Jak sprawdzić, kto jest właścicielem adresu e-mail

Adres e-mail to zaskakująco bogaty identyfikator. Zazwyczaj jest wybierany przez właściciela, używany przez lata i powiązany z kontami w całej sieci. Oto jak go odczytać i jak ustalić, kto się za nim kryje.

Najpierw przeczytaj sam adres

Podziel go przy znaku @. Obie połowy niosą informacje.

Domena to najsilniejszy sygnał i często sama w sobie jest decydująca:

• Domena firmowa (@acme-engineering.co.uk) wiąże adres z organizacją. Sprawdź firmę. Jeśli domena ma prawdziwą stronę internetową, wpis w rejestrze i pracowników, którzy się do niej odnoszą, adres jest powiązany z czymś odpowiedzialnym.
• Darmowy dostawca (gmail.com, outlook.com, proton.me) nie mówi prawie nic o tożsamości, choć wskazuje, że osoba wybrała konto ogólnego przeznaczenia.
• Domena jednorazowa (mailinator.com, guerrillamail.com i setki innych) to celowy sygnał: ten adres ma być wyrzucony. W przypadku ważnej transakcji warto się nad tym zastanowić.
• Domena podszywająca się (@arnazon.com, @acme-support-team.com) to klasyczny znak phishingu. Przeczytaj ją znak po znaku; to cała sztuczka.

Część lokalna – wszystko przed @ – to miejsce, gdzie widać wybory osoby:

• imie.nazwisko@ to najczęstsza konwencja firmowa i bezpośrednio podaje nazwisko
• inicjał+nazwisko@ (jkowalski@) to kolejna najczęstsza
• nazwa użytkownika (marlowbuilds@gmail.com) jest najbardziej użyteczna, ponieważ ludzie używają tych samych nazw na różnych platformach – weź ją i wyszukaj jako nazwę użytkownika
• adres funkcyjny (info@, sprzedaz@, wsparcie@) identyfikuje funkcję, a nie osobę; publiczna strona pracowników może pokazać, kto się tym zajmuje, ale sam adres tego nie wskazuje

Wyszukaj pełny adres

Wpisz pełny adres w wyszukiwarkę, w cudzysłowie. Następnie spróbuj bez domeny.

Jeśli adres jest gdziekolwiek opublikowany – na stronie osobistej, profilu GitHub, biografii konferencyjnej, archiwum listy mailingowej, stronie kontaktowej firmy, pliku PDF – może się pojawić. Konteksty akademickie i open-source w szczególności często umieszczają adresy w publicznych dokumentach.

Ten pojedynczy krok rozwiązuje dużą część przypadków i prawie nic nie kosztuje.

Przejdź od części lokalnej do nazwy użytkownika

Jeśli część lokalna wygląda jak nazwa użytkownika, a nie nazwisko, potraktuj ją jako taką i sprawdź na różnych platformach. marlowbuilds@gmail.com i @marlowbuilds na trzech serwisach społecznościowych to silne, łatwe do potwierdzenia połączenie – znacznie silniejsze niż dopasowanie po popularnym nazwisku.

Obowiązuje ta sama dyscyplina weryfikacji co w przypadku każdej nazwy użytkownika: rzadka nazwa pasująca na kilku platformach jest znacząca; popularna nie jest. Szukaj potwierdzających szczegółów – tego samego miasta, pracodawcy lub niszy – zanim stwierdzisz, że to ta sama osoba.

Sprawdź, czy domena jest prawdziwa

W przypadku wszystkiego, co dotyczy pieniędzy lub relacji biznesowych, sprawdź samą domenę:

• Czy strona internetowa istnieje i czy wygląda jak firma, a nie szablon wypełniony w zeszłym tygodniu?
• Ile lat ma domena? Publiczne rejestry WHOIS nadal pokazują daty utworzenia dla wielu domen. Firma twierdząca, że handluje od dwudziestu lat na domenie zarejestrowanej w marcu, to sprzeczność wartą wyjaśnienia.
• Czy dane kontaktowe się zgadzają z tym, co ci powiedziano – ta sama nazwa firmy, ten sam adres, ten sam numer rejestracyjny?
• Czy jest wpis w rejestrze firm? Większość krajów publikuje taki rejestr. Prawdziwa firma handlowa zazwyczaj jest do znalezienia.

