¿Por qué los correos corporativos publicados en una página web reciben tanto spam?

Trabajo en una empresa con sitio web y tenemos publicado mi correo corporativo de ventas para que los clientes puedan contactarnos.

Desde hace un tiempo he notado que a este correo comienza a llegar bastante spam. Lo curioso es que no se trata solamente de publicidad típica, sino de correos de todo tipo y aparentemente provenientes de diferentes países.

Algunos son ofertas comerciales que nunca solicitamos, otros intentan ofrecer servicios bastante aleatorios y también llegan correos que parecen más sospechosos, con botones, enlaces o mensajes diseñados para que uno ingrese a otra página.

Por precaución, cuando recibo alguno que me parece extraño suelo revisarlo antes de interactuar con él. Verifico el correo del remitente, el dominio desde el que fue enviado, el enlace real detrás de los botones, si el dominio parece legítimo y si el mensaje tiene señales típicas de spam o phishing. En varios casos he encontrado enlaces con redirecciones, sistemas de seguimiento de clics y dominios que no tienen ninguna relación clara con la empresa que supuestamente está enviando el correo.

Esto me hizo pensar que probablemente nuestros correos estén siendo recopilados automáticamente desde nuestra página web.

Mis dudas son:

¿Cómo consiguen normalmente estos correos? ¿Existen bots que recorren páginas web buscando direcciones de correo y luego las agregan a bases de datos?

¿Por qué después comienzan a llegar correos desde empresas o remitentes de tantos países diferentes? ¿Las direcciones recopiladas se venden o comparten entre diferentes bases de datos?

¿Hay alguna manera de saber si nuestro correo terminó en alguna base de datos de spam?

Y principalmente, ¿Qué recomiendan para evitar o reducir este problema cuando necesariamente necesitamos mostrar un medio de contacto en nuestra página web?

He pensado, por ejemplo, en dejar de mostrar directamente la dirección de correo y utilizar solamente un formulario de contacto, pero no sé si realmente esto soluciona el problema o simplemente lo reduce.

Me gustaría conocer la experiencia de quienes administran sitios web o correos corporativos y saber qué medidas les han funcionado para disminuir este tipo de spam.

Respuestas:

¿Existen bots que recorren páginas web buscando direcciones de correo y luego las agregan a bases de datos?
RTA: Si, así es como lo hacen.

¿Por qué después comienzan a llegar correos desde empresas o remitentes de tantos países diferentes? ¿Las direcciones recopiladas se venden o comparten entre diferentes bases de datos?
RTA: Si, una vez que el correo no rebota, es decir que existe, esta funcional y administrado por humanos, se vende en bases de datos tradicionales y no segmentadas.

¿Hay alguna manera de saber si nuestro correo terminó en alguna base de datos de spam?
RTA: Si ya te llegan, ya estás en una lista y no saldrás jamás.

Y principalmente, ¿Qué recomiendan para evitar o reducir este problema cuando necesariamente necesitamos mostrar un medio de contacto en nuestra página web?
RTA: Un formulario que permita enviar la solicitud de información sin tener el e-mail público.

Nota adicional: En Colombia, por ejemplo, las empresas se registran ante la Cámara de Comercio, que es una organización. Ellos se quedan con todos tus datos legales y cuando alguien los necesita, simplemente los compra a la Cámara completamente legales. Yo tengo una empresa legal, pero solo en documentos, nunca uso ese correo salvo para notificaciones legales y mi bandeja por semana tiene más de 50 correos de muchas empresas ofreciendome cosas.

Voy a completar lo que te dijo Fernando, que es correcto, con la parte práctica: qué se puede hacer, porque el problema no es entenderlo, es convivir con ello.

La mala noticia primero: si tu correo estuvo publicado en texto plano, ese correo ya está quemado. Los bots no solo leen el enlace de correo; también sacan direcciones de los whois, de filtraciones antiguas y de listas que se compran, y adivinan patrones (ventas@, info@, administracion@). Una vez que tu dirección entra en una lista y no rebota, se copia y se revende: por eso te llegan cosas de países que no tienen nada que ver contigo.

