邮箱泄露检测：5 步查出是谁卖了或泄露了你的邮箱地址

只有当你给某家公司的地址是别人都没有的，你才能确切查出是谁卖了或泄露了你的邮箱地址。如果是一个用了多年的主邮箱，你通常只能缩小范围，而无法指认元凶：这个地址存在于几十个客户数据库里，而一封垃圾邮件很少能追溯到把它放出去的那一家。你能查清的是：谁在给你发邮件、通过哪个服务发送；通过邮箱泄露检测，看是否有公司在已知的数据泄露事件中泄露了你的地址；以及在欧盟和英国，公司会怎样说明它是从哪里得到你的地址的。CatchNone 让“每家公司一个地址”成为默认做法，适用于 iPhone、iPad 和 Mac：每封邮件都会标出它送达的别名，所以下一次泄露就会指明来源。

具体步骤如下：

1. 找到第一封不想要的邮件，以及它送达的确切地址。
2. 查看它的邮件头，确定发件人和它使用的邮件发送服务。
3. 在 Have I Been Pwned 上查询，看这个地址是否出现在某次数据泄露中。
4. 询问发件人从哪里得到你的地址，并询问你怀疑的公司把你的地址给了哪些公司。
5. 从现在起，给每家公司一个单独的地址。

能查出是谁卖了你的邮箱地址吗？

有时可以。这取决于你手上有什么证据：

• 邮件头能显示是谁发送了邮件、通过哪个服务发送（通过验证的 DKIM 签名可以证明是哪个域名签的名），但不能说明名单从哪里来。
• 数据泄露记录能证明某一家公司丢失了你的地址，但不能排除其他公司。
• 法律请求可以让公司说出它所知道的来源信息，前提是它知道（在加利福尼亚州，只需说明类别）。
• 只给过一家公司的随机地址会直接指向来源：只要有其他人往这个地址发邮件，就说明地址是从那家公司流出的，无论是被出售、被共享还是被盗。

垃圾邮件突然激增也可能有其他原因，参见为什么垃圾邮件会突然增多。至于地址最初是怎样通过出售、数据泄露、网络抓取和猜测扩散出去的，参见垃圾邮件发送者如何获取邮箱地址。

第 1 步：找到第一封邮件和它送达的地址

搜索这个陌生的发件人，找到最早的一封：第一封邮件离你的地址易手的时间点最近。仔细看它具体发到了哪个地址，以及它怎么称呼你。一个旧地址或你只用过一次的拼错的地址、带 +tag 的地址变体、某个注册表单里拼错的你的名字，或者只有一家公司知道的某个细节，都会指向一个来源。

在欧盟和英国，还要读一读这第一封邮件的页脚和隐私链接。根据 GDPR（第 14 条），从他人处获得你数据的公司必须告诉你“个人数据来源于何处”。如果它用这些数据联系你，期限是“最迟在首次通信时”。如果第一封邮件没有说明，请在第 4 步的请求中指出这一点。

第 2 步：分析邮件头

邮件头是邮件上方隐藏的几行信息。它们写明了发件人和投递这封邮件的服务，由此你就知道第 4 步该写信给谁。

如何查看邮件头

以下路径来自各厂商的帮助页面，截至 2026 年 9 月：

Gmail 的快捷方法：在网页版中，点击发件人姓名下方的 Down arrow（向下箭头），即可看到 Mailed by（发送方）和 Signed by（签名方），也就是发送和签署这封邮件的域名。

邮件头分析示例

下面是一组经过删减的示意性邮件头。你的地址是 k7qm-2xrd@example.com，这是一个你只给过一家园艺店的随机地址。品牌是 dealsdaily.example.net，mailer.example.org 是它使用的邮件发送服务。

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

在这个例子中，发件人是 Deals Daily，通过 mailer.example.org 发送，而邮件送达的是你只给过园艺店的那个随机地址，所以地址就是从园艺店流出的。邮件头无法说明 Deals Daily 是怎么拿到这个地址的：它们只会写出发件人，从不写出卖家。ICANN Lookup 可以显示陌生域名的注册记录，不过所有者信息大多已被隐去。

第 3 步：做一次邮箱泄露检测，看它是否在数据泄露中流出

Have I Been Pwned（HIBP）会显示某个地址出现在哪些数据泄露和垃圾邮件名单中。截至 2026 年 9 月 25 日，它收录了 1,038 个发生数据泄露的网站和超过 178 亿个泄露账户（一个地址出现在几次泄露中，每次都会单独计数）。

