為什麼突然一直收到垃圾郵件？原因與處理步驟

如果你突然一直收到垃圾郵件，通常是有人把你的信箱拿去註冊，一次登記了數百個郵寄清單（郵件轟炸，email bomb）；或是你的地址在資料外洩中流出、在某次註冊後被賣掉；又或是垃圾郵件發送者冒用它當作寄件者。比較少見的情況是：你的帳號被人入侵、篩選器或 App 的變動讓更多郵件進到收件匣，或有人在猜你自有網域上的名稱。從收到的郵件類型，就能判斷是哪一種。請先檢查有沒有詐騙：郵件轟炸常被用來掩護一筆購物或一次重設密碼，目的就是讓你沒注意到。為了下一次，CatchNone 會在 iPhone、iPad 和 Mac 上為每個購物網站、電子報和帳號提供專屬地址，這樣暴增的郵件就會集中在某一個別名上，並顯示它來自哪裡。

請依照以下順序逐一排除原因，最緊急的排在最前面：

1. 郵件轟炸：每小時收到幾十到幾百封註冊確認信。
2. 帳號遭到入侵：從你的帳號寄出、卻不是你寫的郵件，或不是你更改的設定。
3. 資料外洩或垃圾郵件名單：來自陌生寄件者的垃圾郵件穩定增加。
4. 註冊後地址被賣掉或分享：你從沒往來過的公司寄來行銷郵件。
5. 偽造寄件者（spoofing）：顯示為「寄自」你自己地址的垃圾郵件或退信。
6. 篩選器或 App 的變動：同樣的郵件，只是分類方式不同了。
7. 對 catch-all（全收信）網域的字典式猜測：寄到你自有網域上虛構名稱的郵件。

先確認垃圾郵件沒有在掩護詐騙

郵件轟炸攻擊會用大量郵件淹沒同一個地址。它常見的形式是訂閱轟炸，用的是真實公司寄出的真實確認信：有人把你的地址填進許多網站的註冊表單。資安研究人員描述過每小時超過 1,500 封郵件的爆量，Yahoo 則列出了攻擊的目的，其中包括「隱藏金融交易的確認郵件」。

如果你的收件匣塞滿了「確認你的訂閱」和「歡迎加入」之類的郵件，請先花 10 分鐘做以下檢查：

1. 直接打開銀行和信用卡的 App，不要透過郵件裡的連結，查看有沒有你不認得的付款。如果發現了，美國聯邦貿易委員會（FTC）建議立即向發卡機構或銀行回報，撥打「卡片背面的電話號碼」或使用它們的 App。

2. 登入存有你信用卡資料的購物網站，檢查最近的訂單。

3. 搜尋你的信箱（包括垃圾郵件和垃圾桶），找出可能被洪流淹沒的郵件：重設密碼、登入通知、復原資訊變更，以及訂單和付款確認。在 Gmail 中，這個搜尋涵蓋最近一週；把 7d 改掉，就能往回搜尋到洪流開始的時候：

   in:anywhere newer_than:7d {subject:password subject:security subject:"sign in" subject:login subject:recovery subject:order subject:receipt subject:payment}

   在 Outlook.com、iCloud 郵件或 Yahoo 中，請逐一搜尋這些字詞。

4. 如果發現任何不是你做的操作，請到該帳號自己的網站或 App 更改密碼，然後依照下方的帳號被盜檢查逐項確認。

還要提防下一步。在美國網路安全暨基礎設施安全局（CISA）和 Microsoft 記錄的攻擊中，洪流過後，會有人假冒 IT 支援人員打電話或傳 Microsoft Teams 訊息，說要幫忙處理垃圾郵件，並要求受害者安裝 Quick Assist 或 AnyDesk 等遠端存取工具。Microsoft 表示：「如果你沒有要求，我們不會打電話給你提供支援。」請直接掛斷，或忽略訊息。如果是工作帳號，請透過你原本就在用的管道聯絡 IT 部門。

