Методичка работы с email-адресами

Вступление

В OSINT-разведке email-адрес — одна из самых ценных стартовых точек. В отличие от никнейма или имени, почта часто является ключом к цифровой личности: к сервисам, утечкам, доменам, аккаунтам и публичным следам человека или организации.

В этой статье я собрал практическую методичку по работе с email-адресами — что и в каком порядке можно проверить, какие данные реально вытащить и какими инструментами это делать. Без воды, с упором на применимость в реальных расследованиях, ресёрче и пентесте.

SMTP — проверка существования email-адреса

SMTP-проверка — один из самых базовых, но при этом полезных этапов работы с email-адресом. Её цель — понять, существует ли почтовый ящик на стороне почтового сервера, не отправляя реального письма.

В рамках OSINT это используется как первичная валидация: имеет ли смысл дальше работать с адресом или он заведомо фейковый / несуществующий.

Как это работает:

  1. определяется MX-запись домена

  2. устанавливается соединение с SMTP-сервером

  3. серверу передаётся команда с указанием проверяемого email

  4. по ответу сервера делается вывод — принимает ли он такой ящик

Инструменты для SMTP проверки:

Пример выдачи SMTP проверки:

Epios — быстрый ресёрч по email

Epios — это OSINT-сервис, который агрегирует открытую информацию и позволяет получать дополнительные данные по email-адресам, номерам телефонов и другим идентификаторам. В контексте email-разведки чаще всего используется именно для Gmail-адресов.

Что дает Epios при работе с email:

  • Имя и фамилию, если они были публично связаны с аккаунтом

  • Аватар / фото профиля (подтягивается из Google-экосистемы)

  • Привязанные Google сервисы и ссылки на них — google maps, google calendar, google plus archive

  • Уникальный индефикатор — Google ID

  • Ресурсы к которым привязан email-адрес

Пример выдачи:

Привязки — проверка email на наличие аккаунтов в сервисах

После первичной валидации email-адреса следующий шаг — понять, где ещё этот адрес используется. Во многих случаях почта является основным логином, поэтому через неё можно восстановить цифровой след человека на десятках сервисов.

Проверка привязок позволяет ответить на простой, но важный вопрос: к каким платформам зарегистрирован данный email-адрес.

Инструменты для проверки привязок используют разные подходы:

  • проверяют механизмы восстановления пароля

  • анализируют публичные эндпоинты сервисов

  • используют известные паттерны ответов сайтов

  • сопоставляют данные из открытых источников

Наиболее популярные инструменты для работы с привязками:

  • Blackbird — CLI-инструмент для поиска аккаунтов по email, username и другим идентификаторам. Поддерживает большое количество сервисов и хорошо подходит для автоматизации.

  • WhatsMyName (https://whatsmyname.me) — проект с постоянно обновляемой базой сервисов и сигнатур.

Пример выдачи c Blackbird:

Утечки — проверка email-адреса на компрометацию

Один из самых информативных этапов работы с email-адресом — проверка на участие в утечках данных. Если почта когда-либо использовалась для регистрации на сервисах, высока вероятность, что она могла попасть в слитые базы.

Что можно получить из утечек:

  • еmail-адрес

  • логины / никнеймы

  • хеши или даже открытые пароли

  • точные даты регистрации на сервисах

  • IP-адреса

  • номера телефонов

Инструменты для проверки утечек:

  • Have I Been Pwned (https://haveibeenpwned.com/) Один из самых известных сервисов для проверки email на утечки.

  • IntelX (Intelligence X) (https://intelx.io/) Мощный инструмент для глубокой работы с утечками и архивами данных.

  • Leak-Lookup (https://leak-lookup.com/) Сервис, ориентированный именно на поиск по утечкам.

Пример выдачи сервиса Have I Been Pwned (https://haveibeenpwned.com/):

Google Dorking — публичные упоминания email-адреса

Google Dorking — это поиск по поисковым операторам, который позволяет находить публичные упоминания email-адреса в интернете: на сайтах, форумах, документах, дампах, пастах и в индексируемых файлах.

При правильных запросах можно обнаружить:

  • упоминания email на форумах и в комментариях

  • публикации в paste-сервисах

  • утёкшие документы и файлы

  • публичные профили и контакты

  • резюме, PDF, DOCX и другие документы

  • технические логи и конфиги

Базовые операторы для доркинга по email:

Поиск точного совпадения:

Поиск упоминаний на конкретном сайте:

Поиск по типам файлов:

Поиск по открытым директориям и листингам:

Поиск в логах и конфигурациях:

Привязанный номер телефона и резервная почта

Ещё один полезный OSINT-вектор при работе с email-адресами — проверка привязанного номера телефона и резервной почты через механизмы восстановления доступа. На примере Google-аккаунтов это можно сделать через стандартную страницу сброса пароля. В некоторых случаях сервис отображает частично замаскированную информацию, которая уже представляет ценность для разведки.

При корректном использовании механизма восстановления можно узнать:

  • Наличие привязанного номера телефона

  • Код страны номера (например, +1, +7, +380 и т.д.)

  • Частично отображаемые цифры номера (обычно последние 2–3)

  • Наличие резервного email-адреса

  • Частичную маску резервной почты (например, ***@outlook.com)

Даже такая ограниченная информация часто позволяет:

  • определить географическую привязку

  • подтвердить корреляцию с другими данными

  • сузить круг возможных совпадений

Этот метод полезен, когда нужно:

  • проверить гипотезу о стране проживания

  • сопоставить номер телефона с утечками или соцсетями

  • получить дополнительные данные для дальнейшего ресёрча

Отдельно стоит отметить вопросы безопасности:

  • такие проверки логируются со стороны сервиса

  • IP-адрес, регион и браузер могут быть зафиксированы

  • при частых запросах возможны ограничения или капчи

Поэтому, используйте прокси или Tor, не работайте с основного IP, избегайте привязки к личным Google-аккаунтам, не делайте массовых проверок с одного источника.

OPSEC здесь важен не меньше, чем сам результат.

Заключение

Email-адрес — это не просто средство связи, а один из самых устойчивых и информативных идентификаторов в цифровой среде. Даже при минимальном объёме исходных данных он позволяет выстроить цепочку из сервисов, утечек, публичных упоминаний и косвенных признаков, которые в итоге складываются в цельный профиль.

Важно понимать, что ни один из описанных методов не работает в одиночку. Реальная ценность появляется только при корреляции данных: SMTP подтверждает «живость» адреса, утечки показывают историю использования, привязки раскрывают экосистему сервисов, Epios и Google Dorking добавляют контекст, номер телефона и резервная почта дают дополнительные пивоты. Отдельно стоит подчеркнуть роль OPSEC. Многие методы выглядят безобидно, но при неосторожном использовании могут оставлять следы. Прокси, Tor, разделение рабочих и личных аккаунтов — это базовый минимум, который стоит соблюдать при любой OSINT-работе.

Эта методичка — про системный подход к работе с email-адресами. Не важно, какие именно инструменты используются, важно как именно вы выстраиваете цепочку проверок и интерпретируете результаты.

Забавный факт: эту и еще несколько других методичек для первичного анализа исходных данных я придумал под впечатлением от OSINT-паттернов проекта OSINT Dojo. Автор этой статьи — Маверик, вдохновился идеей первичного анализа исходных данных не меньше меня и создал инструмент PreRECON, который автоматически делает всё то, что расписано в статье и даже больше (ибо анализирирует не только почты, но и другие исходные) Пример того, как из теории рождаются целые инструменты.