Recebo muito spam de repente: porquê e o que fazer

Se de repente estás a receber muito spam no email, normalmente é porque alguém inscreveu o teu endereço em centenas de listas de uma só vez (um bombardeamento de emails, ou email bombing), porque o teu endereço foi exposto numa fuga de dados ou vendido depois de um registo, ou porque há spammers a falsificá-lo como remetente. Com menos frequência, a tua conta foi invadida, uma alteração num filtro ou numa app está a deixar passar mais mensagens, ou alguém está a tentar adivinhar nomes num domínio teu. O tipo de email que chega diz-te qual é a causa. Verifica primeiro se há fraude: um email bombing serve muitas vezes para disfarçar uma compra ou uma reposição de palavra-passe que era suposto passar-te despercebida. Para a próxima vez, o CatchNone dá a cada loja, newsletter e conta o seu próprio endereço no iPhone, iPad e Mac, por isso um pico cai num só alias e mostra de onde veio.

Exclui as causas por esta ordem, da mais urgente para a menos urgente:

1. Um email bombing: dezenas ou centenas de confirmações de registo por hora.
2. Uma conta comprometida: emails enviados da tua conta que não escreveste, ou definições que não alteraste.
3. Uma fuga de dados ou uma lista de spam: um aumento constante de emails indesejados de remetentes de que nunca ouviste falar.
4. Uma venda ou partilha depois de um registo: marketing de empresas com que nunca lidaste.
5. Spoofing: spam, ou mensagens de devolução, que parecem vir do teu próprio endereço.
6. Uma alteração num filtro ou numa app: os mesmos emails, organizados de outra forma.
7. Ataques de dicionário num domínio catch-all: emails para nomes inventados num domínio teu.

Primeiro, confirma que o spam não está a esconder uma fraude

Um ataque de email bombing inunda um endereço com mensagens. A forma mais comum, o subscription bombing (bombardeamento de subscrições), usa emails de confirmação verdadeiros de empresas verdadeiras: alguém introduz o teu endereço nos formulários de registo de muitos sites. Investigadores de segurança descrevem rajadas de mais de 1500 emails por hora, e o Yahoo enumera os objetivos, entre os quais «esconder emails de confirmação de transações financeiras».

Se a tua caixa de entrada se está a encher de mensagens «Confirma a tua subscrição» e «Bem-vindo», dedica primeiro dez minutos a isto:

1. Abre diretamente as apps do banco e dos cartões, e não através de links em emails, e procura pagamentos que não reconheças. Se encontrares algum, a FTC diz para o comunicares de imediato ao emissor do cartão ou ao banco, através do «número que está no verso do cartão» ou da respetiva app.

2. Inicia sessão nas lojas que têm o teu cartão guardado e verifica as encomendas recentes.

3. Procura na tua caixa de correio, sem esquecer as pastas de spam e do lixo, o que a enxurrada pode estar a enterrar: reposições de palavra-passe, alertas de início de sessão, alterações aos dados de recuperação e confirmações de encomendas e de pagamentos. No Gmail, esta pesquisa abrange a última semana; altera 7d para recuar até ao dia em que a enxurrada começou:

   in:anywhere newer_than:7d {subject:password subject:security subject:"sign in" subject:login subject:recovery subject:order subject:receipt subject:payment}

   No Outlook.com, no iCloud Mail ou no Yahoo, pesquisa essas palavras uma de cada vez.

4. Se encontrares alguma coisa que não fizeste, altera a palavra-passe dessa conta no respetivo site ou app e, depois, faz as verificações de conta pirateada indicadas mais abaixo.

Conta com mais uma jogada. Nos ataques documentados pela CISA e pela Microsoft, a enxurrada foi seguida de uma chamada ou de uma mensagem no Microsoft Teams de alguém que se fazia passar pelo apoio informático, que se oferecia para resolver o spam e pedia à vítima que instalasse uma ferramenta de acesso remoto, como o Quick Assist ou o AnyDesk. A Microsoft diz: «Se não nos pediu, não lhe telefonaremos para oferecer suporte.» Desliga a chamada ou ignora a mensagem. Numa conta de trabalho, contacta o departamento de informática por um canal que já usas.

