Спам на електронну пошту: звідки спамери знають вашу адресу

Спамери беруть адреси електронної пошти з витоків даних і зі списків, які компанії продають або передають іншим, збирають їх із сайтів і публічних профілів, вгадують за поширеними іменами, знаходять у чужих адресних книгах і в старих записах про реєстрацію доменів. Потім вони перевіряють, які адреси активні, стежачи за відкриттями листів, переходами за посиланнями й відповідями. Спам на електронну пошту може надходити навіть на адресу, яку ви ніколи нікому не давали: через вгадування, збирання з сайтів чи чужі контакти. І закрити ви можете лише частину цих шляхів. Для шляхів, які починаються з вас, CatchNone дає кожному магазину й кожній розсилці окрему адресу й показує, на яку з них надійшов кожен лист, тож витік чи продаж бази сам називає джерело, — на iPhone, iPad і Mac.

Як спамери дістають адреси: 7 шляхів

1. Витоки даних і списки паролів, складені на їхній основі.
2. Продаж і передавання списків через брокерів даних і «партнерів».
3. Збирання адрес із вебсторінок, профілів у соцмережах і коду.
4. Вгадування поширених імен, особливо на доменах, що приймають будь-яку адресу.
5. Чужі адресні книги: завантаження контактів, шкідливі програми й довгі ланцюжки листів із копіями.
6. Старі записи WHOIS, зроблені до 2018 року.
7. Підтвердження: зображення для відстеження, переходи за посиланнями, відповіді й порожні тестові листи, які доводять, що адреса працює.

Витоки баз даних і комбо-списки

Коли компанію зламують, разом з іншими даними може витекти й список її клієнтів — незалежно від того, чи ви ще користуєтеся сервісом. Станом на 25 вересня 2026 року Have I Been Pwned (HIBP) налічував 1 038 витоків і понад 17,8 млрд записів про скомпрометовані облікові записи. У цьому підсумку адресу враховано стільки разів, у скількох витоках вона є, тож він показує кількість облікових записів, а не людей. Знайдіть там свою адресу, щоб побачити, у які витоки вона потрапила, коли вони сталися і які дані розкрито. Якщо її немає в жодному, імовірніше, адресу продали у складі списку, зібрали із сайту або вгадали.

Адреси з витоків використовують повторно. Комбо-списки (combo lists) — це пари «адреса е-пошти — пароль», зібрані з попередніх витоків і використовувані для підбору облікових даних (credential stuffing), тобто для спроб увійти з тим самим паролем на інших сайтах. HIBP описує Collection #1 (2019) як «773 мільйони унікальних адрес е-пошти разом із паролями, які ці адреси використовували на інших зламаних сервісах». Третє джерело — журнали викрадачів даних (stealer logs): шкідлива програма на зараженому пристрої записує «адреси е-пошти, паролі й сайт, на якому їх вводять під час входу».

Чи можна це закрити? Ні. Але можна обмежити те, що розкриє один витік: унікальний пароль для кожного сайту, двохетапна перевірка в обліковому записі е-пошти й окрема адреса для кожної компанії, щоб витік розкрив одну запасну адресу, а не основну. Безкоштовні сповіщення HIBP Notify Me повідомлять вам про наступний.

Продаж списків, брокери даних і «наші партнери»

Федеральна торгова комісія США (FTC) каже прямо: «Коли ви даєте компанії свою адресу е-пошти, вона може передати або продати її третім особам». Форми реєстрації живлять ту саму торгівлю. Агентство з кібербезпеки та безпеки інфраструктури США (CISA) зазначає, що пункти про отримання листів щодо інших продуктів іноді позначено за замовчуванням, «тож якщо ви не знімете позначки, то можете почати отримувати листи й із цих списків». Розіграші призів, платні опитування й пропозиції подарункових карток теж постачають адреси: за словами HIBP, списки для спам-розсилок часто збирають, «виманюючи в людей персональні дані обіцянкою грошової винагороди».

Хто купує адреси е-пошти? Маркетологи купують їх у продавців списків і брокерів даних (компаній, що збирають і перепродують персональні дані), а спамери — один в одного: FAQ Spamhaus для користувачів серед джерел називає адреси, «куплені в інших спамерів». Бізнесові списки — окремий товар. 2016 року в мережу потрапив список понад 33 мільйонів працівників американських корпорацій із сервісу NetProspex компанії Dun & Bradstreet, і D&B вважала, що його втратив клієнт, який цей список купив.

