Vrijwel elke vraag is inmiddels hierboven wel beantwoord. Paar aanvullingen: Hoe kan de bad actor mijn e-mail adres hebben gevonden? Dat hoeft dus niet per-se het geval te zijn. Maar een niet besproken mogelijkheid is nog dat het e-mailadres door je (webmail) aanbieder in de URL wordt gezet. Is dat het geval? Dan kan het op die manier nog lekken (bv. referer-headers, je browser die checks doet (plugins), etc.). Dat kun je overigens zelf controleren door even op F12 te drukken in je browser, en te kijken of bij netwerk requests die gedaan worden ergens je mailadres in headers staat. Check ook als je op een linkje klikt en let vooral op de 'referer' header. Snoopen/lezen ze de verbindingen van de VPN af en is zo mijn e-mail adres gevonden? Tenzij je VPN doet in plain text (als dat uberhoubt mogelijk is) dus onmogelijk. Maar je VPN provider heeft natuurlijk wel inzicht in al je HTTP verkeer (dus niet https, dan alleen domeinnamen). Is het mogelijk dat de SPAM overspringt (!) van een e-mailadres ...