為什麼突然一直收到垃圾郵件？從郵件特徵找出原因

垃圾郵件突然變多時，郵件本身就會留下線索。找出符合你所見情況的那一列：

信箱被拿去註冊、遭到郵件轟炸時怎麼辦

郵件轟炸無法從源頭阻止，因為這些郵件來自真實的註冊表單。但你可以讓它不礙事，同時不漏掉真正重要的那封郵件：

1. 不要點擊洪流中的「確認」或「驗證」連結。在採用雙重確認（double opt-in）的名單上，你要點了才會被加入；例如 Mailchimp 只會在聯絡人「點擊連結驗證電子郵件」後才加入他們。並非每個名單都要求確認，所以有些還是會繼續寄信。
2. 不要大量刪除，也不要逐一封鎖寄件者。大量刪除可能把那封安全性郵件也一起刪掉，而更換地址的寄件者也能繞過封鎖。
3. 建立一個暫時的篩選器。讓它把確認信移到資料夾或標籤，排除任何和密碼、安全性、訂單或付款有關的郵件，而且絕不刪除。請在郵件服務商的網站上建立：新版 Outlook for Windows 不會為 Gmail、Yahoo 或 iCloud 帳號執行規則。
4. 每天檢查一次那個資料夾。接下來幾天，重複檢查銀行和訂單。
5. 洪流停止後，移除篩選器。接著用每個寄件者自己的連結，或在 Gmail 中點選「More」（更多）→「管理訂閱項目」，取消訂閱仍在寄信的郵寄清單（截至 2026 年 9 月，這項功能仍在逐步推出）。這些清單屬於真實的公司，所以取消訂閱通常有效。真正的垃圾郵件就不一樣了：請參考取消訂閱連結什麼時候可能有惡意。

不會漏掉安全性郵件的篩選器

在 Gmail 中，下面這組條件會比對常見的確認信主旨，並排除安全性和訂單郵件。請依你看到的郵件修改這些字詞：

{subject:confirm subject:subscription subject:welcome subject:newsletter subject:verify} -subject:password -subject:security -subject:"sign in" -subject:login -subject:code -subject:order -subject:receipt -subject:payment

1. 在電腦上，把它貼到 Gmail 頂端的搜尋框，然後按下 Enter 鍵。確認搜尋結果都是洪流郵件，沒有你需要的郵件。
2. 點選「Show search options」（顯示搜尋選項），檢查條件，然後點選搜尋視窗底部的「Create filter」（建立篩選器）。
3. 選擇略過收件匣，並套用新標籤，例如 Flood。不要選擇刪除。
4. 點選「Create filter」（建立篩選器）。完整步驟請參考 Gmail 的篩選器說明。

其他郵件服務（截至 2026 年 9 月）：

如何檢查電子郵件帳號是否被盜用

收到的垃圾郵件變多，本身並不代表你的電子郵件帳號被入侵，不過洪流確實可能掩護盜用帳號的企圖。比較明確的跡象是：有你沒寄的郵件從帳號寄出（因此會有退信和回覆寄回來），以及有你沒改過的設定。FTC、Google 和 Apple 都列出了這些跡象：朋友收到不是你寄的郵件、已寄出郵件的資料夾裡有不是你寫的郵件、你收到不是你本人操作的登入或密碼變更通知，或是你沒要求的雙重驗證碼，又或是你無法登入。

如果無法登入，請改從郵件服務商的復原步驟開始：Google、Microsoft 或 Apple。如果還能登入，請在你信任的裝置上依以下順序處理：

1. 更改密碼。你更改密碼時，Google 和 Apple 會撤銷應用程式密碼。Microsoft 的說明沒有提到是否會撤銷，所以請手動移除。
2. 移除不是你設定的轉寄、篩選器、委派存取權和應用程式密碼。轉寄規則在更改密碼後仍可能繼續有效。
3. 查看最近的登入記錄和裝置。把你不認得的都登出。
4. 檢查你的復原用電子郵件地址和電話號碼。然後開啟兩步驟驗證。
5. 查看已寄出郵件和垃圾桶。找出入侵者寄出或讀過的郵件，並提醒收到「你」寄來郵件的人。

以下是各服務商說明頁面（截至 2026 年 9 月）列出的檢查位置：

Gmail 和你的 Google 帳戶

• 安全性事件：Google 帳戶 →「Security & sign-in」（安全性與登入）→「Recent security events」（最近的安全性事件）面板 →「Review security events」（查看安全性事件）。對於任何你不認得的事件，選取「No, it wasn’t me」（不是，這不是我）。
• 裝置：Google 帳戶 →「Your devices」（你的裝置）→「Manage devices」（管理裝置）。
• 最近的 Gmail 存取記錄：在電腦上的 Gmail 右下角，點選「Details」（詳細資料），即可查看最近 10 個 IP 位址和存取類型，例如 IMAP。如果你在手機上使用 Gmail，清單可能會顯示電信業者的位置，而那可能離你所在的地方很遠。
• Gmail 設定：「Settings」（設定）→「See all settings」（查看所有設定），然後檢查「Forwarding and POP/IMAP」（轉寄和 POP/IMAP）分頁、「Filters and Blocked Addresses」（篩選器和封鎖的地址），以及「帳戶和匯入」下的「Grant access to your account」（授權他人存取你的帳戶）部分。
• 應用程式：從應用程式密碼和可存取你帳戶的應用程式中，移除任何不熟悉的項目。

