# Bruno Fraga — Conteúdo Completo > Principal educador e mentor em hacking ético, investigação digital, OSINT e privacidade do Brasil. Este arquivo contém todo o conteúdo publicado em brunofraga.com, formatado para consumo por LLMs e agentes de IA. ## Sobre Bruno Fraga Bruno Fraga é especialista em hacking ético, investigação digital, OSINT (Open Source Intelligence) e privacidade digital. É o principal educador nessas áreas no Brasil, com presença ativa em múltiplas plataformas digitais. Autor do livro "Técnicas de Invasão", referência no ensino de pentest e segurança ofensiva em português. Criador do Workshop "Hacker Investigador", programa de formação intensiva em investigação digital. ### Áreas de Expertise - Hacking Ético e Pentest - Investigação Digital e Forense - OSINT (Open Source Intelligence) - Privacidade Digital e Anonimato - Cibersegurança Ofensiva e Defensiva - Engenharia Social - Análise de Ameaças Digitais - Dark Web e Deep Web ### Links Oficiais - Website: https://brunofraga.com - YouTube: https://youtube.com/@brunofragax - LinkedIn: https://linkedin.com/in/brunofragax - Instagram: https://instagram.com/brunofragax - Workshop: https://www.hackerinvestigador.com/ --- ## Blog — Artigos (1 publicados) ### Como Descobrir o Dono de um Número do WhatsApp: 20 Técnicas Profissionais de Investigação Digital (Guia 2026) URL: https://brunofraga.com/blog/como-descobrir-o-dono-de-um-numero-do-whatsapp Publicado: 2026-03-16 Tags: osint, investigacao-digital Guia definitivo com 20 técnicas profissionais de OSINT para descobrir quem é o dono de um número de WhatsApp. Métodos usados por policiais, detetives e investigadores digitais. Atualizado para 2026. # Como Descobrir o Dono de um Número do WhatsApp: 20 Técnicas Profissionais de Investigação Digital Final de tarde, em uma cafeteria na Coréia do Sul, com o laptop aberto na mesa. Enquanto começava a beber meu café Iced Americano, me veio uma ideia: **E se eu criar o guia mais completo da internet sobre como investigar números de WhatsApp?** Policiais, advogados, detetives e profissionais de segurança me perguntam isso frequentemente no privado. E aposto que você, leitor, já quis desvendar a verdadeira identidade de alguém só pelo celular — sem que essa pessoa saiba. Então, aqui está. O **Guia Definitivo para Investigar Números de WhatsApp** — atualizado para 2026, com técnicas reais que uso nas minhas próprias investigações. Não são 5, nem 10... e sim **20 técnicas profissionais** que, combinadas, vão entregar: - Nome completo do alvo - Foto de perfil e aparência física - Redes sociais vinculadas - CPF (parcial ou completo) - E-mails conectados - Localização aproximada - Operadora e tipo de linha - Histórico digital e vazamentos de dados - E muito mais — tudo através de **fontes de dados abertas (OSINT)** Vamos direto ao que interessa. --- ## O Que é OSINT e Por Que Funciona Para Investigar Números Antes de mergulhar nas técnicas, preciso explicar um conceito fundamental: **OSINT** (Open Source Intelligence), ou Inteligência de Fontes Abertas. OSINT é a prática de coletar e analisar informações disponíveis publicamente para fins de investigação. Não envolve hacking, invasão de sistemas ou qualquer atividade ilícita. Tudo que faremos aqui utiliza **dados que já estão acessíveis na internet ou em serviços públicos**. ### Por que números de telefone são tão poderosos para OSINT? Números de telefone são um dos **identificadores mais fortes da era digital**. Segundo a [OSINT Industries](https://www.osint.industries/post/osint-phone-number-investigations-how-to-use-phone-osint-tools), um único número pode revelar: - Contas de redes sociais vinculadas - Registros em apps de mensagens (WhatsApp, Telegram, Signal) - Diretórios comerciais e registros WHOIS - Anúncios classificados ou postagens em fóruns - Vazamentos de dados contendo o número - Nomes, e-mails e endereços associados E o Brasil é um cenário particularmente rico para este tipo de investigação. Segundo dados da [Statista](https://www.statista.com/topics/7731/whatsapp-in-brazil/) e [AISensy](https://m.aisensy.com/blog/pt/estatisticas-whatsapp/): - O WhatsApp tem mais de **2,95 bilhões de usuários ativos** mundialmente - O Brasil é o **2º maior mercado** do mundo, com mais de **160 milhões de usuários** - **93% da população online brasileira** usa WhatsApp - **99% dos smartphones** no Brasil possuem o app instalado - Brasileiros passam em média **24 horas por mês** no WhatsApp Ou seja: se alguém no Brasil tem um celular, a probabilidade de estar no WhatsApp é **praticamente 100%**. ### Dois Tipos de Investigação com Número de Telefone Existem duas abordagens distintas, conforme define a [OSINT Industries](https://www.osint.industries/post/osint-phone-number-investigations-how-to-use-phone-osint-tools): 1. **Reverse Phone Lookup (Busca Reversa)**: Você já tem o número e quer descobrir quem é o dono — nome, redes sociais, e-mail, localização. 2. **Phone Discovery (Descoberta de Número)**: Você tem um nome ou e-mail e quer encontrar o número de telefone associado. Neste guia, foco na **Busca Reversa** — partindo do número do WhatsApp para chegar à identidade completa do alvo. --- ## Técnica 1: Consultar o Perfil do WhatsApp A primeira técnica é a mais básica, mas nunca deve ser ignorada. O próprio WhatsApp oferece informações valiosas de forma gratuita. ### Como fazer 1. Adicione o número como novo contato no seu celular 2. Abra o WhatsApp e busque por ele na lista de contatos 3. Toque no nome e abra o perfil completo ### O que você pode descobrir - **Nome de usuário**: Muitas pessoas usam nomes reais ou apelidos conhecidos - **Foto de perfil**: Pode revelar aparência física, interesses, localização e até estilo de vida - **Descrição (bio)**: Biografias podem conter citações, links para outras redes sociais, profissão ou informações pessoais - **Status online**: Padrões de horário de uso (mais sobre isso na Técnica 15) ### Dica profissional Se a foto mostra um rosto, salve-a imediatamente. Ela será crucial para as técnicas de busca reversa de imagem que veremos adiante (Técnicas 12 e 13). ### Ferramenta auxiliar: WhatsApp CheckLeaked O site [whatsapp.checkleaked.cc](https://whatsapp.checkleaked.cc/) permite consultar informações públicas de um perfil de WhatsApp a partir do número, incluindo foto de perfil e biografia, sem precisar adicionar o contato. A ferramenta foi [divulgada pela comunidade OSINT no X (Twitter)](https://x.com/i_intelligence/status/1831377980557271186) e é amplamente utilizada em investigações. ### Caso real Recentemente, um colega investigava um golpe do falso empréstimo. A única pista era o número do golpista. Ao consultar o WhatsApp, encontrou uma selfie clara na foto de perfil. Com uma busca reversa de imagem, chegou ao Instagram do suspeito, onde descobriu uma postagem marcando a localização de uma academia. Essa informação foi crucial para localizar o criminoso. --- ## Técnica 2: Consultando o Número via PIX Esta é uma das técnicas **mais eficazes e exclusivas do Brasil**. O sistema PIX, criado pelo Banco Central, permite descobrir rapidamente o nome completo e parte do CPF de qualquer pessoa — usando apenas o número de telefone. ### Passo a passo 1. Abra seu aplicativo bancário (Nubank, Itaú, Bradesco, Inter, etc.) 2. Acesse a área **PIX → Transferir** 3. Selecione **"Telefone"** ou **"Celular"** como chave 4. Digite o número completo (com DDD) 5. Simule o envio de **R$ 0,01** (o menor valor possível) 6. **Antes de confirmar**, o app mostrará o nome completo e parte do CPF 7. **Cancele a transferência** ### Resultado - **Nome completo** do titular da chave PIX - **CPF parcial** (geralmente 3 primeiros e 2 últimos dígitos) - **Banco** onde a chave está cadastrada ### Por que funciona O PIX é regulamentado pelo Banco Central do Brasil, e a exibição dos dados do recebedor antes da confirmação é uma medida de segurança para evitar transferências para pessoas erradas. Isso significa que os dados mostrados são **oficiais e verificados**. ### Limitações - A pessoa precisa ter cadastrado o número de telefone como chave PIX - Algumas pessoas usam chaves aleatórias (UUID) ao invés do telefone - Se houver portabilidade, o número pode estar cadastrado em nome de outra pessoa ### Dica avançada Se o PIX não retornar resultado pelo telefone, tente variações: - Com e sem o nono dígito (9) - Com diferentes DDDs (caso a pessoa tenha migrado de estado) --- ## Técnica 3: Google Dorking — Buscando o Número no Google **Google Dorking** (também chamado de Google Hacking) é uma das técnicas mais poderosas de OSINT. Consiste em usar operadores avançados de busca para extrair informações precisas que buscas comuns não revelam. Conforme explica a [OSINT Industries](https://www.osint.industries/post/osint-phone-number-investigations-how-to-use-phone-osint-tools), Google Dorking é a forma "bruta" de fazer reverse phone lookup — mas ainda extremamente eficaz. ### Busca básica com variações de formato Pessoas escrevem números de telefone de diferentes formas na internet. Por isso, use todas as variações possíveis: ``` "11987654321" OR "11 987654321" OR "11 98765-4321" OR "(11)987654321" OR "(11) 987654321" OR "(11) 98765-4321" OR "+5511987654321" OR "+55 11 98765-4321" ``` ### Buscas direcionadas por plataforma Combine o número com o operador `site:` para filtrar resultados em plataformas específicas: ``` # LinkedIn "11987654321" site:linkedin.com # Facebook "11987654321" site:facebook.com # Instagram "11987654321" site:instagram.com # Twitter/X "11987654321" site:twitter.com OR site:x.com # OLX e Mercado Livre "11987654321" site:olx.com.br OR site:mercadolivre.com.br # Reclame Aqui "11987654321" site:reclameaqui.com.br # Jusbrasil (processos judiciais) "11987654321" site:jusbrasil.com.br # Páginas governamentais "11987654321" site:gov.br ``` ### Busca por documentos O número pode aparecer em PDFs, planilhas e documentos publicados na internet: ``` "11987654321" filetype:pdf OR filetype:xlsx OR filetype:doc ``` ### Busca no corpo do texto de páginas ``` intext:"11987654321" OR intext:"(11) 98765-4321" ``` ### Tabela de operadores de busca avançada | Operador | O que faz | Google | Bing | DuckDuckGo | Yahoo | |---|---|---|---|---|---| | `site:` | Filtra por domínio | ✅ | ✅ | ✅ | ✅ | | `intitle:` | Busca no título da página | ✅ | ✅ | ✅ | ✅ | | `intext:` | Busca no corpo do texto | ✅ | ✅ | ✅ | ✅ | | `filetype:` | Filtra por tipo de arquivo | ✅ | ✅ | ✅ | ✅ | | `"aspas"` | Busca exata | ✅ | ✅ | ✅ | ✅ | | `OR` | Busca alternativa | ✅ | ✅ | ✅ | ✅ | | `cache:` | Versão em cache da página | ✅ | ❌ | ❌ | ❌ | | `related:` | Páginas similares | ✅ | ❌ | ❌ | ❌ | Fonte: [Exposing the Invisible — Kit de investigação](https://kit.exposingtheinvisible.org/es/google-dorking.html) ### Não pare no Google Cada buscador indexa conteúdos diferentes. Repita as buscas em: - **[Bing](https://www.bing.com)** — Indexa resultados que o Google ignora - **[Yandex](https://yandex.com)** — Motor de busca russo, excelente para busca reversa de imagens - **[DuckDuckGo](https://duckduckgo.com)** — Foco em privacidade, mas com o recurso de "Bangs" (`!g`, `!b`, `!w`) permite redirecionar buscas para outros motores - **[Yahoo](https://search.yahoo.com)** — Ainda mantém um índice próprio com resultados únicos --- ## Técnica 4: Identificadores de Chamada — Truecaller, GetContact e Sync.me Aplicativos de identificação de chamada funcionam com bancos de dados **crowdsourced** — ou seja, construídos a partir das agendas de milhões de usuários. Isso significa que, mesmo que o alvo nunca tenha instalado o app, seu número pode estar cadastrado na agenda de alguém que usa. ### Truecaller O [Truecaller](https://www.truecaller.com/) é o mais popular, com mais de 400 milhões de usuários globais. **Como usar:** 1. Baixe o app Truecaller (Android/iOS) 2. Crie conta gratuita (**atenção**: use um número secundário, não o seu principal) 3. Digite o número na barra de pesquisa 4. Veja: nome, cidade, estado e se foi marcado como spam/golpe **O que revela:** - Nome associado ao número (como está salvo nas agendas de outros usuários) - Localização aproximada - Marcações de spam ou fraude - Foto de perfil (quando disponível) ### GetContact O [GetContact](https://getcontact.com/en/) é semelhante ao Truecaller e possui mais de **700 milhões de usuários** mundialmente, conforme dados da [Google Play Store](https://play.google.com/store/apps/details?id=app.source.getcontact&hl=pt). Seu diferencial é mostrar **exatamente como o número está salvo** nas agendas de outras pessoas. **Como usar:** 1. Baixe o app GetContact 2. Cadastre-se (novamente, use um número secundário) 3. Pesquise o número alvo 4. Veja as **tags** — os nomes com os quais aquele número está salvo **Por que é útil:** Se o alvo se apresentou com um nome falso, o GetContact pode revelar o nome real (como está salvo nos contatos de amigos, familiares ou colegas). ### Sync.me O [Sync.me](https://sync.me) funciona como um **identificador de chamadas global** e ferramenta de busca reversa de telefone. **O que revela:** - Nome do proprietário - Fotos associadas (perfis de redes sociais conectados) - Localização - Histórico de spam ### Alerta de privacidade Ao instalar esses apps, você compartilha sua própria agenda de contatos com o serviço. Conforme [discussões no Reddit sobre privacidade](https://www.reddit.com/r/privacy/comments/4twq85/syncme_is_turning_your_contacts_into_a_massive/), esses apps transformam suas agendas em bancos de dados massivos de reverse lookup. Use sempre com um número descartável ou secundário. --- ## Técnica 5: Consulta PIX pelo CPF Parcial Se a Técnica 2 (PIX por telefone) revelou um CPF parcial, você pode usar essa informação para investigações complementares. ### Como expandir a busca com CPF parcial 1. **Google Dorking com CPF parcial**: Combine os dígitos conhecidos com o nome revelado: ``` "José da Silva" "123.***.**4-56" ``` 2. **Sites de consulta pública**: Existem serviços legais para consulta de CPF: - [Receita Federal — Consulta CPF](https://servicos.receita.fazenda.gov.br/servicos/cpf/consultasituacao/consultapublica.asp) — Verifica a situação cadastral - [Serasa](https://www.serasa.com.br) — Consulta de score (se você tiver os dados) 3. **Jusbrasil**: Uma busca pelo nome completo no [Jusbrasil](https://www.jusbrasil.com.br) pode revelar processos judiciais associados, o que frequentemente expõe o CPF completo em documentos públicos. ### Limitações legais A consulta de CPF para fins de investigação pessoal deve respeitar a **LGPD (Lei Geral de Proteção de Dados — Lei nº 13.709/2018)**, que dispõe sobre o tratamento de dados pessoais com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade ([Planalto](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm)). --- ## Técnica 6: Sites de Telelistas e Catálogos Comerciais Para números comerciais ou fixos, os sites de listas telefônicas são uma fonte valiosa. Use Google Dorking combinado com telelistas: ``` # TeleListas site:telelistas.net "11987654321" OR "11 98765-4321" # Lista Mais site:listamais.com.br "11987654321" # Guia Mais site:guiamais.com.br "11987654321" # Página Amarela site:paginasamarelas.com.br "11987654321" ``` ### O que esperar - Nome da empresa/pessoa associada ao número - Endereço comercial - Ramo de atividade - Outros números de contato ### Dica extra Se o número for comercial, tente também buscar em: - **Google Maps**: Digite o número na busca do Google Maps — se for de uma empresa, pode aparecer no perfil do estabelecimento - **Reclame Aqui**: O número pode estar associado a reclamações de consumidores - **CNPJ.info**: Se identificar uma empresa, consulte o CNPJ para dados adicionais --- ## Técnica 7: Encontrando o Número em Outros Apps de Mensagens As pessoas usam diferentes aplicativos para diferentes contextos de comunicação. Verificar a presença do número em outras plataformas pode revelar informações adicionais — incluindo fotos de perfil, nomes de usuário e bios diferentes. ### Aplicativos para verificar | App | O que pode revelar | Como verificar | |---|---|---| | **Telegram** | Nome, username, foto, bio, grupos públicos | Adicione o contato e busque em "Nova conversa" | | **Signal** | Nome e foto de perfil | Adicione o contato e verifique | | **Viber** | Nome, foto e status | Adicione e verifique na lista de contatos | | **IMO** | Nome e foto | Adicione e verifique | | **Skype** | Nome, foto, localização | Busque pelo número na área de pesquisa | ### Passo a passo para Telegram 1. Salve o número como contato no celular 2. Abra o Telegram 3. Vá em **Configurações → Contatos → Sincronizar contatos** 4. Busque o contato na lista 5. Se encontrar, acesse o perfil para ver: nome, username (@), foto e bio ### Por que o Telegram é especialmente valioso - Muitas pessoas usam **usernames públicos** no Telegram - O username pode ser pesquisado no Google: `site:t.me "username"` - Se o alvo participa de **grupos públicos**, esses grupos e mensagens podem ser encontrados - A foto de perfil do Telegram é frequentemente **diferente** da do WhatsApp, oferecendo mais material para análise --- ## Técnica 8: Busca Avançada em Redes Sociais ### Facebook O Facebook é uma das maiores bases de dados pessoais do mundo. Existem várias formas de buscar um número: **Busca direta:** 1. Cole o número na barra de pesquisa do Facebook 2. Filtre por **"Pessoas"** e **"Publicações"** 3. Se o número estiver vinculado a uma conta, o perfil pode aparecer **Google Dorking para Facebook:** ``` site:facebook.com "11987654321" OR "(11) 98765-4321" ``` **Verificação via vazamento de dados:** Em 2021, dados de **533 milhões de contas do Facebook** foram vazados, incluindo números de telefone vinculados a perfis. Ferramentas de OSINT (como as mencionadas na Técnica 14) podem cruzar esses dados. ### Twitter/X Use a [busca avançada do Twitter](https://twitter.com/search-advanced): 1. Acesse `twitter.com/search-advanced` 2. No campo **"Estas palavras exatas"**, insira o número entre aspas 3. Clique em **"Pesquisar"** Ou via Google: ``` site:twitter.com OR site:x.com "11987654321" ``` ### Instagram O Instagram não possui busca por número, mas você pode usar Google Dorking: ``` site:instagram.com "11987654321" OR "11 98765-4321" OR "(11) 98765-4321" ``` ### LinkedIn Profissionais frequentemente publicam números de contato em seus perfis: ``` site:linkedin.com "11987654321" ``` ### TikTok Perfis comerciais e criadores de conteúdo às vezes incluem números na bio: ``` site:tiktok.com "11987654321" ``` --- ## Técnica 9: "Esqueci Minha Senha" — Engenharia Reversa do Facebook Esta técnica usa o sistema de recuperação de senha do Facebook de forma inversa para confirmar se um número está vinculado a uma conta. ### Passo a passo 1. Acesse a página de login do Facebook 2. Clique em **"Esqueceu a senha?"** 3. Insira o número do alvo (com código do país: +55...) 4. Se o número estiver vinculado a uma conta, o Facebook mostrará: - **Nome parcial** (com asteriscos) - **Foto de perfil** (miniatura) - **Opções de recuperação** (e-mail parcial associado) ### O que extrair - Confirmação de que o número está vinculado a uma conta - Nome parcial (que pode ser suficiente para complementar outras técnicas) - E-mail parcial (ex.: j***@gmail.com) — isso pode ser cruzado com outras buscas - Foto de perfil em miniatura ### Cuidado essencial **Nunca envie o código de recuperação.** Isso não apenas alertaria o alvo, como poderia configurar tentativa de invasão de conta — crime previsto na Lei 12.737/2012 (Lei Carolina Dieckmann). ### Outras plataformas com técnica similar - **Google (Gmail)**: A recuperação de conta pode revelar parte do número ou e-mail associado - **Apple ID**: Pode confirmar se o número está vinculado a uma conta iCloud - **Microsoft**: Recuperação de conta do Outlook --- ## Técnica 10: Ferramentas de OSINT Automatizado Existem plataformas profissionais que automatizam todas as técnicas anteriores e muito mais. Com um único número, elas consultam dezenas de bancos de dados simultaneamente. ### EPIEOS O [EPIEOS](https://epieos.com/) é uma ferramenta especializada em busca reversa de e-mails e telefones. Com um número, retorna: - Contas de redes sociais vinculadas - Serviços onde o número está registrado - Nome associado - Dados de registros públicos ### OSINT Industries O [OSINT Industries](https://osint.industries/) é uma plataforma premium que oferece o dashboard mais completo do mercado. Segundo a [Talkwalker](https://www.talkwalker.com/blog/best-osint-tools), é uma das melhores ferramentas para investigação de identidades online. **O que retorna:** - Redes sociais vinculadas ao número - Contas de e-mail associadas - Registros em aplicativos de mensagens (WhatsApp, Telegram, Signal, etc.) - Diretórios comerciais - Vazamentos de dados - Aliases e usernames conhecidos - **Visualização em timeline e mapa** da atividade online ### SEON O [SEON](https://seon.io/resources/comparisons/osint-software-tools/) oferece uma ferramenta gratuita de lookup que retorna sinais digitais e sociais associados a um número de telefone, incluindo perfis de redes sociais vinculados. ### Preços e quando usar Essas ferramentas são pagas e podem ter custo elevado. Use-as quando: - As técnicas gratuitas não geraram resultados suficientes - O caso é urgente e requer resultados rápidos - Você é um profissional de segurança ou investigação e precisa de relatórios documentados --- ## Técnica 11: PhoneInfoga — Investigação Open Source O [PhoneInfoga](https://github.com/sundowndev/phoneinfoga) é uma das ferramentas **open source mais poderosas** para investigação de números de telefone. Segundo a [SEON](https://seon.io/resources/comparisons/osint-software-tools/), é a melhor ferramenta de código aberto para OSINT focado em telefone. ### O que faz O PhoneInfoga coleta informações sobre um número de telefone a partir de múltiplas fontes: - **País de registro** e formato do número - **Operadora** e tipo de linha (móvel/fixo) - **Indicações de geolocalização** - **Footprints em motores de busca** (Google, Bing, etc.) - Links para possíveis perfis em redes sociais - Verificação em bases de vazamentos ### Como instalar e usar ```bash # Instalação (Linux/macOS) bash <(curl -sSL https://raw.githubusercontent.com/sundowndev/phoneinfoga/master/support/scripts/install) # Instalação global sudo install ./phoneinfoga /usr/local/bin/phoneinfoga # Verificar versão phoneinfoga version # Scan de um número (modo CLI) phoneinfoga scan -n +5511987654321 # Modo interface gráfica (abre no navegador em localhost:5000) phoneinfoga serve ``` ### Interface gráfica O modo `serve` abre uma interface web em `127.0.0.1:5000` onde você pode: - Digitar o número e clicar em **"Look up"** - Visualizar todas as informações coletadas - Acessar os links de Google Dorks gerados automaticamente - Integrar com APIs externas (como Numverify) para dados adicionais ### Dica profissional O PhoneInfoga gera automaticamente dorks de busca para Facebook, Twitter, LinkedIn e outras plataformas. Mesmo que os resultados diretos sejam limitados, os dorks sugeridos podem ser copiados e executados manualmente para encontrar mais informações. --- ## Técnica 12: Busca Reversa de Imagem com Fotos de Perfil Se você conseguiu a foto de perfil do alvo (WhatsApp, Telegram, ou outro app), a busca reversa de imagem pode conectar essa foto a outras contas e informações. ### FaceCheck.id O [FaceCheck.id](https://facecheck.id) é um mecanismo de busca especializado em **reconhecimento facial**. Diferente do Google Lens, que busca imagens similares, o FaceCheck.id identifica **o mesmo rosto** em diferentes contextos. **O que pode encontrar:** - Perfis em redes sociais com a mesma pessoa - Aparições em blogs, vídeos e notícias - Fotos em bancos de mugshots (registros criminais internacionais) - Outros contextos onde o rosto aparece na internet **Segundo o próprio [FaceCheck.id](https://facecheck.id/en/taxonomy/term/Osint/):** "Resultados de busca facial devem ser tratados como pistas investigativas que requerem verificação independente" — ou seja, use como ponto de partida, não como conclusão. ### PimEyes O [PimEyes](https://pimeyes.com/en) é outro motor de busca por reconhecimento facial avançado. Funciona como um "Google para rostos" e é amplamente utilizado por investigadores profissionais. ### Google Lens / Google Imagens 1. Acesse [images.google.com](https://images.google.com) 2. Clique no ícone da câmera 3. Faça upload da foto de perfil 4. Analise os resultados **Limitação:** O Google Lens desativou a funcionalidade de busca por rostos de pessoas para proteger privacidade. O FaceCheck.id e PimEyes são mais eficazes para este objetivo. ### Yandex Images O buscador russo **Yandex** possui um dos melhores sistemas de busca reversa de imagens, especialmente para reconhecimento facial: 1. Acesse [yandex.com/images](https://yandex.com/images) 2. Clique no ícone da câmera 3. Faça upload da foto 4. Analise os resultados — Yandex frequentemente encontra resultados que Google não indexa ### Workflow recomendado para busca de imagem 1. Salve a foto de perfil do WhatsApp/Telegram 2. Faça upload no **FaceCheck.id** (melhor para rostos) 3. Faça upload no **Yandex Images** (boa cobertura) 4. Faça upload no **Google Lens** (para contexto geral) 5. Se encontrar perfis, extraia mais fotos e repita o processo 6. Documente todas as conexões encontradas --- ## Técnica 13: Análise de Metadados de Arquivos Recebidos Se o alvo enviou fotos, vídeos ou documentos pelo WhatsApp, esses arquivos podem conter **metadados** (dados embutidos) que revelam informações valiosas. ### O que metadados podem revelar | Tipo de metadado | O que revela | |---|---| | **EXIF de fotos** | Modelo do dispositivo, data/hora da captura, coordenadas GPS (se não removidas) | | **Documentos (PDF, DOCX)** | Nome do autor, software utilizado, data de criação, empresa | | **Vídeos** | Modelo da câmera, software de edição, geolocalização | | **Áudio** | Software de gravação, codec utilizado | ### Como extrair metadados **Usando ExifTool (Linux/macOS):** ```bash # Instalar sudo apt install libimage-exiftool-perl # Extrair metadados de uma foto exiftool foto_recebida.jpg # Extrair GPS específico exiftool -gpslatitude -gpslongitude foto_recebida.jpg ``` **Usando ferramentas online:** - [Jeffrey's EXIF Viewer](http://exif.regex.info/exif.cgi) - [Metapicz](https://metapicz.com/) - [FotoForensics](https://fotoforensics.com/) ### Limitação importante O WhatsApp **comprime e remove a maioria dos metadados EXIF** de fotos e vídeos enviados pela plataforma. Para preservar metadados, o arquivo precisa ter sido enviado como **"Documento"** (não como foto/vídeo direto). Documentos PDF, DOCX e planilhas geralmente mantêm os metadados intactos. ### Dica avançada Se receber uma foto sem metadados, analise o conteúdo visual: - Placas de carro, nomes de rua, logos de estabelecimentos - Paisagem, clima e luminosidade (indicam hora e região) - Reflexos em superfícies (podem mostrar o fotógrafo ou ambiente) - Detalhes de fundo (quadros, documentos, telas de computador) --- ## Técnica 14: Plataformas de Investigação Avançada — Maltego e OSINT Framework Para investigações complexas, ferramentas profissionais de mapeamento de conexões são indispensáveis. ### Maltego O [Maltego](https://www.maltego.com) é considerado **a plataforma de referência** para investigações digitais complexas. Segundo a própria empresa, permite "minerar, fundir e mapear dados" para acelerar investigações. **O que o Maltego faz com um número de telefone:** - Cria **grafos visuais** mostrando conexões entre pessoas, empresas e dados - Cruza informações de mais de **58 fontes de dados** diferentes - Mapeia **redes sociais, dark web, registros públicos e dados de vazamentos** - Visualiza até **1 milhão de entidades** em um único grafo - Permite investigações anônimas **Exemplo prático:** Você insere o número de telefone no Maltego. A ferramenta automaticamente busca contas de redes sociais vinculadas, e-mails associados, empresas registradas, domínios na internet — e mostra tudo em um grafo visual de conexões. ### OSINT Framework O [OSINT Framework](https://osintframework.com/) não é uma ferramenta em si, mas um **diretório organizado** de centenas de ferramentas de OSINT, categorizadas por tipo de dado. Para investigação de números de telefone, navegue até a categoria **"Phone Numbers"** para encontrar subcategorias como: - Reverse lookup - Identificação de operadora - Rastreamento de VoIP - Lookup internacional - Ferramentas por país É o ponto de partida ideal para encontrar a ferramenta certa para cada tipo de investigação. ### Moriarty Project O [Moriarty Project](https://github.com/AzizKpln/Moriarty-Project) é uma ferramenta open source baseada em web que oferece 6 funcionalidades de investigação a partir de um número de telefone ([GitHub](https://github.com/AzizKpln/Moriarty-Project)): - Tenta **identificar o proprietário** do número - Verifica o **risco de spam** associado - Busca **links relacionados** na web - Encontra **comentários e reports** sobre o número - Identifica **plataformas de redes sociais** conectadas --- ## Técnica 15: Monitoramento de Status Online do WhatsApp Segundo o [OSINT Team Blog](https://osintteam.blog/whatsapp-osint-the-hidden-intelligence-behind-online-status-a3d7591cda3b), o status "online" do WhatsApp pode revelar muito mais do que parece. ### O que o status online revela - **Padrões de sono**: Horários em que a pessoa está consistentemente offline indicam quando ela dorme - **Fuso horário**: Se a pessoa fica online em horários incomuns para o Brasil, pode estar em outro país - **Rotina diária**: Padrões de uso revelam horários de trabalho, almoço e lazer - **Comportamento**: Mudanças repentinas nos padrões podem indicar viagens, mudanças de rotina ou eventos significativos ### Como monitorar 1. Adicione o número como contato 2. Registre manualmente os horários de "online/offline" 3. Após alguns dias, analise os padrões ### Ferramentas de monitoramento Existem ferramentas que automatizam o rastreamento de status online do WhatsApp. Porém, seu uso pode configurar **stalking** (Art. 147-A do Código Penal) se feito sem justificativa legal. Use com extrema cautela e apenas em contextos legítimos. --- ## Técnica 16: Descubra a Operadora do Número Saber qual operadora pertence o número é útil para: - Direcionar denúncias - Solicitar quebra de sigilo (em investigações oficiais) - Entender se o número é pré-pago ou pós-pago - Verificar portabilidade ### ABR Telecom — Consulta oficial A [ABR Telecom](https://consultanumero.abrtelecom.com.br/consultanumero) é a **Entidade Administradora da Portabilidade Numérica no Brasil**, conforme resolução da Anatel. **Passo a passo:** 1. Acesse [consultanumero.abrtelecom.com.br](https://consultanumero.abrtelecom.com.br/consultanumero) 2. Selecione o tipo de consulta 3. Digite o número completo (com DDD) 4. Clique em **"Consultar"** 5. Veja o resultado com o nome da operadora atual ### Análise do DDD O código de área (DDD) indica a **região de registro original** do número: | DDD | Região | |---|---| | 11 | São Paulo (capital e região metropolitana) | | 21 | Rio de Janeiro (capital) | | 31 | Belo Horizonte | | 41 | Curitiba | | 51 | Porto Alegre | | 61 | Brasília | | 71 | Salvador | | 81 | Recife | | 85 | Fortaleza | | 91 | Belém | | 92 | Manaus | ### Identificação do tipo de linha O **primeiro dígito após o DDD** revela o tipo de linha: - **2 a 5**: Números **fixos** (linha terrestre) - **6 a 9**: Números **móveis** (celular) Exemplo: `(11) 98765-4321` → DDD 11 (São Paulo) + dígito 9 = **número móvel**. ### Números internacionais Se o número começa com código de país diferente de +55 (Brasil), isso pode indicar: - O alvo está em outro país - Uso de número VoIP (virtual) - Possível tentativa de mascarar identidade Códigos suspeitos comuns em golpes: +234 (Nigéria), +44 (Reino Unido), +1 (EUA/Canadá), conforme alerta do [Aire de Santa Fe](https://www.airedesantafe.com.ar/tecnologia/como-detectar-un-numero-falso-whatsapp-y-evitar-caer-estafas-virtuales-n622156). --- ## Técnica 17: Social Searcher — Busca em Redes Sociais O [Social Searcher](https://www.social-searcher.com/) é uma ferramenta que permite buscar menções de um número de telefone em publicações públicas de múltiplas redes sociais simultaneamente. ### Como usar 1. Acesse [social-searcher.com](https://www.social-searcher.com/) 2. Digite o número no campo de busca 3. A ferramenta busca em: Facebook, Twitter, Instagram, YouTube, Reddit, Tumblr, e mais 4. Analise os resultados — posts, comentários e menções que contenham o número ### Quando é mais eficaz - Números comerciais (frequentemente divulgados em posts) - Números que foram expostos publicamente (em anúncios, reviews, reclamações) - Números associados a perfis profissionais --- ## Técnica 18: Verificação em Bases de Vazamento de Dados Vazamentos massivos de dados são uma realidade constante na internet. Números de telefone frequentemente aparecem em bancos de dados comprometidos junto com nomes, e-mails e senhas. ### Have I Been Pwned O [Have I Been Pwned](https://haveibeenpwned.com/) é o serviço mais confiável para verificar se um número (ou e-mail) aparece em vazamentos de dados. Criado pelo pesquisador de segurança Troy Hunt. ### CheckLeaked O [CheckLeaked.cc](https://checkleaked.cc/) é uma plataforma que permite verificar se e-mails, números de telefone ou senhas foram expostos em vazamentos. ### Vazamentos notáveis que incluem números de telefone | Vazamento | Dados expostos | Ano | |---|---|---| | **Facebook** | 533 milhões de contas, incluindo números | 2021 | | **LinkedIn** | 700 milhões de registros | 2021 | | **Clubhouse** | 3,8 bilhões de registros | 2021 | | **WhatsApp** | 487 milhões de números (alegado) | 2022 | ### Cuidado ético Utilizar dados de vazamentos para fins de investigação é uma **zona cinzenta legal**. A LGPD protege dados pessoais independentemente de como foram obtidos. Sempre documente a finalidade legítima da consulta. --- ## Técnica 19: Ligando para o Alvo — Investigação Ativa A técnica mais direta, mas que requer máximo cuidado e planejamento. ### Precauções obrigatórias - Use um **número descartável** (chip pré-pago comprado com dados que não levem a você) - Considere usar um **modificador de voz** (apps como Voice Changer) - Tenha uma **história de cobertura** preparada (ex.: confirmação de cadastro, pesquisa de mercado) - **Grave a ligação** (onde legalmente permitido) para análise posterior - Mantenha o **sigilo da investigação** em todos os momentos ### O que observar durante a ligação | Aspecto | O que revela | |---|---| | **Atende ou não** | Se o número está ativo | | **Saudação** | Nome ("Alô, aqui é o João") | | **Voz** | Gênero, idade aproximada | | **Sotaque** | Região de origem | | **Ruído de fundo** | Ambiente (casa, escritório, rua, trânsito) | | **Horário que atende** | Rotina e disponibilidade | | **Idioma** | Nacionalidade | ### Dica avançada: SpyDialer Para números americanos, o [SpyDialer](https://www.spydialer.com/) permite ouvir a caixa postal de um número sem que a ligação seja registrada como chamada. No Brasil, não há equivalente direto, mas ligar fora do horário comercial aumenta as chances de cair na caixa postal. ### Importante Esta técnica configura **investigação ativa** (diferente de OSINT passivo). Dependendo do contexto, pode configurar assédio ou perturbação. Use apenas quando estritamente necessário e com justificativa legal. --- ## Técnica 20: NumLookup e Ferramentas de Reverse Lookup Gratuitas Existem diversos serviços online gratuitos que oferecem reverse phone lookup. Embora a cobertura para números brasileiros seja limitada, vale a tentativa. ### Ferramentas recomendadas | Ferramenta | URL | Cobertura | Gratuito? | |---|---|---|---| | **NumLookup** | [numlookup.com](https://www.numlookup.com/) | Global (foco EUA) | Sim | | **Whitepages** | [whitepages.com](https://www.whitepages.com/) | EUA/Canadá | Parcial | | **Spokeo** | [spokeo.com](https://www.spokeo.com/) | EUA | Parcial | | **PhoneValidator** | [phonevalidator.com](https://www.phonevalidator.com/) | Global | Sim | | **NumVerify** | [numverify.com](https://numverify.com/) | Global | Sim (API) | | **Infobel** | [infobel.com](https://www.infobel.com/) | Global | Sim | | **Emobile Tracker** | [emobiletracker.com](https://www.emobiletracker.com/) | Índia/Global | Sim | ### Para números brasileiros especificamente - **Consulta Número (ABR Telecom)**: Operadora atual - **PIX (bancos)**: Nome e CPF parcial - **Truecaller/GetContact**: Nome como salvo em agendas - **Google Dorking com DDDs brasileiros**: Presença em sites nacionais --- ## Workflow Completo: Como Combinar Todas as Técnicas A verdadeira eficácia da investigação digital está em **combinar múltiplas técnicas de forma sistemática**. Segundo a [Ethos Risk](https://ethosrisk.com/blog/osint-investigations-emerging-trends-and-modern-tools/), as investigações modernas de OSINT não se tratam mais de buscas isoladas, mas de **entender relacionamentos dentro de um ecossistema mais amplo**. ### Fase 1: Coleta Rápida (5 minutos) 1. **Técnica 1**: Consultar perfil do WhatsApp (nome, foto, bio) 2. **Técnica 2**: Consultar via PIX (nome completo, CPF parcial) 3. **Técnica 16**: Verificar operadora (ABR Telecom) ### Fase 2: Busca Passiva (15-30 minutos) 4. **Técnica 3**: Google Dorking com todas as variações do número 5. **Técnica 4**: Truecaller + GetContact + Sync.me 6. **Técnica 7**: Verificar Telegram, Signal e outros apps 7. **Técnica 8**: Busca em redes sociais (Facebook, Twitter, Instagram, LinkedIn) 8. **Técnica 9**: Teste de "Esqueci minha senha" no Facebook ### Fase 3: Investigação Profunda (30-60 minutos) 9. **Técnica 12**: Busca reversa de imagem com foto de perfil 10. **Técnica 11**: PhoneInfoga (scan automatizado) 11. **Técnica 6**: Telelistas e catálogos comerciais 12. **Técnica 17**: Social Searcher 13. **Técnica 18**: Verificação em bases de vazamentos 14. **Técnica 5**: Expansão a partir do CPF parcial ### Fase 4: Análise Avançada (quando necessário) 15. **Técnica 10**: Ferramentas automatizadas (EPIEOS, OSINT Industries) 16. **Técnica 14**: Maltego para mapeamento de conexões 17. **Técnica 13**: Análise de metadados de arquivos recebidos 18. **Técnica 15**: Monitoramento de padrões de status online ### Fase 5: Investigação Ativa (último recurso) 19. **Técnica 19**: Ligação direta 20. **Técnica 20**: Ferramentas de reverse lookup complementares ### Documentação Em cada fase, **documente tudo**: - Screenshots de perfis e resultados - URLs das fontes - Data e hora da coleta - Conexões identificadas entre dados Essa documentação é essencial tanto para uso pessoal quanto para eventual apresentação em processos legais. --- ## Aspectos Legais e Éticos: O Que Você Precisa Saber A investigação digital no Brasil é regida por um conjunto de leis que devem ser rigorosamente respeitadas. ### LGPD — Lei Geral de Proteção de Dados (Lei 13.709/2018) A [LGPD](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) dispõe sobre o tratamento de dados pessoais com o objetivo de proteger direitos fundamentais de liberdade e privacidade. Seus princípios incluem: finalidade, adequação, necessidade, transparência, segurança e responsabilização. **Implicação prática:** A coleta de dados pessoais (mesmo públicos) deve ter uma finalidade legítima. Investigação de fraudes, defesa de direitos ou segurança pessoal são finalidades reconhecidas. ### Marco Civil da Internet (Lei 12.965/2014) O [Marco Civil](https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm) garante: - **Inviolabilidade da intimidade e vida privada** (Art. 7º, I) - **Sigilo do fluxo de comunicações** pela internet, salvo por ordem judicial (Art. 7º, II) - **Sigilo das comunicações privadas** armazenadas (Art. 7º, III) **Implicação prática:** Interceptação de comunicações ou acesso a contas privadas requer ordem judicial. As técnicas deste guia utilizam apenas dados publicamente acessíveis. ### Crime de Stalking (Art. 147-A do Código Penal) A [Lei 14.132/2021](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/lei/l14132.htm) tipificou o crime de **perseguição (stalking)**, conforme análise da [Legale Educacional](https://legale.com.br/blog/o-crime-de-stalking-art-147-a-cp-guia-pratico/): > "Perseguir alguém, reiteradamente e por qualquer meio, ameaçando-lhe a integridade física ou psicológica, restringindo-lhe a capacidade de locomoção ou, de qualquer forma, invadindo ou perturbando sua esfera de liberdade ou privacidade." **Pena:** Reclusão de 6 meses a 2 anos, e multa. **Agravantes:** - Aumento de metade da pena se contra criança, adolescente, idoso ou mulher - Aplica-se a Lei Maria da Penha em contexto de violência doméstica **Implicação prática:** Monitoramento obsessivo e reiterado de alguém — mesmo usando técnicas legítimas de OSINT — pode configurar stalking se feito com intenção de intimidação ou perturbação. ### Lei Carolina Dieckmann (Lei 12.737/2012) Tipifica crimes de invasão de dispositivos informáticos. **Acessar contas alheias** (mesmo com recuperação de senha) é crime. ### Quando a investigação é legítima | Contexto | Legitimidade | |---|---| | Investigação policial (com mandado) | ✅ Plenamente legal | | Advogado investigando para processo | ✅ Legal (com base no direito de defesa) | | Detetive particular contratado | ✅ Legal (com registro no DPF) | | Jornalismo investigativo | ✅ Legal (interesse público) | | Empresa investigando fraude contra si | ✅ Legal (legítimo interesse) | | Pessoa investigando golpe que sofreu | ⚠️ Legal com cautela | | Curiosidade pessoal sobre terceiros | ⚠️ Zona cinzenta | | Monitorar ex-parceiro(a) | ❌ Pode configurar stalking | | Intimidação ou assédio | ❌ Crime | ### Regras de ouro 1. **Use apenas dados públicos** — nunca invada contas ou sistemas 2. **Tenha uma finalidade legítima** — documente o motivo da investigação 3. **Não perturbe o alvo** — OSINT deve ser passivo e discreto 4. **Confirme com múltiplas fontes** — evite conclusões precipitadas 5. **Documente tudo** — mantenha registros para fins legais 6. **Procure apoio profissional** quando necessário — delegacias especializadas em crimes cibernéticos podem ajudar --- ## Ferramentas Completas: Lista de Recursos para Investigação ### Ferramentas Gratuitas | Ferramenta | Tipo | URL | |---|---|---| | PhoneInfoga | Scan de número (open source) | [github.com/sundowndev/phoneinfoga](https://github.com/sundowndev/phoneinfoga) | | OSINT Framework | Diretório de ferramentas | [osintframework.com](https://osintframework.com/) | | Truecaller | Identificador de chamadas | [truecaller.com](https://www.truecaller.com/) | | GetContact | Identificador de chamadas | [getcontact.com](https://getcontact.com/en/) | | Sync.me | Reverse phone lookup | [sync.me](https://sync.me/) | | FaceCheck.id | Busca reversa facial | [facecheck.id](https://facecheck.id/) | | ABR Telecom | Consulta de operadora (Brasil) | [consultanumero.abrtelecom.com.br](https://consultanumero.abrtelecom.com.br/) | | Social Searcher | Busca em redes sociais | [social-searcher.com](https://www.social-searcher.com/) | | Have I Been Pwned | Verificação de vazamentos | [haveibeenpwned.com](https://haveibeenpwned.com/) | | CheckLeaked (WhatsApp) | Perfil público WhatsApp | [whatsapp.checkleaked.cc](https://whatsapp.checkleaked.cc/) | | ExifTool | Análise de metadados | [exiftool.org](https://exiftool.org/) | | NumLookup | Reverse phone lookup | [numlookup.com](https://www.numlookup.com/) | | Moriarty Project | Investigação de número | [github.com/AzizKpln/Moriarty-Project](https://github.com/AzizKpln/Moriarty-Project) | | Yandex Images | Busca reversa de imagem | [yandex.com/images](https://yandex.com/images/) | ### Ferramentas Pagas/Premium | Ferramenta | Tipo | URL | |---|---|---| | OSINT Industries | Plataforma completa de investigação | [osint.industries](https://osint.industries/) | | EPIEOS | Busca reversa de e-mail e telefone | [epieos.com](https://epieos.com/) | | Maltego | Mapeamento de conexões | [maltego.com](https://www.maltego.com/) | | PimEyes | Reconhecimento facial avançado | [pimeyes.com](https://pimeyes.com/en/) | | SEON | Sinais digitais e sociais | [seon.io](https://seon.io/) | | SpiderFoot | OSINT automatizado | [spiderfoot.net](https://www.spiderfoot.net/) | --- ## Perguntas Frequentes (FAQ) ### É crime descobrir o dono de um número de WhatsApp? Não, desde que você utilize apenas dados publicamente acessíveis e tenha uma finalidade legítima (defesa contra golpes, segurança pessoal, investigação profissional). O uso de técnicas de OSINT com dados públicos é legal. O que pode ser crime é o **uso indevido** das informações obtidas (stalking, assédio, intimidação). ### Qual a técnica mais eficaz no Brasil? A **consulta via PIX** (Técnica 2) é exclusiva do Brasil e extremamente eficaz, pois retorna o nome completo e CPF parcial diretamente de fontes oficiais do sistema bancário. ### Consigo descobrir a localização exata de alguém pelo WhatsApp? Não diretamente. As técnicas de OSINT podem indicar a **região de registro** do número (pelo DDD), **padrões de horário** que sugerem fuso horário, e informações de localização que a pessoa publicou voluntariamente. Localização em tempo real requer mandado judicial. ### Os apps de identificação (Truecaller, GetContact) são confiáveis? Os dados são baseados nas agendas de outros usuários, então o nome exibido é **como a pessoa está salva nos contatos de terceiros** — o que pode ser o nome real, um apelido, ou informação incorreta. Use como pista, não como prova. ### O que fazer se fui vítima de golpe pelo WhatsApp? 