มิจฉาชีพรู้ชื่อ นามสกุล เบอร์โทร และอีเมลจากไหน: 7 ช่องทาง

ถ้าคุณสงสัยว่ามิจฉาชีพรู้ชื่อ นามสกุล เบอร์โทร และอีเมลของคุณได้อย่างไร ในส่วนของอีเมล สแปมเมอร์ได้ที่อยู่อีเมลมาจากเหตุข้อมูลรั่วไหล จากรายชื่อที่บริษัทขายหรือแบ่งปันต่อ จากการดึงข้อมูล (scraping) จากเว็บไซต์และโปรไฟล์สาธารณะ จากการเดาชื่อที่พบบ่อย จากสมุดรายชื่อของคนอื่น และจากบันทึกการจดทะเบียนโดเมนรุ่นเก่า จากนั้นจึงทดสอบว่าที่อยู่ไหนยังใช้งานอยู่ โดยคอยดูการเปิดอ่าน การคลิก และการตอบกลับ อีเมลสแปมมาถึงได้แม้แต่ที่อยู่ที่คุณไม่เคยให้ใคร ผ่านการเดา การดึงข้อมูล หรือรายชื่อติดต่อของคนอื่น และมีเพียงบางช่องทางเท่านั้นที่คุณปิดได้เอง สำหรับช่องทางที่เริ่มจากตัวคุณ CatchNone ให้ร้านค้าและจดหมายข่าวทุกแห่งมีที่อยู่ของตัวเอง และแสดงว่าแต่ละข้อความส่งถึงที่อยู่ไหน เหตุข้อมูลรั่วไหลหรือการขายรายชื่อจึงบอกต้นตอได้เอง บน iPhone, iPad และ Mac

มิจฉาชีพได้ข้อมูลอีเมลมาจากไหน: 7 ช่องทาง

1. ข้อมูลรั่วไหล และรายการรหัสผ่านที่สร้างขึ้นจากข้อมูลเหล่านั้น
2. การขายและแบ่งปันรายชื่อ ผ่านผู้ค้าข้อมูล (data broker) และ “พันธมิตร”
3. การดึงข้อมูล จากหน้าเว็บ โปรไฟล์โซเชียล และโค้ด
4. การเดา ชื่อที่พบบ่อย โดยเฉพาะบนโดเมนที่รับอีเมลถึงที่อยู่ใดก็ได้
5. สมุดรายชื่อของคนอื่น ทั้งการอัปโหลดรายชื่อติดต่อ มัลแวร์ และอีเมลที่มีรายชื่อ Cc ยาวเหยียด
6. บันทึก WHOIS รุ่นเก่า จากก่อนปี 2561
7. การยืนยัน ด้วยรูปภาพติดตาม การคลิก การตอบกลับ และข้อความทดสอบเปล่า ๆ ที่พิสูจน์ว่าที่อยู่ใช้งานได้

ข้อมูลรั่วไหลและ combo list

เมื่อบริษัทหนึ่งถูกเจาะข้อมูล รายชื่อลูกค้าก็อาจหลุดออกไปด้วย ไม่ว่าคุณจะยังใช้บริการนั้นอยู่หรือไม่ ณ วันที่ 25 กันยายน 2569 Have I Been Pwned (HIBP) มีรายการเหตุข้อมูลรั่วไหล 1,038 ครั้ง และบันทึกบัญชีที่รั่วไหลมากกว่า 17,800 ล้านรายการ ยอดรวมนี้นับที่อยู่หนึ่งครั้งต่อทุกเหตุข้อมูลรั่วไหลที่ที่อยู่นั้นอยู่ด้วย จึงเป็นการวัดจำนวนบัญชี ไม่ใช่จำนวนคน ค้นหาที่อยู่ของคุณเองในเว็บไซต์นั้นเพื่อดูว่าอยู่ในเหตุข้อมูลรั่วไหลครั้งไหน เกิดขึ้นเมื่อไร และมีข้อมูลอะไรรั่วไหลออกไป ถ้าไม่อยู่ในเหตุการณ์ใดเลย ช่องทางที่น่าจะเป็นมากกว่าคือการขายรายชื่อ การดึงข้อมูล หรือการเดา

ที่อยู่ที่รั่วไหลแล้วจะถูกนำไปใช้ซ้ำ combo list คือคู่อีเมลกับรหัสผ่านที่รวบรวมจากเหตุข้อมูลรั่วไหลครั้งก่อน ๆ แล้วนำไปใช้ทำ credential stuffing ซึ่งหมายถึงการลองใช้รหัสผ่านเดียวกันกับเว็บไซต์อื่น HIBP อธิบาย Collection #1 (ปี 2562) ว่ามี “ที่อยู่อีเมลที่ไม่ซ้ำกัน 773 ล้านรายการ พร้อมรหัสผ่านที่ที่อยู่เหล่านั้นเคยใช้กับบริการอื่นที่ถูกเจาะข้อมูล” แหล่งที่สามคือ stealer log (บันทึกจากมัลแวร์ขโมยข้อมูล) มัลแวร์บนอุปกรณ์ที่ติดเชื้อจะบันทึก “ที่อยู่อีเมล รหัสผ่าน และเว็บไซต์ที่ป้อนข้อมูลเหล่านั้นตอนเข้าสู่ระบบ”

