spalony — OSINT na sobie, czyli czemu nie zbudowałem wyszukiwarki ludzi
Przyszło zlecenie proste jak drut: „zrób narzędzie, wpisujesz numer, maila albo imię i nazwisko, a ono wypluwa wszystko, co jest w internecie o tej osobie”. Brzmi jak marzenie każdego, kto kiedyś chciał kogoś sprawdzić. Brzmi też jak akt oskarżenia z art. 190a. Więc usiadłem i wytłumaczyłem, czemu tego nie zrobię — a potem zbudowałem coś, co faktycznie ma sens.
Czego NIE zbudowałem (i czemu)
Silnik „wszystko o dowolnej osobie” to nie OSINT, to maszynka do doxxingu. Wpisujesz cudze dane bez zgody → profilujesz człowieka bez podstawy prawnej. To RODO po kostki (kary liczone w procentach obrotu), a w pakiecie ułatwianie nękania i śledzenia. Jako właściciel strony to ja byłbym administratorem tych danych i to ja bym za to odpowiadał. Większość takich „wyszukiwarek ludzi” karmi się zresztą bazami z wycieków — czyli kradzionym towarem.
Krótko: nie ma legalnej wersji „sprawdź dowolnego Kowalskiego”. Jest za to legalna i naprawdę przydatna wersja: sprawdź samego siebie.
spalony — OSINT, ale na sobie
Nazwałem to spalony, bo dokładnie o to chodzi: ile sieć już o Tobie wie, zanim dowie się ktoś niepowołany. Wpisujesz własne dane i widzisz swój cyfrowy ślad oczami obcego. Co robi:
- Wycieki — czy Twój mail przewinął się przez znane wycieki (HaveIBeenPwned).
- Hasła — czy Twoje hasło wisi w bazie skompromitowanych.
- Nick — gdzie Twoja ksywka ma konto: ~27 platform na raz (GitHub, Reddit, IG, TikTok, Wykop…), plus Gravatar.
- Telefon — kraj, typ, operator. Bez identyfikacji właściciela — to akurat zostawiam stalkerom z filmów.
- Dorki — gotowe, klikalne zapytania do Google/Bing/DDG, żebyś dokończył ręcznie.
Hasło, które nie opuszcza Twojej przeglądarki
Mój ulubiony kawałek. Sprawdzanie haseł działa na k-anonimowości: przeglądarka liczy skrót SHA-1 lokalnie i wysyła do mnie tylko pierwsze pięć znaków. Dopasowanie reszty robi się u Ciebie. Czyli: ja sprawdzam Twoje hasło, nigdy go nie widząc. Tak, da się. Nie, nie trzymam niczego — audyt zapisuje wyłącznie anonimowy hash IP do łapania botów, zero danych osobowych.
Co jeszcze w budowie
Moduł wycieków e-mail czeka na klucz API do HaveIBeenPwned (płatna drobnica) — podłączę go niedługo. Reszta — hasła, nick, telefon, dorki — śmiga już teraz. Stąd uczciwy 🚧 w budowie na stronie zamiast udawania, że wszystko gotowe. Uczciwość ponad marketing, jak zwykle.
Wejście
Znajdziesz to w Projekty → spalony, albo prosto: esej.space/slad. Wpisz swój mail. Zobacz, ile zostawiłeś po sobie śladów. A potem włącz 2FA, jak każdy normalny człowiek powinien był zrobić dwa lata temu.
// sprawdź się sam, zanim zrobi to ktoś inny. wracam do roboty.