Хто продав вашу пошту: як знайти джерело витоку за 5 кроків

Дізнатися напевно, хто продав вашу адресу електронної пошти або через кого вона витекла, можна лише тоді, коли ви дали цій компанії адресу, якої більше ніхто не мав. З основною адресою, якою ви користуєтеся роками, коло підозрюваних зазвичай вдається звузити, але не назвати винного: вона є в десятках клієнтських баз, а спам-лист рідко вказує на ту, з якої адреса вийшла. Натомість ви можете дізнатися, хто вам пише і через який сервіс, чи потрапила ваша адреса з вини якоїсь компанії у відомий витік даних, а в ЄС і Великій Британії — що компанія каже про те, звідки взяла вашу адресу. CatchNone для iPhone, iPad і Mac робить окрему адресу для кожної компанії стандартом: кожен лист позначено псевдонімом, на який він прийшов, тож наступний витік сам укаже на своє джерело.

Порядок дій:

1. Знайдіть перший небажаний лист і точну адресу, на яку він прийшов.
2. Прочитайте його заголовки, щоб визначити відправника та його сервіс розсилок.
3. Перевірте в Have I Been Pwned, чи потрапляла ця адреса у витік даних.
4. Запитайте відправника, звідки в нього ваша адреса, а компанію, яку ви підозрюєте, — яким компаніям вона цю адресу передала.
5. Надалі давайте кожній компанії окрему адресу.

Чи можна дізнатися, хто продав вашу пошту?

Іноді. Усе залежить від доказів:

• Заголовки показують, хто надіслав лист і через який сервіс (підпис DKIM, що пройшов перевірку, доводить, який домен підписав лист), але не звідки взявся список.
• Запис про витік доводить, що адресу втратила одна компанія, але не виключає інших.
• Юридичний запит може змусити компанію розповісти, що їй відомо про джерело, якщо їй це відомо (у Каліфорнії — лише у вигляді категорій).
• Випадкова адреса, яку ви дали лише одній компанії, прямо вказує на джерело: лист від будь-кого іншого на цю адресу означає, що вона вийшла з цієї компанії — продана, передана чи викрадена.

Раптова хвиля спаму може мати й інші причини — про них у статті чому спаму може раптово стати набагато більше. Як адреси взагалі поширюються — через продаж, витоки, збирання з вебсторінок і підбір, — читайте в статті як спамери дізнаються адреси е-пошти.

Крок 1. Знайдіть перший лист і адресу, на яку він прийшов

Знайдіть листи від незнайомого відправника й відкрийте найстаріший: перший лист найближчий до моменту, коли ваша адреса перейшла в чужі руки. Перевірте, на яку саме адресу його надіслано і як до вас у ньому звертаються. Стара адреса чи адреса з помилкою, яку ви використали лише раз, варіант вашої адреси з +tag, ім’я з помилкою з однієї форми реєстрації або подробиця, яку знала лише одна компанія, — усе це вказує на джерело.

У ЄС і Великій Британії прочитайте також текст унизу цього першого листа й посилання на політику конфіденційності. Згідно з GDPR, Загальним регламентом ЄС про захист даних (ст. 14), компанія, яка отримала ваші дані від когось іншого, мусить повідомити вам, «з якого джерела походять персональні дані». Якщо вона використовує дані, щоб зв’язатися з вами, строк — «не пізніше моменту першого зв’язку». Якщо в першому листі цього не було, вкажіть на це у своєму запиті на кроці 4.

Крок 2. Прочитайте заголовки

Заголовки — це приховані рядки над текстом листа. Вони називають відправника й сервіс, який доставив лист, а отже, підказують, кому писати на кроці 4.

Як переглянути заголовки

Шляхи взято з довідкових сторінок кожного постачальника, станом на вересень 2026 року:

Швидший спосіб у Gmail: у браузері натисніть стрілку вниз під ім’ям відправника, щоб побачити Mailed by (Відправлено через) і Signed by (Підписано) — домени, які надіслали й підписали лист.

