| Principais Conclusões |
| Um dork só filtra o que o Google já indexou. A exposição em si está no seu servidor, não nos resultados de busca. Entender como usar Google Dorks corretamente é o primeiro passo para uma auditoria eficaz. |
| A consulta é legal, mas o acesso muitas vezes não é. Obtenha autorização por escrito antes de testar qualquer sistema e execute a revisão a cada trimestre. |
| Uma revisão manual cobre apenas o índice de uma manhã específica. É por isso que o Group-IB Attack Surface Management monitora os ativos voltados para a internet de forma contínua.Internet. |
Hackers nem sempre precisam de ferramentas complexas para identificar vulnerabilidades de segurança. Às vezes, o Google já é suficiente.
Usando técnicas de busca específicas, conhecidas como Google Dorks, qualquer pessoa pode encontrar arquivos expostos, páginas de login e até informações confidenciais. Cibercriminosos usam essas buscas para identificar fraquezas e explorá-las, mas equipes de segurança podem usar exatamente as mesmas técnicas para encontrar e corrigir esses problemas antes que eles se agravem.
Neste artigo, explicamos o que é Google Dorking, como usar Google Dorks de forma responsável e como aplicar essa técnica em auditorias de segurança para proteger o seu negócio.
O Que é Google Dorking?
Google Dorking é uma técnica que usa recursos avançados de busca para encontrar informações que não aparecem facilmente em uma pesquisa comum no Google.
Os Google Dorks são comandos especiais que ajudam a coletar dados específicos de sites publicamente disponíveis, localizando informações sensíveis que os próprios donos dos sites podem ter tornado públicas sem perceber.
Como Funciona o Google Dorking?
Os web crawlers do Google indexam uma quantidade enorme de dados de sites inteiros. Ao combinar essa base com operadores avançados de busca, como site: e filetype:, é possível refinar a pesquisa para localizar tipos específicos de informação. Saber como acessar esses dados publicamente disponíveis é o primeiro passo para uma auditoria eficaz.
Nesse processo o Google varre os sites e guarda documentos sensíveis em cache. Isso permite encontrar dados ocultos, ou pelo menos não facilmente visíveis, que continuam indexados mesmo sem estar diretamente ligados às páginas principais do site. Veja como isso acontece na prática:
- Utilização de operadores de pesquisa: Em vez de pesquisar «página de início de sessão», um hacker pode utilizar (inurl:admin login) para encontrar URLs de sites que contenham «admin login».
- Localizando credenciais expostas: ao pesquisar intext:"username password" filetype:txt, é possível revelar arquivos de texto com dados de login.
- Acessando versões antigas ou em cache de páginas: às vezes, até dados já excluídos do site podem ser encontrados usando cache:example.com, já que esse comando mostra a última versão salva de uma página pelo Google.
Operadores e Comandos Comuns de Google Dorking
Todo Google dork é construído a partir de operadores como os abaixo, cada um restringindo os resultados de uma forma específica. Antes de decidir como usar Google Dorks em uma auditoria, vale entender o que cada operador faz sozinho. A tabela cobre exatamente isso; mais adiante, a lista completa de Google Dorks mostra como eles funcionam combinados.
| Operadores/Comandos | Função |
| site: | Restringe os resultados de busca a um domínio específico (ex.: site:example.com). |
| filetype: | Filtra os resultados por tipo de arquivo (ex.: filetype:xlsx). |
| inurl: | Busca por texto específico dentro de URLs (ex.: inurl:admin). |
| intitle: | Encontra páginas com texto específico no título (ex.: intitle:index). |
| cache: | Exibe versões em cache de páginas web. |
| allintext: | Pesquisa múltiplas palavras dentro do conteúdo da página (ex.: allintext:password). |
Exemplos de Google Dorking e Casos de Uso Práticos
Os exemplos de Google Dorking cobrem tanto aplicações éticas quanto antiéticas. A seguir, alguns casos de uso práticos.
Testes de cibersegurança
Hackers éticos usam consultas como inurl:/admin/login.php para localizar páginas de login administrativo e testar sua segurança. Também é comum usar filetype:sql para pesquisar arquivos de banco de dados expostos.
Pesquisa e coleta de dados
Pesquisadores usam consultas como filetype:csv "survey results" para localizar conjuntos de dados publicamente disponíveis. Da mesma forma, acadêmicos costumam buscar relatórios específicos com intitle:"Annual Report" filetype:pdf.
Inteligência Competitiva
Empresas podem analisar as estratégias dos concorrentes buscando termos como site:competitor.com "pricing".
