Czy twoje dane wyciekły? Ustal, kto sprzedał twój e-mail

Czy twoje dane wyciekły, a jeśli tak, kto sprzedał twój adres e-mail albo dopuścił do jego wycieku? Z pewnością ustalisz to tylko wtedy, gdy dana firma dostała od ciebie adres, którego nie miał nikt inny. W przypadku głównego adresu, którego używasz od lat, zwykle możesz zawęzić krąg podejrzanych, ale nie wskażesz winnego: ten adres jest w dziesiątkach baz klientów, a wiadomość ze spamem rzadko prowadzi do tej jednej, z której się wydostał. Możesz za to ustalić, kto do ciebie pisze i przez jaki serwis, czy twój adres wyciekł z jakiejś firmy w znanym wycieku danych, a w UE i Wielkiej Brytanii — co firma mówi o tym, skąd ma twój adres. CatchNone, dostępny na urządzeniach iPhone, iPad i Mac, sprawia, że osobny adres dla każdej firmy staje się standardem: każda wiadomość ma plakietkę z aliasem, na który przyszła, więc kolejny wyciek sam wskaże swoje źródło.

Kolejne kroki:

1. Znajdź pierwszą niechcianą wiadomość i dokładny adres, na który przyszła.
2. Odczytaj jej nagłówki, aby ustalić nadawcę i jego serwis mailingowy.
3. Sprawdź w Have I Been Pwned, czy adres znalazł się w jakimś wycieku danych.
4. Zapytaj nadawcę, skąd ma twój adres, a podejrzewaną firmę — którym firmom go przekazała.
5. Od teraz dawaj każdej firmie osobny adres.

Czy da się ustalić, kto sprzedał twój adres e-mail?

Czasami. Zależy to od dowodów:

• Nagłówki pokazują, kto wysłał wiadomość i przez jaki serwis (poprawnie zweryfikowany podpis DKIM dowodzi, która domena ją podpisała), ale nie to, skąd pochodzi lista.
• Wpis o wycieku dowodzi, że jedna firma utraciła twój adres, ale nie wyklucza innych.
• Żądanie oparte na przepisach może zmusić firmę do ujawnienia, co wie o źródle, o ile w ogóle to wie (w Kalifornii — tylko w postaci kategorii).
• Losowy adres podany tylko jednej firmie wskazuje źródło wprost: poczta od kogokolwiek innego na ten adres oznacza, że wydostał się z tej firmy — przez sprzedaż, udostępnienie albo kradzież.

Nagły zalew spamu może mieć inne przyczyny; zobacz, dlaczego spamu może nagle przybyć. O tym, jak adresy w ogóle się rozchodzą — przez sprzedaż, wycieki, zbieranie ze stron i zgadywanie — przeczytasz w artykule skąd spamerzy mają adresy e-mail.

Krok 1: znajdź pierwszą wiadomość i adres, na który przyszła

Wyszukaj nieznanego nadawcę i znajdź najstarszy wynik: pierwsza wiadomość jest najbliżej chwili, w której twój adres zmienił właściciela. Sprawdź, na jaki dokładnie adres przyszła i jak się do ciebie zwraca. Stary adres albo literówka użyta tylko raz, wersja adresu z +tag, błędnie zapisane imię lub nazwisko z jednego formularza rejestracji czy szczegół, który znała tylko jedna firma — każda z tych rzeczy wskazuje źródło.

W UE i Wielkiej Brytanii przeczytaj też stopkę tej pierwszej wiadomości i link do informacji o prywatności. Zgodnie z RODO (art. 14) firma, która dostała twoje dane od kogoś innego, musi podać ci „źródło pochodzenia danych osobowych”. Jeśli wykorzystuje te dane do kontaktu z tobą, termin upływa „najpóźniej przy pierwszej takiej komunikacji”. Jeśli pierwsza wiadomość tego nie podawała, zwróć na to uwagę w żądaniu z kroku 4.

Krok 2: odczytaj nagłówki

Nagłówki to ukryte wiersze nad treścią wiadomości. Wskazują nadawcę i serwis, który dostarczył pocztę, a więc to, do kogo napisać w kroku 4.

