Sherlock OSINT : Trouver les comptes Web d’un Pseudonyme
Si Sherlock Holmes vivait à l'époque d'Internet, l'outil Sherlock OSINT présenté dans cet article lui aurait probablement servi à plusieurs reprises sur ses affaires de détective.
Sherlock est un outil d'OSINT développé en Python capable de découvrir la présence de comptes utilisés par un pseudonyme sur plus de 470 sites Internet: Youtube, Vimeo, Unsplash, Trello ... etc.
Son fonctionnement est très simpliste, mais très efficace. Il peut être utilisé :
- D'une manière malveillante, en vue d'une attaque ciblée par un pirate.
- D'une manière bienveillante, pour éviter le cybersquattage et identifier les faux comptes utilisant votre marque.
Comment installer Sherlock ?
Depuis Linux / WSL2
Pour installer cet outil d'OSINT, c'est très simple :
- Soit vous utilisez Kali Linux, dans ce cas un "apt-get install sherlock" vous sera suffisant pour installer cet outil.
- Soit vous utilisez une autre distribution Linux, dans ce cas vous pouvez passer par une installation manuelle de l'outil :
$ pip install --user sherlock-project
Ou depuis le code source :
$ git clone https://github.com/sherlock-project/sherlock.git
$ cd sherlock
$ pipx install -e .
Pour utiliser Sherlock, il vous suffit de taper la commande suivante pour rechercher l'ensemble des comptes utilisés par le pseudonyme "user123" :
sherlock user123
L'outil peut produire un rapport d'analyse soit dans la sortie standard, soit sous la forme d'un fichier CSV ou Excel.
Il dispose aussi de plusieurs options pour cibler certains sites uniquement ou pour passer au travers d'un réseau Tor.
Depuis Windows
Si vous utilisez Windows et que vous n'avez aucune connaissance informatique, pas de panique. J'ai réalisé une interface GUI à Sherlock qui s'appelle Haddock.
Elle permet d'utiliser Sherlock facilement sans connaissances avancées :
https://github.com/ltoinel/haddock/releases
Haddock dispose aussi d'un mode Tor et dispose d'une possibilité de cibler uniquement certains sites.
En conclusion
Cet outil démontre la fragilité de l'utilisation d'un pseudonyme unique sur Internet si vous souhaitez protéger votre vie privée.
L'utilisation d'une chaine aléatoire dans votre pseudonyme est la seule solution pour se protéger de ce type d'outil d'OSINT.
Enfin, n'oubliez pas de changer de mot de passe sur chaque service Web que vous utilisez. n'hésitez pas à utiliser un gestionnaire de mot de passe comme KeePaasXC pour simplifier gratuitement la gestion de vos mots de passe.
Si vous souhaitez échanger sur l'OSINT, n'hésitez pas à passer sur le serveur Discord Geeek, n'hésitez pas non plus à découvrir mon article sur Epieos, un outil d'OSINT 100% en ligne qui nécessite aucune installation.