Muito spam no email de repente? Liga o padrão à causa

Um aumento súbito de spam deixa pistas nas próprias mensagens. Procura a linha que corresponde ao que estás a ver:

O que fazer quando és alvo de email bombing

Não consegues travar um email bombing na origem, porque os emails vêm de formulários de registo verdadeiros. Consegues, isso sim, tirá-lo do caminho sem perder a única mensagem que importa:

1. Não cliques nos links «Confirmar» ou «Verificar» da enxurrada. Nas listas com dupla confirmação (double opt-in), só és adicionado depois de clicares; o Mailchimp, por exemplo, só adiciona um contacto depois de este «clicar num link para verificar o seu email». Nem todas as listas pedem confirmação, por isso algumas vão continuar a enviar.
2. Não apagues em massa nem bloqueies remetentes um a um. Apagar em massa pode levar consigo o único email de segurança, e os remetentes que mudam de endereço contornam os bloqueios.
3. Cria um único filtro temporário. Configura-o para mover as confirmações para uma pasta ou etiqueta, deixar de fora tudo o que fale de palavras-passe, segurança, encomendas ou pagamentos, e nunca apagar nada. Cria-o no site do teu fornecedor: o novo Outlook para Windows não executa regras em contas do Gmail, do Yahoo ou do iCloud.
4. Revê essa pasta uma vez por dia. Repete as verificações do banco e das encomendas durante alguns dias.
5. Remove o filtro quando a enxurrada parar. Depois, anula a subscrição das listas que continuam a enviar, com o link de cada remetente ou, no Gmail, em «More → Manage subscriptions» (Mais → Gerir subscrições), que ainda está a ser disponibilizado em setembro de 2026. Estas listas pertencem a empresas verdadeiras, por isso anular a subscrição costuma funcionar. O spam propriamente dito é diferente: vê quando é que os links para anular a subscrição podem ser maliciosos.

Um filtro que mantém à vista os emails de segurança

No Gmail, este filtro apanha os assuntos de confirmação mais comuns e deixa de fora os emails de segurança e de encomendas. Muda as palavras de acordo com o que estás a ver:

{subject:confirm subject:subscription subject:welcome subject:newsletter subject:verify} -subject:password -subject:security -subject:"sign in" -subject:login -subject:code -subject:order -subject:receipt -subject:payment

1. Num computador, cola-o na caixa de pesquisa no topo do Gmail e prime Enter. Confirma que os resultados são a enxurrada e nada de que precises.
2. Clica em «Show search options» (Mostrar opções de pesquisa), verifica os critérios e clica em «Create filter» (Criar filtro), no fundo da janela de pesquisa.
3. Escolhe ignorar a caixa de entrada e aplicar uma nova etiqueta, como Flood. Não escolhas apagar.
4. Clica em «Create filter» (Criar filtro). A ajuda do Gmail sobre filtros tem os passos completos.

Noutros fornecedores, em setembro de 2026:

Como verificar se a tua conta de email foi pirateada

Receber mais spam não significa, por si só, que alguém tenha entrado na tua conta de email, embora uma enxurrada possa encobrir uma tentativa de a tomar. Sinais mais claros são emails a sair que não enviaste (o que faz chegar devoluções e respostas) e definições que não alteraste. A FTC, a Google e a Apple enumeram os sinais: os teus amigos recebem emails teus que não enviaste, a tua pasta de enviados tem mensagens que não escreveste, recebes alertas sobre um início de sessão ou uma alteração de palavra-passe que não foste tu a fazer, ou um código de autenticação de dois fatores que não pediste, ou não consegues iniciar sessão.