Приклад розбору

Ось умовний, скорочений набір заголовків. Ваша адреса — k7qm-2xrd@example.com, випадкова адреса, яку ви дали лише садовому магазину. Бренд — dealsdaily.example.net, а mailer.example.org — сервіс розсилок, яким він користується.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Тут відправник — Deals Daily, який надсилає листи через mailer.example.org, а лист прийшов на ту випадкову адресу, яку ви дали лише садовому магазину, — отже, адреса вийшла саме звідти. Як Deals Daily її отримав, заголовки сказати не можуть: вони називають відправника, але ніколи — продавця. ICANN Lookup показує реєстраційний запис незнайомого домену, хоча відомості про власника здебільшого приховано.

Крок 3. Перевірте, чи не потрапила адреса у витік персональних даних

Have I Been Pwned (HIBP) показує, у яких витоках і спам-списках є певна адреса. Станом на 25 вересня 2026 року сервіс містить 1038 сайтів, з яких стався витік, і понад 17,8 млрд облікових записів, що потрапили у витоки (адресу, яка є в кількох витоках, враховано окремо для кожного з них).

• Витік називає сервіс, який втратив дані, і час, коли це сталося: вагома зачіпка, якщо спам почався невдовзі після цього.
• Спам-список означає, що ваша адреса трапилася в даних, які використовують для цільового спаму. Такі списки «часто зведені з кількох джерел», тож рідко називають початкову компанію. Записи з pastes (публічно викладених фрагментів тексту), а також витоки, які HIBP позначає як сфабриковані чи неперевірені, — ще слабші докази.
• Чутливі витоки видно лише після того, як ви ввійдете й підтвердите, що отримуєте пошту на цю адресу.

Чистий результат означає лише, що адреси немає у витоках, завантажених у HIBP, а не те, що її ніхто не продавав. Увімкніть безкоштовні сповіщення Notify Me (Сповістити мене). Якщо ви використовуєте окремі адреси для кожної компанії на власному домені, функція Domain Search (пошук за доменом) покаже, які з них є в якому витоку, — після того, як ви підтвердите право на домен (для більших доменів зазвичай потрібна підписка). Звіт Google про дарквеб (dark web report), який радять старіші посібники, на початку 2026 року припинив роботу.

Крок 4. Запитайте компанії напряму

ЄС і Велика Британія: запитайте, звідки адреса взялася і куди пішла

Право на доступ до персональних даних дає змогу поставити два запитання двом різним компаніям:

• Запитайте відправника, звідки в нього ваша адреса. Стаття 15(1)(g) GDPR дає вам право на «будь-яку наявну інформацію про їхнє джерело», а настанови щодо прозорості, схвалені Європейською радою із захисту даних (EDPB), вказують, що компанія, яка отримала ваші дані деінде, має назвати конкретне джерело, хіба що не може цього зробити.
• Запитайте компанію, яку ви підозрюєте, яким компаніям вона передала вашу адресу. Щодо статті 15(1)(c) Суд ЄС у справі Österreichische Post (C-154/21) постановив, що компанія на запит мусить назвати фактичних одержувачів, крім випадків, коли їх ще неможливо встановити або запит є явно необґрунтованим чи надмірним. Британський регулятор у сфері захисту даних, ICO, каже те саме щодо UK GDPR.

Жоден із цих запитів не змушує нікого назвати продавця: компанія може відповісти, що не знає, або що дані надійшли з кількох джерел (пункт 61 преамбули), хоча ухильна відповідь — підстава для скарги. Використовуйте контактні дані з повідомлення про конфіденційність кожної компанії й не пишіть відвертим спамерам: відповідь підтверджує, що ваша адреса робоча.

Ось запит, який можна скопіювати (пункт 4 пропустіть, коли пишете компанії, яку підозрюєте):

Тема: Запит на доступ до персональних даних відповідно до статті 15 GDPR

Відповідно до статті 15 GDPR (або UK GDPR) прошу повідомити щодо моєї адреси електронної пошти you@example.com:

1. Звідки ви її отримали, із зазначенням конкретного джерела (ст. 15(1)(g)).
2. Яким одержувачам ви її розкрили, з їхніми назвами (ст. 15(1)(c)).
3. Які мої персональні дані ви зберігаєте, з наданням їх копії.
4. Чому у вашому першому листі до мене від [дата] не було названо це джерело (ст. 14(2)(f) і 14(3)(b)).

Також заперечую проти використання моїх даних для прямого маркетингу (ст. 21). Прошу відповісти протягом одного місяця (ст. 12(3)).

[Ваше ім’я]

Відповіді зазвичай безкоштовні (строки наведено в таблиці нижче). Після того як ви заперечите проти прямого маркетингу, ваші дані більше не можна для нього використовувати.

