De unde au spammerii adresa ta de email? 7 căi principale

Spammerii au adresele de email din scurgeri de date, din liste pe care firmele le vând sau le partajează, colectându-le automat (scraping) de pe site-uri și profiluri publice, ghicind nume comune, din agendele altor oameni și din vechile înregistrări ale domeniilor. Apoi testează care adrese sunt active, urmărind deschiderile, clicurile și răspunsurile. Spamul poate ajunge chiar și la o adresă pe care n-ai dat-o nimănui, prin ghicire, scraping sau contactele altcuiva, și doar unele dintre aceste căi le poți închide tu. Pentru căile care încep cu tine, CatchNone îi dă fiecărui magazin și newsletter propria adresă și îți arată la care a ajuns fiecare mesaj, așa că o scurgere de date sau o listă vândută își dezvăluie sursa, pe iPhone, iPad și Mac.

De unde au spammerii adresele de email: cele 7 căi

1. Scurgerile de date și listele de parole construite din ele.
2. Vânzarea și partajarea listelor, prin brokeri de date (firme care colectează și revând date personale) și „parteneri”.
3. Scraping-ul paginilor web, al profilurilor de pe rețelele sociale și al codului.
4. Ghicirea numelor comune, mai ales pe domeniile care acceptă orice adresă.
5. Agendele altor oameni: contacte încărcate, malware și lanțuri lungi de Cc.
6. Înregistrările WHOIS vechi, de dinainte de 2018.
7. Confirmarea: imagini de urmărire, clicuri, răspunsuri și mesaje de test goale care dovedesc că o adresă funcționează.

Scurgeri de date și liste combo

Când o firmă suferă o breșă de securitate, lista ei de clienți poate fi furată odată cu ea, fie că mai folosești serviciul, fie că nu. Have I Been Pwned (HIBP) înregistra 1.038 de scurgeri de date și peste 17,8 miliarde de înregistrări de conturi compromise la 25 septembrie 2026. Totalul numără o adresă o dată pentru fiecare scurgere în care apare, așa că măsoară conturi, nu oameni. Caută-ți adresa acolo ca să vezi în ce scurgeri apare, când au avut loc și ce date au fost expuse. Dacă nu apare în niciuna, e mai probabil să fie vorba de o listă vândută, de scraping sau de ghicire.

Adresele din scurgeri sunt refolosite. Listele combo (combo lists) sunt perechi de adrese de email și parole adunate din scurgeri anterioare și folosite pentru credential stuffing, adică pentru încercarea aceleiași parole pe alte site-uri. HIBP descrie Collection #1 (2019) drept „773 de milioane de adrese de email unice, alături de parolele pe care acele adrese le folosiseră pe alte servicii compromise”. Jurnalele de tip stealer (stealer logs) sunt o a treia sursă: malware-ul de pe un dispozitiv infectat înregistrează „adresele de email, parolele și site-ul în care sunt introduse la autentificare”.

Poți închide calea asta? Nu. Poți limita ce expune o singură scurgere: o parolă unică pentru fiecare site, verificarea în doi pași pentru contul de email și o adresă separată pentru fiecare firmă, astfel încât o scurgere să expună o adresă de rezervă, nu pe cea principală. Alertele gratuite Notify Me de la HIBP te anunță despre următoarea.

Vânzarea listelor, brokerii de date și „partenerii noștri”

Comisia Federală pentru Comerț a SUA (FTC) o spune direct: „Când dai unei firme adresa ta de email, aceasta ar putea s-o partajeze cu terți sau s-o vândă.” Formularele de înscriere alimentează același comerț. Agenția americană pentru securitate cibernetică și securitatea infrastructurii (CISA) observă că opțiunile de a primi emailuri despre alte produse sunt uneori bifate implicit, „așa că, dacă nu le debifezi, ai putea începe să primești emailuri și de pe acele liste”. Tragerile la sorți cu premii, sondajele plătite și ofertele de carduri cadou îl alimentează și ele: HIBP spune că listele de spam sunt adesea adunate „obținând informații personale de la oameni cu promisiunea unei recompense bănești”.