Se não conseguires iniciar sessão, começa antes pelos passos de recuperação do fornecedor: Google, Microsoft ou Apple. Caso contrário, segue esta ordem, a partir de um dispositivo em que confies:

1. Altera a palavra-passe. A Google e a Apple revogam as palavras-passe de apps quando o fazes. A ajuda da Microsoft não diz se o faz, por isso remove-as manualmente.
2. Remove reencaminhamentos, filtros, delegados e palavras-passe de apps que não configuraste. Uma regra de reencaminhamento pode sobreviver a uma alteração de palavra-passe.
3. Revê os inícios de sessão e os dispositivos recentes. Termina a sessão nos que não reconheças.
4. Verifica o teu email e o teu número de telefone de recuperação. Depois, ativa a verificação em dois passos.
5. Revê as pastas de enviados e do lixo. Encontra os emails que o intruso enviou ou leu e avisa quem tiver recebido alguma coisa «tua».

Onde procurar, segundo as páginas de ajuda de cada fornecedor em setembro de 2026:

Gmail e a tua Conta Google

• Eventos de segurança: Conta Google → «Security & sign-in» (Segurança e início de sessão) → o painel «Recent security events» (Eventos de segurança recentes) → «Review security events» (Rever eventos de segurança). Em qualquer evento que não reconheças, seleciona «No, it wasn’t me» (Não, não fui eu).
• Dispositivos: Conta Google → «Your devices» (Os seus dispositivos) → «Manage devices» (Gerir dispositivos).
• Acessos recentes ao Gmail: no canto inferior direito do Gmail, num computador, clica em «Details» (Detalhes) para ver os últimos 10 endereços IP e tipos de acesso, como IMAP. Se usas o Gmail num telemóvel, a lista pode mostrar a localização do teu operador, que pode ficar longe de onde estás.
• Definições do Gmail: «Definições» → «Ver todas as definições» e, depois, o separador «Forwarding and POP/IMAP» (Encaminhamento e POP/IMAP), «Filters and Blocked Addresses» (Filtros e endereços bloqueados) e a secção «Grant access to your account» (Conceder acesso à sua conta), em «Contas e importação».
• Apps: remove tudo o que não reconheças das palavras-passe de apps e das apps com acesso à tua conta.

Outlook.com, Hotmail e a tua conta Microsoft

• Inícios de sessão: a página «Recent activity» (Atividade recente) abrange os últimos 30 dias, mas não todos os inícios de sessão. Se aparecer uma secção «Unusual activity» (Atividade invulgar), revê cada item; nos que não foste tu, escolhe «This wasn’t me» (Não fui eu). Para tudo o que pareça suspeito na lista «Recent activity», seleciona «Secure your account» (Proteger a sua conta).
• Reencaminhamento e regras: no Outlook.com, vai a «Settings → Mail → Forwarding» (Definições → Correio → Reencaminhamento), desmarca «Enable forwarding» (Ativar reencaminhamento) e seleciona «Save» (Guardar); verifica também «Settings → Mail → Rules» (Definições → Correio → Regras).
• Palavras-passe de apps e sessões: em «Advanced security options» (Opções de segurança avançadas), no painel da tua conta Microsoft, verifica a secção «App passwords» (Palavras-passe de aplicações) e usa «Sign out everywhere» (Terminar sessão em todo o lado), o que, segundo a Microsoft, demora até 24 horas.
• Outras definições: os passos de recuperação da Microsoft também dizem para verificar «contas ligadas, reencaminhamento e respostas automáticas».

iCloud Mail e a tua Conta Apple

• Dispositivos: em account.apple.com, seleciona «Devices» (Dispositivos) e remove os que não reconheças.
• Palavras-passe específicas de app (palavras-passe de aplicação): account.apple.com → «Início de sessão e segurança» → «Palavras-passe específicas de app» → «Remove» (Remover), ou «Revoke all» (Revogar todas). Alterar a palavra-passe revoga-as todas de qualquer forma.
• Reencaminhamento e regras: em icloud.com/mail, seleciona o botão «Settings» (Definições) no topo da lista «Mailboxes» (Caixas de correio) → «Settings» (Definições) e verifica «Mail Forwarding» (Reencaminhamento de email) e «Rules» (Regras) na barra lateral.
• Histórico de inícios de sessão: a Apple não documenta um registo como o do Gmail. Os sinais que dá são os alertas de início de sessão, os códigos de autenticação de dois fatores que não pediste e a lista «Devices» (Dispositivos).

