邮箱被轰炸？突然收到大量垃圾邮件的原因和对策

如果你的邮箱被轰炸，突然收到大量垃圾邮件，通常是因为：有人一次性用你的地址订阅了几百个邮件列表（即邮件轰炸），你的地址在数据泄露中外流或在你注册某个网站后被卖掉，或者垃圾邮件发送者冒用它作为发件人。较少见的情况是：你的账户被盗，过滤器或邮件 App 的变化让更多邮件漏了进来，或者有人在你拥有的域名下猜测用户名。收到的是哪类邮件，就能看出是哪种原因。先查有没有诈骗：邮件轰炸常常是为了掩盖一笔购买或一次密码重置，让你注意不到。为了下一次，CatchNone 会在 iPhone、iPad 和 Mac 上为每家网店、每个邮件订阅和每个账户各提供一个专属地址，这样激增的邮件只会落在某一个别名上，并显示出它的来源。

按下面的顺序逐一排除，最紧急的排在前面：

1. 邮件轰炸：每小时收到几十甚至几百封注册确认邮件。
2. 账户被盗：你的账户发出了不是你写的邮件，或者有设置不是你改的。
3. 数据泄露或垃圾邮件名单：来自陌生发件人的垃圾邮件持续增多。
4. 注册后地址被卖或被共享：从没打过交道的公司给你发营销邮件。
5. 冒名发信：垃圾邮件或退信显示“来自”你自己的地址。
6. 过滤器或 App 的变化：还是那些邮件，只是分类方式变了。
7. catch-all 域名遭字典式猜测：有邮件发往你拥有的域名下一些编造出来的名字。

首先，确认垃圾邮件没有掩盖诈骗

邮件轰炸攻击会用大量邮件淹没一个地址。它常见的形式是订阅轰炸（subscription bombing），用的是真实公司发出的真实确认邮件：有人把你的地址填进许多网站的注册表单。安全研究人员描述过每小时超过 1,500 封邮件的集中爆发，Yahoo 则列出了攻击者的目的，其中包括“掩盖金融交易的确认邮件”。

如果你的收件箱正被“确认订阅”“欢迎加入”之类的邮件塞满，先花 10 分钟做下面几件事：

1. 直接打开银行、信用卡和支付 App（如支付宝、微信支付），不要通过邮件里的链接打开，查看有没有你不认识的付款。如果发现了，美国联邦贸易委员会（FTC）建议立即通过“卡背面的电话号码”或发卡机构、银行的 App 向其报告。

2. 登录保存了你银行卡信息的网店，查看最近的订单。

3. 在邮箱中搜索（包括垃圾邮件和已删除邮件）可能被这波邮件淹没的内容：密码重置、登录提醒、恢复信息变更，以及订单和付款确认。在 Gmail 中，下面这条搜索覆盖过去一周；修改 7d，就能往前追溯到轰炸开始的时候：

   in:anywhere newer_than:7d {subject:password subject:security subject:"sign in" subject:login subject:recovery subject:order subject:receipt subject:payment}

   在 Outlook.com、iCloud 邮件或 Yahoo 中，请逐个搜索这些词。

4. 如果发现任何不是你本人做的操作，请在该账户自己的网站或 App 上更改密码，然后按照下文的账户被盗检查逐项检查。

还要提防下一招。在 CISA（美国网络安全和基础设施安全局）和 Microsoft 记录的攻击中，邮件轰炸之后，会有人冒充 IT 支持人员打来电话或发来 Microsoft Teams 消息，说可以帮忙解决垃圾邮件问题，并要求受害者安装 Quick Assist（快速助手）或 AnyDesk 之类的远程访问工具。Microsoft 表示：“如果你没有要求我们联系你，我们不会打电话为你提供支持。”请直接挂断电话，或忽略这条消息。如果是工作账户，请通过你平时就在用的渠道联系 IT 部门。