• 数据泄露（breach）会写明丢失数据的服务及时间：如果垃圾邮件恰好在那之后不久开始出现，这就是一条有力的线索。
• 垃圾邮件名单（spam list）表示你的地址出现在了用于定向发送垃圾邮件的数据中。这些名单“往往汇总自多个来源”，所以很少能指出最初的公司。来自粘贴（paste）的记录，以及被 HIBP 标记为伪造或未经验证的泄露，可信度更低。
• 敏感泄露（sensitive breach）只有在你登录并验证你能在该地址收到邮件后才会显示。

查询结果干净，只说明这个地址不在 HIBP 已收录的数据泄露中，并不说明没有人出售过它。开启免费的 Notify Me（通知我）提醒。如果你在自有域名上给每家公司用不同的地址，验证域名后，Domain Search（域名搜索）会显示其中哪些地址出现在哪次泄露中（较大的域名通常需要订阅）。一些旧指南推荐的 Google dark web report（暗网报告）已于 2026 年初停止提供。

第 4 步：直接询问相关公司

欧盟和英国：问清地址从哪里来、又流向了哪里

查阅权让你可以向两家公司分别提出两个问题：

• 问发件人从哪里得到你的地址。GDPR 第 15 条第 1 款 (g) 项让你有权获得“关于其来源的任何可用信息”，而欧洲数据保护委员会认可的透明度指南指出，从其他地方获得你数据的公司应说明具体来源，除非它做不到。
• 问你怀疑的公司把你的地址给了哪些公司。针对第 15 条第 1 款 (c) 项，欧盟法院在 Österreichische Post 案（C-154/21）中裁定，公司必须应请求说出实际的接收方，除非它尚无法确定接收方，或者请求明显没有根据或过度。英国的数据保护监管机构 ICO 表示，在英国 GDPR 下也是如此。

这两种请求都不能迫使任何人说出卖家：公司可以说它不知道，或者数据来自多个来源（序言第 61 条），不过闪烁其词的答复可以作为投诉的理由。请使用各公司隐私声明中的联系方式；至于纯粹的垃圾邮件发送者，就不要理会了，因为回复会让对方确认你的地址有效。

下面是一封可以直接复制的请求（写给你怀疑的公司时，删去第 4 项）：

主题：根据 GDPR 第 15 条提出的查阅请求

根据 GDPR（或英国 GDPR）第 15 条，关于我的电子邮件地址 you@example.com，请告诉我：

1. 你们从哪里获得了这个地址，并写明具体来源（第 15 条第 1 款 (g) 项）。
2. 你们向哪些接收方披露了这个地址，请写明名称（第 15 条第 1 款 (c) 项）。
3. 你们持有我的哪些个人数据，并提供一份副本。
4. 为什么你们在 [日期] 发给我的第一封邮件没有写明该来源（第 14 条第 2 款 (f) 项和第 14 条第 3 款 (b) 项）。

我同时反对直接营销（第 21 条）。请在一个月内答复（第 12 条第 3 款）。

[你的姓名]

答复通常是免费的（期限见下表）。一旦你反对直接营销，你的数据就不能再用于直接营销。

在英国，如果对方没有答复或答复闪烁其词，先向该公司投诉：对于 2026 年 6 月 19 日以来提出的投诉，《数据（使用和访问）法》（Data (Use and Access) Act）要求公司在 30 天内确认收到你的投诉。然后，在你与该公司最后一次实质性联系后的三个月内，向 ICO 投诉。在欧盟，第 77 条允许你向数据保护机构投诉。

美国：加利福尼亚州和俄勒冈州

在加利福尼亚州，CCPA“知情权”请求会返回来源类别和第三方类别，以及企业持有的个人信息，但不会说出是谁卖了你的地址。答复是免费的。你还可以要求企业停止出售或共享你的数据，或要求它删除从你那里收集的数据。这部法律只适用于超过特定门槛的企业，例如年收入超过 26,625,000 美元（截至 2026 年 9 月）。

如果你住在俄勒冈州，受该州隐私法约束的公司必须应请求提供一份它向其披露过数据的具体第三方名单，不过它可以列出接收过任何个人数据的第三方，而不是专门列出接收过你的数据的第三方（ORS 646A.574）。这些权利来自州法律，所以你能提出什么要求取决于你住在哪里。

加利福尼亚州居民还可以使用 DROP（Delete Request and Opt-out Platform，删除请求与退出平台），向所有已登记的数据经纪商（收集并转卖个人信息的公司）一次性发送删除请求。该平台于 2026 年 1 月 1 日开放；自 2026 年 8 月 1 日起，数据经纪商必须至少每 45 天处理一次请求。它只能触达数据经纪商，也就是与你没有直接关系的企业，而不是你留下地址的那家商店。

