Авторы провели исследование среди специалистов по рискам в банках и инвестиционных фондах. За две недели было отправлено около 2100 холодных писем, однако ни один получатель не ответил. Все десять полученных откликов поступили исключительно через личные знакомства.
База из 13 511 организаций была собрана через реестр GLEIF. Для поиска доменов использовался API Clearbit, а для сопоставления названий — коэффициент Жаккара, исключающий общие слова вроде bank или capital. Адреса электронной почты собирались только с официальных сайтов компаний, что дало 438 контактов из 1 682 проверенных ресурсов.
Первая волна рассылки через Gmail провалилась из-за несоответствия настроек DKIM, SPF и DMARC. Почтовые шлюзы банков отклоняли письма из-за отсутствия репутации домена. Последующие попытки проводились через специализированные сервисы с использованием ключей домена и постепенным прогревом для формирования репутации отправителя.
При проверке DNS выяснилось, что некоторые домены используют прокси-серверы, возвращающие фиктивные A-записи. Для валидации ящиков авторы использовали SMTP-диалог, проверяя домены на наличие catch-all настроек. Письма отправлялись с учетом часовых поясов и графиков выходных дней в разных странах.
Для обхода спам-фильтров письма рассылались порциями с рандомизацией времени отправки в 110-минутном окне. Несмотря на техническую подготовку, включая фильтрацию нецелевых отделов вроде HR или комплаенса и настройку аутентификации, холодная рассылка не принесла ни одного ответа от целевой аудитории.
