邮箱地址往往长期不变，因此可以成为搜索其他公开线索的入口。但电话号码、住址或密码并不是从邮箱字符串本身推导出来的；这些数据必须已经存在于公开页面、泄露数据或聚合数据库中，才可能被关联。
信息是怎样逐步关联起来的
- 1
公开痕迹
个人主页、论坛、文档或联系页面可能把邮箱与姓名、机构或用户名连起来。
- 2
数据泄露记录
通知服务可能显示邮箱曾出现在某次已知事件中，但这不等于当前邮箱账号已被控制。
- 3
数据经纪商和人物搜索网站
聚合数据库在已有匹配关系时，可能把邮箱与其他记录关联。
- 4
更有针对性的钓鱼
攻击者掌握的真实背景越多，就越容易写出可信邮件，即使他仍然没有密码。
可能查到并不代表一定准确
| 信息 | 可能来源 | 限制 |
|---|---|---|
| 姓名或公开账号 | 公开页面 | 可能过期、同名或匹配错误 |
| 泄露历史 | 已知事件数据库 | 不代表邮箱本身被入侵 |
| 电话或地址 | 泄露或聚合数据 | 邮箱本身不包含这些字段 |
| 密码 | 只有密码被另外泄露时 | 知道邮箱并不能完成登录 |
风险来自数据组合
单独一个邮箱可能价值有限。若它同时与公司、电话号码、使用过的服务和泄露记录可靠关联，就更适合用于画像和定向钓鱼。
减少未来暴露
- 没有必要时不要公开主要恢复邮箱。
- 长期公开活动使用独立邮箱。
- 只有在未来无需找回时才使用临时邮箱。
- 重要账号使用强认证和唯一凭据。
邮箱地址可以把其他地方已经存在的信息连接起来。减少一个长期邮箱被用于无关低价值场景的次数，就能减少围绕它继续积累的新关系。
把这个威胁放回真实场景
来源与延伸阅读
短期任务需要一个独立收件箱？
当未来找回并不重要时，临时邮箱可以减少长期邮箱地址的暴露。它是一层隐私保护，不是账户安全的替代品。
创建临时邮箱