De redenen dat websites vaak e-mailadressen als logon-ID gebruiken zijn vermoedelijk: 1) Een e-mail adres is gegarandeerd uniek; 2) Mensen hebben al veel moeite met het onthouden van een wachtwoord, hun e-mailadres als logon-ID onthouden ze wel; 3) Bij "wachtwoord vergeten" (password reset) hoeft alleen dat e-mail adres te worden ingevoerd (wat doe je bij logon-ID vergeten?). Een m.i. onderschat beveiligingsrisico is dat toegang hebben tot een e-mail account (d.w.z. waar e-mail naartoe gestuurd wordt bij een password reset) tot identiteitsfraude kan leiden. Elke e-mail alias die in andere handen valt, betekent een risico. Anderzijds is het een risico dat e-mail adressen in verkeerde handen vallen doordat ze als logon-ID worden gebruikt, zie https://www.bleepingcomputer.com/news/security/numerous-sites-leak-user-emails-to-advertising-analytics-services/ (gisteren gepubliceerd). Mensen zouden alleen al een administratie (bijv. in een wachtwoordmanager) moeten bijhouden om te weten waar ze allemaal accounts ...