Откуда спамеры узнают ваш адрес: 7 основных путей

Откуда спамеры узнают ваш адрес электронной почты? Из утечек данных, из баз, которые компании продают или передают другим, с сайтов и публичных профилей, где его собирают, подбором распространённых имён, из чужих адресных книг и из старых записей о регистрации доменов. Затем они проверяют, какие адреса действующие, — по открытиям писем, кликам и ответам. Спам на электронную почту может приходить даже на адрес, который вы никому не давали, — через подбор, сбор с сайтов или чужие контакты, — и закрыть вы можете лишь некоторые из этих путей. Для путей, которые начинаются с вас, CatchNone даёт каждому магазину и каждой рассылке свой адрес и показывает, на какой из них пришло каждое письмо, так что утечка или продажа базы выдаёт свой источник, — на iPhone, iPad и Mac.

Откуда спамеры узнают ваш адрес: 7 путей

1. Утечки данных и списки паролей, собранные на их основе.
2. Продажа и передача баз — через брокеров данных и «партнёров».
3. Сбор адресов (парсинг) с веб-страниц, из профилей в соцсетях и из кода.
4. Подбор распространённых имён, особенно на доменах, которые принимают почту на любой адрес.
5. Чужие адресные книги: загрузка контактов, вредоносные программы и длинные цепочки писем с адресатами в копии (Cc).
6. Старые записи WHOIS, сделанные до 2018 года.
7. Подтверждение: изображения для отслеживания, клики, ответы и пустые тестовые письма, которые доказывают, что адрес работает.

Утечки данных и комбо-листы

Когда у компании происходит утечка, вместе с остальным может уйти и её клиентская база — неважно, пользуетесь ли вы ещё этим сервисом. По состоянию на 25 сентября 2026 г. в Have I Been Pwned (HIBP) было 1038 утечек и более 17,8 млрд записей об утёкших учётных записях. В этом числе адрес учитывается столько раз, во скольких утечках он есть, поэтому оно показывает количество учётных записей, а не людей. Найдите там свой адрес, чтобы узнать, в какие утечки он попал, когда они произошли и какие данные раскрылись. Если его нет ни в одной, вероятнее продажа базы, сбор с сайтов или подбор.

Адреса из утечек используют снова и снова. Комбо-листы (combo lists) — это пары «адрес — пароль», собранные из прежних утечек и используемые для подстановки учётных данных (credential stuffing), то есть попыток войти с тем же паролем на других сайтах. HIBP описывает Collection #1 (2019) как «773 миллиона уникальных адресов электронной почты вместе с паролями, которые эти адреса использовали на других взломанных сервисах». Третий источник — логи стилеров: вредоносная программа на заражённом устройстве записывает «адреса электронной почты, пароли и сайт, на котором их вводят при входе».

Можно ли закрыть этот путь? Нет. Но можно ограничить то, что раскроет одна утечка: уникальный пароль для каждого сайта, двухэтапная аутентификация в учётной записи почты и отдельный адрес для каждой компании — тогда утечка раскроет один запасной адрес, а не основной. Бесплатные оповещения HIBP Notify Me сообщат вам о следующей.

Продажа баз, брокеры данных и «наши партнёры»

Федеральная торговая комиссия США (FTC) говорит прямо: «Когда вы даёте компании свой адрес электронной почты, она может передать или продать его третьим лицам». Ту же торговлю подпитывают формы регистрации. Агентство по кибербезопасности и защите инфраструктуры США (CISA) отмечает, что согласие получать письма о других продуктах иногда отмечено по умолчанию, «поэтому, если вы не снимете эти отметки, вам могут начать приходить письма и по этим спискам». Её пополняют и розыгрыши призов, платные опросы и предложения подарочных карт: по словам HIBP, спам-базы часто собирают, «выманивая у людей персональные данные обещанием денежного вознаграждения».

Кто покупает базы email-адресов? Маркетологи покупают их у продавцов баз и брокеров данных — компаний, которые собирают и перепродают персональные данные, — а спамеры покупают их друг у друга: в FAQ Spamhaus для пользователей среди источников адресов названы адреса, «купленные у других спамеров». Базы деловых контактов — отдельный товар. В 2016 г. в сеть утекла база более чем 33 млн сотрудников американских корпораций из сервиса NetProspex компании Dun & Bradstreet, и D&B считала, что её потерял клиент, который её купил.