Jak wyświetlić nagłówki

Ścieżki ze stron pomocy poszczególnych dostawców, stan na wrzesień 2026:

Skrót w Gmailu: w przeglądarce kliknij strzałkę w dół (Down arrow) pod nazwą nadawcy, aby zobaczyć pola Mailed by (Wysłane przez) i Signed by (Podpisane przez), czyli domeny, które wysłały i podpisały wiadomość.

Przykład z omówieniem

Przykładowy, skrócony zestaw nagłówków. Twój adres to k7qm-2xrd@example.com — losowy adres podany tylko sklepowi ogrodniczemu. Marka to dealsdaily.example.net, a mailer.example.org to serwis mailingowy, z którego korzysta.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

W tym przykładzie nadawcą jest Deals Daily, który wysyła przez mailer.example.org, a wiadomość trafiła na losowy adres podany tylko sklepowi ogrodniczemu — więc to stamtąd adres się wydostał. Nagłówki nie powiedzą, jak Deals Daily go zdobył: wskazują nadawcę, nigdy sprzedawcę. ICANN Lookup pokazuje dane rejestracyjne nieznanej domeny, choć dane właściciela są w większości utajnione.

Krok 3: sprawdź, czy twoje dane wyciekły z jakiejś firmy

Have I Been Pwned (HIBP) pokazuje, w których wyciekach danych i listach spamowych znajduje się dany adres. Według stanu na 25 września 2026 wymienia 1038 serwisów, z których wyciekły dane, i ponad 17,8 miliarda kont z wycieków (adres, który trafił do kilku wycieków, jest liczony raz za każdy z nich).

• Wyciek wskazuje serwis, który utracił dane, i czas zdarzenia: to mocny trop, jeśli spam zaczął przychodzić wkrótce potem.
• Lista spamowa oznacza, że twój adres znalazł się w danych używanych do ukierunkowanego spamu. Takie listy „często są agregowane z wielu źródeł”, więc rzadko wskazują pierwotną firmę. Wpisy pochodzące z wklejek (pastes) oraz wycieki oznaczone przez HIBP jako sfabrykowane lub niezweryfikowane są jeszcze słabszym dowodem.
• Wycieki wrażliwe widać dopiero po zalogowaniu się i potwierdzeniu, że odbierasz pocztę na ten adres.

Czysty wynik oznacza tylko, że adresu nie ma w żadnym wycieku wczytanym przez HIBP, a nie że nikt go nie sprzedał. Włącz bezpłatne powiadomienia Notify Me. Jeśli używasz osobnych adresów dla poszczególnych firm we własnej domenie, Domain Search (wyszukiwanie w domenie) pokazuje, które z nich pojawiają się w których wyciekach — po zweryfikowaniu domeny (większe domeny zwykle wymagają subskrypcji). Raport Google o dark webie (dark web report), polecany w starszych poradnikach, został wycofany na początku 2026 roku.

Krok 4: zapytaj firmy bezpośrednio

UE i Wielka Brytania: zapytaj, skąd adres pochodzi i dokąd trafił

Prawo dostępu do danych osobowych pozwala ci zadać dwóm firmom dwa pytania:

• Zapytaj nadawcę, skąd ma twój adres. Art. 15 ust. 1 lit. g RODO daje ci prawo do „wszelkich dostępnych informacji o ich źródle”, a wytyczne w sprawie przejrzystości zatwierdzone przez Europejską Radę Ochrony Danych stanowią, że firma, która pozyskała twoje dane z innego miejsca, powinna wskazać konkretne źródło, chyba że nie jest w stanie tego zrobić.
• Zapytaj podejrzewaną firmę, którym firmom przekazała twój adres. Na gruncie art. 15 ust. 1 lit. c Trybunał Sprawiedliwości UE orzekł w sprawie Österreichische Post (C-154/21), że firma musi na żądanie wskazać konkretnych odbiorców, chyba że nie może ich jeszcze zidentyfikować albo żądanie jest ewidentnie nieuzasadnione lub nadmierne. Brytyjski organ ochrony danych, ICO, stwierdza to samo na gruncie UK GDPR.

