垃圾郵件原因：對方怎麼拿到你的 email 地址？7 大管道

會收到垃圾郵件，原因在於你的地址被垃圾郵件發送者拿到了：他們從資料外洩、公司販售或分享的名單中取得電子郵件地址，也會爬取網站和公開的個人檔案、猜測常見的名字、從別人的通訊錄中取得，或是翻出舊的網域註冊記錄。接著，他們會觀察哪些地址有人開信、點擊或回覆，藉此測試地址是否有效。就算是你從未給過任何人的地址，也可能因為被猜中、被爬取或存在別人的聯絡人中而收到垃圾郵件，而這些管道只有一部分是你能關上的。對於從你開始的那些管道，CatchNone 會為每家商店和每份電子報提供專屬地址，並顯示每封郵件寄到了哪一個，所以資料外洩或名單販售都會暴露來源，支援 iPhone、iPad 和 Mac。

垃圾郵件原因：對方取得 email 地址的 7 個管道

1. 資料外洩，以及由外洩資料整理出的密碼清單。
2. 名單販售與分享，經由資料仲介商和「合作夥伴」。
3. 爬取網頁、社群個人檔案和程式碼。
4. 猜測常見的名字，尤其是在接受任何地址的網域上。
5. 別人的通訊錄：聯絡人上傳、惡意軟體，以及冗長的副本（Cc）郵件串。
6. 2018 年以前的舊 WHOIS 記錄。
7. 確認：追蹤影像、點擊、回覆和空白測試郵件，能證明地址有效。

資料外洩和帳密組合清單

公司一旦遭到入侵，客戶名單可能隨之外洩，不論你是否還在使用該服務。截至 2026 年 9 月 25 日，Have I Been Pwned（HIBP）收錄了 1,038 起外洩事件、超過 178 億筆外洩帳號記錄。這個總數會把同一個地址在它出現的每一起外洩事件中各算一次，所以計算的是帳號，不是人數。你可以在那裡搜尋自己的地址，看看它出現在哪些外洩事件中、事件發生的時間，以及外洩了哪些資料。如果都沒有，那麼名單買賣、爬取或猜測的可能性較高。

外洩的地址會被一再利用。帳密組合清單（combo list）是從先前的外洩事件中蒐集而來的電子郵件地址與密碼配對，用於撞庫攻擊（credential stuffing），也就是拿同一組密碼到其他網站嘗試登入。HIBP 形容 Collection #1（2019 年）包含「7 億 7,300 萬個不重複的電子郵件地址，以及這些地址在其他外洩服務上用過的密碼」。竊密日誌（stealer log）是第三種來源：受感染裝置上的惡意軟體會記錄「電子郵件地址、密碼，以及登入時輸入這些資料的網站」。

能關上嗎？不能。但你可以限制單一外洩事件造成的影響：每個網站使用不同的密碼、為電子郵件帳號開啟兩步驟驗證，並給每家公司各自的地址，這樣外洩時流出的只是一個備用地址，而不是你的主要地址。HIBP 免費的 Notify Me（通知我）提醒功能，會在下一次外洩時通知你。

名單買賣、資料仲介商和「我們的合作夥伴」

美國聯邦貿易委員會（FTC）說得很直白：「當你把電子郵件地址交給一家公司，它可能會分享或出售給第三方。」註冊表單也在餵養同一門生意。美國網路安全暨基礎設施安全局（CISA）指出，接收其他產品相關郵件的選項有時會預設勾選，「如果你沒有取消勾選，也可能開始收到來自這些名單的郵件」。抽獎、有償問卷和禮物卡優惠同樣是來源：HIBP 表示，垃圾郵件名單經常是「以金錢回報為誘餌，向人們套取個人資料」彙整而成。

誰會買電子郵件地址？行銷業者向名單販售商和資料仲介商（蒐集並轉售個人資料的業者）購買，垃圾郵件發送者則彼此買賣：Spamhaus 的消費者常見問題就把「向其他垃圾郵件發送者購買」的地址列為他們的來源之一。企業名單本身也是一種商品。2016 年，Dun & Bradstreet 旗下 NetProspex 服務的一份名單在網路上外洩，內含超過 3,300 萬名美國企業人士的資料，D&B 認為是某個買下這份名單的客戶讓它流出的。