ปิดช่องทางนี้ได้ไหม ไม่ได้ แต่คุณจำกัดสิ่งที่เหตุข้อมูลรั่วไหลแต่ละครั้งเปิดเผยได้ ด้วยรหัสผ่านที่ไม่ซ้ำกันสำหรับทุกเว็บไซต์ การยืนยันแบบ 2 ขั้นตอนในบัญชีอีเมลของคุณ และที่อยู่แยกสำหรับแต่ละบริษัท เมื่อเกิดข้อมูลรั่วไหล สิ่งที่หลุดไปจึงเป็นแค่ที่อยู่แยกรายการเดียว ไม่ใช่ที่อยู่หลักของคุณ การแจ้งเตือน Notify Me ของ HIBP ซึ่งใช้ได้ฟรีจะบอกคุณเมื่อเกิดเหตุครั้งต่อไป

การขายรายชื่อ ผู้ค้าข้อมูล และ “พันธมิตรของเรา”

FTC (คณะกรรมาธิการการค้าแห่งสหพันธรัฐของสหรัฐฯ) พูดไว้ตรง ๆ ว่า “เมื่อคุณให้ที่อยู่อีเมลแก่บริษัท บริษัทอาจแบ่งปันหรือขายที่อยู่นั้นให้บุคคลที่สาม” แบบฟอร์มสมัครสมาชิกก็ป้อนรายชื่อเข้าสู่การค้าเดียวกันนี้ หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ระบุว่าบางครั้งตัวเลือกรับอีเมลเกี่ยวกับผลิตภัณฑ์อื่นถูกเลือกไว้เป็นค่าเริ่มต้น “ดังนั้นหากคุณไม่ยกเลิกการเลือก คุณก็อาจเริ่มได้รับอีเมลจากรายชื่อเหล่านั้นด้วย” การชิงรางวัล แบบสำรวจที่ได้ค่าตอบแทน และข้อเสนอบัตรของขวัญก็ป้อนรายชื่อให้การค้านี้เช่นกัน HIBP ระบุว่ารายชื่อสแปมมักรวบรวมมา “ด้วยการล่อให้ผู้คนให้ข้อมูลส่วนบุคคลโดยสัญญาว่าจะให้รางวัลเป็นเงิน”

ใครซื้อที่อยู่อีเมล นักการตลาดซื้อจากผู้ขายรายชื่อและผู้ค้าข้อมูล ส่วนสแปมเมอร์ซื้อกันเอง คำถามที่พบบ่อยสำหรับผู้บริโภคของ Spamhaus ระบุว่าที่อยู่ที่ “ซื้อมาจากสแปมเมอร์รายอื่น” เป็นหนึ่งในแหล่งที่มา รายชื่อธุรกิจก็เป็นสินค้าอีกประเภทหนึ่ง ในปี 2559 รายชื่อบุคลากรในบริษัทต่าง ๆ ของสหรัฐฯ กว่า 33 ล้านคนจากบริการ NetProspex ของ Dun & Bradstreet รั่วไหลออกสู่อินเทอร์เน็ต และ D&B เชื่อว่ารายชื่อนั้นหลุดจากลูกค้ารายหนึ่งที่ซื้อไป

ในสหรัฐฯ กฎหมาย CAN-SPAM ไม่กำหนดให้ต้องได้รับความยินยอมก่อนส่งอีเมลการตลาด แต่เมื่อคุณขอเลิกรับ บริษัทต้องหยุดส่งอีเมลถึงคุณภายใน 10 วันทำการ และนับตั้งแต่วินาทีที่คุณขอ บริษัทจะ “ขายหรือโอน” ที่อยู่ของคุณต่อไม่ได้

ปิดช่องทางนี้ได้ไหม ได้บางส่วน เอาเครื่องหมายออกจากช่องที่เลือกไว้ล่วงหน้า ขอเลิกรับอีเมลการตลาดที่คุณไม่ได้อ่าน และให้ที่อยู่แยกแก่แต่ละบริษัท เพื่อให้การขายครั้งต่อไปบอกได้ว่าใครเป็นคนขาย วิธีหาว่าใครขายที่อยู่อีเมลของคุณ อธิบายเรื่องส่วนหัวอีเมล การเช็กข้อมูลรั่วไหล และคำขอเข้าถึงข้อมูลไว้อย่างละเอียด

การดึงข้อมูล (scraping): เว็บไซต์ โปรไฟล์ และโค้ด

CISA เตือนว่า “สแปมเมอร์เก็บรวบรวมที่อยู่อีเมลใดก็ได้ที่โพสต์ไว้บนเว็บไซต์” ในการทดลองของ FTC ปี 2545 ที่อยู่ 86% ที่โพสต์ไว้บนหน้าเว็บได้รับสแปมภายใน 6 สัปดาห์ และที่อยู่หนึ่งที่โพสต์ในห้องแชตได้รับสแปมหลังใช้ครั้งแรกเพียง 9 นาที (ผลการทดลองที่ ICANN นำมาตีพิมพ์ซ้ำ) ตำแหน่งบนหน้าเว็บไม่มีผล “ถ้าที่อยู่มีเครื่องหมาย ‘@’ ก็ดึงดูดสแปม”