1. **Não delete as mensagens** — são prova 2. **Faça screenshots** de tudo (perfil, mensagens, número) 3. **Registre um Boletim de Ocorrência** na delegacia (pode ser online em muitos estados) 4. **Use as técnicas deste guia** para coletar informações sobre o golpista 5. **Denuncie no WhatsApp**: Perfil do contato → Denunciar 6. **Procure uma delegacia especializada** em crimes cibernéticos ### As técnicas funcionam para números internacionais? Sim, a maioria funciona globalmente. As exceções são técnicas específicas do Brasil: PIX (Técnica 2), ABR Telecom (Técnica 16) e telelistas nacionais (Técnica 6). Para números internacionais, foque nas técnicas universais: Google Dorking, apps de identificação, busca reversa de imagem e plataformas de OSINT automatizado. ### O alvo pode saber que estou investigando? Se você seguir **apenas técnicas de OSINT passivo** (buscas em motores de busca, consultas públicas, análise de dados já disponíveis), **não**. O alvo não será notificado. Técnicas ativas (como ligar para o número ou enviar mensagem) obviamente alertam o investigado. --- ## Considerações Finais Estas 20 técnicas, quando usadas em conjunto e de forma metódica, formam o arsenal mais completo disponível para investigação de números de WhatsApp. A investigação digital moderna, segundo a [Ethos Risk](https://ethosrisk.com/blog/osint-investigations-emerging-trends-and-modern-tools/), não é mais sobre buscas isoladas — é sobre **resolução de entidades**: correlacionar automaticamente aliases, números compartilhados, e-mails vinculados, endereços sobrepostos e afiliações comerciais para construir um retrato completo de uma identidade digital. Cada caso é único. Nem sempre todas as técnicas funcionarão. O segredo está em ser **persistente, metódico e ético**. **A investigação digital é uma arte que combina técnica, paciência e responsabilidade.** Use esse conhecimento para se proteger, proteger os seus e contribuir para um ambiente digital mais seguro. --- **Quer aprender mais técnicas avançadas de investigação digital?** Compartilho regularmente métodos que uso nas minhas próprias investigações e com meus clientes. Essas são técnicas testadas no mundo real, não apenas teoria acadêmica. **[Siga Bruno Fraga](https://brunofraga.com)** para conteúdos exclusivos sobre OSINT, cibersegurança e investigação digital. --- ## Aulão Semanal — Aulas ao Vivo (52 publicados) ### Aulão #055 — Google Programmable Search Engine: Como Criar Seu Próprio Google para OSINT URL: https://brunofraga.com/aulao-semanal/google-programmable-search-engine-pse-osint-investigacao Publicado: 2024-10-15 Tags: osint, investigacao-digital, tutoriais YouTube: https://www.youtube.com/watch?v=G4DTRFxcm-g Aulão ao vivo construindo 2 buscadores customizados do Google PSE: um para investigar empresas brasileiras (JusBrasil, Escavador, Casa dos Dados) e outro para detectar vazamentos de código (GitHub, Pastebin, AWS S3). Mostrei a API com 10.000 queries grátis por dia. ## O que você vai aprender neste aulão Google Programmable Search Engine (PSE) é o recurso mais subutilizado do Google para investigação digital — você cria seu próprio buscador usando a base completa do Google, com filtragem por domínio, file type e query enrichment. Nesse aulão, eu construí 2 buscadores do zero ao vivo (um para investigar empresas, outro para detectar vazamentos de código) e mostrei como rodar a API com 10.000 queries gratuitas por dia. Em pouco mais de uma hora e meia, eu fui da explicação conceitual (por que dork manual e PSE são a mesma coisa) à implementação completa: configurar fontes, exclusões, Query Enhancement automático, design customizado e integração via API. Quem assistiu saiu com 2 buscadores funcionando e a base técnica pra criar quantos quiser. Esse aulão é a continuação natural do [Aulão #008 — 7 Buscas Perigosas que Revelam Informações Sensíveis no Google](/aulao-semanal/google-hacking-buscas-perigosas-dorks). Lá eu cobri Google Hacking manual com dorks. Aqui, transformamos dork numa interface oficial, persistente, com API. E também complementa [Aulão #054 — 4 Ferramentas de Investigação Digital](/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance), porque o PSE é a fundação que sustenta automação de OSINT em escala. Se você trabalha com remoção de conteúdo, monitoramento de marca, background check ou inteligência de mercado, esse recurso vira sua ferramenta principal. ## O que é Google Programmable Search Engine Google Programmable Search Engine (PSE), antigamente chamado Custom Search Engine (CSE), é um recurso oficial do Google que permite criar um buscador personalizado usando a base completa do Google. Você define quais sites busca, quais tipos de arquivo prioriza, e o Google entrega resultado filtrado em interface web ou via API. E aqui vai a confusão comum: PSE e CSE são a mesma coisa. CSE é o nome antigo, PSE é o atual. Em fóruns OSINT, comunidade ainda usa as 2 siglas. Documentação oficial migrou para PSE há mais de 4 anos, mas a [Custom Search JSON API](https://developers.google.com/custom-search/v1/overview) ainda mantém o nome CSE. No dia a dia de investigação, você vai ver as 2 referências e precisa entender que apontam para o mesmo produto. E Google quer mesmo que você use PSE — eles oferecem 10.000 queries gratuitas por dia justamente pra investigador sério montar produto em cima da plataforma deles. A vantagem do PSE sobre dork manual é persistência. Quando você monta `site:linkedin.com OR site:gov.br "termo" filetype:pdf` direto no Google, você precisa digitar isso toda vez. Com PSE, você configura uma vez, salva como buscador, e qualquer query depois aplica essa filtragem automaticamente. E mais: dá pra compartilhar o link do buscador, integrar via API, customizar layout, monitorar via Google Alerts. ## Por que criar seu próprio buscador é mais poderoso que dork manual Buscador customizado bate dork manual em 4 dimensões: persistência, compartilhamento, API e segmentação visual. Quem investiga com volume não vive sem. **Persistência** é a mais óbvia. Sua dork de busca de currículo (filetype:pdf "CV" OR "resumir" OR "Vitae" site:linkedin.com OR site:slideshare.net) leva 30 segundos pra montar manualmente toda vez. Em PSE, configura uma vez. Pra sempre. **Compartilhamento** muda o trabalho em equipe. Quando você monta um buscador customizado e compartilha o link com sua equipe, todo mundo investiga com a mesma metodologia. Antes: cada um tinha sua dork mental, resultados variavam. Agora: padrão único, repetível, auditável. **API** abre escala. Com 10.000 queries gratuitas por dia na API, você roda monitoramento contínuo. Eu mesmo construí sistema que checa cargas roubadas em marketplaces a cada 5 minutos via PSE + Google Alerts. Isso seria impossível com dork manual. **Segmentação visual** ajuda no design. Você pode customizar layout, fonte, cor, idioma, região. O resultado fica embedded no seu site, com sua marca, em português, focado no Brasil. Pra investigador profissional que entrega relatório pro cliente, isso vira diferencial. E quando você combina os 4, vira ferramenta empresarial. Não é mais "vou pesquisar uma coisa no Google". É "tenho 8 buscadores customizados, cada um pra um caso de uso, todos integrados via API, alimentando dashboard de monitoramento". ## Como criar um Google PSE passo a passo Pra criar um Google PSE, você acessa [programmablesearchengine.google.com](https://programmablesearchengine.google.com) com sua conta Google, clica em "Adicionar", define nome, fontes e configurações iniciais. O processo todo leva menos de 5 minutos. Vou demonstrar com o caso real do aulão: construí o buscador `busca-docs-empresa` pra investigar documentos públicos de empresas brasileiras. Esse buscador vira meu ponto de entrada quando recebo investigação de background check ou compliance corporativo. ### Passo 1: criar e nomear o buscador Após login, clique em "Adicionar". Defina nome descritivo: `busca-docs-empresa`. Em produção, use prefixo padrão (eu uso `busca-` em todos) pra organizar dezenas de buscadores no painel. ### Passo 2: definir as fontes de busca Aqui está o coração do PSE. As fontes do meu buscador de empresas são 7: - `docs.google.com` — documentos públicos no Drive - `sites.gov.br` — qualquer subdomínio governamental brasileiro - `linkedin.com` — perfis e empresas - [escavador.com](https://www.escavador.com) — processos judiciais e dados públicos - [jusbrasil.com.br](https://www.jusbrasil.com.br) — base maior de processos - [casadosdados.com.br](https://casadosdados.com.br) — consulta CNPJ - `s3.amazonaws.com` — buckets AWS expostos com documentos Pra cada fonte, você decide: incluir o domínio inteiro, ou apenas subpasta específica. Por exemplo, no LinkedIn, eu poderia incluir só `linkedin.com/company/*` para excluir posts e perfis pessoais. Esse tipo de granularidade é o que diferencia buscador profissional de buscador genérico. ### Passo 3: aplicar exclusões Tão importante quanto o que você inclui é o que você exclui. Pra cada fonte, dá pra adicionar regras de exclusão. Quando eu busco empresa no Instagram, eu excluo `/p/*` (URLs de posts) e `/reel/*` (reels) — só me interessa perfis. Resultado: zero ruído de postagens, foco total em conta da empresa. E essa lógica vale pra todas as fontes. Em LinkedIn, exclua `/posts/*` se quer só perfis. Em GitHub, exclua `/*/issues/*` se quer só código. A regra é: pense em todos os tipos de URL que aquele domínio gera, e exclua os que não te servem. ### Passo 4: testar o buscador Antes de configurar features avançadas, teste. Busque um termo que você conhece (no aulão, usei "Descomplica"). Compare resultado com Google padrão. Se o filtro está correto, resultado deve ser: - Substancialmente menor em volume (menos ruído) - 100% dentro das fontes configuradas - Direcionado pro caso de uso (no meu, documentos de empresa) Se voltarem resultados fora das fontes configuradas, uma regra de inclusão está errada. Volte e revise. ## Como configurar Search Features avançadas (Query Enhancement) Search Features no painel do PSE inclui Refinamentos, Promoções, Query Enhancement, Autocompletar e Restrição de termos. A feature mais poderosa pra investigação é Query Enhancement. Query Enhancement adiciona automaticamente termos à query do usuário. Vou dar exemplo prático: meu buscador `busca-docs-empresa` foca em documentos. Quando o investigador busca "Petrobras", eu quero que ele receba apenas PDFs, DOCXs e XLSX — não páginas web. Configuro Query Enhancement com `filetype:pdf OR doc OR xls OR txt OR csv OR ppt`. O usuário busca "Petrobras". O Google recebe `Petrobras filetype:pdf OR doc OR xls...`. Resultado: só documentos. ### Quando usar Query Enhancement vs Refinement Diferença prática: - **Query Enhancement** adiciona termo a TODAS as buscas - **Refinement** cria botões clicáveis no buscador (ex: "PDF apenas", "Vídeos", "Imagens") Pra fluxo automatizado e API, Query Enhancement é melhor. Pra interface visual onde usuário escolhe filtro, Refinement é melhor. No `busca-docs-empresa`, uso Query Enhancement direto. No buscador de redes sociais que mantenho separado, uso Refinement com botões "Instagram", "TikTok", "LinkedIn", "Twitter". ### Configurar restrições de idioma e região Pra OSINT brasileiro, sempre configure: - Idioma: Português - Região: Brasil Se você não restringe, Google traz resultados globais e termos em inglês predominam. Restringido para Brasil, prioridade é dada a sites brasileiros e conteúdo em português. E dá pra escolher entre "restringir totalmente" (só Brasil) ou "favorecer" (Brasil primeiro, mas com resultado global como fallback). E se você está geograficamente fora do Brasil (eu trabalho da Coreia), restrição de região do PSE é forma de acessar Google Brasil sem VPN. Configura uma vez, esquece. ## Como criar um buscador de vazamentos de código Buscador de vazamentos é um dos casos de uso mais valiosos do PSE. No aulão, criei `busca-vazamentos-codigo` com 5 sites: GitHub, Pastebin, AnonFiles, Bitbucket e AWS S3. Em segundos, dá pra checar se nome de empresa ou chave API aparece publicamente em qualquer desses 5 lugares. As fontes específicas pra leak de código são: - [github.com](https://github.com) — repositórios públicos onde devs commitam credencial por engano - [pastebin.com](https://pastebin.com) — paste público de texto/código (alvo clássico) - `anonfiles.com` — upload anônimo (frequentemente vinculado a leak) - [bitbucket.org](https://bitbucket.org) — alternativa ao GitHub - `s3.amazonaws.com` — buckets AWS expostos publicamente E o Query Enhancement pra esse buscador é diferente. Não filtro filetype, porque código vem em N formatos. Em vez disso, deixo a query bruta e adiciono palavras-chave por contexto: `password OR api_key OR secret OR private_key OR access_token` quando estou caçando credencial específica. ### Caso real: detecção de "Descomplica" + password Demonstrei ao vivo busca por `Descomplica password` no buscador. Resultado: pastes em Pastebin com termo Descomplica em arquivos de configuração contendo password (geralmente material de aluno do curso, não vazamento real, mas a lógica fica clara). Em casos reais com empresas que sofreram leak, esse buscador pega vazamento minutos depois de virar público. E é exatamente assim que minha equipe monitora cliente. Tenho buscadores configurados pra cada cliente importante. Cron rodando a cada 5 minutos. Se aparece resultado novo, alerta dispara. Detecção precoce de vazamento muda completamente a janela de resposta. ### Por que S3 buckets continuam vazando em volume S3 da Amazon é configuração padrão pra storage corporativo. E quando dev configura bucket como público pra testar acesso e esquece de fechar, qualquer pessoa com query `site:s3.amazonaws.com filetype:pdf "confidential"` encontra. Não é ataque sofisticado. É descuido em escala. Mostrei ao vivo no aulão dork buscando documentos `top secret` em S3 — resultado retornou dezenas de PDFs reais, mais de 20 marcados confidencial. Empresas grandes. Esse problema não desapareceu — só piorou conforme adoção de cloud aumentou. ## Como integrar a API do Google PSE com 10.000 queries gratuitas por dia A [Custom Search JSON API](https://developers.google.com/custom-search/v1/overview) do Google PSE oferece 10.000 queries por dia gratuitas (com plano de Cloud habilitado), suficiente pra automação contínua de monitoramento. Cada query retorna JSON estruturado com até 10 resultados. O plano gratuito básico é de 100 queries por dia (limite original). Pra subir para 10.000, você ativa Cloud project e configura billing — mas só paga se ultrapassar 10.000 (US$ 5 por 1.000 queries adicionais). Pra 95% dos casos de OSINT, 10.000 cobrem. ### O que a API retorna Cada query devolve JSON com: - Lista de resultados (título, URL, snippet) - Total de matches encontrados - Imagens (se ativado) - Pagetokens pra paginar resultado adicional - Metadados (idioma detectado, tipo de site, dados estruturados) Você consome via curl, Python (requests + json), Node.js (fetch), ou ferramenta tipo Postman. Eu uso Python no dia a dia porque torna direto integrar com Google Alerts, banco de dados e Slack pra notificação. ### Como construir monitoramento contínuo com PSE + cron A receita pra monitoramento empresarial via PSE é: 1. Crie buscador específico pro cliente (ex: `busca-cliente-acme`) 2. Ative Cloud project e copie a API key 3. Escreva script Python que consome a API com 5 a 10 termos relevantes (nome da empresa, CNPJ, dirigentes, produtos) 4. Compare resultado com cache anterior — só processa novidade 5. Notifica via Slack/email se aparecer resultado novo 6. Roda via cron a cada 5 minutos Isso vira sistema de detecção de menção, vazamento e exposição em tempo quase-real. Em monitoramento real de cliente médio (faturamento R$ 50M/ano), esse setup pega cerca de 2 a 4 menções relevantes por semana — material que sem PSE só seria descoberto por acaso. ## Buscadores customizados prontos da comunidade OSINT A comunidade OSINT mantém centenas de buscadores customizados prontos pra usar. O repositório principal é [Dorks Collections (cipher387)](https://github.com/cipher387/Dorks-collections-list), que agrega CSEs por categoria. Categorias mais úteis na coleção: - **Currículos**: filetype:pdf "CV" OR "resumir" OR "Vitae" em LinkedIn, SlideShare, sites pessoais - **Telegram**: site:t.me com termos específicos pra encontrar grupos e canais - **Encurtadores de URL**: bitly, tinyurl, cutt.ly pra rastrear URLs encurtadas - **Código**: GitHub, Bitbucket, Pastebin pra buscar leaks - **Marketplaces**: OLX, Mercado Livre, Facebook Marketplace pra investigar produtos roubados - **Sites de encontro**: Tinder, Bumble, Badoo pra OSINT social E você não precisa criar tudo do zero. Pega um buscador da comunidade que se aproxima do seu caso, copia configurações, customiza pro seu contexto. Em 30 minutos você tem 5 buscadores funcionando. E essa comunidade evolui rápido. Repositório recebe contribuição mensal com novos CSEs. Vale acompanhar — buscador novo aparece toda semana cobrindo nicho que você nem sabia que existia (ex: CSE pra buscar imagens de uniforme militar específico, CSE pra rastrear encurtadores em phishing, CSE pra buscar código fonte vazado em fóruns russos). ## PSE substitui ferramentas pagas de OSINT? PSE substitui Hunter, Maltego ou Spiderfoot? Resposta direta: parcialmente. PSE cobre busca em fontes públicas indexadas pelo Google. Não cobre vazamentos privados, deep web ou enriquecimento de dados estruturados (email → telefone → CPF). Para casos onde sua investigação depende exclusivamente de fontes públicas indexáveis (gov.br, redes sociais públicas, sites de empresa), PSE substitui 80% do uso de ferramentas pagas. E o custo é zero ou US$ 5 por 1.000 queries acima do limite gratuito. E quando você precisa cruzar dados privados — vazamentos não públicos, leaks de credencial específica, enriquecimento de email para telefone — aí Hunter, Maltego e Spiderfoot voltam ao cenário. PSE complementa, não anula. E Bruno tem opinião forte aqui: comece com PSE antes de comprar ferramenta paga. Aprenda a configurar buscador, integrar API, montar pipeline de monitoramento. Em 2 semanas você descobre se realmente precisa de Hunter ou Maltego, ou se PSE resolve seu caso. Investidor inteligente testa o gratuito poderoso antes de gastar. E Maltego serve mais quando você precisa de visualização gráfica de relacionamento — pra investigação tipo "quem conhece quem". PSE serve para coleta e monitoramento. Os 2 trabalham juntos quando você usa PSE pra alimentar Maltego com dados frescos. Mas vale ressaltar: cliente paga pelo resultado, não pela ferramenta. Se PSE entrega o que cliente precisa em 1 hora, é melhor que Maltego entregando em 4 horas pelo dobro do custo. Vale a pena pagar Maltego? Depende do caso. Mas se Maltego abrevia trabalho complexo de pivotagem em 3 horas vs 12 horas no PSE manual, vale o investimento. Você decide caso a caso. Mas existe um cenário onde PSE simplesmente vence: monitoramento contínuo. 10.000 queries/dia gratuitas via API permitem rodar verificação a cada 5 minutos sem custo. Maltego cobra por execução. Spiderfoot exige infraestrutura própria. PSE só funciona. Funciona pra todos os casos? Não — fontes não indexadas escapam. Mas pra 80% dos casos OSINT, é suficiente. ## Aplicações práticas: quando usar Google PSE no dia a dia Casos reais onde Google PSE economiza horas de trabalho: **Background check de empresa**: configurar buscador com gov.br + JusBrasil + Escavador + Casa dos Dados + LinkedIn entrega histórico jurídico, fiscal e estrutura societária em queries únicas. Trabalho que levaria 4 horas vira 15 minutos. É exatamente o tipo de fluxo que cobri em [Aulão #046 — Inteligência de Mercado com OSINT Empresarial](/aulao-semanal/inteligencia-de-mercado-osint-empresarial-google-dorks). **Monitoramento de marca**: criar buscador focado em redes sociais + pastes + imprensa, rodar via API a cada hora. Detecta menção negativa, vazamento ou crise antes de escalar. **Remoção de conteúdo**: cliente quer mapear todo conteúdo difamatório sobre ele. Buscador customizado em sites de denúncia, blogs de fofoca, fóruns + Query Enhancement com nome do cliente. Em 1 query, lista completa pra notificação extrajudicial. **Investigação de pessoa**: buscador focado em redes sociais + JusBrasil + LinkedIn + Escavador. Pesquisar "João Silva CPF 123" entrega histórico judicial, profissional e social. **OSINT de evento**: criar buscador focado em sites de notícia, Twitter, fóruns para acompanhar evento em tempo real. Cobertura jornalística virou trivial com PSE. E o tipo de trabalho de investigação ativa que demonstrei em [Aulão #051 — HI SPY](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) usa PSE como camada base pra varredura de fontes. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Google Programmable Search Engine | Criar buscador customizado oficial do Google | [programmablesearchengine.google.com](https://programmablesearchengine.google.com) | | Custom Search JSON API | API REST pra integração programática (10.000 queries/dia grátis) | [developers.google.com/custom-search](https://developers.google.com/custom-search/v1/overview) | | Escavador | Pesquisa de processos judiciais brasileiros | [escavador.com](https://www.escavador.com) | | JusBrasil | Maior plataforma de processos judiciais do Brasil | [jusbrasil.com.br](https://www.jusbrasil.com.br) | | Casa dos Dados | Consulta CNPJ e dados de empresas brasileiras | [casadosdados.com.br](https://casadosdados.com.br) | | Pastebin | Plataforma de paste de texto - alvo de vazamentos | [pastebin.com](https://pastebin.com) | | GitHub | Repositório de código - alvo de vazamentos acidentais | [github.com](https://github.com) | | Bitbucket | Repositório de código alternativo | [bitbucket.org](https://bitbucket.org) | | Google Alerts | Monitoramento contínuo de termos no Google | [google.com/alerts](https://www.google.com/alerts) | | Dorks Collections (cipher387) | Repositório comunitário com CSEs prontos | [github.com/cipher387/Dorks-collections-list](https://github.com/cipher387/Dorks-collections-list) | ## Perguntas Frequentes ### O que é Google Programmable Search Engine? Google Programmable Search Engine (PSE) é recurso oficial do Google que permite criar buscador customizado usando a base completa do Google. Você define quais sites busca, exclusões, file type e Query Enhancement. Antigamente chamado Custom Search Engine (CSE) — as 2 siglas referem ao mesmo produto. ### Qual a diferença entre PSE e CSE? Não há diferença prática. CSE (Custom Search Engine) é o nome antigo. PSE (Programmable Search Engine) é o nome atual. Documentação migrou para PSE há mais de 4 anos, mas API ainda usa CSE no namespace. Comunidade usa as 2 siglas indistintamente. ### Google PSE é gratuito? Interface web é gratuita e ilimitada. API tem 100 queries/dia grátis no plano básico, e até 10.000 queries/dia gratuitas com Cloud project ativado (US$ 5 por 1.000 queries adicionais). Pra 95% dos casos de OSINT, 10.000 cobrem. ### Como criar um Google Custom Search Engine passo a passo? Acesse [programmablesearchengine.google.com](https://programmablesearchengine.google.com) com conta Google, clique em "Adicionar", defina nome, adicione fontes (sites a buscar), configure exclusões e Query Enhancement. Salve e teste. Processo completo leva menos de 5 minutos. ### Quais sites incluir num buscador customizado de empresas? Pra investigação de empresas brasileiras: gov.br, [escavador.com](https://www.escavador.com), [jusbrasil.com.br](https://www.jusbrasil.com.br), [casadosdados.com.br](https://casadosdados.com.br), linkedin.com, docs.google.com e s3.amazonaws.com. Esse conjunto cobre dados judiciais, fiscais, societários e documentos públicos. ### Como integrar Google PSE com Python? Ative Cloud project, gere API key, instale `google-api-python-client` e use `service.cse().list(q='termo', cx='SEU_CSE_ID').execute()`. Resultado vem em JSON estruturado com até 10 resultados por query. Eu uso esse setup em sistema de monitoramento contínuo. ### Google PSE substitui scraping? Não totalmente. PSE depende da indexação do Google — sites bloqueados de robots.txt ou recém-publicados não aparecem. Pra OSINT generalizado, PSE cobre 80% dos casos. Pra fontes que escapam (Telegram privado, deep web, sites com anti-bot), você ainda precisa de scraping direto ou ferramentas dedicadas. ### Como monitorar marca com Google PSE e Google Alerts? Crie buscador customizado focado em redes sociais e imprensa. Configure [Google Alerts](https://www.google.com/alerts) com termos da marca direcionados ao link do PSE. Rodar via API a cada 1 hora pega menção em tempo quase-real. Eu uso esse setup pra cliente médio — pega 2 a 4 menções relevantes por semana. ## Referências e Recursos - [Google Programmable Search Engine](https://programmablesearchengine.google.com) - [Custom Search JSON API — Documentação oficial](https://developers.google.com/custom-search/v1/overview) - [Escavador — Pesquisa Jurídica](https://www.escavador.com) - [JusBrasil](https://www.jusbrasil.com.br) - [Casa dos Dados — Consulta CNPJ](https://casadosdados.com.br) - [Pastebin](https://pastebin.com) - [GitHub](https://github.com) - [Bitbucket](https://bitbucket.org) - [Google Alerts](https://www.google.com/alerts) - [Dorks Collections (cipher387) — GitHub](https://github.com/cipher387/Dorks-collections-list) --- ### Aulão #054 — 4 Ferramentas de Investigação Digital que Ninguém no Brasil Usa (Ainda) URL: https://brunofraga.com/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance Publicado: 2024-10-14 Tags: osint, investigacao-digital, ciberseguranca YouTube: https://www.youtube.com/watch?v=qxsQ4SU7q5Y Aulão ao vivo com 4 ferramentas inéditas de investigação digital: Frame by Frame, GeoSpy, OSINT OS Surveillance e PimEyes. Demonstrei mapeamento real em Av. Andrômeda 227 e Av. Paulista, encontrei Windows XP exposto via Shodan e mostrei a pivotagem que vai de uma foto até nome completo em minutos. ## O que você vai aprender neste aulão Ferramentas de investigação digital novas estão saindo do Reino Unido em volume absurdo, e nesse aulão eu mostrei ao vivo 4 que praticamente ninguém usa no Brasil. Em pouco mais de uma hora e meia, eu instalei extensão de Chrome pra passar quadro a quadro em vídeo do YouTube, demonstrei AI que descobre onde uma foto foi tirada (sem ler metadado), mapeei tudo que existe num raio de poucos quilômetros de um endereço (Strava, AllTrails, Snapchat, Instagram, modems, câmeras públicas, vulnerabilidades) e fechei com reconhecimento facial reverso premium. Eu mostrei a falha real que reportei numa câmera dentro de prédio governamental — descoberta exatamente com o tipo de mapeamento que essa aula ensina. E demonstrei a pivotagem que me leva, em poucos minutos, de uma postagem geolocalizada no Instagram até reviews Google, conta Canva, conta Duolingo e nome completo da pessoa. Quem assistiu saiu com o pipeline completo: encontre uma foto, identifique onde foi tirada, mapeie quem mora no raio, identifique rostos por reconhecimento facial, melhore qualidade da imagem se precisar, e cruze username em 8 plataformas pra fechar identidade. Esse aulão complementa o que já cobri em [Aulão #042 — 5 Ferramentas de Investigação Digital](/aulao-semanal/extensoes-browser-investigacao-digital-osint) e amplia a base do [Aulão #038 — As Melhores Ferramentas para OSINT](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital). ## Por que Reino Unido virou polo de criação de ferramentas OSINT Reino Unido é o atual epicentro de criação de ferramentas OSINT porque a GDPR (regulação europeia de proteção de dados) não se aplica integralmente lá após o Brexit. Empresas montam estrutura jurídica britânica, evitam processar dados de cidadãos britânicos, e vendem livremente pro mercado externo. E tem um padrão que vale notar: empresa britânica de OSINT é multada em mais de 5 países por quebra de privacidade, mas absolvida no Reino Unido por não tratar dados locais. É a mesma lógica que sustentou empresas de spyware na Grécia anos atrás — jurisdição amigável + ausência de dados sob proteção forte = produto viável. Por isso eu acompanho o que sai de lá. Mas o impacto pra você, investigador no Brasil, é direto. As ferramentas que eu mostro aqui são todas criadas, hospedadas ou operadas a partir desse ecossistema. Você usa, mas precisa entender a base política e fiscal que viabiliza esse mercado, porque ele pode mudar. E Brexit foi exatamente o catalisador que abriu essa janela. ## Frame by Frame: a extensão gratuita que muda análise de vídeo [Frame by Frame](https://chromewebstore.google.com/detail/frame-by-frame/eddfhonkfooeibibnpemddpkcjkgdjjk) é uma extensão gratuita do Google Chrome que permite passar quadro a quadro em vídeos do YouTube usando teclas direcionais. Instala em 30 segundos, funciona em qualquer vídeo público. O caso de uso que justifica a ferramenta sozinha é o seguinte: alguém posta um Story no Instagram com uma transição rápida onde a pessoa esquece de embaçar uma imagem por uma fração de segundo. Sem Frame by Frame, você dá pause, perde, dá pause de novo, perde, e fica clicando até desistir. Com a extensão, você aperta seta direita uma vez, avança um frame, captura a tela exata onde o blur ainda não entrou. Resolveu. E não é só Story que isso resolve. Eu uso pra extrair placa de carro num vídeo de câmera de segurança onde a pessoa passa em alta velocidade, pra ler texto em outdoor que aparece por meio segundo num making-of, e pra capturar reflexo em janela onde dá pra ver localização. Frame a frame. Sem mistério. A extensão é open source, leve, gratuita. Único requisito: usar Google Chrome ou outro browser baseado em Chromium. Custo total: zero. Recomendação: ativa nas suas extensões hoje, mesmo se você não está investigando nada agora — quando precisar, vai estar lá. ## GeoSpy: AI que descobre onde uma foto foi tirada (sem metadados) [GeoSpy](https://geospy.ai) é uma plataforma de inteligência artificial que recebe uma imagem e devolve a localização provável onde ela foi tirada — sem ler metadados, apenas analisando o conteúdo visual e cruzando com base treinada em vídeos do YouTube e Twitter. Versão gratuita no site, versão Dev paga via API. Eu testei ao vivo com fotos de Dublin, São Paulo e Campos do Jordão. Em Dublin, identificou corretamente o rio Liffey e errou apenas 200 metros na rua exata. Em São Paulo, acertou a cidade. Em Campos do Jordão, errou inicialmente para Rio de Janeiro — modelo se baseou em padrão atmosférico associado a imagens cariocas. Não é perfeito, mas é absurdamente útil quando você não tem nenhuma pista. E aqui vai uma confusão comum que o Igor mandou no superchat: GeoSpy não usa metadados. Não lê EXIF, não puxa GPS embutido. É só modelo de AI vendo padrões visuais — arquitetura, vegetação, atmosfera, postes, calçada, luminária, sinalização. Por isso funciona até em foto que você passou um stripper de metadado em cima. ### Como usar a versão gratuita do GeoSpy A interface web do GeoSpy é simples. Você arrasta uma imagem (ou cola via URL), espera 5 a 15 segundos, e recebe: - Cidade e país identificados com nível de confiança - Possível bairro ou região específica - Marcador no Google Maps com a localização provável - Justificativa textual (ex: "rio identificado como Liffey") Pra começar, é mais que suficiente. Acerto fica entre 60% e 80% em fotos com elementos identificáveis. Em foto de paisagem genérica (mato + céu), erra muito. Funciona em qualquer foto? Não — precisa de elementos arquitetônicos ou geográficos identificáveis. E GeoSpy admite isso na própria interface, mostrando score de confiança em cada predição. ### Como usar a API paga do GeoSpy (versão Dev) Eu comprei a versão Dev por aproximadamente US$ 60 por 1.000 imagens/mês porque preciso de automação em casos remunerados. Detalhe importante: a versão Dev não tem interface — é só API. Você manda imagem em base64 e recebe JSON com latitude, longitude e score. O fluxo é assim: 1. Pegue a imagem (JPEG, PNG, AVF — converta AVF antes) 2. Converta pra base64 usando ferramenta online ou comando local 3. Faça POST para o endpoint da API com header de autenticação 4. Receba latitude, longitude e score (0 a 1) 5. Trate o resultado no seu pipeline A vantagem real da API é que você roda em batch. Casos onde você tem 50 fotos de 4 fontes diferentes ficam viáveis. E quando você combina com Frame by Frame (extrai frames de vídeo) + GeoSpy API (geolocaliza cada frame), aparece padrão de movimento que análise manual não pegaria. ## OSINT OS Surveillance: a ferramenta sinistra que mapeia tudo de um endereço [OSINT OS Surveillance](https://osintos.com) é a ferramenta protótipo que mais me impressionou nos últimos meses. Você define um endereço e um raio, e ela faz scraping em mais de 20 fontes diferentes: redes sociais por geolocalização, apps de corrida e ciclismo, hospedagens, câmeras públicas, dispositivos IoT via Shodan, Bluetooth via Eagle, vulnerabilidades. Tudo em um único raio. Eu conheço o criador pessoalmente, troco ideia com ele direto. A ferramenta ainda é protótipo — trava o browser, exige refresh, às vezes não renderiza. Mas o que ela já entrega é absurdo. Demonstrei ao vivo em Av. Andrômeda 227 em São José dos Campos e depois em Av. Paulista (Bela Vista, São Paulo) pra mostrar a diferença de densidade de dados. ### O que a OSINT OS Surveillance encontra num endereço qualquer Categorias que ela varre quando você define raio + endereço: - **Redes sociais por geolocalização**: Instagram (posts e stories), Twitter, TikTok, Snapchat (24h), VK (rede russa), Weibo (rede chinesa) - **Atividade física**: Strava, Bike Map, AllTrails, Sport Tracker, We Clock — quem corre, anda de bicicleta, faz trilha - **Hospedagens**: Booking.com (hotéis cadastrados), Airbnb - **Compartilhamento de mídia**: Flickr (fotos públicas), Find Penguins, YouTube (vídeos com geotag) - **Câmeras públicas**: radares de velocidade, surveillance pública, projetos colaborativos de mapeamento - **Dispositivos via [Shodan](https://www.shodan.io)**: modems, RDP exposto, servidores, câmeras IP, IoT - **Wi-Fi e Bluetooth**: via [Eagle.so](https://eagle.so), mapeia rede física na vizinhança - **Vulnerabilidades**: BlueKeep (CVE-2019-0708), ProxyShell, RDP fraco Em Av. Andrômeda 227, encontrei pessoa correndo dia 18 de agosto via AllTrails (com rota completa), modems FlexNet e Gold Link expostos via Shodan, ISC Sensors de torre de telefonia, e — esse foi o achado — Windows XP rodando RDP exposto numa máquina dentro do raio. RDP do XP em produção. ### A falha de câmera governamental que reportei Em uma investigação anterior, usando metodologia parecida, eu encontrei câmera pública dentro de prédio governamental (secretaria) em São Paulo. A câmera ficava na parte de segurança, atrás da porta — dava pra ver claramente o pad onde os funcionários digitavam senha de acesso. Reportei via canal apropriado, a câmera foi fechada. Esse tipo de exposição existe muito mais do que você imagina. Câmera IP exposta na internet pública, modem com porta de admin aberta, RDP do Windows XP rodando no canto. Não é gente fazendo de propósito — é configuração padrão que ninguém revisou. E é exatamente isso que faz Shodan + OSINT OS Surveillance ser tão valioso pra investigação ofensiva e defensiva. ### O custo real da OSINT OS Surveillance A precificação do produto base é US$ 50/mês — parece barato. Mas é armadilha. A ferramenta não armazena dados próprios; ela só conecta APIs. Pra ter resultado real, você precisa pagar: - US$ 50/mês — plano da plataforma - US$ 50+/mês — Shodan API (mais alto se for membership ou API enterprise) - US$ 50+/mês — Eagle (Bluetooth/Wi-Fi) - Adicional por API de redes sociais conectadas - Adicional por scraping de Strava/Booking se sair do gratuito Você fecha em cerca de US$ 200 a US$ 400 mensais pra ter operação séria. Mas a alternativa é montar tudo manualmente, e aí você gasta dezenas de horas por investigação. Pra trabalho profissional remunerado, compensa. Pra hobby, não. ### Por que VK aparece no Brasil e o que isso significa Demonstrando ao vivo em São Paulo, apareceu volume estranho de uso do VK (rede social russa) na região. Não é normal. VK é dominante na Rússia e países da CEI, residual em outros lugares. Aparecer em volume em região central de SP é sinal de inteligência valioso — pode ser comunidade russa local, pode ser atividade coordenada, pode ser usuários brasileiros usando VK