Cine ți-a vândut adresa de email? Cum afli în 5 pași

Poți afla cu certitudine cine ți-a vândut adresa de email (sau cine a divulgat-o) doar dacă i-ai dat acelei firme o adresă pe care n-o mai avea nimeni altcineva. Pe o adresă principală pe care o folosești de ani de zile, de obicei poți restrânge lista suspecților, dar nu poți numi un vinovat: adresa se află în zeci de baze de date cu clienți, iar un mesaj spam rareori duce înapoi la firma care a scăpat-o. Ce poți afla este cine îți trimite emailuri și prin ce serviciu, dacă o firmă ți-a divulgat adresa într-o scurgere de date cunoscută și, în UE și în Marea Britanie, ce spune o firmă despre locul de unde ți-a obținut adresa. CatchNone, pentru iPhone, iPad și Mac, face din „o adresă pentru fiecare firmă” configurarea implicită: fiecare mesaj poartă o etichetă cu aliasul la care a ajuns, așa că următoarea scurgere își arată sursa.

Pașii, în ordine:

1. Găsește primul mesaj nedorit și adresa exactă la care a ajuns.
2. Citește-i antetele ca să identifici expeditorul și serviciul prin care trimite.
3. Verifică pe Have I Been Pwned dacă adresa apare într-o scurgere de date.
4. Întreabă expeditorul de unde are adresa ta și întreabă firma pe care o bănuiești căror firme i-a dat-o.
5. De acum înainte, dă-i fiecărei firme propria ei adresă.

Poți afla cine ți-a vândut adresa de email?

Uneori. Depinde de dovezi:

• Antetele arată cine a trimis un mesaj și prin ce serviciu (o semnătură DKIM validă dovedește ce domeniu l-a semnat), nu de unde provine lista.
• O scurgere de date înregistrată dovedește că o firmă ți-a pierdut adresa, fără să le excludă pe celelalte.
• O cerere legală poate obliga o firmă să spună ce știe despre sursă, dacă știe (în California, doar pe categorii).
• O adresă aleatorie pe care ai dat-o unei singure firme arată direct spre sursă: emailurile de la oricine altcineva pe acea adresă înseamnă că a ieșit de la firma respectivă, fie că a fost vândută, partajată sau furată.

Un val brusc de spam poate avea și alte cauze: vezi de ce poate crește spamul dintr-odată. Despre cum se răspândesc adresele de la bun început, prin vânzări, scurgeri de date, colectare automată și ghicire, citește cum obțin spammerii adresele de email.

Pasul 1: Găsește primul mesaj și adresa la care a ajuns

Caută expeditorul necunoscut și găsește cel mai vechi rezultat: primul mesaj este cel mai aproape de momentul în care adresa ta a schimbat mâinile. Verifică exact la ce adresă a fost trimis și cum ți se adresează. O adresă veche sau o greșeală de tastare pe care ai folosit-o o singură dată, o variantă +tag a adresei tale, numele tău scris greșit într-un singur formular de înscriere sau un detaliu pe care îl știa doar o firmă indică, toate, o sursă.

În UE și în Marea Britanie, citește și subsolul acelui prim mesaj și linkul spre politica de confidențialitate. Potrivit GDPR (art. 14), o firmă care ți-a obținut datele de la altcineva trebuie să-ți comunice „sursa din care provin datele cu caracter personal”. Dacă folosește datele ca să te contacteze, termenul este „cel târziu în momentul primei comunicări”. Dacă primul mesaj nu a spus asta, menționează lucrul acesta în cererea de la pasul 4.

Pasul 2: Citește antetele

Antetele sunt rândurile ascunse de deasupra unui mesaj. Ele numesc expeditorul și serviciul care a livrat emailul, deci îți spun cui să scrii la pasul 4.

Cum vezi antetele

Căile din paginile de ajutor ale fiecărui furnizor, valabile în septembrie 2026:

Scurtătura din Gmail: pe web, dă clic pe săgeata în jos de sub numele expeditorului ca să vezi „Mailed by” (Trimis prin) și „Signed by” (Semnat de), domeniile care au trimis și au semnat mesajul.

Un exemplu concret

Un set de antete ilustrativ, prescurtat. Adresa ta este k7qm-2xrd@example.com, o adresă aleatorie pe care ai dat-o doar unui magazin de grădinărit. Brandul este dealsdaily.example.net, iar mailer.example.org este serviciul de trimitere pe care îl folosește.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Aici expeditorul este Deals Daily, care trimite prin mailer.example.org, iar adresa la care a ajuns mesajul este cea aleatorie pe care ai dat-o doar magazinului de grădinărit, deci de acolo a ieșit. Antetele nu pot spune cum a obținut-o Deals Daily: ele numesc expeditorul, niciodată vânzătorul. ICANN Lookup arată datele de înregistrare ale unui domeniu necunoscut, deși datele proprietarului sunt în mare parte ascunse.

