Muito spam no e-mail de repente? Descubra o motivo

Se de repente você está recebendo muito spam no e-mail, o mais comum é que alguém tenha cadastrado seu endereço em centenas de listas de uma vez (um bombardeio de e-mails, ou email bomb), que seu endereço tenha aparecido em um vazamento de dados ou sido vendido depois de um cadastro, ou que spammers o estejam falsificando como remetente. Com menos frequência, sua conta foi invadida, uma mudança em um filtro ou app está deixando passar mais mensagens, ou alguém está chutando nomes em um domínio seu. O tipo de e-mail que chega mostra qual é a causa. Procure sinais de fraude primeiro: um bombardeio de e-mails muitas vezes serve para esconder uma compra ou uma redefinição de senha que você não deveria perceber. Para a próxima vez, o CatchNone dá a cada loja, newsletter e conta um endereço próprio no iPhone, no iPad e no Mac; assim, um pico cai em um único alias e mostra de onde veio.

Descarte as causas nesta ordem, da mais urgente para a menos urgente:

1. Um bombardeio de e-mails: dezenas ou centenas de confirmações de cadastro por hora.
2. Uma conta invadida: e-mails enviados da sua conta que você não escreveu, ou configurações que você não mudou.
3. Um vazamento de dados ou uma lista de spam: um aumento constante de e-mails indesejados de remetentes que você nunca viu.
4. Uma venda ou um compartilhamento depois de um cadastro: marketing de empresas com as quais você nunca teve contato.
5. Falsificação (spoofing): spam, ou mensagens de devolução, “enviados” pelo seu próprio endereço.
6. Uma mudança em um filtro ou app: os mesmos e-mails, organizados de outro jeito.
7. Nomes chutados em um domínio com catch-all (ataque de dicionário): e-mails para nomes inventados em um domínio seu.

Primeiro, confira se o spam não está escondendo uma fraude

Um bombardeio de e-mails inunda um único endereço com mensagens. A forma mais comum, o bombardeio de inscrições (subscription bombing), usa e-mails de confirmação reais de empresas reais: alguém digita seu endereço em formulários de cadastro de vários sites. Pesquisadores de segurança descrevem rajadas de mais de 1.500 e-mails por hora, e o Yahoo lista os objetivos, entre eles “esconder e-mails de confirmação de transações financeiras”.

Se sua caixa de entrada está se enchendo de mensagens como “Confirme sua inscrição” e “Boas-vindas”, gaste dez minutos nisto primeiro:

1. Abra os apps do banco e do cartão diretamente, e não por links em e-mails, e procure pagamentos ou transferências Pix que você não reconhece. Se encontrar algum, a FTC recomenda (a FTC é a agência de defesa do consumidor dos EUA) avisar imediatamente o emissor do cartão ou o banco, pelo “número no verso do cartão” ou pelo app.

2. Entre nas lojas que têm seu cartão salvo e confira os pedidos recentes.

3. Procure na sua caixa de correio, incluindo as pastas de spam e lixeira, o que a enxurrada pode estar enterrando: redefinições de senha, alertas de login, mudanças nos dados de recuperação e confirmações de pedidos e pagamentos. No Gmail, esta pesquisa cobre a última semana; troque 7d para voltar até o dia em que a enxurrada começou:

   in:anywhere newer_than:7d {subject:password subject:security subject:"sign in" subject:login subject:recovery subject:order subject:receipt subject:payment}

   No Outlook.com, no Mail do iCloud ou no Yahoo, pesquise essas palavras (ou as equivalentes em português) uma de cada vez.

4. Se encontrar algo que você não fez, mude a senha dessa conta no próprio site ou app dela e depois siga as verificações de conta invadida abaixo.

Espere mais um passo. Em ataques documentados pela CISA e pela Microsoft, a enxurrada foi seguida de uma ligação ou de uma mensagem no Microsoft Teams de alguém se passando pelo suporte de TI, que se oferecia para resolver o spam e pedia à vítima que instalasse uma ferramenta de acesso remoto, como o Quick Assist (Assistência Rápida) ou o AnyDesk. A Microsoft diz: “Se você não pediu, não vamos ligar para oferecer suporte.” Desligue ou ignore a mensagem. Em uma conta de trabalho, fale com a TI por um canal que você já usa.