Y dos cosas que empeoran el problema y casi nadie sabe: contestar al spam (aunque sea para pedir que te quiten) y darle a "darse de baja". Las dos confirman que hay una persona detrás de la dirección, y te suben en la lista.

Lo que sí funciona, en orden de efecto:

1. Quita el correo del texto visible y pon un formulario. Con un campo trampa oculto para humanos y un límite de envíos por IP, se filtra la mayor parte. Es lo que más baja el spam de golpe.
2. Si necesitas mostrar el correo, no lo escribas en texto. Genéralo con JavaScript o usa la ofuscación de correo de Cloudflare. Y no lo pongas como imagen: el OCR se lo come.
3. No uses la dirección real. ventas@ debería ser un alias que reenvía a tu bandeja de trabajo; si se satura, cambias el alias sin tocar tu correo de verdad.
4. Cierra la puerta del correo de tu dominio: SPF, DKIM y DMARC bien puestos, y un filtro que descarte lo que no pase la validación. Si tienes activado el catch-all (recibir todo lo que llegue al dominio), quítalo: es un imán de spam.
5. Rota la dirección pública cada cierto tiempo (por ejemplo ventas2026@) y deja la privada solo para clientes.

Un truco que ayuda más de lo que parece: separa las direcciones. Una para el formulario y las redes sociales, otra para facturación y clientes directos. Cuando la pública se quema, la cambias y no pierdes nada importante.

Sí, existen bots que recogen correos publicados y también listas que se compran, se mezclan y se revenden. Pero recibir spam no permite saber por sí solo de dónde sacaron tu dirección: pudo ser la web, una filtración, un directorio o simplemente probar con ventas@tudominio. Tampoco el idioma del mensaje o el remitente visible te aseguran desde qué país lo enviaron.

Yo no daría ese correo por perdido ni empezaría cambiándolo si ya lo tienen tus clientes. Primero revisaría cómo está filtrando el proveedor lo que entra.

Hay un punto de lo comentado arriba que conviene matizar: configurar SPF, DKIM y DMARC en tu dominio ayuda a proteger su identidad, pero no impide que otros dominios te manden spam. Un correo malicioso puede pasar esas validaciones, y un correo legítimo puede fallarlas por una mala configuración o por un reenvío. No pondría una regla de «si falla cualquiera, borrar», menos en un buzón de ventas.

Lo haría así:

• Revisar con el proveedor varios mensajes que se hayan colado y sus cabeceras, para ver qué detectó el filtro y por qué los entregó en la bandeja de entrada.
• Ajustar el antispam y enviar lo dudoso a cuarentena, revisándola al principio para comprobar que no se estén quedando consultas reales de clientes.
• Si pones un formulario, añadir validación del lado del servidor y protección contra envíos automáticos. Reduce la exposición de la dirección, pero también pueden atacar el formulario y el correo anterior seguirá recibiendo mensajes si ya circula en listas.

Un alias separado para el contacto público puede ayudarte a organizarlo, pero no filtra por sí mismo. Y antes de retirar una dirección antigua, hay que contar con quienes ya la tienen guardada.

Puedes consultar https://haveibeenpwned.com/ para ver si aparece en alguna filtración o lista conocida. Si no aparece, no significa que esté libre de listas de spam; tampoco identifica necesariamente el origen de estos correos.

Sobre «darse de baja»: evitaría los enlaces de mensajes sospechosos. Una newsletter legítima a la que sí te suscribiste es otro caso. Y un enlace con seguimiento tampoco demuestra por sí solo que sea phishing.

¿El correo lo tienen en el hosting/cPanel, Microsoft 365, Google Workspace u otro servicio? Con ese dato se puede concretar dónde revisar el filtro sin perjudicar el contacto con los clientes.