Sécurité personnelle : hackez-vous vous-même avec Google

Avec plus de 5,5 milliards de requêtes (1) effectuées chaque jour par ses utilisateurs, Google est de loin le plus utilisé des moteurs de recherche dans le monde (2). De part les quantités titanesques de données indexées – quelques 120 000 milliards de pages en 2015 – couplées à la pertinence et la rapidité de son algorithme de recherche, l’accès à l’information est plus que jamais à portée de tous.
Comme beaucoup, vous avez probablement déjà entré votre nom ou votre pseudonyme dans un moteur de recherche, par curiosité. Cet article vous propose différentes pistes et méthodologies simples vous permettant d’aller plus loin dans cette démarche, en utilisant uniquement Google. L’objectif de l’ « auto-hack » est double : vérifier les données qui circulent sur vous sur internet, et repérer une usurpation d’identité.

Enfilez donc votre costume de hacker en herbe – ou votre plus beau masque – et partez à la recherche de l’empreinte numérique… de vous-même !

Le Google hacking

La théorie

Le Google hacking est une technique qui permet d’utiliser le moteur de recherche Google afin de trouver des informations sensibles. Pour ce faire, nous allons utiliser des opérateurs dans nos recherches. Les opérateurs sont des paramètres spéciaux qui permettent de mieux cibler les informations recherchées. Nous avons par exemple l’opérateur site qui permet de réaliser une recherche sur un site donné, filetype pour rechercher un type de fichier en particulier, ou encore intitle qui centre la recherche sur le titre de la page (et non sur son contenu).
Un opérateur fonctionne de la manière suivante : operateur:valeur. Par exemple, site:facebook.com signifie « rechercher uniquement sur facebook.com ».

La démarche

La première phase d’un hacker est de rechercher des informations sur sa cible – on appelle cela la « reconnaissance ». Seulement, l’opération est très différente lorsqu’il s’agit de se pirater soi-même. Et pour cause : vous détenez déjà les informations. Cela a un double avantage :

  • Vous allez pouvoir chercher plus en profondeur, car vous allez pouvoir cibler plus précisément (par exemple, vous connaissez les sites que vous fréquentez, les adresses mails que vous utilisez…)
  • Vous allez pouvoir fonctionner à rebours : c’est à dire soumettre une information qui est confidentielle au moteur de recherche, et vérifier que celui-ci ne retourne pas de résultat

La pratique

Maintenant que vous avez les éléments nécessaires pour réussir votre investigation, c’est le moment : piratez-vous vous-même. Voici différentes pistes pour trouver un maximum de données sur vous.

1. Mes identifiants

La première recherche est très simple, mais peut révéler beaucoup d’information sur vous : entrez votre nom et votre prénom.

google-hack-search-1

Si votre nom est trop courant ou, par exemple, qu’une célébrité porte votre nom, il est probable que vous n’apparaissiez pas dans les réponses. Dans ce cas, ajoutez également la ville dans laquelle vous résidez.

Les résultats généralement trouvés sont les suivants :
annuaires : adresse postale et numéro de téléphone
réseaux sociaux : informations personnelles (lieux d’études, activités, centres d’intérêts), photos, réseaux d’amis/professionnels, sites internets personnels, pseudos, adresses mails.

Vous pouvez à présent réaliser le même type de recherche avec votre pseudonyme ou votre adresse mail.

2. Cibler des sites

Vous allez à présent vous focaliser sur des sites particuliers. Cela peut être utilisé pour trouver les réseaux sociaux sur lesquels vous êtes enregistré par exemple, ou bien recenser vos activités et informations personnelles laissées ça et là. Vous allez également pouvoir découvrir si votre identité est utilisée à votre insu.
Pour ce faire, utilisez l’opérateur site.

Comme évoqué précédemment, l’avantage que vous avez est que vous connaissez déjà les sites sur lesquels vous êtes actifs. Vous pouvez donc les cibler pour vous assurer des informations que vous y avez laissé. Cependant, ne ciblez pas que ceux-ci ! Vous risqueriez d’une part de passer à côté de grand nombre d’informations, et d’autre part de ne pas trouver ce que les autres disent de vous sur le web.
De nombreux sites peuvent être pertinents, notamment les réseaux sociaux et les forums communautaires : facebook.com, twitter.com, plus.google.com, monster.fr, linkedin.com, viadeo.com, flickr.com, onedrive.live.com, joomeo.com, youtube.com, free.fr, …

3. Les fichiers

Nous allons maintenant ajouter des opérateurs à notre recherche afin de trouver des fichiers. L’opérateur de recherche de fichier est filetype (ou ext pour « extension »).

Cette requête nous retourne les fichiers PDF indexés dans lesquels les mots clés « john » et/ou « winny » ont été trouvés.
Les types de fichiers pertinents à rechercher sont : pdf, doc, docx, xml, xls, ppt et rtf.
On peut réaliser une recherche plus précise, en précisant le titre avec l’opérateur intitle:

4. Les images

Lors d’une recherche (lorsque vous entrez vos identifiants par exemple), allez dans l’onglet Images de Google, cliquez sur les différentes illustrations et observez le champ site web pour cette image. Même pour les images qui ne semblent pas vous concerner vous-même, vous pouvez ainsi trouver des liens vers des sites vous concernant ou dans lesquels vous êtes cité.