垃圾邮件突然变多？根据迹象找出原因

垃圾邮件突然增多时，邮件本身就会留下线索。找到与你看到的情况相符的那一行：

邮箱被轰炸时该怎么办

邮件轰炸无法从源头阻止，因为这些邮件来自真实的注册表单。但你可以让它们不再碍事，同时不漏掉那一封真正重要的邮件：

1. 不要点击轰炸邮件里的“确认”或“验证”链接。对于采用双重确认（double opt-in）的邮件列表，你不点击就不会被加入；例如 Mailchimp 只有在联系人“点击链接验证其电子邮件地址”之后才会添加对方。并非所有列表都要求确认，所以有些还会继续发。
2. 不要批量删除，也不要逐个屏蔽发件人。批量删除可能把那封唯一的安全邮件一起删掉，而更换发件地址的发件人能绕过屏蔽。
3. 创建一个临时过滤器。让它把确认邮件移到一个文件夹或标签中，排除所有与密码、安全、订单或付款有关的邮件，并且绝不设置删除。请在邮件服务商的网站上创建：新版 Outlook for Windows 不会为 Gmail、Yahoo 或 iCloud 账户运行规则。
4. 每天查看一次那个文件夹。接下来几天，重复检查银行和订单。
5. 轰炸停止后删除过滤器。然后退订那些还在发的列表：使用每个发件人自己的退订链接，或在 Gmail 中依次选择 More（更多）> Manage subscriptions（管理订阅）；截至 2026 年 9 月，这项功能仍在逐步推出。这些列表属于真实的公司，所以退订通常有效。真正的垃圾邮件则不同：请参阅退订链接什么时候可能是恶意的。

让安全邮件保持可见的过滤器

在 Gmail 中，下面这条规则会匹配常见的确认邮件主题，同时排除安全和订单邮件。你可以根据自己收到的邮件修改这些词：

{subject:confirm subject:subscription subject:welcome subject:newsletter subject:verify} -subject:password -subject:security -subject:"sign in" -subject:login -subject:code -subject:order -subject:receipt -subject:payment

1. 在电脑上，把它粘贴到 Gmail 顶部的搜索框中，然后按 Enter 键。确认搜索结果都是轰炸邮件，没有你需要的邮件。
2. 点击 Show search options（显示搜索选项），检查条件，然后点击搜索窗口底部的 Create filter（创建过滤器）。
3. 选择跳过收件箱，并应用一个新标签，比如 Flood。不要选择删除。
4. 点击 Create filter（创建过滤器）。Gmail 的过滤器帮助中有完整步骤。

其他服务商的做法（截至 2026 年 9 月）：

如何检查你的邮箱账户是否被盗

收到的垃圾邮件变多，本身并不意味着你的邮箱账户被人入侵，不过邮件轰炸可能是在掩盖夺取账户的企图。更明确的迹象是：有你没发过的邮件从账户发出（随之会有退信和回复进来），以及有设置不是你改的。FTC、Google 和 Apple 列出了这些迹象：朋友收到了你没发过的邮件；“已发送”文件夹里有不是你写的邮件；你收到了并非本人操作的登录或密码更改提醒，或者收到了你没有请求过的双重认证验证码；或者你无法登录。

如果无法登录，请先按照服务商的账户恢复步骤操作：Google、Microsoft 或 Apple。否则，请在你信任的设备上按以下顺序操作：

1. 更改密码。更改密码后，Google 和 Apple 会撤销应用专用密码。Microsoft 的帮助页面没有说明它是否会这样做，所以请手动删除。
2. 删除不是你设置的转发、过滤器、委托访问和应用专用密码。转发规则在你更改密码后可能依然有效。
3. 查看最近的登录记录和设备。把你不认识的都退出登录。
4. 检查用于找回账户的邮箱地址和手机号。然后开启两步验证。
5. 查看“已发送”和已删除邮件。找出入侵者发过或读过的邮件，并提醒收到过“你”发出的邮件的人。

以下是各服务商帮助页面中给出的检查位置（截至 2026 年 9 月）：

Gmail 和你的 Google 账号

• 安全事件：Google 账号 > Security & sign-in（安全和登录）> Recent security events（最近的安全事件）面板 > Review security events（查看安全事件）。对于你不认识的事件，选择 No, it wasn’t me（不是我）。
• 设备：Google 账号 > Your devices（你的设备）> Manage devices（管理设备）。
• 最近的 Gmail 访问记录：在电脑上，点击 Gmail 右下角的 Details（详细信息），可以查看最近 10 个 IP 地址和访问类型（如 IMAP）。如果你在手机上使用 Gmail，列表中可能显示运营商的位置，而这可能离你的实际位置很远。
• Gmail 设置：“设置”>“查看所有设置”，然后查看 Forwarding and POP/IMAP（转发和 POP/IMAP）标签页、Filters and Blocked Addresses（过滤器和被屏蔽的地址），以及“帐号和导入”下的 Grant access to your account（授予他人访问你帐号的权限）部分。
• 应用：从应用专用密码和有权访问你账号的应用中删除任何陌生项目。