Якщо у Великій Британії відповіді немає або вона ухильна, спершу поскаржтеся самій компанії: для скарг, поданих починаючи з 19 червня 2026 року, британський закон Data (Use and Access) Act зобов’язує її підтвердити отримання вашої скарги протягом 30 днів. Потім, протягом трьох місяців від вашого останнього змістовного контакту з компанією, подайте скаргу до ICO. У ЄС стаття 77 дає змогу поскаржитися до органу із захисту даних.

США: Каліфорнія та Орегон

У Каліфорнії запит за CCPA на «право знати» дає вам категорії джерел і третіх сторін, а також самі персональні дані, які зберігає компанія, але не назве того, хто продав вашу адресу. Відповіді безкоштовні. Ви також можете вимагати від компанії припинити продавати ваші дані чи передавати їх або попросити її видалити те, що вона зібрала від вас. Закон поширюється лише на компанії, що перевищують установлені пороги, наприклад мають річний дохід понад 26 625 000 USD (станом на вересень 2026 року).

Якщо ви живете в Орегоні, компанія, на яку поширюється закон цього штату про приватність, на запит мусить надати перелік конкретних третіх сторін, яким вона розкривала дані, хоча може перелічити тих, хто отримував будь-які персональні дані, а не саме ваші (ORS 646A.574). Ці права випливають із законів штатів, тож те, що ви можете запитати, залежить від того, де ви живете.

Жителі Каліфорнії також можуть скористатися DROP (Delete Request and Opt-out Platform — платформою запитів на видалення й відмову), щоб надіслати один запит на видалення всім зареєстрованим брокерам даних, тобто компаніям, що збирають і перепродують персональні дані. Платформа запрацювала 1 січня 2026 року, а з 1 серпня 2026 року брокери мусять обробляти запити щонайменше раз на 45 днів. Вона охоплює лише брокерів даних — компанії, з якими ви не маєте прямих стосунків, — а не магазин, якому ви дали свою адресу.

Будь-хто може шукати в реєстрах брокерів даних Каліфорнії, Вермонту, Техасу та Орегону. Пошукайте там назву компанії-відправника й домени з кроку 2. Збіг означає, що відправник — зареєстрований брокер даних, тобто одна з компаній, до яких доходить DROP, якщо ви живете в Каліфорнії.

Що дає кожен запит

Будь-де: сервіс розсилок

Сервіс розсилок, названий у DKIM-Signature d=, Return-Path або List-Unsubscribe, має власні правила. Наприклад, Правила допустимого використання Mailchimp (Acceptable Use Policy) забороняють надсилати листи на «куплені, орендовані, сторонні списки, списки спільної реєстрації (co-reg), загальнодоступні дані чи партнерські списки будь-якого типу», а його служба з питань зловживань (abuse desk) просить надати «повний заголовок листа» (обидві сторінки перевірено 25 вересня 2026 року). Надішліть службі зловживань цього сервісу повні заголовки. Вона не скаже вам, хто продав вашу адресу, але може заборонити відправникові користуватися сервісом.

Що робити, коли ви знаєте джерело

• Відмовтеся від адреси. Дайте компанії, через яку стався витік, нову адресу або закрийте обліковий запис, а потім вимкніть чи видаліть стару. Залиште її робочою, доки не отримаєте відповіді на всі запити на доступ, бо відповідь або перевірка особи може прийти саме на неї. Якщо це ваша основна адреса, скористайтеся фільтрами.
• Припиніть розсилку. Надішліть заперечення за статтею 21 (ЄС, Велика Британія), відпишіться від розсилок законних відправників у США або відмовтеся від продажу й передавання даних і скористайтеся DROP (Каліфорнія). Якщо відписка раніше не спрацьовувала, прочитайте, чому відписка від розсилки не працює.
• Поскаржтеся на ReportFraud.ftc.gov у США, через інструмент ICO для скарг на спам у Великій Британії (ICO не відповідає на кожну скаргу окремо) або до служби зловживань сервісу розсилок, а також позначте лист як спам у своєму поштовому застосунку.
• Якщо це був витік, захистіть також обліковий запис (див. «Поширені запитання»).

Чи продають компанії адреси е-пошти і чи це законно?