Pasul 3: Verifică dacă o firmă a divulgat-o într-o scurgere de date

Have I Been Pwned (HIBP) arată în ce scurgeri de date și în ce liste de spam apare o adresă. La 25 septembrie 2026, serviciul listează 1.038 de site-uri compromise și peste 17,8 miliarde de conturi compromise (o adresă prezentă în mai multe scurgeri este numărată o dată pentru fiecare).

• O scurgere de date numește serviciul care a pierdut datele și momentul în care s-a întâmplat: o pistă serioasă dacă spamul a început la scurt timp după aceea.
• O listă de spam înseamnă că adresa ta a apărut în date folosite pentru spam țintit. Aceste liste „sunt adesea agregate din mai multe surse”, deci rareori numesc firma de la care au pornit. Înregistrările din paste-uri (texte publicate pe site-uri de tip paste) și scurgerile pe care HIBP le marchează ca fabricate sau neverificate sunt dovezi și mai slabe.
• Scurgerile sensibile apar doar după ce te conectezi și confirmi că primești emailuri la adresa respectivă.

Un rezultat curat înseamnă doar că adresa nu se află într-o scurgere pe care HIBP a încărcat-o, nu că n-a vândut-o nimeni. Activează alertele gratuite Notify Me (Anunță-mă). Dacă folosești adrese separate pentru fiecare firmă pe propriul domeniu, Domain Search (căutare după domeniu) arată care dintre ele apar și în ce scurgere, după ce îți verifici domeniul (domeniile mai mari au nevoie în mod normal de un abonament). Raportul Google despre dark web, recomandat în ghidurile mai vechi, a fost întrerupt la începutul lui 2026.

Pasul 4: Întreabă direct firmele

UE și Marea Britanie: întreabă de unde a venit adresa și unde a ajuns

Dreptul de acces îți permite să pui două întrebări la două firme:

• Întreabă expeditorul de unde are adresa ta. Articolul 15 alineatul (1) litera (g) din GDPR îți dă dreptul la „orice informații disponibile privind sursa acestora”, iar ghidurile privind transparența aprobate de Comitetul european pentru protecția datelor spun că o firmă care ți-a obținut datele din altă parte ar trebui să numească sursa concretă, cu excepția cazului în care nu poate.
• Întreabă firma pe care o bănuiești căror firme ți-a dat adresa. În temeiul articolului 15 alineatul (1) litera (c), Curtea de Justiție a UE a hotărât în cauza Österreichische Post (C-154/21) că o firmă trebuie să numească, la cerere, destinatarii efectivi, cu excepția cazului în care nu îi poate încă identifica sau cererea este vădit nefondată ori excesivă. Autoritatea britanică pentru protecția datelor, ICO, spune același lucru în temeiul UK GDPR.

Niciuna dintre cereri nu obligă pe cineva să numească un vânzător: o firmă poate spune că nu știe sau că datele provin din mai multe surse (considerentul 61), deși un răspuns evaziv este motiv de plângere. Folosește datele de contact din nota de informare privind confidențialitatea a fiecărei firme și ocolește spammerii evidenți, pentru că, dacă le răspunzi, le confirmi că adresa ta funcționează.

Iată o cerere pe care o poți copia (omite punctul 4 când îi scrii firmei pe care o bănuiești):

Subiect: Cerere de acces în temeiul articolului 15 din GDPR

În temeiul articolului 15 din GDPR (sau din UK GDPR), pentru adresa mea de email, you@example.com, vă rog să îmi comunicați:

1. De unde ați obținut-o, cu numele sursei concrete (art. 15 alin. (1) lit. (g)).
2. Căror destinatari le-ați divulgat-o, cu numele acestora (art. 15 alin. (1) lit. (c)).
3. Ce date cu caracter personal dețineți despre mine, împreună cu o copie a acestora.
4. De ce primul mesaj pe care mi l-ați trimis, la [data], nu a menționat această sursă (art. 14 alin. (2) lit. (f) și art. 14 alin. (3) lit. (b)).

De asemenea, mă opun prelucrării datelor mele în scopuri de marketing direct (art. 21). Vă rog să îmi răspundeți în termen de o lună (art. 12 alin. (3)).