O teu email apareceu numa nova fuga de dados?

Pesquisa o teu endereço no Have I Been Pwned (HIBP), um serviço gratuito gerido pelo investigador de segurança Troy Hunt. A 25 de setembro de 2026, a página inicial contabiliza 1038 sites comprometidos e mais de 17 mil milhões de endereços comprometidos (um endereço encontrado em várias fugas é contado uma vez por cada uma).

• Um resultado de fuga de dados indica o serviço que perdeu o teu endereço e quando. Uma fuga recente pode explicar um aumento de spam e de phishing.
• Um resultado de lista de spam significa que o teu endereço foi encontrado em dados usados para spam direcionado, o que explica o spam diretamente.
• Nenhum resultado não prova grande coisa: «Muitas fugas de dados nunca resultam na divulgação pública dos dados.»
• Pesquisa separadamente cada endereço que usas, incluindo os endereços com «+», e ativa os alertas gratuitos «Notify Me» (Notificar-me) do HIBP.

Uma fuga de dados também se pode manifestar como um email que cita uma das tuas palavras-passe e exige um pagamento. O conselho da FTC: «Para. Não pagues nada. Apaga a mensagem. É uma burla.» Se ainda usas essa palavra-passe, altera-a em todo o lado. Para os outros caminhos que o teu endereço pode seguir, vê como é que os spammers obtêm endereços de email.

O teu endereço foi vendido ou partilhado depois de um registo

Se os novos emails são marketing normal de empresas que nunca usaste e começaram pouco depois de te registares algures, o teu endereço foi provavelmente passado a terceiros. A FTC diz que, quando dás o teu endereço de email a uma empresa, esta «pode partilhá-lo ou vendê-lo a terceiros». A Microsoft aponta uma das portas de entrada: uma caixa de verificação na finalização da compra, já assinalada, que permite à loja passar o teu endereço a outras empresas.

1. Anula a subscrição das empresas verdadeiras. Usa o link de cada remetente ou, no Gmail, «More → Manage subscriptions» (Mais → Gerir subscrições). Nos EUA, a CAN-SPAM diz que um remetente tem de respeitar o teu pedido de exclusão «no prazo de 10 dias úteis» e que, a partir daí, «não pode vender nem transferir» o teu endereço.
2. Desativa a partilha onde te registaste. Na tua conta nessa empresa, procura as definições de marketing ou de partilha com parceiros e desativa-as.
3. Descobre a origem. Para perceber que registo deixou escapar o endereço, vê como descobrir quem vendeu o teu endereço de email. Da próxima vez, dá a cada registo o seu próprio alias, como faz o CatchNone, para que a próxima venda revele a sua origem.

Porque é que recebo spam do meu próprio endereço?

Os emails que mostram o teu próprio endereço como remetente são muitas vezes falsificados, e não enviados a partir da tua conta. Nas palavras da norma SPF, «os protocolos existentes não impõem nenhuma restrição ao que um servidor de envio pode usar como “MAIL FROM” de uma mensagem». Há três verificações para apanhar falsificações:

• SPF (RFC 7208) enumera os servidores autorizados a enviar email em nome de um domínio.
• DKIM (RFC 6376) acrescenta a cada mensagem uma assinatura criptográfica, que os servidores de destino verificam com uma chave pública que o domínio de envio publica no seu DNS.
• DMARC (RFC 9989, que substituiu o RFC 7489 em maio de 2026) diz aos servidores de destino o que o domínio quer que se faça aos emails que falham essas verificações: nenhuma preferência, e quem recebe decide (none), tratá-los como suspeitos (quarantine) ou recusá-los (reject).

