Vazaram meu e-mail: como descobrir quem vendeu seu endereço

Vazaram seu e-mail? Você só consegue descobrir com certeza quem vendeu ou vazou seu endereço se tiver dado àquela empresa um endereço que ninguém mais tinha. Com um endereço principal que você usa há anos, normalmente dá para reduzir a lista de suspeitos, mas não apontar um culpado: ele está em dezenas de bancos de dados de clientes, e uma mensagem de spam raramente leva de volta a quem o deixou escapar. O que você consegue descobrir é quem está mandando e-mails para você e por qual serviço, se o seu endereço apareceu em um vazamento de dados conhecido de alguma empresa e, no Brasil, na UE e no Reino Unido, o que uma empresa diz sobre onde conseguiu seu endereço. O CatchNone, para iPhone, iPad e Mac, faz desse esquema de um endereço por empresa o padrão: cada mensagem traz uma etiqueta com o alias em que chegou, então o próximo vazamento aponta a própria origem.

Os passos, em ordem:

1. Encontre a primeira mensagem indesejada e o endereço exato que ela atingiu.
2. Leia os cabeçalhos dela para identificar o remetente e o serviço de envio que ele usa.
3. Consulte o Have I Been Pwned para ver se algum vazamento de dados incluiu o endereço.
4. Pergunte ao remetente onde ele conseguiu seu endereço e pergunte à empresa suspeita para quais empresas ela o passou.
5. Daqui para a frente, dê a cada empresa um endereço só dela.

É possível descobrir quem vendeu seu endereço de e-mail?

Às vezes. Depende das provas:

• Os cabeçalhos mostram quem enviou uma mensagem e por qual serviço (uma assinatura DKIM válida prova qual domínio a assinou), não de onde veio a lista.
• Um registro de vazamento prova que uma empresa perdeu seu endereço, sem descartar outras.
• Um pedido com base na lei pode obrigar uma empresa a dizer o que sabe sobre a origem, se ela souber (na Califórnia, só por categorias).
• Um endereço aleatório que você deu a uma única empresa aponta direto para a origem: e-mail de qualquer outro remetente nesse endereço significa que ele saiu daquela empresa, seja por venda, compartilhamento ou roubo.

Uma enxurrada repentina de spam pode ter outras causas; veja por que o spam pode aumentar de repente. Para entender como os endereços se espalham, por venda, vazamentos, coleta automática e adivinhação, veja como os spammers conseguem endereços de e-mail.

Passo 1: encontre a primeira mensagem e o endereço que ela atingiu

Busque o remetente desconhecido e encontre o resultado mais antigo: a primeira mensagem é a que fica mais perto do momento em que seu endereço mudou de mãos. Confira exatamente para qual endereço ela foi enviada e como ela cumprimenta você. Um endereço antigo ou com um erro de digitação que você usou uma única vez, uma versão +tag do seu endereço, seu nome escrito errado em um único formulário de cadastro ou um detalhe que só uma empresa sabia: tudo isso aponta para uma origem.

Na UE e no Reino Unido, leia também o rodapé e o link de privacidade dessa primeira mensagem. Pelo GDPR (Regulamento Geral sobre a Proteção de Dados da UE, art. 14), uma empresa que obteve seus dados de outra pessoa precisa informar a você “a origem dos dados pessoais”. Se ela usa os dados para entrar em contato com você, o prazo é “o mais tardar no momento da primeira comunicação”. Se a primeira mensagem não disse isso, aponte a falha no seu pedido do passo 4.

Passo 2: leia os cabeçalhos

Os cabeçalhos são as linhas ocultas acima de uma mensagem. Eles indicam o remetente e o serviço que transportou o e-mail, o que mostra a quem você deve escrever no passo 4.

Como ver os cabeçalhos

Caminhos das páginas de ajuda de cada fornecedor, em setembro de 2026:

Atalho do Gmail: na web, clique na seta para baixo abaixo do nome do remetente para ver Mailed by (Enviado por) e Signed by (Assinado por), os domínios que enviaram e assinaram a mensagem.

