Skąd oszuści mają moje dane i adres e-mail? 7 głównych dróg

Skąd oszuści mają moje dane? W przypadku adresu e-mail odpowiedź jest dość konkretna: spamerzy biorą adresy z wycieków danych, z list, które firmy sprzedają lub udostępniają, ze stron internetowych i publicznych profili (zbierając je automatycznie), zgadując popularne nazwy, z książek adresowych innych osób oraz ze starych rekordów rejestracji domen. Potem sprawdzają, które adresy są aktywne, obserwując otwarcia, kliknięcia i odpowiedzi. Spam e-mailowy może trafić nawet na adres, którego nigdy nikomu nie podano — przez zgadywanie, zbieranie ze stron albo cudze kontakty — a zamknąć możesz tylko część tych dróg. Na drogach, które zaczynają się od ciebie, pomaga CatchNone: każdy sklep i newsletter dostaje własny adres, a przy każdej wiadomości widać, na który z nich przyszła, więc wyciek lub sprzedaż listy wskazuje swoje źródło — na urządzeniach iPhone, iPad i Mac.

Skąd spamerzy i oszuści mają adresy e-mail: 7 dróg

1. Wycieki danych i tworzone na ich podstawie listy haseł.
2. Sprzedaż i udostępnianie list przez brokerów danych i „partnerów”.
3. Zbieranie adresów (scraping) ze stron internetowych, profili społecznościowych i kodu.
4. Zgadywanie popularnych nazw, zwłaszcza w domenach, które przyjmują pocztę na dowolny adres.
5. Książki adresowe innych osób: wgrywanie kontaktów, złośliwe oprogramowanie i długie łańcuchy wiadomości z adresatami w DW (Cc).
6. Stare rekordy WHOIS sprzed 2018 roku.
7. Potwierdzanie: obrazy śledzące, kliknięcia, odpowiedzi i puste wiadomości testowe, które dowodzą, że adres działa.

Wycieki danych i listy combo

Gdy firma pada ofiarą włamania, może wyciec także jej lista klientów — niezależnie od tego, czy nadal korzystasz z jej usług. Według stanu na 25 września 2026 roku serwis Have I Been Pwned (HIBP) odnotowywał 1038 wycieków i ponad 17,8 mld rekordów kont, które wyciekły. Ta suma liczy adres raz za każdy wyciek, w którym się znalazł, więc mierzy konta, a nie ludzi. Wyszukaj tam swój adres, aby zobaczyć, w których wyciekach się znalazł, kiedy do nich doszło i jakie dane ujawniono. Jeśli nie ma go w żadnym, bardziej prawdopodobna jest sprzedaż listy, zbieranie ze stron albo zgadywanie.

Adresy z wycieków są wykorzystywane ponownie. Listy combo to pary e-mail–hasło zebrane z wcześniejszych wycieków i używane do ataków typu credential stuffing, czyli próbowania tego samego hasła w innych serwisach. HIBP opisuje Collection #1 (2019) jako „773 mln unikalnych adresów e-mail wraz z hasłami, których te adresy używały w innych serwisach, z których wyciekły dane”. Trzecim źródłem są logi stealerów: złośliwe oprogramowanie na zainfekowanym urządzeniu zapisuje „adresy e-mail, hasła i stronę, na której wpisano je podczas logowania”.

Czy możesz zamknąć tę drogę? Nie. Możesz ograniczyć to, co ujawni pojedynczy wyciek: unikalne hasło do każdego serwisu, uwierzytelnianie dwuskładnikowe na koncie pocztowym i osobny adres dla każdej firmy, dzięki czemu wyciek ujawni jeden zapasowy adres, a nie główny. Bezpłatne alerty Notify Me („Powiadom mnie”) w HIBP poinformują cię o kolejnym.

Sprzedaż list, brokerzy danych i „nasi partnerzy”

Amerykańska Federalna Komisja Handlu (FTC) mówi wprost: „Gdy podajesz firmie swój adres e-mail, może ona udostępnić go lub sprzedać podmiotom trzecim”. Formularze rejestracji zasilają ten sam handel. Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) zauważa, że opcje otrzymywania e-maili o innych produktach bywają zaznaczone domyślnie, „więc jeśli ich nie odznaczysz, możesz zacząć dostawać e-maile również z tych list”. Zasilają go też losowania nagród, płatne ankiety i oferty kart podarunkowych: według HIBP listy spamowe często powstają „przez wyłudzanie danych osobowych od ludzi obietnicą nagrody pieniężnej”.

