Sherlock: công cụ OSINT mã nguồn mở quét username trên 400+ mạng xã hội trong vài giây

TL;DR

Sherlock là một công cụ OSINT command-line mã nguồn mở (MIT) cho phép tra cứu một username trên hơn 400 mạng xã hội và website chỉ trong vài giây. Repo trên GitHub đã đạt 82.000 stars, 9.6k forks, 280+ contributors. Phiên bản mới nhất là v0.16.0 (15/09/2025). Cài bằng pipx install sherlock-project hoặc Docker, chạy sherlock username, kết quả tự lưu ra TXT/CSV/JSON/XLSX. Không cần API key, không cần đăng nhập — chỉ kiểm tra public URL có tồn tại hay không.

Sherlock là gì?

Sherlock được tạo bởi Siddharth Dushantha, hiện do cộng đồng Sherlock Project duy trì. Nó hoạt động cực kỳ đơn giản: với mỗi platform trong danh sách, tool dựng URL profile mong đợi (ví dụ https://github.com/{username}), gửi HTTP request, rồi phân tích response để xác định username có được claim hay không. Không scrape nội dung, không bypass auth, không truy cập dữ liệu private.

Code base 97.2% Python, hỗ trợ macOS, Linux, Windows. Cài đặt cực gọn:

pipx install sherlock-project
sherlock username
# hoặc
docker run -it --rm sherlock/sherlock username

Vì sao đáng quan tâm

Trong OSINT investigation, bước đầu tiên gần như luôn là "tìm dấu chân số" (digital footprint) của một subject từ một username hoặc handle duy nhất. Trước Sherlock, bạn phải kiểm tra thủ công từng site — mất hàng giờ. Sherlock biến quy trình đó thành một dòng lệnh.

Điều khiến Sherlock đáng tin cậy hơn các công cụ tương tự (Maigret, Namechk, WhatsMyName) là tỷ lệ false positive thấp, codebase ổn định, được community update thường xuyên, và CLI-first thiết kế để nhúng vào script automation.

Technical facts

Một số flag hữu dụng

• sherlock user1 user2 user3 — bulk search nhiều username cùng lúc
• --csv / --xlsx / --json — xuất ra format cần
• --site Twitter --site GitHub — chỉ check site cụ thể
• --proxy socks5://127.0.0.1:1080 — route qua proxy
• --tor / --unique-tor — đi qua Tor (yêu cầu Tor service chạy local)
• --timeout 1 — tăng tốc quét (chấp nhận miss vài site phản hồi chậm)
• --print-found — chỉ hiện những site có hit
• {?} wildcard — john{?}doe tự thử john-doe, john.doe, john_doe

So sánh với các tool khác

Use cases thực tế

• Cybersecurity & pentest: reconnaissance, enumeration tài khoản dev (GitHub, GitLab) trong giai đoạn intel gathering
• Red team & CTI: feed file .txt chứa danh sách target username, cross-reference accounts trên các platform khác nhau
• Digital forensics: dựng digital footprint của một suspect từ một alias duy nhất
• OSINT investigation: dùng làm bước "khởi đầu", sau đó export CSV import vào Maltego để visualize
• Brand & marketing: check username availability trước khi launch brand mới — thấy ngay platform nào đã bị chiếm, platform nào còn trống
• Impersonation audit: quét định kỳ username thương hiệu trên các site obscure để phát hiện kẻ giả mạo
• Investigative journalism: Bellingcat đưa Sherlock vào toolkit chính thức cho việc verify subject từ alias

Limitations & pricing

Pricing: Core CLI tool 100% free, MIT license. Apify cloud actor cũng free trong limit của Apify. Một số wrapper bên thứ ba như Sherlockeye thu phí (freemium từ 2023) — bạn không cần dùng cái đó.

Hạn chế cần biết trước khi dùng:

• Exact match only: không có fuzzy search, không regex. Chỉ có wildcard {?} thay cho dấu phân cách (-, ., _). Nếu subject dùng nhiều alias, phải chạy riêng cho từng alias.
• Một số platform bị chặn: Facebook và nhiều dating apps block enumeration. Discord coverage rất hạn chế vì username không có public URL.
• False positive/negative: đôi khi site trả về "found" do error page mơ hồ. Ngược lại, valid profile có thể bị miss khi site đổi cấu trúc. Luôn verify thủ công những kết quả quan trọng.
• Rate limit: default timeout 60s/site. Quét lớn dễ bị CAPTCHA hoặc IP ban tạm thời. Dùng --unique-tor hoặc proxy rotation để tránh, nhưng sẽ chậm hơn.
• Không phân tích nội dung: Sherlock chỉ báo username có tồn tại ở đâu, không tự kết luận các profile có cùng một người không. Đó là việc của investigator.
• Không có API chính thức: REST API thử nghiệm chưa được maintain từ 2021.

What's next

Theo commit history gần đây, Sherlock Project đang: deprecate Python 3.8 và 3.9, test trên Python 3.14 (gồm cả free-threaded 3.14t), cleanup site-list, và thêm Docker build vào CI workflow. Repo có 175 PR đang mở, 85 issue active — cộng đồng vẫn rất sôi động sau hơn 7 năm.

Nếu bạn làm OSINT, security research, hay đơn giản muốn audit dấu chân số của chính mình, Sherlock thuộc dạng "cài là dùng, dùng là không bỏ được". Không cần đăng ký, không cần API key, không cần trả phí — chỉ cần một dòng terminal.

Nguồn: github.com/sherlock-project/sherlock, sherlockproject.xyz, Bellingcat Online Investigation Toolkit, Kali Linux Tools.