Outlook.com、Hotmail 和你的 Microsoft 帳戶

• 登入記錄：「Recent activity」（最近的活動）頁面涵蓋最近 30 天，但不包含每一次登入。如果出現「Unusual activity」（異常活動）區段，請逐項檢查；任何不是你的活動，選擇「This wasn’t me」（這不是我）。對於「Recent activity」清單中任何可疑的項目，選取「Secure your account」（保護你的帳戶）。
• 轉寄和規則：在 Outlook.com 中，前往「Settings」（設定）→「Mail」（郵件）→「Forwarding」（轉寄），清除「Enable forwarding」（啟用轉寄）後選取「Save」（儲存）；另外也檢查「Settings」（設定）→「Mail」（郵件）→「Rules」（規則）。
• 應用程式密碼和工作階段：在 Microsoft 帳戶儀表板的「Advanced security options」（進階安全性選項）下，檢查「App passwords」（應用程式密碼）區段，並使用「Sign out everywhere」（在所有地方登出）；Microsoft 表示這最多需要 24 小時。
• 其他設定：Microsoft 的復原步驟也提到要檢查「已連結的帳戶、轉寄和自動回覆」。

iCloud 郵件和你的 Apple 帳號

• 裝置：在 account.apple.com 上選取「Devices」（裝置），並移除任何你不認得的裝置。
• App 專用密碼：account.apple.com >「Sign-In & Security」（登入與安全性）>「App 專用密碼」>「Remove」（移除），或「Revoke all」（全部撤銷）。更改密碼本來就會撤銷所有 App 專用密碼。
• 轉寄和規則：在 icloud.com/mail 上，選取「Mailboxes」（信箱）列表頂端的「Settings」（設定）按鈕 >「Settings」（設定），然後檢查側邊欄中的「Mail Forwarding」（郵件轉寄）和「Rules」（規則）。
• 登入記錄：Apple 沒有記載像 Gmail 那樣的存取記錄。它提供的線索是登入通知、你沒有要求的雙重認證碼，以及「Devices」（裝置）列表。

你的信箱是否在新的資料外洩事件中洩漏？

在 Have I Been Pwned（HIBP）上搜尋你的地址。這是由資安研究人員 Troy Hunt 經營的免費服務。截至 2026 年 9 月 25 日，它的首頁統計有 1,038 個外洩網站，以及超過 170 億個外洩地址（同一個地址出現在多起外洩事件中，會每起各算一次）。

• 資料外洩結果會列出是哪個服務洩漏了你的地址，以及發生時間。如果是最近發生的，就可能說明垃圾郵件和網路釣魚郵件為什麼變多。
• 垃圾郵件名單結果表示你的地址出現在用於針對性垃圾郵件的資料中，這直接說明了垃圾郵件的來源。
• 沒有結果說明不了太多：「許多資料外洩事件的資料從未公開釋出。」
• 分別搜尋你使用的每個地址（包括加號地址），並開啟 HIBP 免費的「Notify Me」（通知我）提醒。

資料外洩也可能以另一種形式出現：一封引用你某組密碼並要求付款的郵件。FTC 的建議是：「停下來。不要付任何錢。刪除這封郵件。這是詐騙。」如果你還在使用那組密碼，請在所有地方更改。你的地址還可能經由哪些管道流出，請參考垃圾郵件發送者如何取得電子郵件地址。

註冊之後，你的地址被賣掉或分享出去

如果新增的郵件是你從未使用過的公司寄來的一般行銷郵件，而且是在你到某處註冊後不久開始的，你的地址很可能已被轉手。FTC 表示，當你把電子郵件地址交給一家公司，「它可能會分享或出售給第三方」。Microsoft 指出了其中一種途徑：結帳時的核取方塊已預先勾選，讓商店可以把你的地址提供給其他企業。

1. 向真實的公司取消訂閱。使用每個寄件者自己的連結，或在 Gmail 中點選「More」（更多）→「管理訂閱項目」。在美國，《CAN-SPAM 法》規定寄件者必須「在 10 個工作天內」處理你的退訂要求，之後也「不得出售或轉讓」你的地址。
2. 在你註冊的地方關閉資料分享。在你於那家公司的帳號中，找出行銷或合作夥伴分享的設定並關閉。
3. 追查來源。想知道是哪次註冊外洩的，請參考如何查出是誰賣了你的電子郵件地址。下次註冊時，替每次註冊使用專屬的別名，就像 CatchNone 的做法，這樣地址下次被賣掉時，就能看出來源。