Cine cumpără adrese de email? Specialiștii în marketing le cumpără de la vânzători de liste și de la brokeri de date, iar spammerii le cumpără unii de la alții: întrebările frecvente Spamhaus pentru consumatori numără printre surse adresele „cumpărate de la alți spammeri”. Listele de firme sunt un produs separat. În 2016, o listă cu peste 33 de milioane de persoane din mediul corporativ american, provenită din serviciul NetProspex al Dun & Bradstreet, a ajuns online, iar D&B credea că fusese pierdută de un client care o cumpărase.

În SUA, CAN-SPAM nu cere niciun consimțământ pentru trimiterea emailurilor de marketing. Totuși, după ce refuzi să le mai primești, o firmă trebuie să nu-ți mai trimită emailuri în cel mult 10 zile lucrătoare, iar din momentul în care ceri asta „nu poate vinde sau transfera” adresa ta.

Poți închide calea asta? Parțial. Debifează căsuțele bifate dinainte, renunță la emailurile de marketing pe care nu le citești și dă-i fiecărei firme propria adresă, ca la următoarea vânzare să se vadă cine a făcut-o. Cum afli cine ți-a vândut adresa de email tratează pe larg anteturile, verificarea scurgerilor de date și cererile de acces la date.

Scraping: site-uri, profiluri și cod

„Spammerii pot colecta orice adresă de email publicată pe un site”, avertizează CISA. Într-un experiment al FTC din 2002, 86% dintre adresele publicate pe pagini web au primit spam în șase săptămâni, iar o adresă postată într-o cameră de chat a primit spam la nouă minute după prima utilizare (rezultate republicate de ICANN). Nu conta unde se afla pe pagină: „dacă adresa conținea semnul «@», atrăgea spam”.

Profilurile sunt colectate la scară largă. În 2021, atacatorii au extras sute de milioane de profiluri publice LinkedIn, din care au rezultat aproximativ 125 de milioane de adrese de email unice, potrivit HIBP. Atacatorii au abuzat și de un API Twitter care asocia adresele de email cu conturile, iar peste 200 de milioane de înregistrări adunate astfel au apărut în 2023.

Și codul public expune adrese: fiecare commit Git conține adresa de email a autorului. Pe GitHub, mergi la „Settings” (Setări) → „Emails” (Emailuri), bifează „Keep my email addresses private” (Păstrează private adresele mele de email) și „Block command line pushes that expose my email” (Blochează push-urile din linia de comandă care îmi expun emailul), apoi setează Git pe computerul tău să folosească adresa @users.noreply.github.com afișată acolo. Commiturile făcute înainte de schimbare „sunt în continuare asociate cu adresa ta de email anterioară” (GitHub Docs). Cum îți ții adresa departe de commiturile GitHub și GitLab are pașii completi.

Poți închide calea asta? Pentru viitor. Ține-ți adresa principală departe de paginile publice, folosește în schimb un formular de contact sau o adresă separată și setează profilurile de pe rețelele sociale astfel încât doar oamenii în care ai încredere să-ți vadă adresa de email, cum recomandă CISA. Ce a fost deja colectat rămâne în circulație.

Ghicirea: pot spammerii pur și simplu să-ți ghicească adresa?

Da, și nu e nevoie de nicio listă. Comitetul de securitate al ICANN a descris metoda în 2007: spammerii încearcă „prenume și nume de familie comune, separat sau alăturate”, ori toate combinațiile de caractere, și păstrează adresele pe care un server de email le acceptă. Metoda se numește atac de recoltare a directorului (directory harvest attack). Într-unul dintre testele comitetului, 70% din spam a ajuns la adrese de pe domeniile de test care nu fuseseră publicate niciodată nicăieri. Numele scurte și comune sunt țintele cele mai ușoare, iar tiparul first.last@example.com al unei firme îi permite oricui să construiască adresele angajaților ei.