por motivo específico. Eu sigo investigando isso. Mas a lição vale: análise de uso de plataforma atípica em região é dado de inteligência. OSINT OS Surveillance expõe esse padrão sem você precisar perguntar. ## FaceCheck ID e PimEyes: reconhecimento facial em redes sociais e além [FaceCheck ID](https://facecheck.id) é o reconhecimento facial reverso gratuito que mais funciona pra rede social no Brasil. [PimEyes](https://pimeyes.com) é a opção premium que indexa fontes diferentes — sites, blogs, fóruns. Pra reconhecimento facial completo, eu uso os 2 em paralelo. A diferença entre os 2 é importante. FaceCheck mira em rede social: você sobe uma foto, ele varre Instagram, Facebook, LinkedIn, Twitter, TikTok, e devolve perfil identificado se houver match. Pra investigação social, é referência. PimEyes vai além: indexa websites genéricos, blogs pessoais, sites de eventos, perfis de imprensa, contextos onde foto da pessoa apareceu. Em casos onde a pessoa não é heavy user de rede social, PimEyes salva. E tem regra que eu sigo religiosamente: nunca subir foto minha com email principal em PimEyes. Sempre email descartável. Por quê? Porque a plataforma loga o upload, e em jurisdição com privacidade fraca isso pode virar dado disponível pra terceiros. Email descartável + VPN é o mínimo. ### Outras opções de reconhecimento facial que vale conhecer Além do duo principal, eu testo periodicamente: - [Search4Faces](https://search4faces.com) — plataforma russa que quebra limites GDPR. Resultado bom em fontes que FaceCheck e PimEyes não cobrem. Interface complicada. - [TinEye](https://tineye.com) — pioneira em busca reversa de imagem por hash. Não é reconhecimento facial estrito, mas pega a mesma foto reusada em outros lugares. Útil pra detectar perfil falso. - Yandex (motor de busca russo) — busca reversa de imagem do Yandex consistentemente acha mais que Google Images em fotos de pessoas. Underrated. - Bing Visual Search — surpreende em fotos de objetos e cenários. - Google Lens — bom pra produto e localização, fraco pra rosto. ### Como melhorar foto embaçada antes de fazer reconhecimento facial Foto baixa qualidade derruba acerto de reconhecimento facial. Solução: enhance com AI antes de subir. Eu uso 2 ferramentas pra isso. [Let's Enhance](https://letsenhance.io) tem 10 imagens grátis por mês — interface simples, sobe a foto, espera 30 segundos, baixa em 2x ou 4x. [GFPGAN no Hugging Face](https://huggingface.co/spaces/Xintao/GFPGAN) é open source, gratuito, focado especificamente em rostos. Eu mostrei ao vivo com foto do Marcelo (aluno no chat) — 2 passes de GFPGAN reconstruíram detalhes faciais que sumiram no blur original. E o pipeline completo fica assim: foto baixa qualidade → Let's Enhance ou GFPGAN (1 a 2 passes) → checagem visual de fidelidade → upload em PimEyes/FaceCheck. Em caso recente da empresa, esse pipeline transformou foto inutilizável em match positivo. ## A nova investigação digital: por que conectar APIs é o novo poder Investigação digital moderna depende mais de saber conectar APIs do que de programar avançado. Quem domina pegar dado de uma API e usar como entrada em outra investiga em horas o que antes levava semanas. A ferramenta única que faz tudo morreu. O conceito veio do [Maltego](https://www.maltego.com), foi consolidado pelo Bellingcat, e hoje é a realidade prática: você combina Frame by Frame + GeoSpy + OSINT OS Surveillance + PimEyes + busca reversa de username. Cada ferramenta cobre uma camada. Você é o orquestrador. E é por isso que eu vou lançar curso de Python pra investigação digital nos próximos meses — não pra você virar dev, mas pra você consumir API com confiança, fazer requisição, tratar JSON, automatizar pivotagem. Sem isso, você fica preso na interface gráfica de cada ferramenta, e a velocidade da investigação despenca. ### A pivotagem que demonstra o poder de conectar APIs Demonstrei ao vivo a seguinte cadeia, partindo de uma foto pública geolocalizada em São Paulo: 1. Foto no Instagram com geotag → username Instagram 2. Username Instagram → email Gmail (via vazamentos públicos cruzados ou ferramenta tipo Hunter) 3. Email Gmail → conta Canva (mesmo email) 4. Email Gmail → conta Medium, Pinterest, Duolingo, Domínio 5. Username alternativo encontrado em Duolingo → final de telefone exposto em outro vazamento 6. Conta Google → reviews Google daquela pessoa em restaurantes e estabelecimentos 7. Reviews → padrão de horário, localização, hábitos 8. Cruzamento → nome completo Isso saiu de uma foto. Em poucos minutos. Sem ferramenta paga obrigatória — só APIs e cruzamento. Esse é o padrão de investigação atual. E é exatamente o tipo de cadeia que [HI SPY](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) automatiza dentro de uma única interface. Mas saber fazer manualmente é o pré-requisito pra usar HI SPY com inteligência. ### Como começar a praticar conexão de APIs Pra quem está começando, ordem que eu recomendo: - Pegue uma API gratuita simples (Hunter, Have I Been Pwned, ipinfo) - Faça uma requisição manual via [curl](https://curl.se) ou Postman - Inspecione o JSON de retorno até entender o formato - Pegue um valor (ex: email) e use como entrada em outra API - Documente o pipeline em uma planilha ou ferramenta tipo Maltego - Quando estiver confortável com 5 a 6 APIs, escreva um script Python básico pra automatizar - Estenda gradualmente conforme novos casos exigem Não é programação avançada. É lógica de fluxo + paciência com formato de dados. E Python vira sua arma principal. ## Como se proteger de busca reversa de foto Pra se defender de reconhecimento facial reverso, existem 2 caminhos práticos: filtros adversariais ([Photoguard](https://gradientscience.org/photoguard/), Reifoto) e ajuste manual de elementos faciais. Os 2 funcionam, com limitações. Filtros adversariais adicionam ruído microscópico na imagem, invisível ao olho humano, que confunde modelo de AI. Você sobe a foto na ferramenta, ela aplica o filtro, e você posta a versão filtrada nas redes. Modelos atuais de PimEyes e FaceCheck têm dificuldade de fazer match na imagem filtrada. Mas modelos novos vão sendo treinados pra anular a defesa — é gato-e-rato perpétuo. Ajuste manual envolve intensificar nariz, baixar olhos, mudar mandíbula em pequena escala. Quebra padrão geométrico que AI usa pra fingerprint facial. Funciona melhor que filtro adversarial em casos específicos, mas tira composição estética da foto. Mas a defesa que importa de verdade: não publique foto que você não quer rastreada. Reconhecimento facial existe e vai melhorar. Quem se preserva é quem entendeu que cada upload é entrada permanente no índice global. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Frame by Frame | Passar quadro a quadro em vídeo do YouTube | [Chrome Web Store](https://chromewebstore.google.com/detail/frame-by-frame/eddfhonkfooeibibnpemddpkcjkgdjjk) | | GeoSpy | AI para geolocalização de fotos | [geospy.ai](https://geospy.ai) | | Image Location Search | Alternativa AI de geolocalização | [imagelocationsearch.com](https://imagelocationsearch.com) | | OSINT OS Surveillance | Mapeamento multi-API por endereço | [osintos.com](https://osintos.com) | | Shodan | Search engine para IoT e dispositivos | [shodan.io](https://www.shodan.io) | | Eagle.so | Mapeamento de Bluetooth e Wi-Fi | [eagle.so](https://eagle.so) | | FaceCheck ID | Reconhecimento facial reverso gratuito | [facecheck.id](https://facecheck.id) | | PimEyes | Reconhecimento facial premium | [pimeyes.com](https://pimeyes.com) | | Search4Faces | Busca facial reversa russa | [search4faces.com](https://search4faces.com) | | TinEye | Busca reversa de imagem | [tineye.com](https://tineye.com) | | Let's Enhance | Super-resolução de imagem | [letsenhance.io](https://letsenhance.io) | | GFPGAN (Hugging Face) | Restauração open source de rostos | [huggingface.co/spaces/Xintao/GFPGAN](https://huggingface.co/spaces/Xintao/GFPGAN) | | Maps.video | Geolocalização de vídeos do YouTube | [maps.video](https://maps.video) | ## Perguntas Frequentes ### O que é GeoSpy e como funciona? GeoSpy é uma plataforma de inteligência artificial que recebe uma imagem e devolve a localização provável onde foi tirada, sem usar metadados. O modelo analisa elementos visuais (arquitetura, vegetação, postes, atmosfera) e cruza com base treinada em vídeos do YouTube e Twitter. Versão gratuita web, versão Dev paga via API a partir de US$ 60/mês. ### Como descobrir onde uma foto foi tirada? Use [GeoSpy](https://geospy.ai) ou Image Location Search pra análise por AI. Em paralelo, faça busca reversa de imagem com TinEye, Yandex e Bing Visual Search pra encontrar a mesma foto em outros lugares com legenda. Combinar AI + busca reversa cobre 80% dos casos. ### Qual a melhor ferramenta de reconhecimento facial reverso? PimEyes pra cobertura ampla (sites, blogs, eventos), FaceCheck ID pra rede social. Use os 2 em paralelo. Search4Faces como complemento pra fontes que escapam dos 2 principais. Pra foto baixa qualidade, faça enhance com Let's Enhance ou GFPGAN antes do upload. ### Como mapear tudo que existe num endereço (pessoas, dispositivos, câmeras)? OSINT OS Surveillance faz isso integrando mais de 20 APIs (Shodan, Eagle, Strava, Bike Map, redes sociais por geolocalização, Booking, Flickr, YouTube). Custo real fica entre US$ 200 e US$ 400/mês considerando todas as APIs conectadas. Alternativa manual: use cada API separadamente. ### O Frame by Frame é gratuito? Sim. Frame by Frame é uma extensão gratuita open source da Chrome Web Store. Funciona em Google Chrome e browsers baseados em Chromium (Edge, Brave, Opera). Não tem versão paga, não exibe anúncio, não pede login. ### Como melhorar qualidade de foto antes de busca reversa? Use Let's Enhance (10 imagens grátis por mês) ou GFPGAN no Hugging Face (gratuito, focado em rostos). Pipeline: foto borrada → 1 ou 2 passes de enhance → checagem visual → upload em PimEyes ou FaceCheck. Em caso recente, esse pipeline transformou foto inutilizável em identificação positiva. ### Como se proteger de reconhecimento facial reverso? Aplique filtro adversarial (Photoguard, Reifoto) que adiciona ruído invisível ao olho humano mas confunde AI. Alternativa: ajuste manual de elementos faciais (intensificar nariz, baixar olhos). Defesa real: não publique foto que você não quer rastreada permanentemente. ### Por que Reino Unido é referência em ferramentas OSINT? Após o Brexit, GDPR não se aplica integralmente no Reino Unido. Empresas britânicas montam estrutura jurídica que processa apenas dados não britânicos, e vendem livremente pro mercado externo. Mesma lógica que sustentou empresas de spyware na Grécia anos atrás. > **Veja também:** [Google PSE: Como Criar Seu Próprio Google para OSINT — Aulão #055](/aulao-semanal/google-programmable-search-engine-pse-osint-investigacao) ## Referências e Recursos - [Frame by Frame — Chrome Web Store](https://chromewebstore.google.com/detail/frame-by-frame/eddfhonkfooeibibnpemddpkcjkgdjjk) - [GeoSpy — AI for image geolocation](https://geospy.ai) - [Image Location Search](https://imagelocationsearch.com) - [OSINT OS Surveillance](https://osintos.com) - [Shodan — Search Engine for IoT](https://www.shodan.io) - [Eagle.so — Bluetooth/Wi-Fi mapping](https://eagle.so) - [FaceCheck ID — Reverse face search](https://facecheck.id) - [PimEyes — Face Search Engine](https://pimeyes.com) - [Search4Faces — Russian face search](https://search4faces.com) - [TinEye — Reverse Image Search](https://tineye.com) - [Let's Enhance — AI image upscale](https://letsenhance.io) - [GFPGAN no Hugging Face](https://huggingface.co/spaces/Xintao/GFPGAN) - [Maps.video — YouTube geolocation](https://maps.video) --- ### Aulão #053 — Bitcoin como Proteção Patrimonial: Cold Wallet, Autocustódia e Estratégia Offshore URL: https://brunofraga.com/aulao-semanal/bitcoin-protecao-patrimonial-cold-wallet-autocustodia Publicado: 2024-10-11 Tags: privacidade, ciberseguranca, investigacao-digital YouTube: https://www.youtube.com/watch?v=_Q5c62THdJM Aulão ao vivo com Matt da Tellicojus sobre Bitcoin como blindagem patrimonial: cold wallet, seed phrase em metal, P2P sem KYC, CoinJoin via Wasabi e estrutura offshore. Demonstrei a ColdCard MK3 e expliquei como o governo descobre seu Bitcoin via IN-1888 e Chainalysis. ## O que você vai aprender neste aulão Bitcoin proteção patrimonial é o tema desse aulão ao vivo, e eu trouxe o Matt da Tellicojus para destrinchar de verdade como blindar patrimônio com cripto sem cair em armadilha do governo, da corretora ou do próprio descuido. Em pouco mais de uma hora a gente passou pela filosofia do Bitcoin (por que ele protege e Solana não), pelos mecanismos que a Receita Federal já usa pra saber que você tem cripto, pelo confisco que pode acontecer em corretora e pela operação real de cold wallet, seed phrase em metal e CoinJoin via Wasabi. Eu mostrei a ColdCard MK3 ao vivo, expliquei como o backup em alumínio resolve o problema de papel queimado e tirei dúvida sobre Lightning Network, Monero e estrutura offshore. Quem assistiu saiu com um plano de ação claro: comprar Bitcoin via P2P sem KYC, transferir para cold wallet em autocustódia, distribuir a seed phrase em locais físicos protegidos e, se fizer sentido para o seu volume, montar a estrutura fiscal lá fora. Esse aulão complementa muito do que já cobrimos antes em [Aulão #013 — Sua Própria VPN do Zero](/aulao-semanal/como-criar-sua-propria-vpn-passo-a-passo) e em [Aulão #014 — O que seu provedor de internet esconde](/aulao-semanal/como-funciona-provedor-de-internet-segredos-e-dicas), porque proteção patrimonial e privacidade digital andam juntas. Se você está aqui pensando em segurança financeira, vai sair com a parte técnica resolvida. ## Por que Bitcoin protege patrimônio melhor que outras criptomoedas Bitcoin é a única cripto que serve como reserva de valor de longo prazo. As outras (Ethereum, Solana, redes que prometem escalabilidade) têm 70 a 80% do volume comprometido com shitcoin, scam e rug pull, segundo o Matt explicou no aulão. Bitcoin opera com Proof of Work consolidado, emissão limitada em 21 milhões e halving programado a cada 4 anos. Isso é o que importa. O Matt trouxe uma definição que ficou na minha cabeça: o Bitcoin é a última tentativa da humanidade de lutar contra a entropia. Entropia aqui é a perda natural de valor que toda moeda fiduciária sofre. Se você tem peso mexicano, dólar zimbabuano ou bolívar venezuelano, seu poder de compra desaparece sozinho. E mesmo o dólar americano, com inflação oficial de 2% ao ano, consome metade do seu patrimônio em 50 anos. A 20% ao ano (cenário argentino), em 5 anos você não tem nada. Bitcoin não tem substituto. Como o Michael Saylor define, é uma forma de armazenar energia financeira. Toda inovação que surge em outras redes (Lightning, contratos, privacidade) que prova ser útil acaba virando proposta no Bitcoin via BIP — Bitcoin Improvement Proposal. As altcoins funcionam como sandbox de testes pra rede principal. É essa a posição que eu defendo. ### A regra "moeda boa tira moeda ruim" Em sistema livre de competição monetária, a moeda boa expulsa a ruim. Por quê? Porque ninguém quer guardar moeda que perde valor. Você gasta peso argentino na hora, mas guarda dólar. E se aparece dólar e Bitcoin, com Bitcoin tendo emissão limitada e dólar sendo impresso sem teto, você guarda Bitcoin. É deflação programada contra inflação política. Holders de Bitcoin entendem isso e não vendem nem com explosão de valor. Eu conheço gente que entrou em 2017, viu o preço cair 80% no ano seguinte, e segurou. Hoje multiplicou 8 vezes. Não é magia — é entender que o ativo é desenhado pra apreciar contra moeda fiduciária no longo prazo. ### Etapas de educação financeira que levam ao Bitcoin A maioria começa em ações nacionais e dividendos. Depois descobre que carteira em dólar e ouro protege contra inflação local. E aí, num terceiro estágio, encontra classes de ativo que escapam de tributação tradicional via elisão fiscal. Bitcoin entra nessa última camada. Em Portugal, por exemplo, a faixa de isenção pra Bitcoin é altíssima e quem mora lá há mais de 365 dias paga zero sobre ganho de capital cripto. No Brasil é diferente: até R$ 35 mil por mês de venda de cripto é isento, mas acima disso entra a tabela progressiva de ganho de capital (15% a 22,5%). A graça do Bitcoin não é evasão fiscal (que é crime), é elisão fiscal (que é planejamento legítimo). Você reorganiza onde seu patrimônio mora pra pagar o que o sistema realmente cobra, nem mais. ## Como o governo descobre que você tem Bitcoin O governo brasileiro descobre seu Bitcoin de duas formas principais: corretora reportando você à Receita Federal e análise blockchain via empresas como Chainalysis. Bitcoin é semi-anônimo, não é totalmente privado. A IN 1888/2019 da [Receita Federal](https://www.gov.br/receitafederal/pt-br/assuntos/orientacao-tributaria/criptoativos) obriga corretoras brasileiras (Mercado Bitcoin, Bipa, NovaDAX) e usuários com mais de R$ 30 mil em cripto a reportarem mensalmente toda movimentação. Comprou Bitcoin na [Binance](https://www.binance.com)? Reportado. Vendeu USDT na Coinbase? Reportado. A partir do momento que sua chave PIX ou conta bancária aparece numa transação cripto declarada à Receita, o link já está feito. Nos EUA é ainda mais agressivo. O IRS tem contrato direto com a [Chainalysis](https://www.chainalysis.com), que analisa a blockchain inteira e cruza endereços com identidades a partir de KYC obtido em corretoras americanas. A própria declaração de imposto americana tem campo perguntando se você possui criptomoeda. Mentir lá é crime federal. E aqui no Brasil, antes de a IN-1888 entrar em vigor, era basicamente terra de ninguém. Hoje não é mais. Toda corretora que opera no país tem dever legal de informar a Receita. ### O que a Chainalysis consegue fazer A Chainalysis liga endereço Bitcoin a entidades reais. Eles têm base de dados massiva com endereços de exchanges, mineradoras, mixers, darkmarkets, ransomware, golpes. Quando o seu Bitcoin sai de uma corretora KYC e vai pra cold wallet, o endereço de destino fica taggeado como "wallet de João Silva". Se aquele Bitcoin depois vai pra outro lugar, a Chainalysis segue o rastro. É exatamente o tipo de trabalho que o pessoal da [HI SPY](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) e do [Protocolo Sherlock](/aulao-semanal/protocolo-sherlock-metodologia-investigacao-digital) faz no contexto de investigação digital, só que aplicado ao mundo blockchain pelo lado do governo. E o estado americano tem orçamento e ferramentas pra fazer isso bem. ### Casos onde o governo já agiu Quatro situações reais que o Matt e eu citamos pra ilustrar: - **Bolívia** ilegalizou Bitcoin completamente. Quem tem cripto lá compra fora do país, faz evasão fiscal direta no exterior — não tem opção legal interna. - **Dubai** proibiu Monero. Corretoras locais não listam mais a moeda. Reflete o que regulação anti-privacidade vai fazer no resto do mundo. - **Paraguai** não tem regulação real de Bitcoin além de compra e venda de energia pra mineração. É um dos poucos lugares ainda livres. - **Caso Plano Real 2.0**: cenário hipotético, mas plausível, onde governo bloqueia conta bancária e congela ativos em corretora. Cold wallet (em autocustódia) é a defesa. ## Como comprar Bitcoin sem KYC e proteger sua identidade Pra comprar Bitcoin sem deixar rastro pra Receita, existem três caminhos práticos: P2P, recebimento por trabalho e estrutura offshore. Cada um tem regra própria. **P2P (peer-to-peer)** é o método clássico. Você encontra alguém que vende Bitcoin (em fóruns, Telegram, plataformas tipo HodlHodl, Bisq) e fecha negócio direto. Paga via PIX, TED ou dinheiro físico, e recebe Bitcoin direto na sua wallet. Sem KYC, sem corretora, sem report. Risco: você precisa confiar na contraparte ou usar escrow. Eu recomendo plataformas com escrow nativo pra evitar calote. **Recebimento por trabalho** é o caminho mais limpo. Você presta serviço (programação, design, consultoria, tradução) pra empresa estrangeira e recebe Bitcoin como pagamento. Plataformas como Bitwage permitem que freelancer americano receba salário convertido em Bitcoin. Não passa por corretora brasileira, então não entra na IN-1888. **Estrutura offshore** é o caminho do Matt. Empresa em Emirados Árabes, Panamá, Singapura ou Hong Kong recebe receita em moeda forte (dólar, euro), converte parte em Bitcoin, mantém em cold wallet. A residência fiscal da operação é fora do Brasil. Aí você só declara o que repatriar, e isso entra na regra de pessoa física padrão. E o Brasil ainda não acordou totalmente pra esse jogo. Mas quando acordar, vai ser tarde — quem já tem estrutura montada está protegido. ### Por que P2P é a porta de entrada que eu recomendo P2P resolve o problema do volume médio. Se você tem R$ 5 mil pra entrar em Bitcoin, montar offshore não compensa. Se você tem R$ 500 mil, é discussão diferente. Comprou via P2P? O Bitcoin já chega na sua wallet sem passar por exchange. Não tem report. Você tem responsabilidade tributária se for vender (acima de R$ 35 mil/mês), mas o estado não sabe que você comprou. É a primeira camada de privacidade. E mesmo dentro de P2P, dá pra usar Lightning Network pra fragmentar a compra em múltiplas transações pequenas, dificultando análise on-chain. ## Cold wallet vs corretora — o que muda no confisco Cold wallet (autocustódia) é praticamente impossível de confiscar sem mandado judicial e acesso à seed phrase. Corretora pode bloquear seu Bitcoin em segundos via determinação administrativa. Essa é a diferença que importa. Quando seu Bitcoin está numa corretora, ele tecnicamente não é seu — é da corretora, e a corretora tem registro contábil dizendo que você tem direito sobre aquele saldo. Igual conta bancária. Se a Receita determinar bloqueio, ou se a corretora quebrar (FTX, anyone?), seu saldo vai junto. Quando você está em cold wallet, o Bitcoin está na blockchain, e a única coisa que prova que ele é seu é a seed phrase. Sem seed phrase, ninguém move o Bitcoin. Nem o governo, nem hacker — nem mesmo você, caso a perca. ### Como funciona o confisco real Pra confiscar seu Bitcoin em cold wallet, o governo precisa de três coisas: 1. Saber que você tem Bitcoin (via report da corretora, declaração de IR, denúncia) 2. Saber onde está armazenado (cold wallet específica, hardware wallet, seed em local físico) 3. Ter sua seed phrase ou as palavras de recuperação Se faltar qualquer uma das três, não tem confisco. Mandado judicial força você a entregar a seed, mas não materializa Bitcoin do nada. E se você esqueceu a seed (ou nunca anotou onde guardou), boa sorte pro perito federal. Tem caso famoso de holder americano que se recusou a entregar seed phrase e foi preso por desacato. Isso é real. A defesa em jurisdições mais liberais (Suíça, Singapura) é mais fácil de sustentar. ### Você vira seu próprio banco Essa é a frase que define cold wallet. Você é o custódio. Você é responsável pelo backup. Você é responsável pela segurança física da seed phrase. Não tem 0800 pra ligar se perder. Não tem chargeback. Não tem reset de senha. Mas em troca: ninguém pode bloquear, ninguém pode congelar, ninguém pode confiscar sem te pegar primeiro. É liberdade financeira no sentido mais literal. ## Como guardar a seed phrase com segurança real Seed phrase NÃO pode estar em papel comum, no bloco de notas, no HD, no pen drive ou na galeria do celular. Esses são os erros que destroem patrimônio. Use metal (alumínio, aço inox, titânio), faça redundância em múltiplos locais e aplique cifra própria sempre que possível. A seed phrase são 12 ou 24 palavras geradas pela hardware wallet quando você inicializa. Essas palavras são a chave matemática que controla seus Bitcoins. Se alguém tem a seed, tem o Bitcoin. Se você perde a seed, perdeu o Bitcoin. Errar uma letra inverte tudo. Eu mostrei no aulão a placa de alumínio com letras encaixáveis — você grava a palavra ali e não tem como perder. Aguenta fogo, aguenta água, aguenta cachorro mordendo. Alumínio derrete a 660°C, mas pra patrimônio importante existem versões em titânio que aguentam até 1.668°C. É o que eu recomendo pra quem tem volume significativo. ### Riscos reais que destruíram patrimônio Cinco casos que o Matt e eu citamos: - **Britânico jogou HD com chaves de Bitcoin no lixo** — eram milhões de libras em Bitcoin. Até hoje ele tenta autorização da prefeitura pra escavar o aterro sanitário. Não conseguiu. - **Vazamento da Ledger** — base de clientes vazou com endereço residencial, criando lista pública de holders. Famílias ameaçadas, sequestros tentados, extorsão por correio. Processo coletivo na justiça europeia anos depois — não deu em nada. - **Enchente do Rio Grande do Sul** — gente que guardava seed phrase em papel viu o documento se desfazer com a água da enchente. Bitcoin perdido pra sempre. - **Caso Coreia (mineradora ao lado do meu prédio)** — virou farm de GPUs durante a pandemia. Quando Ethereum migrou pra Proof of Stake, GPUs foram vendidas pra empresas de IA. NVIDIA explodiu na sequência. Mercado cripto adapta rápido. - **Sequestrados por extorsão** — holders identificados via vazamento sofreram tentativa de sequestro físico ou ameaça pra entregar a seed phrase. Caso real reportado em mais de 12 países nos últimos anos. ### Estratégias de backup que funcionam Eu uso múltiplas camadas. Você deveria também: - **Metal em múltiplos locais físicos** — uma chapa em casa, uma com familiar de confiança, uma em caixa postal alugada em outra cidade ou país. Se um local pega fogo, os outros sobrevivem. - **Shamir Secret Sharing** — divide a seed em N partes onde só K partes recuperam (ex: 3-de-5). Cada parte sozinha não vale nada. Use software como Shamir39. - **Cifra própria sobre as palavras** — você combina a seed com chave mental que só você sabe. Mesmo que alguém ache a placa, sem a chave mental as palavras estão embaralhadas. - **Esteganografia** — esconder a seed em imagem ou desenho. Avançado, mas funciona pra paranoia profunda. - **Caixa antifogo + redundância em alumínio** — combinação de cofre com material resistente. Aguenta incêndio doméstico padrão. E nunca, em hipótese nenhuma, fotografe a placa com a seed. A foto vai pra nuvem do seu celular, e a partir daí já era. Só caneta e olho humano. ## CoinJoin, Wasabi e como aumentar o anonimato do Bitcoin CoinJoin é técnica que mistura Bitcoin de dezenas de usuários numa transação só, quebrando o link entre origem e destino. A [Wasabi Wallet](https://wasabiwallet.io) implementa CoinJoin nativo via protocolo WabiSabi, e é a recomendação principal pra quem quer privacidade extra no Bitcoin. Como funciona: você manda 0,1 BTC pra pool junto com outros 50 usuários que mandaram 0,1 BTC cada. A Wasabi mistura tudo numa transação coletiva, e quando sai do outro lado, ninguém consegue mais dizer qual Bitcoin pertence a quem. Análise blockchain falha porque não tem mais ligação 1-pra-1. Mas tem ressalva séria. Se você receber Bitcoin "tainted" (vinculado a crime conhecido), corretora pode bloquear esse Bitcoin quando você tentar vender depois. CoinJoin embaralha tudo, então existe risco real de você sair do mix com fração de Bitcoin marcado. É um trade-off entre privacidade e liquidez futura. ### Lightning Network pra transações privadas A [Lightning Network](https://lightning.network) é segunda camada do Bitcoin que permite transações instantâneas e baratas via canais de pagamento. Privacidade é melhor que on-chain padrão porque transações Lightning não vão pra blockchain pública — só o abrir e fechar do canal vão. Limite por canal hoje é cerca de 0,1675 BTC. Pra grandes patrimônios, Lightning não serve. Pra movimentação cotidiana, é excelente: paga café com Bitcoin, manda mesada pro filho, divide conta no restaurante, sem deixar rastro on-chain. E Lightning está crescendo no Brasil — Mercado Bitcoin, Bipa e mais 4 corretoras já integraram suporte. Mas a curva de aprendizado ainda é alta pra usuário comum. ### Bitcoin é mais privado que Monero? Não. Monero é mais privado que Bitcoin por design. Cada transação Monero é confidencial por padrão (RingCT, stealth addresses, ring signatures). Bitcoin é semi-anônimo: pseudônimo via endereço, mas blockchain pública. A escolha depende do que você quer. Se quer reserva de valor de longo prazo com liquidez global, Bitcoin. Se quer transação privada de hoje, Monero. Cake Wallet e [Feather Wallet](https://featherwallet.org) (Monero com integração Tor) são as opções principais. Bitwage permite receber salário em Monero também. Mas Monero tem limitação: liquidez muito menor que Bitcoin, e 5 ou mais jurisdições já estão pressionando corretoras a deslistar (Dubai foi a primeira, outras virão). Pra patrimônio significativo, Bitcoin ainda é o ativo principal. ## Carteiras Bitcoin recomendadas (hardware e software) Pra cold wallet, eu recomendo [ColdCard MK3](https://coldcard.com) (só Bitcoin, foco máximo em segurança), [Ledger Nano](https://www.ledger.com) (multi-cripto, popular), e [Trezor](https://trezor.io) (multi-cripto, open source). Pra software wallet em PC, [Electrum](https://electrum.org) e Wasabi. Pra mobile, [Cake Wallet](https://cakewallet.com). ### Hardware wallets — o que muda entre as três principais A ColdCard MK3 é o que eu mostrei ao vivo. É feita pela Coinkite, focada exclusivamente em Bitcoin (não suporta Ethereum nem Solana — proposital). Open source, com tela monocromática, slot pra microSD pra backup. Mais cara que Ledger, mas é a recomendação pra quem está sério. A Ledger Nano X é a mais popular. Suporta dezenas de criptomoedas, integra com Ledger Live (app que mostra portfolio). Mas teve aquele vazamento famoso de dados de cliente, e o firmware é parcialmente fechado. Eu recomendo, mas com ressalva: compre via caixa postal em outro país, nunca no seu endereço residencial. E Ledger ainda é, na prática, a porta de entrada da maioria dos brasileiros. O Trezor é o original. Open source de verdade (firmware e hardware), suporta multi-cripto. Modelo Trezor Safe 5 tem secure element, que era a queixa antiga contra Trezor. E sempre, em qualquer hardware wallet: compre direto do fabricante, nunca de Mercado Livre, Amazon ou revendedor. Tem caso documentado de hardware adulterada que veio com seed pré-gerada — comprador transferiu Bitcoin e foi roubado direto. ### Software wallets — quando usar e quando não usar Software wallet (Electrum, Wasabi, Cake, Exodus) é mais conveniente, mas menos segura. Você não deveria guardar grandes valores em software wallet. Pra movimentação do dia, ok. Pra reserva, cold wallet sempre. Electrum é cliente desktop puro, open source, leve, suporta hardware wallet integrada. [Tails OS](https://tails.net) já vem com Electrum integrado — você roda o sistema operacional de pen drive, gera a seed offline, anota no metal, e desliga sem deixar rastro no computador. É o método mais paranoico que existe e ainda é prático. Cake Wallet é mobile, suporta Bitcoin, Monero, Ethereum, Litecoin. Boa pra quem precisa de app no celular pra movimentação cotidiana. Mas, repetindo: não guarde fortuna em mobile wallet. Exodus tem interface bonitinha pra iniciante, mas é closed source. Eu não recomendo pra quem leva segurança a sério. ### Tabela de comparação rápida | Wallet | Tipo | Foco | Open Source | |---|---|---|---| | ColdCard MK3 | Hardware | Bitcoin only, máxima segurança | Sim | | Ledger Nano X | Hardware | Multi-cripto popular | Parcial | | Trezor Safe 5 | Hardware | Multi-cripto, OSS de verdade | Sim | | Electrum | Software (desktop) | Bitcoin, integra hardware | Sim | | Wasabi | Software (desktop) | CoinJoin nativo, privacidade | Sim | | Cake Wallet | Software (mobile) | Multi-cripto, foco Monero | Sim | | Tails + Electrum | Live OS | Geração offline, sem rastro | Sim | ## Estrutura offshore + Bitcoin para proteção patrimonial completa Pra quem tem volume relevante, combinar offshore com Bitcoin multiplica a proteção. A Tellicojus (empresa do Matt) opera nessa frente: estruturação tributária com residência fiscal em Emirados Árabes, Panamá, Singapura ou Hong Kong, integração bancária internacional, conta corporativa que aceita receita em dólar e converte parte em Bitcoin armazenada offshore. A lógica é simples: o Brasil é, como o Renatão Amorim chama, um inferno tributário. Empresário paga 33% (Lucro Real) sobre lucro, mais ICMS, mais ISS, mais contribuições. Em estrutura offshore bem montada, a alíquota efetiva pode cair pra 5 a 10%, dependendo da jurisdição e do tipo de operação. É elisão fiscal — usar a lei a seu favor. E a UE tem processo aberto contra Apple, Microsoft e Meta por usar Irlanda com 1% de imposto. Quer dizer que é estrutura agressiva, mas é estrutura legal. Empresário pequeno e médio replica a mesma lógica em escala adequada. ### Quando offshore faz sentido Não é pra todo mundo. Custos de manutenção (contabilidade, governança, compliance) variam de US$ 5 mil a US$ 30 mil por ano dependendo da jurisdição. Se você fatura R$ 200 mil/ano, não vale. Se você fatura R$ 2 milhões/ano com margem alta, começa a fazer sentido. E offshore não é blindagem mágica contra fisco. Se você é residente fiscal do Brasil, tem obrigação de declarar bens no exterior via CBE (Capital Brasileiro no Exterior) acima de US$ 1 milhão, e a Receita troca informação automaticamente com mais de 100 países via CRS (Common Reporting Standard). Estrutura mal montada vira problema sério. A graça de juntar offshore + Bitcoin é que o Bitcoin é portável globalmente sem dependência bancária. Sua estrutura offshore acumula receita em moeda forte, parte vira Bitcoin, e o Bitcoin fica em cold wallet sob seu controle. Se a estrutura precisar mudar de país por mudança regulatória, o Bitcoin atravessa fronteira numa frase de 24 palavras na sua cabeça. ### O que o Brasil tem feito pra fechar o cerco A IN-1888 foi o primeiro passo. Reportagem mensal de exchange é só o começo. Banco Central já tem sandbox de Real Digital (CBDC) que vai dar visão total das transações. E DREX, quando entrar de vez, vai permitir bloqueio programático de saldo via smart contract. Por isso eu falo: a janela pra montar estrutura legítima e proteger patrimônio é agora. Quem esperar 5 anos vai ter que jogar contra estado já preparado, com ferramenta de análise e regulação madura. E é por isso que o trabalho do pessoal da Tellicojus faz sentido pra muita gente. O Matt me convenceu, no aulão, que dá pra fazer essa proteção dentro da lei, com segurança jurídica e sem cair na linha do fisco brasileiro. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | ColdCard MK3 | Cold wallet hardware focada em Bitcoin, máxima segurança | [coldcard.com](https://coldcard.com) | | Ledger Nano | Hardware wallet multi-cripto popular | [ledger.com](https://www.ledger.com) | | Trezor | Hardware wallet open source multi-cripto | [trezor.io](https://trezor.io) | | Electrum | Software wallet Bitcoin desktop | [electrum.org](https://electrum.org) | | Wasabi Wallet | Software wallet Bitcoin com CoinJoin nativo | [wasabiwallet.io](https://wasabiwallet.io) | | Tails OS | Live OS pra geração offline de seed phrase | [tails.net](https://tails.net) | | Cake Wallet | Wallet mobile multi-cripto (foco Monero/Bitcoin) | [cakewallet.com](https://cakewallet.com) | | Feather Wallet | Wallet desktop Monero com integração Tor | [featherwallet.org](https://featherwallet.org) | | Lightning Network | Segunda camada Bitcoin pra transações rápidas | [lightning.network](https://lightning.network) | | Chainalysis | Análise blockchain governamental (rastreamento) | [chainalysis.com](https://www.chainalysis.com) | | Receita Federal — Cripto | IN-1888 e regras de declaração | [gov.br/receitafederal](https://www.gov.br/receitafederal/pt-br/assuntos/orientacao-tributaria/criptoativos) | ## Perguntas Frequentes ### O que é cold wallet de Bitcoin? Cold wallet é dispositivo físico (geralmente hardware wallet tipo ColdCard, Ledger ou Trezor) que armazena offline a seed phrase que controla seus Bitcoins. Os Bitcoins ficam na blockchain — a cold wallet só guarda a chave privada que prova que você é o dono. Sem acesso a essa chave, ninguém move seus Bitcoins. ### Como o governo brasileiro descobre que tenho Bitcoin? Via dois mecanismos principais: corretora reportando suas operações à Receita Federal por força da IN 1888/2019, e análise blockchain via empresas como Chainalysis. Se você comprou Bitcoin numa corretora brasileira ou estrangeira que faz KYC, a Receita já sabe. Se você comprou via P2P sem KYC, o caminho fica muito mais difícil de rastrear. ### Bitcoin pode ser confiscado? Em corretora, sim — ordem judicial ou administrativa bloqueia em segundos. Em cold wallet (autocustódia), praticamente impossível sem mandado judicial e acesso à sua seed phrase. A diferença é fundamental: corretora você delega custódia, cold wallet você é o custodiante. ### Como guardar a seed phrase com segurança? Use placa de metal (alumínio, aço inox ou titânio) e nunca papel. Faça redundância em múltiplos locais físicos (casa, familiar de confiança, caixa postal em outra cidade). Considere usar Shamir Secret Sharing pra dividir em partes onde só K-de-N recuperam. E nunca, em nenhuma hipótese, fotografe a seed phrase ou guarde em arquivo digital. ### Qual a melhor cold wallet para Bitcoin? Pra quem quer foco máximo em Bitcoin, ColdCard MK3 da Coinkite. Pra multi-cripto popular, Ledger Nano X (com ressalva sobre o vazamento de dados — compre via caixa postal). Pra open source verificável, Trezor. Eu uso ColdCard pessoalmente. ### O que é CoinJoin e quando usar? CoinJoin é técnica que mistura Bitcoin de múltiplos usuários numa transação coletiva, quebrando rastreabilidade. A Wasabi Wallet implementa CoinJoin nativo via WabiSabi. Use quando privacidade for prioridade, mas saiba que existe risco de receber Bitcoin "tainted" (vinculado a crime) que pode ser bloqueado por corretora depois. ### Bitcoin é mais privado que Monero? Não. Monero é mais privado por design (RingCT, stealth addresses). Bitcoin é semi-anônimo. Pra reserva de valor de longo prazo com liquidez global, Bitcoin é melhor. Pra transação privada hoje, Monero. Combinar os dois faz sentido pra quem leva privacidade financeira a sério. ### Como comprar Bitcoin de forma anônima? Três caminhos: P2P (peer-to-peer) via plataformas com escrow tipo HodlHodl ou Bisq; receber pagamento em Bitcoin por trabalho remoto via Bitwage ou similar; e estrutura offshore que recebe receita em moeda forte e converte parte em Bitcoin. P2P é o mais acessível pra quem está começando. ## Referências e Recursos - [ColdCard — Bitcoin only hardware wallet](https://coldcard.com) - [Ledger — Hardware wallet for crypto](https://www.ledger.com) - [Trezor — Open source hardware wallet](https://trezor.io) - [Electrum Bitcoin wallet](https://electrum.org) - [Wasabi Wallet — privacy-focused Bitcoin](https://wasabiwallet.io) - [Tails OS — Amnesic Incognito Live System](https://tails.net) - [Cake Wallet — Monero and Bitcoin](https://cakewallet.com) - [Feather Wallet — Monero with Tor](https://featherwallet.org) - [Lightning Network](https://lightning.network) - [Chainalysis — Blockchain Data Platform](https://www.chainalysis.com) - [Receita Federal — Criptoativos (IN 1888)](https://www.gov.br/receitafederal/pt-br/assuntos/orientacao-tributaria/criptoativos) --- ### Aulão #052 — Os Bastidores do Protocolo Sherlock: Como Construí Minha Metodologia de Investigação Digital URL: https://brunofraga.com/aulao-semanal/protocolo-sherlock-metodologia-investigacao-digital Publicado: 2024-10-10 Tags: investigacao-digital, osint, ciberseguranca, tecnicas-de-invasao, tutoriais YouTube: https://www.youtube.com/watch?v=IXHasavN0mg Aulão em vídeo onde abro os bastidores do Protocolo Sherlock — minha metodologia de investigação digital em 8 módulos. Conto como vim do hacking puro para resolver casos com advogados e polícia, qual o caso do Bellingcat e do FBI que mudou meu pensamento sobre OSINT, e demonstro Hunter ao vivo expandindo identificadores em segundos. ## O que você vai aprender neste aulão sobre o Protocolo Sherlock Você vai entender o que é o **Protocolo Sherlock** — minha metodologia de investigação digital construída ao longo de 2 anos resolvendo casos complexos com advogados, policiais, jornalistas e empresários. São 8 módulos que cobrem do fundamento do OSINT à captura de evidências com validade jurídica, passando pelos identificadores e pivotagem que ninguém ensina no Brasil. No Aulão Semanal #052, eu abro os bastidores: como eu, vindo do hacking puro, aprendi a investigar; como o Bellingcat me deu o soco no estômago educadamente que mostrou que OSINT resolve caso de guerra de verdade; como o caso clássico do FBI (fugitivo localizado por folha de bananeira, bandeira da Turquia ao fundo, modelo de cadeira do hotel) mudou meu pensamento; e como construí o Hunter, o HI SPY e o Capture para preencher buracos do mercado brasileiro de investigação. Mostro também as 4 categorias de aluno que valida o Protocolo: advogada que usa para devedores de alimento, jornalista que ajuda polícia a chegar em suspeito de