Busca por Documentos Expostos
Ao pesquisar por filetype:pdf site:example.com confidential, as empresas conseguem verificar se documentos confidenciais não foram publicados online por engano.
Descobrindo Diretórios Abertos
Equipes de TI podem checar se há arquivos sensíveis abertamente acessíveis usando intitle:"index of" "parent directory".
Localizando Feeds de Câmeras Publicamente Acessíveis
Equipes de segurança podem identificar câmeras sem a devida proteção e restringir o acesso a elas usando inurl:/view/view.shtml.
Encontrando Credenciais Vazadas
As equipas de segurança podem verificar se as credenciais de início de sessão foram expostas através da consulta «filetype:txt intext:»«username password».
No entanto, as empresas precisam ter muito cuidado aqui, porque hackers também usam esses mesmos dorks para obter acesso direto a contas corporativas.
Isso é especialmente crítico para empresas que lidam com grandes volumes de dados financeiros. Um exemplo é a Libertex, plataforma de trading online com mais de 700 funcionários e 300 milhões de clientes, que colaborou com a Group-IB para aprimorar sua infraestrutura de cibersegurança. A Group-IB conduziu uma auditoria abrangente para identificar potenciais vulnerabilidades na infraestrutura da Libertex e, como resultado, a plataforma conseguiu fortalecer seu mecanismo de defesa cibernética e proteger seus usuários contra ameaças cibernéticas.
Google Dorks List: As Consultas de Busca Mais Poderosas
Nenhuma dessas consultas revela algo que já não estivesse ali. Elas apenas restringem o que o Google já indexou, e é justamente por isso que um Google dork bem construído pode revelar um arquivo que o próprio dono do site presumia que ninguém encontraria.
site: – Buscar dentro de um site específico
inurl: – Encontrar palavras-chave em URLs
allinurl: – Combinar múltiplos termos em URLs
intitle: – Buscar por título da página
allintitle: – Combinar múltiplos termos em títulos
intext: – Buscar dentro do conteúdo da página
allintext: – Combinar múltiplos termos no conteúdo da página
filetype: – Buscar por tipos de arquivo específicos
ext: – Buscar por extensão de arquivo
related: – Encontrar sites similares
define: – Consultar definições
” ” – Buscar por uma frase exata
OR – Buscar palavras-chave alternativas
-- - Excluir palavras-chave dos resultados de busca
before: – Encontrar resultados anteriores a uma data específica
inurl:login – Encontrar páginas de login
allintext: “username” “password” – Encontrar referências a senhas expostas
intitle:index.of – Descobrir listagens de diretórios abertos
filetype:sql “password” – Encontrar arquivos de banco de dados expostos
cache:[website URL] – Ver a versão em cache do Google de uma página web
Usos Éticos do Google Dorking em Cibersegurança
Cibercriminosos, hackers éticos, equipes de segurança e empresas podem usar o Google Dorking para fortalecer a cibersegurança e prevenir vazamentos de dados. Saber como usar Google Dorking de forma defensiva permite antecipar exatamente o que um atacante encontraria. Veja como:
Auditorias de Segurança e Avaliação de Vulnerabilidades
Hackers éticos usam consultas como inurl:/admin/login.php para localizar páginas de login administrativo e testar sua segurança. Também é comum usar filetype:sql para pesquisar arquivos de banco de dados expostos.
Identificando Credenciais Vazadas
As empresas podem checar se nomes de usuário e senhas de funcionários estão expostos online. Isso é possível por meio de buscas como filetype:txt intext:"username password", que podem revelar credenciais vazadas em arquivos públicos.
Detectando Sites de Phishing e Sites Falsos
Ao pesquisar inurl:login site:fake-trading-site.com, as equipes de cibersegurança podem procurar sites de phishing que se passam pela marca da empresa.
Verificações de Conformidade e Privacidade de Dados
As organizações podem verificar se estão expondo dados sensíveis sem querer, o que pode violar leis de privacidade. Isso é possível por meio de filetype:xlsx site:example.com confidential.
Google Dorking é Ilegal? Considerações Legais e Éticas
O uso da técnica em si é legal, mas as implicações éticas dependem do propósito por trás do acesso à informação. Acessar ou explorar dados sensíveis sem autorização pode violar leis e levar a penalidades pesadas, como as previstas no Computer Fraud and Abuse Act (CFAA) nos EUA. Não é incomum que tribunais processem indivíduos justamente pelo uso indevido de dados obtidos por dorking.
A Group-IB trabalhou ccom a INTERPOL e com autoridades brasileiras para desmontar a operação do trojan bancário Grandoreiro, responsável por roubar mais de €3,5 milhões de vítimas desde 2017. Um bom retrato de quanto pode custar ficar exposto a ciberataques.
