Кто слил мои данные: как узнать, кто продал ваш адрес

Уверенно узнать, кто продал ваш адрес электронной почты или допустил его утечку, можно только в одном случае: если вы дали этой компании адрес, которого больше ни у кого не было. С основным адресом, которым вы пользуетесь годами, круг подозреваемых обычно удаётся сузить, но назвать виновника — нет: адрес лежит в десятках клиентских баз, а спам-письмо редко указывает на ту, из которой он ушёл. Зато можно выяснить, кто вам пишет и через какой сервис, попал ли ваш адрес в известную утечку персональных данных у какой-либо компании, а в ЕС и Великобритании — что сама компания говорит о том, откуда у неё ваш адрес. CatchNone для iPhone, iPad и Mac делает отдельный адрес для каждой компании нормой: на каждом письме видна метка алиаса (псевдонима), на который оно пришло, поэтому следующая утечка сама укажет на источник.

Порядок действий:

1. Найдите первое нежелательное письмо и точный адрес, на который оно пришло.
2. Прочитайте его заголовки, чтобы определить отправителя и сервис рассылок, которым он пользуется.
3. Проверьте на Have I Been Pwned, не попадал ли адрес в какую-либо утечку.
4. Спросите отправителя, откуда у него ваш адрес, а компанию, которую вы подозреваете, — каким компаниям она его передала.
5. Впредь давайте каждой компании отдельный адрес.

Кто слил мои данные: можно ли это выяснить?

Иногда. Всё зависит от доказательств:

• Заголовки показывают, кто отправил письмо и через какой сервис (подпись DKIM, прошедшая проверку, доказывает, какой домен подписал письмо), но не откуда взялся список.
• Запись об утечке доказывает, что одна компания потеряла ваш адрес, но не исключает других.
• Запрос на основании закона может заставить компанию рассказать, что ей известно об источнике, если ей это известно (в Калифорнии — только в виде категорий).
• Случайный адрес, который вы дали только одной компании, прямо указывает на источник: если на него пишет кто-то ещё, значит, адрес ушёл от этой компании — его продали, передали или украли.

У внезапного потока спама бывают и другие причины: см. статью почему спама вдруг стало так много. О том, как адреса вообще расходятся — через продажу, утечки, сбор с сайтов и подбор, — читайте в статье откуда спамеры берут адреса электронной почты.

Шаг 1: найдите первое письмо и адрес, на который оно пришло

Найдите в почте незнакомого отправителя и откройте самое старое письмо: первое письмо ближе всего к моменту, когда ваш адрес перешёл в чужие руки. Посмотрите, на какой именно адрес оно отправлено и как к вам в нём обращаются. На источник указывают старый адрес или адрес с опечаткой, которым вы воспользовались лишь однажды, вариант вашего адреса с +tag, ошибка в вашем имени из одной-единственной формы регистрации или подробность, которую знала только одна компания.

В ЕС и Великобритании прочитайте также подвал этого первого письма и ссылку на политику конфиденциальности. По GDPR (ст. 14) компания, получившая ваши данные от кого-то другого, обязана сообщить вам, «из какого источника получены персональные данные». Если она использует данные, чтобы связаться с вами, срок — «не позднее момента первого обращения». Если в первом письме этого не было, укажите на это в запросе на шаге 4.

Шаг 2: прочитайте служебные заголовки письма

Заголовки — это скрытые строки над текстом письма. В них указаны отправитель и сервис, который доставил почту, а значит, они подсказывают, кому писать на шаге 4.

Как посмотреть заголовки

Пути из справки каждого производителя, по состоянию на сентябрь 2026 г.:

Быстрый способ в Gmail: в браузере нажмите стрелку вниз под именем отправителя, чтобы увидеть поля Mailed by (отправлено через) и Signed by (подписано) — домены, которые отправили и подписали письмо.