Muito spam no e-mail de repente? Compare o padrão com a causa

Um aumento repentino de spam deixa pistas nos próprios e-mails. Encontre a linha que corresponde ao que você está vendo:

O que fazer quando você sofre um bombardeio de e-mails

Não dá para parar um bombardeio de e-mails na origem, porque as mensagens vêm de formulários de cadastro reais. Mas dá para tirá-las do caminho sem perder a única mensagem que importa:

1. Não clique nos links de confirmar ou verificar da enxurrada. Em listas com confirmação dupla (double opt-in), você só é incluído depois de clicar; o Mailchimp, por exemplo, só adiciona um contato depois que ele “clica em um link para verificar o e-mail”. Nem toda lista pede confirmação, então algumas vão continuar enviando.
2. Não apague em massa nem bloqueie remetentes um por um. Apagar em massa pode levar junto o único e-mail de segurança, e remetentes que mudam de endereço passam pelos bloqueios.
3. Crie um único filtro temporário. Faça com que ele mova as confirmações para uma pasta ou um marcador, deixe de fora tudo o que fale de senhas, segurança, pedidos ou pagamentos, e nunca apague nada. Crie o filtro no site do seu provedor: o novo Outlook para Windows não executa regras em contas do Gmail, do Yahoo ou do iCloud.
4. Olhe essa pasta uma vez por dia. Repita as verificações do banco e dos pedidos por alguns dias.
5. Remova o filtro quando a enxurrada parar. Depois, cancele a inscrição nas listas que continuam enviando, com o link de cada remetente ou, no Gmail, em “More” (Mais) → “Manage subscriptions” (Gerenciar inscrições) (ainda sendo liberado em setembro de 2026). Essas listas são de empresas reais, então cancelar a inscrição geralmente funciona. Com spam de verdade é diferente: veja quando links de cancelar inscrição podem ser maliciosos.

Um filtro que mantém os e-mails de segurança à vista

No Gmail, este filtro pega assuntos comuns de confirmação e deixa de fora os e-mails de segurança e de pedidos. Troque as palavras (inclusive por termos em português) para que correspondam ao que você está vendo:

{subject:confirm subject:subscription subject:welcome subject:newsletter subject:verify} -subject:password -subject:security -subject:"sign in" -subject:login -subject:code -subject:order -subject:receipt -subject:payment

1. No computador, cole o texto na caixa de pesquisa no topo do Gmail e pressione Enter. Confira se os resultados são a enxurrada e nada de que você precise.
2. Clique em “Show search options” (Mostrar opções de pesquisa), confira os critérios e clique em “Create filter” (Criar filtro), na parte de baixo da janela de pesquisa.
3. Escolha pular a caixa de entrada e aplicar um marcador novo, como Flood. Não escolha excluir.
4. Clique em “Create filter” (Criar filtro). A ajuda de filtros do Gmail tem o passo a passo completo.

Em outros provedores, em setembro de 2026:

Como saber se sua conta de e-mail foi invadida

Receber mais spam não significa, por si só, que sua conta de e-mail foi invadida, embora uma enxurrada possa encobrir uma tentativa de invasão. Sinais mais claros são e-mails saindo que você não enviou (o que traz devoluções e respostas de volta) e configurações que você não mudou. A FTC, o Google e a Apple listam os sinais: amigos recebem e-mails seus que você não enviou, sua pasta de enviados tem mensagens que você não escreveu, você recebe alertas de um login ou de uma troca de senha que não foram feitos por você, ou um código de dois fatores que você não pediu, ou você não consegue entrar.