Так, деякі продають. Федеральна торгова комісія США (FTC) зазначає: «Коли ви даєте компанії свою адресу е-пошти, вона може передати або продати її третім сторонам». У США федеральний закон це дозволяє, доки ви не відмовитеся. У Великій Британії та ЄС компанії потрібна ваша згода, щоб писати вам, узявши адресу з купленого списку, а у Великій Британії, як правило, потрібна ваша згода й на те, щоб продати такий список.

• США: згідно з федеральним законом CAN-SPAM компанії не потрібна згода, щоб надсилати вам маркетингові листи. Після того як ви відмовитеся, вона має 10 робочих днів, щоб припинити розсилку, і не може продавати чи передавати вашу адресу. Каліфорнія додає право відмовитися від продажу, а її поняття «продаж» охоплює й оренду чи надання даних за «іншу цінну винагороду», тож обмін даними з партнером може вважатися продажем навіть без грошей. «Передавання» (sharing) — окремий термін, що стосується поведінкової реклами в різних контекстах (cross-context behavioral advertising).
• Велика Британія: згідно з Правилами щодо приватності й електронних комунікацій (PECR) компанія може надсилати листи людям із купленого списку, лише якщо вони «конкретно погодилися отримувати такий тип повідомлень» саме від неї; загальної згоди на листи від будь-яких третіх сторін недостатньо, а для продажу списку, як правило, потрібна згода людей, які в ньому є (настанови ICO, які переглядають після ухвалення Data (Use and Access) Act). Для робочих адрес у компаніях діють інші правила.
• ЄС: Директива про приватність і електронні комунікації (ePrivacy) дозволяє маркетингові листи лише за «попередньої згоди», крім випадків, коли продавець рекламує схожі товари власним клієнтам, — цим винятком покупець списку скористатися не може.

Чому трюк із плюсом — слабкий доказ

«Трюк Gmail» полягає в тому, щоб реєструватися з адресою з міткою, наприклад you+shopname@example.com для адреси you@example.com, і стежити, яка мітка з’явиться в спамі. Опис від самої Google показує слабке місце: «Листи, надіслані на вашу поточну адресу або на будь-який її варіант зі знаком плюс, надходять у ваші поточні „Вхідні“».

• Ваша справжня адреса — на видноті. Видаліть мітку — і листи однаково дійдуть до вас, а доказ зникне.
• Для відправника мітка нічого не означає. Частину перед @ тлумачить лише ваш поштовий провайдер (RFC 5321, §2.3.11), а роздільник залежить від системи (RFC 5233).
• Трюк доводить менше, ніж здається. Адреса з міткою в спамі показує, що адреса вийшла з цієї компанії, але не те, чи її продали, передали чи вона потрапила у витік. А якщо спам на адресу з міткою не приходить, це нікого не виправдовує: мітку могли просто прибрати.

Трюк із крапками — реєструватися як your.name в одній компанії і як yo.urname в іншій — ще слабший: Gmail ігнорує крапки в особистих адресах, тож будь-хто може їх прибрати (у робочих і навчальних облікових записах крапки враховуються). Адресація з плюсом (plus addressing) однаково зручна для фільтрування; де вона працює, розповідає посібник з адресації з плюсом.

Крок 5. Зробіть так, щоб наступний витік видав себе сам

Надійний метод працює на майбутнє: давайте кожній компанії окрему адресу, яка не містить вашої справжньої. Лист від будь-кого іншого на адресу, яку ви дали одному магазину, покаже, звідки вона вийшла, і ви зможете вимкнути лише цю адресу.

• CatchNone дає кожній компанії окремий псевдонім і позначає кожен лист псевдонімом, на який той прийшов, тож продану адресу видно без читання заголовків. Для адрес @catchnone.com потрібен Premium; домен, яким ви володієте, працює й на плані «Безкоштовний».
• Сервіси псевдонімів електронної пошти (email alias), як-от «Сховати мою е-адресу» від Apple (з iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io і Firefox Relay, пересилають листи у ваші «Вхідні». Відмінності між ними описано в статті порівняння сервісів поштових псевдонімів.
• Адреса catch-all на вашому власному домені приймає листи на будь-яку адресу на ньому, тож для кожної реєстрації можна вигадати нову. Наприклад, Cloudflare Email Routing (маршрутизація пошти) доступний на безкоштовних і платних тарифах (станом на вересень 2026 року) і має правило catch-all. Про плюси й мінуси читайте в статті що таке адреса catch-all.