У США закон CAN-SPAM не вимагає згоди на надсилання маркетингових листів. Але щойно ви відмовитеся від них, компанія має припинити писати вам протягом 10 робочих днів, а з моменту вашого запиту вона «не може продавати чи передавати» вашу адресу.

Чи можна це закрити? Частково. Знімайте заздалегідь поставлені позначки, відписуйтеся від маркетингових розсилок, яких не читаєте, і давайте кожній компанії окрему адресу, щоб наступний продаж показав, хто його здійснив. У статті Хто продав вашу пошту: як знайти джерело витоку докладно розібрано заголовки листів, перевірку витоків і запити на доступ до даних.

Збирання адрес: сайти, профілі й код

«Спамери можуть зібрати будь-яку адресу е-пошти, опубліковану на сайті», — попереджає CISA. В експерименті FTC 2002 року 86% адрес, розміщених на вебсторінках, отримали спам протягом шести тижнів, а одна адреса, опублікована в чаті, отримала спам через дев’ять хвилин після першого використання (результати передруковано ICANN). Місце на сторінці не мало значення: «якщо в адресі був знак „@“, на неї приходив спам».

Профілі збирають масово. За даними HIBP, 2021 року зловмисники зібрали сотні мільйонів публічних профілів LinkedIn і отримали близько 125 мільйонів унікальних адрес е-пошти. Також зловмисники зловживали API Twitter, який зіставляв адреси е-пошти з обліковими записами, і 2023 року в мережі з’явилося понад 200 мільйонів записів, зібраних у такий спосіб.

Публічний код теж розкриває адреси: кожен коміт Git містить адресу е-пошти автора. На GitHub відкрийте «Settings → Emails» (Налаштування → Адреси е-пошти), позначте «Keep my email addresses private» (Не показувати мої адреси е-пошти) і «Block command line pushes that expose my email» (Блокувати push із командного рядка, які розкривають мою адресу), а потім налаштуйте Git на своєму комп’ютері на показану там адресу @users.noreply.github.com. Коміти, зроблені до цієї зміни, «і далі пов’язані з вашою попередньою адресою е-пошти» (документація GitHub). Повні інструкції є в розділі Як прибрати свою адресу з комітів GitHub і GitLab.

Чи можна це закрити? На майбутнє — так. Не публікуйте основну адресу на відкритих сторінках, використовуйте замість неї контактну форму чи окрему адресу й налаштуйте профілі в соцмережах так, щоб вашу адресу е-пошти бачили лише люди, яким ви довіряєте, як радить CISA. Те, що вже зібрано, залишається в обігу.

Вгадування: чи можуть спамери просто вгадати вашу адресу?

Так, і для цього не потрібен жоден список. Комітет ICANN з безпеки описав цей метод 2007 року: спамери пробують «окремі та поєднані поширені імена й прізвища» або всі можливі комбінації символів і залишають собі ті адреси, які приймає поштовий сервер. Це називають атакою зі збирання каталогу (directory harvest attack). В одному з тестів комітету 70% спаму надійшло на адреси тестових доменів, які ніде й ніколи не публікувалися. Найлегші цілі — короткі поширені імена, а шаблон компанії first.last@example.com дає змогу будь-кому скласти адреси її працівників.

Адреса catch-all приймає кожну спробу. Якщо ваш власний домен доставляє пошту на будь-яку адресу, листи на admin@example.com і info@example.com дійдуть до вас, навіть якщо ви ніколи ними не користувалися. FAQ addy.io попереджає, що «спамери й боти часто пробують випадкові адреси е-пошти», а cPanel зазначає, що catch-all «може отримувати велику кількість спаму», коли спамери атакують домен. Усі плюси й мінуси докладно розібрано в статті Адреса catch-all: що це, як працює і які ризики.

Чи можна це закрити? Частково. Коротку поширену адресу й надалі можна вгадати, але наступна не мусить бути такою: виберіть адресу, яку важко вгадати, як радить британське Управління Інформаційного комісара (ICO). На власному домені вимкнений catch-all не пропускатиме до вас листи на вгадані адреси. Якщо ви його залишаєте, блокуйте вгадані імена у свого поштового провайдера. Наприклад, у Cloudflare Email Routing (маршрутизація пошти) відкрийте «Compute → Email Service → Email Routing → Routing Rules» (Обчислення → Поштовий сервіс → Маршрутизація пошти → Правила маршрутизації) і додайте для цієї адреси правило з дією «Drop» (Відкинути), яка «видаляє листи, що відповідають правилу, не маршрутизуючи їх». Cloudflare зазначає, що для відправників адреса й далі виглядає дійсною; надішліть тестовий лист, щоб переконатися, що правило має пріоритет над catch-all.