Se você não consegue entrar, comece pelas etapas de recuperação do provedor: Google, Microsoft ou Apple. Caso contrário, siga esta ordem, em um dispositivo de confiança:

1. Mude a senha. O Google e a Apple revogam as senhas de app quando você faz isso. A ajuda da Microsoft não diz se ela faz o mesmo, então remova-as manualmente.
2. Remova encaminhamentos, filtros, delegados e senhas de app que você não configurou. Uma regra de encaminhamento pode continuar valendo depois da troca de senha.
3. Revise os logins e dispositivos recentes. Desconecte os que você não reconhece.
4. Confira seu e-mail e seu telefone de recuperação. Depois, ative a verificação em duas etapas.
5. Olhe as pastas de enviados e de lixeira. Encontre os e-mails que o invasor enviou ou leu e avise quem recebeu algo “seu”.

Onde procurar, segundo as páginas de ajuda de cada provedor em setembro de 2026:

Gmail e sua Conta do Google

• Eventos de segurança: Conta do Google → “Security & sign-in” (Segurança e login) → painel “Recent security events” (Eventos de segurança recentes) → “Review security events” (Revisar eventos de segurança). Para qualquer evento que você não reconheça, selecione “No, it wasn’t me” (Não, não fui eu).
• Dispositivos: Conta do Google → “Your devices” (Seus dispositivos) → “Manage devices” (Gerenciar dispositivos).
• Acessos recentes ao Gmail: no canto inferior direito do Gmail, no computador, clique em “Details” (Detalhes) para ver os últimos 10 endereços IP e tipos de acesso, como IMAP. Se você usa o Gmail no celular, a lista pode mostrar a localização da sua operadora, que pode ficar longe de onde você está.
• Configurações do Gmail: “Configurações” → “Ver todas as configurações”, depois a guia “Forwarding and POP/IMAP” (Encaminhamento e POP/IMAP), “Filters and Blocked Addresses” (Filtros e endereços bloqueados) e a seção “Grant access to your account” (Conceder acesso à sua conta), em “Contas e importação”.
• Apps: remova tudo o que você não reconhece em senhas de app e em apps com acesso à sua conta.

Outlook.com, Hotmail e sua conta Microsoft

• Logins: a página “Recent activity” (Atividade recente) cobre os últimos 30 dias, mas não todos os logins. Se aparecer uma seção “Unusual activity” (Atividade incomum), revise cada item; para qualquer um que não tenha sido você, escolha “This wasn’t me” (Não fui eu). Para qualquer coisa suspeita na lista “Recent activity” (Atividade recente), selecione “Secure your account” (Proteger sua conta).
• Encaminhamento e regras: no Outlook.com, abra “Settings → Mail → Forwarding” (Configurações → E-mail → Encaminhamento), desmarque “Enable forwarding” (Habilitar encaminhamento) e selecione “Save” (Salvar); depois confira “Settings → Mail → Rules” (Configurações → E-mail → Regras).
• Senhas de app e sessões: em “Advanced security options” (Opções de segurança avançadas), no painel da sua conta Microsoft, confira a seção “App passwords” (Senhas de app) e use “Sign out everywhere” (Sair de todos os lugares), o que, segundo a Microsoft, leva até 24 horas.
• Outras configurações: as etapas de recuperação da Microsoft também mandam conferir “contas conectadas, encaminhamento e respostas automáticas”.

Mail do iCloud e sua Conta Apple

• Dispositivos: em account.apple.com, selecione “Devices” (Dispositivos) e remova os que você não reconhece.
• Senhas específicas de apps: account.apple.com → “Sign-In & Security” (Início de Sessão e Segurança) → “Senhas específicas de apps” → “Remove” (Remover), ou “Revoke all” (Revogar todas). Alterar sua senha revoga todas elas de qualquer forma.
• Encaminhamento e regras: em icloud.com/mail, selecione o botão “Settings” (Ajustes) no topo da lista “Mailboxes” (Caixas de Correio) → “Settings” (Ajustes) e confira “Mail Forwarding” (Encaminhamento de E-mail) e “Rules” (Regras) na barra lateral.
• Histórico de logins: a Apple não documenta um registro como o do Gmail. Os sinais que ela aponta são os alertas de início de sessão, os códigos de dois fatores que você não pediu e a lista de dispositivos.

Seu e-mail apareceu em um novo vazamento de dados?