Віддавайте перевагу випадковим адресам, а не легко вгадуваним на кшталт gardenshop@example.com, які спамер може сам вигадати на домені з catch-all, і записуйте, яку адресу куди ви дали.

CatchNone: на кожному листі видно адресу, на яку він прийшов

CatchNone створено для кроку 5. Ви даєте кожному магазину, розсилці чи обліковому запису окремий псевдонім, і кожен лист у застосунку позначено псевдонімом, на який він прийшов. Коли незнайомець пише на адресу, яку ви дали лише садовому магазину, позначка показує, звідки вона вийшла, і читати заголовки не треба. Вкладка «Активність» звертає увагу на листи на псевдонім, який ви позначили як «Не використовується», і на відправників, які пишуть уперше, а адресу @catchnone.com, що потрапила у витік, можна вимкнути: листи на неї повертатимуться відправникам, а решта ваших псевдонімів працюватимуть далі.

З Premium ви отримуєте випадкові адреси @catchnone.com, наприклад abcde-12345@catchnone.com, без домену, DNS-записів і скриньки, які треба налаштовувати, і навіть листи, де вас указано в Bcc, прив’язуються до свого псевдоніма. Або використовуйте домен, яким ви володієте і пошту якого ваш провайдер уже доставляє в поштову скриньку: застосунок читає цю скриньку лише для читання, через IMAP або JMAP, напряму з вашого пристрою, — до 10 псевдонімів на плані «Безкоштовний» і без обмежень на Lite і Premium. CatchNone доступний для iPhone, iPad і Mac.

Він працює на майбутнє, а не заднім числом щодо адрес, якими ви користувалися раніше, і в нього немає бази даних витоків чи функції виявлення витоків: позначки й примітки на вкладці «Активність» — це докази, які ви оцінюєте самі. На вашому власному домені він читає лише папку «Вхідні» і лише листи, у заголовках To, Cc або Bcc яких указано адресу на вашому домені, тож спам, що потрапив у папку «Спам», там не з’явиться. Позначка «Не використовується» для псевдоніма на власному домені — лише мітка, тож блокуйте адресу, яка потрапила у витік, у свого провайдера. Листи на @catchnone.com видаляються через 30 днів після надходження, тож позначайте прапорцем ті, що потрібні вам як доказ, щоб зберегти повний текст на своєму пристрої.

Поширені запитання

Що робити, якщо компанія допустила витік моєї адреси е-пошти?

Перевірте адресу на Have I Been Pwned, щоб дізнатися, у якому витоку вона була і що ще витекло разом із нею. Змініть пароль на цьому сайті та всюди, де ви використовували той самий пароль, і ввімкніть двохетапну перевірку. Будьте готові до фішингових листів, що цитують дані з витоку, і не переходьте за посиланнями в листах, які згадують цей витік. Якщо ви давали цій компанії окрему адресу, відмовтеся від неї та дайте компанії нову.

Чи продають LinkedIn або Google мою адресу е-пошти?

Жодна з цих компаній не заявляє, що продає ваші персональні дані, але LinkedIn повідомляє, що передає їх для реклами в різних контекстах (cross-context advertising). У його розкритті інформації про приватність для Каліфорнії сказано: «Ми не продаємо ваших персональних даних», і жителі Каліфорнії можуть відмовитися від такого передавання. Центр безпеки Google стверджує: «Ми ніколи нікому не продаємо вашої особистої інформації», а його політика конфіденційності (чинна з 26 травня 2026 року) каже, що Google передає особисту інформацію за межі компанії лише в перелічених випадках, і перший із них — за вашою згодою. Усі три сторінки перевірено 25 вересня 2026 року. Щодо інших компаній читайте їхні політики й розглядайте «продаж» і «передавання» окремо.

Хто купує адреси е-пошти?

Брокери даних, брокери списків і маркетологи; у реєстрах штатів, згаданих вище, перелічено зареєстрованих брокерів. Ця торгівля може бути відкритою: у справі Österreichische Post австрійський поштовий оператор заявив, що пропонує персональні дані «торговим партнерам для маркетингових цілей», а згодом назвав серед одержувачів «постачальників списків розсилки». Ця справа стосувалася даних, які зберігав поштовий оператор, а не адрес е-пошти.