L’OSINT (Open-Source Intelligence) et la Breach Intelligence ont profondément évolué : au-delà de l’énumération classique de sous-domaines ou de profils publics, un audit d’exposition réaliste doit aujourd’hui croiser les bases de fuites historiques (COMB), les journaux d’Infostealers (RedLine, Lumma, Raccoon) et les oracles d’enregistrement de comptes (Holehe, Ignorant).

Cet article détaille l’architecture d’une chaîne d’investigation complète combinant les moteurs de recherche de données fuitées (Have I Been Pwned, BreachHub / BreachDirectory, Hudson Rock Cavalier, DeHashed, Intelligence X, XposedOrNot) et les outils CLI conteneurisés (h8mail, Holehe, Maigret, Sherlock, PhoneInfoga, theHarvester, SpiderFoot).

1. Architecture d’une chaîne d’investigation OSINT & Breach Intelligence

Plutôt que d’interroger manuellement chaque service, une architecture d’audit moderne route la cible (email, pseudonyme, numéro E.164, domaine ou IP) en parallèle vers quatre familles de collecteurs passifs :

2. Moteurs de recherche de fuites de données (Data Breaches & Infostealers)

Lorsqu’une adresse email, un nom de domaine d’entreprise ou un pseudonyme est audité, six moteurs complémentaires permettent de mesurer immédiatement l’exposition réelle :

1. Have I Been Pwned (haveibeenpwned.com) & Pwned Passwords (k-Anonymity)

Référence mondiale maintenue par Troy Hunt, Have I Been Pwned (HIBP) expose deux mécanismes distincts :

• Recherche de comptes compromis (/api/v3/breachedaccount/{email}) : identifie les fuites vérifiées (date de l’incident, volume de comptes, classes de données exposées : mots de passe hachés, adresses IP, numéros de téléphone).
• Vérification de mots de passe par k-Anonymity (api.pwnedpasswords.com/range/{sha1_prefix}) : seuls les 5 premiers caractères de l’empreinte SHA-1 du mot de passe sont transmis sur le réseau. Le serveur renvoie la liste des suffixes correspondants, garantissant que le secret testé ne quitte jamais la machine d’audit.

# Vérifier un mot de passe via k-Anonymity HIBP sans jamais l'exposer sur le réseau
PASS_SHA1=$(printf "%s" "MonMotDePasseTest123" | sha1sum | awk '{print toupper($1)}')
PREFIX=${PASS_SHA1:0:5}
SUFFIX=${PASS_SHA1:5}
curl -s "https://api.pwnedpasswords.com/range/${PREFIX}" | grep -i "^${SUFFIX}:"

2. BreachHub, BreachDirectory & ProxyNova COMB (Compilation of Many Breaches)

Les agrégateurs orientés Credential Stuffing comme BreachHub, BreachDirectory et l’API publique ProxyNova COMB indexent plus de 3,2 milliards de couples identifiant/mot de passe issus de compilations historiques (Collection #1-5, AntiPublic, Cit0day).

• Intérêt opérationnel : détecter la réutilisation d’un même radical de mot de passe entre un compte personnel ancien et un accès professionnel actuel.

3. Hudson Rock Cavalier (cavalier.hudsonrock.com) : Chasse aux Infostealers

Contrairement aux fuites de bases SQL classiques, les malwares Infostealers (RedLine, Lumma, Raccoon, Vidar) exfiltrent directement les sessions cookies, jetons OAuth et mots de passe enregistrés dans le navigateur d’un poste infecté.

• L’API publique Hudson Rock Cavalier permet de vérifier gratuitement si un email, un nom d’utilisateur, un domaine ou une IP apparaît dans des journaux d’infection récents :

# Interrogation directe de l'API publique Hudson Rock Cavalier sur un email ou domaine
curl -s "https://cavalier.hudsonrock.com/api/json/v2/osint-tools/search-by-email?email=contact@exemple.fr" | jq .
curl -s "https://cavalier.hudsonrock.com/api/json/v2/osint-tools/search-by-domain?domain=exemple.fr" | jq .

4. XposedOrNot (xposedornot.com) : Alternative Open-Source Gratuite à HIBP

XposedOrNot fournit une API REST totalement gratuite et sans clé obligatoire (/v1/check-email/{email}) qui retourne la liste exacte des brèches dans lesquelles figure une adresse email ainsi qu’une analyse de risque par catégorie de données.