โปรไฟล์ถูกดึงข้อมูลในปริมาณมหาศาล ตามข้อมูลของ HIBP ในปี 2564 ผู้โจมตีดึงข้อมูลจากโปรไฟล์ LinkedIn สาธารณะหลายร้อยล้านโปรไฟล์ ได้ที่อยู่อีเมลที่ไม่ซ้ำกันราว 125 ล้านรายการ ผู้โจมตียังใช้ API ของ Twitter ที่จับคู่ที่อยู่อีเมลกับบัญชีในทางที่ผิด และบันทึกกว่า 200 ล้านรายการที่รวบรวมด้วยวิธีนี้ก็ปรากฏออกมาในปี 2566

โค้ดสาธารณะก็เปิดเผยที่อยู่ได้เช่นกัน เพราะทุกคอมมิตของ Git มีที่อยู่อีเมลของผู้เขียนติดไปด้วย บน GitHub ให้ไปที่ Settings (การตั้งค่า) → Emails (อีเมล) เลือก “Keep my email addresses private” (เก็บที่อยู่อีเมลของฉันเป็นส่วนตัว) และ “Block command line pushes that expose my email” (บล็อกการพุชจากบรรทัดคำสั่งที่เปิดเผยอีเมลของฉัน) จากนั้นตั้งค่า Git บนคอมพิวเตอร์ของคุณให้ใช้ที่อยู่ @users.noreply.github.com ที่แสดงอยู่ในหน้านั้น คอมมิตที่ทำไว้ก่อนการเปลี่ยนแปลง “ยังคงเชื่อมโยงกับที่อยู่อีเมลเดิมของคุณ” (GitHub Docs) วิธีกันที่อยู่ของคุณออกจากคอมมิตบน GitHub และ GitLab มีขั้นตอนครบถ้วน

ปิดช่องทางนี้ได้ไหม ได้สำหรับอนาคต อย่าใส่ที่อยู่หลักของคุณไว้บนหน้าเว็บสาธารณะ ใช้แบบฟอร์มติดต่อหรือที่อยู่แยกแทน และตั้งค่าโปรไฟล์โซเชียลให้เฉพาะคนที่คุณไว้ใจเท่านั้นที่เห็นอีเมลของคุณได้ ตามที่ CISA แนะนำ ส่วนข้อมูลที่ถูกดึงไปแล้วจะยังหมุนเวียนอยู่ต่อไป

การเดา: สแปมเมอร์เดาที่อยู่อีเมลของคุณเอาเองได้ไหม

ได้ และไม่ต้องมีรายชื่อด้วย คณะกรรมการด้านความปลอดภัยของ ICANN อธิบายวิธีนี้ไว้ในปี 2550 ว่าสแปมเมอร์จะลอง “ชื่อต้นและนามสกุลที่พบบ่อย ทั้งแบบเดี่ยวและแบบนำมาต่อกัน” หรือลองทุกชุดตัวอักษรที่เป็นไปได้ แล้วเก็บที่อยู่ที่เซิร์ฟเวอร์อีเมลยอมรับไว้ วิธีนี้เรียกว่า directory harvest attack (การโจมตีเพื่อเก็บเกี่ยวรายชื่อในไดเรกทอรี) ในการทดสอบครั้งหนึ่งของคณะกรรมการ สแปม 70% ส่งไปยังที่อยู่บนโดเมนทดสอบที่ไม่เคยเผยแพร่ที่ใดเลย ชื่อสั้น ๆ ที่พบบ่อยเป็นเป้าที่ง่ายที่สุด และรูปแบบ first.last@example.com ของบริษัทก็ทำให้ใครก็สร้างที่อยู่ของพนักงานได้

ที่อยู่แบบ catch-all (รับทั้งหมด) ยอมรับทุกการเดา ถ้าโดเมนของคุณเองรับอีเมลที่ส่งถึงที่อยู่ใดก็ได้ admin@example.com และ info@example.com ก็จะมาถึงคุณ ไม่ว่าคุณเคยใช้ที่อยู่นั้นหรือไม่ คำถามที่พบบ่อยของ addy.io เตือนว่า “สแปมเมอร์และบอตมักลองที่อยู่อีเมลแบบสุ่ม” และ cPanel ระบุว่าที่อยู่แบบ catch-all “อาจได้รับสแปมจำนวนมาก” เมื่อสแปมเมอร์เล็งเป้าไปที่โดเมนหนึ่ง ที่อยู่อีเมลแบบ catch-all คืออะไร อธิบายข้อดีข้อเสียไว้ครบถ้วน

