Sherlock：用帳號名跨站找足跡
圖中介紹的是開源 OSINT 工具 Sherlock：輸入一個或多個 username，它就會到 400 多個社群、論壇、開發者平台與內容網站比對公開帳號。核心是 Python、非同步 HTTP 請求與各站的規則資料，依個人頁網址、HTTP 狀態碼或錯誤文字判斷帳號是否存在。它能整理疑似命中的個人頁連結，並輸出 TXT、CSV 或 XLSX；但只能證明「同名帳號存在」，不能直接證明背後是同一個人。
現實應用
最實際的用途是查自己的數位足跡、品牌名稱是否被占用，以及資安事件中的初步 OSINT。資安團隊、記者、研究人員、品牌保護與詐騙調查人員都用得上，也適合在註冊產品名稱前快速盤點各平台。涉及他人時仍應限於公開資料與合法、已授權的調查範圍。
期望評估
**低標期望：**我認為它至少能省下逐站搜尋的時間，快速產生一份「可能存在」的帳號清單，作為人工查證起點。
**高標期望：**我猜若再搭配頭像、簡介、貼文時間與外部連結交叉分析，可以拼出相當完整的公開足跡。不過 Sherlock 本身不是身分辨識系統，也沒有 AI 替你判斷同名帳號是否屬於同一人。
商業策略分析
它會直接壓縮基本 username lookup 服務的價值：單純把公開網址包成付費搜尋頁，護城河其實不高。真正能收費的部分會往資料清理、關聯分析、持續監控、風險評分與合規稽核移動。我認為資安、反詐騙或品牌監控團隊值得把 Sherlock 納入內部工具鏈；一般公司則不必急著自建產品，先確認誤判率、平台條款與個資風險比較實際。
實作細節
官方建議用 pipx 安裝：pipx install sherlock-project，接著執行 sherlock user123；也能用官方 Docker image：docker run --rm -t sherlock/sherlock user123。它支援一次查多個名稱、限制特定網站、設定 proxy，以及匯出 CSV、XLSX 等格式。
已知限制是網站只要修改網址、錯誤訊息或反自動化機制，結果就可能出現 false positive、false negative 或 timeout；其中依錯誤文字判斷是官方也承認最脆弱的方法。另外，官方目前提醒部分 ParrotOS 與 Ubuntu 24.04 的第三方套件可能損壞，建議改用 pipx、pip、uv 或 Docker。