Чужі адресні книги й поштові скриньки

Ваша адреса є в контактах кожного, кому ви писали, і ці копії поза вашим контролем.

• Завантаження контактів. Коли хтось синхронізує контакти з Facebook, Messenger чи Instagram, Meta щодня завантажує «імена, номери телефонів і адреси е-пошти з їхньої адресної книги», зокрема дані людей, які не користуються застосунками Meta. Саме по собі це не передає адресу спамерам, але, за словами Meta, до вересня 2019 року збирачі даних зловживали її інструментом імпорту контактів, щоб зіставляти номери телефонів з обліковими записами.
• Шкідливі програми на чужому комп’ютері. Шкідлива програма Emotet могла «збирати адреси е-пошти з Outlook» і перехоплювати справжні ланцюжки листів, щоб поширюватися (попередження CISA AA20-280A).
• Ланцюжки з копіями й списки розсилки. Довгий пересланий лист містить усі адреси з ланцюжка, а комітет ICANN з безпеки описував, як спамери підписуються на списки розсилки, щоб збирати адреси із заголовків From, Reply-To і Cc.
• Вас підписує хтось інший. У довідці Gmail описано, як люди використовують вашу адресу, «щоб підписатися на листи, як-от рекламні пропозиції чи розсилки», випадково або навмисно.

Чи можна це закрити? Не напряму. Для групових листів використовуйте приховану копію (Bcc), видаляйте чужі адреси з ланцюжка, перш ніж пересилати його, і просіть інших робити так само.

Старі записи WHOIS

Раніше в записах про реєстрацію доменів публікували адресу е-пошти власника. 2007 року комітет ICANN з безпеки дійшов висновку, що адреса у WHOIS «практично гарантує, що спам надходитиме».

Здебільшого цей шлях закрито. З 25 травня 2018 року Тимчасова специфікація ICANN (Temporary Specification) зобов’язала реєстраторів приховувати контактні дані для реєстрацій, пов’язаних з Європою, і дозволила робити це всюди, пропонуючи натомість адресу-посередника або вебформу. Дослідження Interisle 2021 року показало, що лише 13,5% загальних доменів, як-от .com, досі вказували справжнього реєстранта. Постійна Політика щодо реєстраційних даних ICANN (Registration Data Policy), чинна з 21 серпня 2025 року, зберігає ту саму модель.

Цей шлях досі існує там, де ви погодилися на публікацію, у реєстраторів, які публікують дані організацій або реєстрантів поза Європою, за власними правилами деяких національних доменів і в платних архівах записів, зроблених до 2018 року.

Чи можна це закрити? Здебільшого він уже закритий за замовчуванням. Якщо у вас є домен, перевірте його в ICANN Lookup, щоб побачити, які дані публічні, не вимикайте опцію приватності в реєстратора доменів і не погоджуйтеся публікувати свої контактні дані.

Підтвердження: відкриття, переходи, відповіді й порожні листи

Адреса, про яку відомо, що вона працює, коштує дорожче. Спамери «продають живі адреси дорожче, як „підтверджено доставні“, ще іншим спамерам», — ідеться у FAQ Spamhaus для користувачів. Адреси підтверджують через:

• Зображення для відстеження. «Коли ваш поштовий клієнт завантажує зображення з їхнього вебсервера, спамери знають, що ви відкрили лист» (CISA).
• Переходи за посиланнями й відповіді. Будь-який перехід чи відповідь, зокрема прохання «вилучіть мене», підтверджує, що адресу хтось читає.
• Посилання для відписки. Стандарт відписки одним натисканням, RFC 8058, зазначає, що відписка «дає відправникові вагомий натяк, що адреса, на яку надіслали лист, дійсна».
• Порожні листи. «Щоб перевірити, чи дійсні адреси е-пошти, спамери часто надсилають листи без тексту й без теми», — сказано в довідці Gmail. На робочі адреси згодом приходить спам.

Чи можна це закрити? Так. На листи від незнайомців не відповідайте, не переходьте за посиланнями й не відписуйтеся; позначайте їх як спам. Для брендів, які ви знаєте або на розсилку яких підписувалися, користуйтеся кнопкою відписки у своєму поштовому застосунку, як радить Gmail (там вона називається «Скасувати підписку»), або посиланням для відмови в самому листі, як радить ICO; у статті коли посилання для відписки безпечні є правило для кожного типу відправника.

