Pourquoi commencer par l'adresse
Une adresse e-mail est la clé que la plupart des services utilisent pour désigner un compte. C'est ce qui en fait le meilleur point de départ : une fuite qui expose l'adresse expose presque toujours le compte qui va avec, et souvent les informations recueillies par le même formulaire.
Une adresse est aussi durable. Les gens changent de pseudo, de numéro et parfois de nom, mais gardent souvent la même adresse pendant dix ans, y compris sur des services qu'ils ont oubliés.
Ce qu'un résultat contient
Une recherche renvoie des enregistrements, pas des profils. Chaque ligne vient d'une source précise, à une date précise, et contient les champs que cette source détenait : un mot de passe ou son hachage, un nom, un numéro, une adresse postale selon les cas.
La provenance est la partie la plus utile. Deux enregistrements avec le même mot de passe et deux dates différentes racontent une réutilisation, pas une fuite unique. C'est ce qui permet de décider quoi changer en premier.
Ce qu'un résultat ne dit pas
Il ne dit pas si le mot de passe fonctionne encore. Un hachage de 2014 associé à un compte supprimé n'a aucune valeur d'accès, même s'il reste un signal sur les habitudes de la personne.
Il ne dit pas non plus qui se trouve derrière l'adresse. Une adresse partagée, professionnelle ou générique ne désigne pas une personne, et attribuer un enregistrement à quelqu'un sur la seule base d'une correspondance est l'erreur la plus courante dans ce travail.
Ce que l'usage légitime ressemble
Vérifier sa propre exposition, celle d'une organisation que vous êtes autorisé à évaluer, ou celle d'un client qui vous a mandaté : trois cas où la recherche répond à une question précise.
Utiliser un résultat pour accéder à un compte, contacter une personne qui ne l'a pas demandé, ou reconstituer un profil sans motif ne relève pas de l'enquête mais de l'atteinte à la vie privée. La frontière est nette et elle est dans l'usage, pas dans la recherche.