ปิดช่องทางนี้ได้ไหม ได้บางส่วน ที่อยู่สั้น ๆ ที่พบบ่อยจะยังถูกเดาได้ แต่ที่อยู่ถัดไปของคุณไม่จำเป็นต้องเป็นแบบนั้น ให้เลือกที่อยู่ที่เดายาก ตามที่ ICO ของสหราชอาณาจักรแนะนำ บนโดเมนของคุณเอง การปิดการรับอีเมลแบบ catch-all จะทำให้ที่อยู่ที่ถูกเดามาไม่ถึงคุณ ถ้าคุณยังเปิดไว้ ให้บล็อกชื่อที่ถูกเดาที่ผู้ให้บริการอีเมลของคุณ เช่น ใน Cloudflare Email Routing (ระบบกำหนดเส้นทางอีเมล) ให้ไปที่ Compute → Email Service → Email Routing → Routing Rules (กฎการกำหนดเส้นทาง) แล้วเพิ่มกฎสำหรับที่อยู่นั้นโดยเลือกการดำเนินการ Drop (ทิ้ง) ซึ่ง “ลบอีเมลที่ตรงกับกฎโดยไม่กำหนดเส้นทางต่อ” Cloudflare ระบุว่าผู้ส่งจะยังเห็นว่าที่อยู่นั้นใช้งานได้ ให้ส่งข้อความทดสอบเพื่อยืนยันว่ากฎนี้มีผลเหนือ catch-all ของคุณ

สมุดรายชื่อและกล่องขาเข้าของคนอื่น

ที่อยู่ของคุณอยู่ในรายชื่อติดต่อของทุกคนที่คุณเคยส่งอีเมลถึง และสำเนาเหล่านั้นอยู่นอกการควบคุมของคุณ

• การอัปโหลดรายชื่อติดต่อ เมื่อมีคนซิงค์รายชื่อติดต่อกับ Facebook, Messenger หรือ Instagram ทาง Meta จะอัปโหลด “ชื่อ หมายเลขโทรศัพท์ และที่อยู่อีเมลในสมุดรายชื่อของบุคคลนั้น” ทุกวัน รวมถึงข้อมูลของคนที่ไม่ได้ใช้แอปของ Meta ด้วย ลำพังเรื่องนี้ไม่ได้ทำให้ที่อยู่ของคุณตกไปถึงสแปมเมอร์ แต่ Meta ระบุว่าก่อนเดือนกันยายน 2562 ผู้ดึงข้อมูล (scraper) ใช้เครื่องมือนำเข้ารายชื่อติดต่อของ Meta ในทางที่ผิดเพื่อจับคู่หมายเลขโทรศัพท์กับบัญชี
• มัลแวร์บนคอมพิวเตอร์ของคนอื่น มัลแวร์ Emotet สามารถ “ดึงที่อยู่อีเมลจาก Outlook” และจี้เธรดอีเมลจริงเพื่อแพร่กระจายตัวเอง (ประกาศเตือน AA20-280A ของ CISA)
• อีเมลที่มี Cc ยาวเหยียดและรายชื่ออีเมล (mailing list) อีเมลที่ส่งต่อกันมายาว ๆ จะพาที่อยู่ทุกรายการในเธรดติดไปด้วย และคณะกรรมการด้านความปลอดภัยของ ICANN อธิบายว่าสแปมเมอร์เข้าร่วมรายชื่ออีเมลเพื่อเก็บที่อยู่จากส่วนหัว From, Reply-To และ Cc
• มีคนเอาที่อยู่ของคุณไปสมัคร ศูนย์ช่วยเหลือ Gmail อธิบายว่ามีคนใช้ที่อยู่ของคุณ “เพื่อสมัครรับอีเมล เช่น โปรโมชันหรือจดหมายข่าว” ทั้งโดยไม่ตั้งใจและโดยเจตนา

ปิดช่องทางนี้ได้ไหม ปิดโดยตรงไม่ได้ ใช้ Bcc เมื่อส่งอีเมลถึงกลุ่ม ลบที่อยู่ของคนอื่นออกจากเธรดก่อนส่งต่อ และขอให้คนอื่นทำแบบเดียวกัน

บันทึก WHOIS รุ่นเก่า

บันทึกการจดทะเบียนโดเมนเคยเผยแพร่ที่อยู่อีเมลของเจ้าของโดเมน ในปี 2550 คณะกรรมการด้านความปลอดภัยของ ICANN สรุปว่าที่อยู่อีเมลที่ปรากฏใน WHOIS “แทบจะรับประกันได้ว่าจะได้รับสแปม”

