Прикольная фишечка, если впадлу регать домен и прогревать его на проектах:

Можно использовать домены, через которые спамеры рассылают всякое. Почему-то некоторые веб-приложения через функционал contact отправляют просто дублирующее сообщение того, что вы им напишите, причем даже поддерживают html разметку.

Вот пример одного из таких - дальше надо обходить спам фильтры и прочее, но вот вам бесплатный способ тестировать по сути для spear phishing. То есть я тут слал на gmail, и письмо пришло, правда, в spam, но думаю, можно докрутить до inbox, если обойти спам фильтры.