Por que os e-mails corporativos publicados em um site recebem tanto spam?

Trabalho em uma empresa com site e temos publicado meu e-mail corporativo de vendas para que os clientes possam entrar em contato conosco.

Desde algum tempo notei que para este e-mail começa a chegar bastante spam. O curioso é que não se trata apenas de publicidade típica, mas de e-mails de todo tipo e aparentemente provenientes de diferentes países.

Alguns são ofertas comerciais que nunca solicitamos, outros tentam oferecer serviços bastante aleatórios e também chegam e-mails que parecem mais suspeitos, com botões, links ou mensagens projetadas para que você acesse outra página.

Por precaução, quando recebo algum que me parece estranho costumo revisá-lo antes de interagir com ele. Verifico o e-mail do remetente, o domínio de onde foi enviado, o link real por trás dos botões, se o domínio parece legítimo e se a mensagem tem sinais típicos de spam ou phishing. Em vários casos encontrei links com redirecionamentos, sistemas de rastreamento de cliques e domínios que não têm nenhuma relação clara com a empresa que supostamente está enviando o e-mail.

Isso me fez pensar que provavelmente nossos e-mails estejam sendo coletados automaticamente a partir de nossa página web.

Minhas dúvidas são:

Como conseguem normalmente esses e-mails? Existem bots que percorrem páginas web buscando endereços de e-mail e depois os adicionam a bases de dados?

Por que depois começam a chegar e-mails de empresas ou remetentes de tantos países diferentes? Os endereços coletados são vendidos ou compartilhados entre diferentes bases de dados?

Há alguma maneira de saber se nosso e-mail terminou em alguma base de dados de spam?

E principalmente, o que recomendam para evitar ou reduzir este problema quando necessariamente precisamos mostrar um meio de contato em nossa página web?

Pensei, por exemplo, em deixar de mostrar diretamente o endereço de e-mail e utilizar somente um formulário de contato, mas não sei se realmente isso soluciona o problema ou simplesmente o reduz.

Gostaria de conhecer a experiência de quem administra sites ou e-mails corporativos e saber quais medidas funcionaram para diminuir esse tipo de spam.

Respostas:

Existem bots que percorrem páginas web buscando endereços de e-mail e depois os adicionam a bases de dados?
RTA: Sim, é assim que eles fazem.

Por que depois começam a chegar e-mails de empresas ou remetentes de tantos países diferentes? Os endereços coletados são vendidos ou compartilhados entre diferentes bases de dados?
RTA: Sim, uma vez que o e-mail não retorna, ou seja, que existe, está funcional e administrado por humanos, é vendido em bases de dados tradicionais e não segmentadas.

Há alguma maneira de saber se nosso e-mail terminou em alguma base de dados de spam?
RTA: Se já chegam para você, você já está em uma lista e não sairá jamais.

E principalmente, o que recomendam para evitar ou reduzir este problema quando necessariamente precisamos mostrar um meio de contato em nossa página web?
RTA: Um formulário que permita enviar a solicitação de informação sem ter o e-mail público.

Nota adicional: Na Colômbia, por exemplo, as empresas se registram perante a Câmara de Comércio, que é uma organização. Eles ficam com todos os seus dados legais e quando alguém precisa deles, simplesmente os compra da Câmara completamente legais. Eu tenho uma empresa legal, mas só em documentos, nunca uso esse e-mail salvo para notificações legais e minha caixa de entrada por semana tem mais de 50 e-mails de muitas empresas me oferecendo coisas.

Vou completar o que o Fernando te disse, que é correto, com a parte prática: o que se pode fazer, porque o problema não é entendê-lo, é conviver com ele.

A má notícia primeiro: se seu e-mail esteve publicado em texto plano, esse e-mail já está queimado. Os bots não apenas leem o link de e-mail; também extraem endereços do whois, de vazamentos antigos e de listas que são compradas, e adivinham padrões (vendas@, info@, administracao@). Uma vez que seu endereço entra em uma lista e não retorna, é copiado e revendido: por isso chegam coisas de países que não têm nada a ver com você.