Kto kupuje adresy e-mail? Marketerzy kupują je od sprzedawców list i brokerów danych, a spamerzy — od siebie nawzajem: FAQ Spamhaus dla konsumentów wymienia wśród ich źródeł adresy „kupione od innych spamerów”. Osobnym produktem są listy firmowe. W 2016 roku do sieci wyciekła lista ponad 33 mln osób pracujących w amerykańskich firmach, pochodząca z serwisu NetProspex firmy Dun & Bradstreet, a D&B uważała, że wyciekła ona od klienta, który ją kupił.

W USA ustawa CAN-SPAM nie wymaga zgody na wysyłanie e-maili marketingowych. Gdy jednak zrezygnujesz z ich otrzymywania, firma musi przestać do ciebie pisać w ciągu 10 dni roboczych, a od chwili zgłoszenia „nie może sprzedać ani przekazać” twojego adresu.

Czy możesz zamknąć tę drogę? Częściowo. Odznaczaj wstępnie zaznaczone pola, rezygnuj z marketingu, którego nie czytasz, i dawaj każdej firmie osobny adres, żeby przy kolejnej sprzedaży było widać, kto jej dokonał. Artykuł Jak ustalić, kto sprzedał twój adres e-mail szczegółowo omawia nagłówki, sprawdzanie wycieków i żądania dostępu do danych.

Zbieranie adresów: strony, profile i kod

„Spamerzy mogą zebrać każdy adres e-mail opublikowany na stronie internetowej” — ostrzega CISA. W eksperymencie FTC z 2002 roku 86% adresów zamieszczonych na stronach internetowych dostało spam w ciągu sześciu tygodni, a jeden adres podany na czacie dostał spam dziewięć minut po pierwszym użyciu (wyniki przedrukowane przez ICANN). Nie miało znaczenia, w którym miejscu strony się znajdował: „jeśli adres zawierał znak ‚@’, przyciągał spam”.

Profile są zbierane na masową skalę. Według HIBP w 2021 roku atakujący zebrali setki milionów publicznych profili z LinkedIna, co dało około 125 mln unikalnych adresów e-mail. Atakujący wykorzystali też API Twittera, które dopasowywało adresy e-mail do kont, a ponad 200 mln zebranych w ten sposób rekordów wypłynęło w 2023 roku.

Adresy ujawnia też publiczny kod: każdy commit w Git zawiera adres e-mail autora. W GitHubie przejdź do Settings > Emails (Ustawienia > Adresy e-mail), zaznacz „Keep my email addresses private” („Zachowaj moje adresy e-mail jako prywatne”) i „Block command line pushes that expose my email” („Blokuj wypychanie z wiersza poleceń, które ujawnia mój adres e-mail”), a potem ustaw w Git na swoim komputerze widoczny tam adres @users.noreply.github.com. Commity sprzed tej zmiany „nadal są powiązane z twoim poprzednim adresem e-mail” (dokumentacja GitHuba). Pełną instrukcję znajdziesz w artykule Jak ukryć adres e-mail w commitach GitHuba i GitLaba.

Czy możesz zamknąć tę drogę? Na przyszłość tak. Nie publikuj głównego adresu na publicznych stronach — zamiast niego użyj formularza kontaktowego albo osobnego adresu — i ustaw profile społecznościowe tak, aby twój e-mail widziały tylko zaufane osoby, jak radzi CISA. To, co już zebrano, pozostaje w obiegu.

Zgadywanie: czy spamerzy mogą po prostu zgadnąć twój adres?

Tak, i nie potrzeba do tego żadnej listy. Komitet ds. bezpieczeństwa ICANN opisał tę metodę w 2007 roku: spamerzy próbują „pojedynczych i połączonych popularnych imion i nazwisk” albo wszystkich kombinacji znaków i zachowują adresy, które serwer pocztowy przyjmuje. Nazywa się to atakiem typu directory harvest. W jednym z testów komitetu 70% spamu trafiło na adresy w domenach testowych, których nigdy nigdzie nie opublikowano. Najłatwiejszym celem są krótkie, popularne nazwy, a stosowany w firmie schemat first.last@example.com pozwala każdemu utworzyć adresy jej pracowników.

