信箱外洩了？5 個步驟查出是誰賣了你的 email 地址

只有當你給某家公司的是一個別人都沒有的地址，才能有把握地查出是誰賣掉或外洩了你的電子郵件地址。如果是用了多年的主要信箱，通常只能縮小範圍，無法指出元凶：這個地址存在於數十家公司的客戶資料庫中，而一封垃圾郵件很少能指回讓它流出的那一家。你能查出的是：誰在寄信給你、透過哪個服務寄送；某家公司是否在已知的外洩事件中造成你的信箱外洩；以及在歐盟和英國，某家公司說它從哪裡取得你的地址。適用於 iPhone、iPad 和 Mac 的 CatchNone，讓「一家公司一個地址」成為預設做法：每封郵件都會標上它寄達的別名，所以下一次外洩就會指向它的來源。

步驟依序如下：

1. 找出第一封不請自來的郵件，以及它寄達的確切地址。
2. 查看它的郵件標頭，找出寄件者和它使用的郵件發送服務。
3. 到 Have I Been Pwned 查詢是否有外洩事件包含這個地址。
4. 詢問寄件者從哪裡取得你的地址，並詢問你懷疑的那家公司把你的地址給了哪些公司。
5. 從現在起，給每家公司各自專屬的地址。

查得出是誰賣了你的 email 地址嗎？

有時可以，要看你手上有什麼證據：

• 郵件標頭能顯示郵件是誰寄的、透過哪個服務寄出（通過驗證的 DKIM 簽章可證明是哪個網域簽署的），但看不出名單從哪裡來。
• 外洩紀錄能證明某一家公司流失了你的地址，但無法排除其他公司。
• 法律請求能讓公司說出它對來源所知道的資訊，前提是它知道（在加州只會以類別說明）。
• 只給一家公司的隨機 email 地址能直接指出來源：只要有其他人寄信到這個地址，就代表它是從那家公司流出的，不論是被賣掉、分享還是遭竊。

垃圾郵件突然暴增也可能有其他原因，請參閱為什麼垃圾郵件會突然暴增。至於地址一開始是怎麼流傳出去的（透過販售、外洩、從網頁擷取和猜測），請參閱垃圾郵件發送者如何取得電子郵件地址。

步驟 1：找出第一封郵件和它寄達的地址

搜尋這個陌生的寄件者，找出最早的一封：第一封郵件最接近你的地址易手的時間點。確認它究竟寄到哪個地址，以及它怎麼稱呼你。你只用過一次的舊地址或打錯的地址、加上 +tag 的地址、某張註冊表單上打錯的名字，或只有某一家公司知道的細節，都能指向來源。

在歐盟和英國，也請閱讀第一封郵件的頁尾和隱私權連結。依據 GDPR（第 14 條），從他人處取得你資料的公司，必須告訴你「個人資料源自何處」。如果它用這些資料來聯絡你，期限是「最遲在第一次通訊時」。如果第一封郵件沒有說明，請在步驟 4 的請求中指出這一點。

步驟 2：查看郵件標頭

郵件標頭是郵件上方隱藏的幾行資訊。它們會列出寄件者和傳送這封郵件的服務，讓你知道步驟 4 要寫信給誰。

如何查看郵件標頭

以下路徑取自各廠商的說明頁面（截至 2026 年 9 月）：

Gmail 的捷徑：在網頁版上，點選寄件者名稱下方的「Down arrow」（向下箭頭），就能看到「Mailed by」（郵寄者）和「Signed by」（簽署者），也就是寄出和簽署這封郵件的網域。

實際範例

以下是一組精簡過的示意標頭。你的地址是 k7qm-2xrd@example.com，這是你只給過一家園藝店的隨機 email 地址。品牌是 dealsdaily.example.net，而 mailer.example.org 是它使用的郵件發送服務。

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

在這個例子中，寄件者是 Deals Daily，透過 mailer.example.org 寄出；它寄達的是你只給過園藝店的那個隨機 email 地址，所以地址就是從那裡流出的。標頭無法告訴你 Deals Daily 是怎麼拿到這個地址的：標頭只會指出寄件者，永遠不會指出賣家。ICANN Lookup 能顯示陌生網域的註冊紀錄，不過擁有者資料大多已經遮蔽。

步驟 3：查查是否有公司在個資外洩事件中流出你的地址

Have I Been Pwned（HIBP）會顯示某個地址出現在哪些外洩事件和垃圾郵件名單中。截至 2026 年 9 月 25 日，它列出了 1,038 個發生外洩的網站，以及超過 178 億個外洩帳號（同一個地址出現在多起外洩事件中時，每一起都會各計一次）。

