Como os spammers obtêm o teu email: as 7 vias principais

Se te perguntas «porque recebo tanto spam?», começa por perceber como os spammers obtêm endereços de email: a partir de fugas de dados, de listas que as empresas vendem ou partilham, da recolha automática em sites e perfis públicos, da adivinhação de nomes comuns, dos livros de endereços de outras pessoas e de registos antigos de domínios. Depois, testam que endereços estão ativos, observando aberturas, cliques e respostas. O spam pode chegar até a um endereço que nunca divulgaste, por adivinhação, recolha automática ou através dos contactos de outra pessoa, e só consegues fechar algumas destas vias. Para as vias que começam em ti, o CatchNone dá a cada loja e newsletter o seu próprio endereço e mostra a qual deles chegou cada mensagem, por isso uma fuga de dados ou uma venda de listas denuncia a sua origem, no iPhone, iPad e Mac.

Como os spammers obtêm endereços de email: as 7 vias

1. Fugas de dados e as listas de palavras-passe criadas a partir delas.
2. Venda e partilha de listas, através de corretores de dados (data brokers) e de «parceiros».
3. Recolha automática em páginas web, perfis de redes sociais e código.
4. Adivinhação de nomes comuns, sobretudo em domínios que aceitam qualquer endereço.
5. Os livros de endereços de outras pessoas: contactos carregados, malware e longas cadeias em Cc.
6. Registos WHOIS antigos, anteriores a 2018.
7. Confirmação: imagens de rastreio, cliques, respostas e mensagens de teste em branco que provam que um endereço funciona.

Fugas de dados e combo lists

Quando uma empresa sofre uma fuga de dados, a sua lista de clientes pode ir junto, quer ainda uses o serviço quer não. A 25 de setembro de 2026, o Have I Been Pwned (HIBP) registava 1038 violações de dados e mais de 17,8 mil milhões de registos de contas expostas. Esse total conta um endereço uma vez por cada violação em que aparece, por isso mede contas, não pessoas. Pesquisa lá o teu endereço para veres que violações o incluem, quando aconteceram e o que ficou exposto. Se não aparecer em nenhuma, é mais provável que a via tenha sido uma venda de listas, a recolha automática ou a adivinhação.

Os endereços expostos voltam a ser usados. As combo lists são pares de email e palavra-passe reunidos a partir de fugas anteriores e usados em credential stuffing, ou seja, para experimentar a mesma palavra-passe noutros sites. O HIBP descreve a Collection #1 (2019) como «773 milhões de endereços de email únicos, a par das palavras-passe que esses endereços tinham usado noutros serviços violados». Os stealer logs, registos criados por malware que rouba dados, são uma terceira fonte: o malware num dispositivo infetado regista «endereços de email, palavras-passe e o site onde são introduzidos no início de sessão».

Podes fechá-la? Não. Podes limitar o que uma fuga expõe: uma palavra-passe única para cada site, verificação em dois passos na tua conta de email e um endereço diferente para cada empresa, para que uma fuga exponha um endereço secundário em vez do teu principal. Os alertas gratuitos Notify Me (notificar-me) do HIBP avisam-te da próxima.

Venda de listas, corretores de dados e os «nossos parceiros»

A FTC norte-americana di-lo sem rodeios: «Quando dás o teu endereço de email a uma empresa, ela pode partilhá-lo ou vendê-lo a terceiros». Os formulários de registo alimentam o mesmo negócio. A agência norte-americana de cibersegurança e segurança de infraestruturas (CISA) observa que as opções para receber emails sobre outros produtos vêm por vezes selecionadas por predefinição, «por isso, se não as desmarcares, podes começar a receber emails também dessas listas». Sorteios, inquéritos pagos e promessas de cartões-oferta também o alimentam: o HIBP diz que as listas de spam são frequentemente compiladas «obtendo dados pessoais das pessoas com a promessa de uma recompensa monetária».

Quem compra endereços de email? Os profissionais de marketing compram-nos a vendedores de listas e a corretores de dados, e os spammers compram-nos uns aos outros: as perguntas frequentes da Spamhaus para consumidores incluem entre as suas fontes endereços «comprados a outros spammers». As listas empresariais são um produto à parte. Em 2016, uma lista de mais de 33 milhões de pessoas de empresas norte-americanas, do serviço NetProspex da Dun & Bradstreet, foi divulgada online, e a D&B acreditava que tinha sido perdida por um cliente que a comprara.