Adres catch-all przyjmuje każdą próbę. Jeśli twoja własna domena dostarcza pocztę na dowolny adres, wiadomości na admin@example.com i info@example.com trafią do ciebie niezależnie od tego, czy te adresy były kiedykolwiek używane. FAQ addy.io ostrzega, że „spamerzy i boty często próbują losowych adresów e-mail”, a według cPanelu adres catch-all „może odbierać dużą ilość spamu”, gdy spamerzy wezmą domenę na celownik. Wszystkie za i przeciw omawia artykuł Co to jest adres catch-all?.

Czy możesz zamknąć tę drogę? Częściowo. Krótki, popularny adres nadal da się zgadnąć, ale następny nie musi taki być: wybierz adres trudny do odgadnięcia, jak radzi brytyjski urząd ochrony danych ICO. We własnej domenie wyłączenie adresu catch-all sprawia, że zgadnięte adresy przestają do ciebie docierać. Jeśli go zostawisz, zablokuj zgadywane nazwy u swojego dostawcy poczty. Na przykład w Cloudflare Email Routing przejdź do Compute > Email Service > Email Routing > Routing Rules (Obliczenia > Usługa e-mail > Email Routing > Reguły routingu) i dodaj regułę dla tego adresu z akcją Drop („Odrzuć”), która „usuwa e-maile pasujące do reguły bez ich przekierowywania”. Cloudflare zaznacza, że dla nadawców adres nadal wygląda na prawidłowy; wyślij wiadomość testową, aby się upewnić, że reguła ma pierwszeństwo przed adresem catch-all.

Książki adresowe i skrzynki innych osób

Twój adres jest w kontaktach wszystkich adresatów twoich e-maili, a nad tymi kopiami nie masz kontroli.

• Wgrywanie kontaktów. Gdy ktoś synchronizuje kontakty z Facebookiem, Messengerem lub Instagramem, Meta codziennie przesyła „imiona i nazwiska, numery telefonów i adresy e-mail z jego książki adresowej”, w tym dane osób, które nie korzystają z aplikacji Mety. Samo to nie przekazuje twojego adresu spamerom, ale według Mety przed wrześniem 2019 roku scraperzy nadużywali jej narzędzia do importu kontaktów, aby dopasowywać numery telefonów do kont.
• Złośliwe oprogramowanie na cudzym komputerze. Złośliwe oprogramowanie Emotet potrafiło „zbierać adresy e-mail z Outlooka” i przejmować prawdziwe wątki e-mailowe, aby się rozprzestrzeniać (komunikat CISA AA20-280A).
• Łańcuchy DW i listy mailingowe. Długa przekazana dalej wiadomość niesie każdy adres z wątku, a komitet ds. bezpieczeństwa ICANN opisał spamerów, którzy zapisują się na listy mailingowe, aby zbierać adresy z nagłówków From, Reply-To i Cc.
• Ktoś cię zapisuje. Pomoc Gmaila opisuje sytuacje, w których ktoś — przypadkiem lub celowo — używa twojego adresu, „aby zapisać się na e-maile, np. promocje lub newslettery”.

Czy możesz zamknąć tę drogę? Nie bezpośrednio. W wiadomościach grupowych używaj pola UDW (Bcc), przed przekazaniem wątku dalej usuwaj z niego adresy innych osób i proś innych, aby robili to samo.

Stare rekordy WHOIS

Rekordy rejestracji domen kiedyś publikowały adres e-mail właściciela. W 2007 roku komitet ds. bezpieczeństwa ICANN stwierdził, że adres w WHOIS „praktycznie gwarantuje, że spam zostanie dostarczony”.

Ta droga jest w większości zamknięta. Od 25 maja 2018 roku tymczasowa specyfikacja ICANN (Temporary Specification) wymagała od rejestratorów ukrywania danych kontaktowych w rejestracjach powiązanych z Europą i pozwalała im robić to wszędzie indziej, oferując w zamian adres pośredniczący lub formularz internetowy. Badanie Interisle z 2021 roku wykazało, że tylko 13,5% domen ogólnych, takich jak .com, nadal wskazywało prawdziwego rejestrującego. Stała polityka ICANN dotycząca danych rejestracyjnych (Registration Data Policy), obowiązująca od 21 sierpnia 2025 roku, utrzymuje ten sam model.