Um exemplo prático

Um conjunto de cabeçalhos ilustrativo e resumido. Seu endereço é k7qm-2xrd@example.com, um endereço aleatório que você deu só a uma loja de jardinagem. A marca é dealsdaily.example.net, e mailer.example.org é o serviço de envio que ela usa.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Aqui, o remetente é a Deals Daily, que envia pelo mailer.example.org, e o endereço atingido é o aleatório que você deu só à loja de jardinagem, então foi de lá que ele saiu. Os cabeçalhos não dizem como a Deals Daily o conseguiu: eles mostram o remetente, nunca o vendedor. O ICANN Lookup mostra o registro de um domínio desconhecido, mas os dados do dono geralmente aparecem ocultos.

Passo 3: veja se seu e-mail foi vazado por uma empresa

O Have I Been Pwned (HIBP) mostra em quais vazamentos de dados e listas de spam um endereço aparece. Em 25 de setembro de 2026, ele lista 1.038 sites vazados e mais de 17,8 bilhões de contas vazadas (um endereço que aparece em vários vazamentos é contado uma vez para cada um).

• Um vazamento de dados mostra o serviço que perdeu os dados e quando: é uma pista forte se o spam começou logo depois.
• Uma lista de spam significa que seu endereço apareceu em dados usados para spam direcionado. Essas listas “costumam ser agregadas de várias fontes”, então raramente indicam a empresa de origem. Registros vindos de pastes (textos publicados abertamente na internet) e vazamentos que o HIBP marca como fabricados ou não verificados são provas ainda mais fracas.
• Vazamentos sensíveis só aparecem depois que você entra e confirma que recebe e-mails no endereço.

Um resultado limpo significa apenas que o endereço não está em nenhum vazamento que o HIBP carregou, não que ninguém o vendeu. Ative os alertas gratuitos do Notify Me (Avise-me). Se você usa endereços por empresa no seu próprio domínio, o Domain Search (busca por domínio) mostra quais deles aparecem em qual vazamento, depois que você verifica o domínio (domínios maiores normalmente exigem assinatura). O relatório da dark web do Google, recomendado em guias mais antigos, foi descontinuado no início de 2026.

Passo 4: pergunte diretamente às empresas

No Brasil, a LGPD (Lei 13.709/2018) permite que você, como titular dos dados, peça a uma empresa a confirmação de que ela trata seus dados, o acesso a eles e a lista das entidades públicas e privadas com as quais ela os compartilhou (art. 18). A declaração completa precisa indicar a origem dos dados e chegar em até 15 dias (art. 19), sem custo para você. Se a resposta não vier ou for evasiva, você pode reclamar à ANPD (Agência Nacional de Proteção de Dados), a um órgão de defesa do consumidor, como o Procon, ou no consumidor.gov.br.

UE e Reino Unido: pergunte de onde veio e para onde foi

O direito de acesso permite fazer duas perguntas a duas empresas:

• Pergunte ao remetente onde ele conseguiu seu endereço. O artigo 15(1)(g) do GDPR garante a você “as informações disponíveis sobre a origem desses dados”, e as diretrizes de transparência endossadas pelo Comitê Europeu para a Proteção de Dados dizem que uma empresa que obteve seus dados em outro lugar deve indicar a fonte específica, a menos que não consiga.
• Pergunte à empresa suspeita para quais empresas ela passou seu endereço. Com base no artigo 15(1)(c), o Tribunal de Justiça da União Europeia decidiu no caso Österreichische Post (C-154/21) que uma empresa deve informar, a pedido, os destinatários concretos, a menos que ainda não consiga identificá-los ou que o pedido seja manifestamente infundado ou excessivo. O órgão regulador de proteção de dados do Reino Unido, o ICO, diz o mesmo com base no UK GDPR.

Nenhum dos dois pedidos obriga alguém a nomear um vendedor: a empresa pode dizer que não sabe ou que os dados vieram de várias fontes (considerando 61), embora uma resposta evasiva seja motivo para reclamação. Use os contatos indicados no aviso de privacidade de cada empresa e deixe de fora os spammers declarados, já que responder confirma que seu endereço funciona.

Aqui está um pedido que você pode copiar (deixe de fora o item 4 quando escrever para a empresa suspeita):

Assunto: Pedido de acesso nos termos do artigo 15 do GDPR

Nos termos do artigo 15 do GDPR (ou do UK GDPR), em relação ao meu endereço de e-mail, you@example.com, peço que me informem:

1. Onde vocês o obtiveram, indicando a fonte específica (art. 15(1)(g)).
2. A quais destinatários vocês o divulgaram, pelo nome (art. 15(1)(c)).
3. Quais dados pessoais meus vocês mantêm, com uma cópia.
4. Por que a primeira mensagem que vocês me enviaram, em [data], não indicou essa fonte (art. 14(2)(f) e 14(3)(b)).