Разбор на примере

Условный сокращённый набор заголовков. Ваш адрес — k7qm-2xrd@example.com, случайный адрес, который вы дали только садовому магазину. Бренд — dealsdaily.example.net, а mailer.example.org — сервис рассылок, которым он пользуется.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Здесь отправитель — Deals Daily, он рассылает письма через mailer.example.org, а пришло письмо на случайный адрес, который вы дали только садовому магазину, — значит, адрес ушёл оттуда. Как он попал к Deals Daily, заголовки сказать не могут: они называют отправителя, но никогда — продавца. ICANN Lookup показывает регистрационную запись незнакомого домена, хотя данные владельца там в основном скрыты.

Шаг 3: проверьте, не попал ли адрес в утечку данных

Have I Been Pwned (HIBP) показывает, в каких утечках и спам-списках встречается адрес. По состоянию на 25 сентября 2026 г. в нём 1038 взломанных сайтов и более 17,8 млрд скомпрометированных учётных записей (адрес, попавший в несколько утечек, учитывается по разу в каждой).

• Утечка указывает, какой сервис потерял данные и когда: это серьёзная зацепка, если спам начался вскоре после неё.
• Спам-список означает, что ваш адрес нашёлся в данных, которые используют для целевого спама. Такие списки «часто собираются из нескольких источников», поэтому исходную компанию они называют редко. Записи из пейстов (pastes), а также утечки, которые HIBP помечает как сфабрикованные или непроверенные, — улики ещё слабее.
• Утечки с чувствительными данными (sensitive breaches) видны только после того, как вы войдёте и подтвердите, что получаете почту на этот адрес.

Чистый результат означает лишь, что адреса нет в утечках, загруженных в HIBP, а не то, что его никто не продавал. Включите бесплатные оповещения Notify Me (уведомить меня). Если вы даёте каждой компании отдельный адрес на собственном домене, Domain Search (поиск по домену) покажет, какие из них в какой утечке встречаются, после того как вы подтвердите домен (для крупных доменов обычно нужна подписка). Отчёт Google о даркнете (dark web report), который советуют старые руководства, закрыт в начале 2026 г.

Шаг 4: спросите компании напрямую

ЕС и Великобритания: спросите, откуда адрес пришёл и куда ушёл

Право на доступ к данным позволяет задать двум компаниям два вопроса:

• Спросите отправителя, откуда у него ваш адрес. Статья 15(1)(g) GDPR даёт вам право на «любую доступную информацию об их источнике», а руководство по прозрачности, одобренное Европейским советом по защите данных (EDPB), говорит, что компания, получившая ваши данные из другого места, должна назвать конкретный источник, если только она не может этого сделать.
• Спросите компанию, которую вы подозреваете, каким компаниям она передала ваш адрес. Применительно к статье 15(1)(c) Суд ЕС постановил в деле Österreichische Post (C-154/21), что компания по запросу обязана назвать конкретных получателей, если только она пока не может их установить или запрос не является явно необоснованным или чрезмерным. Британский регулятор в сфере защиты данных, ICO, говорит то же самое применительно к UK GDPR.

Ни один из этих запросов не заставит компанию назвать продавца: она может ответить, что не знает, или что данные получены из нескольких источников (п. 61 преамбулы), хотя уклончивый ответ — повод для жалобы. Пишите по контактам из политики конфиденциальности каждой компании и не связывайтесь с откровенными спамерами: ответ подтвердит им, что ваш адрес рабочий.

Вот запрос, который можно скопировать (пункт 4 уберите, если пишете компании, которую подозреваете):

Тема: запрос на доступ к данным по статье 15 GDPR

В соответствии со статьёй 15 GDPR (или UK GDPR) прошу сообщить в отношении моего адреса электронной почты you@example.com:

1. Откуда вы его получили, с указанием конкретного источника (ст. 15(1)(g)).
2. Каким получателям вы его раскрыли, с указанием их наименований (ст. 15(1)(c)).
3. Какие мои персональные данные у вас хранятся, с приложением их копии.
4. Почему в вашем первом письме мне от [дата] не был указан этот источник (ст. 14(2)(f) и 14(3)(b)).

Кроме того, я возражаю против использования моих данных для прямого маркетинга (ст. 21). Прошу ответить в течение одного месяца (ст. 12(3)).

[Ваше имя]

Ответ обычно предоставляется бесплатно (сроки — в таблице ниже). После того как вы возразили против прямого маркетинга, ваши данные больше нельзя для него использовать.