Pix, engenheiro de software que protege sistemas com mentalidade ofensiva, analista de sistemas que descobriu por conta própria os golpistas que aplicaram nele. Se você quer entender o que é uma metodologia de investigação digital construída na prática, este artigo é o material de partida. ## O que é o Protocolo Sherlock e os 8 módulos O Protocolo Sherlock é a metodologia de investigação digital que eu compilei a partir de 2 anos resolvendo casos complexos. Diferente de cursos genéricos, ele é estruturado em 8 módulos práticos que cobrem desde o ambiente de investigação até espionagem digital offline. Os 8 módulos: 1. **Ambiente de investigação digital** — como montar workstation segura para investigar 2. **Metodologia de investigação** — triagem, hipótese, plano, execução, relatório 3. **Captura e registro de conteúdo** — print, gravação, validade jurídica 4. **Investigando identificadores** — bits e bytes em vez de nome/CPF 5. **Fontes de dados** — como mapear plataforma nova em horas 6. **Pivotagem e enriquecimento** — Hunter, cadeia de verificações 7. **Fantoches de infiltração em engenharia social** — perfis legítimos para captura 8. **Espionagem digital offline** — gadgets e técnicas físicas E o pacote inclui acesso a HI SPY, 4 meses de Hunter, ferramenta Capture, R$ 1.000 de crédito no investigador.ai e palestras da Imersão Sherlock — total em assinaturas de R$ 6.900. > **Veja também:** [Aulão #041 — Imersão Sherlock: OSINT e Espionagem Digital](/aulao-semanal/espionagem-digital-osint-gadgets-investigacao) — evento presencial onde a metodologia foi apresentada. ## Como surgiu o Protocolo Sherlock: do hacker para investigador em 2 anos Eu não sou um investigador que migrou para o digital. Meu background é hacking puro, técnico. E entrei em investigação só nos últimos 2 anos. Caminho contrário do investigador tradicional — com vantagens e desvantagens claras. A vantagem: hacker entende rastro, vestígio, fingerprint, protocolo de rede de jeito que investigador tradicional precisa de anos para acumular. Quando eu vejo uma evidência digital, eu vejo bits e bytes — sem mistério. A desvantagem: eu não tinha experiência com metodologia de investigação. Não sabia o que era triagem, como conduzir um caso, como gerar relatório de inteligência, quanto cobrar. Não tinha vocabulário jurídico. Vou contar uma história: estava em call com aluno, ele falou "isso é fruta envenenada". Eu fiquei perdido. Concordei com cara de paisagem e googlei depois. Era a teoria dos frutos da árvore envenenada — prova ilícita contamina prova derivada. E foi nessa exposição constante a problemas reais que eu fui aprendendo. Cada advogado que me trazia caso, cada policial que pedia ajuda, cada empresário que precisava de investigação interna — cada um deles me ensinou um pedaço do mercado. O Protocolo Sherlock é o caderno compilado dessa caminhada de 2 anos. > **Veja também:** [Aulão #002 — O Guia Definitivo para Começar como Investigador Digital](/aulao-semanal/como-iniciar-carreira-investigador-digital) — para quem está vindo do zero. ## OSINT na prática: o que aprendi com Bellingcat e FBI OSINT (Open Source Intelligence) é a coleta de inteligência em fontes abertas: redes sociais, satélite, mapas, registros públicos. E a maior referência mundial disso é o [Bellingcat](https://www.bellingcat.com) — instituto de jornalismo investigativo que resolve casos de guerra, corrupção e crimes só com fontes públicas. ### O caso da base militar russa O Bellingcat investigou ataque russo a hospital ucraniano usando: - Foto que civil tirou e postou no Twitter - Sombra do sol na foto para inferir horário - Padrão de uniforme do soldado via [Camopedia](https://camopedia.org) — wiki que mapeia uniformes militares de todos os países - Imagens de satélite para confirmar coordenadas - Vídeo do TikTok onde aparecia o mesmo armamento E construíram a reconstituição completa do ataque. Sem sair da mesa, com fontes 100% abertas. Quando eu vi isso, levei o tal soco no estômago educadamente — entendi que OSINT é sério, e profissional. ### O caso clássico do FBI: fugitivo localizado por folha de bananeira Esse caso é o que mais me ensinou. O FBI postou foto de fugitivo no site de recompensa pedindo "onde está esse cara?". Investigador OSINT respondeu, com uma cadeia que beira a poesia: 1. **Folha de bananeira** dobrada para baixo — descarta país sem essa espécie 2. **Bandeira da Turquia** ao fundo — confirma o país 3. **Cadeira específica** no quarto — busca reversa no fabricante revelou hotel cliente 4. **Lixeira** com padrão regional — confirmou cidade 5. **Saco de lixo** específico ao fundo — investigador foi para reviews do hotel e achou turista que postou foto com mesmo saco em julho — datou a foto com precisão País, cidade, hotel e mês exatos. Tudo via OSINT puro. Esse caso mudou meu pensamento sobre o que é fonte de dados — todo padrão ambiental (uniforme, cadeira, lixeira, poste, vegetação) é identificador. ### Bellingcat investiga celebridades de Dubai comprando animais ilegais Outro caso emblemático: investigador mapeou padrões de animais sendo vendidos no marketplace da dark web, no Facebook Marketplace, e nas fotos de celebridades de Dubai no Instagram. As listas batiam. Crime sofisticado deixou rastro público. > **Veja também:** [Aulão #038 — As Melhores Ferramentas para OSINT](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) — toolkit que inclui Bellingcat e camopedia. ## Como mapear fonte de dados de qualquer plataforma Quando preciso investigar uma plataforma nova (TikTok, Tinder, Discord, qualquer uma), eu sigo um fluxo simples e replicável: 1. Pesquiso no Google: `"PLATAFORMA" OSINT` entre aspas duplas 2. Abro todos os primeiros 10 resultados com Ctrl+click (cada um vira aba) 3. Foco em conteúdo textual — vídeo é lento para absorver 4. Anoto técnicas que aparecem: extensões, dorks, APIs públicas 5. Replico cada técnica num caso teste Demonstro isso ao vivo no aulão. Fui no Google com `"TikTok" OSINT`, abri 8 abas. Achei guia ensinando a baixar vídeo do TikTok via Inspecionar Elemento (filtra por "16-web", copia URL do recurso, abre direto). Repliquei na hora — funcionou. Achei outro guia ensinando a buscar TikTok por hashtag composta — `lula bolsonaro` aparece junto. E [OSINT Curious](https://osintcurio.us) é blog de referência mundial que acompanho com regularidade. ### Tinder OSINT: emulação de geolocalização + face recognition Um dos guias que mais me marcou foi o de investigação no Tinder: 1. Emule sua localização no Firefox para a região do alvo 2. Pegue foto do alvo (rosto) 3. Configure face recognition tool 4. Deixe o Tinder passando perfis na região e o face match alerta quando bate Esse fluxo é usado em casos reais para localizar suspeitos em uma cidade específica. Foi assim que eu aprendi — exposto a uma necessidade, pesquisei, repliquei, ensinei. > **Veja também:** [Aulão #001 — Os 4 Segredos para Dominar OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos) — episódio fundacional do canal sobre OSINT. ## Captura e registro de evidências com validade jurídica O módulo de Captura e Registro foi o mais difícil de criar — porque envolve direito, não só técnica. Capturar conteúdo é fácil: print, gravação, extração via DevTools. Mas o que é uma **evidência digital** com validade jurídica? Aí entra ICP-Brasil, carimbo de tempo, fé pública, ata notarial digital. E é tudo abstrato. Pesquisei muito processo, lei, doutrina para entender. Conclusão: validade jurídica de prova digital no Brasil ainda é fundamento a ser defendido pelo advogado, não atributo automático da ferramenta. A legislação está atrás da realidade técnica. ### Ferramenta Capture: print de WhatsApp com validade jurídica Para resolver esse buraco, construí o **Capture** — ferramenta proprietária que registra prints de WhatsApp e conteúdo web com validade jurídica via [ICP-Brasil](https://www.gov.br/iti/pt-br). Cada captura recebe carimbo de tempo com fé pública. O lançamento público acontece dia 2 do mês seguinte. Alunos do Protocolo Sherlock recebem 1 ano de acesso antecipado. Outras referências do mercado de captura: | Ferramenta | Uso | Diferencial | |---|---|---| | [Hunchly](https://www.hunch.ly) | Captura automática durante investigação | Padrão de mercado internacional | | [Verifact](https://verifact.com.br) | Ata notarial digital brasileira | Fé pública nativa | | [Wayback Machine](https://web.archive.org) | Snapshot histórico de site | Gratuito e amplo | | Capture (Bruno Fraga) | Print de WhatsApp com ICP-Brasil | Foco em WhatsApp | Eu já vi caso real onde print exportado pelo Photoshop (visível nos metadados) foi usado como prova judicial — e nem advogado nem juiz pegaram. Quem domina captura entrega o jogo. > **Veja também:** [Aulão #051 — HI SPY: Como Funciona a Ferramenta de Investigação Digital](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) — outra ferramenta proprietária que faz parte do Protocolo Sherlock. ## Identificadores e pivotagem: a contribuição técnica Acredito que fui a primeira pessoa no Brasil a trazer para investigação privada o conceito de **identificadores** e **pivotagem** ao estilo OSINT. Em vez de ver investigação como nome/CPF/RG (documentos), interpretar como bits e bytes: - Hash de arquivo - Fingerprint do browser - Sequência numérica de transação - MAC address de Wi-Fi - ID de usuário em plataforma - String de caracteres em código fonte - Altura digital de uma imagem - E dezenas de outros tipos cruzáveis Quando você adota essa visão técnica, a investigação muda. Você cruza identificadores em vez de só consultar bases. Você forma cadeia de verificações que é diferente de cadeia de custódia — e mais difícil de quebrar judicialmente. E Bellingcat já consolidou esse vocabulário no jornalismo investigativo internacional há mais de uma década. Mas no Brasil ele ainda está chegando — e o Protocolo Sherlock empacota isso para o investigador brasileiro. E HI SPY, Hunter e Capture são as ferramentas que dão escala a esse método em casos reais. Mas escala sem método é caos: por isso ferramenta sem Protocolo não basta. ### Demo Hunter ao vivo: e-mail antigo expandido em segundos Demonstrei no aulão usando o [Hunter](https://l.brunofraga.com/operacao-inteligencia-oculta), ferramenta proprietária. Coloquei um e-mail antigo meu. Em segundos: - Notion (com workspace e nome de usuário) - Trello (com boards públicos) - GitHub (com commits e nome real) - Skype (com cidade) - Domínio registrado - Telefone vinculado - Foto de perfil cruzando 5 redes diferentes E aqui está o ponto importante. Não é como painel clandestino de "puxada de dados" (que vende vazamento de bases). Hunter faz **extração + enriquecimento + verificação cruzada**. Se a foto se repete em 5 redes ligadas ao mesmo e-mail, com cidade coerente em 3 delas, com domínio registrado pelo mesmo nome — você tem cadeia de verificações. Cadeia de verificações é diferente de cadeia de custódia. Não é "tum, aqui está o DNA". É padrão estatístico de coincidências que torna desqualificação muito difícil. Advogado inovador usa isso na peça inicial. ### Caso da Imersão Sherlock: face recognition em evento ao vivo Na palestra da Imersão Sherlock (evento presencial), fiz uma dinâmica: face recognition de cada participante na entrada + cruzamento com identificadores. Em segundos eu respondia: quem morava na minha cidade, quem trabalhava na minha empresa, quem tinha DDD do meu telefone, quem tinha multa de trânsito, quem tinha processo. Tudo via cruzamento técnico. Mostrei que o que polícia tradicional leva semanas, identificadores cruzados resolvem em segundos. > **Veja também:** [Aulão #049 — Desafio de Investigação Digital ao Vivo](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) — CTF onde Hunter e identificadores resolvem em 1h45. ## Casos reais e depoimentos de alunos Apresentei 4 perfis de aluno do Protocolo Sherlock ao vivo. Cada um valida uma frente diferente do mercado. E Hunter, HI SPY e Capture aparecem em quase todos os depoimentos como ferramentas que mudaram o trabalho. ### Advogada civilista, criminalista e eleitoral Ela usa o Protocolo principalmente em vara de família — para localizar **devedores de alimento**. No Brasil, é o advogado quem tem que levantar endereço para citação. Sem citação, não há processo válido. Devedor some, transfere patrimônio, fica difícil citar. Com OSINT, ela descobre endereço atual via redes sociais e peticiona com fundamento. Para alimento, isso muda vida de mãe e criança. ### Jornalista do canal Investigação Criminal Caso documentado: golpe do Pix. Trabalhou junto comigo e com minhas ferramentas. Ajuda polícia a chegar com mais celeridade no suspeito — nome, endereço, laços familiares, vizinhos. Não é polícia, mas auxilia o trabalho policial com OSINT. Jornalismo investigativo + braço técnico do meu arsenal. ### Engenheiro de software Aprende mentalidade ofensiva para defender melhor. Como hacker pensa, como dado vazado vira engenharia social, como sistema é atacado. Empresas valorizam engenheiro de software que entende risco real, não só código. ### Analista de sistemas Marcia Viana — caso clássico. Levou golpe e começou a investigar por conta. Achou o anúncio do Protocolo no Google. Fez. Hoje usa para descobrir golpistas, fazer background check de quem vai contratar, validar declarações. Saber se a outra ponta está mentindo. > **Veja também:** [Aulão #022 — O Melhor Momento para Começar na Investigação Digital](/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias) — para quem está pensando em entrar no mercado agora. ## Por que conhecimento técnico não basta Esse é o ponto que mais reforço no aulão. Hacker que só sabe técnica perde dinheiro deixado na mesa. Investigador que só sabe procedimento não acompanha o digital. Exemplo prático: tem hacker que vê spyware como ferramenta para "espionar namorada". E tem hacker que vê spyware como contrato de 8 milhões de euros com empresa de vigilância. Mesma técnica, visão diferente. A diferença está em entender: - Que dor o conhecimento resolve - Quem é o público-alvo - Quanto ele vale para o cliente - Como apresentar o resultado E essa visão de mercado não vem de curso técnico. Vem de exposição a problema real, conversa com cliente real, leitura de processo real. O Protocolo Sherlock tenta acelerar essa exposição empacotando casos reais nos módulos. > **Veja também:** [Aulão #039 — Desafio OSINT ao Vivo](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme) — aplicação prática com TryHackMe. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Bellingcat | Instituto de jornalismo investigativo OSINT — referência mundial | [Bellingcat](https://www.bellingcat.com) | | Camopedia | Wiki de uniformes militares e policiais por país | [Camopedia](https://camopedia.org) | | OSINT Curious | Blog e podcast com tutoriais de OSINT | [OSINT Curious](https://osintcurio.us) | | Hunchly | Captura automática de evidências durante investigação | [Hunchly](https://www.hunch.ly) | | Verifact | Ata notarial digital brasileira com fé pública | [Verifact](https://verifact.com.br) | | Archive.org Wayback Machine | Snapshot histórico de sites | [Wayback Machine](https://web.archive.org) | | ICP-Brasil | Infraestrutura oficial de chaves públicas | [ICP-Brasil](https://www.gov.br/iti/pt-br) | | HI SPY | Captura de geolocalização, foto e fingerprint do alvo | [HI SPY](https://hispy.io) | | Hunter (Bruno Fraga) | Pivotagem de identificadores via fazenda de smartphones | [Hunter — Operação Inteligência Oculta](https://l.brunofraga.com/operacao-inteligencia-oculta) | | Protocolo Sherlock | Página oficial do curso | [Protocolo Sherlock](https://l.brunofraga.com/protocolo) | ## Perguntas Frequentes sobre o Protocolo Sherlock ### O que é o Protocolo Sherlock? O Protocolo Sherlock é a metodologia de investigação digital criada por Bruno Fraga, organizada em 8 módulos cobrindo ambiente, metodologia, captura de evidências, identificadores, fontes de dados, pivotagem, engenharia social e espionagem digital offline. Inclui acesso a ferramentas proprietárias (HI SPY, Hunter, Capture). ### Como o Bellingcat resolve casos sem sair da mesa? O Bellingcat usa exclusivamente fontes abertas: fotos e vídeos públicos de redes sociais, imagens de satélite, mapas, registros oficiais, bancos de dados como Camopedia (uniformes militares). Cruzando padrões ambientais (sombra do sol, modelo de cadeira, padrão de lixeira), reconstrói horário, local e responsáveis de eventos como ataques militares e crimes de guerra. ### Como é o caso clássico do FBI da folha de bananeira? O FBI postou fotos de fugitivo pedindo identificação de localização. Investigador OSINT respondeu via cadeia de identificadores ambientais: folha de bananeira (filtra países), bandeira da Turquia ao fundo (confirma país), modelo específico de cadeira (rastreado até hotel cliente do fabricante), saco de lixo idêntico ao de review de turista (datou a foto). País, cidade, hotel e mês identificados sem qualquer fonte fechada. ### O que são identificadores em investigação digital? Identificadores são qualquer atributo único ou semi-único que liga uma entidade ao mundo digital: hash de arquivo, fingerprint de browser, MAC de Wi-Fi, ID de plataforma, string de código fonte, sequência numérica de transação. A diferença para "documentos" (nome/CPF/RG) é que identificadores são técnicos e cruzáveis automaticamente. ### Como registrar evidência digital com validade jurídica no Brasil? O caminho mais sólido hoje é via ICP-Brasil — Infraestrutura de Chaves Públicas Brasileira que dá fé pública via carimbo de tempo. Ferramentas como Verifact (ata notarial digital) e Capture (print de WhatsApp com ICP-Brasil) entregam isso pronto. Print sem ICP é prova frágil — defendível, mas atacável. ### O que diferencia o Protocolo Sherlock de outros cursos de OSINT? 3 diferenciais principais: 1) inclui ferramentas proprietárias (HI SPY, Hunter, Capture) que custariam R$ 6.900 separado; 2) construído a partir de casos reais brasileiros, não só importação de OSINT americano; 3) cobre o lado jurídico (cadeia de custódia, ICP-Brasil, validade) que cursos técnicos ignoram. ### Quanto custa o Protocolo Sherlock? O pacote completo (curso + 8 módulos + HI SPY + 4 meses de Hunter + Capture + bônus) sai por R$ 997 à vista ou 12x R$ 99. Acesso vitalício ao conteúdo. As inscrições são abertas em períodos específicos via [página oficial](https://l.brunofraga.com/protocolo). Fora desse canal, não há revenda autorizada — qualquer oferta em grupo ou marketplace é golpe. ### Posso fazer o Protocolo Sherlock sem background técnico? Sim. Os depoimentos do aulão incluem advogada, jornalista, engenheiro e analista de sistemas — perfis bem distintos. O módulo de Ambiente de Investigação cobre setup do zero. O que não dá para faltar é problema real para resolver — você aprende mais quando aplica o método em caso seu, não em exercício teórico. > **Veja também:** [Bitcoin como Proteção Patrimonial — Aulão #053](/aulao-semanal/bitcoin-protecao-patrimonial-cold-wallet-autocustodia) > **Veja também:** [4 Ferramentas de Investigação Digital que Ninguém No Brasil Usa — Aulão #054](/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance) ## Referências e Recursos - [Bellingcat — instituto de jornalismo OSINT](https://www.bellingcat.com) - [Camopedia — wiki de uniformes militares](https://camopedia.org) - [OSINT Curious — blog e podcast OSINT](https://osintcurio.us) - [Hunchly — captura automática de evidências](https://www.hunch.ly) - [Verifact — ata notarial digital](https://verifact.com.br) - [Archive.org Wayback Machine](https://web.archive.org) - [ICP-Brasil — chaves públicas oficiais](https://www.gov.br/iti/pt-br) - [HI SPY — site oficial](https://hispy.io) - [Operação Inteligência Oculta — workshop com Hunter](https://l.brunofraga.com/operacao-inteligencia-oculta) - [Protocolo Sherlock — página oficial](https://l.brunofraga.com/protocolo) - [Aulão #001 — Os 4 Segredos para Dominar OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos) - [Aulão #038 — As Melhores Ferramentas para OSINT](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) - [Aulão #041 — Imersão Sherlock: OSINT e Espionagem Digital](/aulao-semanal/espionagem-digital-osint-gadgets-investigacao) - [Aulão #051 — HI SPY: Ferramenta de Investigação Digital](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) --- ### Aulão #051 — HI SPY: Como Funciona a Ferramenta de Investigação Digital do Bruno Fraga e o Que Mudou na Nova Versão URL: https://brunofraga.com/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao Publicado: 2024-10-09 Tags: investigacao-digital, ciberseguranca, osint, tecnicas-de-invasao, tutoriais YouTube: https://www.youtube.com/watch?v=lMJWpZ5JBCw Aulão em vídeo onde apresento o lançamento do novo HI SPY — reescrito do zero em 30 dias. Mostro o mecanismo técnico por trás (HTTP, cookies, fingerprint), por que VPN não protege e casos reais que justificaram a reescrita: menina de 16 anos fugida localizada em horas, simulação de sequestro identificada em 2 horas e contas banidas que faturavam +20 mil reais revendendo links. ## O que você vai aprender neste aulão sobre o HI SPY Você vai entender o que é o **HI SPY**, ferramenta brasileira de investigação digital que captura geolocalização, foto da câmera e fingerprint completo do browser do alvo após um único clique em link. Vai entender também o mecanismo técnico por trás: por que o protocolo HTTP entrega dados sem o usuário perceber, por que VPN não protege fingerprint, e como cookies se tornaram a "gambiarra" que permite identificar quem está do outro lado da tela. No Aulão Semanal #051, eu apresento o **novo HI SPY** — totalmente reescrito do zero em 30 dias depois do impacto que a versão anterior teve em operações policiais, casos de pessoas desaparecidas e investigações privadas. Identidade nova (Olho do Camaleão), painel reformulado com filtros, baby steps de onboarding e captura ainda mais efetiva mesmo com VPN ativa. Diego e Ulisses testaram ao vivo: GPS spoofado para Franca-SP foi identificado, cartão de crédito vencido salvo no browser foi capturado, foto da câmera bateu em segundos. E mostro também os casos reais que justificaram a reescrita completa: menina de 16 anos fugida de casa há 7 dias localizada em horas, menor de 17 que simulou sequestro identificada em 2 horas, contas que faturavam mais de 20 mil reais por mês revendendo links de captura sendo banidas. Se você é investigador, advogado, policial ou empreendedor no mercado de inteligência, este artigo é referência de partida. ## O que é o HI SPY e por que reescrevemos do zero O HI SPY é uma ferramenta de investigação digital que captura dados detalhados do browser e dispositivo do alvo a partir de um link compartilhado. Quando o investigado clica no link sem perceber, o HI SPY registra geolocalização, foto da câmera, fingerprint do browser, fuso horário, layout do teclado, sistema operacional, fontes instaladas e dezenas de outros atributos. Por que reescrevemos do zero? Porque a versão anterior foi nosso primeiro projeto de software como hackers que se botaram no lugar de programadores. E ela cresceu de jeito que ninguém imaginava: passou a ser usada em operações policiais, em recuperação de cargas roubadas, em localização de pessoas desaparecidas. A responsabilidade aumentou. E a ferramenta antiga, embora funcional, não estava à altura do impacto. Demoramos cerca de 30 dias para reescrever — HTML do zero, novo painel, novos cenários de captura, novos fluxos. Identidade visual nova, com a logo Olho do Camaleão (que se camufla em qualquer contexto, alusão direta à proposta do HI SPY). E por que essa reescrita importa para você que está lendo? Porque o mercado de investigação digital no Brasil tem o que estudei em Harvard como Institutional Voids — buracos institucionais que países emergentes não conseguem preencher com soluções públicas. Crimes digitais sem resposta. Golpes sem investigação. Sequestros falsos sem ferramenta de validação rápida. O HI SPY foi criado para um desses buracos. > **Veja também:** [Aulão #049 — Desafio de Investigação Digital ao Vivo](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) — onde uso o Hunter (irmão do HI SPY) em CTF público. ## Como o browser entrega seus dados sem você perceber Toda vez que você abre um site, seu browser envia uma quantidade absurda de dados ao servidor — sem que você perceba. Esse é o princípio que torna o HI SPY possível. O protocolo HTTP (Hypertext Transfer Protocol) foi criado para transferir texto. Cada requisição era independente: "me envie esse conteúdo" → "aqui está o conteúdo". Stateless por design. Sem associação entre uma requisição e a próxima. Mas quando a internet evoluiu — login, sessão, conta bancária, ecommerce —, esse modelo virou problema. Como saber que o usuário que abriu a próxima página é o mesmo que fez login? Aí surgiram as gambiarras. A principal: **cookies**. ### Cookies: a gambiarra que virou padrão Cookie é um valor que o servidor manda você guardar e reenviar a cada requisição. "Aqui está seu código de sessão. Toda vez que pedir conteúdo, mande de volta." E pronto, o site sabe que é você. Eu mostrei ao vivo no aulão: abri o [Chrome DevTools](https://developer.chrome.com/docs/devtools) (botão direito > Inspecionar Elemento), fui em Application > Cookies, e dezenas de valores apareceram. Google Analytics, Facebook Pixel, sessão da aplicação — tudo armazenado e enviado a cada requisição. E o roubo de cookies é uma das técnicas mais antigas de hack. Antigamente, era comum compartilhar acesso a contas premium copiando cookies entre browsers. Hoje há proteções (HttpOnly, SameSite, sessões assinadas) — mas o princípio ainda está lá. ### Fingerprint: o que vai além dos cookies E não é só cookie. Para o site renderizar corretamente em cada dispositivo, o browser entrega: - **User-Agent**: browser, versão, sistema operacional, modelo de hardware - **Plugins instalados** - **Fontes do sistema** (cada combinação de fontes é praticamente única) - **Resolução de tela e profundidade de cor** - **Fuso horário do computador** (não do IP) - **Layout do teclado** (ABNT2 entrega Brasil, mesmo com VPN americana) - **CPU disponível, número de núcleos** - **Idioma preferencial** - **Plataforma** (Macintel, Win32, Linux x86_64) - **Canvas fingerprint** (cada GPU desenha pixels de forma ligeiramente diferente) - **Adblocker presente ou ausente** Tudo isso é chamado de **browser fingerprint**. A combinação desses 20+ atributos gera uma identidade praticamente única — mesmo sem cookies. O EFF mantém a ferramenta gratuita [Cover Your Tracks](https://coveryourtracks.eff.org) onde você testa quão único seu browser é. Outra opção é [Am I Unique](https://amiunique.org). > **Veja também:** [Aulão #014 — O que seu provedor de internet esconde de você](/aulao-semanal/como-funciona-provedor-de-internet-segredos-e-dicas) — base sobre como dados trafegam na internet. ## Por que VPN não protege seu fingerprint VPN troca seu IP, mas não troca o resto do fingerprint. Esse é o erro número 1 de quem confia só em VPN para anonimato. Eu demonstrei ao vivo. Diego ativou VPN, spoofou GPS para a França e clicou no link HI SPY. Resultado: - IP: aparecia na França (correto, VPN funcionou) - GPS: aparecia na França (correto, spoof funcionou) - Mas: layout do teclado ABNT2 (entrega Brasil) - Fuso horário do computador: America/Sao_Paulo (entrega Brasil) - Sistema operacional, fontes, idioma: tudo coerente com configuração brasileira E mais: o HI SPY identificou que era a cidade Franca-SP (Diego escreveu Franca por engano, queria dizer França país). Bingou Jardim Veracruz mesmo com VPN ativa. E capturou um cartão de crédito vencido salvo no browser do Diego (autofill exposto). Lição: VPN protege seu IP. Tor protege roteamento. Mas para esconder fingerprint completo você precisa de browser de privacidade dedicado (Tor Browser configurado, não Chrome no Tor). E mesmo assim, padrões de uso, fuso horário do sistema operacional, hardware — tudo continua entregando pistas. ## O HI SPY visualiza tudo isso em uma aplicação web A essência do HI SPY é simples: ele é uma aplicação web normal que, quando o alvo acessa o link, captura e exibe ao investigador todos os dados que o browser entrega por padrão. Sem hack, sem invasão, sem exploração de vulnerabilidade. Apenas leitura do que a internet já entrega. Por isso ele funciona com qualquer alvo, em qualquer dispositivo, em qualquer browser. Por isso a captura é rápida. E por isso a engenharia social — conseguir o clique — é a parte mais sensível do trabalho. Para conquistar esse clique, o HI SPY agora oferece cenários personalizáveis. Você define mensagem, imagem, preview do link, contexto. Construir um link que pareça legítimo é parte do processo legítimo de investigação — desde que você tenha amparo legal. E HTTP, HTTPS, cookies e fingerprint são pilares de toda a internet moderna — não dá para usar a web sem expor esses dados. Quem tenta fugir disso usa Tor Browser dedicado, máquina virtual descartável, e ainda assim deixa pistas no padrão de digitação e nas escolhas de rota. E HI SPY explora exatamente esse limite. Mas o limite tem regra: investigador profissional opera com amparo legal, contrato de serviço, foco em casos legítimos como localização de menor desaparecido, identificação de extorsão simulada e contra-ataque a golpista que iniciou contato. > **Veja também:** [Aulão #029 — Contra-Atacando Golpistas com Investigação Ativa](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet) — onde mostro o HI SPY em casos reais de contra-ataque a golpistas. ### Engenharia social ética: como conquistar o clique Conquistar o clique é a parte mais delicada do uso do HI SPY. E aqui distinguimos engenharia social ética de manipulação criminosa. Engenharia social ética usa contexto real — uma conversa que já existia, um interesse já manifesto pelo alvo, uma curiosidade legítima — para entregar um link que o alvo escolhe abrir. Exemplos de gatilho legítimo: o alvo está pedindo dinheiro via Pix simulando ser parente da vítima — você responde com link de "comprovante" ou "foto pra confirmar". O alvo está vendendo produto suspeito em marketplace — você manda link de "interessado em comprar". E aqui o Hunter (ferramenta-irmã do HI SPY) entra para enriquecer a investigação com dados de redes sociais antes mesmo do clique acontecer. Mas existe um limite ético claro. Você não usa HI SPY para ex-companheiros, vizinhos curiosos, conflitos pessoais sem amparo legal. Não usa para invadir vida privada de quem não está em situação de crime ou risco. Investigador sério opera com contrato, com causa, com fundamento. E HI SPY foi construído para esse perfil de uso — não para bisbilhoteiro digital. ## O que muda no novo HI SPY (painel, captura e cenários) O novo HI SPY foi reescrito do zero. Cada linha de código, cada tela, cada fluxo. As mudanças principais: ### Identidade visual nova: Olho do Camaleão A nova logo é um olho de camaleão — que se camufla em qualquer contexto. Representa o que a ferramenta faz: passa despercebida no link, captura tudo no servidor. ### Painel reformulado com filtros e busca rápida A versão antiga listava todas as investigações sem paginação real. Quem tinha 500 investigações precisava clicar para os lados infinitamente. O novo painel tem filtros (status, data, cenário), busca, paginação performática. Carrega em milissegundos. ### Baby Steps: onboarding passo a passo Diego comentou no aulão: o ponto mais forte da nova versão é o onboarding em baby steps. Para o policial na rua com smartphone, para a mãe procurando filho desaparecido, para o investigador que nunca usou ferramenta técnica — o sistema ensina cada passo. ### Cenários de captura personalizáveis Cada caso pede um link diferente. Investigação de extorsão por Pix precisa de cenário diferente de localização de desaparecido. O novo HI SPY permite montar ambientes completos: mensagem, imagem, preview do link, redirecionamentos pós-captura. ### Captura contínua de câmera A versão antiga capturava 1 foto. A nova captura múltiplas frames. Útil quando o alvo mexe na tela enquanto visita. ### Captura de dados salvos no browser Como o Diego mostrou ao vivo, dados de autofill (cartões salvos, endereços, nomes) que o browser disponibiliza em formulários podem ser capturados quando o alvo interage. É por isso que o aulão começa com a citação de Diego: "como assim você pegou o cartão de crédito, endereço, estado, cidade, nome completo?" > **Veja também:** [Aulão #032 — Desmascarando Stalkers com Investigação Ativa](/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint) — caso real onde o HI SPY foi central na identificação. ## Casos reais resolvidos pelo HI SPY Trago 4 casos documentados que justificam por que reescrever a ferramenta valeu a pena. ### Menina de 16 anos fugida de casa há 7 dias Brigou com os pais e estava só respondendo amiguinhos pelo WhatsApp. Um amigo colaborou com a investigação. Coronel da polícia sugeriu o caminho: link HI SPY enviado pelo amigo. Em horas, paradeiro confirmado. Família reunida. ### Menor de 17 anos que simulou sequestro Caso de extorsão falsa onde a "vítima" estava na verdade aplicando o golpe. Tem 24 horas para ação no protocolo de sequestro real. HI SPY identificou paradeiro em 2 horas — confirmando que era simulação. Ulisses, advogado e investigador, contou o caso na live. ### Contas que faturavam +20 mil reais revendendo HI SPY Eu banei várias contas que faturavam mais de 20 mil reais por mês criando multi-conta para revender links de captura para advogados, esposas e clientes externos a 400-500 reais por link. Isso violava os termos da plataforma. Inquéritos e processos foram abertos contra os revendedores. ### Operações policiais e recuperação de cargas roubadas A equipe acompanha múltiplas operações com segurança pública usando HI SPY. Recuperação de cargas roubadas, identificação de quadrilhas, pessoas desaparecidas. O impacto foi o que justificou a reescrita. > **Veja também:** [Aulão #043 — Como Investigar Golpes do Pix](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao) — protocolo onde HI SPY se encaixa em investigação de extorsão Pix. ## Onde comprar HI SPY com segurança (e onde não comprar) O HI SPY não está à venda fora dos canais oficiais. Repito: não há grupo de WhatsApp, não há revendedor autorizado, não há link separado. O único canal oficial atualmente é a [Operação Inteligência Oculta](https://l.brunofraga.com/operacao-inteligencia-oculta) — workshop gratuito do Bruno Fraga onde, ao final, é apresentada a possibilidade de aquisição. Quem completar o workshop e estiver elegível recebe acesso. Tudo o resto que você ver vendendo HI SPY em grupo, marketplace, anúncio ou WhatsApp é golpe. Eu repito porque a quantidade de pessoas tentando aplicar golpe vendendo "acesso ao HI SPY" cresceu junto com o reconhecimento da ferramenta. Para usuários ativos: o novo HI SPY foi liberado em 10 de agosto. As investigações antigas ficam isoladas — os recursos novos só funcionam em investigações criadas na nova versão. > **Veja também:** [Aulão #035 — 14 Técnicas para Descobrir o Dono de um WhatsApp](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) — WhatsApp é canal típico de envio de links HI SPY. ## O canal Aulão com Bruno Fraga no YouTube Anunciei no final do aulão um presente para quem ficou até o fim: o canal **Aulão com Bruno Fraga** no YouTube. Lá publico, todo dia útil, 1 aulão antigo do acervo. Por que isso importa? Porque os primeiros aulões foram bons demais para ficarem só nos slots de live original. Quem perdeu agora pode assistir cronologicamente. Quem está começando em OSINT tem material gratuito sequenciado. A gravação de cada aulão entra no canal cerca de 1 dia depois da publicação. E não há paywall — tudo aberto, todo conteúdo replicado lá. > **Veja também:** [Aulão #019 — A Nova Era dos Crimes Digitais](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar) — contexto geral que motiva o uso de ferramentas como HI SPY. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | HI SPY | Captura de geolocalização, foto e fingerprint do browser via link compartilhado | [HI SPY](https://hispy.io) | | Operação Inteligência Oculta | Único canal oficial para acesso ao HI SPY | [Operação Inteligência Oculta](https://l.brunofraga.com/operacao-inteligencia-oculta) | | Aulão com Bruno Fraga (YouTube) | Canal com todos os aulões antigos publicados gratuitamente | [Aulão com Bruno Fraga](https://www.youtube.com/@aulaocombrunofraga) | | Chrome DevTools | Inspecionar Elemento para ver cookies e local storage | [Chrome DevTools](https://developer.chrome.com/docs/devtools) | | Cover Your Tracks (EFF) | Teste público de fingerprint do seu browser | [Cover Your Tracks](https://coveryourtracks.eff.org) | | Am I Unique | Análise detalhada de unicidade do seu fingerprint | [Am I Unique](https://amiunique.org) | | MDN HTTP Overview | Documentação oficial do protocolo HTTP | [MDN HTTP](https://developer.mozilla.org/en-US/docs/Web/HTTP/Overview) | ## Perguntas Frequentes sobre o HI SPY ### O que é o HI SPY? HI SPY é uma ferramenta brasileira de investigação digital criada por Bruno Fraga. Ela captura geolocalização, foto da câmera, fingerprint do browser e dezenas de atributos do dispositivo do alvo após um clique em link especialmente preparado. Funciona com qualquer dispositivo e qualquer browser. ### O HI SPY funciona mesmo com VPN ativa? Sim. VPN mascara o IP, mas o HI SPY captura layout do teclado, fuso horário do sistema operacional, fontes instaladas, idioma, plataforma e dezenas de outros atributos que VPN não esconde. No aulão eu mostrei ao vivo Diego com VPN ativa e GPS spoofado — o HI SPY identificou corretamente origem brasileira, cidade real e até cartão de crédito salvo no browser. ### Como o HI SPY captura geolocalização sem o usuário aceitar? O HI SPY combina múltiplas técnicas: geolocalização HTML5 (que pede permissão), análise de IP (sempre disponível), Wi-Fi triangulation via API do browser, fuso horário e camadas do sistema. Quando o alvo recusa a permissão de GPS, o HI SPY usa as outras camadas para inferir localização. ### Quanto custa o HI SPY? O HI SPY não tem preço público fixo. Acesso é liberado apenas via [Operação Inteligência Oculta](https://l.brunofraga.com/operacao-inteligencia-oculta), workshop gratuito do Bruno Fraga, ao final do qual a aquisição é apresentada para participantes elegíveis. Qualquer outra fonte de venda (grupos, WhatsApp, marketplace) é golpe. ### O uso do HI SPY é legal? O HI SPY em si é uma ferramenta — sua legalidade depende do uso. Para advogados, policiais, investigadores privados com amparo legal, o uso é regular. Para localização de menor desaparecido com colaboração da família, idem. Uso para vigilância sem amparo legal expõe o operador a sanções. Sempre consulte advogado sobre o caso concreto. ### Qual a diferença entre o HI SPY antigo e o novo? O novo HI SPY foi reescrito do zero em 30 dias. Identidade visual nova (Olho do Camaleão), painel com filtros e busca rápida, baby steps de onboarding, cenários de captura personalizáveis, captura contínua de câmera e captura aprimorada de dados de autofill do browser. As investigações antigas ficam isoladas — recursos novos só funcionam em investigações criadas na nova versão. ### Como o browser entrega dados sem o usuário perceber? O protocolo HTTP foi criado para transferir texto e é stateless por design — cada requisição é independente. Para suportar login e sessão, foram criados cookies. E para renderizar corretamente em cada dispositivo, o browser entrega user-agent, fontes, plugins, fuso horário, layout de teclado, resolução, CPU, idioma e dezenas de outros atributos. Essa combinação se chama browser fingerprint e identifica o usuário mesmo sem cookies. ### Posso testar meu próprio fingerprint? Sim. A EFF mantém [Cover Your Tracks](https://coveryourtracks.eff.org) e há também [Am I Unique](https://amiunique.org). Os 2 testes mostram exatamente o que seu browser entrega a qualquer site que você visita — incluindo se sua combinação de atributos é praticamente única. > **Veja também:** [Os Bastidores do Protocolo Sherlock: Como Construí Minha Metodologia de Investigação Digital — Aulão #052](/aulao-semanal/protocolo-sherlock-metodologia-investigacao-digital) > **Veja também:** [Bitcoin como Proteção Patrimonial — Aulão #053](/aulao-semanal/bitcoin-protecao-patrimonial-cold-wallet-autocustodia) > **Veja também:** [4 Ferramentas de Investigação Digital que Ninguém No Brasil Usa — Aulão #054](/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance) > **Veja também:** [Google PSE: Como Criar Seu Próprio Google para OSINT — Aulão #055](/aulao-semanal/google-programmable-search-engine-pse-osint-investigacao) ## Referências e Recursos - [HI SPY — site oficial](https://hispy.io) - [Operação Inteligência Oculta — workshop oficial](https://l.brunofraga.com/operacao-inteligencia-oculta) - [Aulão com Bruno Fraga — canal no YouTube](https://www.youtube.com/@aulaocombrunofraga) - [Cover Your Tracks — EFF (teste de fingerprint)](https://coveryourtracks.eff.org) - [Am I Unique — análise de fingerprint](https://amiunique.org) - [MDN — HTTP Overview](https://developer.mozilla.org/en-US/docs/Web/HTTP/Overview) - [Chrome DevTools — Inspecionar Elemento](https://developer.chrome.com/docs/devtools) - [Aulão #049 — Desafio de Investigação Digital ao Vivo](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) - [Aulão #029 — Contra-Atacando Golpistas com Investigação Ativa](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet) - [Aulão #032 — Desmascarando Stalkers com Investigação Ativa](/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint) - [Aulão #043 — Como Investigar Golpes do Pix](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao) --- ### Aulão #049 — Desafio de Investigação Digital ao Vivo: Como Rastreamos um Golpista do Pix em 1h45 URL: https://brunofraga.com/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix Publicado: 2024-10-04 Tags: investigacao-digital, osint, ciberseguranca, hacking, tutoriais YouTube: https://www.youtube.com/watch?v=vSkbZVVzJN0 Aulão em vídeo do primeiro desafio público de investigação digital do Bruno Fraga. CTF de OSINT replicando caso real da quadrilha de Pix das enchentes do RGS — do SSID Wi-Fi exposto no print do PS4 até o nome real, escola e academia do golpista, com mais de 1.250 alunos competindo ao vivo por notebook Dell e bolsa do Protocolo Sherlock. ## O que você vai aprender neste aulão de desafio de investigação digital Você vai entender como funciona um **desafio de investigação digital** na prática — um CTF (Capture The Flag) onde, partindo de um log de conversa do Discord, você precisa identificar um golpista, mapear sua localização, encontrar suas redes sociais e coletar provas. Tudo em tempo real, em 1h45 de transmissão ao vivo. No Aulão Semanal #049, eu lancei o primeiro desafio público de investigação digital da minha história no canal — uma replicação íntegra de um caso real que minha equipe investigou: a quadrilha que aplicava golpes de Pix doação durante as enchentes do Rio Grande do Sul e o golpe da caixa dos Correios. Mais de 1.250 alunos conectados. Notebook Dell para o primeiro lugar e bolsa do Protocolo Sherlock para os 2 primeiros. Eu mostro o passo a passo de como o personagem Dark foi rastreado: do SSID Wi-Fi exposto em um print do Playstation 4, pelo histórico de username no Steam, até o e-mail real descoberto via WHOIS de um domínio que ele esqueceu de anonimizar. Os 2 vencedores também entraram na live e contaram o atalho que me salvou: Google Maps com camadas de textura ativas para identificar a Escola Eleonor Roussevet onde o alvo estuda. Se você quer treinar OSINT com caso real, este artigo é o ponto de partida. ## O que é um desafio de investigação digital (CTF de OSINT) Um desafio de investigação digital é um CTF onde os participantes precisam aplicar técnicas de OSINT para identificar um alvo, mapear sua localização e coletar evidências. Diferente de um CTF tradicional de hacking, o foco aqui é em fontes abertas: redes sociais, WHOIS, metadados, vazamentos públicos. No formato do Aulão #049, eu entreguei aos participantes 2 PDFs: o contexto do caso e um log de conversa do Discord entre 2 personagens (Dark e Shelby). A partir desse log, 14 perguntas precisavam ser respondidas — cada acerto valia 100 pontos, com ranking ao vivo. Quem somasse mais pontos primeiro levava o notebook. > **Veja também:** [Aulão #017 — Pare de Só Estudar Teoria: Desafios Práticos Para Treinar Investigação Digital](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) — base conceitual de por que CTF é o melhor método de aprender OSINT. E por que CTF funciona como ensino? Porque você não aprende OSINT lendo livro. Aprende sujando a mão em caso real. Quem só estuda teoria trava no primeiro alvo de verdade. Quem treina em CTF, mesmo errando, acelera anos de carreira. ## O caso replicado: golpe do Pix das enchentes do RGS e dos Correios O contexto do desafio é uma replicação íntegra de uma quadrilha real que minha equipe investigou. Os criminosos clonavam sites legítimos para receber doações via Pix supostamente destinadas às vítimas das enchentes do Rio Grande do Sul. O desvio era massivo. Em paralelo, a mesma quadrilha rodava o golpe da caixa dos Correios — você paga um Pix esperando receber uma caixa fechada e nunca chega nada. Por que replicar caso real? Porque variável fictícia ensina pouco. O log do Discord no desafio tinha tudo que apareceu na investigação real: SSID de Wi-Fi vazado por print de PS4, screenshots de painel da Kiwify, conversas sobre banimento de domínio no Facebook, menção a WordPress como ferramenta de clonagem rápida. Na investigação real, foram derrubados mais de 100 sites de doação falsa em 3 dias usando exatamente essas técnicas. O CTF replica o caminho. > **Veja também:** [Aulão #043 — Como Investigar Golpes do Pix](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao) — o episódio dedicado a investigação de golpes de Pix tem todo o protocolo expandido. ## Passo zero: ler o log do Discord e mapear identificadores Antes de qualquer ferramenta, você lê tudo. Nada de pular para o Wigle ou Hunter sem antes mapear identificadores. Esse é o erro número 1 do investigador iniciante — pular a leitura. O que você procura na primeira leitura: 1. Nomes de usuário (Discord, Steam, qualquer plataforma mencionada) 2. SSIDs de redes Wi-Fi 3. Endereços IP, mesmo parciais 4. URLs e domínios 5. Screenshots e prints (cada um pode esconder metadado, plataforma, padrão de UI) 6. Datas e timestamps 7. Menções a aplicativos, jogos, ferramentas No Aulão, eu abri um bloco de notas literal e fui anotando cada item. Dark mencionou "internet horrível", "tô na sala do Discord", "compartilho a tela". E Shelby falou em "sigilo" e "IP mais porta". Sem anotação, você perde 80% da pista — porque o cérebro humano não retém detalhes técnicos suficientes. Mas qual o pulo do gato dessa fase? É reconhecer plataformas pelos prints sem precisar de OCR. Se você joga Steam, identifica a UI da Steam de cara. Se já viu painel da Kiwify, sabe que é Kiwify. Investigador bom é investigador que conhece muitas plataformas — o que o Ulisses sempre fala: "se você vai investigar no Tinder, você tem que saber como o aplicativo funciona". ## Como localizar pelo SSID Wi-Fi com Wigle O SSID é o nome da rede Wi-Fi — e ele é mapeado mundialmente pelo [Wigle](https://wigle.net). Basta criar conta gratuita, buscar o SSID, e a localização aparece em mapa. No desafio, Dark mostrou um print de teste de velocidade do Playstation 4. Naquele print, aparecia o SSID "complementar 037". Bruno e o Diego buscaram no Wigle e a rede apareceu mapeada na Rua Faustino Porto, em Recife. Pronto — o alvo está em Pernambuco. Mas o Diego trouxe um detalhe técnico que poucos sabem: aquele print do PS4 também mostrava NAT Type 2. NAT 2 indica que o usuário está atrás de um roteador com CGNAT do provedor — ou seja, ele não tem IP público direto. Para usar o IP em investigação, exige quebra de sigilo do provedor. Por isso o SSID é mais valioso que o IP em fase inicial: entrega localização sem ordem judicial. > **Veja também:** [Aulão #044 — WiGLE para Investigação Digital: Como Rastrear Redes Wi-Fi e Localizar Dispositivos](/aulao-semanal/wigle-investigacao-digital-rastrear-redes-wifi) — episódio dedicado ao Wigle com fluxos avançados. E tem um truque ofensivo aplicável a CTF e a investigação real: se o alvo está em uma chamada de voz no Discord ou Telegram, incentive um compartilhamento de tela durante a gameplay. Print de painel de configuração do PS4, do roteador ou do Steam quase sempre exibe o SSID. Sem hackear nada — só engajamento social. ## Steam expõe o histórico de username (e isso entrega tudo) A Steam tem uma feature pública pouco lembrada: cada perfil mostra o histórico de nomes anteriores. Você clica na setinha ao lado do nome atual e aparecem todos os usernames que aquela conta já usou. No desafio, Dark usava o nome do personagem da capa do Steam. Mas no histórico, apareceu Lutone051 — um username único. E aí virou o jogo. Lutone051 é único o suficiente para uma busca reversa entregar todas as outras redes do alvo. Esse padrão repete em outras plataformas. Telegram tem histórico de fotos de perfil que muita gente esquece de apagar. Twitter tinha histórico de @ até a mudança para X. Discord tem histórico de discriminator. Cada plataforma esconde uma feature parecida — investigador bom conhece todas. ## Busca reversa de username com Hunter, Sherlock e Google Com o username único Lutone051 em mãos, você procura em todas as redes sociais possíveis. Tem 3 caminhos: ### Caminho gratuito: Sherlock e Google [Sherlock](https://github.com/sherlock-project/sherlock) é a ferramenta open-source mais usada — busca em 400+ redes via CLI Python. Resultado em segundos. Para complementar, busque o username entre aspas duplas no Google: `"Lutone051"`. Match raro retorna canal YouTube, perfil Linktree, conta esquecida de fórum. ### Caminho profissional: Hunter O [Hunter](https://l.brunofraga.com/operacao-inteligencia-oculta) é uma ferramenta proprietária que eu construí e demonstro na Operação Inteligência Oculta. Ele cruza username com YouTube, Twitter, Linktree, Duolingo, Runkeeper, GitHub e dezenas de outras plataformas em um único clique. A vantagem técnica: usa fazenda de smartphones reais para validar contas em apps mobile que não expõem API pública. No desafio, o Hunter pegou o nome real Lucas Antônio Soares pelo canal de gameplay no YouTube. E daí seguiu para Linktree, Twitter, Duolingo. E também encontrou o GitHub e o Runkeeper a partir do e-mail. Mas o operador ainda precisa interpretar o resultado. Match em 5 redes não confirma identidade — você precisa cruzar com foto, cidade e outros dados. Eu tive um caso real onde 3 contas batiam pelo username, mas a foto e o estado divergiam — eram pessoas diferentes que escolheram o mesmo nick. > **Veja também:** [Aulão #005 — 4 Técnicas para Investigar Qualquer Pessoa Usando Apenas a Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) — fundação de busca reversa de pessoas. ## Inspecionar código fonte: o domínio escondido que entrega o golpista A virada do desafio aconteceu quando o Diego sugeriu inspecionar o código fonte do site falso prefeltura.com (com L no lugar do I). Botão direito no Chrome, **Inspecionar Elemento**. E DevTools mostrou um carregamento de recurso de outro domínio: correios.com (com 3 R). E Diego cravou: domínio secundário sem privacidade WHOIS. Por que isso é ouro? Porque prefeltura.com estava registrado com privacidade WHOIS (domínio anônimo). Mas correios.com — o domínio carregado por trás — não estava. WHOIS direto retornou nome completo: Lucas, e-mail dele, e endereço em Porto Velho. Esse é um padrão que se repete em fraude digital. O operador anonimiza o domínio principal mas esquece de anonimizar os domínios secundários (assets, scripts, redirects, checkouts). Um deles sempre vaza. Quem inspeciona o código fonte encontra. > **Veja também:** [Aulão #036 — 8 Técnicas para Investigar Sites que Ninguém Te Ensina](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint) — protocolo completo de investigação de site. E para automatizar essa parte, eu uso uma extensão do Chrome que extrai todos os links externos da página em um clique. No Aulão #042 eu mostro o setup — vale o investimento de configurar uma vez e usar para sempre. > **Veja também:** [Aulão #042 — 5 Ferramentas de Investigação que você precisa conhecer](/aulao-semanal/extensoes-browser-investigacao-digital-osint) — extensões de browser para OSINT. ## Como Runkeeper, Duolingo e Kiwify expõem o golpista A partir do e-mail real do Lucas, o jogo virou. Pelo Hunter (ou manualmente com cada app), você descobre que o e-mail está cadastrado em: - **Runkeeper**: app público de corrida. Você adiciona o e-mail como amigo e vê todos os trajetos. No caso do Lucas, os posts dele tinham legendas: "cardio antes do treino na academia" e "bike até escola". Trajeto ao vivo entrega casa, academia e escola. - **Duolingo**: app mobile de idiomas com pontuação pública. Pontuação recente confirma que o alvo está ativo (pista de uso recente do smartphone). E como é mobile, o app expõe ID do dispositivo, IP e localização para quebra de sigilo legal. - **Kiwify**: plataforma de venda de cursos com KYC obrigatório. Print que o golpista mandou no Discord mostrava o painel de faturamento da Kiwify. Conta com KYC = documentos pessoais cadastrados. Ordem judicial entrega tudo. - **GitHub**: revela repositórios e às vezes commits com o nome real e e-mails antigos. O Runkeeper foi o ponto de virada nas perguntas finais sobre escola e academia. Os trajetos georreferenciados levam direto aos endereços. E como o operador postava com legendas explícitas ("bike até escola"), o investigador só precisava sobrepor o trajeto no Google Maps. ## Google Maps com camadas e Street View para confirmar endereços Os 2 vencedores do desafio (Divinity Neverland em primeiro, Deus do Medo em segundo) entraram na live e explicaram o atalho que travou todo mundo. A pergunta sobre o nome da escola era a mais difícil porque a Escola Eleonor Roussevet não aparece destacada no Google Maps padrão. Solução deles: ativar a camada de **textura/satélite** no Google Maps (botão de camadas no canto inferior direito). Com a textura ativa, escolas pequenas aparecem nitidamente. E aí, com Street View, eles posicionaram o bonequinho exatamente no trajeto que o Runkeeper marcou e validaram visualmente cada prédio. O passo a passo deles: 1. Pegar o endereço da casa identificado via WHOIS 2. Pegar o trajeto "bike até escola" do Runkeeper 3. Abrir Google Maps, ativar camada de textura 4. Marcar pontinho de partida (casa) e destino (escola sugerida pelo Runkeeper) 5. Posicionar Street View no destino para validação visual 6. Cruzar nome do prédio com placa visível no Street View 7. Confirmar: Escola Eleonor Roussevet Mesma técnica para Academia Nikita Fitness e Avenida Engenheiro Domingos Ferreira. Tudo via OSINT puro, sem hackear nada, sem ordem judicial. Apenas dados públicos cruzados com persistência. E essa é a lição central: trabalho de detetive digital é trabalho de paciência cruzando camadas. Quem desiste na primeira ferramenta que não retorna, perde. Quem cruza Wigle + Steam + Hunter + Runkeeper + Google Maps com camadas chega no nome, no endereço e na escola. ## Como WHOIS e Ruxi resolvem domínios anônimos E quando o domínio tem privacidade WHOIS ativa? Você não fica travado. Existe o histórico WHOIS — snapshots tirados antes de o registrante ativar a privacidade. [Ruxi.com](https://ruxi.com) é o serviço que eu uso para isso no Aulão. Cole o domínio, role até o final da página e vão aparecer 3 a 7 registros históricos. Em geral, quase todo domínio .com tem rastro lá — porque a privacidade WHOIS muitas vezes foi ativada anos depois do registro inicial. Para casos onde nem o histórico entrega, existe um vazamento WHOIS russo de 280GB do IntelX com 62 milhões de registros distribuído pelo LeakBase. Nenhum domínio anônimo realmente sobrevive a esse vazamento — exceto os comprados via Monero com privacidade desde o dia zero. E mesmo nesses, o operador costuma cometer falhas em outros pontos (DNS, hospedagem, redes sociais). Para domínios .com.br, o [registro.br](https://registro.br/tecnologia/ferramentas/whois/) entrega WHOIS público com CPF ou CNPJ — sem ferramenta paga, sem rodeios. > **Veja também:** [Aulão #039 — Desafio OSINT ao Vivo: Investigando Pessoas com TryHackMe, RevEye e Wayback Machine](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme) — desafio anterior em formato similar com outras ferramentas. ## Como os vencedores Divinity e Deus do Medo resolveram O Divinity Neverland (1º lugar) e o Deus do Medo (2º lugar) trabalham juntos profissionalmente, mas competiram individualmente. Divinity fechou as 14 respostas em 1h45 de live. O atalho deles confirmou meu fluxo, mas com 2 ajustes que aceleraram o final: 1. **Cruzar variantes do e-mail**: o WHOIS retornou `lucassoares882`, mas o Runkeeper estava em `lucasantoniosoares041`. Eles testaram variantes do e-mail no Hunter até bater. 2. **Camada de textura como reflexo automático**: enquanto eu insistia em buscar academia pelo nome, Divinity já tinha camada ativa e Street View aberto no trajeto. Identificação visual em segundos. E quando perguntei sobre a maior dificuldade, ambos responderam: a escola. Porque o Lucas tinha "cara de universitário" no e-mail (legenda dele dizia faculdades começando com E), mas era ensino médio. Eles testaram cada faculdade da região antes de chegar à escola correta. > **Veja também:** [Aulão #012 — Desvendando Perfis no Twitter: Técnicas de Investigação que Poucos Conhecem](/aulao-semanal/como-investigar-pessoas-no-twitter) — Twitter foi onde Deus do Medo encontrou o restaurante Prato Entre Amigos. Lição que ficou: ranking ao vivo expõe quem trabalha em equipe e quem improvisa. Os 2 ganharam porque tinham fluxo treinado. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Discord | Plataforma palco do log de conversa entre os golpistas | [Discord](https://discord.com) | | Steam | Perfil público com histórico de username acessível | [Steam](https://store.steampowered.com) | | Wigle | Mapeamento mundial de redes Wi-Fi por SSID | [Wigle](https://wigle.net) | | Sherlock | Busca reversa de username em 400+ redes (open-source) | [Sherlock no GitHub](https://github.com/sherlock-project/sherlock) | | Hunter (Bruno Fraga) | Ferramenta proprietária de OSINT que cruza username e e-mail com fazenda de smartphones | [Hunter — Operação Inteligência Oculta](https://l.brunofraga.com/operacao-inteligencia-oculta) | | Runkeeper | App de corrida com trajetos públicos e amigos por e-mail | [Runkeeper](https://runkeeper.com) | | Duolingo | App mobile de idiomas com pontuação pública e dados de smartphone | [Duolingo](https://www.duolingo.com) | | Kiwify | Plataforma de venda de cursos com KYC obrigatório | [Kiwify](https://kiwify.com.br) | | Google Maps com camadas | Visualização de mapa com textura aérea para identificar prédios pequenos | [Google Maps](https://www.google.com/maps) | | Archive.org Wayback Machine | Snapshot de versões passadas de sites | [Wayback Machine](https://web.archive.org) | | registro.br WHOIS | WHOIS oficial para domínios .com.br | [registro.br](https://registro.br/tecnologia/ferramentas/whois/) | | Ruxi | Histórico WHOIS para domínios com privacidade ativa | [Ruxi](https://ruxi.com) | | Chrome DevTools — Inspecionar Elemento | Mapeamento de código fonte e domínios externos da página | [Chrome DevTools](https://developer.chrome.com/docs/devtools) | ## Perguntas Frequentes sobre desafio de investigação digital ### O que é um CTF de investigação digital? CTF (Capture The Flag) é um formato de competição onde participantes resolvem desafios técnicos para coletar "flags". Em CTF de investigação digital, as flags são informações sobre um alvo (nome, endereço, redes sociais, escola) e os participantes usam apenas técnicas de OSINT — fontes abertas — para descobrir. ### Como rastrear pessoa pela rede Wi-Fi? Você pesquisa o SSID (nome da rede) no [Wigle.net](https://wigle.net). O Wigle mantém um banco crowdsourced de redes Wi-Fi mapeadas globalmente — e retorna a localização aproximada da rede. Funciona melhor em áreas urbanas com densidade alta de wardrivers cadastrados. ### Como descobrir o nome real de um usuário do Discord? Você cruza referências externas. Discord não expõe e-mail no perfil, mas usuários costumam usar o mesmo username em outras plataformas (Steam, YouTube, Twitter, Linktree). Busca reversa do username com Sherlock ou Hunter retorna essas redes — onde o nome real costuma estar. ### Como o Runkeeper expõe localização de uma pessoa? O Runkeeper permite adicionar amigos pelo e-mail e ver todos os trajetos públicos com timestamps. Se a vítima posta corridas regulares com legendas como "bike até escola", os trajetos georreferenciados entregam casa, escola e academia. É necessário ter o e-mail correto cadastrado no app. ### Como funciona o histórico WHOIS para domínios anônimos? Quando um domínio é registrado, os dados WHOIS ficam públicos por padrão. Se o registrante ativa privacidade depois, serviços como [Ruxi.com](https://ruxi.com) mantêm snapshots WHOIS anteriores à ativação. Resultado: você descobre o registrante original, mesmo com o WHOIS atual privado. ### Por que inspecionar o código fonte de um site falso? Sites falsos costumam carregar recursos (scripts, imagens, assets) de domínios secundários — checkouts, CDNs, redirects. O operador anonimiza o domínio principal mas esquece os secundários. Inspecionar o código fonte (botão direito > Inspecionar Elemento) revela esses domínios escondidos, e o WHOIS de um deles entrega a identidade. ### Hunter, Sherlock e OSINT Industries: qual é a diferença? Sherlock é open-source, gratuito e roda na CLI — ótimo para começar. OSINT Industries é uma plataforma comercial com escopo médio. Hunter, ferramenta que eu construí, usa fazenda de smartphones reais para validar contas em apps mobile e tem cobertura mais ampla — mas só é demonstrado na minha [Operação Inteligência Oculta](https://l.brunofraga.com/operacao-inteligencia-oculta). ### Posso treinar OSINT com CTF gratuito antes de pagar curso? Sim. Plataformas como TryHackMe têm trilhas gratuitas de OSINT. E meus aulões anteriores ([#017](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) e [#039](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme)) trazem desafios práticos com explicação passo a passo. Treine antes de competir — o ranking ao vivo é implacável com quem improvisa. > **Veja também:** [HI SPY: Como Funciona a Ferramenta de Investigação Digital — Aulão #051](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) > **Veja também:** [Os Bastidores do Protocolo Sherlock: Como Construí Minha Metodologia de Investigação Digital — Aulão #052](/aulao-semanal/protocolo-sherlock-metodologia-investigacao-digital) ## Referências e Recursos - [Wigle - General Wireless Network Mapping](https://wigle.net) - [Sherlock - Username Hunt no GitHub](https://github.com/sherlock-project/sherlock) - [Discord](https://discord.com) - [Steam](https://store.steampowered.com) - [Runkeeper](https://runkeeper.com) - [Duolingo](https://www.duolingo.com) - [Kiwify](https://kiwify.com.br) - [Archive.org Wayback Machine](https://web.archive.org) - [registro.br WHOIS](https://registro.br/tecnologia/ferramentas/whois/) - [Chrome DevTools — Inspecionar Elemento](https://developer.chrome.com/docs/devtools) - [Operação Inteligência Oculta — workshop com a ferramenta Hunter](https://l.brunofraga.com/operacao-inteligencia-oculta) - [Aulão #017 — Desafios Práticos Para Treinar Investigação Digital](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) - [Aulão #039 — Desafio OSINT ao Vivo com TryHackMe, RevEye e Wayback Machine](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme) - [Aulão #044 — WiGLE para Investigação Digital](/aulao-semanal/wigle-investigacao-digital-rastrear-redes-wifi) --- ### Aulão #048 — Como Remover Conteúdo da Internet: Blindagem Digital em 2 Níveis com Caso Real URL: https://brunofraga.com/aulao-semanal/blindagem-digital-remover-conteudo-internet-niveis Publicado: 2024-10-03 Tags: investigacao-digital, ciberseguranca, privacidade, osint, tutoriais YouTube: https://www.youtube.com/watch?v=lXk4fIzYBOA Aulão em vídeo onde mostro ao vivo como remover dados pessoais, processos do JusBrasil, fake news e sites de golpe da internet. Do mecanismo oculto de privacidade dos sites de CNPJ até a investigação avançada com WHOIS, hospedagem e abuse — o método que derrubou mais de 100 sites falsos durante as enchentes do Rio Grande do Sul. ## O que você vai aprender neste aulão de blindagem digital Você vai aprender **como remover conteúdo da internet** que esteja te prejudicando: dados pessoais expostos em sites de CNPJ, processos judiciais antigos no JusBrasil e no Escavador, fake news replicada em dezenas de blogs e até sites de golpe do Pix. Tudo de forma extrajudicial, com fundamento legal e sem depender de processo judicial demorado. No Aulão Semanal #048, eu mostrei ao vivo o passo a passo que aplico em casos reais. Removi uma empresa do CNPJ Business em segundos, expliquei o atalho da Lei Geral de Proteção de Dados que faz o robô do JusBrasil aprovar mais rápido e cobri o Nível 2: investigação de domínio, hospedagem e denúncia via abuse — o mesmo método que derrubou mais de 100 sites falsos de doação durante a tragédia das enchentes do Rio Grande do Sul. Trouxe também a Fabiana Guimarães, advogada criminalista que virou hacker ética e hoje monta um escritório formado por hackers. Ela explicou como transformar a Remoção de Conteúdo na Internet (RCI) em serviço recorrente, com contrato, cláusula LGPD e administração de expectativa do cliente. Se você quer se proteger ou prestar o serviço, este é o material que vale como referência. ## Internet não é terra sem lei: o fundamento por trás de toda remoção Internet **não** é terra sem lei. Tudo que tem responsável por trás pode ser removido — e sempre tem alguém por trás. Domínios têm dono, sites têm hospedagem, postagens têm plataforma, processos têm operador. A pergunta não é "tem como?". A pergunta é: você sabe identificar o **onde** e o **quem**? Para deixar isso claro, eu uso uma analogia que peguei do mundo físico: imagine uma caixa de som difamando você em algum lugar da cidade. O som chega até a sua casa, o seu consultório, a sua empresa. Você não sabe onde a caixa está. Você vai à delegacia e fala: "tem um som, não sei de onde, falando mal de mim". Quanto você acha que a polícia vai se empenhar para investigar o som? Praticamente nada. Faz sentido. Tem crime acontecendo, tem urgência maior, tem prioridade. Agora vire o jogo. Você chega com o endereço exato da caixa, identifica o dono do terreno, traz o fundamento legal (lei do silêncio, difamação, ataque). E pede ao dono do terreno para desligar — ou aciona quem precisa ser acionado. A coisa muda. O som cai em horas. É **exatamente** o raciocínio da remoção de conteúdo. Você identifica o proprietário do domínio, da hospedagem, da plataforma, e aciona o fundamento (LGPD, difamação, direito autoral, fraude). E LGPD existe justamente para isso no caso de dados pessoais. Esse é o fio condutor de tudo que vou mostrar abaixo. ## Os erros que travam qualquer remoção de conteúdo online Antes de praticar, evite os 4 erros que vejo até alunos do Técnicas de Invasão cometendo logo no começo. ### Erro 1: entrar na justiça sem dados Tem gente que abre processo judicial informando que "viu uma vez" o conteúdo, sem URL, sem domínio, sem print. O juiz não vai virar investigador para você. Você precisa entregar o pacote pronto: URL completa, prints datados, identificação do responsável. Se você não tem dados, o caminho é levantar primeiro — depois processar (se ainda for necessário). ### Erro 2: postar reclamação em fórum público Postar no Reclame Aqui que "o site xporn está compartilhando meu vídeo pessoal" não funciona. Eu pesquisei agora e encontrei reclamações com meses, anos sem resposta. São empresas em outras jurisdições, que não respondem àquele canal. Você está gastando energia no lugar errado. ### Erro 3: acreditar que conteúdo da internet é fantasma "Está na internet, não tem o que fazer." Falso. Esse é o mito que mais trava remoção. Tem sim o que fazer. Em quase todo caso real que eu peguei nos últimos 5 anos, deu para resolver — parte em horas, parte em semanas, com casos raros em meses. Mas a remoção acontece se você seguir o método certo. ### Erro 4: não saber a diferença entre dados empresariais e pessoais no Brasil O Brasil é um país com microempreendedor individual em massa. Quem abre MEI usa telefone, e-mail e endereço pessoais — não tem escritório, não tem alvará, não tem CNPJ comercial separado. Aí esses dados pessoais vão para a base pública e são indexados em sites como CNPJ Business, Ecodata, Linka. Eles não são dados "empresariais" de fato. São dados pessoais com roupa empresarial. E a LGPD se aplica. ## Como remover dados pessoais do CNPJ em sites de consulta (Técnica 1) Quem abre MEI no Brasil tem o telefone tocando em uma semana com golpe de boleto, falsa contabilidade, falsa DARF. O motivo é simples: sites de consulta de CNPJ baixam a base pública da Receita, indexam no Google e ganham dinheiro com anúncios em cima dos seus dados. Eu mostrei ao vivo no aulão pesquisando "Bruno de Abreu Soares Fraga" entre aspas duplas — apareceu endereço antigo de Sapucaia, telefone do escritório antigo da Barra Funda, 2 empresas que nem existem mais. A boa notícia é que a LGPD obriga esses sites a fornecer mecanismo de remoção. Eles não são obrigados a deixar fácil — mas são obrigados a fornecer. Eu chamo isso de **mecanismo oculto**: está lá, mas você precisa caçar. O fluxo prático que eu apliquei ao vivo no [CNPJ Business](https://cnpj.biz): 1. Rolar até o rodapé do site procurando "política de privacidade" ou "contato" 2. Buscar palavras-chave dentro da página: ocultar, remover, atualizar, apagar 3. Preencher o formulário com nome completo igual ao da CNH, CNPJ alvo e ação desejada 4. Validar via e-mail (chega em segundos um link de confirmação) 5. Atualizar a página — a empresa some na hora ou em até 30 dias Eu apaguei a Fraga XRH LTDA do CNPJ Business durante a aula. Recebi o e-mail "Solicitação executada" e ao recarregar a página, a empresa já não aparecia mais. O aluno Luiz comentou no chat: "Já tirei dois agora mesmo". Esse é o ritmo do mecanismo oculto. E vale o mesmo para [Ecodata](https://ecodata.com.br) e [Linka](https://linka.com.br). Cada site tem um formulário diferente, mas o processo é idêntico: cace o link, preencha, valide, espere. Não existe verificação se o telefone ou endereço é "empresarial" ou pessoal — então marque tudo que quiser remover. > **Veja também:** [Aulão #026 — Como Remover Conteúdo da Internet: Do Mapeamento à Notificação Extrajudicial](/aulao-semanal/como-remover-conteudo-da-internet-guia-pratico) — episódio anterior que ataca o tema com foco em mapeamento. ## Como tirar processo do JusBrasil e do Escavador passo a passo Processos judiciais são públicos — **mas** isso não significa que precisem aparecer no Google atrelados ao seu nome em sites de terceiros. Ser processado acontece com qualquer pessoa. O problema é a imagem que fica na cabeça de quem te pesquisa: o RH que vê processo trabalhista antes de te contratar, a imobiliária que recusa locação porque "esse cliente parece arriscado", o consulado americano que nega visto. Tive 2 casos reais nesse aulão: um empresário que perdeu locação de apartamento porque a imobiliária consultou o nome dele no JusBrasil, e outro que pediu revisão do visto americano e descobriu que processos antigos no Google contribuíram para a negativa. Os 2 conseguiram limpar o nome com o método abaixo. ### Remover do Escavador No card do processo, abra os 3 pontinhos no canto e clique em **Remover informações**. O fluxo agora exige: 1. Validar e-mail com código 2. Anexar CNH ou documento oficial 3. Assinar termo via Gov.br (mudou recentemente — antes era só CNH) 4. Indicar a URL específica do processo 5. Preencher motivo: **lei geral de protecao de dados** (sem acento — o robô aprova mais rápido) A confirmação chega por e-mail. O nome é removido após análise. Eu tenho prints de remoções aprovadas em horas. ### Remover do JusBrasil Mesmo padrão: 3 pontinhos no card, **Reportar > Solicitar privacidade de informações**. A diferença está nas regras: - Cada conta no JusBrasil é vinculada a 1 CPF — você não consegue remover dados de terceiros sem criar conta nova - A anonimização é **imediata** assim que você envia (o nome some na hora) - Mas a desassociação completa do perfil leva até 90 dias - Se o nome na CNH bate exatamente com o nome no processo, é automático. Se tem abreviação, acento diferente, vai para análise humana e demora mais Tenho um e-mail aqui do JusBrasil de uma remoção minha: solicitada às 9 da manhã, aprovada às 8 da noite do mesmo dia. 12 horas. Já saiu do site, já saiu do Google em 1 ou 2 dias. Pequeno aparte sobre o nome na CNH (regra que evita 80% dos problemas): preencha o motivo e o nome **exatamente** como aparece no processo e na CNH. Se uma diferir da outra, atrasa. > **Veja também:** [Aulão #040 — De 100 Sites Derrubados a Serviço de Remoção](/aulao-semanal/como-remover-conteudo-online-servico-remocao) — para quem quer formatar RCI como serviço. ## Como remover dados pessoais do Google em 12 horas Tirar do site não basta. O Google ainda mostra cache antigo. Tem 2 caminhos: ### Caminho lento: formulário de remoção de dados pessoais do Google O Google tem uma página onde você pede a remoção direta de dados pessoais do índice. Funciona, mas é lento e tem critérios próprios. ### Caminho rápido (o que eu uso): Request a Refresh of Outdated Content Se você já removeu o dado da página-fonte, use a ferramenta de [atualização de conteúdo desatualizado do Google Search Console](https://search.google.com/search-console/remove-outdated-content). É gratuita e exige só conta Google. Fluxo: 1. Antes de remover do site original, copie a URL exata do resultado 2. Acesse a ferramenta e clique em **Nova requisição** 3. Selecione **Atualizar conteúdo de página que mudou** 4. Cole a URL e envie O Google checa a página de destino, vê que o dado mudou e atualiza o snippet em 12 a 48 horas. Eu uso esse caminho 90% das vezes — é matemático: o destino mudou, o índice atualiza. Sem briga, sem petição, sem espera. ## Como mapear conteúdo replicado em fake news e blogs (Técnica 2) E quando o conteúdo está em um blog qualquer, em um site de notícia que não tem mecanismo de remoção, em 50 réplicas espalhadas pela internet? Aí entra o Nível 2. Tive um caso real ofuscado no aulão: um influencer envolvido em notícia-crime de pedofilia. O inquérito vazou, e dezenas de blogs replicaram a manchete com variações para indexar mais. Como derrubar isso? Não dá um por um, no chute. Você precisa **mapear** primeiro. ### Mapeamento via Google Hacking e Advangle Pegue uma manchete específica do conteúdo (algo único, com 4-6 palavras) e jogue entre aspas duplas no Google. Vai aparecer toda página que replicou aquela manchete. Para buscas mais sofisticadas, use [Advangle](https://www.advangle.com), que monta filtros combinando palavras-chave, datas e idioma — você consegue filtrar "todas as páginas com X e Y publicadas no último mês". > **Veja também:** [Aulão #008 — 7 Buscas Perigosas que Revelam Informações Sensíveis no Google](/aulao-semanal/google-hacking-buscas-perigosas-dorks) — fundação de Google Hacking. ### Listagem em planilha Eu monto uma tabela com 6 colunas: - Título da página - Tipo de conteúdo - Plataforma (site, rede social, blog) - Data de publicação - URL completa - Score de prioridade (1-5) O score serve para definir por onde começar com o cliente. Se tem 200 réplicas, qual é a mais grave? Qual aparece na primeira página do Google quando alguém pesquisa o nome? Essas sobem para o topo da lista. ## Como descobrir o dono de um domínio com WHOIS Mapeado o conteúdo, próximo passo: identificar o proprietário de cada domínio. O protocolo WHOIS resolve isso. ### Domínios .com.br: registro.br entrega tudo Acesse [registro.br](https://registro.br/tecnologia/ferramentas/whois/) e busque o domínio. Para IPs nacionais, aparece e-mail, telefone, CPF ou CNPJ do registrante. Eu estava na Coreia do Sul gravando o aulão, então o registro.br me bloqueou os dados de contato — mas para você no Brasil, é direto. ### Domínios .com, .net, .info: privacidade WHOIS é o desafio A maioria dos domínios .com hoje vem com privacidade WHOIS ativada (Domains by Proxy, WhoisGuard, etc.). Você consulta e não vê dono. Aí tem 2 saídas reais: **1. Histórico WHOIS via Ruxi** Sites como [Ruxi.com](https://ruxi.com) guardam snapshots do WHOIS antes da privacidade ser ativada. No aulão, eu peguei o domínio tribunahoje.com (cliente Cloudflare, com privacidade) — e o Ruxi mostrou 5 registros históricos. Apareceu Victor Oliveira, e-mail dele, empresa VG Web. Acabou a privacidade. Tem nome, tem caminho. **2. Vazamento WHOIS russo** Existe um vazamento gratuito de 280GB do IntelX com 62 milhões de registros WHOIS históricos, distribuído via [LeakBase](https://leakbase.io). Você cria conta grátis, baixa o arquivo, processa. É absurdamente eficiente. Para quem não quer baixar 280GB, o Ruxi consulta o mesmo vazamento por trás. > **Veja também:** [Aulão #007 — O Guia Definitivo para Descobrir Quem Está Por Trás de Qualquer Site](/aulao-semanal/como-descobrir-o-dono-de-um-site) — a base de tudo isso. Pequeno aparte (importante para casos reais): mesmo quando a privacidade WHOIS está ativa há anos, dá para achar pista cruzando subdomínio + e-mail no [Hunter](https://l.brunofraga.com/operacao-inteligencia-oculta) e checando se a pessoa por trás do registro original ainda controla o domínio. Esse é o jogo. ## Identificar a hospedagem e denunciar via abuse E se nem o WHOIS nem o vazamento entregam contato? Próxima camada: a hospedagem. A premissa é simples — nenhuma empresa de hospedagem quer manter phishing, fraude ou difamação no ar. O cliente paga 30 reais por mês. A hospedagem não vai comprar briga judicial por isso. Você reporta, eles derrubam. ### Como identificar a hospedagem Pesquise no Google "identify hosting of website" e use 1 dos sites que aparecem. Cole o domínio. Em 5 segundos você sabe se é HostGator, Hostinger, DigitalOcean, Cloudflare, AWS. Pronto. ### Onde denunciar (canais abuse das principais hospedagens) | Hospedagem | Canal de denúncia | Aceita | |---|---|---| | HostGator | [HostGator Abuse](https://suporte.hostgator.com.br/hc/pt-br/articles/360046061452) | Phishing, pornografia, neonazismo, racismo, falsa identidade | | Hostinger | [Hostinger Abuse](https://www.hostinger.com.br/contatos) | Phishing, malware, spam | | DigitalOcean | [DigitalOcean Report Abuse](https://www.digitalocean.com/company/contact/abuse) | DDoS, spam, malware, abuso infantil, extorsão | | Cloudflare | [Cloudflare Abuse](https://abuse.cloudflare.com) | Phishing, DMCA, registro WHOIS falso | Se o site está atrás da Cloudflare (a maioria está), reporte direto na Cloudflare. E Cloudflare é super responsiva — eu já vi domínios falsos de Pix caírem em horas só com 1 reporte. Mas Hostinger e DigitalOcean também respondem rápido quando o pedido vem com print e URL. Caso documentado: durante a tragédia das enchentes do Rio Grande do Sul, derrubamos mais de 100 sites de doação falsa via Pix em 3 dias usando esse método. > **Veja também:** [Aulão #043 — Como Investigar Golpes do Pix](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao) — caso prático de takedown em escala. E o que reportar? Phishing, spam, malware, DDoS, conteúdo difamatório, propaganda política irregular, racismo, pornografia, direito autoral, falsa identidade. Todo formulário de abuse aceita esses tipos. > **Veja também:** [Aulão #016 — Desmascarando E-mails Fraudulentos: Do Cabeçalho Suspeito ao Takedown do Site Falso](/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas) — sequência completa de takedown. ## Investigação OSINT avançada para casos sem retorno E se nem WHOIS nem hospedagem entregam? Aí é hora do trabalho de detetive. Caso histórico que ilustra o método: Silk Road, o maior mercado negro da deep web. Como o FBI achou Ross Ulbricht? Rastrearam o **primeiro post** que divulgou o domínio do Silk Road em um fórum público anos antes. O cara escreveu uma vez, em uma conta antiga, e o FBI cruzou. Caiu o maior mercado ilegal da história. Você pode replicar essa lógica em escala menor. No Google, use o operador `link:dominio.com` para encontrar quem compartilhou aquele domínio. Vai aparecer Telegram, Twitter, YouTube, blogs. Cada compartilhamento é uma pista. Para quem quer investigação profissional, eu construí o [Hunter](https://l.brunofraga.com/operacao-inteligencia-oculta), ferramenta que demonstro na Operação Inteligência Oculta. No aulão, peguei o tribunahoje.com e o Hunter expandiu até Strava da pessoa por trás, eBay, Skype, Pinterest, Apollo, telefone vinculado, conta Google com avaliações públicas. Tudo conecta. E Hunter cruza essas pontes em segundos, em vez de horas de OSINT manual. Mas o operador ainda precisa interpretar os dados — a ferramenta não substitui o investigador. > **Veja também:** [Aulão #036 — 8 Técnicas para Investigar Sites que Ninguém Te Ensina](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint) — extensão do Nível 2. ## Como prestar serviço de Remoção de Conteúdo na Internet (RCI) Trouxe a Fabiana Guimarães no aulão — advogada criminalista que virou hacker ética depois do meu Técnicas de Invasão e do TDIXP. Hoje ela monta um escritório formado por hackers e oferece RCI como serviço regular. O recado dela: ### Estruture como serviço, não como favor O fluxo profissional dela: 1. **Levantamento completo** — identifica todos os links com o nome do cliente 2. **Apresentação ao cliente** — vídeo, reunião online ou ligação para passar segurança 3. **Orçamento e prazo** com escopo claro (remover só negativo? Tudo?) 4. **Contrato de prestação de serviço** com cláusula LGPD e cláusula de confidencialidade 5. **Execução com upload de documentos do cliente** (CNH para JusBrasil, Escavador) 6. **Relatório de progresso** porque a remoção é invisível e o cliente fica ansioso ### Casos reais dela Empresário travado em locação porque processos antigos arquivados aparecem no Google. Empresário com visto americano negado parcialmente por causa de processos públicos. Cliente com blog de difamação replicando recortes de notícia em época de eleição (Black Hat SEO de concorrente). Empresa com dados de CNPJ inativo aparecendo em portais de consulta há anos. A demanda flutua com a onda. No início do ano, RCI puro. Em outubro, com eleição, ataques digitais e fake news. Sempre tem trabalho. ### O que ela mais reforça: gestão de expectativa > "O cliente fica esperando que aquela informação suma. É invisível. E isso dá uma agonia." Tem remoções rápidas (CNPJ Business em segundos, Escavador em horas) e tem remoções lentas (JusBrasil em até 90 dias para desassociar perfil, sites internacionais que ignoram abuse). Explique antes do contrato. Mas Fabiana faz questão de reforçar um detalhe: cliente informado é cliente que confia. E Fabiana grava vídeo curto a cada etapa concluída para reduzir a ansiedade — esse é o tipo de cuidado que diferencia o serviço. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Google Search | Pesquisa exata com aspas duplas e operador `link:` | [Google](https://www.google.com) | | JusBrasil | Anonimização de processos com conta vinculada ao CPF | [JusBrasil](https://ajuda.jusbrasil.com.br/hc/pt-br/articles/360051489871-Como-solicitar-a-remocao-do-meu-nome-de-um-processo) | | Escavador | Remoção de processos com assinatura Gov.br | [Escavador](https://ajuda.escavador.com/hc/pt-br/categories/360002080211) | | CNPJ Business | Site de consulta de CNPJ com remoção via política de privacidade | [CNPJ Business](https://cnpj.biz) | | Ecodata | Consulta de empresas com formulário de remoção | [Ecodata](https://ecodata.com.br) | | Linka | Plataforma de consulta de empresas | [Linka](https://linka.com.br) | | Google Search Console — Remove Outdated Content | Pedir atualização de snippet desatualizado em até 12 horas | [Remove Outdated Content](https://search.google.com/search-console/remove-outdated-content) | | Gov.br | Assinatura digital exigida pelo Escavador | [Gov.br](https://www.gov.br/governodigital/pt-br/identidade) | | Advangle | Construtor de buscas avançadas no Google | [Advangle](https://www.advangle.com) | | registro.br WHOIS | WHOIS oficial para domínios .com.br | [registro.br](https://registro.br/tecnologia/ferramentas/whois/) | | Ruxi | Histórico WHOIS de domínios com privacidade ativa | [Ruxi](https://ruxi.com) | | LeakBase | Vazamento WHOIS gratuito de 62 milhões de registros | [LeakBase](https://leakbase.io) | | HostGator Abuse | Canal abuse para hospedagem brasileira | [HostGator Abuse](https://suporte.hostgator.com.br/hc/pt-br/articles/360046061452) | | Hostinger Abuse | Canal de denúncia da Hostinger | [Hostinger](https://www.hostinger.com.br/contatos) | | DigitalOcean Abuse | Reportar VPS com conteúdo malicioso | [DigitalOcean Abuse](https://www.digitalocean.com/company/contact/abuse) | | Cloudflare Abuse | Reportar domínios proxiados pela Cloudflare | [Cloudflare Abuse](https://abuse.cloudflare.com) | | Hunter | Ferramenta proprietária de OSINT que enriquece dados a partir de domínio ou e-mail | [Hunter — Operação Inteligência Oculta](https://l.brunofraga.com/operacao-inteligencia-oculta) | ## Perguntas Frequentes sobre remoção de conteúdo da internet ### É possível remover qualquer conteúdo da internet? Praticamente sim, desde que haja fundamento legal: LGPD para dados pessoais, difamação, direito autoral, fraude, conteúdo com responsável identificável. O que muda é o tempo: parte cai em horas, outra parte em semanas. Internet não é terra sem lei. ### Como remover meu nome do JusBrasil e do Escavador? No JusBrasil, abra o processo, clique nos 3 pontinhos do card e em **Reportar > Solicitar privacidade**. Crie conta vinculada ao seu CPF e envie CNH. No Escavador, é o mesmo fluxo, mas com assinatura via Gov.br como passo extra. Use o motivo "lei geral de protecao de dados" sem acento — o robô aprova mais rápido. ### Quanto tempo demora para o Google atualizar a remoção? Se você usar a ferramenta de **Remove Outdated Content** do Google Search Console e a página-fonte já tiver sido atualizada, o snippet sai em 12 a 48 horas. Se você só removeu do site original sem pedir refresh, o Google demora de 7 a 30 dias para perceber e atualizar. ### Como denunciar um site de fraude ou phishing? Identifique a hospedagem usando ferramentas tipo "identify hosting of website". Encontre o canal abuse da provedora (HostGator, Hostinger, DigitalOcean, Cloudflare) e preencha o formulário com URL, evidência (prints) e tipo de denúncia. Sites de phishing caem em até 48 horas com reporte bem feito. ### O que faço se o domínio tem privacidade WHOIS? Use serviços como Ruxi.com para consultar histórico WHOIS — em geral o domínio teve dono identificável antes da privacidade ser ativada. Outra opção é baixar o vazamento WHOIS russo distribuído pelo LeakBase, que tem 62 milhões de registros históricos. Quase todo domínio .com tem rastro lá. ### Qual o atalho do "lei geral de protecao de dados sem acento"? Como o JusBrasil e o Escavador usam triagem automatizada baseada em texto, escrever o motivo sem acento ajuda o sistema a reconhecer o pedido como amparado pela LGPD e a aprovar mais rápido. Eu copio e colo a frase exata em todas as solicitações. ### Posso prestar serviço de remoção de conteúdo profissionalmente? Sim — desde que com contrato de prestação de serviço, cláusula LGPD e cláusula de confidencialidade. A advogada Fabiana Guimarães recomenda fechar contrato antes de pedir CNH do cliente. O serviço é boa porta de entrada para escritórios e tem demanda alta em época de eleição, ataques de Black Hat SEO e exposição de dados. ### Como derrubar fake news replicada em dezenas de blogs? Mapeie primeiro com Google Hacking (manchete entre aspas duplas) e Advangle. Liste título, domínio, plataforma, URL e prioridade em planilha. Identifique WHOIS e hospedagem de cada domínio. Denuncie em massa via canais abuse. Foi o método que usamos para derrubar mais de 100 sites falsos de doação de Pix nas enchentes do Rio Grande do Sul. ## Referências e Recursos - [Lei 13.709/2018 — Lei Geral de Proteção de Dados (Planalto)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) - [Google Search Console — Remove Outdated Content](https://search.google.com/search-console/remove-outdated-content) - [JusBrasil — Como solicitar a remoção do meu nome de um processo](https://ajuda.jusbrasil.com.br/hc/pt-br/articles/360051489871-Como-solicitar-a-remocao-do-meu-nome-de-um-processo) - [Escavador — Solicitações de remoção](https://ajuda.escavador.com/hc/pt-br/categories/360002080211) - [registro.br WHOIS](https://registro.br/tecnologia/ferramentas/whois/) - [Cloudflare Abuse Report](https://abuse.cloudflare.com) - [DigitalOcean Report Abuse](https://www.digitalocean.com/company/contact/abuse) - [Advangle — Advanced Google Search Builder](https://www.advangle.com) - [Operação Inteligência Oculta — workshop com a ferramenta Hunter](https://l.brunofraga.com/operacao-inteligencia-oculta) - [Aulão #026 — Como Remover Conteúdo da Internet: Do Mapeamento à Notificação Extrajudicial](/aulao-semanal/como-remover-conteudo-da-internet-guia-pratico) - [Aulão #040 — De 100 Sites Derrubados a Serviço de Remoção](/aulao-semanal/como-remover-conteudo-online-servico-remocao) - [Aulão #007 — O Guia Definitivo para Descobrir Quem Está Por Trás de Qualquer Site](/aulao-semanal/como-descobrir-o-dono-de-um-site) --- ### Aulão #047 — Como Encontrar Bens Ocultos de Devedores: Protocolo de 5 Passos com Armando Zanin URL: https://brunofraga.com/aulao-semanal/como-encontrar-bens-ocultos-devedores-investigacao-patrimonial Publicado: 2024-10-02 Tags: osint, investigacao-digital, tutoriais YouTube: https://www.youtube.com/watch?v=3f16e0ZH07A Aulão ao vivo com o especialista Armando Zanin revelando o protocolo de 5 passos usado na Recuperium para localizar patrimônio oculto de devedores. Combina OSINT, redes sociais, processos judiciais e pesquisa em cartório — com casos reais de divórcio simulado, Iceberg do Devedor e laranjas. ## O que você vai aprender neste aulão Se você já se perguntou **como encontrar bens ocultos de devedores** num país onde 13 milhões de processos estão parados por ausência de patrimônio, este aulão é o atalho que faltava. Convidei o doutor Armando Zanin — advogado há 20 anos, doutor em Direito Tributário e referência brasileira em investigação patrimonial com mais de R$ 150 milhões já localizados — para entregar, ao vivo, o protocolo de cinco passos que ele usa na Recuperium para desmontar blindagens patrimoniais. Eu mostro onde o OSINT entra nesse protocolo, como redes sociais derrubam um divórcio simulado de 20 anos atrás e por que começar pelo cartório é o erro número um de quem tenta rastrear patrimônio oculto sozinho. Você vai sair com nomes de ferramentas (Sr. Watson, upMiner, Assertiva, Registro.br, Sisbajud), com os casos reais que discutimos no aulão e com a sequência operacional para aplicar amanhã em qualquer execução judicial que esteja parada. Este é o aulão número 47 do Aulão Semanal, gravado ao vivo no canal. E se você já acompanha o trabalho de OSINT empresarial que venho construindo aqui, vai reconhecer rapidamente como a investigação patrimonial é uma extensão direta da mesma teia que a gente sempre monta. ## Por que a investigação patrimonial virou mercado no Brasil A investigação patrimonial é o processo de localizar bens de um devedor que foram escondidos em nome de terceiros, offshores, holdings ou em estruturas de blindagem. Ela nasce de uma fratura operacional: o Brasil tem 80 milhões de processos em tramitação e pouco mais de 18 mil juízes para dar conta deles. O próprio Zanin usou a frase que ficou marcada: "o sistema travou". O número que me chamou mais atenção no aulão foi este: o país acumula hoje quase 13 milhões de execuções arquivadas ou suspensas por ausência de bens do devedor. São bilhões em créditos parados porque o judiciário tira uma foto do CPF do devedor, não acha nada no nome dele e fecha a gaveta. E Zanin aponta esse exato gargalo como o motivo para a investigação privada existir. E aqui entra a analogia mais precisa que o doutor usou: "o judiciário bate uma foto, ele não faz um filme da vida do devedor". A investigação privada é exatamente o que faz o filme — quem é o cônjuge, quem é a filha, para quem ele transferiu o imóvel em 2018, qual é o CNPJ que fatura hoje no endereço antigo. Sem esse filme, a execução não anda. Tem um gatilho novo de mercado que vale registrar agora. Na véspera da live, foi publicada alteração no Código Tributário Nacional autorizando União, Estados e Municípios a vender créditos tributários para terceiros. Mais detalhes sobre esse movimento estão na análise da [Capital Aberto sobre a Lei 14.375/2022](https://capitalaberto.com.br/temas/legislacao-e-regulamentacao/as-inovacoes-da-transacao-tributaria-na-lei-14-375-2022). Trilhões em crédito que estavam parados no setor público vão migrar para fundos de investimento e securitizadoras — e esses fundos contratam investigação patrimonial em escala. ## Quem pode fazer busca patrimonial de devedores no Brasil Qualquer pessoa pode fazer investigação patrimonial no Brasil. Não é atividade privativa de advogado e não há regulamentação profissional exigindo bacharelado. Zanin confirmou isso de forma categórica durante o aulão, e ele próprio treina investigadores que não vêm do Direito. Quem tem formação jurídica leva uma vantagem inicial — conhece estruturas societárias, tipos de holding, mecânica do processo de execução. Mas quem vem do campo técnico (OSINT, análise de dados, auditoria) tem outra vantagem: frieza para agir. E isso importa porque o advogado sofre uma ânsia constante — ele sente o processo correndo, o cliente cobrando honorário. Aí o investigador afoito pula etapa e cai em armadilha que o próprio devedor plantou. O público real desse conhecimento inclui 5 perfis que convergem no mesmo ponto: - Advogados com carteira de processos de execução parados por ausência de bens - Investigadores particulares e profissionais de OSINT que querem um nicho com demanda firme - Analistas de recuperação de crédito em fundos, securitizadoras e factorings - Profissionais de compliance e due diligence empresarial - Peritos e consultores em perícia patrimonial que prestam apoio técnico O que une todos eles é o mesmo raciocínio operacional: entender quem é o devedor, mapear a teia e produzir prova suficiente para forçar acordo ou penhora. Esse raciocínio é treinável. E Zanin confirma que o protocolo roda dentro da Lei Geral de Proteção de Dados quando baseado em fontes públicas. ## O protocolo de 5 passos para localizar patrimônio oculto O protocolo que a Recuperium aplica tem cinco fases em ordem rígida. A razão da ordem é simples: se você pular direto para o cartório ou para a pesquisa patrimonial, vai repetir o que o judiciário já fez e voltar de mãos vazias. A investigação patrimonial efetiva começa longe do ativo. Os cinco passos, na sequência correta: 1. Conhecer o devedor — comportamento, histórico processual, negociações 2. Árvore genealógica e relacionamentos econômicos 3. Redes sociais e processos judiciais como fonte de prova 4. Pesquisa patrimonial em cartório, Detran, INPI e Registro.br 5. Fechamento da teia e repetição do protocolo sobre os laranjas identificados Perceba uma coisa importante: o passo 5 é o mais contraintuitivo. No fim do protocolo, o investigador repete o fluxo inteiro sobre cada laranja que apareceu. Ou seja, o devedor original acaba sendo o menos investigado. Quem aparece de verdade no processo como alvo das provas é a filha, o sócio, a empresa nova que apareceu no endereço antigo. E esse detalhe explica por que 70% dos casos da Recuperium terminam em acordo antes de virar petição pública. Quando o devedor recebe a notificação extrajudicial com a roda patrimonial em nome da esposa, da filha e do sócio formal, ele prefere pagar a expor a estrutura para outros 349 credores. ### Passo 1: conhecer o devedor antes de abrir qualquer ferramenta A primeira regra do protocolo é: nunca aceite uma missão com escopo aberto. Frase como "investiga o fulano aí" não é briefing — é convite para você gastar tempo sem entregar nada. O objetivo precisa ser mensurável: achar ativo para pagar dívida de R$ X num processo Y. E Zanin reforçou isso em toda a aula — briefing solto é briefing que gasta seu dinheiro sem retorno. Com o objetivo firme, o trabalho começa estudando o devedor. Quem ele é na negociação, como ele se comporta no processo, se há padrão de inadimplência, se ele já apareceu em outras execuções. Esse estudo inicial direciona todas as buscas seguintes — e evita o erro do advogado afoito que gasta R$ 200 em certidões sem ter a menor ideia do que está procurando. A segunda distinção do passo 1 é separar devedor solvente de devedor insolvente. Uma multinacional com patrimônio em nome próprio paga espontaneamente depois da sentença — ela não precisa de investigação. O alvo do trabalho é o devedor profissional, aquele que estruturou pessoa jurídica pobre e pessoa física rica, ou que hoje não tem mais nada no CPF porque blindou tudo entre 2015 e 2022. ### Passo 2: árvore genealógica e relacionamentos econômicos O passo 2 monta o mapa humano e societário do devedor. Árvore genealógica primeiro — pais, cônjuge, filhos, irmãos. Depois relacionamentos econômicos ao longo de toda a vida dele, não só a foto de hoje: todas as sociedades em que ele já foi sócio, minoritário ou majoritário, quotista ou administrador. E aqui é onde ferramentas pagas começam a fazer diferença. O [Sr. Watson](https://srwatson.io/) mapeia as conexões societárias entre CNPJs brasileiros e foi inspirado na base do [Offshore Leaks do ICIJ](https://offshoreleaks.icij.org/) — a mesma base que desmontou o Panama Papers. Para background check e due diligence de processos, o [upMiner da upLexis](https://uplexis.com.br/) consulta tribunais de todo o país com CPF ou CNPJ e tem uma base agregada com 570 milhões de processos. A [Assertiva Soluções](https://assertivasolucoes.com.br/) é datatech com 6 mil clientes e agrega 20 categorias de informação patrimonial num único documento. Durante essa fase já começam a aparecer nomes em vermelho — um irmão que virou sócio da empresa nova no mesmo ramo, um amigo cujo CPF assinou a compra do carro. Esses nomes viram hipóteses de laranja que serão confirmadas nos passos 3, 4 e 5. ### Passo 3: redes sociais e processos judiciais como prova Dentro do passo 3 existem duas fontes que se complementam: redes sociais e processos judiciais. A rede social entrega ostentação e convivência. O processo judicial entrega patrimônio que o CPF não mostra. Sobre redes sociais: o devedor profissional precisa ostentar. Ele precisa postar o carrão, o restaurante caro, o camarote, a lancha no final de semana. Essa ostentação é o que dá credibilidade para ele aplicar novos golpes — então ele não abre mão. E é exatamente isso que derruba a defesa dele no processo. [Instagram](https://www.instagram.com) e [LinkedIn](https://www.linkedin.com) entram como fontes obrigatórias. Para perfis privados, existe a técnica de phantoxis que eu demonstrei com detalhe no [Aulão #032 — investigação ativa com phantoxis](/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint) — infiltrar sem quebrar sistema, apenas engajando com o alvo. Sobre processos judiciais: aqui tem o que o Zanin chamou de "pulo do gato". Execução fiscal de IPTU prova que o devedor tem imóvel — mesmo sem registro no CPF dele, porque o IPTU é cobrado de quem exerce posse ou propriedade. Audiência trabalhista vira lavagem de roupa suja: o funcionário revoltado aponta o verdadeiro dono da empresa durante a ata. E pasmem — o próprio devedor é credor em outros processos, com precatórios ou sentenças a receber que ninguém penhorou por displicência. ### Passo 4: cartório, Detran, INPI e Registro.br O passo 4 é a pesquisa patrimonial propriamente dita — e repito, é a quarta fase, não a primeira. Pegar o CPF do devedor e pesquisar direto no cartório reproduz o que o [Sisbajud do Banco Central](https://www.bcb.gov.br/estabilidadefinanceira/sisbajud) e o sistema do judiciário já fizeram. Não vai achar nada porque o devedor profissional não deixa bem registrado no nome dele. O que o cartório entrega quando você chega nele com a teia já montada: - Matrícula de imóveis com histórico de transmissões (quem comprou, quem vendeu, quando, por quanto) - Procurações em nome próprio — instrumento que permite um terceiro usar e dispor do bem sem estar registrado como dono - Averbações de casamento, divórcio e separação com regime de bens - Escrituras de compra e venda com referências cruzadas para outros imóveis A matrícula de um imóvel é especialmente poderosa: ela é o filme do bem. Ela mostra que o imóvel em 2014 estava no nome do devedor, passou para a esposa em 2016, virou holding em 2019 e hoje aparece em nome de uma filha que tinha 18 anos na época da transferência. Isso é prova direta de fraude à execução, com data e lastro. Além do cartório, o passo 4 inclui [Detran](https://www.gov.br/pt-br/servicos/consultar-veiculos-registrados-no-denatran) para veículos, [INPI](https://www.gov.br/inpi/pt-br) para marcas e patentes (ativo intangível frequentemente esquecido), e [Registro.br](https://registro.br/) para domínios .br. O caso que Zanin contou sobre o Registro.br foi marcante: um investigado dizia ser vendedor numa empresa X, não apareceu relação direta em nenhuma base, mas a consulta de WHOIS mostrou que o domínio da empresa estava em nome dele — o vendedor era o dono oculto. Se você quer entender o fluxo completo de consulta WHOIS, veja o [Aulão #007 — como descobrir o dono de um site](/aulao-semanal/como-descobrir-o-dono-de-um-site) e também as técnicas do [Aulão #036 — investigar sites](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint). ## Divórcio simulado: a fraude que o Instagram desmonta Divórcio simulado é uma estratégia de blindagem patrimonial usada há mais de 20 anos no Brasil. O mecanismo é direto: o devedor casado em comunhão universal ou parcial aciona um divórcio, transfere 100% dos bens da partilha para a ex-esposa e fica sem nada no CPF. Quando o credor olha a certidão de casamento, está lá: separado judicialmente. Para o judiciário, fim de linha. Mas eles continuam juntos. Moram juntos, viajam juntos para a Disney com os filhos, postam restaurante caro no Instagram, marcam localização no mesmo endereço. E é aí que a investigação privada ganha — uma série de postagens em sequência, com datas coerentes, localização geográfica e fotos de família, compõe prova documental de que o divórcio foi simulado. Zanin relatou caso pessoal em que publicações do Instagram viraram anexo da petição e o juiz aceitou como prova de confusão patrimonial. A lição generaliza para outras fraudes: laranja em nome da filha (mas a filha aparece nas fotos dirigindo o carrão), sócio testa-de-ferro (mas o testa-de-ferro era empregado registrado com salário mínimo cinco anos antes), holding criada sem lastro operacional com capital social estranho. Redes sociais conectam pessoa, bem e tempo — e essa conexão é o que o juiz precisa. Mapeamento humano com OSINT é justamente o que aprofundamos no [Aulão #045 — 360+ Fontes do Governo e OSINT](/aulao-semanal/como-localizar-rastrear-pessoas-internet-fontes-governo-osint), e a parte empresarial no [Aulão #046 — Inteligência de Mercado com OSINT Empresarial](/aulao-semanal/inteligencia-de-mercado-osint-empresarial-google-dorks). As duas aulas são complemento direto deste protocolo. ## Iceberg do Devedor e o perigo dos ativos podres O Iceberg do Devedor é o conceito que mais me pegou no aulão. O devedor profissional deixa de propósito ativos ruins à mostra na ponta do iceberg — justamente para que o credor afoito morda a isca e gaste anos discutindo uma penhora que não vai pagar nada. Zanin contou o caso dos jogadores do Palmeiras que investiram numa exchange de Bitcoin prometendo 5% a 7% ao mês. Quando o credor foi penhorar, só havia R$ 6 mil em conta. Aí o advogado pediu penhora do capital social. Capital social de quanto? R$ 50 milhões — registrado na junta comercial em Alexandritas, com laudo assinado. Pedras preciosas valorizadas em R$ 50 milhões, compradas de verdade por R$ 6 mil em um punhado de pedrinhas. Anos discutindo avaliação de um ativo podre, e enquanto isso o devedor ia criando novas camadas de blindagem. Outros ativos podres que aparecem em execução brasileira: - Imóveis "na água" — faixa litorânea alagada, com matrícula em cartório, mas dentro do mar - Títulos privados sem lastro real ou emitidos por empresas de fachada - Precatórios bloqueados ou sub judice com prazo de liquidação indefinido - Veículos antigos avaliados acima do FIPE com laudos forjados - Créditos contra empresas que entraram em recuperação judicial Por isso o protocolo também funciona como due diligence reversa. Antes de penhorar qualquer ativo, o investigador verifica o lastro. Existe? Vale o que o laudo diz? É transferível? Um relatório de investigação bem feito custa menos do que três anos de liminar discutindo pedra de mentira. ## Ferramentas Utilizadas Neste Aulão Durante o aulão o doutor Zanin abriu o jogo sobre as ferramentas que ele usa no protocolo. A lista abaixo inclui as que ele citou nominalmente e as fontes públicas equivalentes para quem está começando: | Ferramenta | Finalidade | Link | |---|---|---| | Sr. Watson | Mapeamento de conexões societárias entre CNPJs brasileiros, inspirado no Offshore Leaks | [Sr. Watson](https://srwatson.io/) | | upMiner (upLexis) | Plataforma de compliance, background check e due diligence com 570M+ processos | [upLexis](https://uplexis.com.br/) | | Recuperium | Empresa de investigação patrimonial de Armando Zanin com protocolo próprio | [Recuperium](https://recuperium.com.br/) | | Dr. Zanin (Formação) | Treinamento em investigação patrimonial e TAF Anti Fraudes | [doutorzanin.com.br](https://doutorzanin.com.br/) | | Offshore Leaks Database | Base do ICIJ com Panama Papers, Paradise Papers e Pandora Papers | [Offshore Leaks](https://offshoreleaks.icij.org/) | | Assertiva Soluções | Datatech com 20+ categorias de informação patrimonial em consulta unificada | [Assertiva](https://assertivasolucoes.com.br/) | | SNIPER CNJ | Ferramenta oficial do CNJ para magistrados e servidores do judiciário | [SNIPER CNJ](https://www.cnj.jus.br/cnj-lanca-nova-versao-de-ferramenta-integrada-de-investigacao-patrimonial/) | | Registro.br | Consulta pública WHOIS de domínios .br | [Registro.br](https://registro.br/) | | INPI | Registro de marcas, patentes e ativos intangíveis | [INPI](https://www.gov.br/inpi/pt-br) | | Serasa Experian | Histórico de restrições e score de devedores | [Serasa](https://www.serasa.com.br/) | | Sisbajud (Bacen) | Sistema judicial de busca de ativos financeiros | [Sisbajud](https://www.bcb.gov.br/estabilidadefinanceira/sisbajud) | Regra que eu repito em toda aula do canal: ferramenta sozinha não resolve. O que resolve é o protocolo combinado com leitura crítica dos dados. O pessoal manda mensagem perguntando qual sistema é o melhor — a resposta é: o sistema que você sabe cruzar com outros 4. ## Quanto custa uma investigação patrimonial no Brasil O preço de uma investigação patrimonial no Brasil varia por região e por modelo de remuneração. Em Campinas e São Paulo, onde o Zanin opera, um relatório inicial de investigação custa em torno de R$ 25 mil, independentemente do valor da causa. Investigações de maior porte trabalham só no êxito — o investigador cobra 1% sobre o valor do patrimônio efetivamente localizado e penhorado. Mas cada fundo tem política própria de remuneração, então vale pesquisar antes de fechar valor. Os 4 modelos de remuneração mais comuns no mercado: - Honorário fixo inicial (ex: R$ 25 mil por relatório completo) - Só êxito (X% sobre valor recuperado) - Fixo inicial reduzido + êxito (mais comum em fundos de investimento) - Hora técnica para consultoria pontual e perícia judicial Para processos menores, a Recuperium oferece o pré-check — relatório simplificado que cumpre os três primeiros passos do protocolo e indica se vale a pena aprofundar. Faz sentido porque quando o crédito é de R$ 200 mil, pagar R$ 25 mil de honorário fixo representa 12,5% do valor da causa, o que inviabiliza. E recuperação de ativos em golpes digitais entra na mesma lógica operacional — aprofundei esse tema no [Aulão #043 — como investigar golpes e recuperar valores](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao), especialmente a parte de notificação extrajudicial como ferramenta de recuperação antes da ação judicial. ## Perguntas Frequentes sobre busca de bens ocultos ### O que é investigação patrimonial? Investigação patrimonial é o processo técnico de localizar bens de um devedor que foram escondidos, transferidos ou registrados em nome de terceiros. Combina análise de dados públicos, OSINT, leitura de processos judiciais e pesquisa em cartórios para produzir prova de fraude à execução ou confusão patrimonial. Ela começa onde a pesquisa judicial acaba. ### Quem pode fazer busca de bens no Brasil? Qualquer pessoa pode fazer busca de bens no Brasil — não é atividade privativa de advogado e não há regulamentação profissional obrigatória. Quem vem do OSINT e da análise de dados se encaixa rapidamente porque o trabalho é majoritariamente cruzamento de informação pública. Advogados levam vantagem no entendimento de estruturas societárias e na produção processual da prova. ### Posso usar redes sociais como prova num processo de execução? Sim. O judiciário brasileiro já aceita postagens de redes sociais como prova circunstancial em execuções, desde que o conjunto seja coerente. Uma foto isolada raramente vira prova cabal, mas uma série de publicações cruzadas com localização, marcações de terceiros e data coerente compõe teia de indícios que o juiz aceita como prova de confusão patrimonial ou de divórcio simulado. ### O que é o Iceberg do Devedor? Iceberg do Devedor é o conceito de que o devedor profissional deixa propositalmente ativos ruins à mostra — imóveis dentro do mar, pedras preciosas com laudo falso, títulos sem lastro — para atrair o credor afoito. Enquanto o credor perde dois ou três anos discutindo a penhora desses ativos podres, o devedor vai criando novas camadas de blindagem patrimonial. Por isso o investigador treinado começa pela verificação de lastro antes de qualquer pedido de penhora. ### O cartório é a fonte principal para achar patrimônio oculto? Não. O cartório é a quarta fase do protocolo, não a primeira. Devedor profissional não tem bem registrado em nome próprio, então consultar cartório com o CPF dele entrega a mesma informação que o Sisbajud já entregou ao juiz — ou seja, zero. O cartório fica útil depois que a teia já identificou laranjas: aí você lê a matrícula do imóvel com histórico de transmissões e prova que o bem passou do devedor para o laranja anos atrás. ### Quanto custa uma investigação patrimonial? Uma investigação patrimonial completa no Brasil custa entre R$ 15 mil e R$ 30 mil por relatório inicial nas grandes capitais. Para processos de alto valor, o modelo só êxito cobra 1% a 5% sobre o patrimônio localizado. Pré-checks ficam abaixo de R$ 5 mil e indicam se vale aprofundar. O preço varia pela região, pela complexidade da estrutura de blindagem e pelo modelo de remuneração negociado com o cliente. ### A blindagem patrimonial é ilegal? Não. Constituir holding, sociedade anônima ou offshore é atividade lícita no Brasil — não existe lei proibindo. O que caracteriza ilicitude é usar a estrutura para fugir de credores em fraude à execução, o que pode escalar para lavagem de dinheiro quando o devedor mantém patrimônio próprio em nome de terceiros. O escritório que estrutura a blindagem não é responsabilizado civil ou criminalmente pelo uso que o cliente faz depois. ### Como começar na investigação patrimonial sem ser advogado? Comece estudando OSINT aplicado a dados empresariais e patrimoniais — os aulões de #036, #045 e #046 cobrem essa base. Depois, teste as ferramentas gratuitas (Registro.br, INPI, Sisbajud na parte pública, Serasa básico) e avance para as pagas (Sr. Watson, upMiner, Assertiva) quando tiver demanda real. Prospecte advogados com execuções paradas — eles são o principal canal de entrada porque sentem a dor do processo travado. ## Referências e Recursos - [Sr. Watson — Investigação Empresarial](https://srwatson.io/) - [upLexis (plataforma upMiner)](https://uplexis.com.br/) - [Recuperium — Investigação Patrimonial](https://recuperium.com.br/) - [Dr. Zanin — Formação em Investigação Patrimonial](https://doutorzanin.com.br/) - [Offshore Leaks Database do ICIJ](https://offshoreleaks.icij.org/) - [Assertiva Soluções](https://assertivasolucoes.com.br/) - [Portal do CNJ — SNIPER](https://www.cnj.jus.br/cnj-lanca-nova-versao-de-ferramenta-integrada-de-investigacao-patrimonial/) - [Registro.br — WHOIS de domínios .br](https://registro.br/) - [INPI — Instituto Nacional da Propriedade Industrial](https://www.gov.br/inpi/pt-br) - [Serasa Experian](https://www.serasa.com.br/) - [Sisbajud — Banco Central](https://www.bcb.gov.br/estabilidadefinanceira/sisbajud) - [ConJur — O elo oculto entre devedor e patrimônio](https://www.conjur.com.br/2024-jul-15/em-busca-do-elo-oculto-entre-devedor-e-seu-patrimonio-na-blindagem-patrimonial/) - [Capital Aberto — Inovações da Lei 14.375/2022](https://capitalaberto.com.br/temas/legislacao-e-regulamentacao/as-inovacoes-da-transacao-tributaria-na-lei-14-375-2022) --- ### Aulão #046 — Inteligência de Mercado com OSINT: Vantagem Desleal Ética para Empresários URL: https://brunofraga.com/aulao-semanal/inteligencia-de-mercado-osint-empresarial-google-dorks Publicado: 2024-10-01 Tags: osint, investigacao-digital, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=cCEWBZ2OpYA Aulão em vídeo com demonstração ao vivo de como empresários e vendedores podem usar OSINT, Google Dorks, ScrapingBee e ChatGPT para extrair leads, monitorar concorrentes e rodar background check por R$ 19. Inclui caso real do Detetive Sergio Barros e seis dorks prontas. ## O que você vai aprender neste aulão de inteligência de mercado A inteligência de mercado é o trabalho de extrair informações privilegiadas sobre concorrentes, fornecedores e clientes usando técnicas de investigação e OSINT — tudo por fontes públicas e de forma ética. Neste aulão eu mostrei ao vivo como empresários, vendedores e advogados podem gerar leads segmentados, montar pipelines de prospecção e proteger a empresa com o mesmo ferramental que detetives digitais usam. Você vai sair daqui sabendo operar Google Dorks no Instagram para extrair 6.000 perfis segmentados, automatizar o scraping com ScrapingBee, transformar o resultado em CSV de prospecção personalizada com ChatGPT, rodar background check em 11 fontes públicas brasileiras e configurar uma rotina diária de monitoramento com Google Alertas. Tudo foi demonstrado ao vivo, com caso real resolvido pelo Detetive Sergio Barros e seis dorks prontas que você pode copiar hoje mesmo. ## Vantagem desleal: por que o termo é ético e o que ele significa Vantagem desleal, no contexto deste aulão, é a posição de superioridade que você conquista ao dominar técnicas e ferramentas que seus concorrentes ignoram — sempre dentro da lei e de fontes abertas. A palavra gerou polêmica no inbox antes da live, então eu quis explicar logo no começo: não tem nada de crime aqui. E a lógica é direta. Se você consegue descobrir o que os outros não conseguem, você tem vantagem. Quando essa vantagem vem de dominar dork, de saber montar pipeline de prospecção com IA, de rodar background check automatizado, ela parece injusta de tão grande. Daí o nome. Mas continua sendo ética, porque você está usando o Google, sites do governo e plataformas públicas que qualquer um pode acessar — só que ninguém acessa. E isso é importante: você pode escolher não ter inteligência empresarial. Só que, se o seu concorrente tiver, você acaba sendo passado para trás. Essa é a verdade nua e crua do mercado de hoje. ## Os 4 fundamentos da inteligência empresarial aplicada Antes da parte prática, eu passei uma fórmula didática no quadro: IF, IP, INT e CINT ao quadrado. Não é uma fórmula real, é um truque de memorização que eu inventei para a aula. - **IF (Informação)**: dados organizados e processados que têm valor para quem recebe. - **IP (Informação Privilegiada)**: informação confidencial ou estratégica, não acessível ao público por padrão, que proporciona vantagem na tomada de decisão. - **INT (Inteligência)**: o ato de analisar essas informações para identificar oportunidades, antecipar movimentos e decidir. - **CINT (Contra-Inteligência)**: conjunto de ações para proteger sua empresa de quem está fazendo o mesmo contra você. Para tangibilizar, dei dois cenários. No primeiro, uma fake news contra um político. A inteligência é monitorar redes, analisar opinião pública e identificar o autor. A contra-inteligência é a resposta rápida: remover conteúdo, usar SEO para sobrepor a matéria falsa, viralizar narrativa correta acima do ataque. No segundo, o caso da Nubank que apanhou no ano passado por envolvimento da diretoria com política. A contra-inteligência ali é comunicação, identificar autores, strike de conteúdo, manter SEO vivo para que as páginas corretas apareçam antes das narrativas hostis. E tem um detalhe que eu sempre falo: muitas vezes o ataque é a melhor defesa. Mapear o atacante com OSINT te dá armamento. ## Extração de leads com Google Dorks: do Instagram ao CSV pronto A pergunta que abriu o aulão foi simples. Por que só gerar leads no Facebook Ads quando você pode extrair leads já prontos no Google? A internet hoje é uma base de dados do tamanho do Pacífico. O Google é uma planilha Excel com bilhões de linhas. Saber filtrar essa planilha com operadores — isso é dork. Para demonstrar ao vivo, eu usei o cenário de uma escola de inglês tentando prospectar dentistas em São Paulo. Pesquisa genérica de "dentista" no Google retorna 50 milhões de resultados inúteis. Com os operadores certos, a coisa fica cirúrgica. Veja a dork que montei na tela: ``` site:instagram.com intext:whatsapp intext:dentista intext:55 intext:11 ``` Resultado: cerca de 6.000 perfis públicos no Instagram, todos de dentistas brasileiros com DDD de São Paulo e WhatsApp visível na bio. E isso é só a superfície. Posso refinar ainda mais. Quero flamenguistas que fazem clareamento no Rio? Troco o DDD para 21 e adiciono `intext:flamengo intext:clareamento`. Sobram 700 perfis prontos para uma abordagem personalizada, com argumento de venda que o concorrente nem sonha em usar. Os operadores principais que eu usei foram quatro: - `site:` para restringir a um domínio (Instagram, Twitter, LinkedIn) - `intext:` para forçar um termo dentro do corpo do texto - `filetype:` para filtrar por tipo de arquivo (PDF, XLS, SQL) - `-site:` como negação, para excluir domínios (exemplo: `-site:gov.br`) E mais: aspas duplas em volta de um termo força o Google a buscar aquele conjunto exato. Se você procura "Marcos Frisman Descomplica telefone" entre aspas, e existe um vazamento de banco de dados com esse dado, o Google te entrega. Testei ao vivo e o vazamento apareceu. [Falei sobre o impacto de vazamentos corporativos com mais profundidade no Aulão #009 — vazamentos de senhas e credenciais](/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas). O mesmo raciocínio funciona para qualquer nicho. Pet shop, imobiliária, advogado, escola, academia. Quem domina essa extração de leads deixa de pagar impressão no [Google Advanced Search](https://www.google.com/advanced_search) e passa a coletar contatos que a concorrência nem sabe que estão indexados. Quer dar o primeiro passo nas dorks do zero? Veja [o Aulão #008 — 7 buscas perigosas com Google Dorks](/aulao-semanal/google-hacking-buscas-perigosas-dorks). ## ScrapingBee e ChatGPT: pipeline de prospecção automatizada Mostrar 6.000 resultados na tela é bonito, mas ninguém quer copiar e colar perfil por perfil. Então eu trouxe para a live uma combinação que roda liso: [ScrapingBee](https://www.scrapingbee.com) mais ChatGPT. O ScrapingBee é uma API de web scraping. Você cola a sua dork, escolhe Brasil e português-BR, pede 100 resultados na primeira página e ele executa a busca no Google por você, entregando um JSON com todos os links, títulos e descrições. Os primeiros 1.000 créditos são gratuitos para teste, o que já dá para rodar experimentos sérios antes de decidir pagar plano mensal. Na live eu rodei a dork de dentistas, baixei o JSON e joguei direto no ChatGPT com um prompt específico. E aqui está o ouro: eu pedi para a IA transformar o JSON em CSV com nome, contato, descrição do perfil e uma mensagem de abordagem personalizada para cada lead. O ChatGPT leu a bio de um dos dentistas, viu que ele fazia facetas de resina, porcelana e implantodontia, e escreveu: "Olá, Doutor Henrique. Vi seu perfil e fiquei impressionado com seu trabalho em facetas de resina e porcelana, além da sua formação em endodontia e implantodontia." Pronto. Cinco leads, cinco mensagens sob medida, zero copiar e colar. E dá para escalar. Cinco leads viram 500 leads. O pipeline fica assim: 1. Monte a dork certa no Google para seu cliente ideal. 2. Cole a dork no ScrapingBee e exporte o JSON dos resultados. 3. Cole o JSON no ChatGPT pedindo CSV com nome, contato e abordagem personalizada por perfil. 4. Importe o CSV no seu CRM ou na sua plataforma de disparo. 