T1589.002: 电子邮件地址

摘要

攻击者可能收集可在目标定位期间使用的电子邮件地址。即使存在内部实例，组织也可能拥有面向公众的电子邮件基础设施和员工地址。 攻击者可能轻松收集电子邮件地址，因为它们可能容易获得并通过在线或其他可访问数据集（例如[社交媒体](https://attack.mitre.org/techniques/T1593/001)或[搜索受害者拥有的网站](https://attack.mitre.org/techniques/T1594)）暴露。(Citation: HackersArise Email)(Citation: CNET Leaks) 电子邮件地址也可以通过更主动的方式枚举（即[主动扫描](https://attack.mitre.org/techniques/T1595)），例如探测和分析来自身份验证服务的响应，这些响应可能揭示系统中有效的用户名。(Citation: GrimBlog UsernameEnum) 例如，攻击者可能能够通过查询各种公开可用的 API 端点（如 autodiscover 和 GetCredentialType）来枚举 Office 365 环境中的电子邮件地址。(Citation: GitHub Office 365 User Enumeration)(Citation: Azure Active Directory Reconnaisance) 收集这些信息可能为其他形式的侦察（例如[搜索开放网站/域名](https://attack.mitre.org/techniques/T1593)或[信息钓鱼](https://attack.mitre.org/techniques/T1598)）、建立行动资源（例如[电子邮件账户](https://attack.mitre.org/techniques/T1586/002)）和/或初始访问（例如通过[外部远程服务](https://attack.mitre.org/techniques/T1133)的[钓鱼](https://attack.mitre.org/techniques/T1566)或[暴力破解](https://attack.mitre.org/techniques/T1110)）揭示机会。