Ta droga nadal istnieje tam, gdzie wyrażono zgodę na publikację, u rejestratorów, którzy publikują dane organizacji lub rejestrujących spoza Europy, w niektórych domenach krajowych na mocy ich własnych zasad oraz w płatnych archiwach rekordów sprzed 2018 roku.

Czy możesz zamknąć tę drogę? Domyślnie jest w większości zamknięta. Jeśli masz domenę, sprawdź ją w ICANN Lookup, aby zobaczyć, co jest publiczne, nie wyłączaj opcji prywatności u rejestratora i nie zgadzaj się na publikację swoich danych kontaktowych.

Potwierdzanie: otwarcia, kliknięcia, odpowiedzi i puste wiadomości

Adres jest wart więcej, gdy wiadomo, że działa. Spamerzy „sprzedają aktywne adresy po wyższej cenie jako ‚potwierdzone doręczalne’ adresy kolejnym spamerom” — czytamy w FAQ Spamhaus dla konsumentów. Adresy potwierdzają przez:

• Obrazy śledzące. „Gdy twój program pocztowy pobiera grafikę z ich serwera, spamerzy wiedzą, że wiadomość została otwarta” (CISA).
• Kliknięcia i odpowiedzi. Każde kliknięcie lub odpowiedź, w tym prośba o usunięcie z listy, potwierdza, że ktoś czyta pocztę na tym adresie.
• Linki do wypisania się. Standard wypisania się jednym kliknięciem, RFC 8058, zauważa, że wypisanie się „daje nadawcy wyraźną wskazówkę, że adres, na który wysłano wiadomość, był prawidłowy”.
• Puste wiadomości. „Aby sprawdzić, czy adresy e-mail są prawidłowe, spamerzy często wysyłają e-maile bez treści i bez tematu” — podaje pomoc Gmaila. Na adresy, które działają, później przychodzi spam.

Czy możesz zamknąć tę drogę? Tak. Na pocztę od nieznajomych nie odpowiadaj, nie klikaj w nią i nie wypisuj się; zgłoś ją jako spam. W przypadku znanych ci marek lub serwisów, w których masz konto, użyj wbudowanego przycisku wypisania się w aplikacji pocztowej, jak podpowiada Gmail, albo opcji rezygnacji w samej wiadomości, jak radzi ICO; zasadę w zależności od nadawcy znajdziesz w artykule Kiedy linki do wypisania się są bezpieczne.

Następnie nie pozwól, by zdradzały cię obrazy. W aplikacji Poczta na iPhonie (iOS 27) przejdź do Ustawienia > Aplikacje > Poczta > Ochrona prywatności i włącz „Chroń aktywność w Poczcie”. Obrazy wczytują się wtedy prywatnie w tle, więc nadawca nie może ustalić, czy i kiedy czytasz wiadomość (przewodnik Apple). W Gmailu na komputerze przejdź do Settings > See all settings (Ustawienia > Zobacz wszystkie ustawienia), w opcji Images (Obrazy) wybierz Ask before displaying external images (Pytaj przed wyświetleniem obrazów zewnętrznych) i kliknij Save Changes (Zapisz zmiany) (pomoc Google). Żadne z tych ustawień nie obejmuje linków ani załączników. Kroki dla innych aplikacji pocztowych i to, co każda z nich nadal ujawnia, opisuje artykuł Jak zablokować piksele śledzące.

Jak rozpoznać, którą drogą dotarł do ciebie spam

Pole UDW ukrywa pozostałych odbiorców, a pomoc Gmaila zauważa, że „spamerzy czasami dodają losowe adresy e-mail w polu ‚UDW’, aby skłonić ludzi do odpowiedzi” — więc nie odpowiadaj.

Czy możesz sprawdzić listę spamerów albo się z niej usunąć?

