安全团队用公开邮箱和用户名检索追踪网络犯罪嫌疑人

这些 OSINT 案例研究从调查人员收手的地方开始。其中每一个电子邮件地址和别名，最初都出自法院文件、美国财政部制裁名单条目或具名调查报道，涉及的是已被指控、定罪或制裁的网络犯罪人员。2026 年 9 月，我们将这些标识符输入 OSINTsearch 的邮箱查询和用户名搜索，然后整理返回的结果。本页为整个系列做索引：每篇文章涵盖什么、教的是哪种技术，以及跨案例都成立的教训。 每篇文章拿的都是已经公开的标识符，问两个问题。这个地址或别名今天在活跃平台上能走多远？这又能教给我们什么调查方法？六篇文章各跟一个案例或团伙，从 Scattered Spider 到 TeamPCP。另外六篇是指南，借助多个案例来教一种技术。合在一起，它们构成了一套所有输入都公开可查的 OSINT 调查示例。 搜索结果是在记录之上叠加的在线存在与资料数据。显示名或所在地是账号持有人自己填的，这些都不能替代记录本身。 Khoroshev、Thomson、Coelho 和 Rudometov 是被指控而非被定罪，应推定无罪；此处其他所有未被定罪的人也同理。 下面的每个例子都来自表中的某篇文章。 马甲地址很少能指认出任何人。Fitzpatrick 的宣誓证词描述了一个用于在 RaidForums 注册的 Riseup 地址；邮箱查询未发现该地址的任何注册记录，这与它的用途相符；而 Google 记录将其与他关联的个人 Gmail 则返回了 11 条注册记录。在 TeamPCP 案中，查询发现记录中与 BreachForums“Express”账号关联的地址没有任何注册记录，这与记录描述的仅限论坛使用相符；而 Krebs 关联到 Thomson 名下某个 Microsoft 账户的 Gmail 则返回了 24 条结果。马甲地址反而是通过它们接触过什么来追踪的，正如那篇关于一次性邮箱的文章所示。 volhvb 返回 11 条精确匹配，没有近似匹配。joeleoli 返回 33 条结果，全部为精确匹配。deadcatx3 返回 21 条精确匹配结果，其中包括 Krebs 报道过的 HackerOne 资料。常见字符串的表现则不同：Express 是 Krebs 与该团伙关联的 BreachForums 名称，返回 316 条精确匹配结果；TrickBot 别名 mango 则返回 439 条。常见词上的命中只是起点，绝不是答案。 nerowolfe 是一个虚构侦探的名字，返回了 113 条精确匹配。其中只有一条锚定在公开记录上，即通过 [email protected] 找到的 GitHub 账号，它带有 Krebs 关联到 Khoroshev 的 NeroWolfe 马甲。同样的模式也适用于 Grubbs——其公开的 Gmail 解析到一个显示“Colton Grubbs”的 GitHub 账号；也适用于 Maksim Rudenskiy 条目上的 OFAC 地址——它解析到一个显示“Max Rudensky”的 GitHub 账号。 创建日期是账号主人唯一无法自行填写的资料字段。在 lockbitsupp 这个别名上，一个由无关玩家持有的 Steam 账号创建于 2004 年，远早于 LockBit 存在（Steam 允许用户更改资料 URL，所以该用户名本身可能更晚）。一个 Codeforces 账号出现在起诉书解封五天后，TikTok 和 Twitch 账号则在 2025 年 12 月跟进，这些都可能是抢注者或冒充者。在 Joeleoli 案中，一个显示“Joel Evans”的 GitLab 资料创建于 2017 年 9 月，早于他承认的共谋行为；而该用户名下的一个 MyAnimeList 账号创建于被捕约 21 个月后，同样带有抢注者的保留意味。在 volhvb 这个用户名上，没有任何有日期记录的账号创建于制裁指定之后。 deadcatx3 上的 HackerOne 资料显示“ruben thomson”，与 Krebs 的报道完全一致。volhvb 上的 Medium 资料显示的是制裁条目上姓名的西里尔字母拼写。这两者之所以有意义，只是因为已有公开记录将该用户名与姓名关联起来。好的消息源会说明这一点。关于自己对 LockBit 的还原，Krebs 写道：“上述时间线能证明 NeroWolfe/Khoroshev 就是 LockBitSupp 吗？不能。”在一个记录中从未出现的用户名上，显示名吻合只是线索，不是结论。 Khoroshev 的起诉书中完全没有印出任何电子邮件地址，而 IntelBroker 的起诉书则称“West Email Account-1”。Khoroshev 的 OFAC 条目印出了两个地址。在 Scattered Spider 系列案件中，英国和欧洲当局公布了姓名、年龄、城镇和刑期，但没有别名、邮箱或用户名；是美国法院文件和记者提供了可供搜索的字符串。我们的 SDN 邮箱指南展示了如何在名单上找到它们。 一个公开来源调查的实操示例，输入全部公开：标识符、发布它的文件、执行的搜索，以及返回的结果。在这里，每个输入都是公开记录中的邮箱或别名，因此任何人都能核查来源并重复搜索。 来自起诉书、起诉状、宣誓证词、量刑备忘录、OFAC 制裁条目，以及 KrebsOnSecurity 和 BleepingComputer 等具名报道。这些工作背后的记者和机构，包括 Intel 471 和 OpenSanctions，应得大部分功劳。 不能。匹配只能说明某个字符串已被注册，而显示名是自己填的。归因指南对每类证据进行分级，用户名验证清单则为你提供对照用的工作表。 可以。从一手来源取一个标识符，先运行邮箱查询，搜索它返回的任何用户名，按创建日期对结果排序，并把与记录矛盾的结果和吻合的结果并排记录下来。 这个方法适用于任何线索，也适用于你自己的数字足迹。在 OSINTsearch 上对电子邮件地址或用户名运行免费搜索。结果会显示平台以及资料详情，如显示名和加入日期（如有），付费方案可导出为 CSV、JSON 或 PDF。