Para distinguir o spoofing de uma invasão:

1. Abre a pasta de enviados. Os emails falsificados nunca passam pela tua conta, por isso não vão estar lá. Mas um intruso pode apagar itens enviados, por isso verifica também a atividade de início de sessão.
2. Verifica a autenticação da mensagem. No Gmail, um ponto de interrogação ao lado do nome do remetente significa que a mensagem «não está autenticada»; clica em «Down arrow» (seta para baixo), por baixo do nome do remetente, para ver «Mailed by» (Enviado por) e «Signed by» (Assinado por). No Outlook, um «?» na imagem de remetente de alguém que normalmente não a tem «pode ser sinal de que o remetente está a ser falsificado». Para veres os resultados completos no Gmail, clica em «More» (Mais), ao lado de «Reply» (Responder), e depois em «Show original» (Mostrar original) (Google); noutras apps, procura o cabeçalho Authentication-Results.
3. Lê o resultado. spf=fail, spf=softfail ou dmarc=fail num email que mostra o teu endereço significa normalmente que foi falsificado: filtra-o e segue em frente. Se o endereço falsificado estiver num domínio teu, publicar SPF, DKIM e uma política DMARC quarantine ou reject permite aos servidores de destino enviar as falsificações para o spam ou recusá-las de vez. Uma assinatura DKIM válida do domínio do teu próprio fornecedor («Signed by» gmail.com, por exemplo) sugere que a mensagem pode mesmo ter passado pela tua conta, por isso faz as verificações de conta pirateada.

Uma pilha de mensagens «Undeliverable» sobre emails que nunca enviaste é a mesma falsificação vista do outro lado. A Microsoft chama-lhe backscatter: os spammers põem um endereço verdadeiro nos seus emails, e os servidores que não os conseguem entregar enviam a devolução para esse endereço. Não significa que a tua conta tenha sido usada: verifica os enviados e, depois, filtra as devoluções até pararem.

Mudaram os teus filtros ou a tua app de email, não o spam

Às vezes, os emails são os mesmos e só mudou a forma como são organizados:

• O Gmailify vai acabar. O Gmail deixa de filtrar as contas do Yahoo, do Outlook e outras ligadas através do Gmailify em janeiro de 2027, ou antes, se passares uma delas para a app Gmail por IMAP; a partir daí, é o filtro de spam desse fornecedor que decide o que vês, a menos que reencaminhes os emails dele para o Gmail.
• Categorias no Mail do iPhone. Desde o iOS 18.2, o Mail pode organizar os emails em «Primary», «Transactions», «Updates» e «Promotions» (Principal, Transações, Atualizações e Promoções), mas não em todos os países ou regiões. Se a caixa de entrada passou para «List View» (Vista de lista), com o botão «More» (Mais) no topo da caixa de entrada → «List View», os emails que antes ficavam em «Promotions» e «Updates» aparecem agora na lista principal (Apple).
• Há algo a escapar à pasta de spam. Um filtro configurado para nunca enviar emails para o spam, ou emails indesejados que parecem vir de um contacto, podem acabar na caixa de entrada; o iCloud diz que os emails «de pessoas dos teus contactos do iCloud, ou de conversas recentes, não vão para a pasta Lixo» (Apple). Verifica os teus filtros e marca os emails indesejados como spam em vez de os apagares.
• Novo Outlook para Windows. As regras em que confiavas no Outlook clássico podem ter deixado de organizar os emails do Gmail, do Yahoo ou do iCloud. Configura-as no fornecedor, como nos passos do filtro acima.

Emails para nomes inventados no teu próprio domínio

Um catch-all aceita emails para qualquer endereço do teu domínio, incluindo os que têm erros ortográficos. Os spammers tentam adivinhar nomes comuns como info@, admin@ e sales@, e um catch-all não recusa nenhum deles.

Descarta os emails para os nomes visados, ou desativa o catch-all e cria apenas os endereços que usas. Se dependes do catch-all para ter um endereço por site, desativá-lo obriga-te a criar primeiro cada um deles no teu fornecedor. Muitos fornecedores de email permitem-te adicionar uma regra para um endereço adivinhado. Uma regra que descarta os emails em silêncio não dá nenhuma devolução a quem está a adivinhar, por isso o endereço pode parecer válido e ele pode continuar a enviar; uma regra que os devolve diz-lhe que o endereço não existe, enquanto o resto do teu domínio continua a receber. Os passos para bloquear um endereço em cada serviço estão em como bloquear um endereço num catch-all.