В США закон CAN-SPAM не требует согласия на отправку рекламных писем. Но после того как вы откажетесь от рассылки, компания должна перестать вам писать в течение 10 рабочих дней, а с момента вашего запроса она «не может продавать или передавать» ваш адрес.

Можно ли закрыть этот путь? Частично. Снимайте заранее поставленные галочки, отказывайтесь от рекламных рассылок, которые не читаете, и давайте каждой компании отдельный адрес — тогда следующая продажа покажет, кто продал. О заголовках писем, проверке утечек и запросах на доступ к данным подробно рассказано в статье как узнать, кто продал ваш адрес электронной почты.

Сбор адресов (парсинг): сайты, профили и код

«Спамеры могут собрать любой адрес электронной почты, опубликованный на сайте», — предупреждает CISA. В эксперименте FTC 2002 г. на 86% адресов, размещённых на веб-страницах, в течение шести недель пришёл спам, а на один адрес, указанный в чате, спам пришёл через девять минут после первого использования (результаты перепечатаны ICANN). Место адреса на странице роли не играло: «если в адресе был знак „@“, на него приходил спам».

Профили собирают массово. По данным HIBP, в 2021 г. злоумышленники собрали сотни миллионов публичных профилей LinkedIn и получили около 125 млн уникальных адресов электронной почты. Злоумышленники также использовали API Twitter, который сопоставлял адреса электронной почты с учётными записями, и в 2023 г. всплыло более 200 млн собранных так записей.

Адреса раскрывает и публичный код: в каждом коммите Git записан адрес электронной почты автора. На GitHub откройте «Settings» → «Emails» (настройки → адреса электронной почты), включите «Keep my email addresses private» (не показывать мои адреса электронной почты) и «Block command line pushes that expose my email» (блокировать отправку из командной строки, раскрывающую мой адрес), а затем укажите в Git на своём компьютере адрес @users.noreply.github.com, который там показан. Коммиты, сделанные до этого, «по-прежнему связаны с вашим прежним адресом электронной почты» (документация GitHub). Все шаги — в статье о том, как не раскрывать свой адрес в коммитах GitHub и GitLab.

Можно ли закрыть этот путь? На будущее. Не публикуйте основной адрес на открытых страницах, используйте вместо него форму обратной связи или отдельный адрес и, как советует CISA, настройте профили в соцсетях так, чтобы вашу почту видели только те, кому вы доверяете. То, что уже собрано, так и останется в обращении.

Подбор: могут ли спамеры просто угадать ваш адрес?

Да, и для этого не нужна никакая база. Комитет ICANN по безопасности описал этот метод в 2007 г.: спамеры перебирают «отдельные и составные распространённые имена и фамилии» или все сочетания символов и оставляют себе адреса, которые принимает почтовый сервер. Это называется directory harvest attack (перебор адресов на почтовом сервере). В одном из тестов комитета 70% спама пришло на адреса тестовых доменов, которые нигде не публиковались. Проще всего угадать короткие распространённые имена, а шаблон first.last@example.com, принятый в компании, позволяет кому угодно составить адреса её сотрудников.

Адрес catch-all принимает любую догадку. Если ваш собственный домен доставляет почту на любой адрес, письма на admin@example.com и info@example.com дойдут до вас, пользовались вы этими адресами или нет. В FAQ addy.io предупреждают, что «спамеры и боты часто пробуют случайные адреса электронной почты», а в cPanel пишут, что ящик catch-all «может получать большое количество спама», когда спамеры выбирают домен целью. Все плюсы и минусы разобраны в статье что такое адрес catch-all.

Можно ли закрыть этот путь? Частично. Короткий распространённый адрес так и останется угадываемым, но следующий не обязан быть таким: выберите адрес, который трудно угадать, как советует британский регулятор ICO. На собственном домене отключение catch-all не даст догадкам до вас дойти. Если оставляете catch-all, блокируйте подобранные имена у своего почтового провайдера. Например, в Cloudflare Email Routing (маршрутизация почты) откройте «Compute» → «Email Service» → «Email Routing» → «Routing Rules» (правила маршрутизации) и добавьте для этого адреса правило с действием «Drop» (отбросить), которое «удаляет письма, подходящие под правило, не направляя их дальше». Cloudflare отмечает, что для отправителей адрес по-прежнему выглядит действующим; отправьте тестовое письмо, чтобы убедиться, что правило срабатывает раньше catch-all.

