Como spammers e golpistas conseguem seu e-mail: 7 caminhos

Spammers e golpistas conseguem endereços de e-mail em vazamentos de dados, em listas que empresas vendem ou compartilham, pela raspagem de sites e perfis públicos, adivinhando nomes comuns, nas agendas de contatos de outras pessoas e em registros antigos de domínios. Depois, eles testam quais endereços estão ativos observando aberturas, cliques e respostas. O spam de e-mail pode chegar até a um endereço que você nunca divulgou, por adivinhação, raspagem ou pelos contatos de outra pessoa, e só alguns desses caminhos você mesmo consegue fechar. Para os caminhos que começam em você, o CatchNone dá a cada loja e newsletter um endereço próprio e mostra em qual deles cada mensagem chegou, então um vazamento ou uma venda de lista revela a origem, no iPhone, no iPad e no Mac.

Como spammers e golpistas conseguem seu e-mail: os 7 caminhos

1. Vazamentos de dados e as listas de senhas montadas a partir deles.
2. Venda e compartilhamento de listas, por meio de corretores de dados (data brokers, empresas que coletam e revendem dados pessoais) e de “parceiros”.
3. Raspagem de páginas da web, perfis em redes sociais e código.
4. Adivinhação de nomes comuns, principalmente em domínios que aceitam qualquer endereço.
5. Agendas de contatos de outras pessoas: envio de contatos, malware e longas cadeias de Cc.
6. Registros WHOIS antigos, de antes de 2018.
7. Confirmação: imagens de rastreamento, cliques, respostas e mensagens de teste em branco que provam que um endereço funciona.

Vazamentos de dados e combo lists

Quando uma empresa sofre um vazamento, a lista de clientes dela pode ir junto, quer você ainda use o serviço, quer não. O Have I Been Pwned (HIBP) listava 1.038 vazamentos e mais de 17,8 bilhões de registros de contas vazadas em 25 de setembro de 2026. Esse total conta um endereço uma vez para cada vazamento em que ele aparece, então mede contas, não pessoas. Pesquise seu próprio endereço lá para ver em quais vazamentos ele está, quando eles aconteceram e o que foi exposto. Se ele não estiver em nenhum, é mais provável que tenha sido uma venda de lista, raspagem ou adivinhação.

Endereços vazados são reaproveitados. As combo lists (listas combo) são pares de e-mail e senha reunidos de vazamentos anteriores e usados em credential stuffing, ou seja, testar a mesma senha em outros sites. O HIBP descreve a Collection #1 (2019) como “773 milhões de endereços de e-mail únicos, junto com as senhas que esses endereços tinham usado em outros serviços vazados”. Os stealer logs (registros de malware que rouba dados) são uma terceira fonte: um malware em um dispositivo infectado registra “endereços de e-mail, senhas e o site em que eles são digitados no login”.

Dá para fechar? Não. Você pode limitar o que um vazamento expõe: uma senha única para cada site, verificação em duas etapas na sua conta de e-mail e um endereço separado para cada empresa, para que um vazamento exponha só um endereço extra, e não o principal. Os alertas gratuitos do Notify Me (Avise-me) do HIBP avisam você sobre o próximo.

Venda de listas, corretores de dados e “nossos parceiros”

A FTC, a Comissão Federal de Comércio dos EUA, é direta: “Quando você dá seu endereço de e-mail a uma empresa, ela pode compartilhá-lo ou vendê-lo a terceiros”. Os formulários de cadastro alimentam o mesmo comércio. A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) observa que as opções para receber e-mails sobre outros produtos às vezes vêm marcadas por padrão, “então, se você não desmarcá-las, pode começar a receber e-mails dessas listas também”. Sorteios, pesquisas pagas e ofertas de vale-presente também alimentam esse comércio: o HIBP diz que listas de spam costumam ser montadas “obtendo informações pessoais das pessoas com a promessa de uma recompensa em dinheiro”.

Quem compra endereços de e-mail? Profissionais de marketing compram de vendedores de listas e de corretores de dados, e spammers compram uns dos outros: o FAQ para consumidores da Spamhaus cita endereços “comprados de outros spammers” entre as fontes deles. Listas empresariais são um produto à parte. Em 2016, uma lista com mais de 33 milhões de profissionais de empresas americanas, do serviço NetProspex da Dun & Bradstreet, vazou na internet, e a D&B acreditava que ela tinha sido perdida por um cliente que a comprou.

