OSINTsearch 发布基于公开定罪记录的邮箱与用户名检索案例合集

这些 OSINT 案例研究从调查人员收尾之处开始。其中的每个电子邮件地址和化名，最初都由法庭文件、美国财政部制裁条目或具名调查报道披露，涉及的是已被指控、定罪或制裁的网络犯罪人员。2026 年 9 月，我们将这些标识符输入 OSINTsearch 的邮箱查询和用户名搜索，然后整理返回的结果。本页是该系列的索引：每篇文章涵盖什么、教授什么技术，以及跨案例都成立的教训。

每篇文章都取用已经公开的标识符，并提出两个问题。这个地址或化名如今在活跃平台上能延伸多远？这又能教会我们什么调查方法？六篇文章各讲述一个案件或团伙，从 Scattered Spider 到 TeamPCP。另外六篇是指南，借鉴多个案例来教授一项技术。它们合在一起，构成每个输入都公开的 OSINT 调查示例。

搜索结果是在记录之上叠加的在线存在与个人资料数据。显示名称或位置是账户持有人自己输入的，都不能替代记录。

Khoroshev、Thomson、Coelho 和 Rudometov 是被指控而非被定罪，应推定无罪；此处其他所有未被定罪的人同样如此。

下表中的每个示例都来自表中某篇文章。

化名地址很少能直接指向任何人。Fitzpatrick 的宣誓证词描述了一个用于在 RaidForums 注册的 Riseup 地址；邮箱查询未发现该地址的任何注册记录，这与它的用途相符；而 Google 记录与其关联的个人 Gmail 则返回了 11 条注册记录。在 TeamPCP 案中，查询未发现记录中与 BreachForums“Express”账户关联的地址有任何注册，这与记录描述的仅限论坛使用相符；而 Krebs 关联到 Thomson 名下 Microsoft 账户的 Gmail 返回了 24 条结果。化名地址反而是通过它们接触过的对象来追踪的，一次性邮箱一文展示了这一点。

volhvb 返回了 11 条完全匹配，没有近似匹配。joeleoli 返回 33 条结果，全部为完全匹配。deadcatx3 返回 21 条完全匹配结果，包括 Krebs 报道的 HackerOne 个人资料。常见字符串则表现不同：Express——Krebs 与该团伙关联的 BreachForums 名称——返回了 316 条完全匹配结果，而 TrickBot 化名 mango 返回了 439 条。常见词上的命中只是起点，绝不是答案。

nerowolfe 是一个虚构侦探的名字，返回了 113 条完全匹配。其中只有一个——通过 [email protected] 找到的 GitHub 账户——锚定在公开记录上，且带有 Krebs 与 Khoroshev 关联的 NeroWolfe 人设。同样的模式也适用于 Grubbs：其公开 Gmail 解析到一个显示“Colton Grubbs”的 GitHub 账户；也适用于 Maksim Rudenskiy 条目上的 OFAC 地址，该地址解析到一个显示“Max Rudensky”的 GitHub 账户。

创建日期是账户所有者唯一无法自行输入的字段。在 lockbitsupp 化名上，一个无关玩家持有的 Steam 账户创建于 2004 年，远早于 LockBit 存在（Steam 允许用户更改个人资料 URL，因此该用户名本身可能更晚）。一个 Codeforces 账户在起诉书解封五天后出现，TikTok 和 Twitch 账户则在 2025 年 12 月跟进，这些都可能是抢注者或冒充者。在 Joeleoli 案中，一个显示“Joel Evans”的 GitLab 资料创建于 2017 年 9 月，早于他承认的共谋；而该用户名上的一个 MyAnimeList 账户创建于被捕约 21 个月后，同样带有抢注者的对冲说明。在 volhvb 化名上，没有任何带日期的账户是在制裁指定之后创建的。

deadcatx3 上的 HackerOne 资料显示“ruben thomson”，与 Krebs 报道完全一致。volhvb 上的 Medium 资料显示的是制裁条目上姓名的西里尔字母拼写。两者之所以有意义，只是因为公开记录已经将该用户名与姓名关联起来。好的消息源会明确说明这一点。Krebs 在重构 LockBit 时写道：“上述时间线能证明 NeroWolfe/Khoroshev 就是 LockBitSupp 吗？不能。”对于记录中从未出现的用户名，显示名称匹配只是线索，不是结论。

Khoroshev 的起诉书中完全没有列出任何电子邮件地址，IntelBroker 的起诉书则提到“West Email Account-1”。Khoroshev 的 OFAC 条目列出了两个地址。在 Scattered Spider 各案中，英国和欧洲当局公布了姓名、年龄、城镇和刑期，但没有公布化名、邮箱或用户名；美国文件和记者提供了可搜索的字符串。我们的 SDN 邮箱指南展示了如何在名单上找到它们。

一个公开来源调查的完整示例，输入全部展示：标识符、披露它的文件、执行的搜索，以及返回的结果。这里的每个输入都是公开记录中的邮箱或化名，因此任何人都可以核对来源并重复搜索。

来源包括起诉书、刑事控告书、宣誓证词、量刑备忘录、OFAC 制裁条目，以及 KrebsOnSecurity 和 BleepingComputer 等具名报道。这些工作背后的记者和机构，包括 Intel 471 和 OpenSanctions，应获得大部分功劳。

不能。匹配只表示某个字符串已被注册，而显示名称是自行输入的。归因指南对每类证据进行评级，用户名验证清单则为你提供用于比对的工作表。

可以。从一手来源取一个标识符，先运行邮箱查询，搜索它返回的任何用户名，按创建日期对结果排序，并将与记录矛盾的结果记录在与记录相符的结果旁边。

该方法适用于任何线索，也适用于你自己的数字足迹。在 OSINTsearch 上免费搜索一个电子邮件地址或用户名。结果会显示平台和可用的个人资料详情，如显示名称和加入日期，付费方案可导出为 CSV、JSON 或 PDF。