Outlook.com、Hotmail 和你的 Microsoft 账户

• 登录记录：Recent activity（最近的活动）页面涵盖过去 30 天，但并不包括每一次登录。如果出现 Unusual activity（异常活动）部分，请逐项查看；对于不是你本人的操作，选择 This wasn’t me（这不是我）。对于 Recent activity 列表中任何可疑的内容，选择 Secure your account（保护你的账户）。
• 转发和规则：在 Outlook.com 中，打开 Settings（设置）> Mail（邮件）> Forwarding（转发），取消勾选 Enable forwarding（启用转发）并选择 Save（保存）；再打开 Settings > Mail > Rules（规则）。
• 应用密码和会话：在 Microsoft 账户仪表板的 Advanced security options（高级安全选项）下，检查 App passwords（应用密码）部分，并使用 Sign out everywhere（在所有位置注销）。Microsoft 表示，这最多需要 24 小时。
• 其他设置：Microsoft 的恢复步骤还提到要检查“关联的账户、转发和自动答复”。

iCloud 邮件和你的 Apple 账户

• 设备：在 account.apple.com 上，选择 Devices（设备），移除你不认识的设备。
• App 专用密码：account.apple.com >“登录和安全”>“App 专用密码”> Remove（移除），或 Revoke all（全部撤销）。更改密码无论如何都会撤销全部 App 专用密码。
• 转发和规则：在 icloud.com/mail 上，选择 Mailboxes（邮箱）列表顶部的 Settings（设置）按钮 > Settings（设置），然后在边栏中检查 Mail Forwarding（邮件转发）和 Rules（规则）。
• 登录历史：Apple 的文档中没有像 Gmail 那样的访问记录。它提供的信号是登录提醒、你没有请求过的双重认证验证码，以及 Devices（设备）列表。

你的邮箱是否出现在新的数据泄露中？

在 Have I Been Pwned（HIBP）上搜索你的地址。这是安全研究员 Troy Hunt 运营的一项免费服务。截至 2026 年 9 月 25 日，它的首页统计了 1,038 个发生过泄露的网站和超过 170 亿个泄露的地址（同一个地址出现在多次泄露中时，每次都会单独计数）。

• 数据泄露结果会写明是哪个服务泄露了你的地址，以及何时泄露。最近发生的泄露可以解释垃圾邮件和钓鱼邮件为什么变多。
• 垃圾邮件名单结果表示你的地址出现在用于定向发送垃圾邮件的数据中，这直接解释了垃圾邮件的来源。
• 没有结果说明不了太多：“许多数据泄露从未导致数据被公开发布。”
• 把你用的每个地址都分别搜索一遍，包括加号地址，并开启 HIBP 免费的 Notify Me（通知我）提醒。

数据泄露还可能以一种诈骗邮件的形式出现：邮件里引用你的某个密码，并要求你付款。FTC 的建议是：“停下来。什么都不要付。删除这封邮件。这是诈骗。”如果你仍在使用那个密码，请在所有地方都改掉。关于你的地址还可能通过哪些途径流出，请参阅垃圾邮件发送者如何获取电子邮件地址。

注册后，你的地址被卖或被共享了

如果新增的邮件是你从未用过的公司发来的普通营销邮件，而且是在你刚在某处注册后开始出现的，那么你的地址很可能被转给了别人。FTC 表示，当你把电子邮件地址交给一家公司时，“它可能会与第三方共享或出售给第三方”。Microsoft 指出了其中一条途径：结账时有一个默认已勾选的复选框，允许商家把你的地址提供给其他企业。

1. 向真实的公司退订。使用每个发件人自己的退订链接，或在 Gmail 中依次选择 More（更多）> Manage subscriptions（管理订阅）。在美国，CAN-SPAM 法案规定，发件人必须“在 10 个工作日内”执行你的退订请求，之后“不得出售或转让”你的地址。
2. 在注册的地方关闭共享。在你于那家公司的账户中，找到营销或合作伙伴共享相关的设置并关闭。
3. 追查来源。要弄清是哪次注册泄露了地址，请参阅如何查出是谁卖了你的电子邮件地址。下次注册时，像 CatchNone 那样为每次注册单独使用一个别名，这样地址再被卖时，就能看出来源。

