<map version="0.7.1"><node ID="1" TEXT="Email"><node ID="2" TEXT="Save&#x20;a&#x20;eml&#x20;copy&#x20;of&#x20;the&#x20;email&#x20;and&#x20;any&#x20;attachments"><node ID="3" TEXT="Examine&#x20;the&#x20;email&#x20;header"><node ID="4" TEXT="Did&#x20;it&#x20;pass&#x20;SPF&#x20;and&#x20;DMKIM&#x3F;"></node></node><node ID="5" TEXT="Note&#x20;the&#x20;sender&#x27;s&#x20;name&#x20;and&#x20;actual&#x20;email&#x20;address"><node ID="6" TEXT="Did&#x20;the&#x20;email&#x20;name/address&#x20;attempt&#x20;to&#x20;spoof&#x20;someone&#x3F;&#x20;If&#x20;so&#x20;who&#x3F;"></node></node><node ID="7" TEXT="Note&#x20;recipients&#x20;of&#x20;email&#x20;note&#x20;cc&#x20;individuals&#x20;also"></node><node ID="8" TEXT="If&#x20;the&#x20;email&#x20;was&#x20;from&#x20;a&#x20;non&#x20;standard&#x20;email&#x20;domain&#x20;&#x28;example&#x3A;&#x20;gmail&#x2C;&#x20;outlook&#x2C;&#x20;etc.&#x29;&#x20;copy&#x20;the&#x20;domain&#x20;into&#x20;a&#x20;Whois&#x20;search"><node ID="9" TEXT="Non&#x20;standard"><node ID="10" TEXT="From&#x20;the&#x20;Whois&#x20;search&#x20;note&#x20;if&#x20;this&#x20;is&#x20;a&#x20;new&#x20;domain&#x2C;&#x20;if&#x20;so&#x20;when&#x20;and&#x20;where&#x20;was&#x20;it&#x20;created&#x3F;&#x20;How&#x20;long&#x20;is&#x20;the&#x20;lease&#x3F;&#x20;is&#x20;there&#x20;any&#x20;usable&#x20;information&#x3F;"><node ID="13" TEXT="Do&#x20;a&#x20;domain&#x20;lookup&#x2C;&#x20;subdomain&#x20;finder&#x2C;&#x20;builtwith&#x20;search&#x20;on&#x20;the&#x20;domain&#x20;for&#x20;useful&#x20;information"><node ID="21" TEXT="Analyze"><node ID="22" TEXT="Was&#x20;this&#x20;targeted&#x20;or&#x20;general&#x3F;"><node ID="23" TEXT="Why&#x20;was&#x20;that&#x20;person&#x20;targeted&#x3F;"><node ID="24" TEXT="What&#x20;did&#x20;the&#x20;email&#x20;body&#x2C;&#x20;subject&#x20;line&#x2C;&#x20;and&#x20;attachments&#x20;have&#x3F;"><node ID="25" TEXT="Scan&#x20;any&#x20;links&#x20;and&#x20;attachments&#x20;for&#x20;payloads&#x20;and&#x20;compromised&#x20;websites"><node ID="26" TEXT="Analyze&#x20;the&#x20;compromised&#x20;website&#x28;s&#x29;"></node><node ID="27" TEXT="Attachments"><node ID="28" TEXT="Does&#x20;the&#x20;attachment&#x20;contain&#x20;a&#x20;QR&#x20;code&#x3F;&#x20;If&#x20;so&#x20;load&#x20;into&#x20;a&#x20;QR&#x20;online&#x20;reader&#x20;to&#x20;extract&#x20;the&#x20;link&#x20;then&#x20;scan"></node></node></node></node></node></node></node></node></node></node><node ID="11" TEXT="Standard"><node ID="12" TEXT="Perform&#x20;a&#x20;reverse&#x20;email&#x20;search&#x20;to&#x20;see&#x20;where&#x20;else&#x20;the&#x20;email&#x20;may&#x20;have&#x20;been&#x20;used"><node ID="14" TEXT="Analyze"><node ID="15" TEXT="Was&#x20;this&#x20;targeted&#x20;or&#x20;general&#x3F;"><node ID="16" TEXT="Why&#x20;was&#x20;that&#x20;person&#x20;targeted&#x3F;"><node ID="17" TEXT="What&#x20;did&#x20;the&#x20;email&#x20;body&#x2C;&#x20;subject&#x20;line&#x2C;&#x20;and&#x20;attachments&#x20;have&#x3F;"><node ID="19" TEXT="Scan&#x20;any&#x20;links&#x20;and&#x20;attachments&#x20;for&#x20;payloads&#x20;and&#x20;compromised&#x20;websites"><node ID="20" TEXT="Analyze&#x20;the&#x20;compromised&#x20;website&#x28;s&#x29;"></node><node ID="29" TEXT="Does&#x20;the&#x20;attachment&#x20;contain&#x20;a&#x20;QR&#x20;code&#x3F;&#x20;If&#x20;so&#x20;load&#x20;into&#x20;a&#x20;QR&#x20;online&#x20;reader&#x20;to&#x20;extract&#x20;the&#x20;link&#x20;then&#x20;scan"></node></node></node></node></node></node></node></node><node ID="18" TEXT="Known&#x20;sender"><node ID="30" TEXT="Was&#x20;the&#x20;sender&#x27;s&#x20;account&#x20;compromised&#x3F;"><node ID="31" TEXT="Check&#x20;security&#x20;logs&#x20;on&#x20;the&#x20;email&#x20;account"><node ID="32" TEXT="Check&#x20;rules&#x20;on&#x20;email&#x20;accounts&#x20;to&#x20;make&#x20;sure&#x20;a&#x20;proxy&#x20;or&#x20;forwarding&#x20;rule&#x20;has&#x20;not&#x20;been&#x20;created"><node ID="33" TEXT="have&#x20;the&#x20;compromised&#x20;user&#x20;change&#x20;their&#x20;password"></node></node></node></node></node></node></node></node></map>