Résumé
Le Google hacking, également appelé Google dorking, est une technique de reconnaissance utilisée par des attaquants qui exploitent des opérateurs de recherche avancés pour identifier des vulnérabilités exposées publiquement sur votre site web, telles que des identifiants non chiffrés, des répertoires ouverts ou des logiciels obsolètes. Pour s’en prémunir, il faut à la fois chiffrer les données sensibles et utiliser des directives pour les robots (robots.txt, (balises meta robots ou X-robots-tag) pour contrôler l’indexation par les moteurs de recherche, et exécution de scans de vulnérabilité afin de combler les failles d’exposition avant qu’elles ne soient exploitées par des attaquants.
Le Google hacking (parfois appelé Google dorking) désigne la pratique par laquelle des hackers utilisent des moteurs de recherche pour identifier des vulnérabilités de sécurité. Avec un peu de temps et de connaissances en recherche, un hacker pourrait déterminer la meilleure façon de vous attaquer.
Supprimer votre site de Google n'est pas une décision judicieuse. Vos clients doivent pouvoir vous trouver, et la plupart d'entre eux utiliseront des moteurs de recherche pour cela. Mais vous pouvez prendre des mesures préventives pour éviter que des hackers ne découvrent comment vous attaquer via Google.
Comment fonctionne une attaque Google ?
Un Google hack est une session de recherche basée sur des données que vous avez rendues accessibles au public via un moteur de recherche. Pour vous protéger, ainsi que votre entreprise, vous devez évaluer ce que vous laissez Google voir et ce qui doit rester privé.
Les cybercriminels peuvent utiliser n’importe quel site internet pour leurs recherches. Mais comme Google détient une part de marché de 90 %, son nom est devenu synonyme de recherche. C’est pourquoi nous appelons cela un piratage Google plutôt qu’un simple piratage de moteur de recherche.
Il peut sembler surprenant d’utiliser un moteur de recherche pour détecter des vulnérabilités de sécurité. Malheureusement, cette technique est particulièrement efficace.
Des études indiquent qu’environ la moitié des équipes de développement mettent en production du code vulnérable faute de temps pour les tests. Lors du Google hacking, les spécialistes recherchent chaque point de vulnérabilité.
Que recherchent les hackers lors d’un piratage via Google ?
Ils pourraient rechercher :
- Caméras : Disposez-vous d’appareils connectés qui enregistrent des mouvements importants ?
- Annuaires : Les personnes peuvent-elles rapidement trouver les noms et les coordonnées des membres clés de l’équipe ?
- Mots de passe : Indexez-vous des dossiers contenant des informations sensibles ? Chiffrez-vous ces informations?
- Portails : Les personnes peuvent-elles trouver vos pages de connexion ?
- Versions : Utilisez-vous des logiciels présentant des vulnérabilités connues ? Hésitez-vous à télécharger les correctifs de sécurité ?
Les hackers utilisent des opérateurs de recherche avancés pour accélérer leur travail et le rendre plus efficace. Associés au nom de votre site, ces termes permettent d’obtenir des pages ou des contenus très ciblés et faciles à analyser.
À l’issue d’un piratage Google, votre adversaire en sait déjà beaucoup sur vous et sur les mesures que vous prenez pour protéger votre entreprise. Cet attaquant ne peut pas lancer d’attaque via Google, mais ces recherches pourraient l’aider à planifier ses prochaines actions.
Comment prévenir les attaques de Google hacking ?
Vous voudrez vous prémunir contre ce type d’attaque. Pour commencer, chiffrez toutes les informations sensibles, comme les informations de paiement, les noms d’utilisateur, les mots de passe et les messages.
Comment les directives robots contribuent-elles à limiter votre exposition ?
