收到垃圾邮件的原因：发送者获取邮箱地址的 7 种途径

你收到陌生的广告邮件或诈骗邮件，原因通常是垃圾邮件发送者已经拿到了你的邮箱地址。他们的来源包括：数据泄露；公司出售或共享的名单；抓取网站和公开资料；猜测常见名字；别人的通讯录；以及旧的域名注册记录。之后，他们会观察邮件是否被打开、链接是否被点击、有没有人回复，以此测试哪些地址仍在使用。即使是你从未透露过的地址，也可能因为被猜中、被抓取或出现在别人的联系人里而收到垃圾邮件，而这些途径中只有一部分是你能堵上的。对于那些始于你自己的途径，CatchNone 会为每家商店和每个邮件订阅提供一个单独的地址，并显示每封邮件送达的是哪一个，这样一旦发生数据泄露或名单买卖，就能指明来源，适用于 iPhone、iPad 和 Mac。

收到垃圾邮件的原因：发送者获取邮箱地址的 7 种途径

1. 数据泄露，以及据此整理出的密码名单。
2. 名单买卖和共享，经由数据经纪商（收集并转卖个人信息的公司）和“合作伙伴”。
3. 抓取网页、社交资料和代码。
4. 猜测常见名字，尤其是在接收任何地址的域名上。
5. 别人的通讯录：联系人上传、恶意软件和长长的抄送链。
6. 旧的 WHOIS 记录，即 2018 年以前的记录。
7. 确认：追踪图像、点击、回复和空白测试邮件，这些都能证明一个地址有效。

数据泄露与撞库名单

一家公司发生数据泄露时，它的客户名单可能随之外泄，无论你是否还在使用这项服务。截至 2026 年 9 月 25 日，Have I Been Pwned（HIBP）收录了 1,038 起数据泄露事件、超过 178 亿条遭泄露的账户记录。这个总数会把一个地址在每次泄露中都计一次，所以它统计的是账户，而不是人数。在那里搜索你自己的地址，就能看到它出现在哪些泄露事件中、事件发生的时间，以及泄露了哪些信息。如果一条都没有，那么名单买卖、网页抓取或猜测的可能性更大。

泄露的地址会被反复利用。撞库名单（combo list）是从以往泄露事件中收集来的邮箱和密码组合，用于撞库攻击，也就是拿同一个密码去其他网站尝试登录。HIBP 对 Collection #1（2019 年）的描述是：“7.73 亿个不重复的电子邮件地址，以及这些地址在其他遭泄露服务上用过的密码”。窃密日志（stealer log）是第三个来源：受感染设备上的恶意软件会记录“电子邮件地址、密码，以及登录时输入它们的网站”。

能堵上吗？不能。但你可以限制一次泄露所暴露的内容：每个网站使用不同的密码，为邮箱账户开启两步验证，并为每家公司使用单独的地址，这样一次泄露暴露的只是一个备用地址，而不是你的主邮箱。HIBP 免费的 Notify Me（通知我）提醒会在下一次泄露发生时告诉你。

名单买卖、数据经纪商与“我们的合作伙伴”

美国联邦贸易委员会（FTC）说得很直白：“当你把电子邮件地址交给一家公司时，它可能会将其共享或出售给第三方。”注册表单也在为这门生意供货。美国网络安全和基础设施安全局（CISA）指出，接收其他产品相关邮件的选项有时是默认勾选的，“所以如果你不取消勾选，你也可能开始收到来自这些名单的邮件”。抽奖、有偿问卷和礼品卡优惠同样在供货：HIBP 表示，垃圾邮件名单常常是“以金钱奖励为诱饵，诱使人们提供个人信息”汇集而成的。

谁在购买邮箱地址？营销人员向名单卖家和数据经纪商购买，垃圾邮件发送者则互相买卖：Spamhaus 面向消费者的常见问题把“从其他垃圾邮件发送者那里买来的”地址列为其来源之一。企业名单本身就是一种商品。2016 年，邓白氏（Dun & Bradstreet）旗下 NetProspex 服务的一份名单在网上泄露，其中包含美国企业界 3,300 多万人的信息；邓白氏认为，这份名单是由一位买下它的客户弄丢的。