Żadne z tych żądań nie zmusza nikogo do wskazania sprzedawcy: firma może odpowiedzieć, że nie wie albo że dane pochodzą z kilku źródeł (motyw 61), choć wymijająca odpowiedź jest podstawą do skargi. Skorzystaj z danych kontaktowych podanych w informacji o prywatności każdej z firm i pomiń oczywistych spamerów, bo odpowiedź potwierdza, że twój adres działa.

Oto żądanie dostępu do danych osobowych, które możesz skopiować (pomiń punkt 4, gdy piszesz do podejrzewanej firmy):

Temat: Żądanie dostępu do danych osobowych (art. 15 RODO)

Na podstawie art. 15 RODO (lub UK GDPR) w odniesieniu do mojego adresu e-mail you@example.com wnoszę o informację:

1. Skąd adres został pozyskany, ze wskazaniem konkretnego źródła (art. 15 ust. 1 lit. g).
2. Którym odbiorcom został ujawniony, z podaniem ich nazw (art. 15 ust. 1 lit. c).
3. Jakie moje dane osobowe są przetwarzane, wraz z ich kopią.
4. Dlaczego pierwsza wiadomość wysłana do mnie [data] nie wskazywała tego źródła (art. 14 ust. 2 lit. f i ust. 3 lit. b).

Wnoszę również sprzeciw wobec przetwarzania moich danych na potrzeby marketingu bezpośredniego (art. 21). Proszę o odpowiedź w ciągu miesiąca (art. 12 ust. 3).

[Imię i nazwisko]

Odpowiedź jest zwykle bezpłatna (terminy znajdziesz w tabeli poniżej). Po wniesieniu sprzeciwu wobec marketingu bezpośredniego twoich danych nie wolno już do niego wykorzystywać.

Jeśli w Wielkiej Brytanii odpowiedzi brak albo jest wymijająca, najpierw złóż skargę do firmy: w przypadku skarg złożonych od 19 czerwca 2026 ustawa Data (Use and Access) Act wymaga, aby firma potwierdziła jej otrzymanie w ciągu 30 dni. Następnie, w ciągu trzech miesięcy od ostatniego istotnego kontaktu z firmą, złóż skargę do ICO. W UE art. 77 RODO pozwala złożyć skargę do organu ochrony danych (w Polsce jest nim Prezes UODO).

Stany Zjednoczone: Kalifornia i Oregon

Kalifornijskie żądanie z CCPA w ramach „right to know” (prawa do informacji) pozwala uzyskać kategorie źródeł i kategorie osób trzecich oraz przechowywane dane osobowe, ale nie wskaże, kto sprzedał twój adres. Odpowiedź jest bezpłatna. Możesz też zażądać, aby firma przestała sprzedawać lub udostępniać twoje dane, albo poprosić ją o usunięcie tego, co od ciebie zebrała. Ustawa obejmuje tylko firmy powyżej określonych progów, np. z rocznymi przychodami powyżej 26 625 000 USD (stan na wrzesień 2026).

Jeśli mieszkasz w Oregonie, firma objęta tamtejszą ustawą o prywatności musi na żądanie przekazać listę konkretnych osób trzecich, którym ujawniła dane, choć może wymienić te, które otrzymały jakiekolwiek dane osobowe, a nie tylko twoje (ORS 646A.574). Te prawa wynikają z przepisów stanowych, więc to, o co możesz poprosić, zależy od miejsca zamieszkania.

Mieszkańcy Kalifornii mogą też skorzystać z DROP (Delete Request and Opt-out Platform), platformy, przez którą jedno żądanie usunięcia danych trafia do wszystkich zarejestrowanych brokerów danych. Działa od 1 stycznia 2026, a od 1 sierpnia 2026 brokerzy muszą przetwarzać żądania co najmniej co 45 dni. Dociera tylko do brokerów danych, czyli firm, z którymi nie łączy cię bezpośrednia relacja, a nie do sklepu, który ma twój adres od ciebie.