O adresă catch-all (de tip „umbrelă”) acceptă orice încercare. Dacă propriul tău domeniu livrează emailuri pentru orice adresă, admin@example.com și info@example.com ajung la tine indiferent dacă le-ai folosit vreodată. Întrebările frecvente addy.io avertizează că „spammerii și boții încearcă adesea adrese de email aleatorii”, iar cPanel spune că un catch-all „poate primi o cantitate mare de spam” atunci când spammerii țintesc un domeniu. Adresă de email catch-all: ce este și ce riscuri are prezintă pe larg avantajele și dezavantajele.

Poți închide calea asta? Parțial. O adresă scurtă și comună rămâne ușor de ghicit, dar următoarea nu trebuie să fie la fel: alege una greu de ghicit, cum recomandă ICO din Regatul Unit. Pe propriul domeniu, dacă dezactivezi catch-all-ul, încercările de ghicire nu mai ajung la tine. Dacă îl păstrezi, blochează numele ghicite la furnizorul tău. În Cloudflare Email Routing (rutare email), de exemplu, mergi la „Compute” → „Email Service” → „Email Routing” → „Routing Rules” (reguli de rutare) și adaugă o regulă pentru adresa respectivă cu acțiunea „Drop” (renunțare), care „șterge emailurile care corespund regulii fără să le ruteze”. Cloudflare precizează că adresa pare în continuare validă pentru expeditori; trimite un mesaj de test ca să confirmi că regula are prioritate față de catch-all.

Agendele și inboxurile altor oameni

Adresa ta se află în contactele tuturor celor cărora le-ai scris, iar acele copii nu mai sunt sub controlul tău.

• Contacte încărcate. Când cineva își sincronizează contactele cu Facebook, Messenger sau Instagram, Meta încarcă zilnic „numele, numerele de telefon și adresele de email din agenda sa”, inclusiv pe cele ale persoanelor care nu folosesc aplicațiile Meta. Doar atât nu înseamnă că adresa ajunge la spammeri, dar Meta spune că, înainte de septembrie 2019, unii au folosit abuziv importatorul de contacte pentru scraping, ca să asocieze numere de telefon cu conturi.
• Malware pe computerul altcuiva. Malware-ul Emotet putea „extrage adrese de email din Outlook” și putea deturna conversații reale prin email ca să se răspândească (avertismentul CISA AA20-280A).
• Lanțuri de Cc și liste de email (mailing lists). Un mesaj redirecționat lung conține toate adresele din conversație, iar comitetul de securitate al ICANN a descris spammeri care se înscriu în liste de email ca să colecteze adrese din anteturile From, Reply-To și Cc.
• Cineva te înscrie. Ajutorul Gmail descrie persoane care îți folosesc adresa „ca să se înscrie la emailuri, cum ar fi promoții sau newslettere”, din greșeală sau intenționat.

Poți închide calea asta? Nu direct. Folosește Bcc pentru emailurile trimise unui grup, șterge adresele altor oameni dintr-o conversație înainte s-o redirecționezi și roagă-i pe ceilalți să facă la fel.

Înregistrările WHOIS vechi

Înregistrările domeniilor publicau odinioară adresa de email a proprietarului. În 2007, comitetul de securitate al ICANN a concluzionat că o adresă în WHOIS „garantează practic că spamul va fi livrat”.

Calea asta s-a închis în mare parte. Începând cu 25 mai 2018, Specificația temporară (Temporary Specification) a ICANN i-a obligat pe registrari (firmele de la care cumperi domenii) să ascundă datele de contact pentru înregistrările legate de Europa și le-a permis să facă asta peste tot în rest, oferind în schimb o adresă de redirecționare sau un formular web. Un studiu Interisle din 2021 a constatat că doar 13,5% dintre domeniile generice, cum ar fi .com, mai indicau un titular real. Politica permanentă privind datele de înregistrare (Registration Data Policy) a ICANN, în vigoare din 21 august 2025, păstrează același model.

