” 주소를 꼽습니다. 기업 명단은 그 자체로 하나의 상품입니다. 2016년에는 Dun & Bradstreet의 NetProspex 서비스에서 나온, 미국 기업에 근무하는 3,300만 명 이상의 명단이 온라인에 유출되었고, D&B는 이 명단을 구매한 고객 쪽에서 유출된 것으로 보았습니다.

미국의 CAN-SPAM은 마케팅 메일을 보낼 때 동의를 요구하지 않습니다. 하지만 수신을 거부하면 회사는 영업일 기준 10일 안에 메일 발송을 중단해야 하며, 요청한 순간부터 내 주소를 “판매하거나 넘길 수 없습니다”.

막을 수 있나요? 일부는 막을 수 있습니다. 미리 선택된 체크 상자는 해제하고, 읽지 않는 마케팅 메일은 수신을 거부하고, 회사마다 다른 주소를 주세요. 그러면 다음에 주소가 팔렸을 때 누가 팔았는지 드러납니다. 헤더 확인, 유출 사고 확인, 개인정보 열람 요청은 내 이메일 주소를 판 곳을 알아내는 방법에서 자세히 다룹니다.

이메일 크롤링: 웹사이트, 프로필, 코드

CISA는 “스패머는 웹사이트에 올라온 이메일 주소라면 무엇이든 수집할 수 있다”고 경고합니다. 2002년 FTC 실험에서는 웹 페이지에 올린 주소의 86%가 6주 안에 스팸 메일을 받았고, 채팅방에 올린 한 주소는 처음 사용한 지 9분 만에 스팸 메일을 받았습니다(ICANN이 다시 실은 결과). 주소가 페이지의 어디에 있는지는 상관이 없었습니다. “주소에 ‘@’ 기호가 들어 있으면 스팸 메일이 왔습니다.”

프로필은 대규모로 크롤링됩니다. HIBP에 따르면 2021년 공격자들이 LinkedIn 공개 프로필 수억 개를 크롤링해 고유 이메일 주소 약 1억 2,500만 개를 얻었습니다. 공격자들은 이메일 주소를 계정과 대조해 주는 Twitter API도 악용했고, 이렇게 모은 기록 2억 건 이상이 2023년에 드러났습니다.

공개된 코드도 주소를 드러냅니다. 모든 Git 커밋에는 작성자의 이메일 주소가 들어 있습니다. GitHub에서 ‘Settings’(설정) > ‘Emails’(이메일)로 이동해 ‘Keep my email addresses private’(내 이메일 주소를 비공개로 유지)와 ‘Block command line pushes that expose my email’(내 이메일을 노출하는 명령줄 푸시 차단)을 선택한 다음, 컴퓨터의 Git에 그 화면에 표시된 @users.noreply.github.com 주소를 설정하세요. 설정을 바꾸기 전에 만든 커밋은 “여전히 이전 이메일 주소와 연결되어 있습니다”(GitHub Docs). 전체 단계는 GitHub와 GitLab 커밋에서 내 주소를 숨기는 방법을 참고하세요.

막을 수 있나요? 앞으로는 막을 수 있습니다. CISA의 조언대로 주 이메일 주소는 공개 페이지에 올리지 말고 대신 문의 양식이나 별도의 주소를 쓰며, 소셜 미디어 프로필은 신뢰하는 사람만 내 이메일 주소를 볼 수 있게 설정하세요. 이미 크롤링된 주소는 계속 유통됩니다.

추측: 스패머가 내 주소를 그냥 맞힐 수도 있나요?

네, 게다가 명단도 필요 없습니다. ICANN 보안위원회는 2007년에 그 방법을 설명했습니다. 스패머는 “흔한 이름과 성을 하나씩, 또는 이어 붙여” 시도하거나 가능한 모든 문자 조합을 시도한 다음, 메일 서버가 받아들이는 주소를 남깁니다. 이를 디렉터리 수집 공격(directory harvest attack)이라고 합니다. 위원회의 한 테스트에서는 스팸 메일의 70%가 테스트 도메인에서 어디에도 공개된 적 없는 주소로 왔습니다. 짧고 흔한 이름이 가장 쉬운 표적이며, 회사의 first.last@example.com 같은 패턴을 알면 누구나 그 회사 직원의 주소를 만들어 낼 수 있습니다.