[Numele tău]

De obicei, răspunsurile sunt gratuite (termenele sunt în tabelul de mai jos). După ce te opui marketingului direct, datele tale nu mai pot fi folosite în acest scop.

Dacă în Marea Britanie răspunsul lipsește sau este evaziv, fă mai întâi o plângere la firmă: pentru plângerile făcute începând cu 19 iunie 2026, Data (Use and Access) Act o obligă să confirme primirea plângerii tale în termen de 30 de zile. Apoi, în cel mult trei luni de la ultimul contact semnificativ cu firma, depune o plângere la ICO. În UE, articolul 77 îți permite să depui o plângere la o autoritate de protecție a datelor.

Statele Unite: California și Oregon

O cerere CCPA de tip „right to know” (dreptul de a ști) în California îți aduce categoriile de surse și de terți, plus informațiile personale deținute, dar nu va numi cine ți-a vândut adresa. Răspunsurile sunt gratuite. Poți, de asemenea, să-i ceri unei firme să nu-ți mai vândă sau partajeze datele ori să șteargă ce a colectat de la tine. Legea se aplică doar firmelor care depășesc anumite praguri, de exemplu venituri anuale de peste 26.625.000 USD (în septembrie 2026).

Dacă locuiești în Oregon, o firmă căreia i se aplică legea privind confidențialitatea din acest stat trebuie să-ți dea, la cerere, o listă cu terții concreți cărora le-a divulgat date, deși poate enumera terții care au primit orice date personale, nu neapărat pe ale tale (ORS 646A.574). Aceste drepturi vin din legislația fiecărui stat, deci ce poți cere depinde de locul în care locuiești.

Rezidenții Californiei pot folosi și DROP, Delete Request and Opt-out Platform (platforma pentru cereri de ștergere și de refuz), ca să trimită o singură cerere de ștergere tuturor brokerilor de date înregistrați (firme care colectează și revând date personale). Platforma s-a deschis la 1 ianuarie 2026, iar din 1 august 2026 brokerii trebuie să proceseze cererile cel puțin o dată la 45 de zile. Ajunge doar la brokerii de date, firme cu care nu ai o relație directă, nu și la magazinul căruia i-ai dat adresa.

Oricine poate căuta în registrele brokerilor de date din California, Vermont, Texas și Oregon. Caută acolo numele firmei expeditorului și domeniile de la pasul 2. O potrivire îți spune că expeditorul este un broker de date înregistrat, una dintre firmele la care ajunge DROP dacă locuiești în California.

Ce poți obține cu fiecare cerere

Oriunde: serviciul de trimitere

Serviciul de trimitere numit în DKIM-Signature d=, Return-Path sau List-Unsubscribe are propriile reguli. Politica de utilizare acceptabilă a Mailchimp, de exemplu, interzice trimiterea către „liste cumpărate, închiriate, de la terți, co-reg, date disponibile public sau liste de parteneri de orice fel”, iar departamentul său de abuzuri cere „antetul complet al emailului” (ambele verificate la 25 septembrie 2026). Trimite-i departamentului de abuzuri al serviciului antetele complete. Nu îți va spune cine ți-a vândut adresa, dar poate opri expeditorul să-i mai folosească serviciul.

Ce faci după ce afli

• Retrage adresa. Dă-i firmei care a divulgat-o o adresă nouă sau închide contul, apoi dezactivează sau șterge adresa veche. Păstreaz-o funcțională până primești răspuns la orice cerere de acces, pentru că răspunsul sau o verificare a identității pot sosi pe ea. Dacă e adresa ta principală, folosește filtre.
• Oprește mesajele. Trimite opoziția în temeiul articolului 21 (UE, Marea Britanie), dezabonează-te de la expeditorii legitimi din SUA sau refuză vânzarea și partajarea și folosește DROP (California). Dacă dezabonarea de la emailuri n-a funcționat până acum, citește de ce nu funcționează dezabonarea.
• Raportează mesajul la ReportFraud.ftc.gov în SUA, cu instrumentul ICO pentru emailuri spam în Marea Britanie (nu răspunde individual) sau la departamentul de abuzuri al serviciului de trimitere și marchează-l ca spam în aplicația ta de email.
• Dacă a fost o scurgere de date, securizează și contul (vezi întrebările frecvente).

Firmele îți vând adresa de email? Este legal?