為什麼會收到來自自己地址的垃圾郵件？

寄件者顯示為你自己地址的郵件，通常是偽造的，而不是從你的帳號寄出。用 SPF 標準的話來說：「現有的協定並未限制寄件主機可以用什麼作為郵件的『MAIL FROM』。」有三種檢查機制可以抓出偽造的郵件：

• SPF（RFC 7208）列出獲准為某個網域寄送郵件的伺服器。
• DKIM（RFC 6376）為每封郵件加上數位簽章，收件伺服器會用寄件網域在其 DNS（網域名稱系統）中公布的公開金鑰來驗證。
• DMARC（RFC 9989，已於 2026 年 5 月取代 RFC 7489）告訴收件伺服器，網域希望如何處理未通過這些檢查的郵件：沒有偏好，由收件方決定（none）、視為可疑（quarantine），或拒收（reject）。

要分辨是偽造寄件者還是帳號被盜：

1. 打開已寄出郵件的資料夾。偽造的郵件從未經過你的帳號，所以不會出現在那裡。不過入侵者可以刪除已寄出的郵件，所以也要檢查你的登入活動。
2. 檢查郵件的驗證結果。在 Gmail 中，寄件者名稱旁邊出現問號，代表這封郵件「未經驗證」；點選寄件者名稱下方的向下箭頭，就能看到「Mailed by」（寄件者）和「Signed by」（簽署者）。在 Outlook 中，如果某個寄件者平常沒有「?」，寄件者圖像卻出現了「?」，這「可能表示寄件者遭到冒充」。想在 Gmail 中查看完整結果，請點選「Reply」（回覆）旁的「More」（更多），然後點選「顯示原始郵件」（Google）；在其他 App 中，請找出 Authentication-Results 標頭。
3. 解讀結果。顯示你地址的郵件如果出現 spf=fail、spf=softfail 或 dmarc=fail，通常代表它是偽造的：用篩選器處理掉，不必再理會。如果被偽造的地址在你自有的網域上，發布 SPF 記錄、DKIM 簽章，以及 quarantine 或 reject 的 DMARC 政策，就能讓收件伺服器把偽造郵件送進垃圾郵件，或直接拒收。如果 DKIM 通過，而且是以郵件服務商自己的網域簽署（例如「Signed by」為 gmail.com），就表示郵件可能真的是透過你的帳號寄出，請依照帳號被盜檢查逐項確認。

收到一大堆「Undeliverable」（無法傳遞）郵件，對應的卻是你從未寄出的郵件，這是從另一面看到的同一種偽造。Microsoft 稱之為反向散射（backscatter）：垃圾郵件發送者在郵件上填了一個真實的地址，無法投遞這些郵件的伺服器就會把退信寄到那個地址。這並不代表你的帳號被人使用：檢查已寄出郵件，然後用篩選器處理退信，直到它們停止。

變的不是垃圾郵件，而是你的篩選器或郵件 App

有時候郵件還是一樣，只是分類方式變了：

• Gmailify 即將終止。Gmail 將在 2027 年 1 月停止篩檢透過 Gmailify 連結的 Yahoo、Outlook 和其他帳戶；如果你把其中一個帳戶改用 IMAP 連到 Gmail App，停止時間會更早。從那時起，除非你把該服務的郵件轉寄到 Gmail，否則你看到哪些郵件，將由那家服務商自己的垃圾郵件過濾器決定。
• iPhone「郵件」的分類。從 iOS 18.2 開始，「郵件」可以把郵件分成「Primary」（主要）、「Transactions」（交易）、「Updates」（更新）和「Promotions」（促銷）（並非所有國家或地區都提供）。如果收件匣被切換成「List View」（列表檢視），也就是點了收件匣頂端的「More」（更多）按鈕 >「List View」，原本放在「Promotions」和「Updates」下的郵件，現在都會出現在主要列表中（Apple）。
• 有郵件略過了垃圾郵件資料夾。設為永不送往垃圾郵件的篩選器，或看似來自聯絡人的垃圾郵件，都可能進到你的收件匣；iCloud 表示，「來自 iCloud 聯絡人中的人或最近對話的郵件，不會進入『垃圾郵件』信箱」（Apple）。檢查你的篩選器，並把垃圾郵件標示為垃圾郵件，而不是直接刪除。
• 新版 Outlook for Windows。你在傳統版 Outlook 中依賴的規則，可能已不再分類 Gmail、Yahoo 或 iCloud 郵件。請依照上方的篩選器步驟，在郵件服務商那裡設定。