Każdy może przeszukać rejestry brokerów danych Kalifornii, Vermontu, Teksasu i Oregonu. Wyszukaj w nich nazwę firmy nadawcy i domeny z kroku 2. Trafienie oznacza, że nadawca jest zarejestrowanym brokerem danych, czyli jedną z firm, do których dociera DROP, jeśli mieszkasz w Kalifornii.

Co daje każde żądanie

Wszędzie: serwis mailingowy

Serwis mailingowy wskazany w DKIM-Signature d=, Return-Path lub List-Unsubscribe ma własne zasady. Na przykład Acceptable Use Policy Mailchimpa (zasady dopuszczalnego użytkowania) zakazuje wysyłki do „kupionych, wynajętych, zewnętrznych, pozyskanych w ramach co-registration, publicznie dostępnych lub partnerskich list jakiegokolwiek rodzaju”, a jego dział ds. nadużyć prosi o „pełny nagłówek e-maila” (obie strony sprawdzono 25 września 2026). Wyślij działowi ds. nadużyć danego serwisu pełne nagłówki. Nie dowiesz się od niego, kto sprzedał twój adres, ale serwis może zablokować nadawcy możliwość korzystania ze swoich usług.

Co zrobić, gdy już wiesz

• Wycofaj adres. Podaj firmie, z której adres wyciekł, nowy adres albo zamknij konto, a potem wyłącz lub usuń stary adres. Niech działa, dopóki nie dostaniesz odpowiedzi na żądanie dostępu, bo odpowiedź lub weryfikacja tożsamości może przyjść właśnie na niego. Jeśli to twój główny adres, użyj filtrów.
• Zatrzymaj to. Wyślij sprzeciw z art. 21 (UE, Wielka Brytania), wypisz się z list legalnych nadawców w USA albo zgłoś sprzeciw wobec sprzedaży i udostępniania danych i skorzystaj z DROP (Kalifornia). Jeśli wypisywanie się już wcześniej zawiodło, przeczytaj, dlaczego wypisanie się nie działa.
• Zgłoś to przez ReportFraud.ftc.gov w USA, narzędziem ICO do zgłaszania spamu w Wielkiej Brytanii (ICO nie odpowiada na poszczególne zgłoszenia) albo w dziale ds. nadużyć serwisu mailingowego, i oznacz wiadomość jako spam w swojej aplikacji pocztowej.
• Jeśli był to wyciek, zabezpiecz też konto (zobacz FAQ).

Czy firmy sprzedają twój adres e-mail i czy to legalne?

Tak, niektóre to robią. FTC pisze: „Gdy podajesz firmie swój adres e-mail, może ona udostępnić go lub sprzedać osobom trzecim”. W USA prawo federalne na to pozwala, dopóki nie zgłosisz sprzeciwu. W Wielkiej Brytanii i UE firma potrzebuje twojej zgody, aby wysyłać ci e-maile z kupionej listy, a w Wielkiej Brytanii co do zasady potrzebuje też twojej zgody, aby taką listę sprzedać.

• Stany Zjednoczone: zgodnie z federalną ustawą CAN-SPAM firma nie potrzebuje zgody, aby wysyłać ci e-maile marketingowe. Po twoim sprzeciwie ma 10 dni roboczych, aby przestać, i nie może sprzedać ani przekazać twojego adresu. Kalifornia dodaje prawo sprzeciwu wobec sprzedaży, a jej pojęcie „sprzedaży” obejmuje wynajem lub udostępnianie danych za „inne wartościowe świadczenie” (other valuable consideration), więc wymiana z partnerem może się liczyć, nawet gdy nie ma w niej pieniędzy. „Udostępnianie” (sharing) to osobne pojęcie, dotyczące reklamy behawioralnej w różnych kontekstach (cross-context behavioral advertising).
• Wielka Brytania: zgodnie z Privacy and Electronic Communications Regulations (PECR) firma może wysyłać e-maile do osób z kupionej listy tylko wtedy, gdy „wyraźnie zgodziły się na otrzymywanie tego rodzaju wiadomości” właśnie od niej; ogólna zgoda na kontakt od dowolnych osób trzecich nie wystarcza, a sprzedaż listy co do zasady wymaga zgody osób, które na niej są (wytyczne ICO, poddawane przeglądowi w następstwie ustawy Data (Use and Access) Act). Adresy w firmach podlegają innym zasadom.
• UE: dyrektywa o prywatności i łączności elektronicznej (ePrivacy) dopuszcza e-maile marketingowe tylko za „uprzednią zgodą”, z wyjątkiem sprzedawcy, który reklamuje podobne produkty własnym klientom — z tego wyjątku kupujący listę nie może skorzystać.