Da, unele o fac. FTC spune: „Când îi dai unei firme adresa ta de email, aceasta o poate partaja sau vinde unor terți.” În SUA, legea federală permite asta până când refuzi (opt-out). În Marea Britanie și în UE, o firmă are nevoie de consimțământul tău ca să-ți trimită emailuri de pe o listă cumpărată, iar în Marea Britanie are nevoie, în general, de consimțământul tău ca să vândă o astfel de listă.

• Statele Unite: potrivit legii federale CAN-SPAM, o firmă nu are nevoie de consimțământ ca să-ți trimită emailuri de marketing. După ce refuzi, are 10 zile lucrătoare ca să se oprească și nu îți poate vinde sau transfera adresa. California adaugă dreptul de a refuza vânzarea, iar acolo „vânzarea” include închirierea sau punerea la dispoziție a datelor în schimbul unei „alte contraprestații valoroase”, deci și un schimb cu un partener poate intra aici, fără să fie implicați bani. „Partajarea” (sharing) este un termen separat, pentru publicitatea comportamentală între contexte (cross-context behavioral advertising).
• Marea Britanie: potrivit Privacy and Electronic Communications Regulations (PECR), o firmă poate trimite emailuri persoanelor de pe o listă cumpărată doar dacă acestea „și-au dat în mod specific consimțământul să primească acel tip de mesaj” de la ea; un consimțământ generic dat oricărui terț nu este suficient, iar vânzarea unei liste necesită, în general, consimțământul persoanelor de pe ea (ghidul ICO, în curs de revizuire după Data (Use and Access) Act). Pentru adresele de email ale firmelor se aplică alte reguli.
• UE: Directiva ePrivacy permite emailurile de marketing doar cu „consimțământul prealabil”, cu excepția unui vânzător care le promovează propriilor clienți produse similare, o excepție pe care cumpărătorul unei liste nu o poate folosi.

De ce trucul cu plus este o dovadă slabă

„Trucul Gmail” înseamnă să te înscrii cu o adresă cu etichetă, de exemplu you+shopname@example.com pentru adresa you@example.com, și să urmărești ce etichetă apare în spam. Descrierea făcută chiar de Google arată punctul slab: „Mesajele trimise la adresa ta actuală sau la orice variantă a ei cu semnul plus ajung toate în inboxul tău actual.”

• Adresa ta reală se vede cu ochiul liber. Șterge eticheta și emailurile tot ajung la tine, iar dovada dispare.
• Eticheta nu înseamnă nimic pentru expeditor. Doar furnizorul tău interpretează partea dinaintea semnului @ (RFC 5321, §2.3.11), iar separatorul diferă de la un sistem la altul (RFC 5233).
• Dovedește mai puțin decât pare. O adresă cu etichetă găsită în spam arată că a ieșit de la acea firmă, nu și dacă a fost vândută, partajată sau furată într-o scurgere de date. Iar dacă nu apare spam pe adresa cu etichetă, asta nu scoate pe nimeni din cauză: eticheta poate să fi fost pur și simplu eliminată.

Trucul cu punctul, adică să te înscrii ca your.name la o firmă și ca yo.urname la alta, este și mai slab: Gmail ignoră punctele din adresele personale, așa că oricine le poate elimina (în conturile de serviciu sau de la școală, punctele contează). Adresarea cu plus (plus addressing) rămâne utilă pentru filtrare; ghidul despre adresarea cu plus explică unde funcționează.

Pasul 5: Fă ca următoarea scurgere să-și arate singură sursa

Metoda de încredere funcționează doar de acum înainte: dă-i fiecărei firme propria ei adresă, care să nu conțină adresa ta reală. Emailurile de la oricine altcineva pe adresa pe care ai dat-o unui singur magazin îți spun de unde a ieșit, iar tu poți dezactiva doar acea adresă.

• CatchNone îi dă fiecărei firme propriul alias și marchează fiecare mesaj cu aliasul la care a ajuns, așa că o adresă vândută iese la iveală fără să citești antete. Adresele @catchnone.com necesită Premium; un domeniu pe care îl deții funcționează și în planul Gratuit.
• Serviciile de aliasuri de email, precum „Mascare e-mail” (Hide My Email) de la Apple (cu iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io și Firefox Relay, redirecționează emailurile către inboxul tău. Comparația serviciilor de aliasuri de email explică diferențele.
• O adresă catch-all pe propriul domeniu (o adresă de tip „umbrelă”) acceptă emailuri pentru orice adresă de pe acel domeniu, așa că poți inventa câte una pentru fiecare înscriere. Cloudflare Email Routing (rutare email), de exemplu, este disponibil în planurile gratuite și în cele plătite (în septembrie 2026) și are o regulă catch-all. Vezi ce este o adresă de email catch-all pentru avantaje și dezavantaje.