Procure seu endereço no Have I Been Pwned (HIBP), um serviço gratuito mantido pelo pesquisador de segurança Troy Hunt. Em 25 de setembro de 2026, a página inicial dele contava 1.038 sites vazados (pwned) e mais de 17 bilhões de endereços vazados (um endereço encontrado em vários vazamentos é contado uma vez para cada um).

• Um resultado de vazamento mostra o serviço que perdeu seu endereço e quando. Um vazamento recente pode explicar um aumento de spam e de phishing.
• Um resultado de lista de spam significa que seu endereço foi encontrado em dados usados para spam direcionado, o que explica o spam diretamente.
• Nenhum resultado não prova muita coisa: “Muitos vazamentos nunca resultam na divulgação pública dos dados.”
• Pesquise separadamente cada endereço que você usa, inclusive os endereços com sinal de mais (+), e ative os alertas gratuitos “Notify Me” (Avise-me) do HIBP.

Um vazamento também pode aparecer como um e-mail que cita uma das suas senhas e exige pagamento. O conselho da FTC: “Pare. Não pague nada. Apague a mensagem. É golpe.” Se você ainda usa essa senha, mude-a em todos os lugares. Para os outros caminhos que seu endereço pode seguir, veja como os spammers conseguem endereços de e-mail.

Seu endereço foi vendido ou compartilhado depois de um cadastro

Se os e-mails novos são marketing comum de empresas que você nunca usou, e começaram logo depois que você se cadastrou em algum lugar, provavelmente seu endereço foi repassado. A FTC diz que, quando você dá seu endereço de e-mail a uma empresa, ela “pode compartilhá-lo ou vendê-lo a terceiros”. A Microsoft aponta uma das portas de entrada: uma caixa de seleção na finalização da compra, já marcada, que permite à loja repassar seu endereço a outras empresas.

1. Cancele a inscrição nas empresas reais. Use o link de cada remetente ou, no Gmail, “More” (Mais) → “Manage subscriptions” (Gerenciar inscrições). Nos EUA, a CAN-SPAM diz que o remetente precisa atender ao seu pedido de descadastro “em até 10 dias úteis” e, depois disso, “não pode vender nem transferir” seu endereço. No Brasil não existe uma lei como essa específica para e-mail, mas a LGPD (Lei 13.709/2018) dá a você o direito de revogar o consentimento e de saber com quem a empresa compartilhou seus dados; se ela não atender, reclame à ANPD, ao Procon ou no consumidor.gov.br.
2. Desative o compartilhamento onde você se cadastrou. Na sua conta nessa empresa, procure as configurações de marketing ou de compartilhamento com parceiros e desligue-as.
3. Descubra a origem. Para identificar qual cadastro vazou, veja como descobrir quem vendeu seu endereço de e-mail. Da próxima vez, dê a cada cadastro um alias próprio, como faz o CatchNone, para que a próxima venda revele a origem.

Por que estou recebendo spam do meu próprio endereço?

E-mails que mostram seu próprio endereço como remetente muitas vezes são falsificados, e não enviados da sua conta. Nas palavras do padrão SPF, “os protocolos existentes não impõem nenhuma restrição ao que um servidor de envio pode usar como o ‘MAIL FROM’ de uma mensagem”. Existem três verificações para pegar falsificações:

• SPF (RFC 7208) lista os servidores autorizados a enviar e-mails em nome de um domínio.
• DKIM (RFC 6376) acrescenta uma assinatura criptográfica a cada mensagem, que os servidores de destino conferem com uma chave pública que o domínio remetente publica no DNS.
• DMARC (RFC 9989, que substituiu a RFC 7489 em maio de 2026) diz aos servidores de destino o que o domínio quer que seja feito com os e-mails que falham nessas verificações: nenhuma preferência, e quem recebe decide (none), tratar como suspeito (quarantine) ou recusar (reject).