• 外洩事件會指出流失資料的服務和發生時間：如果垃圾郵件正是在那之後不久開始出現，這就是很有力的線索。
• 垃圾郵件名單代表你的地址出現在用於定向垃圾郵件的資料中。這些名單「通常彙整自多個來源」，所以很少指出最初的公司。來自貼文（paste）的紀錄，以及被 HIBP 標為捏造或未經驗證的外洩事件，證據力又更弱。
• 敏感外洩事件只有在你登入並驗證你能用這個地址收信後才會顯示。

查無結果只代表這個地址不在 HIBP 已收錄的外洩事件中，不代表沒有人賣過它。請開啟免費的 Notify Me（通知我）提醒。如果你在自己的網域上為每家公司使用不同的地址，驗證網域後，Domain Search（網域搜尋）會顯示其中哪些地址出現在哪起外洩事件中（較大的網域通常需要付費訂閱）。舊教學推薦的 Google 暗網報告已於 2026 年初停止提供。

步驟 4：直接詢問公司

歐盟與英國：問清楚地址從哪裡來、又流向哪裡

查閱權讓你可以向兩家公司各問一個問題：

• 詢問寄件者從哪裡取得你的地址。GDPR 第 15(1)(g) 條讓你有權取得「關於其來源的任何可得資訊」，而歐洲資料保護委員會認可的透明度指引指出，從其他地方取得你資料的公司，除非做不到，否則應指出具體來源。
• 詢問你懷疑的那家公司把你的地址給了哪些公司。針對第 15(1)(c) 條，歐盟法院在奧地利郵政案（Österreichische Post，C-154/21）中判定，公司必須應請求指出實際的接收者，除非它尚無法識別這些接收者，或請求明顯缺乏根據或過度。英國的資料保護主管機關 ICO 也表示，依 UK GDPR 同樣如此。

這兩種請求都無法強迫任何人指出賣家：公司可以說它不知道，或說資料來自多個來源（前言第 61 點），不過含糊其詞的答覆可以作為申訴的理由。請使用各公司隱私權聲明中的聯絡方式；至於擺明是垃圾郵件發送者的，就不要理會，因為回覆會讓對方確認你的地址有效。

以下是可以直接複製的請求範本（寫給你懷疑的那家公司時，請刪除第 4 項）：

主旨：依 GDPR 第 15 條提出的查閱請求

依據 GDPR（或 UK GDPR）第 15 條，針對我的電子郵件地址 you@example.com，請告訴我：

1. 你們從哪裡取得這個地址，並指出具體來源（第 15(1)(g) 條）。
2. 你們把它揭露給哪些接收者，請列出名稱（第 15(1)(c) 條）。
3. 你們持有我的哪些個人資料，並提供副本。
4. 你們在 [日期] 寄給我的第一封郵件，為什麼沒有指出該來源（第 14(2)(f) 條及第 14(3)(b) 條）。

我也反對將我的資料用於直接行銷（第 21 條）。請在一個月內回覆（第 12(3) 條）。

[你的姓名]

答覆通常是免費的（期限請見下表）。一旦你反對直接行銷，你的資料就不能再用於直接行銷。

在英國，如果沒有收到答覆或答覆含糊其詞，請先向該公司申訴：對於 2026 年 6 月 19 日以後提出的申訴，《資料（使用與存取）法》（Data (Use and Access) Act）要求公司在 30 天內確認收到。接著，在你與該公司最後一次實質聯繫後的 3 個月內，向 ICO 申訴。在歐盟，第 77 條讓你可以向資料保護主管機關申訴。

美國：加州與奧勒岡州

在加州，CCPA「知情權」請求會讓你取得來源和第三方的類別，以及對方持有的個人資料，但不會指出是誰賣了你的地址。答覆是免費的。你也可以要求企業停止販售或分享你的資料，或要求它刪除向你蒐集的資料。這部法律只適用於超過一定門檻的企業，例如年營收超過 US$26,625,000（截至 2026 年 9 月）。

如果你住在奧勒岡州，受該州隱私法規範的公司必須應你的請求，提供它揭露資料的具體第三方清單，不過它可以列出接收過任何個人資料的第三方，而不限於接收過你的資料的第三方（ORS 646A.574）。這些權利來自州法，所以你能要求什麼，取決於你住在哪裡。

加州居民也可以使用 DROP（Delete Request and Opt-out Platform，刪除請求與退出平台），一次向所有已登記的資料仲介商發出刪除請求。DROP 於 2026 年 1 月 1 日開放，自 2026 年 8 月 1 日起，資料仲介商必須至少每 45 天處理一次請求。它只能觸及資料仲介商，也就是與你沒有直接往來的企業，而不是你留下地址的那家店。

任何人都可以搜尋加州、佛蒙特州、德州和奧勒岡州的資料仲介商登記名冊。用寄件者的公司名稱和步驟 2 找到的網域去搜尋。如果有符合的結果，就代表寄件者是已登記的資料仲介商；如果你住在加州，DROP 就能觸及這類企業。