Nos EUA, a lei CAN-SPAM não exige consentimento para enviar emails de marketing. No entanto, depois de pedires para sair, a empresa tem de deixar de te enviar emails no prazo de 10 dias úteis e, a partir do momento em que o pedes, «não pode vender nem transferir» o teu endereço.

Podes fechá-la? Em parte. Desmarca as caixas pré-selecionadas, pede para deixar de receber o marketing que não lês e dá a cada empresa o seu próprio endereço, para que a próxima venda mostre quem a fez. Como descobrir quem vendeu o teu endereço de email explica em detalhe os cabeçalhos, a verificação de fugas de dados e os pedidos de acesso aos dados.

Recolha automática: sites, perfis e código

«Os spammers podem recolher qualquer endereço de email publicado num site», avisa a CISA. Numa experiência da FTC em 2002, 86% dos endereços publicados em páginas web receberam spam em seis semanas, e um endereço publicado numa sala de chat recebeu spam nove minutos depois de ser usado pela primeira vez (resultados reproduzidos pela ICANN). Não importava em que parte da página estava: «se o endereço tinha o sinal “@”, atraía spam».

Os perfis são recolhidos em grande escala. Em 2021, atacantes recolheram centenas de milhões de perfis públicos do LinkedIn, o que resultou em cerca de 125 milhões de endereços de email únicos, segundo o HIBP. Houve também atacantes que abusaram de uma API do Twitter que associava endereços de email a contas, e mais de 200 milhões de registos obtidos dessa forma apareceram em 2023.

O código público também expõe endereços: cada commit do Git leva o endereço de email do seu autor. No GitHub, vai a «Settings → Emails» (Definições → Emails), seleciona «Keep my email addresses private» (manter os meus endereços de email privados) e «Block command line pushes that expose my email» (bloquear pushes da linha de comandos que exponham o meu email) e, depois, configura o Git no teu computador com o endereço @users.noreply.github.com que aí aparece. Os commits feitos antes da alteração «continuam associados ao teu endereço de email anterior» (GitHub Docs). Como manter o teu endereço fora dos commits do GitHub e do GitLab tem os passos completos.

Podes fechá-la? Daqui para a frente. Mantém o teu endereço principal fora de páginas públicas, usa em vez dele um formulário de contacto ou um endereço à parte e configura os perfis nas redes sociais para que só pessoas em quem confias vejam o teu email, como aconselha a CISA. O que já foi recolhido continua em circulação.

Adivinhação: os spammers conseguem simplesmente adivinhar o teu endereço?

Sim, e não é preciso nenhuma lista. O comité de segurança da ICANN descreveu o método em 2007: os spammers experimentam «nomes próprios e apelidos comuns, isolados e concatenados», ou todas as combinações de caracteres, e ficam com os endereços que um servidor de correio aceita. Chama-se a isto um ataque de recolha de diretório (directory harvest attack). Num dos testes do comité, 70% do spam foi para endereços dos domínios de teste que nunca tinham sido publicados em lado nenhum. Os nomes curtos e comuns são os alvos mais fáceis, e o padrão first.last@example.com de uma empresa permite a qualquer pessoa construir os endereços dos seus funcionários.

Um catch-all aceita todos os palpites. Se o teu próprio domínio entrega email para qualquer endereço, admin@example.com e info@example.com chegam até ti, quer os tenhas usado alguma vez quer não. As perguntas frequentes do addy.io avisam que «os spammers e os bots experimentam muitas vezes endereços de email aleatórios», e o cPanel diz que um catch-all «pode receber uma grande quantidade de spam» quando os spammers visam um domínio. O que é um endereço de email catch-all? explica em detalhe as vantagens e as desvantagens.

Podes fechá-la? Em parte. Um endereço curto e comum continua a ser fácil de adivinhar, mas o próximo não tem de o ser: escolhe um que seja difícil de adivinhar, como aconselha o ICO do Reino Unido. No teu próprio domínio, desativar o catch-all impede que os palpites cheguem até ti. Se o mantiveres, bloqueia os nomes adivinhados no serviço que aloja o teu email. No Cloudflare Email Routing (encaminhamento de email), por exemplo, vai a «Compute → Email Service → Email Routing → Routing Rules» (Computação → Serviço de email → Email Routing → Regras de encaminhamento) e adiciona uma regra para o endereço com a ação «Drop» (descartar), que «apaga os emails que correspondem à regra sem os encaminhar». A Cloudflare nota que o endereço continua a parecer válido aos remetentes; envia uma mensagem de teste para confirmar que a regra prevalece sobre o teu catch-all.