Если в Великобритании ответа нет или он уклончивый, сначала подайте жалобу самой компании: для жалоб, поданных начиная с 19 июня 2026 г., закон Data (Use and Access) Act обязывает её подтвердить получение вашей жалобы в течение 30 дней. Затем, в течение трёх месяцев после вашего последнего содержательного контакта с компанией, подайте жалобу в ICO. В ЕС статья 77 позволяет подать жалобу в надзорный орган по защите данных.

США: Калифорния и Орегон

Запрос по CCPA о «праве знать» (right to know) вернёт категории источников и третьих лиц, а также хранящиеся о вас персональные данные, но не назовёт, кто продал ваш адрес. Ответ бесплатный. Кроме того, можно потребовать от компании прекратить продажу или передачу ваших данных или попросить её удалить то, что она собрала у вас. Закон распространяется только на компании, превышающие установленные пороги, например с годовой выручкой более 26 625 000 долларов США (по состоянию на сентябрь 2026 г.).

Если вы живёте в Орегоне, компания, на которую распространяется местный закон о конфиденциальности, по запросу обязана предоставить список конкретных третьих лиц, которым она раскрыла данные, хотя может перечислить тех, кто получал любые персональные данные, а не именно ваши (ORS 646A.574). Эти права дают законы штатов, поэтому то, что вы можете запросить, зависит от того, где вы живёте.

Жители Калифорнии также могут воспользоваться DROP (Delete Request and Opt-out Platform, платформа запросов на удаление и отказ), чтобы отправить один запрос на удаление всем зарегистрированным брокерам данных — компаниям, которые собирают и перепродают персональные данные. Платформа открылась 1 января 2026 г., а с 1 августа 2026 г. брокеры обязаны обрабатывать запросы не реже одного раза в 45 дней. Она охватывает только брокеров данных, то есть компании, с которыми у вас нет прямых отношений, а не магазин, которому вы дали свой адрес.

Реестры брокеров данных Калифорнии, Вермонта, Техаса и Орегона доступны для поиска всем. Ищите в них название компании-отправителя и домены из шага 2. Совпадение означает, что отправитель — зарегистрированный брокер данных, то есть одна из компаний, до которых доходит DROP, если вы живёте в Калифорнии.

Что даёт каждый запрос

Где угодно: сервис рассылок

У сервиса рассылок, указанного в DKIM-Signature d=, Return-Path или List-Unsubscribe, есть свои правила. Например, политика допустимого использования Mailchimp (Acceptable Use Policy) запрещает рассылку по «купленным, арендованным, сторонним, полученным через совместную регистрацию (co-reg), общедоступным или партнёрским спискам любого рода», а его отдел жалоб (abuse desk) просит прислать «полный заголовок письма» (обе страницы проверены 25 сентября 2026 г.). Отправьте в отдел жалоб этого сервиса полные заголовки. Он не скажет вам, кто продал ваш адрес, но может запретить отправителю пользоваться сервисом.

Что делать, когда источник известен

• Перестаньте пользоваться адресом. Дайте компании, допустившей утечку, новый адрес или закройте учётную запись, а затем отключите или удалите старый адрес. Пока на запрос на доступ не пришёл ответ, оставьте адрес рабочим: ответ или проверка личности могут прийти именно на него. Если это ваш основной адрес, используйте фильтры.
• Остановите поток. Отправьте возражение по статье 21 (ЕС, Великобритания), отпишитесь от рассылок законных отправителей в США или откажитесь от продажи и передачи данных и воспользуйтесь DROP (Калифорния). Если отписка раньше не помогала, прочитайте, почему не работает отписка от рассылки.
• Сообщите о нарушении на ReportFraud.ftc.gov в США, через инструмент ICO для жалоб на спам в Великобритании (индивидуально он не отвечает) или в отдел жалоб сервиса рассылок, а также отметьте письмо как спам в своём почтовом приложении.
• Если это была утечка, защитите и учётную запись (см. раздел «Частые вопросы»).

Продают ли компании ваш адрес электронной почты и законно ли это?

