Brèches, stockages ouverts et services exposés

Par où commencer

On commence par Have I Been Pwned, sur une adresse ou un nom de domaine qu’on contrôle : le service indique dans quelles brèches l’adresse apparaît, à quelle date, et quelles catégories de données ont été exposées. Ces fiches se lisent d’abord pour le vocabulaire — dump, combolist, bourrage d’identifiants — avant de toucher au moindre outil de collecte.

Progression

1. 1Découverte

   Lire ce qui est déjà indexé

   Trois index suffisent à mesurer l’étendue du sujet : Have I Been Pwned pour les adresses, Intelligence X pour les documents, pastes et archives déjà republiés, Grayhat Warfare pour les stockages en ligne laissés ouverts. Aucune requête ne part vers l’organisation concernée, on consulte le travail de collecte de tiers.

   • Have I Been Pwned
   • Intelligence X
   • Grayhat Warfare

2. 2Pratique

   Mesurer sa surface exposée

   Shodan donne la vue extérieure de son propre périmètre — interface d’administration ouverte, base sans authentification — tel qu’un tiers l’a déjà enregistrée, et ONYPHE fait le même relevé avec ses propres scans. On n’y apprend presque jamais rien de bon : chaque ligne y est un oubli à fermer.

   • Shodan
   • ONYPHE

3. 3Approfondissement

   Dater l’exposition

   Censys ajoute la profondeur historique des certificats et des services, utile pour fixer le jour où un port est passé en accès libre, et LeakIX indexe les bases laissées ouvertes au fil du temps. Croisés, ces deux index permettent de dire si une exposition est récente ou ancienne — la réponse n’est pas la même.

   • Censys
   • LeakIX

Ce qu’on apprend à ses dépens

Ces outils servent à mesurer sa propre exposition, ou celle d’un périmètre qu’on est mandaté pour auditer. Chercher les identifiants d’un tiers dans des données ayant fui n’est pas de l’OSINT : les données restent personnelles après la fuite, leur réutilisation tombe sous le RGPD, et l’accès frauduleux relève de l’article 323-1 du Code pénal. C’est pourquoi cet annuaire ne référence aucun service de recherche de personnes dans des bases compromises, même connu, même populaire.

Se combine avec

• Méthode & OPSEC

  Se protéger après une fuite : alias, mots de passe uniques, identités séparées.

Catégories qui se recoupent avec Fuites & données exposées.