Também me oponho ao uso dos meus dados para marketing direto (art. 21). Peço uma resposta em até um mês (art. 12(3)).

[Seu nome]

As respostas costumam ser gratuitas (os prazos estão na tabela abaixo). Depois que você se opõe ao marketing direto, seus dados não podem mais ser usados para isso.

Se a resposta não vier ou for evasiva no Reino Unido, reclame primeiro com a empresa: para reclamações feitas desde 19 de junho de 2026, a lei Data (Use and Access) Act exige que ela confirme o recebimento da sua em até 30 dias. Depois, em até três meses do seu último contato relevante com a empresa, reclame ao ICO. Na UE, o artigo 77 permite reclamar a uma autoridade de proteção de dados.

Estados Unidos: Califórnia e Oregon

Um pedido de “direito de saber” pela CCPA, a lei de privacidade da Califórnia, devolve as categorias de fontes e de terceiros, além das informações pessoais mantidas, mas não informa quem vendeu seu endereço. As respostas são gratuitas. Você também pode mandar uma empresa parar de vender ou compartilhar seus dados, ou pedir que ela exclua o que coletou de você. A lei só abrange empresas acima de certos limites, como faturamento anual acima de US$ 26.625.000 (em setembro de 2026).

Se você mora no Oregon, uma empresa sujeita à lei de privacidade do estado precisa, a pedido, fornecer uma lista dos terceiros específicos a quem divulgou dados, mas pode listar os que receberam quaisquer dados pessoais, e não só os seus (ORS 646A.574). Esses direitos vêm de leis estaduais, então o que você pode pedir depende de onde você mora.

Moradores da Califórnia também podem usar o DROP, a Delete Request and Opt-out Platform (plataforma de pedidos de exclusão e de opt-out), para enviar um único pedido de exclusão a todos os corretores de dados (data brokers) registrados. Ela entrou no ar em 1º de janeiro de 2026 e, desde 1º de agosto de 2026, os corretores precisam processar os pedidos pelo menos a cada 45 dias. Ela só alcança corretores de dados, empresas com as quais você não tem relação direta, e não a loja a quem você deu seu endereço.

Qualquer pessoa pode consultar os registros de corretores de dados da Califórnia, de Vermont, do Texas e do Oregon. Procure neles o nome da empresa remetente e os domínios do passo 2. Uma correspondência indica que o remetente é um corretor de dados registrado, um dos negócios que o DROP alcança se você mora na Califórnia.

O que cada pedido pode render

Em qualquer lugar: o serviço de envio

O serviço de envio indicado em DKIM-Signature d=, Return-Path ou List-Unsubscribe tem regras próprias. A Política de Uso Aceitável do Mailchimp, por exemplo, proíbe enviar para “listas compradas, alugadas, de terceiros, de co-registro, de dados disponíveis publicamente ou de parceiros de qualquer tipo”, e a equipe de abuso dele pede “o cabeçalho completo do e-mail” (ambas as páginas foram consultadas em 25 de setembro de 2026). Envie os cabeçalhos completos à equipe de abuso do serviço. Ela não vai dizer quem vendeu seu endereço, mas pode impedir o remetente de usar o serviço.

O que fazer depois que você souber

• Aposente o endereço. Dê um endereço novo à empresa que o vazou, ou encerre a conta, e depois desative ou apague o antigo. Mantenha-o funcionando até que qualquer pedido de acesso seja respondido, já que a resposta ou uma verificação de identidade pode chegar nele. Se for seu endereço principal, use filtros.
• Faça parar. Envie a oposição do art. 21 (UE, Reino Unido), cancele a inscrição nos remetentes legítimos dos EUA ou recuse a venda e o compartilhamento e use o DROP (Califórnia). No Brasil, revogue o consentimento e peça a eliminação dos seus dados pela LGPD. Se cancelar a inscrição já falhou antes, leia por que cancelar a inscrição não funciona.
• Denuncie em ReportFraud.ftc.gov nos EUA, com a ferramenta de denúncia de spam do ICO no Reino Unido (ela não responde individualmente) ou à equipe de abuso do serviço de envio, e marque a mensagem como spam no seu app de e-mail.
• Se foi um vazamento de dados, proteja também a conta (veja as perguntas frequentes).