Nie ma oficjalnej listy odbiorców spamu ani sposobu, by usunąć się z list samych spamerów. Możesz sprawdzić, czy twój adres pojawił się na liście spamera, która wyciekła: wyszukaj go w Have I Been Pwned, gdzie według stanu na 25 września 2026 roku jest 16 takich list. Największe to Onliner Spambot (711 mln adresów, 2017) i River City Media (393 mln, 2017). Jeśli w twoich wynikach pojawi się któraś z tych nazw, twój adres był w rękach spamera.

Czym innym są listy blokowania (blocklisty): śledzą, skąd pochodzi spam. Spamhaus definiuje taką listę jako „bazę danych zawierającą adresy IP, domeny lub skróty (hashe)”, z których każdy trafił na nią, bo zaobserwowano, że wysyła spam lub wyrządza inne szkody, albo dlatego, że ma złą reputację. Należąca do Spamhaus lista Hash Blocklist może obejmować adresy e-mail, ale są to adresy wysyłające spam lub pojawiające się w nim, np. przejęte konto. Narzędzia do sprawdzania list blokowania, takie jak Blacklist Check w MxToolbox, sprawdzają adres IP serwera pocztowego, a nie twój adres e-mail.

Nie pomogłaby też lista osób, które nie chcą dostawać e-maili. W 2004 roku FTC oświadczyła Kongresowi, że taki rejestr prawdopodobnie przyniósłby odwrotny skutek, bo „spamerzy używaliby takiego rejestru jako katalogu prawidłowych adresów e-mail” (FTC). Spamhaus nazywa płatne usługi, które obiecują usunąć cię z list spamerów, „w najlepszym razie oszustwem, a w najgorszym systemem potwierdzania ‚aktywnych adresów’ dla spamera”.

Najbliższe realne możliwości docierają do firm, które przestrzegają prawa, a nie do spamerów. Stan na wrzesień 2026 roku:

• Kalifornijska platforma DROP (Delete Request and Opt-out Platform) pozwala mieszkańcom Kalifornii wysłać jedno bezpłatne żądanie usunięcia danych do ponad 600 zarejestrowanych brokerów danych, którzy muszą przetwarzać żądania co najmniej co 45 dni. Nie obejmuje firm, z którymi łączyły cię bezpośrednie relacje (warunki DROP).
• Email Preference Service stowarzyszenia Association of National Advertisers, do której prowadzi link z DMAchoice.org, jest bezpłatna i działa przez 10 lat (FTC), ale dociera tylko do marketerów, którzy używają jej do czyszczenia swoich list.

Co ktoś może zrobić, znając tylko twój adres e-mail?

Bez twojego hasła — mniej, niż możesz się obawiać. Mając sam adres, ktoś może:

• wysyłać wiarygodnie wyglądający phishing, zwłaszcza z danymi z wycieku
• próbować logować się do twoich kont hasłami, które wyciekły z innych serwisów
• sprawdzać, z jakich serwisów korzystasz, co kiedyś umożliwiało API Twittera
• zapisywać cię na niechciane e-maile
• sprzedać go dalej, drożej, gdy zostanie potwierdzone, że jest aktywny

Po co oszustowi twój adres e-mail?

Bo to pierwszy krok do twojej skrzynki, a przestępca, który dostanie się do twojego konta pocztowego, mógłby „zresetować hasła do wszystkich twoich pozostałych kont”. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) zaleca silne, osobne hasło do poczty oraz uwierzytelnianie dwuskładnikowe.

Spam, w którym jako nadawca widnieje twój własny adres, nie dowodzi, że ktoś się włamał, bo pole From łatwo sfałszować. Artykuł Jak sprawdzić, czy ktoś włamał się na twoje konto e-mail krok po kroku omawia sprawdzanie w Gmailu, Outlook.com i Poczcie w iCloud.

Czy podawanie adresu e-mail jest bezpieczne?

Zwykle tak. Adres to nie hasło, a jego znajomość nie otwiera twojego konta. Główny adres podawaj ludziom i firmom, na których polegasz, np. bankowi. W przypadku sklepów, newsletterów i pojedynczych rejestracji osobny adres dla każdej firmy chroni główny adres przed wyciekami i sprzedażą list, a główny adres w ogóle nie powinien być publicznie dostępny w sieci.