在美國，《CAN-SPAM 法》並不要求事先取得同意才能寄送行銷郵件。不過，一旦你選擇退出，公司必須在 10 個工作天內停止寄信給你，而且從你提出要求的那一刻起，就「不得出售或轉讓」你的地址。

能關上嗎？部分可以。取消預先勾選的選項，退訂你不看的行銷郵件，並給每家公司各自的地址，這樣下次名單被賣時，就能看出是誰賣的。如何查出是誰賣了你的 email 地址深入說明了郵件標頭、外洩查詢和個資查閱請求。

爬取：網站、個人檔案和程式碼

CISA 警告：「垃圾郵件發送者可以蒐集任何張貼在網站上的電子郵件地址。」在 FTC 於 2002 年進行的一項實驗中，張貼在網頁上的地址有 86% 在 6 週內收到垃圾郵件，而一個張貼在聊天室的地址，在第一次使用後 9 分鐘就收到了垃圾郵件（ICANN 轉載的實驗結果）。地址放在頁面上的哪個位置並不重要：「只要地址裡有『@』符號，就會招來垃圾郵件。」

個人檔案會被大規模爬取。根據 HIBP，攻擊者在 2021 年爬取了數億筆公開的 LinkedIn 個人檔案，從中取得約 1 億 2,500 萬個不重複的電子郵件地址。攻擊者也曾濫用 Twitter 一個能把電子郵件地址對應到帳號的 API，以這種方式蒐集的超過 2 億筆記錄在 2023 年流出。

公開的程式碼也會暴露地址：每一筆 Git commit 都帶有作者的電子郵件地址。在 GitHub 上，前往「Settings」（設定）→「Emails」（電子郵件），選取「Keep my email addresses private」（不公開我的電子郵件地址）和「Block command line pushes that expose my email」（阻擋會暴露我電子郵件地址的命令列推送），然後在電腦上把 Git 設定為那裡顯示的 @users.noreply.github.com 地址。變更前建立的 commit「仍會與你先前的電子郵件地址相關聯」（GitHub Docs）。完整步驟請參閱讓你的地址不出現在 GitHub 和 GitLab 的 commit 中。

能關上嗎？往後可以。依照 CISA 的建議，別把主要地址放在公開頁面上，改用聯絡表單或另一個地址，並將社群個人檔案設定為只有你信任的人才能看到你的電子郵件地址。已經被爬走的地址則會繼續流傳。

猜測：垃圾郵件發送者能直接猜到你的地址嗎？

能，而且不需要任何名單。ICANN 的安全委員會在 2007 年描述過這種手法：垃圾郵件發送者會嘗試「單獨或串接的常見名字與姓氏」，或是所有字元組合，然後留下郵件伺服器接受的地址。這稱為目錄收割攻擊（directory harvest attack）。在該委員會的一項測試中，70% 的垃圾郵件寄往測試網域上從未在任何地方公開過的地址。簡短、常見的名字最容易成為目標，而公司若採用 first.last@example.com 這類格式，任何人都能拼出員工的地址。

catch-all（全收信）地址會接受每一個猜測。如果你自己的網域會收下寄給任何地址的郵件，那麼不論你是否用過 admin@example.com 和 info@example.com，寄到這些地址的郵件都會送到你手上。addy.io 的常見問題警告「垃圾郵件發送者和機器人經常嘗試隨機的電子郵件地址」，cPanel 也指出，當垃圾郵件發送者鎖定某個網域時，catch-all「可能會收到大量垃圾郵件」。什麼是 catch-all 電子郵件地址？完整說明了其中的取捨。

能關上嗎？部分可以。簡短、常見的地址始終猜得到，但你的下一個地址不必如此：依照英國資訊專員辦公室（ICO）的建議，選一個難以猜測的地址。在你自己的網域上，關閉 catch-all，猜測的地址就寄不到你這裡。如果你要保留 catch-all，就在郵件主機上封鎖被猜中的名字。例如在 Cloudflare Email Routing（電子郵件路由）中，前往「Compute」（運算）→「Email Service」（電子郵件服務）→「Email Routing」（電子郵件路由）→「Routing Rules」（路由規則），為該地址新增一條動作為「Drop」（捨棄）的規則，它會「刪除符合規則的郵件，而不加以路由」。Cloudflare 提醒，對寄件者來說，這個地址看起來仍然有效；請寄一封測試郵件，確認這條規則優先於你的 catch-all。

