A meno che lo spam non provenga dal sito che stai visitando o che il sito conosca già il tuo indirizzo email, è improbabile che il sito sia da biasimare. Infatti, a meno che tu non abbia associato il tuo indirizzo email a un servizio che è un partner del sito che stai visitando, non c'è modo nemmeno per loro di ottenere il tuo indirizzo (cioè chi hai effettivamente detto il tuo indirizzo a?).
Invece, uno scenario più probabile è un compromesso locale all'interno del browser o in altro modo sul computer o sulla rete locale. Il software in esecuzione localmente potrebbe ritagliare il tuo indirizzo dai moduli che hai compilato e quindi puoi guardare la tua attività indipendentemente da dove vai o cosa fai - nessuna VPN o servizio di crittografia o di anonimizzazione può offrire alcun tipo di protezione se l'attaccante controlla il tuo computer.
Molte persone installano involontariamente le estensioni del browser; barre degli strumenti, estensioni "ricerca sicura" o altri helper come parte di altre installazioni di software. Meno scrupoloso è il distributore del software, più è probabile che queste cose vengano raggruppate. Qualsiasi software di questo tipo potrebbe facilmente fare questo e molto di peggio.
Allo stesso modo, tale software può essere installato da siti Web infetti utilizzando tali vulnerabilità come Adobe Flash vulnerabilità zero-day corretti ieri per Windows, OSX e Linux. Se hai installato Flash (e probabilmente lo fai), allora il tuo browser era e probabilmente è ancora vulnerabile e viene attivamente sfruttato da siti Web dannosi.