Dlaczego sztuczka z plusem to słaby dowód

Tak zwana „sztuczka Gmaila” polega na rejestracji z adresem z dopiskiem, np. you+shopname@example.com jako wariantem adresu you@example.com, i obserwowaniu, który dopisek pojawi się w spamie. Opis samego Google pokazuje słabość tej metody: „Wiadomości wysłane na twój obecny adres lub dowolny jego wariant ze znakiem plus trafiają do twojej obecnej skrzynki odbiorczej”.

• Twój prawdziwy adres jest na widoku. Wystarczy usunąć dopisek, a poczta nadal do ciebie dotrze — i dowód znika.
• Dopisek nic nie znaczy dla nadawcy. Część przed @ interpretuje tylko twój dostawca (RFC 5321, §2.3.11), a separator zależy od systemu (RFC 5233).
• Dowodzi mniej, niż się wydaje. Adres z dopiskiem w spamie pokazuje, że wydostał się z tej firmy, ale nie to, czy został sprzedany, udostępniony, czy utracony w wycieku. A jeśli spam z dopiskiem nie przychodzi, nikogo to nie oczyszcza: dopisek mógł zostać po prostu usunięty.

Sztuczka z kropką — rejestracja jako your.name w jednej firmie i yo.urname w innej — jest jeszcze słabsza: Gmail ignoruje kropki w adresach kont osobistych, więc każdy może je usunąć (na kontach służbowych i szkolnych kropki mają znaczenie). Adresy z plusem (plus addressing) nadal dobrze sprawdzają się przy filtrowaniu; przewodnik po adresach z plusem opisuje, gdzie działają.

Krok 5: niech następny wyciek sam wskaże źródło

Niezawodna metoda działa na przyszłość: daj każdej firmie osobny adres, który nie zawiera twojego prawdziwego. Poczta od kogokolwiek innego na adres podany jednemu sklepowi pokaże, skąd się wydostał, a ty możesz wyłączyć tylko ten jeden adres.

• CatchNone daje każdej firmie osobny alias i oznacza każdą wiadomość plakietką z aliasem, na który przyszła, więc sprzedany adres wychodzi na jaw bez czytania nagłówków. Adresy @catchnone.com wymagają planu Premium; domena, która należy do ciebie, działa także w planie Darmowy.
• Usługi aliasów, takie jak funkcja Apple „Ukryj mój adres e-mail” (w ramach iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io i Firefox Relay, przekazują pocztę do twojej skrzynki. Różnice opisuje porównanie usług aliasów e-mail.
• Catch-all we własnej domenie przyjmuje pocztę na dowolny adres w tej domenie, więc możesz wymyślić osobny adres do każdej rejestracji. Na przykład Cloudflare Email Routing jest dostępny w planach darmowych i płatnych (stan na wrzesień 2026) i ma regułę catch-all. Zalety i wady opisuje artykuł czym jest adres catch-all.

Wybieraj losowe adresy zamiast łatwych do odgadnięcia, takich jak gardenshop@example.com, które spamer mógłby wymyślić przy catch-allu, i zapisuj, który adres trafił dokąd.

CatchNone: każda wiadomość pokazuje adres, na który przyszła

CatchNone powstał z myślą o kroku 5. Każdemu sklepowi, newsletterowi czy kontu dajesz osobny alias, a każda wiadomość w aplikacji ma plakietkę z aliasem, na który przyszła. Gdy obcy nadawca napisze na adres podany tylko sklepowi ogrodniczemu, plakietka pokaże, skąd adres się wydostał — bez czytania nagłówków. Widok „Aktywność” zwraca uwagę na pocztę na alias oznaczony jako „Nieużywany” i na nadawców piszących po raz pierwszy, a adres @catchnone.com, który wyciekł, możesz wyłączyć: wiadomości wracają wtedy do nadawców, a pozostałe aliasy działają dalej.