別人的通訊錄和收件匣

你的地址存在於每一個和你通過信的人的聯絡人中，而這些副本不在你的掌控之內。

• 聯絡人上傳。當有人在 Facebook、Messenger 或 Instagram 同步聯絡人時，Meta 每天都會上傳「對方通訊錄中的姓名、電話號碼和電子郵件地址」，其中也包括沒有使用 Meta App 的人。光是這樣並不會讓你的地址落入垃圾郵件發送者手中，但 Meta 表示，在 2019 年 9 月以前，曾有爬取者濫用它的聯絡人匯入工具，把電話號碼對應到帳號。
• 別人電腦上的惡意軟體。Emotet 惡意軟體能「從 Outlook 擷取電子郵件地址」，並劫持真實的郵件串來散播（CISA 公告 AA20-280A）。
• 副本郵件串和郵寄清單。一封轉寄多次的長郵件會帶著串中的每一個地址，ICANN 的安全委員會也描述過垃圾郵件發送者加入郵寄清單，從 From、Reply-To 和 Cc 標頭中蒐集地址。
• 有人幫你註冊。Gmail 說明中心提到，有人可能會不小心或故意使用你的地址「來訂閱電子郵件，例如促銷郵件或電子報」。

能關上嗎？無法直接關上。群組郵件請用密件副本（Bcc），轉寄郵件串前先刪除其他人的地址，並請別人也這麼做。

舊的 WHOIS 記錄

網域註冊記錄過去會公開擁有者的電子郵件地址。ICANN 的安全委員會在 2007 年得出結論：出現在 WHOIS 中的地址「幾乎保證會收到垃圾郵件」。

這個管道大多已經關上。自 2018 年 5 月 25 日起，ICANN 的臨時規範（Temporary Specification）要求網域註冊商遮蔽與歐洲相關的註冊聯絡資料，並允許他們在其他地區也這麼做，改為提供中繼地址或網頁表單。Interisle 在 2021 年的一項研究發現，.com 等通用網域中，只有 13.5% 仍列出真實的註冊人。ICANN 自 2025 年 8 月 21 日起生效的永久性註冊資料政策（Registration Data Policy）沿用了相同的模式。

不過在以下情況，這個管道依然存在：你同意公開資料時；註冊商會公開組織或歐洲以外註冊人的資料時；某些國碼網域依其自身規則公開時；以及付費的 2018 年以前記錄檔案庫中。

能關上嗎？預設下大多已關上。如果你擁有網域，可以到 ICANN Lookup 查詢，看看哪些資料是公開的，保持註冊商的隱私保護選項開啟，也不要同意公開你的聯絡資料。

確認：開信、點擊、回覆和空白郵件

確定有效的地址更值錢。Spamhaus 的消費者常見問題指出，垃圾郵件發送者會「把有效地址當作『確認可送達』的地址，以高價賣給更多垃圾郵件發送者」。他們透過以下方式確認地址：

• 追蹤影像。「當你的郵件軟體從他們的網頁伺服器下載圖片時，垃圾郵件發送者就知道你打開了這封郵件」（CISA）。
• 點擊和回覆。任何點擊或回覆，包括要求「把我移除」，都能證實有人在讀這個地址的郵件。
• 取消訂閱連結。一鍵取消訂閱的標準 RFC 8058 指出，取消訂閱「會向寄件者強烈暗示，收到這封郵件的地址是有效的」。
• 空白郵件。Gmail 說明中心指出：「為了檢查電子郵件地址是否有效，垃圾郵件發送者經常寄出內文和主旨都沒有內容的郵件。」有效的地址之後就會收到垃圾郵件。

能關上嗎？可以。陌生人寄來的郵件，不要回覆、點擊或取消訂閱，而是回報為垃圾郵件。至於你認得或註冊過的品牌，可以依照 Gmail 的建議使用郵件 App 的「取消訂閱」按鈕，或依照 ICO 的建議使用郵件中的退訂選項；取消訂閱連結什麼時候是安全的依寄件者說明了判斷原則。

