スパマーはどうやってあなたのメールを知る？7つの漏えい経路と対策

受信箱を開くと、知らないセール案内や怪しい当選通知が混ざっている——「いつ、誰が、どこから私のアドレスを手に入れたの？」と思ったことはありませんか。スパムは偶然降ってくるものではありません。どこかの段階でアドレスが外部に渡り、リスト化され、再販され、最終的に一斉配信の標的になります。経路を知ることは、削除ボタンを押し続けるより先にやるべき作業です。

#経路1：会員リストの転売・共有

最大の供給源です。サービスに登録してメールアドレスを渡した瞬間、その行は「顧客データ」になります。倒産時の資産売却、マーケ部門とデータブローカーとの提携、内部者による持ち出し——理由はさまざまですが、結果は同じで、数百万件規模のリストに合流し、一斉配信の「弾」として流通します。

厄介なのは透明性のなさ。どのサイトから漏れたか分からず、一度リストに載ったアドレスを取り消す手段もありません。

#経路2：大規模な情報漏えい（データブリーチ）

近年のセキュリティインシデントでは、メールアドレスはほぼ必ず流出フィールドに含まれます。多くのサイトでログインIDそのものがメールだからです。流出DBは地下市場で統合・重複排除され、フィッシング配信やリスト拡充の材料になります。一度しか使った覚えのない古い掲示板アカウントが、数年後の漏えいで蘇る——そんなパターンも珍しくありません。

#経路3：公開Webページをクローラが収集

掲示板の署名欄、個人サイト、GitHubのコミット履歴、会社サイトの「お問い合わせ」欄——インターネット上に平文で載っているアドレスは、email harvester（アドレス収集ボット）の標的です。正規表現で @ を含む文字列を機械的に拾い、24時間体制で巡回します。一度収集されれば「企業名录」「マーケティングリスト」として何度も転売されます。

#経路4：懸賞・クーポン・アンケートの登録

店頭のQR懸賞、資料請求、展示会の名刺交換代わりのメール登録、ショッピングモールのWi-Fi認証——細則の末尾に「今後のプロモーションに使用します」と書いてあるケースがほとんどです。紙の申込書に書いたアドレスがどこへ行くか追跡できない例も多く、一度本アドレスを渡すと長期間の広告メールが続くことがあります。

#経路5：一斉送信のCC（カーボンコピー）公開

複数人への通知をCCに全員分を並べて送ると、受信者全員が互いのアドレスを見られます。そのメールが転送されたり、誰かの受信箱が侵害されたりすれば、リスト全体が外部へ広がります。あなたが何もしていなくても、アドレスが漏れる典型例です。

#経路6：辞書式の総当たり（スプレー攻撃）

スパマーは「よくある名前＋数字」の組み合わせ（tanaka1985、info、support など）を大量生成し、主要プロバイダへ一斉送信します。短くてありふれたローカル部ほど当たる確率が上がります。どこにも登録していないのに時々スパムが来る——その背景にはこの広域スプレーがあります。

#経路7：権限過多のアプリ・拡張機能

連絡先へのアクセスを要求するスマホアプリ、出所不明のブラウザ拡張——端末内のメールアドレスやフォーム入力内容をサーバーへ送る例があります。自分は漏らしていなくても、あなたのアドレスが知人の連絡先帳に入っていれば、相手の端末経由で外部に出る可能性があります。

#対策：事後削除ではなく「層別メール」で先手を打つ

7つの経路に共通するのは、一度外に出たアドレスは二度と取り戻せないという点です。ブロックや報告は後始末に過ぎません。有効なのは、最初から本アドレスを露出させない設計です。実務で使いやすいのが次の3層モデルです。

層	使うアドレス	想定シーン
コア層	本メール（メインアドレス）	銀行、行政、仕事、家族——絶対に外部公開しない
隔離層	転送エイリアス	EC、ニュースレター、長期利用サービス——ソースごとに1本
使い捨て層	捨てメアド	掲示板登録、資料DL、懸賞——使い終わったら破棄

1. 一度きりのやり取りは捨てメアド。スレッドを読むためだけの登録、PDFダウンロードのためのメール入力——OTPやリンクを受け取ったら役目終了。リストに載ってもあなたの本アドレスには影響しません。
2. 継続関係には転送エイリアス。サービスごとに別エイリアスを発行し、本アドレスへ転送。特定のエイリアスだけスパムが増えたら、そのサービスが漏えい元だと特定でき、エイリアスを停止するだけで被害を止められます。
3. 公開が必要な場所には専用エイリアス。Webサイトに連絡先を載せるならコア層ではなく隔離層。クローラに拾われても、エイリアスを差し替えれば済みます。
4. 自分が送る一斉メールはBCCを使う。受信者リストを守ることは、自分のアドレスも守ることです。

#結語：漏れても致命傷にならない設計へ

すべてのサイトがデータを適切に扱う世界は、残念ながら現実的ではありません。7つの経路の半分はあなたの管理外です。だからこそ逆説的ですが、「漏れても困らないアドレス」を外に出す——この発想が最も現実的です。EmailFW ならトップページを開くだけで捨てメアドが使え、ログイン後は最大100本の転送エイリアスを作成できます。届いたメールは本アドレスへ転送され、30日間サイト上にも保存。スパムは転送前にフィルタリングされます。次の登録から層別化を始めれば、数週間後には本アドレスの受信箱が明らかに静かになるはずです。