Nos EUA, a lei CAN-SPAM não exige consentimento para enviar e-mail marketing. Mas, depois que você pede para sair, a empresa precisa parar de enviar e-mails a você em até 10 dias úteis e, a partir do momento em que você pede, “não pode vender nem transferir” seu endereço. No Brasil, não existe uma lei específica como essa para e-mail; seu endereço é um dado pessoal protegido pela LGPD (Lei 13.709/2018), fiscalizada pela ANPD.

Dá para fechar? Em parte. Desmarque as caixas que já vêm marcadas, saia das listas de marketing que você não lê e dê a cada empresa um endereço só dela, para que a próxima venda revele quem a fez. Como descobrir quem vendeu seu e-mail explica em detalhes os cabeçalhos, as consultas a vazamentos e os pedidos de acesso aos dados.

Raspagem: sites, perfis e código

“Spammers podem coletar qualquer endereço de e-mail publicado em um site”, alerta a CISA. Em um experimento da FTC de 2002, 86% dos endereços publicados em páginas da web receberam spam em até seis semanas, e um endereço publicado em uma sala de bate-papo recebeu spam nove minutos depois do primeiro uso (resultados reproduzidos pela ICANN). Não importava em que parte da página ele estava: “se o endereço tinha o sinal ‘@’, ele atraía spam”.

Perfis são raspados em grande escala. Em 2021, atacantes rasparam centenas de milhões de perfis públicos do LinkedIn e obtiveram cerca de 125 milhões de endereços de e-mail únicos, segundo o HIBP. Atacantes também exploraram uma API do Twitter que associava endereços de e-mail a contas, e mais de 200 milhões de registros coletados dessa forma apareceram em 2023.

Código público também expõe endereços: todo commit do Git leva o endereço de e-mail do autor. No GitHub, acesse Settings (Configurações) → Emails (E-mails), selecione “Keep my email addresses private” (Manter meus endereços de e-mail privados) e “Block command line pushes that expose my email” (Bloquear pushes pela linha de comando que exponham meu e-mail) e depois configure o Git no seu computador com o endereço @users.noreply.github.com mostrado ali. Os commits feitos antes da mudança “continuam associados ao seu endereço de e-mail anterior” (GitHub Docs). Como manter seu endereço fora dos commits do GitHub e do GitLab traz o passo a passo completo.

Dá para fechar? Daqui para a frente. Mantenha seu endereço principal fora de páginas públicas, use um formulário de contato ou um endereço separado no lugar dele e configure seus perfis em redes sociais para que só pessoas de confiança vejam seu e-mail, como recomenda a CISA. O que já foi raspado continua circulando.

Adivinhação: spammers podem simplesmente adivinhar seu endereço?

Sim, e não precisam de lista nenhuma. O comitê de segurança da ICANN descreveu o método em 2007: spammers testam “nomes e sobrenomes comuns, isolados e combinados”, ou todas as combinações de caracteres, e ficam com os endereços que um servidor de e-mail aceita. Isso se chama ataque de coleta de diretório (directory harvest attack). Em um dos testes do comitê, 70% do spam foi para endereços dos domínios de teste que nunca tinham sido publicados em lugar nenhum. Nomes curtos e comuns são os alvos mais fáceis, e o padrão first.last@example.com de uma empresa permite que qualquer um monte os endereços dos funcionários dela.

Um catch-all aceita qualquer palpite. Se seu próprio domínio entrega e-mails para qualquer endereço, admin@example.com e info@example.com chegam até você, quer você os tenha usado, quer não. O FAQ do addy.io alerta que “spammers e bots costumam testar endereços de e-mail aleatórios”, e o cPanel diz que um catch-all “pode receber uma grande quantidade de spam” quando spammers miram um domínio. O que é um endereço de e-mail catch-all? explica os prós e contras em detalhes.

Dá para fechar? Em parte. Um endereço curto e comum continua fácil de adivinhar, mas o próximo não precisa ser: escolha um que seja difícil de adivinhar, como recomenda o ICO, a autoridade de proteção de dados do Reino Unido. No seu próprio domínio, desativar o catch-all impede que os palpites cheguem até você. Se mantiver o catch-all, bloqueie os nomes adivinhados no seu provedor de e-mail. No Email Routing do Cloudflare (roteamento de e-mail), por exemplo, acesse Compute (Computação) → Email Service (Serviço de e-mail) → Email Routing → Routing Rules (Regras de roteamento) e adicione uma regra para o endereço com a ação “Drop” (Descartar), que “apaga os e-mails que correspondem à regra sem roteá-los”. O Cloudflare observa que o endereço continua parecendo válido para os remetentes; envie uma mensagem de teste para confirmar que a regra tem prioridade sobre o seu catch-all.

