A mikor, honnan mit csinált infók alapján... (Ha pl. volt 1-2 órán belül tranzakckiója/bejelentkezése Bivalytöcsködről (GeoIP), és az e-mail cím cseréje viszont 300km-rel odébbról volt, akkor az minimum gyanús. De elég, ha a lecserélt címek valamilyen algoritmussal készültek, azt máris le lehet listázni, hogy adott időszakban kinek lett olyan jellegűre lecserélve a címe...
És vannak még bőven ötleteim...