As empresas vendem seu endereço de e-mail? Isso é legal?

Sim, algumas vendem. A FTC diz (a Comissão Federal de Comércio dos EUA): “Quando você dá seu endereço de e-mail a uma empresa, ela pode compartilhá-lo ou vendê-lo a terceiros.” Nos EUA, a lei federal permite isso até você recusar (opt-out). No Reino Unido e na UE, uma empresa precisa do seu consentimento para enviar e-mails a você a partir de uma lista comprada e, no Reino Unido, em geral precisa do seu consentimento para vender uma lista.

• Estados Unidos: pela lei federal CAN-SPAM, uma empresa não precisa de consentimento para enviar e-mails de marketing a você. Depois que você recusa, ela tem 10 dias úteis para parar e não pode vender nem transferir seu endereço. A Califórnia acrescenta o direito de recusar a venda, e a “venda” na lei de lá inclui alugar ou disponibilizar dados em troca de “outra contrapartida de valor”, então uma troca com um parceiro pode contar, mesmo sem dinheiro envolvido. “Compartilhamento” (sharing) é um termo à parte, usado para publicidade comportamental entre contextos.
• Reino Unido: pelas Privacy and Electronic Communications Regulations (PECR, o regulamento de privacidade e comunicações eletrônicas), uma empresa só pode enviar e-mails a pessoas de uma lista comprada se elas “consentiram especificamente em receber esse tipo de mensagem” dela; um consentimento genérico para qualquer terceiro não basta, e vender uma lista geralmente exige o consentimento das pessoas que estão nela (orientações do ICO, em revisão depois da Data (Use and Access) Act). Endereços corporativos seguem regras diferentes.
• UE: a Diretiva ePrivacy só permite e-mail de marketing com “consentimento prévio”, exceto quando um vendedor divulga produtos semelhantes aos próprios clientes, uma exceção que quem compra listas não pode usar.

Por que o truque do sinal de mais é uma prova fraca

O “truque do Gmail” é se cadastrar com um endereço com etiqueta, como you+shopname@example.com para you@example.com, e observar qual etiqueta aparece no spam. A própria descrição do Google mostra o ponto fraco: “As mensagens enviadas para seu endereço atual ou para qualquer variação com o sinal de mais chegam todas à sua caixa de entrada atual.”

• Seu endereço real fica à vista. Apague a etiqueta e o e-mail continua chegando a você, e a prova some.
• A etiqueta não significa nada para o remetente. Só o seu provedor interpreta a parte antes do @ (RFC 5321, §2.3.11), e o separador varia de sistema para sistema (RFC 5233).
• Ele prova menos do que parece. Um endereço com etiqueta no spam mostra que ele saiu daquela empresa, não se foi vendido, compartilhado ou vazado. E, se nenhum spam com a etiqueta chegar, isso não inocenta ninguém: a etiqueta pode simplesmente ter sido removida.

O truque do ponto, se cadastrar como your.name em uma empresa e como yo.urname em outra, é ainda mais fraco: o Gmail ignora pontos em endereços pessoais, então qualquer um pode removê-los (em contas de trabalho ou de escola, os pontos contam). O e-mail com sinal de mais ainda é útil para filtrar; o guia de e-mail com sinal de mais mostra onde ele funciona.

Passo 5: faça o próximo vazamento se denunciar

O método confiável funciona daqui para a frente: dê a cada empresa um endereço próprio que não contenha o seu endereço real. E-mail de qualquer outro remetente no endereço que você deu a uma loja mostra de onde ele saiu, e você pode desativar só esse endereço.

• O CatchNone dá a cada empresa um alias próprio e marca cada mensagem com uma etiqueta do alias em que ela chegou, então um endereço vendido fica evidente sem que você precise ler cabeçalhos. Os endereços @catchnone.com exigem o Premium; um domínio seu funciona também no plano Gratuito.
• Serviços de alias como o Ocultar Meu E-mail da Apple (Hide My Email, com o iCloud+), o DuckDuckGo Email Protection (proteção de e-mail do DuckDuckGo), o SimpleLogin, o addy.io e o Firefox Relay encaminham os e-mails para sua caixa de entrada. A comparação de serviços de alias de e-mail mostra as diferenças.
• Um catch-all no seu próprio domínio aceita e-mails para qualquer endereço desse domínio, então você pode inventar um para cada cadastro. O Cloudflare Email Routing (o roteamento de e-mail do Cloudflare), por exemplo, está disponível nos planos gratuitos e pagos (em setembro de 2026) e tem uma regra catch-all. Veja o que é um endereço de e-mail catch-all para conhecer os prós e os contras.