Zweryfikuj nadawcę bez ufania wyświetlanej nazwie

Nazwa wyświetlana w kliencie poczty jest ustawiana przez nadawcę i może mówić cokolwiek. Dwa sprawdzenia, które rzeczywiście pomagają:

Spójrz na rzeczywisty adres, a nie na wyświetlaną nazwę. Szczególnie na urządzeniach mobilnych klienci ukrywają adres za przyjazną nazwą. Rozwiń go. „Twój Bank" <billing@secure-bank-updates.net> to całe oszustwo, widoczne w jednym kroku.

Sprawdź, czy domena jest uwierzytelniona. Większość dostawców poczty pozwala wyświetlić nagłówki wiadomości lub źródło oryginalne. Szukaj wyników SPF, DKIM i DMARC: pass na dopasowanej domenie oznacza, że sprawdzenie uwierzytelniania się powiodło, podczas gdy fail jest powodem do ostrożności. Uwierzytelnianie pomaga wykrywać podszywanie się; nie ustala, że nadawca lub wiadomość są godne zaufania.

Co zrobić z witrynami sprawdzającymi wycieki danych

Znajdziesz usługi, które informują, czy adres pojawił się w wycieku danych. Sprawdzenie, czy twój własny adres został ujawniony, to rozsądna higiena bezpieczeństwa i istnieją renomowane usługi dokładnie do tego celu.

Co nie jest dopuszczalne, to używanie wyciekniętych danych uwierzytelniających do badania kogoś innego. Przeszukiwanie skradzionych zbiorów danych w poszukiwaniu haseł, skrótów lub zawartości rekordów innej osoby – lub kupowanie do nich dostępu – może ułatwić nieautoryzowany dostęp i wykracza poza odpowiedzialny proces pracy z informacjami publicznymi.

DeepSearch może zgłaszać nazwy incydentów znalezionych w publicznych indeksach powiadomień o wyciekach. Nie ujawnia haseł, skrótów ani zawartości wyciekniętego rekordu i nie traktuje nazwy incydentu jako dowodu na to, kto kontroluje adres dzisiaj.

Kiedy nic nie znajdziesz

Wiele adresów nie ma publicznego śladu. Adres gmail.com składający się z popularnego nazwiska i kilku cyfr, używany tylko do prywatnej poczty, nie zostanie przypisany do osoby poprzez wyszukiwanie publiczne – a każda usługa, która pewnie podaje kogoś na podstawie jednego adresu, zgaduje.

To jest uzasadniony wynik, a nie porażka. „Ten adres nie ma publicznego śladu" samo w sobie jest użyteczne: w przypadku transakcji biznesowej oznacza to, że powinieneś poprosić o inną formę weryfikacji, zamiast postępować na podstawie nazwiska, którego nie możesz sprawdzić.

Granice

Dwie warte jasnego stwierdzenia.

Po pierwsze, nie próbuj uzyskać dostępu do konta. Zgadywanie hasła, korzystanie z procesu resetowania hasła lub używanie danych uwierzytelniających z wycieku to nieautoryzowany dostęp, a fakt, że chciałeś tylko potwierdzić tożsamość, nie jest obroną.

Po drugie, to nie jest sprawdzenie przeszłości. Informacje zebrane z publicznych źródeł internetowych nie są zestawiane zgodnie ze standardem wymaganym przez prawo o raportach konsumenckich i nie mogą być używane do podejmowania decyzji o zatrudnieniu, kredycie, mieszkaniu, ubezpieczeniu lub najmie. Użyj odpowiedniego dostawcy weryfikacji, za zgodą osoby, do tych celów.

Sprawdzenie, czy osoba wysyłająca ci e-mail o fakturze na 3000 funtów jest powiązana z prawdziwą firmą, to zwykła ostrożność. Budowanie profilu prywatnej osoby, ponieważ masz jej adres, nie jest.

Wypróbuj wyszukiwanie z jasnymi oczekiwaniami

Sprawdź publiczne źródła powiązane z adresem e-mail. Uruchomienie wyszukiwania wymaga płatnego dostępu; zobacz plany i limity użytkowania. Dopasowanie to kandydat do weryfikacji, a nie dowód tożsamości. Otwórz oryginalne źródła przed wyciągnięciem wniosku.