Diretrizes para Uso Ético
- Usar Google Dorks para auditorias de cibersegurança e buscas por informação pública ou dados perdidos é considerado legal
- As equipes de TI e cibersegurança devem sempre buscar autorização antes de testar sistemas
- Ao encontrar algo exposto, o correto é reportar ao proprietário o que a consulta revelou, em vez de abrir o arquivo você mesmo
Como Cibercriminosos Exploram o Google Dorking?
Atacantes rodam basicamente as mesmas consultas que as equipes de segurança, só que em outra escala. Em vez de verificar um único domínio, eles apontam conjuntos de consultas salvas para milhares de domínios de uma vez organizam o que volta em uma lista de alvos. Nada disso toca o alvo diretamente, então os logs do servidor da vítima permanecem limpos até o momento em que o atacante age com base no que encontrou.
Páginas de Login Vulneráveis
Uma única consulta pode devolver portais de autenticação em centenas de sites, e os atacantes os priorizam pelo que cada página revela: um caminho padrão até o admin, um número de versão no rodapé, um formulário que aceita tentativas ilimitadas de login.
O credential stuffing costuma vir antes da força bruta, já que pares de nome de usuário e senha vazado em incidentes antigos custam quase nada e a reutilização de senha é comum. Os alvos mais difíceis de comprometer, na prática, costumam ser um login de staging ou um console de fornecedor que ninguém pensou em colocar atrás de MFA.
Bancos de Dados Expostos
Dumps de SQL ficam esquecidos em servidores web depois de migrações, e arquivos .env sobrevivem a deploys inteiros carregando credenciais de banco de dados, chaves de API e senhas SMTP em texto puro.
Não é preciso invadir nada: o servidor entrega o arquivo assim que alguém pede, do mesmo jeito que entregaria a página inicial. Um dump frequentemente traz junto as credenciais das páginas de login encontradas antes, e é por isso que os dois achados costumam aparecer na mesma busca.
Documentos confidenciais
Contratos, faturas, apresentações de diretoria e planilhas de salários acabam carregados em pastas públicas para chegar a um destinatário específico, e ficam lá muito depois de a pessoa já ter lido o que precisava. O que um atacante geralmente extrai daí é contexto, não necessariamente o conteúdo em si: nomes de fornecedores, condições de pagamento, a redação de uma ordem de compra real.
É exatamente isso que transforma um e-mail genérico de phishing em algo convincente: uma fatura de um fornecedor com quem a equipe financeira já trabalha, citando um número de contrato que confere.
Como Proteger Seu Site contra Explorações de Google Dorking?
De acordo com o High-Tech Crime Trends Report 2025 da Group-IB, os Dedicated Leak Sites (DLS) tiveram um aumento de 10% em 2024, o que reflete a tendência crescente de cibercriminosos exporem dados roubados quando as exigências de resgate não são atendidas. Veja algumas medidas que as empresas podem adotar para se proteger:
- Use um arquivo robots.txt para especificar quais partes do site não devem ser indexadas pelos motores de busca.
- Teste seu próprio site usando dorks comuns para identificar vulnerabilidades.
- Utilize mecanismos de autenticação para diretórios e arquivos sensíveis.
- Analise os logs do servidor em busca de atividade incomum que possa indicar consultas maliciosas.
Limitações e Riscos do Google Dorking
Dorking é reconhecimento, não avaliação, e confundir os dois é onde muitas equipes se enrolam. O que o método deixa passar nunca aparece nos resultados, então uma página de saída limpa pode dar um falso sinal verde quando, na verdade, é só o retrato do índice de um único motor de busca em uma manhã específica.
Escopo dos Dados
As consultas só alcançam páginas que o Google rastreou e manteve. Ou seja, qualquer coisa atrás de um login, bloqueada para rastreamento, hospedada apenas internamente ou publicada depois do último rastreamento permanece invisível. A cobertura também varia de motor para motor: Bing, Yandex e Shodan mantêm páginas que o Google nunca chegou a armazenar. Uma revisão feita só no Google cobre, portanto, menos terreno do que os resultados sugerem.
Falsos Positivos
Uma consulta ampla tende a devolver volume, não respostas: threads de fóruns citando o mesmo operador, documentação de fornecedores, cópias raspadas das próprias páginas da empresa hospedadas em domínios que você nunca ouviu falar. O erro mais caro, porém, costuma correr no sentido oposto: um resultado que parece insignificante num snippet pode se revelar um export antigo com registros reais de clientes. Alguém precisa abrir cada resultado em um domínio que a empresa possui (ou tem permissão para revisar) e confirmar do que se trata, e é justamente por isso que essa revisão demora bem mais do que a lista de consultas sugere à primeira vista.