接著，別讓影像洩露你的行蹤。在 iPhone（iOS 27）的「郵件」App 中，前往「設定」>「App」>「郵件」>「隱私權保護」，開啟「保護郵件活動」，它會在背景以不公開的方式載入影像，讓寄件者無法得知你是否讀過郵件、何時讀的（Apple 使用手冊）。在電腦版 Gmail 中，前往「Settings」（設定）→「See all settings」（查看所有設定），將「Images」（圖片）設為「Ask before displaying external images」（顯示外部圖片前先詢問），然後按一下「Save Changes」（儲存變更）（Google 說明）。兩者都不涵蓋連結或附件。如何阻擋追蹤像素說明了其他郵件 App 的設定步驟，以及各自仍會透露哪些資訊。

收到奇怪的 email？判斷它是從哪個管道來的

密件副本會隱藏其他收件者，而 Gmail 說明中心指出「垃圾郵件發送者有時會在『密件副本』欄位中加入隨機的電子郵件地址，試圖引誘收件者回應」，所以不要回應。

有沒有垃圾郵件名單可以查詢或退出？

並沒有官方的垃圾郵件收件者名單，也沒有辦法讓自己從垃圾郵件發送者的名單上除名。你可以查看自己的地址是否出現在外洩的垃圾郵件發送者名單中：到 Have I Been Pwned 搜尋即可，截至 2026 年 9 月 25 日，它收錄了 16 份這類名單。其中最大的是 Onliner Spambot（7 億 1,100 萬個地址，2017 年）和 River City Media（3 億 9,300 萬個，2017 年）。如果搜尋結果中出現其中一份名單的名稱，就代表垃圾郵件發送者曾經握有你的地址。

黑名單（blocklist）則是另一回事：它追蹤的是垃圾郵件從哪裡來。Spamhaus 將黑名單定義為「包含 IP 位址、網域或雜湊值的資料庫」，其中每一筆被列入，都是因為曾被發現寄送垃圾郵件或造成其他危害，或是信譽不佳。它的 Hash Blocklist 可以包含電子郵件地址，但那些是寄送垃圾郵件或出現在垃圾郵件中的地址，例如遭駭的帳號。MxToolbox 的 Blacklist Check 等黑名單檢查工具，檢查的是郵件伺服器的 IP 位址，而不是你的電子郵件地址。

「拒收郵件」登記名單也幫不上忙。FTC 在 2004 年向美國國會表示，這類登記名單很可能適得其反，因為「垃圾郵件發送者會把這種登記名單當成有效電子郵件地址的目錄」（FTC）。對於承諾把你從垃圾郵件發送者名單上移除的付費服務，Spamhaus 形容它們「往好處說是詐騙，往壞處說就是替垃圾郵件發送者確認『有效地址』的系統」。

最接近的實際選項，能觸及的是守法的企業，而不是垃圾郵件發送者。截至 2026 年 9 月：

• 加州的 DROP（Delete Request and Opt-out Platform，刪除請求與退出平台）讓加州居民只要提出一次免費的刪除請求，就能送達超過 600 家已登記的資料仲介商，這些業者必須至少每 45 天處理一次請求。它無法觸及你直接往來過的公司（DROP 的條款）。
• 美國全國廣告主協會（Association of National Advertisers）的 Email Preference Service（電子郵件偏好服務）可從 DMAchoice.org 前往，免費且效期 10 年（FTC），但只對會用它來清理名單的行銷業者有效。

別人只知道你的 email 地址，能做什麼？

沒有你的密碼，能做的事比你擔心的少。光憑地址，別人可以：

• 寄出看起來很真的詐騙 email（網路釣魚），尤其是搭配外洩資料中的細節時
• 拿其他網站外洩的密碼嘗試登入你的帳號
• 查出你使用哪些服務，就像 Twitter 的 API 過去能做到的那樣
• 幫你訂閱你從沒要求過的郵件
• 把地址轉賣出去，一旦確認有效，還能賣得更高

詐騙者為什麼想要你的 email 地址？

因為這是進入你收件匣的第一步，而一旦罪犯進入你的電子郵件帳號，就可能「重設你所有其他帳號的密碼」。英國國家網路安全中心（NCSC）建議為電子郵件設定一組強度高、不與其他帳號共用的密碼，並開啟兩步驟驗證。