Agendas de contatos e caixas de entrada de outras pessoas

Seu endereço está nos contatos de todo mundo com quem você já trocou e-mails, e essas cópias estão fora do seu controle.

• Envio de contatos. Quando alguém sincroniza os contatos com o Facebook, o Messenger ou o Instagram, a Meta envia todos os dias “os nomes, números de telefone e endereços de e-mail da agenda de contatos” da pessoa, inclusive os de quem não usa os apps da Meta. Isso, por si só, não entrega seu endereço a spammers, mas a Meta diz que, antes de setembro de 2019, raspadores usaram indevidamente o importador de contatos dela para associar números de telefone a contas.
• Malware no computador de outra pessoa. O malware Emotet conseguia “raspar endereços de e-mail do Outlook” e sequestrar conversas reais por e-mail para se espalhar (alerta AA20-280A da CISA).
• Cadeias de Cc e listas de e-mails. Um encaminhamento longo leva todos os endereços da conversa, e o comitê de segurança da ICANN descreveu spammers que entram em listas de e-mails para coletar endereços dos cabeçalhos From, Reply-To e Cc.
• Alguém cadastra você. A ajuda do Gmail descreve pessoas que usam seu endereço “para se inscrever em e-mails, como promoções ou newsletters”, por engano ou de propósito.

Dá para fechar? Não diretamente. Use Cco em e-mails para grupos, tire os endereços de outras pessoas de uma conversa antes de encaminhá-la e peça aos outros que façam o mesmo.

Registros WHOIS antigos

Os registros de domínios costumavam publicar o endereço de e-mail do titular. Em 2007, o comitê de segurança da ICANN concluiu que um endereço no WHOIS “praticamente garante que o spam será entregue”.

Esse caminho está quase todo fechado. A partir de 25 de maio de 2018, a Especificação Temporária (Temporary Specification) da ICANN fez os registradores ocultarem os dados de contato dos registros ligados à Europa e permitiu que fizessem o mesmo em qualquer outro lugar, oferecendo no lugar um endereço de retransmissão ou um formulário na web. Um estudo da Interisle de 2021 constatou que só 13,5% dos domínios genéricos, como .com, ainda identificavam um titular real. A Política de Dados de Registro (Registration Data Policy) permanente da ICANN, em vigor desde 21 de agosto de 2025, mantém o mesmo modelo.

O caminho ainda existe quando você consentiu com a publicação, em registradores que publicam os dados de organizações ou de titulares fora da Europa, sob as regras próprias de alguns domínios de código de país e em arquivos pagos de registros anteriores a 2018.

Dá para fechar? Na maioria dos casos, já vem fechado. Se você tem um domínio, consulte-o no ICANN Lookup para ver o que é público, mantenha ativada a opção de privacidade do seu registrador e não concorde em publicar seus dados de contato.

Confirmação: aberturas, cliques, respostas e mensagens em branco

Um endereço vale mais quando se sabe que ele funciona. Spammers “vendem endereços ativos a um preço mais alto, como endereços ‘com entrega confirmada’, para ainda mais spammers”, diz o FAQ para consumidores da Spamhaus. Eles confirmam endereços por meio de:

• Imagens de rastreamento. “Quando seu cliente de e-mail baixa a imagem do servidor deles, os spammers sabem que você abriu a mensagem” (CISA).
• Cliques e respostas. Qualquer clique ou resposta, inclusive um pedido de “me remova”, confirma que alguém lê aquele endereço.
• Links de cancelamento de inscrição. O padrão de cancelamento de inscrição com um clique, a RFC 8058, observa que cancelar a inscrição “dá ao remetente um forte indício de que o endereço para o qual a mensagem foi enviada era válido”.
• Mensagens em branco. “Para verificar se endereços de e-mail são válidos, spammers costumam enviar e-mails sem conteúdo no corpo ou no assunto”, diz a ajuda do Gmail. Os endereços que funcionam recebem spam depois.