Да, некоторые продают. Федеральная торговая комиссия США (FTC) пишет: «Когда вы даёте компании свой адрес электронной почты, она может передать или продать его третьим лицам». В США федеральный закон разрешает это, пока вы не откажетесь. В Великобритании и ЕС компании нужно ваше согласие, чтобы писать вам по купленному списку, а в Великобритании ей, как правило, нужно ваше согласие и на то, чтобы продать такой список.

• США: по федеральному закону CAN-SPAM компании не нужно согласие, чтобы присылать вам рекламные письма. После того как вы откажетесь, у неё есть 10 рабочих дней, чтобы прекратить рассылку, и она не может продавать или передавать ваш адрес. Калифорния добавляет право отказаться от продажи, причём «продажа» там включает аренду или предоставление данных за «иное ценное встречное предоставление», так что обмен с партнёром может считаться продажей, даже если деньги не участвуют. «Передача» (sharing) — отдельный термин, он относится к межконтекстной поведенческой рекламе.
• Великобритания: по Правилам о конфиденциальности и электронных коммуникациях (PECR) компания может писать людям из купленного списка, только если они «конкретно дали согласие получать сообщения такого типа» от неё; общего согласия на рассылки от любых третьих лиц недостаточно, а продажа списка, как правило, требует согласия людей, которые в нём есть (руководство ICO, пересматривается после принятия Data (Use and Access) Act). Для корпоративных адресов действуют другие правила.
• ЕС: Директива ePrivacy разрешает рекламные письма только с «предварительного согласия», за исключением продавца, который предлагает похожие товары собственным клиентам, — этим исключением покупатель списка воспользоваться не может.

Почему трюк со знаком «+» — слабое доказательство

«Трюк с Gmail» состоит в том, чтобы регистрироваться с адресом с меткой, например you+shopname@example.com для you@example.com, и смотреть, какая метка всплывёт в спаме. Собственное описание Google показывает слабость этого способа: «Письма, отправленные на ваш текущий адрес или на любой его вариант со знаком плюс, приходят в ваш текущий почтовый ящик».

• Ваш настоящий адрес на виду. Удалите метку — и почта всё равно до вас дойдёт, а улика исчезнет.
• Для отправителя метка ничего не значит. Часть адреса до @ интерпретирует только ваш провайдер (RFC 5321, §2.3.11), а разделитель в разных системах разный (RFC 5233).
• Трюк доказывает меньше, чем кажется. Адрес с меткой в спаме показывает, что адрес ушёл от этой компании, но не то, продали его, передали или он утёк при взломе. А если спам на адрес с меткой не приходит, это никого не оправдывает: метку могли просто удалить.

Трюк с точками — регистрироваться как your.name в одной компании и как yo.urname в другой — ещё слабее: Gmail не учитывает точки в личных адресах, так что убрать их может кто угодно (в рабочих и учебных аккаунтах точки учитываются). Для фильтрации плюс-адресация (plus addressing) по-прежнему полезна; где она работает, рассказано в руководстве по плюс-адресации.

Шаг 5: пусть следующая утечка сама назовёт источник

Надёжный способ работает на будущее: давайте каждой компании отдельный адрес, в котором нет вашего настоящего. Если на адрес, который вы дали одному магазину, напишет кто-то другой, вы узнаете, откуда адрес ушёл, и сможете отключить только его.

• CatchNone даёт каждой компании свой алиас и помечает каждое письмо алиасом, на который оно пришло, поэтому проданный адрес заметен и без чтения заголовков. Для адресов @catchnone.com нужен Premium; собственный домен работает и на тарифе «Бесплатный».
• Сервисы алиасов (псевдонимов) электронной почты, такие как «Скрыть e-mail» от Apple (с iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io и Firefox Relay, пересылают письма в ваш ящик. Чем они отличаются, рассказано в статье сравнение сервисов почтовых алиасов.
• Адрес catch-all на собственном домене принимает письма на любой адрес этого домена, так что для каждой регистрации можно придумать свой. Например, Cloudflare Email Routing (маршрутизация почты) доступен на бесплатных и платных тарифах (по состоянию на сентябрь 2026 г.), и в нём есть правило catch-all. О плюсах и минусах читайте в статье что такое адрес catch-all.

