待验证50% 置信注意事项精确时间
如果身份提供商未验证邮箱，攻击者可将邮箱改为目标用户地址，登录时被关联到已有账号，导致账号接管。
1
来源数
50%
置信度
长期有效
时效性
2026/11/4
首次发现
来源
涉及实体
相关事实
待验证用户名与邮箱地址的对应关系泄露可能被用于跨平台的撞库攻击，尤其是复用同一密码的用户79% 相似待验证邮箱不存在和密码错误应返回同一条提示，以防止攻击者探测已注册邮箱。77% 相似待验证账号存在只证明某个标识符（如邮箱地址或电话号码）在系统中被注册过，并不证明使用该账号的人就是其所声称的那个人。75% 相似待验证域名被标记为邮件服务商后，用户可能面临额外身份验证、发送配额下调、部分自动化功能被禁用，甚至邮件更易被判定为垃圾邮件75% 相似待验证在 OAuth 邮箱自动关联的场景中，攻击者无需破解密码、无需钓鱼，只需在某个允许未验证邮箱的提供商处注册一个与受害者相同的邮箱地址，发起一次 OAuth 登录即可完成账号接管，且因为是通过合法 OAuth 流程登录，日志中往往看不出异常。73% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1134491API
curl https://kongchang.com/api/v1/knowledge/claims/1134491MCP
get_claim(id=1134491)