为什么我会收到来自自己地址的垃圾邮件？

发件人显示为你自己地址的邮件，往往是伪造的，而不是从你的账户发出的。用 SPF 标准的话说：“现有协议对发件主机可以把什么用作邮件的‘MAIL FROM’没有任何限制。”有三种检查机制专门用来识别伪造邮件：

• SPF（RFC 7208）列出允许为某个域名发送邮件的服务器。
• DKIM（RFC 6376）为每封邮件添加加密签名，接收服务器会用发件域名在其 DNS 中公布的公钥来验证这个签名。
• DMARC（RFC 9989，已于 2026 年 5 月取代 RFC 7489）告诉接收服务器，该域名希望如何处理未通过上述检查的邮件：没有偏好，由接收方决定（none）；视为可疑（quarantine）；或拒收（reject）。

要区分冒名发信和账户被盗：

1. 打开“已发送”文件夹。伪造的邮件从不经过你的账户，所以不会出现在那里。不过，入侵者可以删除已发送的邮件，所以也要检查登录活动。
2. 检查邮件的身份验证结果。在 Gmail 中，发件人姓名旁边的问号表示这封邮件“未经过身份验证”；点击发件人姓名下方的 Down arrow（向下箭头），可以查看 Mailed by（发件域）和 Signed by（签名域）。在 Outlook 中，如果某位发件人的头像平时没有“?”，现在却出现了“?”，这“可能表明发件人遭到了冒充”。要在 Gmail 中查看完整结果，点击 Reply（回复）旁边的 More（更多），然后点击 Show original（显示原始邮件），详见 Google 的说明；在其他 App 中，查找 Authentication-Results 邮件头。
3. 解读结果。如果显示你地址的邮件带有 spf=fail、spf=softfail 或 dmarc=fail，通常说明它是伪造的：把它过滤掉，不必再管。如果被伪造的地址在你自己拥有的域名上，发布 SPF、DKIM 以及 quarantine 或 reject 的 DMARC 策略，可以让接收服务器把假冒邮件放进垃圾邮件，或直接拒收。如果 DKIM 验证通过，而且签名的是你的服务商自己的域名（例如 Signed by 显示 gmail.com），则说明这封邮件可能真的是通过你的账户发出的，请按照账户被盗检查逐项检查。

收到一大堆“Undeliverable”（无法投递）退信，针对的却是你从没发过的邮件，这是从另一面看到的同一种伪造。Microsoft 称之为反向散射（backscatter）：垃圾邮件发送者在邮件上写一个真实地址，无法投递这些邮件的服务器就会把退信发给这个地址。这并不意味着你的账户被人用过：查看“已发送”，然后过滤这些退信，直到它们停止。

变的不是垃圾邮件，而是你的过滤器或邮件 App

有时邮件还是那些邮件，变的只是分类方式：

• Gmailify 即将停止。Gmail 将于 2027 年 1 月停止为通过 Gmailify 关联的 Yahoo、Outlook 等账户过滤垃圾邮件；如果你把某个账户改为通过 IMAP 在 Gmail App 中使用，停止时间会更早。此后，除非你把该服务商的邮件转发到 Gmail，否则你能看到哪些邮件，将由该服务商自己的垃圾邮件过滤器决定。
• iPhone“邮件”分类。从 iOS 18.2 开始，“邮件”App 可以把邮件分成 Primary（主要）、Transactions（交易）、Updates（更新）和 Promotions（推广）几类（并非所有国家或地区都提供）。如果收件箱被切换成了 List View（列表视图）——方法是轻点收件箱顶部的 More（更多）按钮，再轻点 List View——以前归在 Promotions 和 Updates 下的邮件现在都会出现在主列表中（Apple）。
• 有邮件绕过了垃圾邮件文件夹。如果某个过滤器被设置为从不把邮件送进垃圾邮件，或者垃圾邮件看起来来自某个联系人，它就可能进入你的收件箱；iCloud 表示，“来自 iCloud 通讯录中的联系人或最近对话对象的邮件，不会进入‘垃圾邮件’邮箱”（Apple）。请检查你的过滤器，并把垃圾邮件标记为垃圾邮件，而不是直接删除。
• 新版 Outlook for Windows。你在经典版 Outlook 中依赖的规则，可能已经不再整理 Gmail、Yahoo 或 iCloud 邮件。请像上面的过滤器步骤那样，在邮件服务商那里设置规则。