Preferă adresele aleatorii celor ușor de ghicit, precum gardenshop@example.com, pe care un spammer le-ar putea inventa pe un catch-all, și notează ce adresă ai dat și unde.

CatchNone: fiecare mesaj arată adresa la care a ajuns

Aplicația CatchNone este făcută pentru Pasul 5. Îi dai fiecărui magazin, newsletter sau cont propriul alias, iar fiecare mesaj din aplicație poartă o etichetă cu aliasul la care a ajuns. Când un necunoscut îți scrie pe adresa pe care ai dat-o doar magazinului de grădinărit, eticheta îți arată de unde a ieșit, fără antete de citit. Fila „Activitate” semnalează emailurile sosite pe un alias pe care l-ai marcat ca „Neutilizat” și expeditorii care îți scriu prima dată, iar o adresă @catchnone.com divulgată o poți dezactiva, așa că expeditorilor li se returnează mesajele, în timp ce celelalte aliasuri continuă să funcționeze.

Cu Premium primești adrese aleatorii @catchnone.com, cum ar fi abcde-12345@catchnone.com, fără niciun domeniu, DNS sau cutie poștală de configurat, și chiar și emailurile trimise în Bcc sunt atribuite. Sau folosește un domeniu pe care îl deții și al cărui email furnizorul tău îl livrează deja într-un inbox: aplicația citește acea cutie poștală doar pentru citire, prin IMAP sau JMAP, direct de pe dispozitivul tău, cu până la 10 aliasuri în planul Gratuit și fără limită în Lite și Premium. CatchNone este disponibil pentru iPhone, iPad și Mac.

Funcționează de acum înainte, nu retroactiv pe adresele pe care le-ai folosit înainte, și nu are o bază de date cu scurgeri sau detectare a scurgerilor: etichetele și notele din „Activitate” sunt indicii pe care le cântărești tu. Pe propriul domeniu, citește doar inboxul și doar emailurile al căror câmp Către (To), Cc sau Bcc conține o adresă de pe domeniul tău, deci spamul mutat în dosarul de mesaje nedorite (Junk) nu va apărea. Dacă marchezi acolo un alias ca „Neutilizat”, doar îl etichetezi, așa că blochează o adresă divulgată la furnizorul tău. Mesajele @catchnone.com se șterg la 30 de zile după ce sosesc, așa că marchează cu fanion pe cele de care ai nevoie ca dovadă, ca să păstrezi textul complet pe dispozitiv.

Întrebări frecvente

Ce fac dacă o firmă mi-a divulgat adresa de email?

Caută adresa pe Have I Been Pwned ca să vezi în ce scurgere de date a apărut și ce alte date au mai fost divulgate odată cu ea. Schimbă parola de pe acel site și de peste tot unde ai refolosit-o și activează verificarea în doi pași. Așteaptă-te la mesaje de phishing (mesaje-capcană care imită o firmă) care citează detaliile divulgate și nu urma linkurile din mesajele care menționează scurgerea. Dacă i-ai dat acelei firme o adresă doar a ei, retrage-o și dă-i firmei una nouă.

LinkedIn sau Google îmi vând adresa de email?

Niciuna dintre ele nu spune că îți vinde informațiile personale, dar LinkedIn spune că le partajează pentru publicitate între contexte (cross-context advertising). Declarația sa privind confidențialitatea pentru California spune „Nu vindem informațiile tale personale” și le permite californienilor să refuze această partajare. Centrul de siguranță Google spune „Nu vindem niciodată informațiile tale personale nimănui”, iar politica sa de confidențialitate (în vigoare de la 26 mai 2026) spune că partajează informații personale în afara Google doar în cazurile enumerate, primul fiind cu consimțământul tău. Toate cele trei pagini au fost verificate la 25 septembrie 2026. Pentru alte firme, citește politica și tratează separat „vânzarea” și „partajarea”.

Cine cumpără adrese de email?

Brokerii de date, brokerii de liste și firmele de marketing; registrele statelor menționate mai sus enumeră brokerii înregistrați. Comerțul poate fi la vedere: în cauza Österreichische Post, operatorul poștal austriac a declarat că oferă date personale „partenerilor comerciali în scopuri de marketing”, iar ulterior a enumerat printre destinatari „furnizori de liste de email” (mailing list providers). Cauza privea date deținute de un operator poștal, nu adrese de email.