Jak nie dopuścić, by spamerzy zdobyli twój adres: które drogi możesz zamknąć

Osobne adresy dla poszczególnych firm możesz uzyskać na kilka sposobów. CatchNone daje każdej firmie osobny alias, trzyma tę pocztę z dala od twojej głównej skrzynki odbiorczej i oznacza każdą wiadomość plakietką z aliasem, na który przyszła, więc wyciek lub sprzedaż adresu od razu widać. Szybciej zaczniesz z adresem z plusem (plus addressing), jeśli twój dostawca go obsługuje (you+shop@example.com), ale każdy może usunąć dopisek, więc wskaże on źródło wycieku tylko wtedy, gdy nadawcy nie będzie się chciało go usunąć. Funkcja Apple „Ukryj mój adres e-mail” (część iCloud+), DuckDuckGo Email Protection i inne usługi aliasów przekazują pocztę do twojej skrzynki. Sprawdzi się też adres catch-all we własnej domenie, z opisanym wyżej ryzykiem zgadywania. Różnice przedstawia artykuł Porównanie usług aliasów e-mail.

Jakie miejsce zajmuje CatchNone

CatchNone działa na tych drogach, które zaczynają się od podania przez ciebie adresu. Każdy sklep, newsletter czy konto dostaje własny alias, a każda wiadomość ma plakietkę z aliasem, na który przyszła, więc adres, który wyciekł lub został sprzedany, wskazuje swoje źródło. „Aktywność” zwraca uwagę na pocztę na nieużywany alias i na nadawców piszących po raz pierwszy, a obrazy zdalne, w tym większość pikseli śledzących, pozostają zablokowane, dopóki ich nie wczytasz. Adresy @catchnone.com wymagają planu Premium i są przydzielane losowo, np. abcde-12345@catchnone.com, więc nikt ich nie zgadnie. Poczta na adresy, które tam nie istnieją, jest przyjmowana i usuwana, więc zgadujący niczego się nie dowiaduje, a gdy wyłączysz adres, który wyciekł, wiadomości wracają do nadawców. We własnej domenie wiadomości na zgadnięte adresy, które trafiły do catch-all, pojawiają się pod adresem, na który przyszły, z szarą plakietką, dzięki czemu łatwo wychwycić spam słownikowy. Pobierz CatchNone, aplikację dostępną na urządzeniach iPhone, iPad i Mac.

CatchNone tylko odbiera pocztę i nie jest filtrem antyspamowym: trzyma pocztę z rejestracji we własnej aplikacji, z dala od twojej głównej skrzynki odbiorczej, i pokazuje, na który alias trafiła każda wiadomość. We własnej domenie oznaczenie aliasu jako „Nieużywany” to tylko etykieta, więc adresy blokuj u dostawcy poczty.

Najczęstsze pytania

Skąd spamerzy mają mój adres e-mail, skoro nigdzie go nie podaję?

Najprawdopodobniej go zgadli, zebrali ze strony, profilu lub commita, w którym był opublikowany, wzięli z cudzej książki adresowej albo zdobyli od firmy, w której kiedyś ten adres zarejestrowano, a o której już nie pamiętasz — przez wyciek w tej firmie lub sprzedaż listy. Tabela sygnałów pozwala dopasować to, co widzisz, do prawdopodobnej drogi.

Skąd przypadkowe firmy mają mój adres e-mail?

Zwykle od firmy, z którą rzeczywiście coś cię łączyło i która udostępniła lub sprzedała go „partnerom”, często dlatego, że przy rejestracji wstępnie zaznaczone pole pozostało zaznaczone. Adresy zbierają i sprzedają też brokerzy danych. Poradnik podlinkowany w części Sprzedaż list, brokerzy danych i „nasi partnerzy” pokazuje, jak ustalić, która to była firma.

Skąd spamerzy mają mój służbowy adres e-mail?

Z list kontaktów biznesowych sprzedawanych marketerom, ze strony internetowej twojego pracodawcy i przez zgadywanie stosowanego w firmie schematu nazw adresów. HIBP ma kilka wyciekłych list firmowych, np. B2B USA Businesses, w której adresy posortowano według pracodawcy i stanowiska. W Wielkiej Brytanii według ICO organizacje mogą bez zgody wysyłać marketing na adres służbowy, chyba że adres cię identyfikuje — wtedy możesz poprosić, żeby przestały.