Чужие адресные книги и почтовые ящики

Ваш адрес хранится в контактах у всех, кому вы писали, и эти копии вам неподвластны.

• Загрузка контактов. Когда кто-то синхронизирует контакты с Facebook, Messenger или Instagram, Meta ежедневно загружает «имена, номера телефонов и адреса электронной почты из его адресной книги», в том числе данные людей, которые не пользуются приложениями Meta. Само по себе это не передаёт ваш адрес спамерам, но, по словам Meta, до сентября 2019 г. сборщики данных злоупотребляли её инструментом импорта контактов, чтобы сопоставлять номера телефонов с учётными записями.
• Вредоносные программы на чужом компьютере. Вредоносная программа Emotet умела «собирать адреса электронной почты из Outlook» и перехватывать настоящие переписки, чтобы распространяться (рекомендация CISA AA20-280A).
• Цепочки с копией и списки рассылки. Длинное пересланное письмо несёт все адреса из переписки, а комитет ICANN по безопасности описывал, как спамеры подписываются на списки рассылки, чтобы собирать адреса из заголовков From, Reply-To и Cc.
• Кто-то подписывает вас сам. В справке Gmail описано, как люди используют ваш адрес, «чтобы подписаться на письма, например на рекламные акции или рассылки», — случайно или намеренно.

Можно ли закрыть этот путь? Напрямую — нет. Для групповых писем используйте скрытую копию (Bcc), удаляйте чужие адреса из переписки, прежде чем её переслать, и просите других поступать так же.

Старые записи WHOIS

Раньше в записях о регистрации доменов публиковался адрес электронной почты владельца. В 2007 г. комитет ICANN по безопасности пришёл к выводу, что адрес в WHOIS «практически гарантирует доставку спама».

Сейчас этот путь в основном закрыт. С 25 мая 2018 г. Временная спецификация ICANN (Temporary Specification) обязала регистраторов скрывать контактные данные в регистрациях, связанных с Европой, и разрешила делать это везде, предлагая вместо них адрес-посредник или веб-форму. Исследование Interisle 2021 г. показало, что лишь у 13,5% общих доменов, таких как .com, по-прежнему был указан настоящий владелец. Постоянная Политика в отношении регистрационных данных ICANN (Registration Data Policy), действующая с 21 августа 2025 г., сохраняет ту же модель.

Этот путь по-прежнему открыт, если вы согласились на публикацию, у регистраторов, которые публикуют данные организаций или владельцев за пределами Европы, в некоторых национальных доменах по их собственным правилам и в платных архивах записей до 2018 г.

Можно ли закрыть этот путь? По умолчанию он в основном закрыт. Если у вас есть домен, найдите его в ICANN Lookup, чтобы увидеть, какие данные открыты, не отключайте скрытие данных у своего регистратора доменов и не соглашайтесь на публикацию своих контактных данных.

Подтверждение: открытия, клики, ответы и пустые письма

Адрес стоит дороже, когда известно, что он работает. Спамеры «продают живые адреса дороже, как „подтверждённые доставляемые“, ещё большему числу спамеров», говорится в FAQ Spamhaus для пользователей. Адреса подтверждают так:

• Изображения для отслеживания. «Когда ваш почтовый клиент загружает картинку с их веб-сервера, спамеры узнают, что вы открыли письмо» (CISA).
• Клики и ответы. Любой клик или ответ, включая просьбу «удалите меня», подтверждает, что адрес кто-то читает.
• Ссылки для отписки. В стандарте отписки в один клик, RFC 8058, отмечается, что отписка «даёт отправителю веский намёк на то, что адрес, на который было отправлено письмо, действителен».
• Пустые письма. «Чтобы проверить, действительны ли адреса электронной почты, спамеры часто отправляют письма без текста и темы», — говорится в справке Gmail. Позже на работающие адреса приходит спам.

Можно ли закрыть этот путь? Да. На письма от незнакомцев не отвечайте, не переходите по ссылкам и не отписывайтесь — отмечайте их как спам. От брендов, которые вы знаете или на которые подписывались, отписывайтесь кнопкой отписки от рассылки в своём почтовом приложении, как советует Gmail, или по ссылке для отказа в самом письме, как советует ICO; правило для разных отправителей — в статье о том, когда ссылки для отписки безопасны.