캐치올(catch-all) 주소는 추측한 주소를 모두 받아들입니다. 내 도메인이 어떤 주소로 온 메일이든 배달한다면, admin@example.com이나 info@example.com으로 보낸 메일은 내가 그 주소를 쓴 적이 있든 없든 나에게 도착합니다. addy.io FAQ는 “스패머와 봇은 무작위 이메일 주소를 시도하는 경우가 많다”고 경고하고, cPanel은 스패머가 도메인을 노릴 때 캐치올 주소가 “많은 양의 스팸 메일을 받을 수 있다”고 설명합니다. 장단점은 캐치올 이메일 주소란?에서 자세히 다룹니다.

막을 수 있나요? 일부는 막을 수 있습니다. 짧고 흔한 주소는 계속 추측당할 수 있지만, 다음에 만들 주소까지 그럴 필요는 없습니다. 영국 ICO의 조언대로 추측하기 어려운 주소를 고르세요. 내 도메인에서는 캐치올을 끄면 추측한 주소로 오는 메일이 더는 도착하지 않습니다. 캐치올을 계속 쓴다면 추측당한 이름을 호스트에서 막으세요. 예를 들어 Cloudflare Email Routing(이메일 라우팅)에서는 ‘Compute’(컴퓨팅) > ‘Email Service’(이메일 서비스) > ‘Email Routing’ > ‘Routing Rules’(라우팅 규칙)로 이동해 그 주소에 대한 규칙을 추가하고 작업을 ‘Drop’(폐기)으로 지정하세요. 이 작업은 “규칙과 일치하는 메일을 라우팅하지 않고 삭제합니다.” Cloudflare는 보낸 사람에게는 그 주소가 여전히 유효한 것처럼 보인다고 설명합니다. 테스트 메일을 보내 이 규칙이 캐치올보다 우선 적용되는지 확인하세요.

다른 사람의 주소록과 받은 편지함

내 주소는 내가 메일을 보낸 적 있는 모든 사람의 연락처에 들어 있으며, 그 사본은 내 손을 떠나 있습니다.

• 연락처 업로드. 누군가 Facebook, Messenger, Instagram과 연락처를 동기화하면, Meta는 “주소록에 있는 이름, 전화번호, 이메일 주소”를 매일 업로드하며, 여기에는 Meta 앱을 쓰지 않는 사람의 정보도 포함됩니다. 그것만으로 주소가 스패머에게 넘어가지는 않지만, Meta는 2019년 9월 이전에 데이터를 긁어 가는 이들이 연락처 가져오기 기능을 악용해 전화번호를 계정과 대조했다고 밝혔습니다.
• 다른 사람 컴퓨터의 악성코드. Emotet 악성코드는 “Outlook에서 이메일 주소를 긁어 오고” 실제 메일 스레드를 가로채 퍼질 수 있었습니다(CISA 권고 AA20-280A).
• 참조(Cc) 체인과 메일링 리스트. 길게 전달된 메일에는 스레드에 등장한 모든 주소가 들어 있으며, ICANN 보안위원회는 스패머가 메일링 리스트에 가입해 From, Reply-To, Cc 헤더에서 주소를 모은다고 설명했습니다.
• 누군가 나를 가입시키는 경우. Gmail 도움말에 따르면 사람들이 실수로 또는 고의로 내 주소를 사용해 “프로모션이나 뉴스레터 같은 이메일을 신청”하기도 합니다.

막을 수 있나요? 직접 막을 수는 없습니다. 단체 메일은 숨은참조(Bcc)로 보내고, 메일을 전달하기 전에는 스레드에서 다른 사람의 주소를 지우고, 다른 사람에게도 그렇게 해 달라고 부탁하세요.

오래된 WHOIS 기록

예전에는 도메인 등록 기록에 소유자의 이메일 주소가 공개되었습니다. 2007년 ICANN 보안위원회는 WHOIS에 올라간 주소로는 “스팸 메일이 올 것이 사실상 확실하다”고 결론지었습니다.

이 경로는 대부분 막혔습니다. 2018년 5월 25일부터 ICANN의 임시 사양(Temporary Specification)에 따라 도메인 등록 업체는 유럽과 관련된 등록 정보에서는 연락처를 가려야 했고, 그 밖의 지역에서도 가릴 수 있게 되었으며, 대신 중계용 주소나 웹 양식을 제공했습니다. 2021년 Interisle 조사에서는 .com 같은 일반 도메인 가운데 13.5%만이 여전히 실제 등록자를 표시하고 있었습니다. 2025년 8월 21일부터 시행된 ICANN의 영구 등록 데이터 정책(Registration Data Policy)도 같은 방식을 유지합니다.