E duas coisas que pioram o problema e quase ninguém sabe: responder ao spam (mesmo que seja para pedir que te removam) e clicar em "cancelar inscrição". As duas confirmam que há uma pessoa por trás do endereço, e te sobem na lista.

O que realmente funciona, em ordem de efeito:

1. Remova o e-mail do texto visível e coloque um formulário. Com um campo armadilha oculto para humanos e um limite de envios por IP, filtra-se a maior parte. É o que mais baixa o spam de uma vez.
2. Se precisar mostrar o e-mail, não o escreva em texto. Gere-o com JavaScript ou use a ofuscação de e-mail da Cloudflare. E não o coloque como imagem: o OCR o lê.
3. Não use o endereço real. vendas@ deveria ser um alias que encaminha para sua caixa de trabalho; se saturar, você troca o alias sem tocar no seu e-mail de verdade.
4. Feche a porta do e-mail do seu domínio: SPF, DKIM e DMARC bem configurados, e um filtro que descarte o que não passar na validação. Se você tem ativado o catch-all (receber tudo o que chegar ao domínio), remova-o: é um ímã de spam.
5. Rotacione o endereço público a cada certo tempo (por exemplo vendas2026@) e deixe o privado apenas para clientes.

Um truque que ajuda mais do que parece: separe os endereços. Um para o formulário e as redes sociais, outro para faturamento e clientes diretos. Quando o público queima, você o troca e não perde nada importante.

Sim, existem bots que coletam e-mails publicados e também listas que são compradas, misturadas e revendidas. Mas receber spam não permite saber por si só de onde tiraram o seu endereço: pode ter sido o site, um vazamento, um diretório ou simplesmente testar com vendas@seudominio. Tampouco o idioma da mensagem ou o remetente visível te garantem de qual país enviaram.

Eu não daria esse e-mail por perdido nem começaria trocando-o se seus clientes já o possuem. Primeiro eu revisaria como o provedor está filtrando o que entra.

Há um ponto do que foi comentado acima que convém matizar: configurar SPF, DKIM e DMARC no seu domínio ajuda a proteger sua identidade, mas não impede que outros domínios te enviem spam. Um e-mail malicioso pode passar nessas validações, e um e-mail legítimo pode falhá-las por uma má configuração ou por um encaminhamento. Eu não colocaria uma regra de «se falhar qualquer uma, excluir», menos em uma caixa de entrada de vendas.

Eu faria assim:

• Revisar com o provedor várias mensagens que tenham passado e seus cabeçalhos, para ver o que o filtro detectou e por que as entregou na caixa de entrada.
• Ajustar o antispam e enviar o duvidoso para quarentena, revisando-a no início para comprovar que não estão ficando consultas reais de clientes.
• Se você colocar um formulário, adicionar validação do lado do servidor e proteção contra envios automáticos. Reduz a exposição do endereço, mas também podem atacar o formulário e o e-mail anterior continuará recebendo mensagens se já circula em listas.

Um alias separado para o contato público pode te ajudar a organizá-lo, mas não filtra por si só. E antes de retirar um endereço antigo, é preciso contar com quem já o tem salvo.

Você pode consultar https://haveibeenpwned.com/ para ver se aparece em algum vazamento ou lista conhecida. Se não aparece, não significa que esteja livre de listas de spam; tampouco identifica necessariamente a origem desses e-mails.

Sobre «cancelar a inscrição»: eu evitaria os links de mensagens suspeitas. Uma newsletter legítima na qual você se inscreveu é outro caso. E um link com rastreamento tampouco demonstra por si só que seja phishing.

O e-mail está no hosting/cPanel, Microsoft 365, Google Workspace ou outro serviço? Com esse dado é possível concretizar onde revisar o filtro sem prejudicar o contato com os clientes.