Затем не дайте изображениям выдать вас. В приложении «Почта» на iPhone (iOS 27) откройте «Настройки» > «Приложения» > «Почта» > «Защита конфиденциальности» и включите «Защита действий в Почте»: изображения будут загружаться скрыто, в фоновом режиме, и отправитель не сможет узнать, читали ли вы письмо и когда (руководство Apple). В Gmail на компьютере откройте «Settings» (Настройки) > «See all settings» (Все настройки), в пункте «Images» (Изображения) выберите «Ask before displaying external images» (спрашивать перед показом внешних изображений) и нажмите «Save Changes» (Сохранить изменения) (справка Google). Ни то ни другое не распространяется на ссылки и вложения. Инструкции для других почтовых приложений и то, что каждое из них всё равно раскрывает, — в статье о том, как блокировать пиксели отслеживания.

Как понять, каким путём спамеры узнали ваш адрес

Скрытая копия прячет остальных получателей, а в справке Gmail отмечается, что «спамеры иногда добавляют случайные адреса электронной почты в поле „Bcc“, чтобы побудить людей ответить», — так что не отвечайте.

Можно ли найти свой адрес в спам-базе или удалить его оттуда?

Официального списка получателей спама нет, как нет и способа удалиться из собственных баз спамеров. Но можно проверить, не попал ли ваш адрес в базу спамера, которая утекла в сеть: найдите его на Have I Been Pwned — по состоянию на 25 сентября 2026 г. там 16 таких баз. Крупнейшие — Onliner Spambot (711 млн адресов, 2017 г.) и River City Media (393 млн, 2017 г.). Если в результатах есть одно из этих названий, значит, ваш адрес был у спамера.

Чёрные списки (blocklists) — совсем другое: они отслеживают, откуда приходит спам. Spamhaus определяет такой список как «базу данных, содержащую IP-адреса, домены или хеши», каждый из которых внесён в неё, потому что был замечен в рассылке спама или другом вредном поведении или потому что у него плохая репутация. Его Hash Blocklist может содержать адреса электронной почты, но это адреса, которые рассылают спам или упоминаются в нём, например взломанная учётная запись. Сервисы проверки чёрных списков, такие как Blacklist Check от MxToolbox, проверяют IP-адрес почтового сервера, а не ваш адрес электронной почты.

Не помог бы и реестр «не присылать мне письма». В 2004 г. FTC сообщила Конгрессу, что такой реестр, скорее всего, дал бы обратный эффект, потому что «спамеры использовали бы его как справочник действующих адресов электронной почты» (FTC). Платные сервисы, обещающие удалить вас из баз спамеров, Spamhaus называет «в лучшем случае мошенничеством, а в худшем — системой подтверждения „живых адресов“ для спамера».

Ближайшие реальные варианты действуют на компании, которые соблюдают закон, а не на спамеров. По состоянию на сентябрь 2026 г.:

• Калифорнийская платформа DROP (Delete Request and Opt-out Platform) позволяет жителям Калифорнии отправить один бесплатный запрос на удаление данных более чем 600 зарегистрированным брокерам данных, которые обязаны обрабатывать запросы не реже чем раз в 45 дней. На компании, с которыми вы имели дело напрямую, она не распространяется (условия DROP).
• Email Preference Service Ассоциации национальных рекламодателей, ссылка на который есть на DMAchoice.org, бесплатен и действует 10 лет (FTC), но касается только маркетологов, которые с его помощью чистят свои базы.

Что мошенники могут сделать, зная только вашу электронную почту?

Без пароля — меньше, чем вы, возможно, опасаетесь. Зная только адрес, посторонний может:

• рассылать фишинговые письма, которые выглядят настоящими, особенно если у него есть данные из утечки
• пробовать пароли, утёкшие с других сайтов, чтобы войти в ваши учётные записи
• выяснять, какими сервисами вы пользуетесь, как когда-то позволял API Twitter
• подписывать вас на письма, которых вы не просили
• перепродать адрес, причём дороже, если подтверждено, что он живой

Зачем мошеннику ваш адрес электронной почты?

Потому что это первый шаг к вашему почтовому ящику, а преступник, получивший доступ к вашей учётной записи почты, может «сбросить пароли от всех остальных ваших учётных записей». Национальный центр кибербезопасности Великобритании (NCSC) советует завести для почты надёжный отдельный пароль и включить двухэтапную аутентификацию.