W planie Premium dostajesz losowe adresy @catchnone.com, np. abcde-12345@catchnone.com, bez konfigurowania domeny, DNS ani skrzynki, a do właściwego aliasu przypisywana jest nawet poczta z ukrytej kopii (Bcc). Możesz też użyć własnej domeny, której pocztę twój dostawca już dostarcza do skrzynki odbiorczej: aplikacja odczytuje tę skrzynkę w trybie tylko do odczytu, przez IMAP lub JMAP, bezpośrednio z twojego urządzenia, z maksymalnie 10 aliasami w planie Darmowy i bez limitu w planach Lite i Premium. CatchNone jest dostępny na urządzeniach iPhone, iPad i Mac.

Działa na przyszłość, a nie wstecz w przypadku adresów używanych wcześniej, i nie ma bazy wycieków ani wykrywania wycieków: plakietki i uwagi w widoku „Aktywność” to dowody do twojej oceny. We własnej domenie odczytuje tylko skrzynkę odbiorczą i tylko pocztę, w której polu Do, DW lub UDW widnieje adres z twojej domeny, więc nie pojawi się spam przeniesiony do folderu Spam. Oznaczenie tam aliasu jako „Nieużywany” to tylko etykieta, więc adres, który wyciekł, zablokuj u swojego dostawcy. Wiadomości na adresy @catchnone.com są usuwane 30 dni po nadejściu, więc oznacz flagą te, których potrzebujesz jako dowodu, aby zachować ich pełną treść na urządzeniu.

FAQ

Co zrobić, gdy mój adres e-mail wyciekł z jakiejś firmy?

Sprawdź adres w Have I Been Pwned, aby zobaczyć, w którym wycieku się znalazł i co jeszcze wyciekło razem z nim. Zmień hasło w tym serwisie i wszędzie tam, gdzie używasz tego samego hasła, oraz włącz uwierzytelnianie dwuskładnikowe. Spodziewaj się phishingu, który przytacza dane z wycieku, i nie otwieraj linków w wiadomościach wspominających o wycieku. Jeśli ta firma dostała od ciebie osobny adres, wycofaj go i podaj jej nowy.

Czy LinkedIn albo Google sprzedaje mój adres e-mail?

Żadna z tych firm nie twierdzi, że sprzedaje twoje dane osobowe, ale LinkedIn przyznaje, że udostępnia je na potrzeby reklamy w różnych kontekstach (cross-context advertising). Jego California privacy disclosure (informacja o prywatności dla Kalifornii) głosi: „We Do Not Sell Your Personal Information” („Nie sprzedajemy twoich danych osobowych”) i pozwala mieszkańcom Kalifornii zrezygnować z takiego udostępniania. Safety Center (Centrum bezpieczeństwa) Google podaje: „Nigdy nikomu nie sprzedajemy twoich danych osobowych”, a polityka prywatności Google (obowiązująca od 26 maja 2026) stwierdza, że Google udostępnia dane osobowe poza firmą tylko w wymienionych przypadkach, z których pierwszy to udostępnianie za twoją zgodą. Wszystkie trzy strony sprawdzono 25 września 2026. W przypadku innych firm przeczytaj politykę prywatności i traktuj „sprzedaż” i „udostępnianie” osobno.

Kto kupuje adresy e-mail?

Brokerzy danych, brokerzy list adresowych i marketerzy; wspomniane wyżej rejestry stanowe wymieniają zarejestrowanych brokerów. Handel danymi osobowymi może odbywać się jawnie: w sprawie Österreichische Post austriacki operator pocztowy oświadczył, że oferuje dane osobowe „partnerom handlowym w celach marketingowych”, a później wymienił odbiorców, w tym „dostawców list mailingowych”. Sprawa dotyczyła danych przechowywanych przez operatora pocztowego, a nie adresów e-mail.