Os contactos e as caixas de entrada de outras pessoas

O teu endereço está nos contactos de todas as pessoas a quem já enviaste emails, e essas cópias estão fora do teu controlo.

• Contactos carregados. Quando alguém sincroniza os contactos com o Facebook, o Messenger ou o Instagram, a Meta carrega diariamente «os nomes, números de telefone e endereços de email do seu livro de endereços», incluindo os de pessoas que não usam as apps da Meta. Isso, por si só, não o entrega aos spammers, mas a Meta diz que, antes de setembro de 2019, ferramentas de recolha automática abusaram do seu importador de contactos para associar números de telefone a contas.
• Malware no computador de outra pessoa. O malware Emotet conseguia «recolher endereços de email do Outlook» e sequestrar conversas de email reais para se propagar (alerta da CISA AA20-280A).
• Cadeias em Cc e listas de correio. Um reencaminhamento longo leva consigo todos os endereços da conversa, e o comité de segurança da ICANN descreveu spammers que se inscreviam em listas de correio para recolher endereços dos cabeçalhos From, Reply-To e Cc.
• Alguém te inscreve. A ajuda do Gmail descreve pessoas que usam o teu endereço «para se inscreverem em emails, como promoções ou newsletters», por engano ou de propósito.

Podes fechá-la? Não diretamente. Usa Bcc nos emails de grupo, retira os endereços das outras pessoas de uma conversa antes de a reencaminhares e pede aos outros que façam o mesmo.

Registos WHOIS antigos

Os registos de domínios publicavam o endereço de email do titular. Em 2007, o comité de segurança da ICANN concluiu que um endereço no WHOIS «praticamente garante que o spam será entregue».

Essa via está praticamente fechada. A partir de 25 de maio de 2018, a Temporary Specification (especificação temporária) da ICANN obrigou os registadores (registrars) a ocultar os dados de contacto dos registos ligados à Europa e permitiu-lhes fazê-lo em todo o lado, oferecendo em vez disso um endereço de reencaminhamento ou um formulário web. Um estudo da Interisle de 2021 concluiu que apenas 13,5% dos domínios genéricos, como .com, ainda identificavam um titular real. A Registration Data Policy (política de dados de registo) permanente da ICANN, em vigor desde 21 de agosto de 2025, mantém o mesmo modelo.

A via ainda existe quando consentiste na publicação, em registadores que publicam os dados de organizações ou de titulares fora da Europa, segundo as regras próprias de alguns domínios de código de país e em arquivos pagos de registos anteriores a 2018.

Podes fechá-la? Está praticamente fechada por predefinição. Se tens um domínio, pesquisa-o no ICANN Lookup para veres o que é público, mantém ativa a opção de privacidade do teu registador e não aceites publicar os teus dados de contacto.

Confirmação: aberturas, cliques, respostas e mensagens em branco

Um endereço vale mais quando se sabe que funciona. Os spammers «vendem endereços ativos a preço mais alto, como endereços “com entrega confirmada”, a ainda mais spammers», dizem as perguntas frequentes da Spamhaus para consumidores. Confirmam os endereços através de:

• Imagens de rastreio. «Quando o teu programa de email descarrega a imagem do servidor web deles, os spammers ficam a saber que abriste a mensagem» (CISA).
• Cliques e respostas. Qualquer clique ou resposta, incluindo um pedido para «me retirarem da lista», confirma que alguém lê o endereço.
• Links para anular a subscrição. A norma de anulação da subscrição com um clique, RFC 8058, observa que anular a subscrição «dá ao remetente um forte indício de que o endereço para o qual a mensagem foi enviada era válido».
• Mensagens em branco. «Para verificar se os endereços de email são válidos, os spammers enviam muitas vezes emails sem conteúdo no corpo ou no assunto», diz a ajuda do Gmail. Os endereços que funcionam recebem spam mais tarde.

Podes fechá-la? Sim. Nos emails de desconhecidos, não respondas, não cliques e não anules a subscrição; denuncia-os como spam. Nas marcas que reconheces ou em que te registaste, usa o botão para anular a subscrição da tua app de email, como sugere o Gmail, ou a opção de saída incluída na mensagem, como aconselha o ICO; quando é que os links para anular a subscrição são seguros tem a regra para cada tipo de remetente.