Para distinguir uma falsificação de uma invasão:

1. Abra sua pasta de enviados. E-mails falsificados nunca passam pela sua conta, então não vão estar lá. Mas um invasor pode apagar itens enviados, então confira também sua atividade de login.
2. Confira a autenticação da mensagem. No Gmail, um ponto de interrogação ao lado do nome do remetente significa que a mensagem “não está autenticada”; clique na seta para baixo, sob o nome do remetente, para ver “Mailed by” (Enviado por) e “Signed by” (Assinado por). No Outlook, um “?” na imagem do remetente de alguém que normalmente não tem um “pode ser sinal de que o remetente está sendo falsificado”. Para ver os resultados completos no Gmail, clique em “More” (Mais), ao lado de “Reply” (Responder), e depois em “Show original” (Mostrar original) (Google); em outros apps, procure o cabeçalho Authentication-Results.
3. Interprete o resultado. spf=fail, spf=softfail ou dmarc=fail em e-mails que mostram seu endereço geralmente significam que eles foram falsificados: filtre-os e siga em frente. Se o endereço falsificado estiver em um domínio seu, publicar SPF, DKIM e uma política DMARC quarantine ou reject permite que os servidores de destino mandem as falsificações para o spam ou as recusem de vez. Uma aprovação no DKIM assinada pelo próprio domínio do seu provedor (“Signed by” gmail.com, por exemplo) sugere que a mensagem pode mesmo ter passado pela sua conta, então siga as verificações de conta invadida.

Uma pilha de mensagens “Undeliverable” (não entregue) sobre e-mails que você nunca enviou é a mesma falsificação vista do outro lado. A Microsoft chama isso de backscatter: spammers colocam um endereço real nos e-mails deles, e os servidores que não conseguem entregá-los mandam a devolução para esse endereço. Isso não significa que sua conta foi usada: confira os enviados e filtre as devoluções até que parem.

Seus filtros ou seu app de e-mail mudaram, não o spam

Às vezes os e-mails são os mesmos e só a organização mudou:

• O Gmailify está acabando. O Gmail deixa de filtrar as contas do Yahoo, do Outlook e outras vinculadas pelo Gmailify em janeiro de 2027, ou antes, se você passar uma delas para o app do Gmail por IMAP; a partir daí, o filtro de spam do próprio provedor decide o que você vê, a menos que você encaminhe os e-mails dele para o Gmail.
• Categorias do Mail no iPhone. Desde o iOS 18.2, o Mail pode organizar os e-mails em “Primary” (Principal), “Transactions” (Transações), “Updates” (Atualizações) e “Promotions” (Promoções), mas não em todos os países ou regiões. Se a caixa de entrada foi trocada para “List View” (Visualização em Lista), no botão “More” (Mais) no topo da caixa de entrada, os e-mails que antes ficavam em “Promotions” e “Updates” agora aparecem na lista principal (Apple).
• Algo está pulando a pasta de spam. Um filtro configurado para nunca mandar e-mails para o spam, ou e-mails indesejados que parecem vir de um contato, podem cair na sua caixa de entrada; o iCloud diz que os e-mails “de pessoas dos seus contatos do iCloud, ou de conversas recentes, não vão para a pasta Indesejadas” (Apple). Confira seus filtros e marque os e-mails indesejados como spam em vez de apagá-los.
• Novo Outlook para Windows. Regras em que você confiava no Outlook clássico podem ter deixado de organizar os e-mails do Gmail, do Yahoo ou do iCloud. Configure-as no provedor, como nos passos do filtro acima.

E-mails para nomes inventados no seu próprio domínio

Um catch-all aceita e-mails para qualquer endereço do seu domínio, inclusive os escritos com erros de digitação. Spammers chutam nomes comuns, como info@, admin@ e sales@, e um catch-all não recusa nenhum deles.

Descarte os e-mails para os nomes que estão sendo atingidos, ou desative o catch-all e crie apenas os endereços que você usa. Se você depende do catch-all para ter um endereço por site, desativá-lo significa criar cada um deles no seu provedor antes. Muitos provedores de e-mail permitem criar uma regra para um único endereço chutado. Uma regra que descarta os e-mails em silêncio não gera devolução para quem está chutando; assim, o endereço pode parecer válido, e a pessoa pode continuar enviando. Uma regra que devolve os e-mails avisa que o endereço não existe, enquanto o resto do seu domínio continua recebendo. O passo a passo de cada provedor para bloquear um endereço está em como bloquear um endereço em um catch-all.