Потім не дайте зображенням вас видати. У програмі «Пошта» на iPhone (iOS 27) відкрийте «Параметри > Програми > Пошта > Захист приватності» й увімкніть «Захищати дії з Поштою»: ця функція завантажує зображення приватно у фоновому режимі, тож відправник не може дізнатися, чи і коли ви прочитали лист (посібник Apple). У Gmail на комп’ютері відкрийте «Settings > See all settings» (Налаштування > Переглянути всі налаштування), у пункті «Images» (Зображення) виберіть «Ask before displaying external images» (Запитувати перед показом зовнішніх зображень) і натисніть «Save Changes» (Зберегти зміни) (довідка Google). Жодне з цих налаштувань не стосується посилань і вкладень. У статті Як заблокувати пікселі відстеження є кроки для інших поштових застосунків і пояснення, що кожен із них усе ще розкриває.

Як зрозуміти, яким шляхом спам потрапив до вас

Bcc приховує інших одержувачів, а довідка Gmail зазначає, що «спамери іноді додають випадкові адреси е-пошти в поле „Bcc“, щоб спонукати людей відповісти», тож не відповідайте.

Чи існує список спаму, який можна перевірити або з якого можна вийти?

Офіційного списку одержувачів спаму немає, і вийти зі списків самих спамерів неможливо. Але можна перевірити, чи потрапила ваша адреса до списку для спам-розсилки, що витік у мережу: знайдіть її на Have I Been Pwned, де станом на 25 вересня 2026 року є 16 таких списків. Найбільші з них — Onliner Spambot (711 мільйонів адрес, 2017) і River City Media (393 мільйони, 2017). Якщо одна з цих назв є серед ваших результатів, ваша адреса була в спамера.

Чорні списки (blocklists) — це інше: вони відстежують, звідки надходить спам. Spamhaus визначає такий список як «базу даних, що містить IP-адреси, домени або хеші», кожен із яких потрапив туди, бо його помітили на розсиланні спаму чи іншій шкідливій діяльності, або через погану репутацію. Його Hash Blocklist може містити адреси е-пошти, але це адреси, які надсилають спам або згадуються в ньому, як-от зламаний обліковий запис. Сервіси перевірки чорних списків, як-от Blacklist Check від MxToolbox, перевіряють IP-адресу поштового сервера, а не вашу адресу е-пошти.

Не допоміг би й реєстр заборони на листи (do-not-email). 2004 року FTC повідомила Конгрес, що такий реєстр, імовірно, дав би зворотний ефект, бо «спамери використовували б його як довідник дійсних адрес е-пошти» (FTC). Платні сервіси, що обіцяють вилучити вас зі списків спамерів, Spamhaus називає «у кращому разі шахрайством, а в гіршому — системою підтвердження „живих адрес“ для спамера».

Найближчі реальні варіанти діють на компанії, які дотримуються закону, а не на спамерів. Станом на вересень 2026 року:

• DROP у Каліфорнії (Delete Request and Opt-out Platform, платформа запитів на видалення й відмову) дає змогу жителям Каліфорнії надіслати один безкоштовний запит на видалення понад 600 зареєстрованим брокерам даних, які мають обробляти запити щонайменше раз на 45 днів. Вона не охоплює компаній, з якими ви мали справу безпосередньо (умови DROP).
• Email Preference Service Асоціації національних рекламодавців (Association of National Advertisers), посилання на який є на DMAchoice.org, безкоштовний і діє 10 років (FTC), але охоплює лише маркетологів, які використовують його для чищення своїх списків.

Що можна зробити, знаючи лише вашу адресу е-пошти?

Без вашого пароля — менше, ніж ви, можливо, побоюєтеся. Маючи лише адресу, людина може:

• надсилати фішингові листи, що виглядають справжніми, особливо з подробицями з витоку
• пробувати паролі, що витекли з інших сайтів, для входу у ваші облікові записи
• дізнаватися, якими сервісами ви користуєтеся, як колись дозволяв API Twitter
• підписувати вас на листи, яких ви ніколи не просили
• перепродати її, і дорожче, щойно підтвердиться, що вона активна

Навіщо шахраєві ваша адреса е-пошти?

Бо це перший крок до вашої поштової скриньки, а зловмисник, який потрапив у ваш обліковий запис е-пошти, може «скинути паролі всіх ваших інших облікових записів». Національний центр кібербезпеки Великої Британії (NCSC) радить установити для пошти надійний окремий пароль і двохетапну перевірку.

Спам, у якому відправником указано вашу власну адресу, не доводить, що хтось проник в обліковий запис, бо рядок From легко підробити. У статті Як перевірити, чи зламали ваш обліковий запис е-пошти покроково описано перевірки для Gmail, Outlook.com і Пошти iCloud.