Prefira endereços aleatórios a endereços fáceis de adivinhar, como gardenshop@example.com, que um spammer poderia inventar em um catch-all, e anote qual endereço foi para onde.

CatchNone: cada mensagem mostra o endereço em que chegou

O CatchNone foi feito para o passo 5. Você dá a cada loja, newsletter ou conta um alias só dela, e cada mensagem no app traz uma etiqueta com o alias que a recebeu. Quando um desconhecido escreve para o endereço que você deu só à loja de jardinagem, a etiqueta mostra de onde ele saiu, sem nenhum cabeçalho para ler. A Atividade aponta mensagens em um alias que você marcou como fora de uso e remetentes que escrevem pela primeira vez, e você pode desativar um endereço @catchnone.com vazado: as mensagens voltam para o remetente, enquanto seus outros aliases continuam funcionando.

Com o Premium, você tem endereços @catchnone.com aleatórios, como abcde-12345@catchnone.com, sem domínio, DNS nem caixa de correio para configurar, e até os e-mails recebidos em cópia oculta (Cco) são atribuídos ao alias certo. Ou use um domínio seu cujos e-mails seu provedor já entrega em uma caixa de entrada: o app lê essa caixa de correio apenas para leitura, por IMAP ou JMAP, direto do seu aparelho, com até 10 aliases no plano Gratuito e sem limite no Lite e no Premium. O CatchNone está disponível para iPhone, iPad e Mac.

Ele funciona daqui para a frente, não para trás, com endereços que você já usou, e não tem banco de dados de vazamentos nem detecção de vazamentos: as etiquetas e as notas da Atividade são indícios para você avaliar. No seu próprio domínio, ele lê só a caixa de entrada, e só as mensagens cujo Para, Cc ou Cco traz um endereço do seu domínio, então o spam que foi parar na pasta de spam não aparece. Marcar ali um alias como fora de uso só coloca um rótulo nele, então bloqueie um endereço vazado no seu provedor. As mensagens de @catchnone.com são apagadas 30 dias depois de chegar; então sinalize as que você precisar como prova para manter o texto completo no seu aparelho.

Perguntas frequentes

O que fazer se uma empresa vazou meu e-mail?

Consulte o endereço no Have I Been Pwned para ver em qual vazamento ele apareceu e o que mais vazou junto. Troque a senha desse site e de todos os lugares onde você a reutilizou, e ative a verificação em duas etapas. Espere tentativas de phishing que citem os dados vazados e não siga links em mensagens que mencionem o vazamento. Se você tinha dado àquela empresa um endereço só dela, aposente-o e dê um novo à empresa.

O LinkedIn ou o Google vendem meu endereço de e-mail?

Nenhum dos dois diz que vende suas informações pessoais, mas o LinkedIn diz que as compartilha para publicidade entre contextos. A declaração de privacidade para a Califórnia dele diz “Não vendemos suas informações pessoais” e permite que moradores da Califórnia recusem esse compartilhamento. O Safety Center (Central de Segurança) do Google diz “Nunca vendemos suas informações pessoais para ninguém”, e a política de privacidade dele (em vigor desde 26 de maio de 2026) diz que só compartilha informações pessoais fora do Google nos casos listados, o primeiro deles com o seu consentimento. As três páginas foram consultadas em 25 de setembro de 2026. Para outras empresas, leia a política e trate “vender” e “compartilhar” como coisas separadas.

Quem compra endereços de e-mail?

Corretores de dados, corretores de listas e profissionais de marketing; os registros estaduais citados acima listam os corretores registrados. Esse comércio pode ser aberto: no caso Österreichische Post, a operadora postal da Áustria disse que oferece dados pessoais “a parceiros comerciais para fins de marketing” e, mais tarde, listou destinatários que incluíam “fornecedores de listas de endereços”. Esse caso tratava de dados mantidos por uma operadora postal, não de endereços de e-mail.