任何人都可以查询加利福尼亚州、佛蒙特州、得克萨斯州和俄勒冈州的数据经纪商登记册。用发件人的公司名称和第 2 步中找到的域名去查。如果查到匹配结果，就说明发件人是已登记的数据经纪商；如果你住在加利福尼亚州，DROP 就能触达它。

每种请求能帮你得到什么

任何地区：邮件发送服务

在 DKIM-Signature d=、Return-Path 或 List-Unsubscribe 中出现的邮件发送服务有自己的规则。例如，Mailchimp 的 Acceptable Use Policy（可接受使用政策）禁止向“任何形式的购买、租用、第三方、联合注册（co-reg）、公开数据或合作伙伴名单”发送邮件，其滥用举报部门要求提供“完整的邮件头”（两者均于 2026 年 9 月 25 日核实）。把完整的邮件头发给该服务的滥用举报部门。它不会告诉你是谁卖了你的地址，但可以阻止发件人继续使用它的服务。

查清之后怎么办

• 停用这个地址。给泄露地址的公司一个新地址，或者注销账户，然后关闭或删除旧地址。在所有查阅请求得到答复之前，先让旧地址保持可用，因为答复或身份核验可能会发到这个地址。如果这是你的主地址，就用过滤规则。
• 让邮件停下来。发送第 21 条规定的反对通知（欧盟、英国），退订合法美国发件人的邮件，或者选择退出出售和共享并使用 DROP（加利福尼亚州）。如果你以前退订失败过，请阅读为什么退订不管用。
• 举报它：在美国通过 ReportFraud.ftc.gov 举报，在英国通过 ICO 的垃圾邮件举报工具举报（它不会逐一回复），或者向邮件发送服务的滥用举报部门举报，并在你的邮件 App 中把它标记为垃圾邮件。
• 如果是数据泄露，还要保护好相关账户（见常见问题）。

公司会出售你的邮箱地址吗？这合法吗？

是的，有些公司会。美国联邦贸易委员会（FTC）表示：“当你把电子邮件地址提供给一家公司时，它可能会与第三方共享或出售给第三方。”在美国，联邦法律允许这样做，直到你选择退出为止。在英国和欧盟，公司要用买来的名单给你发邮件，需要征得你的同意；在英国，出售名单通常也需要你的同意。

• 美国：根据联邦 CAN-SPAM 法案，公司给你发送营销邮件无需征得你的同意。你选择退出后，它必须在 10 个工作日内停止，并且不得出售或转让你的地址。加利福尼亚州另外规定了选择退出出售的权利，而且该州所说的“出售”包括出租数据，或以“其他有价对价”提供数据，所以即使不涉及金钱，与合作伙伴交换数据也可能算作出售。“共享”是另一个术语，指跨情境行为广告（cross-context behavioral advertising）。
• 英国：根据《隐私与电子通信条例》（PECR），公司只有在名单上的人“明确同意接收该类信息”（且来自该公司）时，才能给买来的名单上的人发邮件；笼统地同意接收任何第三方的信息是不够的，而出售名单通常需要名单上的人同意（ICO 指南，在《数据（使用和访问）法》出台后正在修订）。企业邮箱地址适用不同的规则。
• 欧盟：《电子隐私指令》只允许在“事先同意”的情况下发送营销邮件，但卖家向自己的客户推销类似产品的情况除外，而买名单的人无法利用这一例外。

为什么加号技巧只是薄弱的证据

所谓“Gmail 技巧”，就是用带标签的地址注册，例如把 you@example.com 写成 you+shopname@example.com，然后看哪个标签出现在垃圾邮件里。Google 自己的说明就暴露了它的弱点：“发送到你当前地址或任何带加号的变体地址的邮件，都会送达你当前的收件箱。”

• 你的真实地址一览无余。删掉标签，邮件照样能送达你，证据也就没了。
• 标签对发件人毫无意义。只有你的邮件服务商会解读 @ 前面的部分（RFC 5321，§2.3.11），而且分隔符因系统而异（RFC 5233）。
• 它能证明的比看上去少。垃圾邮件里出现带标签的地址，只能说明地址是从那家公司流出的，不能说明它是被出售、被共享还是因数据泄露而流出。而如果没有收到带标签的垃圾邮件，也不能排除任何人：标签可能只是被删掉了。

点号技巧，也就是给一家公司用 your.name 注册、给另一家用 yo.urname 注册，作为证据就更弱了：Gmail 会忽略个人地址中的点号，所以任何人都能把点号去掉（在工作或学校账户中，点号确实有区别）。加号地址（plus addressing）仍然很适合用来过滤邮件；加号地址指南介绍了它在哪些地方可用。

第 5 步：让下一次泄露自己暴露来源

可靠的方法是着眼于以后：给每家公司一个单独的地址，而且这个地址不包含你的真实地址。如果你只给过一家商店的地址收到了其他人的邮件，你就知道地址是从哪里流出的，并且可以只关闭这一个地址。

