メールアドレスはマスターキー — 誰かに先に監査される前に監査しよう
あなたがこれまでに作成したすべてのアカウントは、メールアドレスから始まっています。この単一の文字列は、あなたのソーシャルプロフィール、開発者リポジトリ、ゲームアカウント、ショッピングサイト、デートアプリを静かに結びつけています。ほとんどの人はそれが何を結びつけているかを正確に把握していません — そして、その恩恵を受けるのはあなたではありません。
このガイドは、自分のメールアドレスを監査するためのものです：それに紐づくすべてのアカウントを表面化し、忘れたアカウントを閉鎖し、他人がたどることができるリンクを断ち切ります。（他人のメールアドレスを調べることは、法的な制限がある別の問題です — それは関連ガイドでカバーされています。）
ステップ1：受信トレイを掘り下げる — サインアップの記録
すべての正当なサービスは、サインアップ時にメールを送信し、ほとんどの人はそれを削除しません。メールボックスで以下を検索します：
- “welcome”、“verify”、“confirm”、“activate” — 標準的なサインアップの挨拶
- “your account”、“password”、“receipt” — アカウント管理と購入の記録
- あなたが疑うサービスの名前 — デートアプリ、フォーラム、古いゲームランチャー
古い順に並べ替えます：最も古い結果は、あなたが最も忘れているアカウントであり、忘れたアカウントはどこでも古いパスワードを保持しているものです。
ステップ2：データ漏洩データベースをチェック
Have I Been Pwnedのようなデータ漏洩通知サービスは、あなたのメールアドレスがどの漏洩に現れたかを示します。各エントリは地図でもあります：漏洩に記載されているサービスは、あなたのメールアドレスのアカウントを持っていたサービスです。
これから2つの監査アクションが導き出されます：
- リンク解除または閉鎖 — もう使っていないサービスのアカウント。すべての孤立したアカウントは、次の漏洩で再利用可能なクレデンシャルです。
- パスワードを変更 — まだ対応していない漏洩に現れたもの。
クリーンな漏洩結果は何もない証拠ではありません — 漏洩は一度公開された後に表面化します — しかし、すべてのヒットは今日対応できる確認済みの登録です。
ステップ3：メールアドレスのプレフィックスをハンドルとしてスキャン
人々は他のどの文字列よりもメールアドレスのプレフィックスを公開ユーザー名として再利用します。あなたのメールアドレスが[email protected]の場合、janedoe、jane_doe、またはjane-doeがどこかで公開されているアカウントである可能性が高いです。
プレフィックス（とそのバリエーション）をTraceSeekでスキャンします — 1回のスキャンで3,000以上のプラットフォームを20–30秒でチェックし、最初のスキャンは無料です。結果は、あなたの命名習慣がどの公開面に現れているかを示します：忘れたフォーラム、10年前のGitHub、古い文字列を使用しているゲームアカウント。
スキャンのためのバリエーションチェックリスト：
- ドット → アンダースコア → ハイフン
- ドットを完全に削除
- 一般的な数字を追加（1、123、生年）
- 多くのプラットフォームが切り詰める方法でプレフィックスを切り詰める
ステップ4：ループを閉じる — リンクすべきでないものをリンク解除
表面化した各アカウントについて、決定します：閉鎖する、非識別化する、または意図的に保持する。
-
閉鎖 — 使っていないものはすべて閉鎖します。サービスの削除フローを使用します；存在しない場合は、プロファイルを非識別化コンテンツで上書きし、個人データを削除します。
-
非識別化 — 保持しなければならないアカウント：メールアドレスから派生したハンドルを交換し、バイオを削除し、プロフィール写真のリンクを解除します。
-
今後は分離 — 新しいサインアップにはエイリアスアドレスとメールアドレスのプレフィックスとは無関係のハンドルを使用し、次の監査では新しいリンクが見つからないようにします。
この監査が回避する罠
-
一般的なパスワードリセットメッセージがアカウントがないことを意味すると仮定する。 プラットフォームは列挙を防ぐために一般的な応答を使用します — 確認の欠如は欠如の確認ではありません。（これも、自分の監査でもリセットページのプロービングが貧弱なツールである理由です — 受信トレイと漏洩データが優れています。）
-
ソフト404を信頼する。 一部のサイトは存在しないプロファイルに対して通常のページを返します。ステータスコードではなく、ページタイトルのユーザー名で確認します。
-
古いアドレスを忘れる。 放棄されたメールアドレスに紐づくアカウントは、あなたのチェーンの中で最も弱いリンクです：あなたはそれらのアラートを受信できませんが、古いアドレスを制御する攻撃者はできます。それらを最も厳しく監査します。
-
一度だけ監査する。 登録は蓄積します。ステップ1–3を年に2回簡単に再実行することで、地図を正直に保ちます。
監査が思っている以上に重要な理由
メールフットプリント監査は、3つの実際の脅威に対する安価な保険です：クレデンシャルスタッフィング（漏洩したパスワード + 再利用されたハンドル = あなたの他のアカウント）、なりすまし（あなたの命名習慣は詐欺師の無料のブランディングです）、ドキシング（メールアドレスからハンドル、プロフィールへのチェーンは、他人が個人をマッピングする方法です）。年に1回か2回、20分でそのチェーンの大部分を崩壊させます。
監査であなたになりすましたアカウントや、あなたが作成したことがないプロフィールにあなたの写真が現れた場合、誰かがあなたの写真を盗んだときの対処方法に関するガイドがそこから始まります。