Calea încă există acolo unde ai consimțit la publicare, la registrarii care publică datele organizațiilor sau ale titularilor din afara Europei, conform regulilor proprii ale unor domenii naționale și în arhivele plătite cu înregistrări de dinainte de 2018.

Poți închide calea asta? E în mare parte închisă implicit. Dacă deții un domeniu, caută-l în ICANN Lookup ca să vezi ce date sunt publice, păstrează activată opțiunea de confidențialitate a registrarului și nu accepta publicarea datelor tale de contact.

Confirmarea: deschideri, clicuri, răspunsuri și mesaje goale

O adresă valorează mai mult odată ce se știe că funcționează. Spammerii „vând adresele active mai scump, ca adrese «cu livrare confirmată», altor spammeri”, spun întrebările frecvente Spamhaus pentru consumatori. Ei confirmă adresele prin:

• Imagini de urmărire. „Când clientul tău de email descarcă imaginea de pe serverul lor web, spammerii știu că ai deschis mesajul” (CISA).
• Clicuri și răspunsuri. Orice clic sau răspuns, inclusiv o cerere de tipul „scoateți-mă de pe listă”, confirmă că cineva citește adresa.
• Linkuri de dezabonare. Standardul de dezabonare cu un singur clic, RFC 8058, notează că dezabonarea „îi oferă expeditorului un indiciu puternic că adresa la care a fost trimis mesajul era validă”.
• Mesaje goale. „Ca să verifice dacă adresele de email sunt valide, spammerii trimit adesea emailuri fără conținut în corpul mesajului sau în subiect”, spune ajutorul Gmail. Adresele care funcționează primesc spam mai târziu.

Poți închide calea asta? Da. La emailurile de la necunoscuți, nu răspunde, nu da clic și nu te dezabona; raportează-le ca spam. Pentru mărcile pe care le recunoști sau la care te-ai înscris, folosește butonul de dezabonare din aplicația ta de email, cum sugerează Gmail, sau opțiunea de dezabonare din mesaj, cum recomandă ICO; când sunt sigure linkurile de dezabonare explică regula în funcție de expeditor.

Apoi împiedică imaginile să te dea de gol. În aplicația Mail de pe iPhone (iOS 27), mergi la „Configurări” → „Aplicații” → „Mail” → „Protecția intimității” și activează „Protejați activitatea Mail”, care încarcă imaginile privat, în fundal, astfel încât expeditorul nu poate afla dacă sau când ai citit un mesaj (ghidul Apple). În Gmail pe computer, mergi la „Settings” (Setări) → „See all settings” (Vezi toate setările), setează „Images” (Imagini) la „Ask before displaying external images” (Întreabă înainte de a afișa imaginile externe) și dă clic pe „Save Changes” (Salvează modificările) (ajutorul Google). Niciuna dintre setări nu acoperă linkurile sau atașamentele. Cum blochezi pixelii de urmărire are pașii pentru alte aplicații de email și ce dezvăluie în continuare fiecare.

Cum afli pe ce cale a ajuns spamul la tine

Bcc ascunde ceilalți destinatari, iar ajutorul Gmail notează că „spammerii adaugă uneori adrese de email aleatorii în câmpul «Bcc» ca să încerce să-i facă pe oameni să răspundă”, așa că nu răspunde.

Există o listă de spam pe care o poți verifica sau de pe care poți ieși?

Nu există nicio listă oficială a destinatarilor de spam și nicio cale de a ieși de pe listele spammerilor. Poți verifica dacă adresa ta a apărut într-o listă a unui spammer care a fost făcută publică: caut-o pe Have I Been Pwned, care include 16 astfel de liste la 25 septembrie 2026. Cele mai mari sunt Onliner Spambot (711 milioane de adrese, 2017) și River City Media (393 de milioane, 2017). Dacă unul dintre aceste nume apare în rezultatele tale, un spammer ți-a avut adresa.