ช่องทางนี้ปิดไปแล้วเป็นส่วนใหญ่ ตั้งแต่วันที่ 25 พฤษภาคม 2561 ข้อกำหนดชั่วคราว (Temporary Specification) ของ ICANN กำหนดให้ผู้ให้บริการจดโดเมน (domain registrar) ปิดบังข้อมูลติดต่อของการจดทะเบียนที่เกี่ยวข้องกับยุโรป และอนุญาตให้ปิดบังได้ในที่อื่นทั้งหมด โดยให้ที่อยู่สำหรับรีเลย์ (relay) หรือแบบฟอร์มบนเว็บแทน ผลการศึกษาของ Interisle ในปี 2564 พบว่ามีโดเมนทั่วไป เช่น .com เพียง 13.5% ที่ยังระบุชื่อผู้จดทะเบียนตัวจริง นโยบายข้อมูลการจดทะเบียน (Registration Data Policy) ฉบับถาวรของ ICANN ซึ่งมีผลบังคับใช้ตั้งแต่วันที่ 21 สิงหาคม 2568 ยังคงใช้รูปแบบเดียวกัน

ช่องทางนี้ยังมีอยู่ในกรณีที่คุณยินยอมให้เผยแพร่ ที่ผู้ให้บริการจดโดเมนที่เผยแพร่ข้อมูลขององค์กรหรือของผู้จดทะเบียนที่อยู่นอกยุโรป ภายใต้กฎของโดเมนรหัสประเทศบางโดเมน และในคลังข้อมูลแบบเสียเงินที่เก็บบันทึกจากก่อนปี 2561

ปิดช่องทางนี้ได้ไหม โดยค่าเริ่มต้นปิดไปแล้วเป็นส่วนใหญ่ ถ้าคุณเป็นเจ้าของโดเมน ให้ค้นหาโดเมนนั้นใน ICANN Lookup เพื่อดูว่ามีข้อมูลอะไรเปิดเผยอยู่บ้าง เปิดตัวเลือกความเป็นส่วนตัวของผู้ให้บริการจดโดเมนไว้ และอย่ายินยอมให้เผยแพร่ข้อมูลติดต่อของคุณ

การยืนยัน: การเปิดอ่าน การคลิก การตอบกลับ และข้อความเปล่า

ที่อยู่จะมีค่ามากขึ้นเมื่อรู้แล้วว่าใช้งานได้จริง คำถามที่พบบ่อยสำหรับผู้บริโภคของ Spamhaus ระบุว่าสแปมเมอร์ “ขายที่อยู่ที่ยังใช้งานอยู่ในราคาสูงให้สแปมเมอร์รายอื่น ๆ ต่อไปอีก ในฐานะที่อยู่ ‘ที่ยืนยันแล้วว่าส่งถึงได้’” สแปมเมอร์ยืนยันที่อยู่ผ่านช่องทางต่อไปนี้

• รูปภาพติดตาม “เมื่อโปรแกรมอีเมลของคุณดาวน์โหลดภาพกราฟิกจากเว็บเซิร์ฟเวอร์ของสแปมเมอร์ สแปมเมอร์ก็รู้ว่าคุณเปิดข้อความแล้ว” (CISA)
• การคลิกและการตอบกลับ การคลิกหรือการตอบกลับใด ๆ รวมถึงคำขอให้ “ลบฉันออก” เป็นการยืนยันว่ามีคนอ่านอีเมลที่ส่งถึงที่อยู่นั้น
• ลิงก์ยกเลิกการสมัครรับอีเมล RFC 8058 ซึ่งเป็นมาตรฐานการยกเลิกการสมัครรับอีเมลในคลิกเดียว ระบุว่าการยกเลิกการสมัครรับ “เป็นเบาะแสชัดเจนให้ผู้ส่งรู้ว่าที่อยู่ที่ส่งข้อความไปนั้นใช้งานได้จริง”
• ข้อความเปล่า ศูนย์ช่วยเหลือ Gmail ระบุว่า “สแปมเมอร์มักส่งอีเมลที่ไม่มีเนื้อหาในส่วนเนื้อความหรือหัวเรื่อง เพื่อตรวจสอบว่าที่อยู่อีเมลใช้งานได้หรือไม่” ที่อยู่ที่ใช้งานได้จะได้รับสแปมในภายหลัง

ปิดช่องทางนี้ได้ไหม ได้ สำหรับอีเมลจากคนแปลกหน้า อย่าตอบกลับ อย่าคลิก และอย่ายกเลิกการสมัครรับ ให้รายงานว่าเป็นสแปม สำหรับแบรนด์ที่คุณรู้จักหรือเคยสมัครไว้ ให้ใช้ปุ่มยกเลิกการสมัครรับอีเมลในแอปอีเมลของคุณตามที่ Gmail แนะนำ หรือใช้ตัวเลือกเลิกรับในข้อความตามที่ ICO แนะนำ ส่วนบทความลิงก์ยกเลิกการสมัครรับอีเมลปลอดภัยเมื่อไร มีหลักการแยกตามผู้ส่ง