이 경로가 아직 남아 있는 곳도 있습니다. 내가 공개에 동의한 경우, 단체나 유럽 밖 등록자의 정보를 공개하는 등록 업체, 일부 국가 코드 도메인의 자체 규정, 그리고 2018년 이전 기록을 담은 유료 아카이브입니다.

막을 수 있나요? 기본적으로 대부분 막혀 있습니다. 도메인을 소유하고 있다면 ICANN Lookup에서 조회해 무엇이 공개되어 있는지 확인하고, 등록 업체의 개인정보 보호 옵션을 켜 두고, 연락처 공개에 동의하지 마세요.

확인: 열람, 클릭, 답장, 빈 메일

실제로 쓰이는 것으로 확인된 주소는 값이 더 나갑니다. Spamhaus의 일반 사용자용 FAQ에 따르면 스패머는 “살아 있는 주소를 ‘배달 확인됨’ 주소로 웃돈을 붙여 또 다른 스패머들에게 판매”합니다. 스패머가 주소를 확인하는 방법은 다음과 같습니다.

• 추적 이미지. “메일 앱이 스패머의 웹 서버에서 이미지를 내려받으면, 스패머는 내가 메일을 열었다는 사실을 알게 됩니다”(CISA).
• 클릭과 답장. “빼 달라”는 요청을 포함해 어떤 클릭이나 답장이든, 누군가 그 주소로 온 메일을 읽는다는 사실을 확인해 줍니다.
• 수신거부 링크. 원클릭 수신 거부 표준인 RFC 8058은 수신 거부가 “메일을 보낸 쪽에 메시지를 받은 주소가 유효하다는 강력한 단서를 준다”고 설명합니다.
• 빈 메일. Gmail 도움말에 따르면 “스팸 발송자는 이메일 주소가 유효한지 확인하기 위해 본문이나 제목에 내용이 없는 이메일을 보내는 경우가 많습니다.” 유효한 주소는 나중에 스팸 메일을 받습니다.

막을 수 있나요? 네. 모르는 사람이 보낸 메일에는 답장하거나 링크를 클릭하거나 수신 거부를 하지 말고, 스팸으로 신고하세요. 아는 브랜드나 직접 가입한 곳의 메일이라면 Gmail의 권장대로 메일 앱의 ‘수신 거부’ 버튼을 쓰거나, ICO의 조언대로 메일 안의 수신 거부 방법을 이용하세요. 보낸 사람별 판단 기준은 수신거부 링크가 안전한 경우를 참고하세요.

그다음에는 이미지 때문에 정보가 새지 않게 하세요. iPhone의 Mail 앱(iOS 27)에서는 설정 > 앱 > Mail > 개인정보 보호로 이동해 ‘Mail 앱 활동 보호’를 켜세요. 이 기능은 이미지를 백그라운드에서 비공개로 불러오므로, 보낸 사람은 내가 메일을 읽었는지, 언제 읽었는지 알 수 없습니다(Apple 가이드). 컴퓨터의 Gmail에서는 ‘Settings’(설정) > ‘See all settings’(모든 설정 보기)로 이동해 ‘Images’(이미지)를 ‘Ask before displaying external images’(외부 이미지를 표시하기 전에 확인)로 설정한 다음 ‘Save Changes’(변경사항 저장)를 클릭하세요(Google 도움말). 두 방법 모두 링크나 첨부파일은 보호하지 않습니다. 다른 메일 앱의 설정 방법과 각 앱에서 여전히 드러나는 정보는 추적 픽셀 차단 방법을 참고하세요.

어느 경로로 주소가 새었는지 구분하는 법

숨은참조(Bcc)는 다른 수신자를 숨기며, Gmail 도움말은 “스팸 발송자가 사람들의 응답을 끌어내려고 ‘숨은참조’ 필드에 무작위 이메일 주소를 넣기도 한다”고 설명합니다. 그러니 응답하지 마세요.

조회하거나 빠져나올 수 있는 스팸 명단이 있나요?

스팸 메일 수신자의 공식 명단은 없으며, 스패머가 자체적으로 가진 명단에서 빠져나올 방법도 없습니다. 유출된 스패머 명단에 내 주소가 있었는지는 확인할 수 있습니다. Have I Been Pwned에서 검색해 보세요. 2026년 9월 25일 기준으로 이런 명단 16개가 들어 있습니다. 가장 큰 것은 Onliner Spambot(주소 7억 1,100만 개, 2017년)과 River City Media(3억 9,300만 개, 2017년)입니다. 검색 결과에 이 중 하나가 나오면 스패머가 내 주소를 가지고 있었다는 뜻입니다.

