O que é Google Dork e como hackers acham dados expostos

Um analista de segurança abre o Google, digita três palavras com operadores especiais e, em segundos, encontra um arquivo .sql exposto com nomes de usuários e senhas de um banco de dados de e-commerce. Nenhuma ferramenta de hacking foi usada, nenhuma vulnerabilidade foi explorada. O servidor simplesmente deixou aquele arquivo acessível ao público — e o Google o indexou. Isso é Google Dorking.

O que é um Google Dork?

O que é um Google Dork, afinal?

Um Google Dork é uma consulta de busca avançada que combina operadores especiais do Google para localizar informações sensíveis expostas publicamente — como arquivos de configuração, painéis de administração e credenciais que nunca deveriam estar indexados.

O termo surgiu por volta de 2002, cunhado pelo pesquisador Johnny Long (conhecido online como j0hnny). Ele percebeu que o próprio Google podia ser usado como ferramenta de reconhecimento em testes de invasão — o que ficou conhecido como Google Hacking. Long documentou centenas de dorks e os reuniu na Google Hacking Database (GHDB), hoje mantida pela Offensive Security no Exploit-DB, com mais de 7.000 entradas catalogadas por categoria.

É importante deixar claro: usar um Google Dork não é "hackear" no sentido clássico. Nenhuma barreira de segurança é quebrada. O que está exposto simplesmente não deveria estar. O problema é da configuração do servidor, não do Google.

Os operadores que transformam o Google em ferramenta de OSINT

Os dorks funcionam combinando operadores de busca avançada que o Google oferece nativamente. Os mais usados em segurança são:

• site: — restringe resultados a um domínio específico (site:empresa.com.br)
• filetype: — filtra por tipo de arquivo (filetype:sql, filetype:log, filetype:env)
• inurl: — busca um termo dentro da URL (inurl:admin, inurl:config)
• intitle: — busca um termo no título da página (intitle:"Index of")
• intext: — busca um termo no corpo do texto da página
• ext: — variante de filetype, funciona de forma idêntica

A combinação desses operadores é o que torna o Google Dorking eficaz. Um único operador raramente revela algo crítico; dois ou três combinados podem ser cirúrgicos. site:empresa.com.br filetype:sql é muito mais revelador do que apenas filetype:sql.

O que hackers e pentesters encontram com Google Dorks

A lista do que pode ser encontrado é extensa. Exemplos clássicos que aparecem na GHDB:

• intitle:"Index of" backup — diretórios de backup abertos sem autenticação
• filetype:sql "password" — dumps de banco de dados com credenciais
• inurl:"/wp-admin/install.php" — instalações de WordPress não finalizadas, com criação de admin ainda ativa
• filetype:log inurl:"access.log" — logs de acesso ao servidor acessíveis pelo navegador
• intitle:"phpMyAdmin" inurl:phpMyAdmin — painéis de administração de banco de dados sem restrição de IP
• site:empresa.com.br filetype:xls OR filetype:xlsx — planilhas internas esquecidas em diretório público

Em testes de invasão, essa fase chama-se reconhecimento passivo: coletar o máximo de informação sobre um alvo sem interagir diretamente com seus sistemas. O Google Dorking é parte essencial do toolkit de OSINT (Open Source Intelligence). Esse tipo de reconhecimento também alimenta ataques de engenharia social, onde o atacante usa dados públicos para ganhar credibilidade antes de abordar a vítima.

A Google Hacking Database — o repositório de dorks catalogados

A GHDB (acessível em exploit-db.com/google-hacking-database) classifica os dorks em categorias como: Files Containing Passwords, Sensitive Directories, Error Messages, Web Server Detection e Advisories and Vulnerabilities. Cada entrada inclui o operador exato, uma descrição do que ele revela e o nível de risco potencial.

A base cresce constantemente porque novas tecnologias e frameworks sempre introduzem novos padrões de URL e arquivo que eventualmente ficam expostos por má configuração. Um servidor recém-configurado pode ser encontrado por dorks específicos em dias, assim que o Googlebot o indexa pela primeira vez.

Como proteger seu site contra Google Dorking

A defesa é relativamente direta. O problema quase sempre é configuração, não arquitetura.

1. Audite sua própria exposição: pesquise regularmente site:seudominio.com.br filetype:log, site:seudominio.com.br intitle:"Index of" e variações com filetype:sql, filetype:env. O que o Google encontrar, um atacante também vai.
2. Configure o robots.txt corretamente: bloqueie a indexação de caminhos sensíveis como /admin, /backup, /logs e /config. Mas lembre: robots.txt é uma sugestão ao Googlebot, não uma barreira de acesso — pastas sensíveis nunca devem ser acessíveis via HTTP para começar.
3. Use o Google Search Console: a ferramenta "Remoção de URLs" permite solicitar a remoção de páginas já indexadas que não deveriam estar públicas.
4. Revise permissões de arquivo no servidor: arquivos como .env, wp-config.php e config.php nunca devem ser acessíveis via HTTP. Bloqueie-os via .htaccess no Apache ou bloco location no Nginx.
5. Desative directory listing: Options -Indexes no Apache e autoindex off no Nginx impedem que pastas sem index.html exibam seu conteúdo listado.

Se você suspeita que suas credenciais ou e-mail corporativo já circulam online por algum vazamento anterior, vale verificar se seu e-mail aparece em vazamentos conhecidos — é um passo prático que qualquer pessoa pode fazer em dois minutos.

Google Dork não é crime — usar os dados encontrados pode ser

No Brasil, o acesso não autorizado a dispositivos e sistemas é tipificado pelo artigo 154-A do Código Penal, inserido pela Lei nº 12.737/2012. Realizar buscas com Google Dorks para encontrar informações publicamente indexadas está em área cinzenta legal; baixar, usar ou divulgar essas informações sem autorização já configura infração. Em testes de invasão com escopo documentado e autorização do cliente, o Google Dorking é parte legítima do reconhecimento — é o contexto que determina a legalidade.

Conclusão

Google Dorks revelam um problema que existe antes de qualquer ataque técnico: dados que nunca deveriam ser públicos, simplesmente lá, esperando quem souber procurar. A técnica existe desde os primeiros anos do Google e continua eficaz porque má configuração de servidor é atemporal.

A defesa começa por você mesmo: pesquise seu próprio domínio com os operadores acima antes que qualquer atacante o faça. E enquanto estiver revisando sua exposição digital, vale também saber como identificar e-mails de phishing — outro vetor amplamente alimentado por dados coletados via OSINT e Google Dorking.