Quanto tempo dura um pico de spam

Se você anda recebendo muitos e-mails de spam ultimamente, se isso vai parar ou não depende da causa:

• Um bombardeio de e-mails geralmente termina em cerca de uma semana, segundo o Yahoo, embora as listas que cadastraram você sem pedir confirmação continuem enviando até você cancelar a inscrição.
• Os cancelamentos de inscrição podem levar até 10 dias úteis para valer nos EUA, pela CAN-SPAM.
• O spam de vazamentos e de venda de listas diminui, mas raramente para; veja o que o reduz com o tempo.
• A falsificação e o backscatter acabam quando a campanha muda de alvo.
• Uma conta invadida para de enviar assim que o invasor é expulso.

Denuncie o phishing também fora do seu provedor de e-mail: nos EUA, encaminhe a mensagem para reportphishing@apwg.org e denuncie em ReportFraud.ftc.gov; no Reino Unido, encaminhe ao NCSC, no endereço report@phishing.gov.uk.

Rastreie o próximo pico com o CatchNone

O CatchNone facilita rastrear o próximo pico. Quando cada loja, newsletter ou conta tem seu próprio alias, os e-mails extras chegam a um único alias e revelam a origem, e cada mensagem traz o selo do alias em que chegou. Em “Atividade”, um gráfico mostra os e-mails de cada alias, e uma regra simples acrescenta um aviso “Mais mensagens que o normal”. Os e-mails dos aliases são lidos em um app próprio, e as mensagens abrem com as imagens remotas, incluindo a maioria dos pixels de rastreamento, bloqueadas até você carregá-las.

Quando um alias ficar barulhento, desative-o: em um endereço @catchnone.com (Premium), os remetentes recebem uma devolução, enquanto seus outros aliases continuam funcionando. Em um domínio seu, marcar um alias como fora de uso é só uma etiqueta, então bloqueie o endereço com uma regra no seu provedor. Uma enxurrada para @catchnone.com também conta para os limites diários (em inglês) de 500 mensagens recebidas por dia UTC, com no máximo 250 para um mesmo endereço, e por enquanto os e-mails acima desses limites são recusados sem nenhum aviso no app. No seu próprio domínio, o CatchNone lê as 100 mensagens mais recentes da caixa de entrada a cada verificação, então uma enxurrada muito grande fica subestimada.

O CatchNone só recebe, por design. Ele não tem filtro de spam e não limpa uma enxurrada que já está atingindo seu endereço principal, e ele busca as mensagens quando você o abre, sem enviar notificações; por isso, mantenha os e-mails do banco e de recuperação de conta no seu endereço principal. Baixe o CatchNone para iPhone, iPad e Mac.

Perguntas frequentes

O bombardeio de e-mails é ilegal?

Depende de onde você mora, e isto não é aconselhamento jurídico. O que você deve denunciar é a fraude que ele muitas vezes encobre: avise seu banco sobre qualquer pagamento que você não fez e, nos EUA, denuncie fraudes em ReportFraud.ftc.gov e roubo de identidade em IdentityTheft.gov.

Por que meu Outlook, Hotmail ou Yahoo está recebendo tantos e-mails indesejados?

As causas são as mesmas em qualquer provedor; só mudam os lugares onde conferir: veja as verificações da conta Microsoft e as linhas do Outlook.com e do Yahoo na tabela de filtros.

O que fazer na primeira hora?

Confira os apps do banco e do cartão, os pedidos recentes e sua caixa de correio, incluindo as pastas de spam e lixeira, em busca de e-mails de senha, segurança e pedidos, como nas verificações de fraude acima. Se algo indicar uma invasão, faça as verificações de conta invadida; depois, filtre a enxurrada para uma pasta sem apagá-la e ignore quem ligar ou mandar mensagem oferecendo resolver o spam.