各種請求能為你取得什麼

不論身在何處：找郵件發送服務

DKIM-Signature d=、Return-Path 或 List-Unsubscribe 中列出的郵件發送服務有自己的規則。例如，Mailchimp 的可接受使用政策禁止寄信給「任何類型的購買、租用、第三方、共同註冊（co-reg）、公開取得的資料或合作夥伴名單」，而它的濫用檢舉窗口要求提供「完整的郵件標頭」（兩者皆於 2026 年 9 月 25 日確認）。請把完整標頭寄給該服務的濫用檢舉窗口。它不會告訴你是誰賣了你的地址，但可以讓寄件者無法再使用它的服務。

查出來源之後該怎麼做

• 汰換這個地址。給外洩地址的那家公司一個新地址，或直接關閉帳號，然後停用或刪除舊地址。在查閱請求獲得答覆之前，請讓舊地址繼續運作，因為答覆或身分驗證可能會寄到那裡。如果那是你的主要地址，就改用篩選器。
• 讓郵件停下來。寄出第 21 條的反對聲明（歐盟、英國）、向合法的美國寄件者取消訂閱，或選擇退出販售與分享並使用 DROP（加州）。如果你以前取消訂閱沒有效果，請閱讀為什麼取消訂閱沒有用。
• 檢舉。在美國可到 ReportFraud.ftc.gov 檢舉，在英國可使用 ICO 的垃圾郵件檢舉工具（它不會個別回覆），或向郵件發送服務的濫用檢舉窗口檢舉，並在你的郵件 App 中將它標為垃圾郵件。
• 如果是外洩事件，也要保護好帳號（請見常見問題）。

公司會賣你的 email 地址嗎？這樣合法嗎？

是的，有些公司會。FTC 指出：「當你把電子郵件地址給一家公司時，它可能會與第三方分享，或賣給第三方。」在美國，聯邦法律允許這麼做，直到你選擇退出為止。在英國和歐盟，公司要用買來的名單寄信給你，必須取得你的同意；在英國，公司要販售名單，通常也需要取得同意。

• 美國：依據聯邦 《CAN-SPAM 法》，公司寄行銷郵件給你不需要你的同意。一旦你選擇退出，公司有 10 個工作天可以停止寄信，而且不得販售或轉讓你的地址。加州另外提供退出販售的權利，而且加州所說的「販售」包括出租，或以「其他有價值的對價」提供資料，所以即使沒有金錢往來，與合作夥伴交換名單也可能算數。「分享」則是另一個用語，指跨情境行為廣告。
• 英國：依據《隱私與電子通訊規則》（PECR），公司只有在名單上的人「明確同意接收該類訊息」且同意由該公司寄送時，才能寄信給買來名單上的人；概括同意任何第三方寄信並不足夠，而販售名單通常也需要名單上的人同意（ICO 指引，在《資料（使用與存取）法》通過後正在檢討中）。公司行號的地址適用不同的規則。
• 歐盟：《電子隱私指令》（ePrivacy Directive）只允許在取得「事先同意」的情況下寄送行銷郵件，唯一的例外是賣家向自己的顧客行銷類似產品，而買名單的人無法適用這個例外。

為什麼加號技巧的證據力很弱

所謂的「Gmail 技巧」，是用加上標籤的地址註冊，例如用 you+shopname@example.com 代替 you@example.com，再觀察哪個標籤出現在垃圾郵件中。Google 自己的說明就點出了弱點：「寄到你目前的地址，或任何加上加號的變化形式，郵件都會送達你目前的收件匣。」

• 你的真實地址一目了然。刪掉標籤，郵件照樣寄得到你，證據也隨之消失。
• 標籤對寄件者毫無意義。只有你的信箱服務商會解讀 @ 前面的部分（RFC 5321，§2.3.11），而且分隔符號因系統而異（RFC 5233）。
• 它能證明的比看起來少。垃圾郵件中出現加了標籤的地址，只能說明地址是從那家公司流出的，無法說明是被賣掉、分享還是外洩。而如果沒有收到加了標籤的垃圾郵件，也不能排除任何人的嫌疑：標籤可能只是被刪掉了。

「點號技巧」是在一家公司用 your.name 註冊、在另一家用 yo.urname，證據力又更弱：Gmail 會忽略個人地址中的點號，所以任何人都能把點號刪掉（公司或學校帳戶的點號則有作用）。加號地址（plus addressing）仍然很適合用來篩選郵件；加號地址指南說明了它在哪些地方可用。