차단 목록(blocklist)은 이와 다릅니다. 차단 목록은 스팸 메일이 어디서 오는지를 추적합니다. Spamhaus는 차단 목록을 “IP 주소, 도메인 또는 해시를 담은 데이터베이스”로 정의하며, 각 항목은 스팸 메일을 보내거나 다른 피해를 주는 것이 관찰되었거나 평판이 나빠서 등록됩니다. Spamhaus의 Hash Blocklist에는 이메일 주소가 들어갈 수 있지만, 해킹된 계정처럼 스팸 메일을 보내거나 스팸 메일 안에 등장하는 주소입니다. MxToolbox의 Blacklist Check 같은 차단 목록 조회 도구는 내 이메일 주소가 아니라 메일 서버의 IP 주소를 검사합니다.

메일 수신 거부 명단(do-not-email list)도 도움이 되지 않습니다. 2004년 FTC는 미 의회에 이런 등록부가 역효과를 낼 가능성이 높다고 보고했습니다. “스패머가 그런 등록부를 유효한 이메일 주소의 목록으로 사용할 것”이기 때문입니다(FTC). Spamhaus는 스패머의 명단에서 빼 주겠다고 약속하는 유료 서비스를 “잘해야 사기이고, 최악의 경우 스패머를 위한 ‘살아 있는 주소’ 확인 시스템”이라고 부릅니다.

실제로 쓸 수 있는 가장 가까운 선택지는 스패머가 아니라 법을 지키는 기업에만 효과가 있습니다. 2026년 9월 기준으로는 다음과 같습니다.

• 캘리포니아주의 DROP(Delete Request and Opt-out Platform, 삭제 요청 및 옵트아웃 플랫폼)을 이용하면 캘리포니아 주민은 등록된 데이터 브로커 600곳 이상에 무료 삭제 요청을 한 번에 보낼 수 있으며, 데이터 브로커는 최소 45일마다 요청을 처리해야 합니다. 내가 직접 거래한 회사에는 적용되지 않습니다(DROP 이용 약관).
• Association of National Advertisers(미국광고주협회)의 Email Preference Service는 DMAchoice.org에서 연결되며, 무료이고 10년 동안 유지되지만(FTC), 이 서비스로 명단을 정리하는 마케터에게만 효과가 있습니다.

이메일 주소만 알면 무엇을 할 수 있나요?

비밀번호가 없다면 걱정하는 것보다는 적습니다. 주소만 가지고 할 수 있는 일은 다음과 같습니다.

• 특히 유출 사고에서 얻은 정보를 곁들여, 진짜처럼 보이는 피싱 메일 보내기
• 다른 사이트에서 유출된 비밀번호로 내 계정에 로그인 시도하기
• 예전에 Twitter API로 가능했던 것처럼, 내가 어떤 서비스를 쓰는지 조회하기
• 요청한 적 없는 메일에 나를 가입시키기
• 주소를 되팔기(살아 있는 주소로 확인되면 더 비싸게)

사기범은 왜 이메일 주소를 노릴까요?

이메일 주소는 내 받은 편지함으로 가는 첫 단계이고, 범죄자가 내 메일 계정에 들어가면 “다른 모든 계정의 비밀번호를 재설정”할 수 있기 때문입니다. 영국 국가사이버보안센터(NCSC)는 메일 계정에 강력하고 다른 곳에 쓰지 않는 비밀번호를 쓰고, 2단계 인증도 함께 사용하라고 권합니다.

내 주소가 보낸 사람으로 표시된 스팸 메일을 받았다고 해서 누군가 계정에 침입했다는 증거는 아닙니다. From 줄은 쉽게 위조할 수 있기 때문입니다. Gmail, Outlook.com, iCloud Mail에서 확인하는 방법은 메일 계정이 해킹되었는지 확인하는 방법에서 단계별로 설명합니다.

이메일 주소를 알려 줘도 안전한가요?

보통은 안전합니다. 주소는 비밀번호가 아니며, 주소를 안다고 계정이 열리지는 않습니다. 주 이메일 주소는 사람들과, 은행처럼 내가 의지하는 회사에 알려 주세요. 쇼핑몰, 뉴스레터, 일회성 가입에는 회사마다 다른 주소를 쓰면 유출 사고와 명단 판매가 주 이메일 주소까지 미치지 않습니다. 주 이메일 주소는 아예 공개적으로 올리지 않는 것이 좋습니다.