发往你自有域名下编造名字的邮件

catch-all 会接收发往你域名下任何地址的邮件，包括拼错的地址。垃圾邮件发送者会猜测 info@、admin@、sales@ 这类常见名字，而 catch-all 对它们一概照收。

丢弃发往被猜中名字的邮件，或者关闭 catch-all，只创建你实际使用的地址。如果你依靠 catch-all 为每个网站使用不同的地址，关闭它就意味着要先在服务商那里逐个创建这些地址。很多邮件服务商都允许你为某个被猜中的地址添加一条规则。悄无声息地丢弃邮件的规则不会给猜测者退信，所以这个地址可能看起来有效，对方也可能继续发送；而退回邮件的规则会告诉对方这个地址不存在，你域名上的其他地址则照常收信。各家服务商屏蔽单个地址的具体步骤，请参阅如何在 catch-all 上停用单个地址。

垃圾邮件激增会持续多久

如果你最近收到很多垃圾邮件，它会不会停止，取决于原因：

• 邮件轰炸据 Yahoo 说通常在一周左右结束，不过那些没有要求确认就把你加进去的列表，会一直发到你退订为止。
• 退订在美国根据 CAN-SPAM 法案，最多可能需要 10 个工作日才会生效。
• 数据泄露和名单买卖带来的垃圾邮件会逐渐减少，但很少完全停止；请参阅随着时间推移，什么能减少垃圾邮件。
• 冒名发信和反向散射会在这波攻击转移目标后结束。
• 被盗的账户在入侵者被清除后就不再发信。

除了向邮件服务商举报，还可以向其他机构举报钓鱼邮件：在美国，把它转发到 reportphishing@apwg.org，并在 ReportFraud.ftc.gov 上举报；在英国，把它转发到 NCSC（英国国家网络安全中心）的 report@phishing.gov.uk。

用 CatchNone 追查下一次激增

有了 CatchNone，下一次激增很容易追查。当每家网店、每个邮件订阅或每个账户都有自己的别名时，多出来的邮件会落在某一个别名上，并指明来源，每封邮件也都标有它送达的别名。“活动”按别名绘制邮件图表，并由一条简单的规则加上“邮件比平时多”的提示。别名邮件在它自己的 App 里阅读，邮件打开时，远程图像（包括大多数追踪像素）会保持拦截，直到你选择载入。

当某个别名变得嘈杂时，停用它：如果是 @catchnone.com 地址（需要 Premium），发件人会收到退信，而你的其他别名照常可用。在你拥有的域名上，把别名标记为“未使用”只是一个标签，所以请在服务商那里用规则屏蔽该地址。发往 @catchnone.com 的轰炸邮件还会计入每日限额（英文）：每个 UTC 日最多接收 500 封邮件，发往任一地址的最多 250 封；超出限额的邮件暂时会被拒收，App 不会提醒你。在你自己的域名上，CatchNone 每次检查只读取收件箱中最新的 100 封邮件，因此遇到规模很大的轰炸时，统计出的数量会偏少。

CatchNone 在设计上只负责收信。它没有垃圾邮件过滤功能，也不会清理已经涌向你主地址的轰炸邮件；它在你打开 App 时检查新邮件，不会发送通知，所以请把银行和账户恢复邮件留在你的主地址上。下载 CatchNone，适用于 iPhone、iPad 和 Mac。

常见问题

邮件轰炸违法吗？

这取决于你所在的地方，以下内容也不构成法律建议。真正需要举报的，是它常常用来掩盖的诈骗：任何不是你本人进行的付款都要告诉银行；在美国，可以在 ReportFraud.ftc.gov 举报诈骗，在 IdentityTheft.gov 举报身份盗用。

为什么我的 Outlook、Hotmail 或 Yahoo 邮箱会收到这么多垃圾邮件？

无论使用哪家服务商，原因都一样，只是检查的位置不同：请参阅 Microsoft 账户检查，以及过滤器表格中 Outlook.com 和 Yahoo 那两行。

最初一小时该做什么？

按照上文的诈骗检查，查看银行和银行卡 App、最近的订单，并在邮箱（包括垃圾邮件和已删除邮件）中查找与密码、安全和订单有关的邮件。如果有任何迹象表明账户被入侵，请进行账户被盗检查；然后把轰炸邮件过滤到一个文件夹中，不要删除；对于打电话或发消息说要帮你解决垃圾邮件问题的人，一律不要理会。