在美国，《CAN-SPAM 法案》并不要求发送营销邮件前征得同意。不过，一旦你选择退出，公司必须在 10 个工作日内停止给你发邮件，而且从你提出要求的那一刻起，它就“不能出售或转让”你的地址。

能堵上吗？部分可以。取消勾选预先选中的选项，退出你不看的营销邮件，并给每家公司一个专属地址，这样下一次名单被卖时，你就能看出是谁卖的。如何查出是谁卖了你的邮箱地址详细介绍了邮件头、数据泄露查询和数据访问请求。

网页抓取：网站、个人资料和代码

CISA 警告说：“垃圾邮件发送者可以收集网站上公布的任何电子邮件地址。”在 FTC 2002 年的一项实验中，公布在网页上的地址有 86% 在六周内收到了垃圾邮件；一个在聊天室里公布的地址，首次使用 9 分钟后就收到了垃圾邮件（ICANN 转载的实验结果）。地址在页面上的什么位置并不重要：“只要地址里有‘@’符号，就会招来垃圾邮件。”

个人资料会被大规模抓取。据 HIBP 统计，2021 年攻击者抓取了数亿份公开的 LinkedIn 个人资料，从中得到约 1.25 亿个不重复的电子邮件地址。攻击者还滥用了 Twitter 一个能把电子邮件地址与账户对应起来的 API，以这种方式收集的 2 亿多条记录在 2023 年流出。

公开的代码同样会暴露地址：每个 Git 提交都带有作者的电子邮件地址。在 GitHub 上，前往“Settings”（设置）>“Emails”（电子邮件），选中“Keep my email addresses private”（将我的电子邮件地址设为私密）和“Block command line pushes that expose my email”（阻止会暴露我的电子邮件的命令行推送），然后在电脑上把 Git 设置为那里显示的 @users.noreply.github.com 地址。更改之前的提交“仍会与你以前的电子邮件地址关联”（GitHub 文档）。不让你的地址出现在 GitHub 和 GitLab 提交中一文有完整步骤。

能堵上吗？对今后有效。按照 CISA 的建议，不要在公开页面上放主邮箱，改用联系表单或单独的地址，并设置好社交资料，只让你信任的人看到你的邮箱。已经被抓取的地址会一直流传下去。

猜测：垃圾邮件发送者能直接猜到你的地址吗？

能，而且根本不需要名单。ICANN 的安全委员会在 2007 年描述过这种方法：垃圾邮件发送者会尝试“常见的名字和姓氏，单独使用或拼接在一起”，或者尝试所有字符组合，然后留下邮件服务器接受的地址。这叫作目录收割攻击（directory harvest attack）。在该委员会的一次测试中，70% 的垃圾邮件发往了测试域名上从未在任何地方公布过的地址。简短、常见的名字最容易被猜中，而公司的 first.last@example.com 命名规则让任何人都能拼出其员工的地址。

catch-all（发往域名任何地址的邮件都进入同一个邮箱）会接受每一次猜测。如果你自己的域名会投递发往任何地址的邮件，那么无论你是否用过 admin@example.com 和 info@example.com，发往它们的邮件都会送到你这里。addy.io 的常见问题提醒说，“垃圾邮件发送者和机器人经常尝试随机的电子邮件地址”；cPanel 也表示，当垃圾邮件发送者盯上某个域名时，catch-all“可能会收到大量垃圾邮件”。Catch-all 邮箱是什么？全面介绍了其中的利弊。

能堵上吗？部分可以。简短、常见的地址始终容易被猜中，但你的下一个地址不必如此：按照英国信息专员办公室（ICO）的建议，选一个难以猜到的地址。在你自己的域名上，关闭 catch-all，猜出来的地址就到不了你这里。如果保留 catch-all，就在你的邮件服务商那里屏蔽被猜的名字。例如在 Cloudflare Email Routing（邮件路由）中，前往“Compute”（计算）>“Email Service”（邮件服务）>“Email Routing”>“Routing Rules”（路由规则），为该地址添加一条规则，操作选“Drop”（丢弃），它会“删除与规则匹配的邮件，而不进行路由”。Cloudflare 指出，对发件人来说，这个地址看起来仍然有效；请发一封测试邮件，确认这条规则优先于你的 catch-all 生效。

