Como descobrir quem é o dono de um endereço de e-mail

Um endereço de e-mail é um identificador surpreendentemente rico. Geralmente é escolhido por seu proprietário, reutilizado por anos e conectado a contas em toda a web. Veja como ler um e como descobrir quem está por trás dele.

Leia primeiro o próprio endereço

Divida-o no @. Ambas as metades carregam informação.

O domínio é o sinal mais forte, e frequentemente é decisivo por si só:

• Um domínio corporativo (@acme-engineering.co.uk) vincula o endereço a uma organização. Pesquise a empresa. Se o domínio tem um site real, um registro em cartório e funcionários que o referenciam, o endereço está ancorado a algo responsável.
• Um provedor gratuito (gmail.com, outlook.com, proton.me) não diz quase nada sobre identidade, embora indique que a pessoa escolheu uma conta de uso geral.
• Um domínio descartável (mailinator.com, guerrillamail.com e centenas de outros) é um sinal deliberado: este endereço foi feito para ser descartado. Para uma transação que importa, vale a pena pausar.
• Um domínio parecido (@arnazon.com, @acme-support-team.com) é o clássico indício de phishing. Leia caractere por caractere; esse é todo o truque.

A parte local - tudo antes do @ - é onde as escolhas da própria pessoa aparecem:

• nome.sobrenome@ é a convenção corporativa mais comum, e entrega um nome diretamente
• inicial+sobrenome@ (jsilva@) é a segunda mais comum
• um identificador (marloconstroi@gmail.com) é o mais útil de todos, porque as pessoas reutilizam identificadores entre plataformas - pegue-o e busque como nome de usuário
• um endereço de função (info@, vendas@, suporte@) identifica uma função, não uma pessoa; uma página pública de equipe pode mostrar quem o gerencia, mas o endereço sozinho não revela

Busque o endereço completo

Coloque o endereço completo em um mecanismo de busca, entre aspas. Depois tente sem o domínio.

Se o endereço está publicado em algum lugar - um site pessoal, um perfil do GitHub, uma biografia de conferência, um arquivo de lista de discussão, uma página de contato corporativa, um PDF - pode aparecer. Contextos acadêmicos e de código aberto em particular frequentemente colocam endereços em documentos públicos.

Este único passo resolve uma grande parcela dos casos e custa quase nada.

Pivote da parte local para um nome de usuário

Se a parte local parece um identificador em vez de um nome, trate-a como tal e verifique-a entre plataformas. marloconstroi@gmail.com e @marloconstroi em três sites sociais é uma conexão forte e facilmente corroborável - muito mais forte do que corresponder a um nome comum.

A mesma disciplina de verificação se aplica como com qualquer nome de usuário: um identificador raro correspondendo em várias plataformas é significativo; um comum não é. Procure detalhes corroborantes - a mesma cidade, empregador ou nicho - antes de concluir que são a mesma pessoa.

Verifique se o domínio é real

Para qualquer coisa envolvendo dinheiro ou uma relação comercial, verifique o próprio domínio:

• O site existe, e parece um negócio em vez de um modelo preenchido na semana passada?
• Qual a idade do domínio? Registros WHOIS públicos ainda mostram datas de criação para muitos domínios. Uma empresa alegando vinte anos de operação em um domínio registrado em março é uma contradição que vale resolver.
• Os detalhes de contato correspondem ao que lhe foi dito - mesmo nome da empresa, mesmo endereço, mesmo número de registro?
• Existe um registro empresarial? A maioria dos países publica um. Uma empresa comercial real geralmente é encontrável.

Verifique um remetente sem confiar no nome de exibição

O nome mostrado no seu cliente de e-mail é definido pelo remetente e pode dizer qualquer coisa. Duas verificações que realmente ajudam:

Olhe o endereço real, não o nome de exibição. Especialmente em dispositivos móveis, os clientes escondem o endereço atrás de um nome amigável. Expanda-o. "Seu Banco" <cobranca@atualizacoes-banco-seguro.net> é o golpe inteiro, visível em um passo.

Verifique se o domínio autentica. A maioria dos provedores de e-mail permite visualizar cabeçalhos de mensagem ou fonte original. Procure resultados de SPF, DKIM e DMARC: pass em um domínio alinhado significa que a verificação de autenticação foi bem-sucedida, enquanto fail é motivo de cautela. A autenticação ajuda a detectar falsificação; ela não estabelece que o remetente ou mensagem é confiável.

O que fazer sobre sites de verificação de vazamentos

Você encontrará serviços que informam se um endereço apareceu em um vazamento de dados. Verificar se seu próprio endereço foi exposto é higiene de segurança sensata, e serviços respeitáveis existem exatamente para isso.

O que não é aceitável é usar dados de credenciais vazadas para pesquisar outra pessoa. Buscar em conjuntos de dados roubados por senhas, hashes ou conteúdos de registro de outra pessoa - ou comprar acesso a eles - pode facilitar acesso não autorizado e está fora de um fluxo de trabalho responsável de informação pública.

O DeepSearch pode reportar os nomes de incidentes encontrados em índices públicos de notificação de vazamentos. Ele não expõe senhas, hashes ou o conteúdo de um registro vazado, e não trata um nome de incidente como prova de quem controla um endereço hoje.

Quando você não encontrará nada

Muitos endereços não têm pegada pública. Um endereço gmail.com feito de um nome comum e alguns dígitos, usado apenas para e-mail pessoal, não resolverá para uma pessoa através de busca pública - e qualquer serviço que confiantemente nomeia alguém a partir de um está adivinhando.

Esse é um resultado legítimo, não uma falha. "Este endereço não tem rastro público" é útil em si: para uma transação comercial, significa que você deve pedir uma forma diferente de verificação em vez de prosseguir com um nome que não pode verificar.

Os limites

Dois que valem ser declarados claramente.

Primeiro, não tente acessar a conta. Adivinhar senha, trabalhar o fluxo de redefinição de senha ou usar credenciais de um vazamento são acesso não autorizado, e o fato de você apenas querer confirmar uma identidade não é uma defesa.

Segundo, isso não é uma verificação de antecedentes. Informações coletadas de fontes públicas da web não são reunidas no padrão que a lei de relatórios ao consumidor exige, e não devem ser usadas para decidir emprego, crédito, moradia, seguro ou locação. Use um provedor de triagem adequado, com o consentimento da pessoa, para isso.

Verificar que a pessoa enviando e-mail sobre uma fatura de R$ 15.000 está vinculada a uma empresa real é cautela comum. Construir um perfil de um indivíduo privado porque você tem seu endereço não é.

Experimente a consulta com expectativas claras

Verifique as fontes públicas associadas a um endereço de e-mail. Executar uma busca requer acesso pago; veja planos e limites de uso. Uma correspondência é uma candidata a verificar, não prova de identidade. Abra as fontes originais antes de tirar uma conclusão.