Ensuite, utilisez l’une des trois balises Google sur votre contenu pour indiquer aux robots d’indexation la manière dont ils doivent indexer (ou ignorer) les informations essentielles.
| Directive | S'applique à | Utilisation principale |
|---|---|---|
| robots.txt | Comportement d’exploration du site entier | Réduire la charge serveur liée au crawling ; impossible d’empêcher l’indexation des contenus privés |
| Balise meta robots | Pages HTML individuelles | Contrôler l’apparence d’une page HTML spécifique dans les résultats, ou l’exclure complètement |
| X-robots-tag | Pages non HTML (par exemple PDF) | Contrôler l’apparence des pages non HTML dans les résultats ou les empêcher d’y figurer |
Votre développeur web peut avoir des avis bien arrêtés sur la balise la plus adaptée à votre entreprise et à vous. Une fois que vous avez mis en place le code choisi, surveillez vos scores de trafic pour vous assurer que vous ne dissuadez pas les utilisateurs d’accéder aux pages qu’ils considèrent comme essentielles.
Quels outils pouvez-vous utiliser pour identifier des fichiers exposés ?
Vous pouvez également utiliser un scanner de vulnérabilités afin de vérifier que vous ne rendez pas accessibles des fichiers ou des pages qui devraient rester cachés. L’ Open Web Application Security Project (OWASP) recense plusieurs de ces outils, dont certains proposent des analyses gratuites à utiliser avant tout achat.
Fonctionnement avec Okta
Que faire si une session de Google dorking a déjà eu lieu ? Comment pouvez-vous protéger votre entreprise ?
En savoir plus sur la manière de renforcer votre sécurité avec Okta.
Foire aux questions (FAQ)
Qu’est-ce que le Google hacking et est-ce illégal ?
Le Google hacking, également appelé Google dorking, consiste à utiliser des opérateurs de recherche avancés pour identifier des vulnérabilités de sécurité exposées publiquement sur un site web. La technique elle-même repose sur des données accessibles publiquement via les moteurs de recherche, mais exploiter ces informations pour accéder sans autorisation à des systèmes est illégal.
Quels types de vulnérabilités une attaque Google peut-elle révéler ?
Les attaquants peuvent utiliser le Google hacking pour faire apparaître des caméras connectées, des annuaires du personnel, des fichiers de mots de passe non chiffrés, des portails de connexion et des logiciels présentant des vulnérabilités connues — en somme, toute information sensible que votre site met involontairement à la disposition des robots d’indexation des moteurs de recherche.
Pourquoi tant d’entreprises présentent-elles des vulnérabilités exploitables ?
Des études indiquent que près de la moitié des équipes de développement mettent en production du code vulnérable faute de temps pour les tests, ce qui laisse des failles de sécurité que le Google hacking peut rapidement identifier.
Comment les directives robots protègent-elles contre le piratage Google ?
Google propose trois directives : robots.txt, balises meta robots et X-robots-tag, qui vous permettent de contrôler la façon dont les robots d’indexation explorent et indexent votre contenu. Chacun répond à un périmètre différent : robots.txt régit le comportement d’exploration à l’échelle du site, la balise meta robots contrôle les pages HTML individuelles, et X-robots-tag gère les fichiers non HTML comme les PDF.
Que faire si une session de Google dorking a déjà ciblé votre site ?
Si vous pensez que votre site a déjà fait l’objet de recherches via Google dorking, la priorité consiste à chiffrer immédiatement les données sensibles, à auditer vos directives robots pour limiter toute exposition supplémentaire, puis à lancer une analyse de vulnérabilité afin d’identifier et de fermer toute surface d’attaque ouverte avant qu’elle ne puisse être exploitée.
Existe-t-il des outils gratuits permettant d’identifier des vulnérabilités liées au Google hacking ?
Oui. Le projet Open Web Application Security Project (OWASP) tient à jour une liste d’outils d’analyse des vulnérabilités, dont plusieurs proposent des analyses gratuites que vous pouvez utiliser pour évaluer votre exposition avant d’opter pour une solution payante.
Références
Comment Google conserve plus de 90 % de part de marché. (avril 2018), Menace interne.
Une étude DevSecOps révèle que près de la moitié des organisations déploient sciemment des applications vulnérables en raison de la pression liée aux délais.. (août 2020), PR Newswire.
FAQ sur les robots. Google Search Central.