Чи безпечно давати свою адресу е-пошти?

Зазвичай так. Адреса — не пароль, і знаючи її, ніхто не відкриє ваш обліковий запис. Давайте основну адресу людям і компаніям, на які ви покладаєтеся, наприклад своєму банку. Для магазинів, розсилок і реєстрацій, потрібних лише раз, окрема адреса для кожної компанії захищає основну від витоків і продажу списків, а основну адресу взагалі не варто публікувати відкрито.

Як захиститися від спаму на електронну пошту: які шляхи можна закрити

Окремі адреси для кожної компанії можна отримати кількома способами. CatchNone дає кожній компанії власний псевдонім, тримає ці листи поза вашими основними «Вхідними» й позначає кожен лист псевдонімом, на який він прийшов, тож витік чи продаж адреси одразу видно. Адресацію з плюсом (plus addressing) почати швидше, якщо ваш провайдер її підтримує (you+shop@example.com), але будь-хто може видалити мітку після знака «+», тож вона вкаже на джерело витоку, лише якщо відправник не завдасть собі клопоту її прибрати. «Сховати мою е-адресу» (Hide My Email) від Apple (частина iCloud+), DuckDuckGo Email Protection та інші сервіси псевдонімів електронної пошти (email alias) пересилають листи до ваших «Вхідних». Підійде й catch-all на власному домені, з тим компромісом щодо вгадування, про який ідеться вище. Відмінності описано в статті Порівняння сервісів поштових псевдонімів.

Яке місце тут займає CatchNone

CatchNone допомагає на тих шляхах, які починаються з того, що ви самі комусь даєте адресу. Кожен магазин, розсилка чи обліковий запис отримує власний поштовий псевдонім, а кожен лист позначено псевдонімом, на який він прийшов, тож адреса з витоку чи проданого списку сама вказує на джерело. Вкладка «Активність» указує на листи на невикористовуваний псевдонім і на відправників, які пишуть уперше, а віддалені зображення, зокрема більшість пікселів відстеження, залишаються заблокованими, доки ви їх не завантажите. Для адрес @catchnone.com потрібен план Premium; їх призначають випадково, як-от abcde-12345@catchnone.com, тож їх ніхто не вгадає. Листи на неіснуючі там адреси приймаються й відкидаються, тож той, хто вгадує, нічого не дізнається, а якщо вимкнути адресу, яка потрапила у витік, відправники отримуватимуть повернення листа. На власному домені листи на вгадані адреси catch-all з’являються під адресою, на яку прийшли, із сірою позначкою, тож спам, розісланий за словником, легко помітити. Завантажте CatchNone — він доступний для iPhone, iPad і Mac.

CatchNone лише отримує пошту й не є спам-фільтром: він тримає листи від реєстрацій в окремому застосунку, подалі від ваших основних «Вхідних», і показує, на який псевдонім надійшов кожен лист. На власному домені позначка «Не використовується» для псевдоніма — це лише мітка, тож блокуйте адреси у свого поштового провайдера.

Поширені запитання

Звідки спамери знають мою адресу е-пошти, якщо я її нікому не даю?

Найімовірніше, її вгадали, зібрали зі сторінки, профілю чи коміту, де вона була опублікована, взяли з чиєїсь адресної книги або отримали від компанії, у якій ви колись зареєструвалися й забули про це, — через витік у цій компанії чи продаж списку. Таблиця ознак допоможе зіставити те, що ви бачите, з імовірним шляхом.

Звідки незнайомі компанії знають мою адресу е-пошти?

Зазвичай від компанії, з якою ви таки мали справу і яка передала або продала адресу «партнерам», часто після того, як під час реєстрації ви залишили заздалегідь поставлену позначку. Адреси збирають і продають також брокери даних. Посібник, на який є посилання в розділі про продаж списків і брокерів даних, показує, як з’ясувати, що це була за компанія.

Звідки спамери беруть мою робочу адресу е-пошти?

Зі списків ділових контактів, які продають маркетологам, із сайту вашого роботодавця й вгадуючи шаблон, за яким там складають адреси з імен. HIBP містить кілька бізнесових списків, що потрапили у витоки, як-от B2B USA Businesses, де адреси було впорядковано за роботодавцем і посадою. У Великій Британії, за словами ICO, організації можуть надсилати маркетингові листи на робочу адресу без згоди, якщо тільки адреса не ідентифікує вас особисто; у такому разі ви можете попросити їх припинити.