Dá para fechar? Sim. Em e-mails de desconhecidos, não responda, não clique e não cancele a inscrição; denuncie como spam. Com marcas que você reconhece ou em que se cadastrou, use o botão de cancelar a inscrição do seu app de e-mail, como sugere o Gmail, ou a opção de descadastro da própria mensagem, como recomenda o ICO; quando os links de cancelamento de inscrição são seguros traz a regra para cada tipo de remetente.

Depois, impeça que as imagens entreguem você. No app Mail do iPhone (iOS 27), acesse Ajustes → Apps → Mail → Proteção de Privacidade e ative “Proteger a Atividade do App Mail”, que carrega as imagens de forma privada em segundo plano para que o remetente não saiba se nem quando você leu uma mensagem (guia da Apple). No Gmail no computador, acesse Configurações → Ver todas as configurações, defina “Images” (Imagens) como “Ask before displaying external images” (Perguntar antes de exibir imagens externas) e clique em “Save Changes” (Salvar alterações) (ajuda do Google). Nenhum dos dois protege links nem anexos. Como bloquear pixels de rastreamento traz o passo a passo para outros apps de e-mail e o que cada um ainda revela.

Como descobrir de onde vem o spam

O Cco esconde os outros destinatários, e a ajuda do Gmail observa que “às vezes, spammers adicionam endereços de e-mail aleatórios ao campo ‘Cco’ para tentar fazer as pessoas responderem”, então não responda.

Existe uma lista de spam que você possa consultar ou da qual possa sair?

Não existe uma lista oficial de destinatários de spam, nem como sair das listas dos próprios spammers. Você pode verificar se seu endereço apareceu na lista vazada de algum spammer: pesquise-o no Have I Been Pwned, que inclui 16 listas desse tipo em 25 de setembro de 2026. As maiores são a Onliner Spambot (711 milhões de endereços, 2017) e a River City Media (393 milhões, 2017). Se um desses nomes aparecer nos seus resultados, um spammer tinha seu endereço.

Listas de bloqueio são outra coisa: elas registram de onde vem o spam. A Spamhaus define uma lista assim como “um banco de dados que contém endereços IP, domínios ou hashes”, cada um listado porque foi visto enviando spam ou causando outros danos, ou porque tem má reputação. A Hash Blocklist dela pode incluir endereços de e-mail, mas são endereços que enviam spam ou aparecem nele, como uma conta invadida. Verificadores de listas de bloqueio, como o Blacklist Check do MxToolbox, testam o endereço IP de um servidor de e-mail, não seu endereço de e-mail.

Uma lista de “não envie e-mails” também não ajudaria. Em 2004, a FTC disse ao Congresso dos EUA que um cadastro desse tipo provavelmente teria o efeito contrário, porque “os spammers usariam esse cadastro como um diretório de endereços de e-mail válidos” (FTC). A Spamhaus chama os serviços pagos que prometem tirar você das listas de spammers de “na melhor das hipóteses, um golpe e, na pior, um sistema de confirmação de ‘endereços ativos’ para o spammer”.

As opções reais mais próximas alcançam empresas que seguem a lei, não spammers. Em setembro de 2026:

• O DROP da Califórnia (Delete Request and Opt-out Platform, plataforma de pedidos de exclusão e de opt-out) permite que moradores da Califórnia enviem um único pedido de exclusão gratuito a mais de 600 corretores de dados registrados, que precisam processar os pedidos pelo menos a cada 45 dias. Ele não alcança empresas com as quais você lidou diretamente (termos do DROP).
• O Email Preference Service da Association of National Advertisers, com link no DMAchoice.org, é gratuito e vale por 10 anos (FTC), mas só alcança profissionais de marketing que o usam para limpar suas listas.

O que podem fazer só com seu e-mail?

Sem sua senha, menos do que você talvez tema. Só com o endereço, alguém pode:

• enviar phishing que parece verdadeiro, principalmente com detalhes de um vazamento
• testar nas suas contas senhas vazadas de outros sites
• descobrir quais serviços você usa, como a API do Twitter já permitiu
• cadastrar você em e-mails que você nunca pediu
• revender seu endereço, por mais dinheiro depois que ele é confirmado como ativo

Por que um golpista quer seu endereço de e-mail?

Porque ele é o primeiro passo até sua caixa de entrada, e um criminoso dentro da sua conta de e-mail poderia “redefinir as senhas de todas as suas outras contas”. O Centro Nacional de Segurança Cibernética do Reino Unido (NCSC) recomenda uma senha forte e exclusiva para o seu e-mail, além da verificação em duas etapas.

