Мошенничество с продлением доменов. Откуда у них нужный e-mail? И как их блокировать?

Вчера в 12 ночи ошарашенный клиент присылает скрин с вопросом: «Продлевать?»

Такие письма под видом регистратора доменов присылают мошенники, они очень похожи на оригинальные письма по дизайну, шрифтам, но при оплате деньги уходят не регистратору, а мошенникам.

В чем суть?

Клиент каждый год продлевает домен (домен — это имя сайта, формата mysite.ru), напоминание о том, что заканчивается срок продления обычно приходит по почте.

Мошенничество в таком формате скорее всего часто срабатывает, потому как люди даже если полгода назад продлили домен, получая такое письмо думают, что время пришло и оплачивают. Сумма небольшая, в суд никто не идет, а кто то и вовсе не догадывается, что их развели.

В этом письме все признаки разводки:

1. Компании не пишут за 7 часов до удаления домена. Они присылают информационные письма за месяц, за 10 дней. И потом еще месяц напоминают, потому как по окончанию срока домен не сразу удаляется, а еще есть 30 дней до того как он станет общедоступным для регистрации.

2. Компании не пишут «Срочно продлить домен». Не продлите вы, его заберет кто то другой, если ресурс был хорошим, то заберут обязательно!

3. Клиент говорит, что прислали письмо в полночь, когда он уже вымотался за день и «соображалка» выключалась. Боязнь потерять сайт на столько велика, что на всякий случай проще отдать 1 000 ₽, даже если это мошенники, так для перестраховки.

То, что мошенники так поступают известно не первый год. Но вчерашний случай навел на такой вопрос:

Не в первые раз ко мне обращаются клиенты с тем, что получили такие письма. Кто то оплачивал.

Вся информация о контактных данных в зоне. ру по умолчанию скрыта.

Это письмо мы получили якобы от reg.ru хотя регистратор домена — Nethouse. Правильно ли предположить, что данные слили именно у нетхауса или есть еще способы раздобыть эту информацию?

На том же нетхаусе у меня тоже есть домен, но такие письма не получал. Какой то избирательный подход получается. При этом взял один из своих домена tarify-rko.ru и попытался разными сервисами пробить e-mail на который он зарегистрирован. Не получилось.

UPD. В комментах посовещались. Видимо все очень просто

Парсером собирают с сайта адрес почты в контактах, связывают его с доменом и шлют письма. Возможно никакого слива и нет.