5. DeHashed (dehashed.com), Intelligence X (intelx.io), LeakCheck & Snusbase

Pour les investigations approfondies de réponse à incident (DFIR) :

• DeHashed et LeakCheck permettent des recherches par expressions régulières, hachages inversés (MD5/SHA/NTLM), numéro VIN ou adresse postale ;
• Intelligence X (IntelX) archive les fuites historiques, les pastes éphémères et les index Darknet (Tor/I2P) par domaine ou bloc CIDR ;
• LeakIX et Shodan InternetDB identifient les serveurs exposant accidentellement des fichiers .env, .git/config, des tableaux de bord non authentifiés ou des bases Elastic/MongoDB ouvertes.

–> Croiser systématiquement HIBP / XposedOrNot (fuites applicatives), Hudson Rock (compromission du poste client par stealer) et BreachHub / COMB (exposition de secrets) élimine les angles morts lors d’un audit d’exposition.

3. Suite logicielle CLI : Emails, Pseudos, Téléphones et Graphes

1. Holehe & h8mail : Audit d’exposition d’une adresse email

• Holehe interroge les fonctions « mot de passe oublié » de plus de 120 services (Twitter/X, Instagram, Spotify, GitHub, Adobe, Imgur) sans déclencher d’alerte chez la cible.
• h8mail automatise la recherche de fuites en ligne de commande en chaînant les sources publiques (Scylla, COMB, Hunter) et les clés API (HIBP, DeHashed, IntelX, Snusbase, Leak-Lookup).

# Identifier tous les services en ligne où une adresse email possède un compte actif
holehe audit@exemple.fr --only-used --no-color

# Lancer une chasse aux fuites sur un email avec h8mail
h8mail -t audit@exemple.fr --loose

2. Maigret & Sherlock : Cartographie multi-plateformes d’un pseudonyme

• Sherlock vérifie rapidement la présence d’un pseudo sur 400+ réseaux sociaux.
• Maigret va beaucoup plus loin : il inspecte plus de 2 500 sites, extrait les métadonnées internes des pages de profil (identifiants numériques, bio, liens croisés vers d’autres pseudos) et génère un rapport graphique autonome.

# Recherche rapide avec Sherlock en conteneur
docker run --rm itsmehacker/sherlock pseudo_cible --timeout 5 --print-found

# Recherche approfondie avec extraction d'attributs JSON via Maigret
maigret pseudo_cible --timeout 10 --json simple

3. Ignorant & PhoneInfoga : Renseignement sur numéro de téléphone

• Ignorant (par l’auteur de Holehe) vérifie si un numéro mobile est rattaché à un compte Instagram, Amazon ou Snapchat.
• PhoneInfoga qualifie le numéro au format international E.164 (pays, opérateur d’origine, détection de ligne VoIP jetable) et génère les Google Dorks ciblant les annuaires et petites annonces.

# Vérifier l'utilisation d'un numéro français (+33) sur les réseaux sociaux
ignorant 33 612345678

# Scanner l'empreinte opérateur et web d'un numéro avec PhoneInfoga
phoneinfoga scan -n "+33612345678"

4. theHarvester, SpiderFoot & Shodan InternetDB : Reconnaissance d’infrastructure

• theHarvester moissonne les adresses email collaborateurs, sous-domaines et hôtes virtuels d’une organisation.
• SpiderFoot orchestre plus de 200 modules passifs (DNS, Certificate Transparency crt.sh, RIPEstat, BGP, listes de blocage, fuites) au sein d’un moteur de corrélation automatisé.
• Shodan InternetDB (https://internetdb.shodan.io/{ip}) retourne instantanément et sans clé API les ports ouverts, les noms d’hôtes, les CPE logiciels et les vulnérabilités CVE associées à une adresse IPv4.

Caractéristiques

Sources & Moteurs de Référence

• Have I Been Pwned (HIBP) & Pwned Passwords
• Hudson Rock Cavalier : Infostealer Intelligence
• XposedOrNot : Open Data Breach Analytics
• BreachDirectory / BreachHub & DeHashed
• Intelligence X (IntelX) & LeakIX
• Holehe, Ignorant & h8mail
• Maigret, Sherlock & PhoneInfoga
• SpiderFoot, theHarvester & Maltego