Listele de blocare (blocklists) sunt altceva: ele urmăresc de unde vine spamul. Spamhaus definește o astfel de listă drept „o bază de date care conține adrese IP, domenii sau hashuri”, fiecare element fiind inclus pentru că a fost văzut trimițând spam sau făcând alte daune ori pentru că are o reputație proastă. Hash Blocklist-ul său poate include adrese de email, dar acestea sunt adrese care trimit spam sau care apar în spam, cum ar fi un cont spart. Instrumentele de verificare a listelor de blocare, precum Blacklist Check de la MxToolbox, testează adresa IP a unui server de email, nu adresa ta de email.

Nici o listă de tip „nu-mi trimite emailuri” n-ar ajuta. În 2004, FTC a spus Congresului american că un astfel de registru ar avea probabil efectul opus, pentru că „spammerii ar folosi un astfel de registru ca pe un director de adrese de email valide” (FTC). Spamhaus numește serviciile plătite care promit să te scoată de pe listele spammerilor „în cel mai bun caz o înșelătorie, iar în cel mai rău caz un sistem de confirmare a «adreselor active» pentru spammer”.

Cele mai apropiate opțiuni reale ajung la firmele care respectă legea, nu la spammeri. Situația din septembrie 2026:

• DROP din California (Delete Request and Opt-out Platform, platforma pentru cereri de ștergere și de refuz) le permite locuitorilor Californiei să trimită o singură cerere gratuită de ștergere către peste 600 de brokeri de date înregistrați, care trebuie să proceseze cererile cel puțin o dată la 45 de zile. Nu ajunge la firmele cu care ai avut de-a face direct (termenii DROP).
• Email Preference Service al Association of National Advertisers, la care duce un link de pe DMAchoice.org, este gratuit și este valabil 10 ani (FTC), dar ajunge doar la specialiștii în marketing care îl folosesc ca să-și curețe listele.

Ce poate face cineva doar cu adresa ta de email?

Fără parola ta, mai puțin decât te-ai putea teme. Doar cu adresa, cineva poate:

• să-ți trimită phishing (mesaje-capcană care imită o firmă) care pare autentic, mai ales cu detalii dintr-o scurgere de date
• să încerce pe conturile tale parole scurse de pe alte site-uri
• să afle ce servicii folosești, așa cum permitea odată API-ul Twitter
• să te înscrie la emailuri pe care nu le-ai cerut niciodată
• s-o vândă mai departe, mai scump odată ce se confirmă că e activă

De ce ar vrea un escroc adresa ta de email?

Pentru că e primul pas spre inboxul tău, iar un infractor care ajunge în contul tău de email ar putea „să reseteze parolele tuturor celorlalte conturi ale tale”. Centrul Național de Securitate Cibernetică al Regatului Unit (NCSC) recomandă o parolă puternică și separată pentru email, plus verificarea în doi pași.

Spamul care arată propria ta adresă drept expeditor nu dovedește că a intrat cineva în cont, pentru că linia From se falsifică ușor. Cum verifici dacă ți-a fost spart contul de email te ghidează prin verificările pentru Gmail, Outlook.com și Mail iCloud.

Este sigur să-ți dai adresa de email?

De obicei, da. O adresă nu este o parolă, iar faptul că cineva o cunoaște nu îi deschide contul tău. Dă-ți adresa principală oamenilor și firmelor pe care te bazezi, cum ar fi banca. Pentru magazine, newslettere și înscrieri ocazionale, o adresă separată pentru fiecare firmă ține scurgerile de date și listele vândute departe de adresa principală, iar adresa principală n-ar trebui să fie publicată deloc.