寄到你自有網域上虛構名稱的郵件

catch-all 會接收寄到你網域上任何地址的郵件，連拼錯的地址也照收。垃圾郵件發送者會猜測 info@、admin@ 和 sales@ 等常見名稱，而 catch-all 對這些一律照收。

把寄到被猜中名稱的郵件設為丟棄，或關閉 catch-all，只建立你實際使用的地址。如果你靠 catch-all 為每個網站使用不同的地址，關閉它就代表必須先在郵件服務商那裡逐一建立這些地址。許多郵件服務商都能讓你為某一個被猜中的地址新增規則。默默丟棄郵件的規則不會給猜測者任何退信，所以這個地址可能看起來有效，對方也可能繼續寄；讓郵件退信的規則則會告訴對方這個地址不存在，而你網域上的其他地址照常收信。各家主機封鎖單一地址的步驟，請參考如何在 catch-all 上停用單一地址。

垃圾郵件暴增會持續多久

如果你最近一直收到很多垃圾郵件，它會不會停止，取決於原因：

• 郵件轟炸通常會在大約一週內結束，Yahoo 這麼表示；不過沒有要求確認就把你加入的名單，會一直寄到你取消訂閱為止。
• 取消訂閱在美國依據《CAN-SPAM 法》，最多可能需要 10 個工作天才會生效。
• 資料外洩和名單販售帶來的垃圾郵件會逐漸減少，但很少完全停止；請參考長期下來有哪些方法能減少垃圾郵件。
• 偽造寄件者和反向散射會在攻擊活動轉移目標後結束。
• 遭到入侵的帳號在入侵者被踢出後，就會停止寄信。

除了向郵件服務商回報，也要向其他單位檢舉網路釣魚郵件：在美國，轉寄到 reportphishing@apwg.org，並在 ReportFraud.ftc.gov 檢舉；在英國，轉寄到英國國家網路安全中心（NCSC）的 report@phishing.gov.uk。

用 CatchNone 追查下一次暴增

CatchNone 讓下一次暴增很容易追查。當每個購物網站、電子報或帳號都有自己的別名，多出來的郵件就會集中在某一個別名上，來源一看就知道，而且每封郵件都會標示它寄達的別名。「活動」會依別名繪製郵件圖表，並由一條簡單的規則加上「郵件比平常多」提示。別名郵件在專屬的 App 中讀取，郵件開啟時，遠端影像（包括大部分追蹤像素）會被擋下，直到你載入為止。

某個別名開始收到大量郵件時，就把它關閉：如果是 @catchnone.com 地址（Premium），寄件者會收到退信，而你的其他別名照常運作。在你自有的網域上，把別名標示為「未使用」只是一個標籤，所以請在郵件服務商那裡用規則封鎖該地址。寄到 @catchnone.com 的洪流也會計入每日上限（英文）：每個 UTC 日最多接收 500 封郵件，單一地址最多 250 封；超過上限的郵件目前會被拒收，App 也不會提醒你。在你自己的網域上，CatchNone 每次檢查會讀取收件匣中最新的 100 封郵件，所以面對非常大量的洪流時，計數會偏低。

CatchNone 刻意設計為只收信。它沒有垃圾郵件過濾功能，也不會清理已經湧入你主要地址的洪流；它會在你打開 App 時檢查郵件，而不是發送通知，所以銀行和帳號復原郵件請留在你的主要地址。下載 CatchNone，支援 iPhone、iPad 和 Mac。

常見問題

郵件轟炸違法嗎？

這取決於你住在哪裡，而且本文不構成法律建議。真正該檢舉的，是它常用來掩護的詐騙：任何不是你付的款項，都要告訴銀行；在美國，可以到 ReportFraud.ftc.gov 檢舉詐騙，並到 IdentityTheft.gov 檢舉身分盜用。

為什麼我的 Outlook、Hotmail 或 Yahoo 一直收到垃圾郵件？

每家服務商的原因都一樣，只是要檢查的地方不同：請參考 Microsoft 帳戶檢查，以及篩選器表格中 Outlook.com 和 Yahoo 的那兩列。

第一個小時該做什麼？

檢查銀行和信用卡 App、最近的訂單，並在信箱（包括垃圾郵件和垃圾桶）中搜尋密碼、安全性和訂單相關郵件，做法如上方的詐騙檢查。如果有任何跡象顯示帳號被入侵，請進行帳號被盜檢查；接著用篩選器把洪流移到資料夾而不要刪除，並忽略任何打電話或傳訊息說要幫你處理垃圾郵件的人。