步驟 5：讓下一次外洩一看就知道來源

可靠的方法是往前做：給每家公司一個專屬地址，而且不包含你的真實地址。只要有其他人寄信到你只給過某家店的地址，你就知道地址是從哪裡流出的，也可以只停用那一個地址。

• CatchNone 為每家公司提供專屬別名，並在每封郵件上標示它寄達的別名，所以不必看郵件標頭，也能看出地址被賣到哪裡。@catchnone.com 地址需要 Premium；你擁有的網域在「免費」方案也能使用。
• 別名服務，例如 Apple 的「隱藏電子郵件地址」（舊稱「隱藏我的電子郵件」，需搭配 iCloud+）、DuckDuckGo Email Protection、SimpleLogin、addy.io 和 Firefox Relay，會把郵件轉寄到你的收件匣。電子郵件別名服務比較說明了它們的差異。
• 自己網域上的 catch-all（全收信）地址會接收寄到該網域任何地址的郵件，所以你可以每次註冊都自創一個地址。例如 Cloudflare Email Routing（電子郵件路由）在免費和付費方案中都可使用（截至 2026 年 9 月），並提供 catch-all 規則。優缺點取捨請參閱什麼是 catch-all 電子郵件地址。

請優先使用隨機 email 地址，而不是 gardenshop@example.com 這種容易猜到的地址，因為在 catch-all 上，垃圾郵件發送者也能自己編出這種地址；同時記下哪個地址給了誰。

CatchNone：每封郵件都顯示它寄到哪個地址

CatchNone 正是為步驟 5 而設計。你為每家商店、每份電子報或每個帳號設一個專屬別名，App 中的每封郵件都會標示它寄達的別名。當陌生人寄信到你只給過園藝店的地址時，這個標示就會告訴你地址是從哪裡流出的，完全不必看郵件標頭。「活動」會指出寄到你已標為「未使用」的別名的郵件，以及首次來信的寄件者；你也可以停用外洩的 @catchnone.com 地址，寄件者就會收到退信，其他別名則繼續正常運作。

使用 Premium，你可以取得隨機的 @catchnone.com 地址，例如 abcde-12345@catchnone.com，不必設定網域、DNS 或信箱，就連以密件副本（Bcc）寄來的郵件也能對應到別名。你也可以使用自己的網域，前提是你的信箱服務商已經會把該網域的郵件送到收件匣：App 會直接從你的裝置，透過 IMAP 或 JMAP 以唯讀方式讀取那個信箱；「免費」方案最多 10 個別名，Lite 和 Premium 則不限數量。CatchNone 可在 iPhone、iPad 和 Mac 上使用。

它是往前做的方法，無法回頭追查你以前用過的地址，也沒有外洩資料庫或外洩偵測功能：這些標示和「活動」中的提示，是供你自行判斷的證據。在你自己的網域上，它只讀取收件匣，而且只讀取 To、Cc 或 Bcc 中列有你網域地址的郵件，所以被歸入垃圾郵件資料夾的郵件不會出現。在自己的網域上把別名標為「未使用」只是加上標籤，所以請在你的信箱服務商那裡封鎖外洩的地址。@catchnone.com 的郵件會在送達 30 天後刪除，所以需要留作證據的郵件，請加上旗標，把完整內容保存在你的裝置上。

常見問題

個資外洩怎麼辦？公司外洩了我的 email 地址時該做什麼

到 Have I Been Pwned 查詢這個地址，看看它出現在哪起外洩事件中，以及還有哪些資料一起外洩。更改該網站的密碼，以及所有重複使用這組密碼的地方，並開啟雙重驗證。要提防引用外洩資料的網路釣魚郵件，也不要點開提及這起外洩事件的郵件中的連結。如果你給那家公司的是專屬地址，就停用它，再給這家公司一個新地址。

LinkedIn 或 Google 會賣我的 email 地址嗎？

兩家都沒有說自己會販售你的個人資料，但 LinkedIn 表示會為了跨情境廣告而分享這些資料。它的加州隱私權揭露聲明寫著「我們不會販售你的個人資料」，並讓加州居民可以選擇退出這種分享。Google 的安全中心表示「我們絕不會將你的個人資料販售給任何人」，而它的隱私權政策（2026 年 5 月 26 日生效）表示，只有在列出的情況下才會與 Google 以外的對象分享個人資料，第一種情況就是經過你的同意。以上三個頁面都於 2026 年 9 月 25 日確認。至於其他公司，請閱讀它們的政策，並把「販售」和「分享」分開看待。

誰會購買電子郵件地址？

資料仲介商、名單仲介商和行銷業者；上面提到的各州登記名冊列出了已登記的仲介商。這種買賣可以是公開進行的：在奧地利郵政案中，奧地利的郵政業者表示，它會將個人資料「提供給交易夥伴作為行銷用途」，後來列出的接收者還包括「郵寄清單供應商」。不過該案涉及的是郵政業者持有的資料，而非電子郵件地址。