Cum îi oprești pe spammeri să-ți afle adresa: ce căi poți închide

Poți obține adrese separate pentru fiecare firmă în mai multe feluri. CatchNone îi dă fiecărei firme propriul alias, ține aceste emailuri în afara inboxului principal și marchează fiecare mesaj cu aliasul la care a ajuns, așa că o scurgere sau o vânzare iese la iveală. Adresarea cu plus (plus addressing) e mai rapidă la început, dacă furnizorul tău o acceptă (you+shop@example.com), dar oricine poate șterge eticheta, așa că dezvăluie o scurgere doar dacă expeditorul nu se obosește s-o elimine. „Mascare e-mail” (Hide My Email) de la Apple (parte din iCloud+), DuckDuckGo Email Protection și alte servicii de aliasuri redirecționează emailurile către inboxul tău. Funcționează și un catch-all pe propriul domeniu, cu dezavantajul ghicirii descris mai sus. Comparația serviciilor de aliasuri de email prezintă diferențele.

Unde se încadrează CatchNone

CatchNone acționează asupra căilor care încep atunci când îți dai adresa cuiva. Fiecare magazin, newsletter sau cont primește propriul alias, iar fiecare mesaj este marcat cu aliasul la care a ajuns, așa că o adresă scursă sau vândută își dezvăluie sursa. Fila „Activitate” semnalează emailurile sosite pe un alias neutilizat și expeditorii care îți scriu prima dată, iar imaginile externe, inclusiv majoritatea pixelilor de urmărire, rămân blocate până când le încarci. Adresele @catchnone.com necesită Premium și sunt atribuite aleatoriu, cum ar fi abcde-12345@catchnone.com, așa că nimeni nu le-ar ghici. Emailurile trimise la adrese care nu există acolo sunt acceptate și eliminate, așa că cine încearcă să ghicească nu află nimic, iar când dezactivezi o adresă care a fost divulgată, expeditorii primesc un mesaj de respingere. Pe propriul domeniu, adresele catch-all ghicite apar sub adresa la care au ajuns, cu o insignă gri, așa că spamul bazat pe dicționar se observă ușor. Descarcă CatchNone, disponibil pentru iPhone, iPad și Mac.

CatchNone este doar pentru primire și nu este un filtru de spam: ține emailurile de la înscrieri în aplicația sa, departe de inboxul principal, și îți arată la ce alias a ajuns fiecare mesaj. Pe propriul domeniu, marcarea unui alias ca „Neutilizat” este doar o etichetă, așa că blochează adresele la furnizorul tău.

Întrebări frecvente

De unde au spammerii adresa mea de email dacă n-am dat-o nimănui?

Cel mai probabil au ghicit-o, au colectat-o automat de pe o pagină, un profil sau un commit unde era publicată, au luat-o din agenda altcuiva sau au obținut-o de la o firmă la care te-ai înscris cândva și ai uitat, printr-o scurgere de date la acea firmă sau printr-o listă vândută. Tabelul cu semne asociază ce vezi cu calea probabilă.

Cum ajung firme necunoscute la adresa mea de email?

De obicei de la o firmă cu care chiar ai avut de-a face, care a partajat-o sau a vândut-o „partenerilor”, adesea după ce ai lăsat bifată la înscriere o căsuță bifată dinainte. Și brokerii de date colectează și vând adrese. Ghidul din secțiunea despre vânzarea listelor și brokerii de date îți arată cum afli ce firmă a fost.

De unde au spammerii adresa mea de email de la serviciu?

Din liste de contacte de firmă vândute specialiștilor în marketing, de pe site-ul angajatorului tău și ghicind tiparul numelor folosit de acesta. HIBP conține mai multe liste de firme scurse, cum ar fi B2B USA Businesses, care sorta adresele după angajator și funcție. În Regatul Unit, ICO spune că organizațiile îți pot trimite mesaje de marketing la adresa de serviciu fără consimțământ, cu excepția cazului în care adresa te identifică, situație în care le poți cere să înceteze.