Riscos Legais
A busca em si raramente configura infração, mas agir com base no que ela retorna pode ser. O CFAA e equivalentes em outros países regulam o acesso, não a consulta. O escopo é o ponto onde as equipes erram com mais frequência: um documento com o logotipo da empresa hospedado em um servidor de parceiro pertence ao sistema do parceiro, não ao seu. Investigá-lo sem permissão por escrito coloca a equipe fora da própria autorização, mesmo que o conteúdo, tecnicamente, seja da empresa.
Checklist de Google Dorking para Equipes de Segurança
Um checklist de Google Dorking dá às equipes de segurança uma forma repetível de enxergar o que os motores de busca já coletaram sobre a própria infraestrutura. Entender como acessar cada tipo de exposição é essencial antes de rodar as consultas. Execute cada item abaixo apenas em domínios que a empresa possua ou tenha autorização por escrito para testar.
A tabela a seguir mostra cada consulta, o que ela expõe e com que frequência vale executá-la.
| Verificar | Consulta a executar | Cadência |
| Inventário de páginas indexadas | site:seudominio.com | Mensal |
| Documentos expostos | site:yourdomain.com filetype:pdf OR filetype:xlsx | Trimestral |
| Listagens de diretórios abertos | site:seudominio.com intitle: “index of” | Trimestral |
| Portais de login e admin | site:yourdomain.com inurl:login | Trimestral |
| Arquivos de configuração e backup | site:seudominio.com ext:sql OR ext:bak OR ext:env | Trimestral |
| Subdomínios esquecidos | site:*.yourdomain.com -site:[www.yourdomain.com](https://www.yourdomain.com) | Mensal |
| Ambientes de staging e teste | site:yourdomain.com inurl:staging OR inurl:dev | Trimestral |
| Arquivos da empresa hospedados em outros lugares | “suaempresa” tipo de ficheiro:pdf -site:suadominio.com | Trimestral |
O PCI DSS v4.0.1 exige que varreduras externas de vulnerabilidades sejam realizadas por um Approved Scanning Vendor pelo menos a cada três meses, e novamente após qualquer alteração significativa nos sistemas voltados para o exterior. O Requisito 11.4 acrescenta testes de penetração anuais. Rodar a revisão de dorking no mesmo cronograma custa pouco e detecta exposições que uma varredura de portas deixaria passar, já que uma planilha indexada não é o tipo de vulnerabilidade que um scanner tradicional reconhece.
Quando uma consulta retorna algo que não deveria estar ali,o certo é corrigir a exposição na origem: excluir o arquivo, colocá-lo atrás de autenticação ou adicionar uma diretiva noindex à página, e só então usar a ferramenta de Remoção do Search Console para limpar a listagem. O robots.txt é a ferramenta errada para isso: ele impede o rastreamento, não a indexação, e o próprio arquivo acaba publicando uma lista dos diretórios que você preferiria manter fora de vista.
Como a Group-IB Ajuda a Fechar as Brechas Expostas pelo Google Dorking
Uma revisão manual de dorking mostra apenas o que o Google tinha indexado na manhã em que foi executada. Ela não diz nada sobre o subdomínio que um terceirizado subiu na semana seguinte, nem sobre o documento que um parceiro publicou no próprio site, e ambos seguem expostos até que alguém se lembre de checar de novo.
O escopo é o problema mais difícil de resolver. A maioria das equipes não tem um inventário atualizado do que possui, porque os ativos se acumulam por meio de aquisições, projetos e campanhas que sobrevivem às pessoas que os criaram. Uma revisão limitada aos domínios que você já conhece dificilmente vai encontrar os que você já esqueceu que existem.
Group-IB Attack Surface Management varre a infraestrutura voltada para a internet de forma contínua, não apenas trimestralmente. Ele constrói um inventário de ativos que a própria equipe de segurança pode desconhecer, incluindo shadow IT e subdomínios negligenciados, e classifica as descobertas por severidade para que a correção comece pelo que representa mais risco.
Quando uma consulta revela credenciais, a próxima pergunta é se alguém já as usou. O Group-IB Threat Intelligence rastreia dados roubados em fóruns clandestinos, marketplaces e logs de infostealers, o que transforma um arquivo indexado em evidência concreta de quem já teve acesso a ele.
Agende uma demonstração para ver o que a sua organização está expondo hoje.