Спам, в котором отправителем значится ваш собственный адрес, ещё не доказывает, что кто-то проник в ящик: строку From легко подделать. Как проверить Gmail, Outlook.com и Почту iCloud, пошагово рассказано в статье о том, как проверить, не взломана ли ваша учётная запись почты.

Безопасно ли давать свою почту?

Обычно да. Адрес — не пароль, и, зная его, никто не откроет вашу учётную запись. Давайте основной адрес людям и компаниям, на которые вы полагаетесь, например своему банку. Для магазинов, рассылок и разовых регистраций отдельный адрес для каждой компании убережёт основной от утечек и продажи баз, а сам основной адрес вообще не стоит публиковать в открытом доступе.

Как не дать спамерам узнать ваш адрес: какие пути можно закрыть

Отдельные адреса для каждой компании можно получить несколькими способами. CatchNone даёт каждой компании свой алиас (псевдоним) электронной почты, держит эти письма вне вашего основного ящика и ставит на каждое письмо метку алиаса, на который оно пришло, так что утечка или продажа адреса сразу видна. Начать быстрее с плюс-адресации (plus addressing), если её поддерживает ваш почтовый провайдер (you+shop@example.com), но метку после знака «+» может удалить кто угодно, поэтому утечку она выдаст, только если отправитель не потрудится её убрать. «Скрыть e-mail» (Hide My Email) от Apple, входящая в iCloud+, DuckDuckGo Email Protection и другие сервисы алиасов пересылают письма в ваш почтовый ящик. Подойдёт и catch-all на собственном домене — с оговоркой о подборе, описанной выше. Чем они различаются, рассказано в сравнении сервисов алиасов электронной почты.

Где здесь место CatchNone

CatchNone помогает против тех путей, которые начинаются с того, что вы сами кому-то даёте адрес. Каждый магазин, рассылка или учётная запись получает свой алиас, а у каждого письма есть метка с алиасом, на который оно пришло, поэтому адрес, который утёк или был продан, сам указывает на источник. «Активность» отмечает письма на неиспользуемый алиас и письма от новых отправителей, а удалённые изображения, включая большинство пикселей отслеживания, остаются заблокированными, пока вы их не загрузите. Для адресов @catchnone.com нужен Premium, и они выдаются случайным образом, например abcde-12345@catchnone.com, так что угадать их никто не сможет. Письма на несуществующие адреса на этом домене принимаются и удаляются, поэтому тот, кто подбирает адреса, ничего не узнаёт, а если отключить адрес, который утёк, отправители будут получать возврат письма. На собственном домене письма на подобранные адреса catch-all отображаются под адресом, на который пришли, с серым значком, поэтому спам, разосланный подбором по словарю, легко заметить. Скачайте CatchNone — приложение доступно для iPhone, iPad и Mac.

CatchNone только принимает почту и не является спам-фильтром: он держит письма после регистраций в своём приложении, вдали от вашего основного ящика, и показывает, на какой алиас пришло каждое письмо. На собственном домене статус «Не используется» у алиаса — это только пометка, поэтому блокируйте адреса у своего почтового провайдера.

Частые вопросы

Откуда спамеры узнают ваш адрес, если вы его никому не давали?

Скорее всего, его подобрали, собрали со страницы, из профиля или коммита, где он был опубликован, взяли из чужой адресной книги или получили от компании, где вы когда-то зарегистрировались и забыли об этом, — через утечку у этой компании или продажу базы. Таблица признаков поможет сопоставить то, что вы видите, с вероятным путём.

Откуда у незнакомых компаний ваш адрес?

Обычно от компании, с которой вы действительно имели дело и которая передала или продала его «партнёрам», — часто потому, что при регистрации вы не сняли заранее поставленную галочку. Адреса собирают и продают и брокеры данных. Как выяснить, какая это была компания, рассказано в статье, ссылка на которую есть в разделе о продаже баз и брокерах данных.

Откуда спамеры узнают ваш рабочий адрес?

Из баз деловых контактов, которые продают маркетологам, с сайта вашего работодателя и подбором по принятому в компании шаблону имён. В HIBP есть несколько утёкших деловых баз, например B2B USA Businesses, где адреса были рассортированы по работодателю и должности. В Великобритании, по словам ICO, организации могут присылать рекламу на рабочий адрес без согласия, если только адрес не позволяет установить вашу личность; в этом случае вы можете попросить их прекратить.