别人的通讯录和收件箱

你的地址存在于每一个和你通过邮件的人的联系人里，而这些副本不在你的掌控之中。

• 联系人上传：当有人把联系人同步到 Facebook、Messenger 或 Instagram 时，Meta 每天都会上传“其通讯录中的姓名、电话号码和电子邮件地址”，其中也包括不使用 Meta 应用的人的信息。这本身并不会把地址交给垃圾邮件发送者，但 Meta 表示，2019 年 9 月之前，曾有抓取者滥用其联系人导入工具，把电话号码与账户对应起来。
• 别人电脑上的恶意软件：Emotet 恶意软件能够“从 Outlook 中抓取电子邮件地址”，并劫持真实的邮件往来进行传播（CISA 公告 AA20-280A）。
• 抄送链和邮件列表：一封长长的转发邮件会带上往来中的每一个地址；ICANN 的安全委员会还描述过垃圾邮件发送者加入邮件列表，从 From、Reply-To 和 Cc 邮件头中收集地址的做法。
• 有人用你的地址注册：Gmail 的帮助页面提到，有人会用你的地址“注册接收促销信息或简报之类的邮件”，可能是无意，也可能是故意。

能堵上吗？无法直接堵上。群发邮件时用密送（Bcc），转发之前删掉往来中其他人的地址，并请别人也这样做。

旧的 WHOIS 记录

域名注册记录过去会公开所有者的电子邮件地址。2007 年，ICANN 的安全委员会得出结论：出现在 WHOIS 中的地址“几乎注定会收到垃圾邮件”。

这条途径已基本关闭。从 2018 年 5 月 25 日起，ICANN 的 Temporary Specification（临时规范）要求域名注册商对与欧洲相关的注册隐去联系信息，并允许它们在其他所有地区也这样做，改为提供转发地址或网页表单。Interisle 在 2021 年的一项研究发现，在 .com 等通用域名中，只有 13.5% 仍写明了真实的注册人。ICANN 的永久性 Registration Data Policy（注册数据政策）自 2025 年 8 月 21 日起生效，沿用了同样的模式。

不过，在以下情况下这条途径依然存在：你同意公开信息时；注册商为机构或欧洲以外的注册人公开数据时；某些国家和地区代码域名依照自身规则公开时；以及在收费的 2018 年以前记录存档中。

能堵上吗？默认情况下基本已经关闭。如果你拥有域名，可以在 ICANN Lookup 中查询，看看哪些信息是公开的；保持注册商的隐私保护选项开启，也不要同意公开你的联系信息。

确认：打开、点击、回复和空白邮件

一个地址一旦被确认有效，就更值钱。Spamhaus 面向消费者的常见问题指出，垃圾邮件发送者会“把有效地址作为‘已确认可投递’的地址，高价卖给更多垃圾邮件发送者”。他们通过以下方式确认地址：

• 追踪图像：“当你的邮件客户端从他们的网络服务器下载这张图片时，垃圾邮件发送者就知道你打开了这封邮件”（CISA）。
• 点击和回复：任何点击或回复，包括要求“把我移除”的回复，都能证明有人在读这个地址的邮件。
• 退订链接：一键退订标准 RFC 8058 指出，退订“会向发件方强烈暗示，这封邮件的收件地址是有效的”。
• 空白邮件：Gmail 的帮助页面说：“为了检查电子邮件地址是否有效，垃圾邮件发送者经常会发送正文或主题中没有任何内容的电子邮件。”有效的地址之后就会收到垃圾邮件。

能堵上吗？能。对于陌生人发来的邮件，不要回复、点击或退订，而是举报为垃圾邮件。对于你认识或注册过的品牌，可以按 Gmail 的建议使用邮件 App 的“退订”按钮，或按 ICO 的建议使用邮件中的退出选项；退订链接什么时候是安全的一文按发件人给出了判断规则。