• CatchNone 为每家公司提供一个专属别名，并为每封邮件标出它送达的别名，所以无需分析邮件头，就能看出哪个地址被卖了。@catchnone.com 地址需要 Premium；你拥有的域名在“免费方案”中也能使用。
• 别名服务，例如 Apple 的“隐藏邮件地址”（需要 iCloud+）、DuckDuckGo Email Protection、SimpleLogin、addy.io 和 Firefox Relay，会把邮件转发到你的收件箱。邮件别名服务比较介绍了它们之间的区别。
• 自有域名上的 catch-all 邮箱会接收发往该域名下任何地址的邮件，所以你可以每次注册时编一个新地址。例如 Cloudflare Email Routing（邮件路由）在免费和付费方案中都可以使用（截至 2026 年 9 月），并且提供 catch-all 规则。关于其中的利弊，请参见什么是 catch-all 邮箱地址。

优先使用随机地址，而不是 gardenshop@example.com 这类容易猜到的地址，因为垃圾邮件发送者可能会在 catch-all 域名上自己编出这样的地址；另外，记下每个地址给了谁。

CatchNone：每封邮件都显示它送达的地址

CatchNone 正是为第 5 步设计的。你为每家商店、每个邮件订阅或每个账户各设一个别名，App 中的每封邮件都会标出它送达的别名。当陌生人给你只留给那家园艺店的地址发来邮件时，这个标记就会指明地址是从哪里流出的，无需分析邮件头。“活动”会指出发往你标记为“未使用”的别名的邮件以及首次来信的发件人；你还可以停用已泄露的 @catchnone.com 地址，让发件人收到退信，而你的其他别名照常可用。

订阅 Premium 后，你可以获得随机的 @catchnone.com 地址，例如 abcde-12345@catchnone.com，无需设置域名、DNS 或邮箱，即使是密送（Bcc）的邮件也能对应到别名。你也可以使用一个自有域名，前提是你的邮件服务商已经把这个域名的邮件投递到某个收件箱：App 会通过 IMAP 或 JMAP，直接从你的设备以只读方式读取这个邮箱，“免费方案”最多 10 个别名，Lite 和 Premium 不限数量。CatchNone 现已登陆 iPhone、iPad 和 Mac。

它着眼于以后，无法回溯你以前用过的地址，也没有数据泄露数据库或泄露检测功能：这些标记和“活动”中的提示，是供你自己权衡的证据。在自有域名上，它只读取收件箱，而且只读取收件人（To）、抄送（Cc）或密送（Bcc）中写有你域名下地址的邮件，所以被归入垃圾邮件文件夹的垃圾邮件不会显示。在自有域名上把别名标记为“未使用”只是加个标记，所以请在你的邮件服务商那里屏蔽泄露的地址。@catchnone.com 邮件会在送达 30 天后删除，所以需要留作证据的邮件，请加上旗标，把全文保存在你的设备上。

常见问题

公司泄露了我的邮箱地址，该怎么办？

在 Have I Been Pwned 上查询这个地址，看它出现在哪次数据泄露中，以及还有哪些信息一起泄露了。修改该网站的密码，以及所有重复使用了这个密码的地方，并开启两步验证。要预料到会有引用泄露信息的钓鱼邮件，不要点开提到这次泄露的邮件中的链接。如果你给那家公司用的是专属地址，就停用它，再给这家公司一个新地址。

LinkedIn 或 Google 会出售我的邮箱地址吗？

两家都没有说自己会出售你的个人信息，但 LinkedIn 表示它会为跨情境广告共享你的个人信息。它的加利福尼亚州隐私披露写着“我们不出售你的个人信息”（We Do Not Sell Your Personal Information），并允许加利福尼亚州居民选择退出这种共享。Google 的 Safety Center（安全中心）表示“我们绝不会向任何人出售你的个人信息”，其隐私权政策（2026 年 5 月 26 日生效）表示，它只在列出的几种情况下与 Google 以外的各方共享个人信息，第一种就是征得你的同意。以上三个页面均于 2026 年 9 月 25 日核实。对于其他公司，请阅读其隐私政策，并把“出售”和“共享”分开看待。

谁在购买邮箱地址？

数据经纪商、名单经纪商和营销公司；上文提到的各州登记册列出了已登记的经纪商。这种交易可以是公开的：在 Österreichische Post 案中，奥地利邮政运营商表示，它会“出于营销目的向贸易伙伴”提供个人数据，后来还列出了包括“邮件列表提供商”在内的接收方。那个案件涉及的是邮政运营商持有的数据，而不是电子邮件地址。