On peut par exemple ici tomber sur une page de profil Google Plus à votre nom.

Une autre manière de trouver des sites web sur lesquels vous êtes référencé est d’utiliser la reconnaissance de Google Images.
En effet, il n’est pas rare que nous utilisions la même image de profil pour nos différents comptes utilisateurs, sur différents sites. Peut-être vous trouvez-vous plus charmant sur cette photo de vous datant de 3 ans, peut-être préférez-vous mettre en avant la photo de votre chat qui se repose dans un carton… peu importe, le fait est que vous avez utilisé cette image plusieurs fois.
Ainsi, après avoir cliqué sur l’onglet images de Google, vous pouvez glisser votre image dans la barre de recherche. Le moteur va alors rechercher les différentes pages dans lesquelles cette image apparait.

En bas de la page, dans la section Pages contenant des images identiques, vous trouverez potentiellement des pages qui vous concernent. De cette manière, vous pouvez également découvrir si d’autres personnes utilisent vos photos/images.
Enfin, si une image compromettante de vous a été rendue publique par le passé (celle du nouvel an dernier, vous vous souvenez ?), vous pouvez la soumettre au moteur de recherche afin de vérifier qu’elle n’est plus utilisée sur aucune page du web.

5. Informations sensibles

Vous allez a présent chercher si des informations sensibles vous concernant circulent sur internet. Il arrive que des données fuitent, suite à un piratage, une arnaque ou un problème technique par exemple.
D’abord entrons simplement un de nos identifiants (nom + prénom, adresse mail, pseudonyme, …) ainsi qu’un ou plusieurs mots clés, tel que « password », « rib », « mastercard », …

Ces recherches ont peu de chance de donner des résultats convaincants car, par exemple, le mot clé « password » est très fréquent. Rappelez-vous que plus vous précisez de champs (comme illustré ci-dessus), plus les résultats seront pertinents (et peu nombreux).

Lorsqu’un site est piraté (ou simplement un compte en particulier), il est fréquent que les données volées soit publiées sur internet, et notamment sur l’application pastebin.com. De ce fait, une bonne pratique est de vérifier qu’aucune information vous concernant n’est accessible sur cette plateforme. Pour ce faire, nous allons utiliser l’opérateur site.

Mais ne négligeons pas non plus d’autres pistes qui évoqueraient un hack de votre compte

Enfin, vous pouvez profiter du fait que vous possédez vous-même ces informations sensibles et confidentielles pour vérifier qu’elles ne sont pas rendues publiques.
Par exemple, vérifiez que votre numéro de téléphone portable n’est mentionné nulle-part en le recherchant directement.

Attention toutefois, n’entrez jamais une information trop sensible (telle qu’un mot de passe ou un identifiant bancaire). En effet, bien que votre recherche ne soit pas indexée (comprendre « rendue publique ») par Google, cela n’empêche qu’elle est envoyée au serveur et donc potentiellement enregistrée. De plus, vous n’êtes jamais à l’abri qu’une personne malveillante intercepte votre trafic.

J’ai trouvé quelque chose.

Si vous avez trouvé des données que vous souhaitiez privées, supprimez-les dans la mesure du possible. Si celles-ci sont publiées par un tiers (réseaux sociaux, blog, site que vous fréquentez, …) faites lui une demande de suppression de vos documents. Enfin, si vous avez trouvé votre mot de passe usuel ou des informations bancaires, faites le nécessaire le plus rapidement possible pour les invalider.

Conclusion

Vous connaissez à présent les bases du Google hacking. Avec les quelques opérateurs donnés ici et un peu d’imagination, vous pouvez forger un nombre infini de requêtes qui pourraient vous apporter toujours plus de résultats. Gardez donc à l’esprit que toutes les recherches effectuées ici ne sont que des pistes et que vous pouvez sans cesse les augmenter et les améliorer.

Pour aller plus loin…
Si vous désirez pousser plus loin vos recherches, il existe des services en ligne qui pourront fortement vous aider. En voici une brève liste (ils sont tous gratuits !) :

  • checkusernames.com – tester l’existence d’un nom d’utilisateur donné sur 160 réseaux sociaux différents
  • com.lullar.com – même idée que checkusernames mais avec une adresse mail. La liste des réseaux sociaux est beaucoup plus petite cependant
  • pipl.com – rechercher une personne sur les réseaux sociaux. Plusieurs paramètres sont possibles : pseudonyme, adresse mail, nom, prénom, lieu
  • emailhunter.co – cherche des adresses email existantes à partir d’un nom de domaine

*1 Source http://www.webrankinfo.com/dossiers/google/chiffres-cles#gref
*2 Environ 90% des parts de marchés à l’échelle mondiale en 2016 selon StatCounter http://gs.statcounter.com/#search_engine-ww-monthly-201601-201611