Quanto tempo dura um pico de spam

Se tens recebido muito spam ultimamente, saber se vai parar depende da causa:

• Um email bombing costuma acabar ao fim de cerca de uma semana, segundo o Yahoo, embora as listas que te inscreveram sem pedir confirmação continuem a enviar até anulares a subscrição.
• Os pedidos para anular a subscrição podem demorar até 10 dias úteis a produzir efeito nos EUA, ao abrigo da CAN-SPAM.
• O spam de fugas de dados e de listas vendidas diminui, mas raramente para; vê o que o reduz com o tempo.
• O spoofing e o backscatter acabam quando a campanha passa para outro alvo.
• Uma conta comprometida deixa de enviar quando o intruso é expulso.

Denuncia o phishing para além do teu fornecedor de email: nos EUA, reencaminha-o para reportphishing@apwg.org e denuncia-o em ReportFraud.ftc.gov; no Reino Unido, reencaminha-o para o NCSC, em report@phishing.gov.uk.

Descobre a origem do próximo pico com o CatchNone

O CatchNone torna fácil descobrir a origem do próximo pico. Quando cada loja, newsletter ou conta tem o seu próprio alias, os emails a mais caem num só alias e revelam a sua origem, e cada mensagem é assinalada com o alias a que chegou. A «Atividade» mostra em gráfico os emails de cada alias, e uma regra simples acrescenta a nota «Mais mensagens do que o habitual». Os emails dos aliases são lidos na sua própria app, e as mensagens abrem com as imagens remotas, incluindo a maioria dos píxeis de rastreio, bloqueadas até as carregares.

Quando um alias começa a fazer barulho, desativa-o: num endereço @catchnone.com (Premium), os remetentes passam a receber uma devolução, enquanto os teus outros aliases continuam a funcionar. Num domínio teu, marcar um alias como «Fora de uso» é apenas uma etiqueta, por isso bloqueia o endereço com uma regra no teu fornecedor. Uma enxurrada para @catchnone.com também conta para os limites diários (em inglês) de 500 mensagens recebidas por dia UTC, com um máximo de 250 para um mesmo endereço, e o email que ultrapassa esses limites é recusado por agora, sem nenhum aviso na app. No teu próprio domínio, o CatchNone lê as 100 mensagens mais recentes da caixa de entrada em cada verificação, por isso uma enxurrada muito grande fica aquém da contagem real.

O CatchNone foi concebido só para receber. Não tem filtro de spam nem limpa uma enxurrada que já está a atingir o teu endereço principal, e procura emails novos quando o abres, em vez de enviar notificações, por isso mantém os emails do banco e de recuperação de contas no teu endereço principal. Descarrega o CatchNone para iPhone, iPad e Mac.

Perguntas frequentes

O email bombing é ilegal?

Depende de onde vives, e isto não é aconselhamento jurídico. O que deves denunciar é a fraude que muitas vezes encobre: informa o teu banco de qualquer pagamento que não fizeste e, nos EUA, denuncia fraudes em ReportFraud.ftc.gov e roubo de identidade em IdentityTheft.gov.

Porque é que o meu Outlook, Hotmail ou Yahoo recebe tanto spam?

As causas são as mesmas em todos os fornecedores; só mudam os sítios onde verificar: vê as verificações da conta Microsoft e as linhas do Outlook.com e do Yahoo na tabela de filtros.

O que devo fazer na primeira hora?

Verifica as apps do banco e dos cartões, as encomendas recentes e a tua caixa de correio, sem esquecer as pastas de spam e do lixo, à procura de emails sobre palavras-passe, segurança e encomendas, como nas verificações de fraude acima. Se alguma coisa apontar para uma invasão, faz as verificações de conta pirateada; depois, filtra a enxurrada para uma pasta sem a apagar e ignora quem te telefonar ou enviar mensagens a oferecer-se para resolver o spam.