Выбирайте случайные адреса, а не предсказуемые вроде gardenshop@example.com, которые спамер может сам придумать на домене с catch-all, и записывайте, какой адрес куда ушёл.

CatchNone: каждое письмо показывает, на какой адрес оно пришло

CatchNone создан для шага 5. Вы даёте каждому магазину, рассылке или учётной записи свой алиас, и у каждого письма в приложении есть метка с алиасом, на который оно пришло. Если на адрес, который вы дали только садовому магазину, напишет посторонний, метка покажет, откуда адрес ушёл, и никакие заголовки читать не придётся. Вкладка «Активность» отмечает письма на алиас, который вы пометили как неиспользуемый, и письма от новых отправителей, а адрес @catchnone.com, попавший в утечку, можно отключить: письма на него будут возвращаться отправителям, а остальные алиасы продолжат работать.

С Premium вы получаете случайные адреса @catchnone.com, например abcde-12345@catchnone.com, и вам не нужно настраивать ни домен, ни DNS, ни почтовый ящик, а даже письма, где вы указаны в скрытой копии (Bcc), привязываются к нужному алиасу. Или используйте собственный домен, почту которого ваш провайдер уже доставляет в ящик: приложение читает этот почтовый ящик только для чтения, по IMAP или JMAP, прямо с вашего устройства; на тарифе «Бесплатный» доступно до 10 алиасов, а в Lite и Premium ограничений нет. CatchNone доступен для iPhone, iPad и Mac.

Он работает на будущее и не может задним числом разобраться с адресами, которыми вы пользовались раньше, а базы утечек и обнаружения утечек у него нет: метки и заметки на вкладке «Активность» — это доказательства, которые оцениваете вы сами. На собственном домене он читает только папку «Входящие» и только письма, в полях To, Cc или Bcc которых указан адрес на вашем домене, поэтому спам, попавший в папку «Спам», не появится. Статус «Не используется» для алиаса на таком домене — лишь метка, поэтому блокируйте адрес, попавший в утечку, у своего провайдера. Письма на адреса @catchnone.com удаляются через 30 дней после получения, поэтому отмечайте флажком те, что нужны вам как доказательство, чтобы полный текст сохранился на устройстве.

Частые вопросы

Что делать, если компания допустила утечку моего адреса электронной почты?

Проверьте адрес на Have I Been Pwned, чтобы узнать, в какой утечке он оказался и что ещё утекло вместе с ним. Смените пароль на этом сайте и везде, где вы использовали тот же пароль, и включите двухфакторную аутентификацию. Ждите фишинговых писем, в которых упоминаются утёкшие данные, и не переходите по ссылкам в письмах, где говорится об утечке. Если вы давали этой компании отдельный адрес, перестаньте им пользоваться и дайте компании новый.

Продают ли LinkedIn или Google мой адрес электронной почты?

Ни одна из них не заявляет, что продаёт вашу личную информацию, но LinkedIn сообщает, что передаёт её для межконтекстной рекламы. В его раскрытии информации о конфиденциальности для Калифорнии сказано: «Мы не продаём вашу личную информацию», и жители Калифорнии могут отказаться от такой передачи. Центр безопасности Google заявляет: «Мы никогда никому не продаём вашу личную информацию», а политика конфиденциальности Google (действует с 26 мая 2026 г.) говорит, что компания передаёт личную информацию за пределы Google только в перечисленных случаях, и первый из них — с вашего согласия. Все три страницы проверены 25 сентября 2026 г. Для других компаний читайте политику конфиденциальности и рассматривайте «продажу» (sell) и «передачу» (share) по отдельности.

Кто покупает адреса электронной почты?

Брокеры данных, брокеры списков рассылки и маркетологи; зарегистрированные брокеры перечислены в реестрах штатов, о которых говорилось выше. Эта торговля может вестись открыто: в деле Österreichische Post почтовый оператор Австрии заявил, что предлагает персональные данные «торговым партнёрам в маркетинговых целях», а позже перечислил получателей, среди которых были «поставщики списков рассылки». Правда, то дело касалось данных, которые хранил почтовый оператор, а не адресов электронной почты.