垃圾郵件的寄件者顯示為你自己的地址，並不能證明有人入侵了你的帳號，因為 From 欄很容易偽造。如何確認你的電子郵件帳號是否遭駭逐步說明了 Gmail、Outlook.com 和「iCloud 郵件」的檢查方法。

把 email 地址給別人安全嗎？

通常是安全的。地址不是密碼，知道你的地址也打不開你的帳號。你的主要地址可以給認識的人和你依賴的公司，例如你的銀行。至於購物網站、電子報和單次註冊，每家公司各用一個地址，就能讓外洩和名單買賣波及不到你的主要地址；而你的主要地址根本不該公開張貼。

如何不讓垃圾郵件發送者拿到你的地址：哪些管道可以關上

取得「每家公司一個地址」的方法有好幾種。CatchNone 為每家公司提供專屬別名，讓這些郵件不進入你的主要收件匣，並在每封郵件上標示它寄達的別名，所以外洩或販售一看就知道。加號地址（plus addressing）上手更快，前提是你的郵件服務支援（you+shop@example.com），但任何人都能刪掉加號後的標記，所以只有在寄件者懶得刪除時，才能用它辨認外洩來源。Apple 的「隱藏電子郵件地址」（舊稱「隱藏我的電子郵件」，屬於 iCloud+）、DuckDuckGo Email Protection 和其他別名服務，會把郵件轉寄到你的收件匣。在自己的網域上使用 catch-all 也可行，但要承擔前面提到的猜測風險。電子郵件別名服務比較列出了它們的差異。

CatchNone 適合用在哪裡

CatchNone 處理的是從你交出地址開始的那些管道。每個購物網站、電子報或帳號都有自己的別名，每封郵件都會標示它寄達的別名，所以地址外洩或被賣掉時，一看就知道來源。「活動」會指出寄到未使用別名的郵件和首次來信的寄件者，遠端影像（包括大多數追蹤像素）也會維持阻擋，直到你載入為止。@catchnone.com 地址需要 Premium，而且是隨機指派的，例如 abcde-12345@catchnone.com，沒有人猜得到。寄到該網域上不存在的地址時，郵件會被接收後丟棄，猜測的人因此得不到任何資訊；而當你關閉一個已外洩的地址，寄件者就會收到退信。在你自己的網域上，被猜中的 catch-all 地址會以灰色標記顯示在它寄達的地址下，字典式垃圾郵件一眼就能認出。下載 CatchNone，支援 iPhone、iPad 和 Mac。

CatchNone 只負責收信，也不是垃圾郵件過濾器：它讓註冊郵件留在自己的 App 裡、遠離你的主要收件匣，並顯示每封郵件寄到了哪個別名。在你自己的網域上，把別名標為「未使用」只是一個標籤，所以請在郵件主機上封鎖地址。

常見問題

我從沒給過別人，垃圾郵件發送者怎麼會有我的 email 地址？

最有可能的是：他們猜中了；從張貼過這個地址的網頁、個人檔案或程式碼 commit 中爬取；從別人的通訊錄中取得；或是透過你曾經註冊卻已忘記的某家公司，因為該公司外洩或販售名單而拿到。判斷管道的對照表能把你看到的情況對應到可能的管道。

不認識的公司怎麼會有我的 email 地址？

通常來自你確實往來過的公司，它把你的地址分享或賣給了「合作夥伴」，而這往往是因為你註冊時沒有取消預先勾選的選項。資料仲介商也會蒐集並販售地址。名單買賣和資料仲介商一節中連結的指南，說明了如何查出是哪一家公司。

垃圾郵件發送者怎麼拿到我的公司 email 地址？

來源包括賣給行銷業者的企業聯絡人名單、你雇主的網站，以及猜測公司的地址命名格式。HIBP 收錄了數份外洩的企業名單，例如依雇主和職稱整理地址的 B2B USA Businesses。在英國，ICO 表示，機構可以在未經同意的情況下寄送行銷郵件到工作地址，除非該地址能識別出你本人；在這種情況下，你可以要求對方停止。