Depois, impede que as imagens te denunciem. Na app Mail do iPhone (iOS 27), vai a «Definições» → «Aplicações» → «Mail» → «Privacy Protection» (Proteção da privacidade) e ativa «Proteger atividade no Mail», que carrega as imagens de forma privada em segundo plano para que o remetente não saiba se leste uma mensagem nem quando (guia da Apple). No Gmail num computador, vai a «Definições» → «Ver todas as definições», define «Images» (Imagens) como «Ask before displaying external images» (perguntar antes de apresentar imagens externas) e clica em «Save Changes» (Guardar alterações) (ajuda da Google). Nenhuma das duas opções protege links nem anexos. Como bloquear píxeis de rastreio tem os passos para outras apps de email e o que cada uma ainda revela.

Como saber de onde vem o spam que recebes

O Bcc esconde os outros destinatários, e a ajuda do Gmail observa que «os spammers adicionam por vezes endereços de email aleatórios ao campo “Bcc” para tentar que as pessoas respondam», por isso não respondas.

Existe uma lista de spam que possas consultar ou da qual possas sair?

Não existe nenhuma lista oficial de destinatários de spam, nem forma de sair das listas dos próprios spammers. Podes verificar se o teu endereço apareceu numa lista de um spammer que foi divulgada: pesquisa-o no Have I Been Pwned, que incluía 16 listas desse tipo a 25 de setembro de 2026. As maiores são a Onliner Spambot (711 milhões de endereços, 2017) e a River City Media (393 milhões, 2017). Se um desses nomes aparecer nos teus resultados, um spammer teve o teu endereço.

As listas de bloqueio (blocklists) são outra coisa: registam de onde vem o spam. A Spamhaus define uma como «uma base de dados que contém endereços IP, domínios ou hashes», cada um listado por ter sido visto a enviar spam ou a causar outros danos, ou por ter má reputação. A sua Hash Blocklist pode incluir endereços de email, mas são endereços que enviam spam ou que aparecem nele, como uma conta pirateada. Os verificadores de listas de bloqueio, como o Blacklist Check do MxToolbox, testam o endereço IP de um servidor de correio, não o teu endereço de email.

Uma lista de exclusão de emails também não ajudaria. Em 2004, a FTC disse ao Congresso dos EUA que um registo desse tipo teria provavelmente o efeito contrário, porque «os spammers usariam esse registo como um diretório de endereços de email válidos» (FTC). A Spamhaus diz que os serviços pagos que prometem retirar-te das listas dos spammers são, «na melhor das hipóteses, uma burla e, na pior, um sistema de confirmação de “endereços ativos” para o spammer».

As opções reais mais próximas chegam às empresas que cumprem a lei, não aos spammers. À data de setembro de 2026:

• O DROP da Califórnia (Delete Request and Opt-out Platform, plataforma de pedidos de eliminação e de exclusão) permite aos residentes na Califórnia enviar um único pedido de eliminação gratuito a mais de 600 corretores de dados registados, que têm de processar os pedidos pelo menos a cada 45 dias. Não chega às empresas com que lidaste diretamente (termos do DROP).
• O Email Preference Service (serviço de preferências de email) da Association of National Advertisers, com link a partir de DMAchoice.org, é gratuito e dura 10 anos (FTC), mas só chega aos profissionais de marketing que o usam para limpar as suas listas.

O que podem fazer só com o teu email?

Sem a tua palavra-passe, menos do que talvez receies. Só com o endereço, alguém pode:

• enviar-te phishing com aspeto real, sobretudo com dados de uma fuga
• experimentar nas tuas contas palavras-passe divulgadas noutros sites
• descobrir que serviços usas, como a API do Twitter chegou a permitir
• inscrever-te em emails que nunca pediste
• vendê-lo, por mais dinheiro depois de confirmado como ativo

Porque é que um burlão quer o teu endereço de email?

Porque é o primeiro passo para chegar à tua caixa de entrada, e um criminoso dentro da tua conta de email pode «repor as palavras-passe de todas as tuas outras contas». O Centro Nacional de Cibersegurança do Reino Unido (NCSC) aconselha uma palavra-passe forte e exclusiva para o teu email, além da verificação em dois passos.