接下来，别让图像暴露你。在 iPhone 的“邮件”App 中（iOS 27），前往“设置”>“App”>“邮件”>“隐私保护”，打开“保护‘邮件’活动”。它会在后台以私密方式载入图像，让发件人无法得知你是否读过、何时读过邮件（Apple 使用手册）。在电脑上的 Gmail 中，前往“设置”>“查看所有设置”，将“Images”（图片）设为“Ask before displaying external images”（显示外部图片前询问），然后点击“Save Changes”（保存更改）（Google 帮助）。这两项设置都不涵盖链接或附件。如何阻止追踪像素介绍了其他邮件 App 的设置步骤，以及每款 App 仍会暴露哪些信息。

怎样判断垃圾邮件走的是哪条途径

密送会隐藏其他收件人。Gmail 的帮助页面还指出，“垃圾邮件发送者有时会在‘密送’字段中添加随机的电子邮件地址，试图诱使人们回复”，所以不要回复。

有没有可以查询或退出的垃圾邮件名单？

并不存在官方的垃圾邮件收件人名单，也没有办法让自己从垃圾邮件发送者自己的名单上除名。你可以查查自己的地址是否出现在某份泄露出来的垃圾邮件发送者名单中：在 Have I Been Pwned 上搜索即可，截至 2026 年 9 月 25 日，它收录了 16 份这样的名单。其中最大的是 Onliner Spambot（7.11 亿个地址，2017 年）和 River City Media（3.93 亿个，2017 年）。如果搜索结果中出现了其中某个名称，就说明有垃圾邮件发送者拿到过你的地址。

黑名单（blocklist）是另一回事：它追踪的是垃圾邮件从哪里来。Spamhaus 将其定义为“包含 IP 地址、域名或哈希值的数据库”，其中每一项之所以被列入，是因为被发现发送垃圾邮件或造成其他危害，或者因为信誉不佳。它的 Hash Blocklist（哈希黑名单）可以包含电子邮件地址，但那些是发送垃圾邮件或出现在垃圾邮件中的地址，比如被盗的账户。MxToolbox 的 Blacklist Check（黑名单检查）之类的黑名单查询工具，检测的是邮件服务器的 IP 地址，而不是你的电子邮件地址。

“谢绝邮件”名单也无济于事。2004 年，FTC 向美国国会表示，这样的登记名单很可能适得其反，因为“垃圾邮件发送者会把这种登记名单当作有效电子邮件地址的目录”（FTC）。对于承诺把你从垃圾邮件发送者名单上移除的收费服务，Spamhaus 称之为“往好了说是骗局，往坏了说是替垃圾邮件发送者确认‘有效地址’的系统”。

最接近的真实选项只能触及守法的企业，而触及不到垃圾邮件发送者。截至 2026 年 9 月：

• 加利福尼亚州的 DROP（Delete Request and Opt-out Platform，删除请求与退出平台）让加州居民可以一次性免费向 600 多家已登记的数据经纪商发送删除请求，这些数据经纪商必须至少每 45 天处理一次请求。它无法触及你直接打过交道的公司（DROP 的条款）。
• 美国全国广告主协会（Association of National Advertisers）的 Email Preference Service（邮件偏好服务）可从 DMAchoice.org 进入，免费且有效期 10 年（FTC），但它只能触及那些用它来清理名单的营销者。

仅凭邮箱地址，别人能做什么？

没有你的密码，别人能做的比你担心的要少。仅凭地址，别人可以：

• 发送看起来很真实的钓鱼邮件，尤其是结合数据泄露中的细节时
• 用从其他网站泄露的密码尝试登录你的账户
• 查出你使用了哪些服务，就像 Twitter 的 API 曾经允许的那样
• 给你注册你从未要求过的邮件
• 转手卖掉，一旦确认地址有效，还能卖得更贵

诈骗者为什么想要你的邮箱地址？

因为这是进入你收件箱的第一步，而进入你邮箱账户的犯罪分子可以“重置你所有其他账户的密码”。英国国家网络安全中心（NCSC）建议为邮箱设置一个强度高、不与其他账户共用的密码，并开启两步验证。