Spam que mostra seu próprio endereço como remetente não prova que alguém entrou na sua conta, porque a linha From é fácil de falsificar. Como verificar se sua conta de e-mail foi invadida mostra as verificações para Gmail, Outlook.com e iCloud Mail.

É seguro passar seu endereço de e-mail?

Geralmente, sim. Um endereço não é uma senha, e saber qual é não abre sua conta. Dê seu endereço principal a pessoas e às empresas das quais você depende, como seu banco. Para lojas, newsletters e cadastros avulsos, um endereço separado para cada empresa mantém vazamentos e vendas de listas longe do principal, e seu endereço principal não deveria ser publicado em lugar nenhum.

Como impedir que spammers consigam seu endereço: quais caminhos você pode fechar

Há várias formas de ter um endereço por empresa. O CatchNone dá a cada empresa um alias próprio, mantém esses e-mails fora da sua caixa de entrada principal e marca cada mensagem com um selo do alias em que chegou, então um vazamento ou uma venda fica à vista. O e-mail com sinal de mais (+) é mais rápido de começar, quando seu provedor aceita (you+shop@example.com), mas qualquer um pode apagar a marcação, então ela só identifica um vazamento quando o remetente não se dá ao trabalho de removê-la. O Ocultar Meu E-mail (Hide My Email) da Apple, parte do iCloud+, o DuckDuckGo Email Protection e outros serviços de alias encaminham os e-mails para sua caixa de entrada. Um catch-all no seu próprio domínio também funciona, com a desvantagem da adivinhação vista acima. Serviços de alias de e-mail comparados mostra as diferenças.

Onde o CatchNone se encaixa

O CatchNone atua nos caminhos que começam com você entregando um endereço. Cada loja, newsletter ou conta ganha um alias só dela, e cada mensagem traz um selo com o alias em que chegou, então um endereço vazado ou vendido revela a origem. A “Atividade” aponta e-mails em um alias sem uso e remetentes que escrevem pela primeira vez, e as imagens remotas, incluindo a maioria dos pixels de rastreamento, ficam bloqueadas até você carregá-las. Endereços @catchnone.com exigem o Premium e são atribuídos aleatoriamente, como abcde-12345@catchnone.com, então ninguém os adivinharia. E-mails para endereços que não existem ali são aceitos e descartados, então quem tenta adivinhar não descobre nada, e, quando você desativa um endereço que vazou, os e-mails voltam para os remetentes. No seu próprio domínio, os endereços catch-all adivinhados aparecem sob o endereço em que chegaram, com um selo cinza, o que facilita identificar o spam de dicionário. Baixe o CatchNone, disponível para iPhone, iPad e Mac.

O CatchNone só recebe e não é um filtro de spam: ele mantém os e-mails de cadastros em um app próprio, longe da sua caixa de entrada principal, e mostra qual alias recebeu cada mensagem. No seu próprio domínio, marcar um alias como “Fora de uso” é só um rótulo, então bloqueie endereços no seu provedor de e-mail.

Perguntas frequentes

Como os golpistas conseguem meu e-mail se eu nunca o divulguei?

O mais provável é que tenham adivinhado seu endereço, raspado de uma página, perfil ou commit onde ele estava publicado, tirado da agenda de contatos de outra pessoa ou obtido de uma empresa em que você se cadastrou um dia e esqueceu, por um vazamento ou uma venda de lista dessa empresa. A tabela de sinais associa o que você vê ao caminho provável.

Como empresas desconhecidas conseguem meu e-mail?

Geralmente, de uma empresa com a qual você teve contato, que o compartilhou ou vendeu a “parceiros”, muitas vezes porque você deixou marcada uma caixa que já vinha selecionada no cadastro. Corretores de dados também coletam e vendem endereços. O guia citado em venda de listas e corretores de dados mostra como descobrir qual empresa foi.

Como spammers conseguem meu e-mail do trabalho?

Por listas de contatos empresariais vendidas a profissionais de marketing, pelo site do seu empregador e adivinhando o padrão de nomes dele. O HIBP tem várias listas empresariais vazadas, como a B2B USA Businesses, que organizava os endereços por empregador e cargo. No Reino Unido, o ICO diz que organizações podem enviar marketing a um endereço de trabalho sem consentimento, a menos que o endereço identifique você; nesse caso, você pode pedir que parem.