จากนั้นอย่าให้รูปภาพเปิดเผยตัวคุณ ในแอปเมลบน iPhone (iOS 27) ให้ไปที่ การตั้งค่า > แอป > เมล > การปกป้องความเป็นส่วนตัว แล้วเปิด “ปกป้องกิจกรรมเมล” ซึ่งจะโหลดรูปภาพแบบส่วนตัวอยู่เบื้องหลัง ผู้ส่งจึงบอกไม่ได้ว่าคุณอ่านข้อความแล้วหรือยังหรืออ่านเมื่อไร (คู่มือของ Apple) ใน Gmail บนคอมพิวเตอร์ ให้ไปที่ Settings (การตั้งค่า) → See all settings (ดูการตั้งค่าทั้งหมด) ตั้งค่า Images (รูปภาพ) เป็น “Ask before displaying external images” (ถามก่อนแสดงรูปภาพภายนอก) แล้วคลิก Save Changes (บันทึกการเปลี่ยนแปลง) (ความช่วยเหลือของ Google) ทั้งสองวิธีไม่ครอบคลุมลิงก์หรือไฟล์แนบ วิธีบล็อกพิกเซลติดตาม (tracking pixel) มีขั้นตอนสำหรับแอปอีเมลอื่น ๆ และบอกว่าแต่ละแอปยังเปิดเผยอะไรอยู่บ้าง

วิธีดูว่าสแปมมาถึงคุณผ่านช่องทางไหน

Bcc ซ่อนผู้รับคนอื่นไว้ และศูนย์ช่วยเหลือ Gmail ระบุว่า “บางครั้งสแปมเมอร์จะใส่ที่อยู่อีเมลแบบสุ่มไว้ในช่อง ‘Bcc’ เพื่อพยายามให้ผู้คนตอบกลับ” ดังนั้นอย่าตอบกลับ

มีรายชื่อรับอีเมลสแปมที่คุณเช็กได้หรือขอถอนชื่อออกได้ไหม

ไม่มีรายชื่อผู้รับสแปมอย่างเป็นทางการ และไม่มีวิธีถอนชื่อออกจากรายชื่อของสแปมเมอร์เอง แต่คุณเช็กได้ว่าที่อยู่ของคุณเคยปรากฏในรายชื่อของสแปมเมอร์ที่รั่วไหลออกมาหรือไม่ ให้ค้นหาที่อยู่นั้นใน Have I Been Pwned ซึ่ง ณ วันที่ 25 กันยายน 2569 มีรายชื่อลักษณะนี้ 16 รายการ รายการที่ใหญ่ที่สุดคือ Onliner Spambot (711 ล้านที่อยู่ ปี 2560) และ River City Media (393 ล้าน ปี 2560) ถ้ามีชื่อใดชื่อหนึ่งในนี้อยู่ในผลการค้นหาของคุณ แปลว่าสแปมเมอร์เคยมีที่อยู่ของคุณ

บล็อกลิสต์ (blocklist) เป็นอีกเรื่องหนึ่ง บล็อกลิสต์ติดตามว่าสแปมมาจากไหน Spamhaus นิยามบล็อกลิสต์ว่าเป็น “ฐานข้อมูลที่มีที่อยู่ IP โดเมน หรือแฮช” ซึ่งแต่ละรายการถูกขึ้นบัญชีเพราะพบว่าส่งสแปมหรือก่อความเสียหายอื่น หรือเพราะมีชื่อเสียงไม่ดี Hash Blocklist ของ Spamhaus อาจมีที่อยู่อีเมลรวมอยู่ด้วย แต่เป็นที่อยู่ที่ส่งสแปมหรือปรากฏอยู่ในสแปม เช่น บัญชีที่ถูกแฮ็ก เครื่องมือตรวจบล็อกลิสต์อย่าง Blacklist Check ของ MxToolbox ตรวจที่อยู่ IP ของเซิร์ฟเวอร์อีเมล ไม่ใช่ที่อยู่อีเมลของคุณ

รายชื่อห้ามส่งอีเมล (do-not-email list) ก็ช่วยไม่ได้เช่นกัน ในปี 2547 FTC แจ้งต่อสภาคองเกรสว่าทะเบียนแบบนี้น่าจะให้ผลตรงกันข้าม เพราะ “สแปมเมอร์จะใช้ทะเบียนดังกล่าวเป็นสมุดรายชื่อที่อยู่อีเมลที่ใช้งานได้” (FTC) Spamhaus เรียกบริการแบบเสียเงินที่สัญญาว่าจะลบคุณออกจากรายชื่อของสแปมเมอร์ว่า “อย่างดีที่สุดก็เป็นการหลอกลวง และอย่างแย่ที่สุดก็เป็นระบบยืนยัน ‘ที่อยู่ที่ยังใช้งานอยู่’ ให้สแปมเมอร์”

ทางเลือกจริงที่ใกล้เคียงที่สุดเข้าถึงได้เฉพาะธุรกิจที่ทำตามกฎหมาย ไม่ใช่สแปมเมอร์ ณ เดือนกันยายน 2569