如果垃圾邮件显示的发件人是你自己的地址，这并不能证明有人进入了你的账户，因为 From 行很容易伪造。如何检查你的邮箱账户是否被盗逐步介绍了 Gmail、Outlook.com 和 iCloud 邮件的检查方法。

把邮箱地址告诉别人安全吗？

通常是安全的。地址不是密码，知道它也打不开你的账户。把主邮箱留给你认识的人，以及你依赖的公司，比如你的银行。对于网店、邮件订阅和一次性的注册，每家公司各用一个单独的地址，就能让数据泄露和名单买卖波及不到你的主邮箱；而你的主邮箱根本就不该公开发布。

怎样防止垃圾邮件发送者拿到你的地址：哪些途径可以堵上

获得“每家公司一个地址”的方法有好几种。CatchNone 为每家公司提供一个单独的别名，让这些邮件远离你的主收件箱，并给每封邮件标上它送达的别名，所以泄露或买卖一看便知。加号地址（plus addressing）上手更快，前提是你的邮件服务商支持（you+shop@example.com），但任何人都可以删掉加号后面的标签，所以只有当发件人懒得去掉它时，它才能指明泄露来源。Apple 的“隐藏邮件地址”（iCloud+ 的一部分）、DuckDuckGo Email Protection（邮件保护）和其他别名服务会把邮件转发到你的收件箱。你自己域名上的 catch-all 同样可行，但要承受上文所说的被猜测的代价。邮件别名服务对比列出了它们之间的区别。

CatchNone 的定位

CatchNone 针对的是那些始于你交出地址的途径。每家商店、每个邮件订阅或每个账户都有自己的别名，每封邮件都会标出它送达的别名，所以一旦某个地址被泄露或被卖，它就会指明来源。“活动”会指出发往“未使用”别名的邮件和首次来信的发件人；远程图像（包括大多数追踪像素）在你载入之前一律被阻止。@catchnone.com 地址需要 Premium，并且是随机分配的，例如 abcde-12345@catchnone.com，所以没人能猜到。发往该域名上不存在的地址的邮件会被接收后丢弃，因此猜测者什么也得不到；而当你停用一个已泄露的地址时，发件人会收到退信。在你自己的域名上，被猜中的 catch-all 地址会显示在它送达的地址名下，并带有灰色标记，因此字典式垃圾邮件一眼就能认出来。下载 CatchNone，适用于 iPhone、iPad 和 Mac。

CatchNone 只收信，也不是垃圾邮件过滤器：它把注册类邮件留在自己的 App 里，远离你的主收件箱，并显示每封邮件送达的别名。在你自己的域名上，把别名标记为“未使用”只是一个标签，所以请在你的邮件服务商那里屏蔽地址。

常见问题

如果我从未透露过邮箱地址，垃圾邮件发送者是怎么拿到的？

最有可能的是：他们猜到了它；从公布它的网页、个人资料或代码提交中抓取了它；从别人的通讯录里拿到了它；或者从你曾经注册过、后来忘掉的某家公司那里，通过该公司的数据泄露或名单买卖得到了它。判断途径的对照表可以帮你把看到的情况与可能的途径对应起来。

陌生的公司是怎么拿到我的邮箱地址的？

通常来自某家你确实打过交道的公司，它把你的地址共享或卖给了“合作伙伴”，这往往是因为你注册时没有取消预先勾选的选项。数据经纪商也会收集和出售地址。名单买卖和数据经纪商一节中链接的指南介绍了如何查出是哪家公司。

垃圾邮件发送者是怎么拿到我的工作邮箱地址的？

来源包括卖给营销人员的企业联系人名单、你雇主的网站，以及对其地址命名规则的猜测。HIBP 收录了多份泄露的企业名单，例如 B2B USA Businesses，它按雇主和职位对地址进行了分类。在英国，ICO 表示，机构可以未经同意向工作地址发送营销邮件，除非该地址能识别出你个人；在这种情况下，你可以要求对方停止。