一名部落客的爬蟲程式寄信通知 97,931 人他們的密碼已外洩

根據 Julian 的說法，既有的通知服務有兩個問題：大多數使用者不知道它們存在，而且許多人不信任把憑證交給又一個線上服務。

翻轉這個模式：與其要求使用者自行監控外洩服務，不如自己爬取那些傾倒的資料，並以電子郵件通知每一位遭曝光的當事人，告知其憑證已公開。

在三天內，Julian 從 PasteBin 類型的網站蒐集了外洩的電子郵件／密碼組合；2015 年 5 月 19 日，他的工具 Canary 寄出了 97,931 封預先寫好的警告電子郵件；到了 6 月下旬，他已蒐集了 300,000 筆登入憑證，並在權衡是否再發動一波寄信。

九封道謝回覆、零捐款——「既然這場行動沒花我多少錢，那也完全沒問題」；Julian 稱這項實驗是成功的，並希望許多受助者之所以從未回覆，是因為他們的信件被垃圾郵件篩選器攔下而遺失。

每一次重大駭客事件都會把電子郵件與密碼組合傾倒到黑市上，而 Slate 的 Lily Hay Newman 指出了顯而易見的一點：我們大多數人從不檢查自己的憑證是否在其中。「Julian」，這位在 ATechDad 背後以化名發文的部落客，決定替我們檢查。在三天內，他蒐集了張貼在 PasteBin 這類純文字主機上的外洩使用者資料，使用的是他打造、名為 Canary 的爬蟲程式；該程式會自動從網頁中篩選出特定資料，並寄出預先寫好的電子郵件，提醒人們其憑證已遭曝光。

這項設計的洞見在於信任。Julian 寫道，類似的爬取服務早已存在，但「1. 大多數使用者根本不知道這些服務存在。2. 許多使用者對於把自己最在意的資訊送交給另一個線上服務心存戒備。」他的答案：憑證本身就能說明一切——如果它們出現在 PasteBin 上，當事人就該被通知，無須註冊。

2015 年 5 月 19 日，Canary 寄信給 97,931 名網路安全處於風險中的人。Motherboard 指出，許多人會忽略一封看起來像網路釣魚的電子郵件；Julian 收到九封道謝、零捐款（「這並不令人意外」），而到了 6 月下旬，他已蒐集了 300,000 筆登入憑證，正考慮再寄一波。「整體而言，我認為這項實驗是成功的，」他寫道。

移除註冊步驟就移除了信任障礙：受害者得知外洩一事，卻從未把資料交給陌生人。

整套機制就是一個爬蟲程式加上預先寫好的電子郵件——以近乎零成本提供的一人公共服務。

反應冷淡這件事本身就是發現：以冷郵件進行外洩通知幾乎行不通，而這正是各項服務至今仍未解決的問題。

通知的缺口是一個設計問題：在資料已經外洩浮現的地方與人接觸，而不是要求他們去信任又一個服務。

截至 2015 年 6 月下旬，Julian 已蒐集了 300,000 筆憑證、收到九封道謝，並須就第二波寄信做出決定——這項實驗公開記錄於 ATechDad，並由 Slate 與 Motherboard 報導。