• DROP ของรัฐแคลิฟอร์เนีย (Delete Request and Opt-out Platform) ให้ผู้อยู่อาศัยในแคลิฟอร์เนียส่งคำขอลบข้อมูลฟรีเพียงครั้งเดียวไปยังผู้ค้าข้อมูลที่ขึ้นทะเบียนไว้กว่า 600 ราย ซึ่งต้องดำเนินการตามคำขออย่างน้อยทุก 45 วัน DROP ไม่ครอบคลุมบริษัทที่คุณติดต่อด้วยโดยตรง (ข้อกำหนดของ DROP)
• Email Preference Service ของสมาคมผู้โฆษณาแห่งชาติ (Association of National Advertisers) ซึ่งมีลิงก์จาก DMAchoice.org ใช้ได้ฟรีและมีผล 10 ปี (FTC) แต่เข้าถึงได้เฉพาะนักการตลาดที่ใช้บริการนี้คัดกรองรายชื่อของตน

คนที่รู้แค่ที่อยู่อีเมลของคุณทำอะไรได้บ้าง

ถ้าไม่มีรหัสผ่านของคุณ ก็ทำได้น้อยกว่าที่คุณอาจกลัว เมื่อมีแค่ที่อยู่อีเมล คนอื่นสามารถ

• ส่งฟิชชิงที่ดูเหมือนของจริง โดยเฉพาะเมื่อมีรายละเอียดจากข้อมูลรั่วไหลประกอบ
• ลองใช้รหัสผ่านที่รั่วไหลจากเว็บไซต์อื่นกับบัญชีของคุณ
• ค้นหาว่าคุณใช้บริการอะไรบ้าง อย่างที่ API ของ Twitter เคยเปิดช่องให้ทำได้
• เอาที่อยู่ของคุณไปสมัครรับอีเมลที่คุณไม่เคยขอ
• ขายที่อยู่ต่อ และขายได้ราคาสูงขึ้นเมื่อยืนยันแล้วว่ายังใช้งานอยู่

ทำไมมิจฉาชีพถึงอยากได้ที่อยู่อีเมลของคุณ

เพราะนี่คือก้าวแรกสู่กล่องขาเข้าของคุณ และอาชญากรที่เข้าไปในบัญชีอีเมลของคุณได้อาจ “รีเซ็ตรหัสผ่านของบัญชีอื่นทั้งหมดของคุณ” ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติของสหราชอาณาจักร (NCSC) แนะนำให้ใช้รหัสผ่านที่รัดกุมและแยกต่างหากสำหรับอีเมล พร้อมเปิดการยืนยันแบบ 2 ขั้นตอน

สแปมที่แสดงที่อยู่ของคุณเองเป็นผู้ส่งไม่ได้พิสูจน์ว่ามีใครเข้าบัญชีของคุณได้ เพราะบรรทัด From ปลอมแปลงได้ง่าย วิธีเช็กว่าบัญชีอีเมลของคุณถูกแฮ็กหรือไม่ อธิบายการตรวจสอบสำหรับ Gmail, Outlook.com และเมลบน iCloud

ให้ที่อยู่อีเมลกับคนอื่นปลอดภัยไหม

โดยปกติปลอดภัย ที่อยู่อีเมลไม่ใช่รหัสผ่าน และการรู้ที่อยู่ไม่ได้ทำให้เปิดบัญชีของคุณได้ ให้ที่อยู่หลักกับคนที่คุณติดต่อด้วยและบริษัทที่คุณพึ่งพา เช่น ธนาคารของคุณ สำหรับร้านค้า จดหมายข่าว และการสมัครที่ทำแค่ครั้งเดียว ที่อยู่แยกสำหรับแต่ละบริษัทจะกันไม่ให้ข้อมูลรั่วไหลและการขายรายชื่อไปถึงที่อยู่หลักของคุณ และไม่ควรโพสต์ที่อยู่หลักของคุณไว้ในที่สาธารณะเลย

วิธีกันไม่ให้สแปมเมอร์ได้ที่อยู่ของคุณ: ช่องทางไหนปิดได้

คุณมีที่อยู่แยกสำหรับแต่ละบริษัทได้หลายวิธี CatchNone ให้แต่ละบริษัทมีนามแฝงอีเมล (email alias) ของตัวเอง แยกอีเมลเหล่านั้นออกจากกล่องขาเข้าหลักของคุณ และติดป้ายบอกนามแฝงที่ทุกข้อความส่งถึง การรั่วไหลหรือการขายรายชื่อจึงปรากฏให้เห็น การเติมเครื่องหมาย + (plus addressing) เริ่มใช้ได้เร็วกว่า หากผู้ให้บริการของคุณรองรับ (you+shop@example.com) แต่ใครก็ลบแท็กนั้นทิ้งได้ วิธีนี้จึงระบุต้นตอการรั่วไหลได้ก็ต่อเมื่อผู้ส่งไม่ได้สนใจจะตัดแท็กออก “ซ่อนอีเมลของฉัน” ของ Apple (ส่วนหนึ่งของ iCloud+) DuckDuckGo Email Protection และบริการนามแฝงอีเมลอื่น ๆ จะส่งต่ออีเมลไปยังกล่องขาเข้าของคุณ ที่อยู่แบบ catch-all บนโดเมนของคุณเองก็ใช้ได้เช่นกัน แต่ต้องแลกกับเรื่องการเดาที่กล่าวไว้ข้างต้น เปรียบเทียบบริการนามแฝงอีเมล สรุปความแตกต่างไว้