스패머가 주소를 얻지 못하게 막는 법: 막을 수 있는 경로

회사마다 다른 주소를 마련하는 방법은 여러 가지입니다. CatchNone은 회사마다 전용 별칭을 주고, 그 메일을 주 받은 편지함 밖에 두며, 모든 메시지에 도착한 별칭을 배지로 표시하므로 유출이나 판매가 드러납니다. 더 빨리 시작할 수 있는 방법은 메일 제공업체가 지원하는 경우 플러스 주소(이름+태그@)를 쓰는 것입니다(you+shop@example.com). 하지만 태그는 누구나 지울 수 있으므로, 보낸 쪽이 굳이 태그를 지우지 않았을 때만 유출된 곳을 알 수 있습니다. Apple의 나의 이메일 가리기(iCloud+에 포함), DuckDuckGo Email Protection 등 이메일 별칭 서비스는 메일을 내 받은 편지함으로 전달합니다. 내 도메인의 캐치올 주소도 쓸 수 있지만, 앞에서 설명한 추측의 단점이 따릅니다. 서비스별 차이는 이메일 별칭 서비스 비교에서 정리했습니다.

CatchNone이 도움이 되는 부분

CatchNone은 내가 주소를 건네는 데서 시작되는 경로에 효과가 있습니다. 쇼핑몰, 뉴스레터, 계정마다 전용 별칭을 주면 모든 메시지에 도착한 별칭이 배지로 표시되므로, 유출되거나 팔린 주소가 출처를 알려 줍니다. ‘활동’은 사용하지 않는 별칭으로 온 메일과 처음 메일을 보낸 발신자를 짚어 주며, 원격 이미지와 대부분의 추적 픽셀은 불러오기 전까지 차단됩니다. @catchnone.com 주소는 Premium이 필요하며 abcde-12345@catchnone.com처럼 무작위로 배정되므로 누구도 추측할 만한 주소가 아닙니다. 그곳에 존재하지 않는 주소로 온 메일은 수신된 뒤 폐기되므로 추측하는 쪽은 아무것도 알아낼 수 없고, 유출된 주소를 끄면 보낸 사람에게 반송됩니다. 내 도메인에서는 추측으로 들어온 캐치올 주소의 메일이 도착한 주소 아래에 회색 배지와 함께 표시되므로, 사전 대입 방식의 스팸 메일을 쉽게 알아볼 수 있습니다. iPhone, iPad, Mac용 CatchNone 다운로드.

CatchNone은 수신 전용이며 스팸 필터가 아닙니다. 가입 메일을 주 받은 편지함과 떨어진 전용 앱에 두고, 각 메시지가 어느 별칭으로 왔는지 보여 줍니다. 내 도메인에서 별칭을 ‘사용 안 함’으로 표시하는 것은 정리용 표시일 뿐이므로, 주소는 호스트에서 막으세요.

자주 묻는 질문

알려 준 적도 없는데 스패머는 어떻게 내 이메일 주소를 알았을까요?

추측했거나, 주소가 올라간 페이지·프로필·코드 커밋에서 크롤링했거나, 다른 사람의 주소록에서 가져갔거나, 예전에 가입하고 잊어버린 회사의 유출 사고나 명단 판매를 통해 얻었을 가능성이 가장 높습니다. 증상별 표에서 보이는 현상에 맞는 경로를 찾아보세요.

모르는 회사가 어떻게 내 이메일 주소를 알고 있나요?

보통은 내가 실제로 거래한 회사가 “제휴사”에 공유하거나 판매한 것이며, 가입할 때 미리 선택된 체크 상자를 그대로 둔 탓인 경우가 많습니다. 데이터 브로커도 주소를 수집해 판매합니다. 어느 회사였는지 찾는 방법은 명단 판매와 데이터 브로커 부분에 연결된 가이드에서 확인하세요.

스패머는 회사 이메일 주소를 어떻게 알아내나요?

마케터에게 판매되는 기업 연락처 명단, 회사 웹사이트, 그리고 회사의 이름 패턴 추측을 통해서입니다. HIBP에는 주소를 고용주와 직함별로 분류한 B2B USA Businesses 등 유출된 기업 명단이 여러 개 있습니다. 영국 ICO에 따르면 기관은 업무용 주소가 나를 식별하지 않는 한 동의 없이 그 주소로 마케팅 메일을 보낼 수 있으며, 주소가 나를 식별하는 경우에는 발송을 중단해 달라고 요청할 수 있습니다.