O spam que mostra o teu próprio endereço como remetente não prova que alguém tenha entrado na conta, porque a linha From é fácil de falsificar. Como verificar se a tua conta de email foi pirateada explica as verificações para o Gmail, o Outlook.com e o iCloud Mail.

É seguro dar o teu endereço de email?

Normalmente, sim. Um endereço não é uma palavra-passe, e sabê-lo não abre a tua conta. Dá o teu endereço principal às pessoas e às empresas de que dependes, como o teu banco. Para lojas, newsletters e registos pontuais, um endereço diferente por empresa mantém as fugas de dados e as vendas de listas longe do teu endereço principal, e o teu endereço principal não deve estar publicado em lado nenhum.

Como impedir que os spammers obtenham o teu endereço: que vias podes fechar

Há várias formas de ter um endereço por empresa. O CatchNone dá a cada empresa o seu próprio alias, mantém esse email fora da tua caixa de entrada principal e marca cada mensagem com o alias a que chegou, por isso uma fuga ou uma venda salta à vista. O plus addressing (endereço com «+») é mais rápido para começar, se o teu fornecedor o suportar (you+shop@example.com), mas qualquer pessoa pode apagar a etiqueta, por isso só identifica uma fuga quando o remetente não se dá ao trabalho de a retirar. O Ocultar o meu e-mail da Apple (parte do iCloud+), o DuckDuckGo Email Protection e outros serviços de aliases reencaminham o email para a tua caixa de entrada. Um catch-all no teu próprio domínio também serve, com a desvantagem da adivinhação descrita acima. Serviços de aliases de email comparados expõe as diferenças.

Onde entra o CatchNone

O CatchNone atua nas vias que começam por seres tu a dar um endereço. Cada loja, newsletter ou conta tem o seu próprio alias, e cada mensagem mostra uma etiqueta com o alias a que chegou, por isso um endereço exposto numa fuga ou vendido denuncia a sua origem. A «Atividade» assinala o email que chega a um alias que não usas e os remetentes que escrevem pela primeira vez, e as imagens remotas, incluindo a maioria dos píxeis de rastreio, ficam bloqueadas até as carregares. Os endereços @catchnone.com exigem o Premium e são atribuídos aleatoriamente, como abcde-12345@catchnone.com, por isso ninguém os adivinharia. O email enviado para endereços que não existem lá é aceite e descartado, por isso quem tenta adivinhar não fica a saber nada, e quando desativas um endereço que foi divulgado, os remetentes recebem uma devolução. No teu próprio domínio, os endereços catch-all adivinhados aparecem com o endereço a que chegaram, com uma etiqueta cinzenta, o que torna fácil detetar o spam de dicionário. Transferir o CatchNone, disponível para iPhone, iPad e Mac.

O CatchNone só recebe e não é um filtro de spam: guarda o email dos registos na sua própria app, longe da tua caixa de entrada principal, e mostra a que alias chegou cada mensagem. No teu próprio domínio, marcar um alias como «Fora de uso» é apenas uma etiqueta, por isso bloqueia os endereços no serviço que aloja o teu email.

Perguntas frequentes

Como é que os spammers obtêm o meu email se nunca o dei a ninguém?

O mais provável é que o tenham adivinhado, recolhido de uma página, perfil ou commit de código onde estava publicado, tirado do livro de endereços de outra pessoa ou obtido de uma empresa onde te registaste um dia e de que te esqueceste, através de uma fuga de dados nessa empresa ou de uma venda de listas. A tabela de sinais associa o que vês à via provável.

Como é que empresas que não conheço obtêm o meu email?

Normalmente a partir de uma empresa com que lidaste, que o partilhou ou vendeu a «parceiros», muitas vezes depois de deixares uma caixa pré-selecionada marcada no registo. Os corretores de dados também recolhem e vendem endereços. O guia indicado na secção sobre venda de listas e corretores de dados mostra como descobrir que empresa foi.

Como é que os spammers obtêm o meu email profissional?

De listas de contactos empresariais vendidas a profissionais de marketing, do site da tua entidade empregadora e adivinhando o padrão de nomes que usa. O HIBP contém várias listas empresariais divulgadas, como a B2B USA Businesses, que ordenava os endereços por entidade empregadora e cargo. No Reino Unido, o ICO diz que as organizações podem enviar marketing para um endereço profissional sem consentimento, a não ser que o endereço te identifique, e nesse caso podes pedir-lhes que parem.