CatchNone เหมาะกับกรณีไหน

CatchNone ช่วยได้กับช่องทางที่เริ่มจากการที่คุณให้ที่อยู่ออกไปเอง ร้านค้า จดหมายข่าว หรือบัญชีแต่ละแห่งจะได้นามแฝงของตัวเอง และอีเมลทุกฉบับจะมีป้ายบอกว่าส่งถึงนามแฝงไหน ที่อยู่ที่รั่วไหลหรือถูกขายจึงบอกต้นตอได้เอง “ความเคลื่อนไหว” ชี้ให้เห็นอีเมลที่เข้ามาทางนามแฝงที่ไม่ได้ใช้งาน และผู้ส่งที่ส่งมาเป็นครั้งแรก ส่วนรูปภาพระยะไกล รวมถึงพิกเซลติดตามส่วนใหญ่ จะถูกบล็อกไว้จนกว่าคุณจะโหลด ที่อยู่ @catchnone.com ต้องใช้ Premium และได้รับแบบสุ่ม เช่น abcde-12345@catchnone.com จึงไม่มีใครเดาได้ อีเมลที่ส่งถึงที่อยู่ซึ่งไม่มีอยู่จริงบนโดเมนนั้นจะถูกรับไว้แล้วทิ้งไป ผู้ที่เดาจึงไม่ได้ข้อมูลอะไรเลย และเมื่อคุณปิดที่อยู่ที่รั่วไหล ผู้ส่งจะได้รับอีเมลตีกลับ บนโดเมนของคุณเอง ที่อยู่แบบ catch-all ที่ถูกเดาจะแสดงภายใต้ที่อยู่ที่อีเมลส่งถึง พร้อมป้ายสีเทา ทำให้มองเห็นสแปมที่เดาจากพจนานุกรม (dictionary spam) ได้ง่าย ดาวน์โหลด CatchNone มีให้ใช้บน iPhone, iPad และ Mac

CatchNone รับอีเมลอย่างเดียวและไม่ใช่ตัวกรองสแปม แอปเก็บอีเมลจากการสมัครไว้ในแอปของตัวเอง แยกจากกล่องขาเข้าหลักของคุณ และแสดงว่าแต่ละข้อความส่งถึงนามแฝงไหน บนโดเมนของคุณเอง การทำเครื่องหมายนามแฝงว่า “เลิกใช้แล้ว” เป็นเพียงป้ายกำกับ ถ้าจะบล็อกที่อยู่ ให้ทำที่ผู้ให้บริการอีเมลของคุณ

คำถามที่พบบ่อย

ถ้าคุณไม่เคยให้ที่อยู่อีเมลกับใคร สแปมเมอร์ได้ไปจากไหน

เป็นไปได้มากที่สุดว่าสแปมเมอร์เดาเอา ดึงจากหน้าเว็บ โปรไฟล์ หรือคอมมิตโค้ดที่เคยโพสต์ที่อยู่นั้นไว้ เอามาจากสมุดรายชื่อของคนอื่น หรือได้มาจากบริษัทที่คุณเคยสมัครไว้แล้วลืมไป ผ่านเหตุข้อมูลรั่วไหลหรือการขายรายชื่อของบริษัทนั้น ตารางสัญญาณ จะจับคู่สิ่งที่คุณเห็นกับช่องทางที่น่าจะเป็น

บริษัทที่คุณไม่รู้จักได้ที่อยู่อีเมลของคุณไปจากไหน

ส่วนใหญ่มาจากบริษัทที่คุณเคยติดต่อด้วยจริง ซึ่งแบ่งปันหรือขายที่อยู่ให้ “พันธมิตร” บ่อยครั้งหลังจากคุณปล่อยช่องที่เลือกไว้ล่วงหน้าตอนสมัครไว้ตามเดิม ผู้ค้าข้อมูลก็รวบรวมและขายที่อยู่อีเมลเช่นกัน คู่มือที่ลิงก์ไว้ในส่วนการขายรายชื่อและผู้ค้าข้อมูล บอกวิธีหาว่าเป็นบริษัทไหน

สแปมเมอร์ได้ที่อยู่อีเมลที่ทำงานของคุณไปจากไหน

จากรายชื่อติดต่อทางธุรกิจที่ขายให้นักการตลาด จากเว็บไซต์ของนายจ้างของคุณ และจากการเดารูปแบบชื่อที่นายจ้างใช้ HIBP มีรายชื่อธุรกิจที่รั่วไหลหลายรายการ เช่น B2B USA Businesses ซึ่งจัดเรียงที่อยู่ตามนายจ้างและตำแหน่งงาน ในสหราชอาณาจักร ICO ระบุว่า องค์กรส่งอีเมลการตลาดไปยังที่อยู่อีเมลที่ทำงานได้โดยไม่ต้องได้รับความยินยอม เว้นแต่ที่อยู่นั้นระบุตัวคุณได้ ซึ่งในกรณีนั้นคุณขอให้องค์กรหยุดส่งได้