5. Execute a prospecção com mensagem que o concorrente jamais conseguiria escrever na mão. É o mesmo raciocínio que eu ensino há tempos: IA é o multiplicador do investigador. E ChatGPT faz o texto parecer escrito à mão, mesmo em lote de centenas. [Detalhei esse uso no Aulão #006 — ChatGPT para investigação digital](/aulao-semanal/chatgpt-para-investigacao-digital). ## Advangle: como montar dorks sem decorar operadores Nem todo mundo gosta de decorar sintaxe. Para quem trava na hora de escrever `intext:` e `filetype:`, eu mostrei o [Advangle](http://advangle.com) — um construtor visual de dorks para Google e Bing. A interface é preguiçosa de tão simples. Você clica nos atributos que quer filtrar (domínio, idioma, data, tipo de arquivo, texto exato, autor) e preenche os campos. O Advangle monta a dork pronta e você só precisa copiar e colar no Google. Dá para salvar as buscas favoritas em uma conta gratuita, o que vira biblioteca de queries reutilizáveis para a sua operação. Eu testei ao vivo uma busca por dentistas em PDFs brasileiros com DDD 11. O Advangle gerou a dork, eu colei no Google e apareceu um PDF de fornecedor de produtos odontológicos que ninguém tinha indexado antes. Esse é o tipo de material que vira lead qualificado para vendedor B2B. Mas atenção: o Advangle só monta a query. Quem dirige a busca é você. O segredo de uma dork poderosa não está na ferramenta — está no que você sabe sobre o seu cliente ideal. Que tipo de arquivo ele publica? Em que domínio? Com que termo técnico? Essa é a parte que exige inteligência humana. ## Como descobrir emails corporativos com Email Permutator e NAMINT Na investigação digital, descobrir o email de um tomador de decisão é ouro. Você não precisa pagar ferramenta cara para isso. Tem duas opções gratuitas que eu uso há anos. A primeira é o [Email Permutator da Metric Sparrow](http://metricsparrow.com/toolkit/email-permutator/). Você entra com nome, sobrenome, nickname e até três domínios. O Permutator cospe 46 combinações possíveis do tipo `bruno.fraga@empresa.com`, `b.fraga@empresa.com`, `brunof@empresa.com`. Junto com uma ferramenta de verificação de SMTP, você confirma qual email existe e bate na porta certa. Uso ilimitado, sem cadastro, zero frescura. A segunda é o [NAMINT](https://seintpl.github.io/NAMINT/). Essa ferramenta é mais ampla. Você coloca primeiro nome, sobrenome, apelido e ano, e ela gera permutações de usernames em redes sociais inteiras, links para busca em engines, verificação de Gravatar e emails prováveis. Na live eu testei com "Bruno Abreu Fraga 777" e o NAMINT trouxe fotos do Gravatar, perfis ativos em plataformas que eu nem lembrava que existiam, e emails candidatos em Gmail e Outlook. Essas duas ferramentas respondem a uma pergunta dura da prospecção B2B: como encontrar o contato direto do decisor sem passar por formulário de "fale conosco"? Ali está. [Técnicas complementares para esse rastreio aparecem no Aulão #005 — 4 técnicas para investigar pessoas](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). ## Coleta de informações em PDFs, planilhas e SQL vazados A parte mais impressionante da live foi quando eu saí do Instagram e fui para a web profunda indexada. O operador `filetype:` transforma o Google em uma ferramenta de auditoria corporativa gratuita. Veja o que fiz ao vivo. Busquei `"São Paulo valorização imóveis" filetype:pdf -site:gov.br`. Resultado: pesquisas imobiliárias privadas que custam caro no mercado apareceram na primeira página. Alguém subiu em servidor descuidado e o Google indexou. Para um investidor, isso é inteligência de mercado gratuita. Para a empresa que vazou, é falha de controle de informação. Fui mais fundo. Busquei `filetype:sql "dump" "senha"` e apareceu um dump de banco de dados real, upado por programador descuidado, com emails e senhas de usuários expostos. Eu uso esse tipo de busca para auditar exposição da minha própria empresa — e recomendo que você faça o mesmo pela sua. É o tipo de coisa que, se você não olhar, um concorrente ou um atacante vai olhar por você. Outra combinação que rendeu foi `"fraude" "Nubank" filetype:pdf`. Apareceram prospectos preliminares de investimento em sites de análise financeira — documentos que circulam antes de comunicados oficiais ao mercado. Para investidores e analistas, essa é a fronteira entre estar informado e estar um passo à frente. A lição aqui é simples. O poder da dork não vem do operador — vem do que você sabe sobre o alvo. Pô, seu fornecedor se chama Tal Coisa Ltda. e orça projetos em Excel? Monte `"Tal Coisa" orçamento filetype:xls` e veja o que o Google coletou ao longo dos anos. [Aprofundei esse tipo de análise de sites no Aulão #036 — 8 técnicas para investigar sites](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint). ## Google Alertas e Google Trends para rotina diária de inteligência Uma coisa é fazer busca pontual. Outra é ter sistema de monitoramento rodando todo dia, enchendo seu email de inteligência fresca sem custo. O [Google Alertas](https://www.google.com/alerts) é isso. Você cria uma palavra-chave — pode ser sua empresa, um concorrente, um termo de mercado, um CNPJ ou até uma dork inteira — e o Google te manda por email tudo que apareceu novo sobre aquilo. Frequência diária, semanal ou em tempo real. Região Brasil, idioma português. Duas configurações, minuto e meio de trabalho. Eu mostrei ao vivo a minha caixa de entrada. Monitoro diariamente JBS e BMW porque acompanho como investidor. E BMW já me avisou de crise reputacional antes do mercado notar. Todo dia chega um compilado das menções novas, com cerca de cinco horas de latência entre o resultado aparecer no Google e cair no meu email. Para quem tem empresa, isso é contra-inteligência gratuita: no dia que alguém reclamar no Reclame Aqui ou um blog publicar crítica, você sabe antes da crise virar bola de neve. O [Google Trends](https://trends.google.com) complementa. Serve para mapear volume de busca de um termo ao longo do tempo, comparar termos entre si e identificar interesse por região. Útil para decidir onde fazer campanha, que palavra-chave trabalhar em conteúdo, quando atacar um concorrente que está perdendo tração. E junto eu recomendei algo que pouca gente pratica: montar uma planilha que o Google Alertas preenche automaticamente e você revisa dez minutos por dia. É uma rotina de inteligência de mercado que custa zero e vale ouro. Um conselho para empresários: delegue essa revisão ao assistente pessoal ou ao estagiário de marketing. ## Caso real do Detetive Sergio Barros: 3 dorks que resolveram um caso Para fechar a parte prática, trouxe um convidado. Sergio Barros, conhecido como Detetive Barros, tem 20 anos de experiência, 7.000 investigações realizadas e começou há dois meses a estudar investigação digital comigo. E o cara já resolveu dois casos fortes usando as técnicas do curso. O primeiro caso foi empresarial. Sergio presta serviço para uma construtora que compete com outra no mesmo nicho. Toda vez que a concorrente lança um imóvel na planta, a cliente do Sergio precisa reagir com preço competitivo. O problema: os valores de venda só saem no dia do lançamento público. Sergio montou rotina de OSINT e Google Alertas que monitora corretores parceiros da concorrente, já que as planilhas de precificação vazam em PDF para a força de vendas antes do lançamento. A construtora cliente ajusta os preços dos imóveis dela no mesmo patamar de mercado. Inteligência competitiva pura. O segundo foi pessoal. Uma cliente famosa, classe alta, entrou em relacionamento com um homem desconhecido e quis investigar. Sergio criou três dorks específicas para o nome e histórico do sujeito. O resultado apareceu assim que ele rodou: inquérito policial por estupro, passagem em boletim de ocorrência, carros de luxo de R$ 300 a 500 mil que não estavam registrados no nome dele, empresas abertas que quebraram e histórico de agressão a ex-namorada. O relatório completo foi entregue em duas páginas. A cliente não terminou o relacionamento. Mas ficou em alerta. E essa é a função do relatório de inteligência: entregar os dados processados para o decisor tomar decisão informada. Quem decide é ela, não o investigador. E Sergio fez questão de pontuar isso na live. Esse caso mostra por que background check não é luxo. É protocolo. Mas antes de ir para o próximo tópico, deixo o recado do Sergio: a investigação digital está começando e tem espaço para muita gente no mercado. Quem se dedica, entra. [Comentei essa oportunidade de carreira no Aulão #001 — 4 segredos para dominar OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos). ## Background check empresarial com 11 fontes públicas brasileiras Background check é verificação de antecedentes de pessoa física ou jurídica antes de qualquer decisão de risco: contratar colaborador, fechar com fornecedor, entrar em sociedade, aprovar crédito, casar com alguém. Eu apresentei a [Exato Digital](https://exato.digital) como plataforma que automatiza isso no Brasil. Por R$ 19 por CPF ou CNPJ, ela consulta 11 fontes públicas e entrega relatório em até cinco minutos via web, API, email ou WhatsApp. Mostrei ao vivo meu próprio relatório no Exato Digital para que todo mundo visse o que entra no pacote. As fontes consultadas são públicas e qualquer um pode acessar manualmente: - Receita Federal (situação cadastral de CPF e CNPJ) - TSE (situação eleitoral e candidaturas) - [CNJ Banco Nacional de Mandados de Prisão](https://www.cnj.jus.br/bnmp/) - CGU (Controladoria-Geral da União, cadastro de expulsos) - CADIN (inadimplência com a União) - Certidão de débitos trabalhistas - Protestos em cartório - Certidão negativa de redes criminais - [Processos no JusBrasil](https://www.jusbrasil.com.br) - [OFAC Sanctions Search](https://sanctionssearch.ofac.treas.gov) (sanções internacionais) - Pessoas Politicamente Expostas (PEPs) Ou seja, o que a Exato Digital cobra não é pela informação — é pela automação da consulta. Se você tem tempo, faz tudo de graça. Se você tem pressa, paga R$ 19 e ganha a vida. Eu detalhei cada uma dessas fontes e como acessá-las manualmente no [Aulão #045 — 360+ fontes de governo para localizar pessoas](/aulao-semanal/como-localizar-rastrear-pessoas-internet-fontes-governo-osint). O ponto de ouro é esse: quem contrata sem background check está confiando na sorte. Quem contrata com background check está confiando em dado público. E dado público, quando bem lido, é a diferença entre prejuízo e decisão limpa. ## Dorks prontas do Sergio Barros para investigação de pessoas No fim da live, o Sergio mandou seis dorks de presente para o pessoal copiar. Eu testei cada uma ao vivo. Valem cada segundo. **Dork 1** — achar contato de alguém no Instagram: ``` site:instagram.com @username (telefone OR contato OR celular OR whatsapp) ``` **Dork 2** — achar DDD do alvo no perfil do Instagram: ``` site:instagram.com @username (11 OR 21 OR 31) ``` **Dork 3** — cruzar username com padrão de email: ``` site:instagram.com @username "@" ``` **Dork 4** — investigar escândalos e polêmicas: ``` "Nome da Pessoa" (escândalo OR controvérsias OR polêmicas) ``` **Dork 5** — cruzar pessoa em múltiplas redes: ``` "Nome da Pessoa" (site:twitter.com OR site:facebook.com OR site:instagram.com) ``` **Dork 6** — buscar acusações, denúncias e investigações: ``` "Nome da Pessoa" (acusado OR denunciado OR investigado) (site:reddit.com OR site:quora.com OR site:uol.com.br OR site:terra.com.br) ``` Eu rodei a dork 4 com "Luciano Huck" e vi aparecer material que eu não encontraria em busca padrão. Rodei com "Carlinhos Maia" e cheguei a PDFs acadêmicos analisando a carreira — conteúdo que está fora da superfície da internet, onde todo mundo fica. E rodei com "Vanessa Camargo" adicionando `filetype:pdf` e apareceu trabalho de graduação sobre polêmicas na mídia. Esse é o padrão. A dork tira você do Reclame Aqui básico e te leva para onde o pesquisador sério documentou. É outro patamar de inteligência. [Ferramentas extras para esse tipo de rastreio estão no Aulão #031 — 4 ferramentas para investigar pessoas online](/aulao-semanal/ferramentas-para-investigar-pessoas-online-fontes-abertas). ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Google Advanced Search | Interface oficial para montar buscas avançadas com filtros prontos | [Google Advanced Search](https://www.google.com/advanced_search) | | ScrapingBee | Automatizar buscas no Google e extrair resultados em JSON | [ScrapingBee](https://www.scrapingbee.com) | | Advangle | Construtor visual de dorks para Google e Bing | [Advangle](http://advangle.com) | | Email Permutator | Gerar 46 combinações possíveis de email corporativo | [Metric Sparrow](http://metricsparrow.com/toolkit/email-permutator/) | | NAMINT | Permutar nomes e usernames em redes sociais e emails | [NAMINT](https://seintpl.github.io/NAMINT/) | | Google Alertas | Receber por email menções novas de palavras-chave | [Google Alertas](https://www.google.com/alerts) | | Google Trends | Analisar volume de busca por termo e região | [Google Trends](https://trends.google.com) | | Exato Digital | Background check automatizado de CPF e CNPJ | [Exato Digital](https://exato.digital) | | JusBrasil | Consulta pública de processos judiciais | [JusBrasil](https://www.jusbrasil.com.br) | | CNJ BNMP | Banco Nacional de Mandados de Prisão | [CNJ BNMP](https://www.cnj.jus.br/bnmp/) | | OFAC Sanctions Search | Lista internacional de sanções dos EUA | [OFAC](https://sanctionssearch.ofac.treas.gov) | ## Perguntas Frequentes sobre inteligência de mercado com OSINT ### O que é inteligência de mercado? Inteligência de mercado é o processo de coletar, analisar e aplicar informações sobre concorrentes, clientes, fornecedores e tendências para embasar decisões estratégicas. A base dela é o OSINT — investigação por fontes públicas — combinado com análise humana e automação com IA. ### O termo "vantagem desleal" é crime? Não é crime. Vantagem desleal aqui é um termo provocativo para descrever a vantagem legítima que você tem quando domina ferramentas e técnicas que a concorrência ignora. Tudo que eu mostrei no aulão usa fontes públicas e processos legais. O ilegal seria invadir sistemas, comprar bases vazadas ou suborno — nada disso entra no método. ### Como gerar leads qualificados com Google Dorks? Combine quatro operadores: `site:` para restringir à plataforma (Instagram, LinkedIn, Twitter), `intext:` para exigir termos no corpo (whatsapp, DDD, profissão), `filetype:` quando quiser documentos públicos, e aspas duplas para termos exatos. Exemplo: `site:instagram.com intext:whatsapp intext:dentista intext:11`. Depois exporte o resultado com ScrapingBee e personalize abordagem com ChatGPT. ### Como monitorar concorrentes gratuitamente? O Google Alertas faz isso de graça. Crie um alerta para o nome do concorrente, para produtos que ele lança, para termos de mercado e até para dorks inteiras. Configure região Brasil, idioma português e frequência diária. Todo dia chega no seu email o compilado de menções novas indexadas pelo Google. ### Quanto custa um background check no Brasil? Na Exato Digital, R$ 19 por CPF ou CNPJ entrega relatório em cinco minutos consultando 11 fontes públicas. Se você tem tempo, dá para fazer manualmente de graça acessando Receita Federal, TSE, CNJ, JusBrasil, CGU e CADIN. O custo que a empresa cobra é pela automação, não pelo dado. ### Quais fontes são consultadas em um background check completo? As principais são Receita Federal (situação cadastral), TSE (situação eleitoral), CNJ BNMP (mandados de prisão), CGU (expulsos do serviço público), CADIN (inadimplência com a União), certidão de débitos trabalhistas, JusBrasil (processos judiciais), protestos em cartório, OFAC (sanções internacionais) e cadastro de Pessoas Politicamente Expostas. ### Google dork é legal? Sim, dork é apenas combinação de operadores de busca públicos do Google. O que importa é o uso. Buscar dado público indexado é legal. Acessar sistema restrito por vulnerabilidade identificada via dork não é. No Brasil, a Lei Geral de Proteção de Dados regula o tratamento do que você coleta, então tenha finalidade legítima e respeite os limites do titular do dado. ### Como usar ChatGPT para prospecção personalizada? Depois de extrair leads com ScrapingBee, cole o JSON no ChatGPT com um prompt direto: "Analise esse JSON, extraia nome, telefone e descrição de perfil, e monte uma mensagem de abordagem personalizada para cada lead usando os termos técnicos que cada um usa na bio." O ChatGPT entrega CSV pronto com abordagem que parece escrita à mão, mas em escala. > **Veja também:** [Como Encontrar Bens Ocultos de Devedores — Aulão #047](/aulao-semanal/como-encontrar-bens-ocultos-devedores-investigacao-patrimonial) > **Veja também:** [Google PSE: Como Criar Seu Próprio Google para OSINT — Aulão #055](/aulao-semanal/google-programmable-search-engine-pse-osint-investigacao) ## Referências e Recursos - [Google Advanced Search](https://www.google.com/advanced_search) - [Google Alertas](https://www.google.com/alerts) - [Google Trends](https://trends.google.com) - [ScrapingBee](https://www.scrapingbee.com) - [Advangle](http://advangle.com) - [Email Permutator da Metric Sparrow](http://metricsparrow.com/toolkit/email-permutator/) - [NAMINT](https://seintpl.github.io/NAMINT/) - [Exato Digital](https://exato.digital) - [JusBrasil](https://www.jusbrasil.com.br) - [CNJ Banco Nacional de Mandados de Prisão](https://www.cnj.jus.br/bnmp/) - [OFAC Sanctions Search](https://sanctionssearch.ofac.treas.gov) --- ### Aulão #045 — Como Localizar e Rastrear Pessoas na Internet: 360+ Fontes, Fantoches e OSINT na Prática URL: https://brunofraga.com/aulao-semanal/como-localizar-rastrear-pessoas-internet-fontes-governo-osint Publicado: 2024-09-30 Tags: osint, investigacao-digital, ciberseguranca, privacidade YouTube: https://www.youtube.com/watch?v=ccgec66D2Qk Demonstração ao vivo de como localizar e rastrear pessoas na internet usando fontes de dados do governo, fantoches digitais, HSPY e OSINT. Inclui caso real de recuperação de R$800 mil em retroescavadeiras roubadas com investigação 100% digital. ## O que você vai aprender neste aulão Como localizar pessoas na internet de forma legal, ética e profissional — sem hackear ninguém. Neste aulão eu demonstrei ao vivo, com tela compartilhada e casos reais, as técnicas que uso no dia a dia para rastrear pessoas, mapear conexões empresariais e capturar localização usando apenas fontes abertas e ferramentas de acesso público. Depois de ler este artigo, você vai conseguir usar mais de 360 fontes de dados do governo brasileiro para levantar informações de pessoas e empresas. Vai entender como criar fantoches digitais (sock puppets) para infiltrar grupos e coletar evidências. E vai aprender como funciona o rastreamento por link — aquele clique que entrega IP, localização, foto e muito mais do seu alvo. Tivemos um convidado especial neste aulão: Fernando José, pesquisador no combate ao roubo de cargas, que compartilhou como recuperou duas retroescavadeiras roubadas avaliadas em R$800 mil usando exatamente essas técnicas. Ele estava no interior de São Paulo. A operação aconteceu em Goiás. Tudo feito pelo computador. E tem mais: fiz uma demonstração ao vivo de OSINT onde, a partir de um único e-mail de um participante, encontrei contas no Facebook, Trello, Twitter, Instagram, YouTube, Spotify, reviews no Google Maps, GitHub e Duolingo. Tudo em minutos. ## Como usar fontes de dados do governo para localizar pessoas No Brasil, não existe um sistema centralizado com todas as informações de cidadãos e empresas. E isso, paradoxalmente, é uma vantagem para o investigador digital. O país é descentralizado de um jeito caótico — são sistemas de prefeituras, juntas comerciais, cartórios, tribunais regionais, cada um funcionando de um jeito diferente. Eu mapeei mais de 360 fontes de dados do governo disponíveis para consulta pública. E acredito que existem muito mais do que isso. Todo dia aparece algo novo. Essa bagunça institucional gera oportunidades absurdas para coleta de dados. Tem estado que não respeita a própria LGPD. Tem estado que entrega dado que nem deveria entregar. Tem sistema que no Tribunal Regional do Trabalho de uma região entrega o nome completo a partir de um CPF — e na mesma plataforma de outra região, não funciona. Mas antes de ir para as fontes, preciso deixar claro: tudo que mostro aqui é para uso profissional. Advogados, investigadores, empresários, membros de segurança pública. A gente arma pessoas do bem para combater impunidade e injustiça. ### Receita Federal: CPF e CNPJ como ponto de partida A [Receita Federal](https://solucoes.receita.fazenda.gov.br/servicos/cnpjreva/cnpjreva_solicitacao.asp) é a porta de entrada de qualquer investigação. Você consulta um CPF para verificar se é um documento real, válido, se está ativo ou se consta como óbito. Já aconteceu comigo: investigando um suspeito que achávamos estar vivo — e o CPF mostrava óbito. Para empresas, a consulta de CNPJ revela sócios, situação cadastral, conexões. É o serviço básico que todo mundo conhece. E CNPJ é só a ponta do iceberg. ### TSE: descobrindo onde uma pessoa vota No site do [TSE (Tribunal Superior Eleitoral)](https://www.tse.jus.br), você consegue descobrir o local de votação, a zona eleitoral e a situação do título de eleitor de qualquer pessoa. Basta informar nome completo e data de nascimento. E por que isso importa? Porque te dá um ponto de encontro. Você sabe o perímetro geográfico onde a pessoa está registrada, se tem biometria cadastrada, e no dia da eleição — especialmente num Brasil polarizado — a probabilidade de ela aparecer naquele local é alta. Tática velha, mas extremamente efetiva. ### Sinesp Cidadão: conectando veículos a suspeitos O aplicativo do [Sinesp Cidadão](https://www.gov.br/pt-br/apps/sinesp-cidadao) é do governo e permite verificar placas de veículos. Todos os carros furtados, a cor, o status — tudo ali. Isso ajuda a vincular veículos a suspeitos. Se a pessoa está usando um veículo roubado, o Sinesp confirma em segundos. ### Portal da Transparência: o raio-X de funcionários públicos O [Portal da Transparência](https://portaldatransparencia.gov.br) é subestimado pela maioria dos investigadores. Nele você encontra informações detalhadas sobre funcionários públicos: rendimentos, vínculos, localização, atuação. Perfeito para investigar enriquecimento ilícito. Mas vai além. Nos contratos publicados ali, você encontra dados de empresas que tiveram negócios com o governo. Eu mostrei ao vivo um contrato da Microsoft no Portal da Transparência que revelava CNPJ, CEP e endereço completo de um escritório que eu nem sabia que existia. Você também pode consultar se uma pessoa recebe Bolsa Família ou auxílio emergencial. Literalmente: pesquisa o nome e descobre se recebeu, quando recebeu, quanto recebeu. ### Juntas Comerciais: dados que a consulta CNPJ não mostra Pouquíssima gente usa as [Juntas Comerciais](https://www.gov.br/economia/pt-br/assuntos/drei/juntas-comerciais). E eu entendo por quê — não é fácil. Cada estado tem a sua, com um site diferente, um sistema diferente. Tem junta que talvez nem tenha sistema online (não descarto a possibilidade de você precisar ligar no fax). Mas o que você consegue ali é ouro. Eu mostrei ao vivo a consulta da Magazine Luiza na Junta Comercial de São Paulo: capital social, endereços, objeto social, sócios com muito mais detalhes, diretoria, últimos arquivamentos, alterações contratuais, observações, atualizações, histórico. Informações que a consulta CNPJ básica simplesmente não entrega. ### Banco Central, Detran e muito mais No [Banco Central](https://www.bcb.gov.br), você consulta cheques sem fundo — histórico com locais, valores, datas, bancos, agências. Serve tanto para identificar estelionatários quanto para rastrear comportamento financeiro de desaparecidos. O TRT Terceira Região de Belo Horizonte permite converter CPF em nome completo via emissão de certidão trabalhista em PDF. Detran, Currículo Lattes, Procon, [Cadastro Nacional de Pessoas Desaparecidas](https://www.gov.br/mj/pt-br/assuntos/sua-seguranca/seguranca-publica/pessoas-desaparecidas) — a lista continua. São centenas de sistemas que você pode usar para montar um perfil investigativo completo. ## Sr. Watson: mapeando conexões entre empresas e pessoas gratuitamente Para surfar nesse mar de dados empresariais, eu criei junto com Andrés Alonso e Diego Andretta o [Sr. Watson](https://srwatson.co). É gratuito. A ferramenta usa dados públicos do governo para visualizar conexões entre empresas, pessoas, telefones e e-mails. Funciona assim: você digita um CNPJ e a ferramenta mostra as conexões daquele CNPJ com pessoas. Cada pessoa você pode expandir para ver outras empresas que ela possui. Cada telefone ou e-mail atrelado a uma empresa pode ser estendido para revelar outros CNPJs vinculados. Eu demonstrei ao vivo com o CNPJ da Magazine Luiza — e mostrei um caso real onde um CNPJ se conectava a uma pessoa, que tinha um telefone, que se conectava a outra empresa. Triangulação de dados que comprova vínculo entre identificadores em uma fraude. A ferramenta caiu durante o aulão com 1.300 pessoas acessando ao mesmo tempo (é gratuita, o servidor não aguenta tudo isso). Mas depois voltou. E se você quiser usar para suas investigações, recomendo: [senhorwatson.co](https://srwatson.co). Se você já conhece técnicas de investigação com fontes abertas, veja também o [Aulão #031 — 4 Ferramentas para Investigar Pessoas Online com Fontes Abertas](/aulao-semanal/ferramentas-para-investigar-pessoas-online-fontes-abertas) e o [Aulão #005 — 4 Técnicas para Investigar Qualquer Pessoa Usando Apenas a Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). ## O que são fantoches digitais e como criar um para investigação Sock puppet — fantoche em português — é um perfil falso criado com objetivo estratégico: engajar com o investigado, conquistar confiança, infiltrar grupos e extrair informações ou gerar ações. Fantoche é o que possibilita que um perfil privado no Instagram deixe de ser barreira. Chega muito isso no meu trabalho: advogado que precisa coletar evidência, perfil é privado, "não consigo ver os stories". Fantoche resolve. Mas vai muito além de acessar perfil privado. Com fantoche você se infiltra em grupos criminosos, coleta evidências, gera conversa, extrai localização, descobre patrimônio oculto, encontra desaparecidos. Eu falo isso com propriedade porque faço isso há anos. ### Caso real: evidência digital de torcida organizada Tivemos um caso na empresa onde um advogado precisava de um vídeo de agressão que circulava num grupo de WhatsApp de uma torcida organizada. O vídeo tinha sido apagado. A gente criou um fantoche — uma mulher com a roupa do uniforme do time, nome coerente com o contexto, entrou no grupo. Literalmente interagiu na conversa sobre a briga: "Nossa, você bateu mesmo?" E o cara: "Bati, tá aqui o vídeo." Download da mídia. Evidência coletada. E Sabe o mais impressionante? O fantoche continua no grupo até hoje. ### Caso real: pessoa desaparecida localizada via PUBG Um dos casos que mais me impressionou: encontrei o perfil de um desaparecido na Steam, criei um fantoche e entrei numa partida de PUBG com ele. Conversei por áudio durante o jogo. A Polícia Civil agradeceu. A mãe da pessoa agradeceu. Tudo porque achei um usuário escondido numa plataforma que ninguém pensaria em investigar. Esse tipo de investigação levanta uma pergunta que poucos fazem: como investigar no metaverso? Em jogos online? São campos novos que a investigação digital precisa cobrir. Para mais sobre técnicas de engajamento com alvos, veja o [Aulão #021 — Engenharia Social Aplicada em Investigações Digitais](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital). ## Como usar IA para criar fantoches realistas Criar fantoche é uma arte. Envolve gerar identidade, história, fotos, estilo de comunicação — tudo de forma que pareça uma pessoa real. E hoje a IA facilitou absurdamente esse processo. ### Gerando identidade com 4Devs No site [4Devs](https://www.4devs.com.br), você gera um CPF fictício, nome completo, endereço, CEP, telefone, e-mail, username, possível senha, história. Tudo pronto para criar contas em plataformas sem usar dados reais. E não precisa replicar ninguém. ### Prompt GPT para fantoche completo Eu criei um prompt customizado para o ChatGPT que gera fantoches completos. Você informa o contexto — por exemplo, "eletricista de SP que precisa infiltrar em grupo de venda de animais ilegal" — e ele gera perfil com idade, história, bio para Instagram, estilo de comunicação adaptado ao contexto, mensagens prontas com erros de português e linguagem natural do público-alvo. O prompt gera até o CV profissional do fantoche para publicar online e criar presença digital verificável. E gera prompts para o [Midjourney](https://www.midjourney.com) criar fotos realistas de perfil — álbum completo da pessoa em diferentes situações. Tem gente que namora com IA hoje. Tem sugar daddy de IA — milhões de dólares nesse mercado. Se as pessoas confiam em IA para relacionamentos, por que não confiariam em um fantoche bem construído? ### Contrainteligência: saiba que podem fazer com você Eu menciono isso não para incentivar uso antiético, mas para contrainteligência. Você precisa saber que podem fazer isso com você. Replicação de pessoas reais em fantoches para conquistar confiança de alvos acontece em operações clandestinas. Saber que isso existe é a primeira defesa. ## Engajamento e captura de dados via link: o poder de um clique Quando seu alvo clica em um link — qualquer link — automaticamente e instantaneamente, o browser dele entrega impressão digital (fingerprint), sistema operacional, endereço IP, porta lógica, resolução de tela, fuso horário, plugins habilitados e contas conectadas. Sem permitir nada. Só de abrir o site. Eu demonstrei isso ao vivo usando o [Privacy Analyzer](https://privacyanalyzer.net). Abri o site e mostrei: meu IP, browser, resolução da tela, operadora, bateria do computador/smartphone. E mais: o autocompletar dos campos de formulário — aquele que mostra seu e-mail e senha em bolinhas — o site pode ler isso via JavaScript se quiser. Sabe o que mais? VPN mascara o IP. Mas não mascara sua conta logada no YouTube, seu Gmail conectado, seu teclado ABNT, seu browser em português. A VPN é uma camada, não uma solução completa. Se o alvo clicar uma segunda vez e conceder permissões, a captura expande: webcam, microfone, GPS e muito mais. ### HI SPY: a ferramenta que eu criei e que já solucionou centenas de casos O [HI SPY](https://hispy.io) é uma ferramenta que eu e minha equipe criamos para investigação digital por link. Gera links rastreadores que capturam IP, geolocalização, foto via câmera, fingerprint do browser e dados do dispositivo. Eu falo do fundo do coração: nunca imaginei os casos em que essa ferramenta seria utilizada. E já localizou desaparecidos. Já prendeu criminosos que assediam e estupram pessoas online. Já atuou em casos de pornografia infantil, vazamentos, perfis fake, jogo do tigrinho, quadrilhas inteiras. IP e porta lógica — só isso — já são suficientes para um inquérito policial, para quebra de sigilo. É o que a lei precisa para chegar na pessoa. Para mais sobre como desmascarar criminosos online, veja o [Aulão #032 — Desmascarando Stalkers com OSINT e Investigação Ativa](/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint). ## Caso real: como recuperamos retroescavadeiras roubadas de R$800 mil com investigação digital Neste aulão trouxemos Fernando José como convidado especial — pesquisador no combate ao roubo de cargas que presta serviço para seguradoras e auxilia a polícia. O roubo de cargas no Brasil causa R$3 bilhões de prejuízo por ano. Quem paga? A seguradora. Fernando recebeu uma demanda: duas retroescavadeiras zero km, cada uma avaliada em R$400 mil, desviadas durante o transporte da concessionária para uma filial. O motorista era da quadrilha. A única coisa que Fernando tinha era um boletim de ocorrência com dados básicos do veículo. ### A investigação digital que substituiu o trabalho de campo Em vez de partir para o campo (o método tradicional), Fernando usou investigação digital. Uma das máquinas apareceu à venda num grupo quente de WhatsApp — grupo onde se vende mercadoria roubada. Fernando criou um fantoche: empresa de terraplanagem. Depois um segundo fantoche — um fazendeiro cujo neto gerenciava a propriedade. Montou toda a história: localização da fazenda verificável no Google, documentação preparada para caso os criminosos perguntassem. O engajamento foi estratégico. Perguntas técnicas naturais: "Quantas horas tem essa máquina?" (não é km, é horímetro). "Tem nota fiscal de origem?" Nunca pediu foto da nota ou cópia de documento — isso levantaria suspeita. E conhecia o mercado: sabia exatamente o que um comprador legítimo perguntaria. ### A captura com HI SPY e a prisão Fernando marcou a compra em Goiânia. Coordenou com pronta-resposta local e um delegado — que, inicialmente, achou que era golpe de Pix. "Não, doutor, é a máquina. Pode ir que é a máquina." O criminoso não estava no local da entrega. Estava numa praça a 200 metros, observando. Fernando mandou um link do Google Maps pelo chat — na verdade era um HI SPY. O bandido clicou. Foto capturada. Localização capturada. Fernando informou ao delegado: "O cara está na praça." O primeiro foi preso quando se aproximou da máquina (houve troca de tiros). Mas faltava o segundo — o que tinha negociado inicialmente. Fernando mandou mensagem agradecendo o trabalho e pediu o Pix para "dar um agrado". O criminoso mandou o número. Fernando fez outro HI SPY com o link do Pix. Clicou. Localização capturada. Polícia foi até o local e prendeu em flagrante. Duas máquinas recuperadas. Dois criminosos presos. E Fernando estava no interior de São Paulo. A operação inteira aconteceu em Goiás. E o mercado de recuperação de cargas e veículos roubados é enorme e falta profissionais especializados em investigação digital para atuar nele. Se esse tema te interessa, considere que as técnicas deste aulão são exatamente as que profissionais como Fernando usam no dia a dia. Fraudes via WhatsApp e Pix foram abordadas em detalhes no [Aulão #043 — Como Investigar Golpes do Pix](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao) e técnicas de investigação de WhatsApp no [Aulão #035 — 14 Técnicas para Descobrir o Dono de um WhatsApp](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao). ## OSINT na prática: do e-mail à localização completa em minutos A terceira técnica é OSINT — usar informações disponíveis publicamente para produzir inteligência. Eu não gosto de definições acadêmicas que limitam o que é ou não é OSINT. Se um canal do Telegram é público, o que está lá é público. Se um vazamento está disponível na internet, está disponível. Que investigador é esse que fecha os olhos para informação acessível? Se você possui um identificador inicial — e-mail, telefone, site, CPF, CNPJ ou nome de usuário — pode mapear a vida digital inteira de uma pessoa: aplicativos de corrida ([Strava](https://www.strava.com), Nike Run, Bike Map), hospedagem (Airbnb), alimentação (iFood, Google Maps reviews), código (GitHub), idiomas (Duolingo), música (Spotify), jogos (Steam) e dezenas de outras plataformas. ### Demonstração ao vivo: investigando e-mails de participantes No aulão, pedi e-mails de voluntários no chat e investiguei em tempo real. Com um único Gmail, encontrei: - Conta no Facebook (confirmada via "esqueci minha senha" — se avança, a conta existe) - Perfil no Trello com username que levou a outras plataformas - Twitter, Instagram, Pinterest, YouTube com foto de perfil - Spotify, Google Maps com reviews (restaurante Piratas, 5 estrelas) - GitHub, Duolingo, Notion - Contas vazadas no [Have I Been Pwned](https://haveibeenpwned.com) A pivotagem foi o mais poderoso: o e-mail Gmail levou a um domínio registrado (dcdetetive.com), que por sua vez revelou um e-mail Yahoo. E esse Yahoo levaria a contas que não foram criadas com o Gmail original. Um identificador leva a outro, que leva a outro. E isso gera uma superfície de investigação que se multiplica exponencialmente. ### A técnica de "esqueci minha senha" A mecânica é simples: vá na plataforma, clique em "esqueci minha senha" ou "criar conta", insira o e-mail. Se o sistema diz "já existe uma conta", positivo confirmado. Se avança para criar, a conta não existe. Para segurança pública, isso é suficiente: "Este e-mail tem conta no Facebook? Sim. Quero logs, quebra de sigilo." O positivo está documentado. No caso da Apple, quando você vai em "esqueci minha senha", o sistema mostra uma dica do telefone cadastrado — os últimos dígitos. Para a segurança pública, saber que a pessoa tem um telefone que termina em determinados números é informação valiosíssima. Verificação bancária funciona da mesma forma: abra o app do Itaú, insira um CPF, avance. Se avançou, tem conta. "Usuário não existente" — não tem. ### Stories do Instagram por geolocalização Eu mostrei ao vivo: no Instagram, filtrei por "Avenida Paulista" e vi todos os stories publicados nos últimos 15 minutos por pessoas que estavam fisicamente naquele local. Em tempo real. Olhos em qualquer lugar do mundo. Você pode fazer isso com a rua do seu investigado. Ver quem está ali, o que está acontecendo, stories de 10 minutos atrás. No Twitter, funciona por geolocalização também. Esse conjunto de dados forma a inteligência que localiza pessoas. Para mais sobre como metadados de fotos revelam localização, leia o [Aulão #010 — A Arte de Investigar Metadados](/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos). E para ferramentas avançadas de OSINT, confira o [Aulão #044 — WiGLE para Rastrear Redes Wi-Fi e Localizar Dispositivos](/aulao-semanal/wigle-investigacao-digital-rastrear-redes-wifi). ## Por que localizar e rastrear pessoas é uma necessidade profissional Os números falam por si. O Brasil registra mais de 34 mil desaparecimentos por ano. O número de foragidos é maior do que o número de vagas nos presídios. São mais de 93 mil casos de stalking registrados anualmente — apenas os que chegaram a registro formal. Em um único período de 9 meses, R$500 milhões em prejuízos com fraudes digitais calculados. Eu publiquei um vídeo no Instagram mostrando uma técnica para encontrar uma pessoa desaparecida. Gerou 924 mil visualizações. 9 mil pessoas salvaram. Chegou uma quantidade absurda de mensagens de gente procurando pessoas. Nunca imaginei que tanta gente no Brasil precisasse localizar alguém. A minha equipe já atuou com sucesso em desaparecimentos, localização de foragidos da justiça, fraudes financeiras por WhatsApp e Pix, pirâmides, clonagem de redes sociais, perfis falsos, rastreamento de stalking, discurso de ódio, ameaça online, pornografia infantil, localização de devedores, fornecedores, réus, testemunhas e até identificação de membros de redes de tráfico humano. O offline hoje é online. Crimes são planejados na internet. Meliantes conversam por aplicativos. Ostentam no Instagram. Provas e evidências estão no digital. E faltam profissionais com habilidade de investigação digital para atender essa demanda. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Receita Federal | Consulta de CPF e CNPJ, situação cadastral | [Receita Federal](https://solucoes.receita.fazenda.gov.br/servicos/cnpjreva/cnpjreva_solicitacao.asp) | | TSE | Zona eleitoral, local de votação, situação do título | [TSE](https://www.tse.jus.br) | | Sinesp Cidadão | Verificação de placas de veículos furtados/roubados | [Sinesp Cidadão](https://www.gov.br/pt-br/apps/sinesp-cidadao) | | Portal da Transparência | Funcionários públicos, contratos, benefícios sociais | [Portal da Transparência](https://portaldatransparencia.gov.br) | | Sr. Watson | Mapeamento de conexões entre empresas, pessoas e telefones | [Sr. Watson](https://srwatson.co) | | 4Devs | Geração de identidades fictícias para fantoches | [4Devs](https://www.4devs.com.br) | | HI SPY | Captura de localização, foto e fingerprint via link | [HI SPY](https://hispy.io) | | Privacy Analyzer | Demonstração de dados expostos pelo browser | [Privacy Analyzer](https://privacyanalyzer.net) | | Have I Been Pwned | Verificação de vazamentos de dados por e-mail | [Have I Been Pwned](https://haveibeenpwned.com) | | Midjourney | Geração de fotos realistas por IA para fantoches | [Midjourney](https://www.midjourney.com) | | Strava | Rastreamento de rotas de corrida e localização habitual | [Strava](https://www.strava.com) | ## Perguntas Frequentes ### Como localizar uma pessoa na internet de forma legal? Use fontes de dados públicas do governo (Receita Federal, TSE, Portal da Transparência, Juntas Comerciais), ferramentas de OSINT para verificar existência de contas em plataformas, e técnicas de engajamento com ferramentas como o HI SPY. Tudo isso é informação publicamente disponível ou obtida com o consentimento implícito do usuário ao clicar em um link. ### Quais fontes de dados do governo posso usar para investigação? O Brasil tem mais de 360 fontes de dados governamentais mapeadas: Receita Federal, TSE, Sinesp Cidadão, Portal da Transparência, Juntas Comerciais estaduais, Banco Central, TRTs, Detran, Cadastro Nacional de Pessoas Desaparecidas, Currículo Lattes, Procon e centenas de outros sistemas estaduais e municipais. Cada um entrega dados diferentes, e a combinação entre eles é o que gera inteligência investigativa. ### O que é um fantoche digital e como funciona? Um fantoche digital (sock puppet) é um perfil falso criado estrategicamente para fins de investigação. Serve para infiltrar grupos fechados, coletar evidências em perfis privados, engajar com alvos e extrair informações. Hoje, com IA (ChatGPT para perfil e comunicação, Midjourney para fotos, 4Devs para dados fictícios), o processo de criação ficou muito mais acessível e realista. ### É possível capturar a localização de alguém pelo link? Sim. Quando uma pessoa clica em um link, o browser automaticamente entrega IP, porta lógica, fingerprint, sistema operacional, resolução de tela e contas conectadas. Com um segundo clique e permissão do browser, é possível capturar GPS, foto via webcam e microfone. O HI SPY é uma ferramenta criada especificamente para isso em contexto investigativo. ### Como verificar se um e-mail está registrado em redes sociais? A técnica mais direta é a verificação via "esqueci minha senha" ou tentativa de criação de conta. Se o sistema informa que já existe uma conta, é um positivo. Plataformas como Facebook, Instagram, Twitter, Trello, Duolingo, Apple, Spotify e dezenas de outras podem ser verificadas assim. A pivotagem entre identificadores (e-mail leva a domínio, domínio leva a outro e-mail) multiplica os resultados. ### VPN protege completamente a identidade online? Não. VPN mascara o IP, mas não mascara suas contas logadas (YouTube, Gmail), seu teclado ABNT, seu browser em português, seu fuso horário, os plugins instalados, o canvas fingerprint. Se sua VPN mostra IP dos Estados Unidos mas todo o resto aponta para Brasil, qualquer análise de fingerprint detecta a inconsistência. ### Quanto custa o prejuízo com roubo de cargas no Brasil? Segundo Fernando José, convidado deste aulão, o roubo de cargas e caminhões causa R$3 bilhões de prejuízo por ano no Brasil. Quem paga essa conta são as seguradoras, e o mercado de profissionais especializados em investigação digital para recuperação de cargas é enorme e carente de profissionais qualificados. ### Como a investigação digital ajuda na recuperação de veículos roubados? A investigação digital permite localizar veículos e cargas roubadas sendo vendidos em grupos de WhatsApp e marketplaces usando técnicas de OSINT e fantoches para infiltrar grupos criminosos. O caso compartilhado neste aulão envolveu a recuperação de R$800 mil em retroescavadeiras usando fantoche, HI SPY e coordenação remota com a polícia — tudo feito de outro estado, pelo computador. > **Veja também:** [Inteligência de Mercado com OSINT: Vantagem Desleal Ética para Empresários — Aulão #046](/aulao-semanal/inteligencia-de-mercado-osint-empresarial-google-dorks) > **Veja também:** [Como Encontrar Bens Ocultos de Devedores — Aulão #047](/aulao-semanal/como-encontrar-bens-ocultos-devedores-investigacao-patrimonial) > **Veja também:** [4 Ferramentas de Investigação Digital que Ninguém No Brasil Usa — Aulão #054](/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance) ## Referências e Recursos - [Receita Federal — Consulta CNPJ](https://solucoes.receita.fazenda.gov.br/servicos/cnpjreva/cnpjreva_solicitacao.asp) - [TSE — Tribunal Superior Eleitoral](https://www.tse.jus.br) - [Sinesp Cidadão — Aplicativo do Governo](https://www.gov.br/pt-br/apps/sinesp-cidadao) - [Portal da Transparência](https://portaldatransparencia.gov.br) - [Cadastro Nacional de Pessoas Desaparecidas](https://www.gov.br/mj/pt-br/assuntos/sua-seguranca/seguranca-publica/pessoas-desaparecidas) - [Sr. Watson — Investigação Empresarial](https://srwatson.co) - [HI SPY — Investigação Digital Avançada](https://hispy.io) - [4Devs — Ferramentas Online](https://www.4devs.com.br) - [Privacy Analyzer](https://privacyanalyzer.net) - [Have I Been Pwned](https://haveibeenpwned.com) - [Midjourney — Geração de Imagens por IA](https://www.midjourney.com) - [Strava — Rede de Atividades Físicas](https://www.strava.com) --- ### Aulão #044 — WiGLE para Investigação Digital: Como Rastrear Redes Wi-Fi e Localizar Dispositivos URL: https://brunofraga.com/aulao-semanal/wigle-investigacao-digital-rastrear-redes-wifi Publicado: 2024-09-27 Tags: osint, investigacao-digital, ciberseguranca, hacking, privacidade YouTube: https://www.youtube.com/watch?v=tXYXycOPK9g Demonstração prática do WiGLE (wigle.net) para investigação digital — como usar wardriving, BSSID e SSID para localizar pessoas e dispositivos por redes Wi-Fi. Diego Andretta mostra casos reais de rastreamento com precisão de GPS. ## O que você vai aprender neste aulão WiGLE investigação digital é o tema deste aulão — e eu trouxe o Diego Andretta, especialista em telecomunicações e segurança, para demonstrar ao vivo como usar redes Wi-Fi para localizar pessoas e dispositivos com precisão de GPS. Neste aulão eu mostro por que o Wi-Fi é superior ao endereço IP quando o objetivo é geolocalização, como funciona o wardriving na prática, e como o [WiGLE](https://wigle.net) se tornou a maior base de dados aberta de redes sem fio do mundo. Você vai sair deste artigo sabendo a diferença entre SSID e BSSID (e por que só um deles serve para identificar alguém de verdade), como fazer buscas avançadas no WiGLE com wildcards, como descobrir o fabricante de um roteador pelo endereço MAC, e como montar sua própria operação de wardriving com um celular Android. E Diego compartilhou casos reais de investigação — desde pagar um motoboy para mapear redes Wi-Fi de duas cidades até encontrar a localização exata do escritório de um YouTuber famoso. ## Por que Wi-Fi é melhor que IP para localizar alguém A primeira coisa que Diego explicou no aulão foi direta: Wi-Fi é superior ao endereço IP para geolocalização. Mas por quê? Porque o endereço IP depende do provedor de internet, que pode atribuir o mesmo IP para regiões diferentes, e a precisão fica na faixa de cidade ou bairro (quando muito). Já o Wi-Fi tem coordenadas GPS reais associadas a cada ponto de acesso. Quando alguém mapeia uma rede Wi-Fi com um dispositivo GPS, a localização registrada tem precisão de 20 a 40 metros — o suficiente para identificar um prédio ou até um apartamento específico. E isso sem precisar de mandado judicial, sem depender de cooperação de provedores, sem esperar meses por resposta de ofícios. Eu demonstrei isso durante o aulão comparando os dois cenários. Com um IP, você consegue no máximo saber que alguém está em determinada cidade. Com o BSSID de um roteador Wi-Fi no WiGLE, você consegue ver o ponto exato no mapa onde aquele equipamento foi detectado pela última vez. E o Diego confirmou: em telecomunicações, Wi-Fi sempre foi mais preciso que IP para geolocalização. Para quem quer entender melhor como funciona a infraestrutura por trás dos provedores de internet e por que o IP é tão impreciso, recomendo o [Aulão #014 — O que Seu Provedor de Internet Esconde](/aulao-semanal/como-funciona-provedor-de-internet-segredos-e-dicas), onde eu cobri isso com mais profundidade. ## A história do wardriving e do mapeamento Wi-Fi Wardriving não é uma invenção recente. Diego explicou que a prática começou lá nos anos 2000, quando professores universitários saíam mapeando hotspots Wi-Fi para estudar a cobertura wireless nas cidades. Na época, o Wi-Fi era novidade e as redes eram quase todas abertas (sem senha). As pessoas andavam de bicicleta ou de carro com antenas e notebooks coletando dados. O termo "wardriving" vem de "war dialing" — a técnica dos anos 80 de discar números de telefone sequencialmente para encontrar modems conectados (sim, igual ao filme WarGames). A versão Wi-Fi era fazer a mesma coisa, mas andando pela cidade com uma antena captando sinais de redes sem fio. Mas o jogo mudou entre 2006 e 2007. E o Google entrou pesado nessa história. Os carros do Street View não fotografavam apenas as ruas — eles também capturavam simultaneamente todos os sinais Wi-Fi ao redor, registrando SSID, BSSID e coordenadas GPS. O Google conseguia precisão de 20 a 40 metros triangulando a intensidade do sinal com a posição GPS do carro. O objetivo do Google era comercial: vender publicidade geolocalizada e mapear market share de equipamentos (quais marcas de roteador dominavam cada região). Mas depois de escândalos de privacidade e regulamentações como LGPD e GDPR, o Google bloqueou o acesso público à sua API de geolocalização Wi-Fi. E não foi só o Google. Diego revelou no aulão que dezenas de aplicativos comuns coletam dados de Wi-Fi sem você perceber — apps de teste de velocidade, aplicativos de IPTV pirata, apps de delivery e até redes sociais. Cada vez que você abre um app que pede permissão de localização, ele pode estar mapeando todas as redes Wi-Fi ao seu redor e enviando esses dados para servidores remotos. ## SSID versus BSSID: a diferença que todo investigador precisa saber Neste aulão eu fiz questão de explicar essa diferença porque ela é fundamental para qualquer WiGLE investigação digital. O SSID (Service Set Identifier) é o nome da rede Wi-Fi — aquele nome que aparece quando você procura redes disponíveis no celular. O BSSID (Basic Service Set Identifier) é o endereço MAC do hardware Wi-Fi — um identificador de 48 bits que é (em teoria) único para cada equipamento. O problema do SSID é que ele não é único. Você pode ter dez redes chamadas "NET_CLARO_WIFI" na mesma rua. Pode ter vinte redes chamadas "TP-Link_5G" no mesmo prédio. E as pessoas colocam nomes engraçados como "Fora Temer", "FBI Surveillance Van" ou "Vizinho Abaixa o Som" — e esses nomes se repetem pelo país inteiro. Mas o BSSID é diferente. Cada placa Wi-Fi sai da fábrica com um endereço MAC distinto. Quando você pesquisa um BSSID no WiGLE, está procurando um equipamento específico — não um nome que pode existir em milhares de lugares. É por isso que o BSSID é o identificador que realmente importa para investigação. Diego deu um alerta de privacidade que eu considero importante: nunca coloque o nome da sua família no SSID do Wi-Fi. Redes como "Família Gonçalves" ou "Casa dos Silva" entregam informação de graça para qualquer pessoa que esteja fazendo varredura. E combinado com a localização GPS no WiGLE, isso vira um mapa aberto da sua vida. ## WiGLE na prática: como funciona a maior base de dados Wi-Fi do mundo O [WiGLE](https://wigle.net) (Wireless Geographic Logging Engine) é um projeto colaborativo que mantém a maior base de dados gratuita e aberta de redes Wi-Fi mapeadas no mundo. Os números são impressionantes: mais de 1 bilhão de redes sem fio registradas, mais de 430 mil contribuidores ativos, e cobertura em praticamente todos os países. E o WiGLE também mapeia dispositivos Bluetooth e torres de celular — não só Wi-Fi. Para usar o WiGLE, você cria uma conta gratuita no [wigle.net](https://wigle.net) e começa a pesquisar. A interface permite buscar por SSID, BSSID, localização geográfica, endereço e até expressões regulares. No aulão eu demonstrei buscas ao vivo mostrando como os resultados aparecem no mapa com coordenadas GPS, intensidade do sinal, datas de primeira e última detecção, e tipo de criptografia. O WiGLE funciona com um sistema de créditos. Você começa com 5 consultas gratuitas. Para desbloquear mais buscas, precisa contribuir — e contribuir significa sair com o aplicativo Android do WiGLE no celular, andando, pedalando ou dirigindo pela cidade enquanto o app registra todas as redes Wi-Fi que encontrar. Esses dados vão para a base do WiGLE e você ganha créditos proporcionais à quantidade de redes novas que mapeou. Vou mostrar o passo a passo que eu fiz no aulão para uma busca típica. Primeiro, acessei o WiGLE e fiz login. Depois fui em "Advanced Search" e digitei um SSID com o wildcard % — por exemplo, "%Posto Ipiranga%" para encontrar todas as redes Wi-Fi que contêm "Posto Ipiranga" no nome. O resultado mostrou dezenas de redes espalhadas pelo Brasil, cada uma com coordenadas GPS exatas, data da última detecção e o BSSID do equipamento. ## Busca avançada no WiGLE: wildcards, regex e filtros de localização A busca avançada do WiGLE é onde a ferramenta brilha para WiGLE investigação digital. Diego demonstrou ao vivo como usar os filtros combinados para refinar resultados e encontrar exatamente o que você precisa. O wildcard % funciona como coringa no campo SSID. Se você buscar "%Andretta%", vai encontrar qualquer rede Wi-Fi que contenha "Andretta" no nome — e se alguém foi descuidado o suficiente para colocar o próprio sobrenome no Wi-Fi, você acaba de descobrir onde essa pessoa mora ou trabalha (com coordenadas GPS). Outra técnica que mostrei no aulão: buscar pelo BSSID parcial para encontrar todos os equipamentos de um mesmo fabricante numa região. Os três primeiros octetos do endereço MAC identificam o fabricante (chamado OUI — Organizationally Unique Identifier). Se você sabe que o alvo usa roteadores TP-Link, pode filtrar todos os BSSIDs que começam com o OUI da TP-Link numa área geográfica específica. O WiGLE também permite filtrar por coordenadas geográficas (latitude e longitude), por data de detecção (primeiro e último registro), por tipo de criptografia (WPA2, WPA3, WEP, aberta) e por canal. E para quem precisa de buscas mais sofisticadas, aceita expressões regulares no campo SSID. Uma dica prática: combine a busca no WiGLE com o [Mac Vendor](https://macvendors.com) para identificar o fabricante do equipamento. Você copia o BSSID que encontrou, cola no site de Mac Vendor, e ele te diz se é um roteador TP-Link, D-Link, Intelbras ou qualquer outro fabricante. Isso é valioso porque confirma o tipo de equipamento antes de uma operação — no aulão, Diego contou que usou essa técnica para confirmar que um alvo usava um kit mesh Deco (da TP-Link) antes de uma ação policial. ## Casos reais de investigação com WiGLE e wardriving Diego compartilhou casos reais que demonstram o poder do WiGLE para investigação digital. E cada caso mostra uma aplicação diferente da ferramenta. ### O motoboy que mapeou duas cidades Em uma investigação, Diego precisava encontrar o Wi-Fi de um suspeito, mas não sabia o endereço exato. A solução foi contratar um motoboy, instalar o aplicativo do WiGLE no celular dele, e pagar para ele rodar por duas cidades inteiras durante dois dias. O motoboy andou com o app aberto no bolso, mapeando todas as redes Wi-Fi por onde passava. No final, Diego cruzou os dados coletados com o BSSID que já tinha do suspeito — e encontrou a localização exata. Custou o preço de dois dias de motoboy. E Diego disse que um policial que viu a técnica comentou que "toda viatura deveria ter esse dispositivo". ### David Bombal e o BSSID vazado em live David Bombal, um YouTuber famoso de cibersegurança com milhões de seguidores, fez uma live stream onde sem querer mostrou o BSSID da sua rede Wi-Fi na tela. Diego viu, copiou o BSSID, pesquisou no WiGLE, e encontrou o endereço exato do escritório do Bombal. Demonstrei esse caso no aulão para mostrar como um descuido de segundos pode expor sua localização física para qualquer pessoa que saiba usar o WiGLE. ### O estudante que derrubou o Wi-Fi da escola Um adolescente gravou um vídeo no YouTube ensinando como derrubar a rede Wi-Fi da própria escola (ataque de desautenticação). No vídeo, ele mostrou a tela com todos os endereços MAC dos access points da escola. Diego pegou aqueles BSSIDs, jogou no WiGLE, e identificou exatamente qual escola era — com nome, endereço e tudo. O estudante tentou ser anônimo, mas os próprios dados que ele exibiu no vídeo entregaram a localização. ### Rastreamento de roteadores roubados nas enchentes do RS Durante as enchentes do Rio Grande do Sul, centenas de equipamentos eletrônicos foram saqueados — incluindo roteadores Wi-Fi. Diego explicou que esses roteadores, quando ligados novamente em outra localidade, podem ser detectados por quem estiver fazendo wardriving na região. O BSSID não muda quando o roteador troca de dono. Então se você anotou o BSSID do seu roteador antes de perdê-lo, pode potencialmente rastreá-lo quando ele aparecer online em outro lugar. ### Operação de inteligência com corte de fibra Diego revelou uma técnica avançada de operação de inteligência: cortar os cabos de fibra óptica de uma localização para forçar os ocupantes a usar hotspots móveis (compartilhando internet do celular). Quando os ocupantes ativavam o compartilhamento de internet, os nomes das redes Wi-Fi temporárias (geralmente o nome do celular) eram capturados por dispositivos de wardriving posicionados nas proximidades. Isso revelava informações sobre os dispositivos e potencialmente os nomes dos proprietários. ## Ferramentas de wardriving: do celular ao hardware dedicado No aulão eu demonstrei que wardriving não exige equipamento caro ou conhecimento avançado. A forma mais acessível de começar é com o próprio celular Android e o aplicativo gratuito do [WiGLE](https://play.google.com/store/apps/details?id=net.wigle.wigleandroid). Mas para quem quer ir além, existem opções de hardware dedicado. Diego mencionou combinações como ESP32 + módulo GPS + bateria — um kit DIY que custa menos de R$100 e pode ser montado com conhecimento de Arduino. Também falou do [Flipper Zero](https://flipperzero.one), que além de capturar sinais Wi-Fi pode clonar dispositivos Bluetooth (Diego mencionou ataques de clonagem via Bluetooth no aulão). E para eventos maiores de wardriving, existe o Wi-Fi Pineapple, um dispositivo profissional de pentest que automatiza a captura de redes. | Ferramenta | Tipo | Uso principal | |:---|:---|:---| | [WiGLE App](https://play.google.com/store/apps/details?id=net.wigle.wigleandroid) | App Android gratuito | Wardriving básico com celular | | [WiGLE Web](https://wigle.net) | Plataforma web | Busca e análise de redes Wi-Fi mapeadas | | [Mac Vendor](https://macvendors.com) | Site de consulta | Identificar fabricante pelo endereço MAC | | [Flipper Zero](https://flipperzero.one) | Hardware portátil | Captura de sinais Wi-Fi e Bluetooth | | ESP32 + GPS + Bateria | Hardware DIY | Wardriving automatizado de baixo custo | | Wi-Fi Pineapple | Hardware profissional | Pentest e captura avançada de redes | Para quem se interessa por gadgets de investigação e espionagem digital, eu cobri esse tema com mais detalhes no [Aulão #041 — Espionagem Digital e OSINT com Gadgets](/aulao-semanal/espionagem-digital-osint-gadgets-investigacao), onde Diego, Alonso e o restante da equipe mostraram Flipper Zero, Evil Twin e Bad USB em ação. ## Como proteger sua rede Wi-Fi contra rastreamento Se o WiGLE pode ser usado para encontrar qualquer pessoa, a pergunta natural é: como se proteger? Diego deu recomendações práticas durante o aulão. Primeiro: anote os endereços MAC de todos os seus dispositivos de rede (roteadores, access points, repetidores). Se algum dia forem roubados, você tem o BSSID para tentar rastreá-los. Mas ao mesmo tempo, saiba que qualquer pessoa pode pesquisar esses BSSIDs no WiGLE e descobrir sua localização. Segundo: nunca use informações identificáveis no nome da rede. Nada de "Família Souza", "Apt 302 João" ou "Escritório Advocacia Silva". Use nomes aleatórios que não entreguem nada sobre você. E evite os nomes padrão do provedor (tipo "VIVO-A1B2") porque eles indicam qual é o seu provedor de internet. Terceiro: entenda que esconder o SSID (rede oculta) não resolve. O BSSID continua sendo transmitido nos beacon frames e pode ser capturado por qualquer ferramenta de wardriving. Rede oculta é uma falsa sensação de segurança. E Diego reforçou esse ponto no aulão com exemplos práticos. Quarto: se você é alvo de investigação e quer dificultar o rastreamento, trocar o roteador (e consequentemente o BSSID) é a única forma de desvincular sua localização do histórico do WiGLE. Mas o novo BSSID eventualmente será mapeado também. ## WiGLE investigação digital: integrando com outras ferramentas OSINT O WiGLE não funciona isolado. No aulão eu mostro como combinar o WiGLE com outras ferramentas OSINT para construir uma investigação completa. A combinação mais poderosa é WiGLE + Google Maps. Você encontra as coordenadas GPS de uma rede no WiGLE e cola no [Google Maps](https://maps.google.com) para ver o Street View do local — confirmando visualmente o endereço, o tipo de imóvel e até detalhes como antenas ou equipamentos visíveis na fachada. Outra combinação efetiva é WiGLE + [Shodan](https://www.shodan.io). O Shodan indexa dispositivos conectados à internet (câmeras, roteadores, servidores). Se você encontrar o IP público associado a uma rede Wi-Fi, pode pesquisar no Shodan para ver quais portas estão abertas e quais serviços estão rodando. Para aprender a usar o Shodan, veja o [Aulão #020 — Shodan na Prática](/aulao-semanal/shodan-como-usar-identificar-vulnerabilidades-internet). E para investigações que envolvem stalking ou assédio, a localização via WiGLE pode ser uma evidência complementar ao trabalho de desmascarar o agressor. No [Aulão #032 — Desmascarando Stalkers](/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint), eu cobri técnicas de investigação ativa que se complementam perfeitamente com o rastreamento por Wi-Fi. Para quem quer conhecer todas as ferramentas OSINT disponíveis (incluindo o WiGLE), recomendo o [Aulão #038 — Melhores Ferramentas OSINT](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) e o [Aulão #039 — Ferramentas OSINT na Prática](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme). E se você quer aprender técnicas de investigação usando extensões de browser, confira o [Aulão #042 — 5 Ferramentas de Investigação Digital](/aulao-semanal/extensoes-browser-investigacao-digital-osint). ## Perguntas frequentes sobre WiGLE e investigação por Wi-Fi ### O WiGLE é legal? Sim. Coletar SSIDs, BSSIDs, tipos de criptografia e coordenadas GPS a partir de beacon frames (que são transmitidos publicamente por qualquer roteador Wi-Fi) é legal na maioria das jurisdições. O que é ilegal é conectar-se a uma rede sem autorização ou capturar dados de tráfego. O WiGLE apenas registra informações que os roteadores transmitem abertamente. ### Preciso pagar para usar o WiGLE? Não. O WiGLE é gratuito. Você cria uma conta, ganha 5 consultas iniciais, e desbloqueia mais consultas contribuindo com dados de wardriving pelo aplicativo Android. Quanto mais redes novas você mapear, mais créditos recebe. ### Como faço wardriving com meu celular? Instale o aplicativo [WiGLE WiFi Wardriving](https://play.google.com/store/apps/details?id=net.wigle.wigleandroid) no seu Android, ative o GPS, e saia andando ou dirigindo. O app roda em segundo plano capturando automaticamente todas as redes Wi-Fi ao redor com suas coordenadas GPS. Quando voltar, faça upload dos dados para o WiGLE. ### É possível rastrear alguém só pelo nome da rede Wi-Fi? Depende. Se o SSID contiver informações identificáveis (nome da família, número do apartamento, nome da empresa), é possível cruzar com buscas no WiGLE para encontrar a localização GPS. Mas como SSIDs podem se repetir, o ideal é ter o BSSID para identificação única. ### Como descubro o fabricante de um roteador pelo BSSID? Cole os seis primeiros caracteres do BSSID (os três primeiros octetos do endereço MAC) em um site como [macvendors.com](https://macvendors.com). Ele retorna o fabricante registrado (TP-Link, D-Link, Intelbras, etc.). Isso é útil para confirmar o tipo de equipamento antes de uma ação de investigação. ### Esconder o SSID (rede oculta) protege contra o WiGLE? Não. Mesmo com o SSID oculto, o BSSID (endereço MAC) continua sendo transmitido nos beacon frames e nos probe responses. Qualquer ferramenta de wardriving captura o BSSID independentemente de o SSID estar visível ou não. Rede oculta não é proteção real contra mapeamento. ### O WiGLE mapeia só Wi-Fi? Não. O WiGLE também mapeia dispositivos Bluetooth e torres de celular. A base de dados contém mais de 7,8 milhões de torres de celular registradas, além do mais de 1 bilhão de redes Wi-Fi. > **Veja também:** [Desafio de Investigação Digital ao Vivo: Como Rastreamos um Golpista do Pix — Aulão #049](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) > **Veja também:** [4 Ferramentas de Investigação Digital que Ninguém No Brasil Usa — Aulão #054](/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance) ## Referências e recursos mencionados no aulão - [WiGLE (Wireless Geographic Logging Engine)](https://wigle.net) — plataforma principal demonstrada no aulão - [WiGLE App para Android](https://play.google.com/store/apps/details?id=net.wigle.wigleandroid) — aplicativo para wardriving - [Mac Vendor Lookup](https://macvendors.com) — identificação de fabricante por endereço MAC - [Flipper Zero](https://flipperzero.one) — dispositivo portátil de pentest mencionado por Diego - [WiGLE FAQ](https://wigle.net/faq) — perguntas frequentes oficiais do WiGLE - [WiGLE Statistics](https://wigle.net/stats) — dados atualizados sobre a base do WiGLE - [Maltego — Integrating Wireless Data into OSINT](https://www.maltego.com/blog/integrating-wireless-data-into-your-osint-investigations/) — referência sobre integração de dados wireless em investigações - [Hackers Arise — Tracking Location Using WiGLE](https://www.hackers-arise.com/post/osint-tracking-the-suspect-s-precise-location-using-wigle-net) — tutorial de rastreamento com WiGLE --- ### Aulão #043 — Como Investigar Golpes do Pix: Guia Prático de Prevenção, Recuperação e Investigação URL: https://brunofraga.com/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao Publicado: 2024-09-26 Tags: ciberseguranca, investigacao-digital, osint, privacidade YouTube: https://www.youtube.com/watch?v=Q8K82P-c8aE Aprenda como investigar golpes do Pix na prática — da prevenção antes de transferir até a recuperação do dinheiro com MED, Bloqueio Cautelar e Registrato. Aulão ao vivo com o especialista Ulisses e demonstrações de relatório de investigação real. ## O que você vai aprender neste aulão Como investigar golpes do Pix é a pergunta que define se você vai recuperar seu dinheiro ou virar mais um número nas estatísticas do Banco Central. Só no ano passado, o BC registrou R$6,5 bilhões em fraudes via Pix — um aumento de 80% sobre o período anterior. Neste aulão, eu mostro na prática o que fazer antes e depois de transferir um Pix, como acionar os mecanismos de proteção do Banco Central e como montar um relatório de investigação que a polícia realmente usa. O Ulisses, especialista em investigação de fraudes financeiras, participou do aulão inteiro comigo. Juntos, demonstramos desde a verificação de chaves Pix até a construção de um relatório completo sobre uma loja fraudulenta (a Loja Ricardex), passando por ferramentas como Registrato, Celular Seguro, Sr. Watson e Hunter. Depois de ler este artigo, você vai saber: - Identificar os 3 erros que as pessoas cometem ao cair em golpe do Pix - Verificar a identidade de quem vai receber seu Pix antes de transferir - Acionar o MED (Mecanismo Especial de Devolução) no seu banco - Usar o Bloqueio Cautelar para travar o dinheiro na conta do golpista - Consultar o Registrato para descobrir contas e chaves Pix vinculadas ao seu CPF - Montar um relatório de investigação preliminar com valor jurídico ## Os 3 erros que destroem sua chance de recuperar dinheiro do Pix A maioria das vítimas de golpe do Pix comete pelo menos um destes erros — e cada um deles reduz drasticamente a chance de recuperação. Eu demonstrei no aulão por que esses comportamentos são tão destrutivos e o que fazer no lugar. **Erro 1: Correr para a delegacia sem dados.** A polícia não vai atrás do golpista com base apenas no seu relato. Sem comprovantes, prints, dados da chave Pix e informações do destinatário, o boletim de ocorrência vira papel burocrático. E Registrato pode fornecer dados que a polícia não consegue obter rapidamente — como todas as contas e chaves vinculadas ao seu CPF. **Erro 2: Reclamar no Reclame Aqui achando que resolve.** O STJ já decidiu que prints de tela não constituem prova por si só. Mas o problema vai além: reclamar em plataformas públicas consome tempo que deveria ser usado acionando o MED e o Bloqueio Cautelar. Enquanto você digita uma reclamação, o golpista está transferindo seu dinheiro para outras contas. **Erro 3: "Dormir no ponto" — demorar para agir.** Existe um princípio jurídico chamado *dormientibus non succurrit ius* — a justiça não socorre quem dorme. O MED tem prazo de 80 dias, mas na prática as primeiras horas são decisivas. Depois que o dinheiro sai da conta do golpista (o que acontece em minutos), a recuperação fica exponencialmente mais difícil. Como eu disse no aulão: "90% dos casos de golpe do Pix seriam resolvidos se a pessoa tivesse verificado antes de transferir." Mas quando o golpe já aconteceu, velocidade é tudo. ## Como verificar a identidade do destinatário antes de transferir um Pix A investigação antes de transferir é a defesa mais poderosa contra golpes do Pix. Neste aulão, eu mostro ferramentas gratuitas que qualquer pessoa pode usar para verificar quem está do outro lado — e por que 90% dos casos seriam evitados com essa verificação simples. ### Verificando a chave Pix e o CNPJ Antes de fazer qualquer transferência, consulte a chave Pix no próprio aplicativo do banco. Confirme se o nome que aparece corresponde a quem você espera. Se a chave for um CNPJ, consulte na [Receita Federal](https://solucoes.receita.fazenda.gov.br/Servicos/cnpjreva/cnpjreva_solicitacao.asp) para verificar razão social, data de abertura e situação cadastral. Durante o aulão, demonstrei como o [Sr. Watson](https://watson.brunofraga.com) (ferramenta gratuita da minha equipe) e o [Hunter](https://hunter.io) (do Protocolo Sherlock) permitem cruzar dados de identidade rapidamente. Vou mostrar um exemplo: se alguém pede um Pix para um CNPJ aberto há 2 meses, com atividade econômica incompatível e endereço residencial, você já tem sinais suficientes para recusar. ### O "ping" de 1 centavo e por que você deve se preocupar Golpistas usam uma técnica que eu demonstrei no aulão: enviam 1 centavo via Pix para verificar se a conta da vítima está ativa. É o equivalente digital de tocar a campainha para ver se tem alguém em casa antes de assaltar. Se você recebeu um Pix de 1 centavo de alguém desconhecido, preste atenção — pode ser um teste. ### Nunca use CPF, telefone ou email pessoal como chave Pix Mostrei no aulão por que usar dados pessoais como chave Pix é um risco desnecessário. Seu CPF já está em bases vazadas (como eu já demonstrei em aulões anteriores). Seu telefone é público. Seu email pessoal está em dezenas de cadastros. Quando você usa qualquer um desses como chave Pix, está entregando ao golpista uma forma de confirmar sua identidade e vincular suas contas. A recomendação que eu e o Ulisses fizemos é clara: use sempre a chave aleatória. Ela não revela nenhuma informação pessoal e pode ser trocada a qualquer momento. Se você quer aprofundar suas habilidades de verificação de identidade online, eu cobri técnicas complementares no [Aulão #035 — Como Descobrir o Dono de um WhatsApp](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao). ## O que fazer imediatamente depois de cair em um golpe do Pix Quando o golpe já aconteceu, cada minuto conta. Neste aulão, eu demonstrei a sequência exata de ações que maximiza sua chance de recuperar o dinheiro — e a ordem importa. ### Bloqueie sua chave Pix em segundos A primeira coisa que vou mostrar é o truque mais rápido: digite a senha do seu banco errada 3 vezes seguidas. Isso bloqueia instantaneamente o acesso à sua conta, impedindo que o golpista (se tiver acesso ao seu app) faça transferências adicionais. É brutal, mas funciona. Depois você desbloqueia na agência ou pelo atendimento telefônico. ### Acione o MED no seu banco O [MED (Mecanismo Especial de Devolução)](https://www.bcb.gov.br/estabilidadefinanceira/pix) é o mecanismo oficial do Banco Central para recuperação de valores em caso de fraude via Pix. Eu expliquei no aulão como ele funciona na prática: 1. Ligue para o SEU banco (não o banco do golpista) e informe que foi vítima de fraude 2. Solicite a abertura do MED — o banco é obrigado a aceitar em até 80 dias após o Pix 3. Seu banco notifica o banco do golpista em até meia hora 4. O banco do golpista bloqueia o valor na conta 5. Análise acontece em até 7 dias corridos 6. Se confirmada a fraude, devolução em até 96 horas (4 dias) Mas atenção — e eu fui direto nesse ponto no aulão: o MED só funciona se ainda houver saldo na conta do golpista. Na maioria dos casos, o dinheiro já foi pulverizado para outras contas em questão de minutos. É por isso que a velocidade da sua ação é determinante. O MED se aplica apenas a casos de fraude. Não funciona para disputas comerciais ("comprei e não gostei") nem para erro do próprio usuário ("mandei Pix pro número errado"). E Ulisses reforçou que muita gente confunde essas situações e perde tempo acionando o mecanismo errado. ### Solicite o Bloqueio Cautelar no banco de destino O Bloqueio Cautelar é diferente do MED. Enquanto o MED é acionado no SEU banco, o Bloqueio Cautelar é uma ação do banco que RECEBEU o Pix. Quando o banco detecta (ou é alertado sobre) atividade suspeita, ele pode bloquear o valor recebido por até 72 horas para análise. Neste aulão, eu expliquei como pedir isso: ligue para o banco de destino (o nome aparece na confirmação do Pix) e informe que a conta está sendo usada para fraude. O banco é obrigado a analisar. Se confirmar irregularidade, o dinheiro volta para você. Se a transação for legítima, o valor é liberado normalmente ao destinatário. Os bancos ativam o Bloqueio Cautelar automaticamente em situações como Pix de alto valor para conta desconhecida, transferências em sequência com valores incomuns, ou quando o mesmo dispositivo recebe Pix de origens diferentes em pouco tempo. Para mais contexto sobre como golpistas operam e como contra-atacar, assista ao [Aulão #029 — Contra-Atacando Golpistas](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet). ## Registrato: como descobrir todas as contas e chaves Pix no seu CPF O [Registrato](https://registrato.bcb.gov.br) é um sistema oficial do Banco Central que a maioria das pessoas não conhece — e que deveria ser consultado regularmente. Neste aulão, mostrei como acessar e interpretar os relatórios disponíveis. ### O que o Registrato revela O Registrato consolida informações financeiras vinculadas ao seu CPF em relatórios específicos: - **Relatório de Chaves Pix** — mostra todas as chaves Pix registradas em seu nome, em quais bancos, e até chaves que foram excluídas (com histórico) - **Relatório de Contas e Relacionamentos** — lista todas as contas bancárias abertas em seu CPF, incluindo contas que você nunca abriu (sinal de fraude) - **Relatório de Empréstimos e Financiamentos** — mostra todos os empréstimos contratados em seu nome - **Relatório de Câmbio** — operações de câmbio vinculadas ao seu CPF Por que isso importa para investigação de golpe do Pix? Porque se alguém abriu uma conta laranja usando seus dados, o Registrato vai mostrar. Se alguém cadastrou uma chave Pix em seu nome sem sua autorização, o Registrato vai mostrar. E Registrato vai mostrar também se você não sabe em quantos bancos tem conta. ### Como acessar o Registrato Você precisa de uma conta [gov.br](https://www.gov.br) com nível prata ou ouro. Acesse o [Registrato](https://registrato.bcb.gov.br), faça login e solicite os relatórios. O acesso também está disponível pelo Internet Banking de bancos participantes (Banco do Brasil, Bradesco, Itaú, Caixa, Santander, Sicredi e Sicoob). Eu demonstrei durante o aulão como a consulta revelou informações que o próprio dono do CPF desconhecia — chaves Pix registradas em bancos onde a pessoa nunca teve conta. Isso é um indicativo claro de que os dados foram usados para abrir contas laranja. ## Celular Seguro: o app do governo que bloqueia tudo em um clique O [Celular Seguro](https://celularseguro.mj.gov.br/) é um programa do Ministério da Justiça que permite bloquear aparelho, linha telefônica e contas bancárias com um único alerta. No aulão, eu expliquei por que todo mundo deveria ter esse app instalado antes de precisar dele. Como funciona: você cadastra seu celular e uma pessoa de confiança no app. Se seu celular for roubado ou furtado, você (ou a pessoa de confiança) acessa o site ou outro dispositivo e dispara o alerta. Em até 30 minutos, os bancos bloqueiam o acesso às suas contas. Em até 6 horas, a operadora bloqueia a linha. Vou mostrar por que isso é relevante para golpes do Pix: com seu celular roubado e desbloqueado, o criminoso tem acesso direto aos seus apps bancários. Sem o Celular Seguro, você precisa ligar para cada banco individualmente — e nesse tempo o golpista já fez transferências. Mas com o app, um único clique trava tudo simultaneamente. O cadastro é gratuito e leva menos de 5 minutos. Está disponível para Android e iOS. ## Como montar um relatório de investigação preliminar sobre golpe do Pix Neste aulão, eu demonstrei ao vivo a construção de um relatório de investigação sobre a Loja Ricardex — uma loja fraudulenta que usava Pix como método exclusivo de pagamento. O relatório que montei tem valor jurídico e pode ser anexado ao boletim de ocorrência. ### A estrutura do relatório que mostrei no aulão O relatório que eu uso segue uma estrutura que a polícia reconhece e que o Judiciário aceita: 1. **Narrativa dos fatos** — descrição cronológica do golpe, com datas e valores 2. **Dados do Pix** — chave utilizada, nome do destinatário, banco, valor, data e hora 3. **Análise do CNPJ** — consulta na Receita Federal mostrando inconsistências 4. **Análise de redes sociais** — perfis vinculados ao golpista, fotos invertidas 5. **Análise de imagem reversa** — demonstrei que a foto de perfil da Loja Ricardex era de uma pessoa estrangeira, obtida da internet 6. **Google Street View** — verificação do endereço declarado (no caso, não correspondia a nenhuma loja) ### Garantindo a validade jurídica das evidências Eu fiz questão de explicar no aulão que prints simples não são prova suficiente — o STJ já decidiu isso. Para garantir validade, o relatório precisa de: - **Hash do documento** — uma assinatura digital que comprova que o conteúdo não foi alterado - **Registro no Archive.org** — salvar as páginas no [Wayback Machine](https://web.archive.org) antes que o golpista apague tudo - **PDF com metadados** — data de criação, autor, ferramenta utilizada - **Capturas de tela com data e hora** — screenshots do site, do perfil e das conversas com timestamp visível Mostrei ao vivo como gerar o hash e como usar o Archive.org para registrar a evidência. Sem isso, o golpista pode alegar que o site nunca existiu ou que o conteúdo foi alterado. ### As penas para estelionato eletrônico O Ulisses detalhou as consequências legais durante o aulão. O estelionato eletrônico (Art. 171 §2-A do Código Penal, incluído pela Lei 14.155/2021) prevê reclusão de 4 a 8 anos, mais multa. Se combinado com lavagem de dinheiro e organização criminosa, a pena pode chegar a 10 anos. E Ulisses alertou: se o servidor utilizado estiver fora do Brasil, há agravante de 1/3 a 2/3. Para entender melhor como crimes digitais são enquadrados na lei brasileira, eu cobri esse tema em profundidade no [Aulão #019 — Crimes Digitais e Golpes na Internet](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar). ## Casos reais de golpes do Pix que analisamos no aulão Durante o aulão, eu e o Ulisses analisamos casos reais para mostrar a dimensão e a variedade dos golpes do Pix. Não são hipóteses — são casos documentados. ### O golpe de R$6 milhões em 5 minutos Uma empresa perdeu R$6 milhões via Pix em uma única operação que levou 5 minutos. O golpista usou engenharia social para convencer um funcionário a autorizar a transferência. Neste aulão, demonstrei que o valor foi pulverizado para dezenas de contas laranja em questão de minutos — tornando a recuperação via MED praticamente impossível. Antes do Pix, um caso similar (R$1,5 milhão via TED) levou 30 minutos, dando mais tempo de reação. ### O golpe das tarefas O golpe das tarefas é uma pirâmide onde a vítima paga para "completar tarefas" online (curtir posts, avaliar produtos) acreditando que receberá remuneração. O dinheiro que a vítima recebe nas primeiras "tarefas" vem de outras vítimas — é pirâmide pura. Quando o valor investido sobe, o retorno para. ### Falsos advogados e processos judiciais Golpistas ligam para vítimas fingindo ser advogados de processos reais (dados obtidos de consultas públicas no JusBrasil) e pedem Pix para "custas processuais" ou "taxas de liberação". O Ulisses explicou que a sofisticação desses golpes aumentou: os criminosos usam dados reais do processo para dar credibilidade à ligação. ### A investigação da Loja Ricardex No aulão, eu fiz a investigação ao vivo. A Loja Ricardex vendia produtos eletrônicos a preços muito abaixo do mercado, aceitando apenas Pix. A análise revelou: CNPJ recém-aberto, endereço inexistente no Google Street View, foto de perfil obtida de banco de imagens estrangeiro (confirmada por busca reversa de imagem), e WordPress com configuração padrão. Demonstrei como cada um desses elementos compôs o relatório de investigação. Se você quer ver outra investigação de loja virtual feita ao vivo, eu fiz uma demonstração completa no [Aulão #034 — Como Investigar Lojas Virtuais](/aulao-semanal/como-investigar-lojas-virtuais-identificar-golpes-online). ## Email como chave Pix: a técnica de proteção que ninguém ensina No final do aulão, eu demonstrei uma técnica de proteção que considero obrigatória para quem leva segurança a sério: usar aliases de email como chave Pix, com um email diferente para cada banco. ### Como implementar na prática Em vez de usar seu email pessoal ou CPF como chave Pix, crie aliases específicos para cada banco. Mostrei no aulão meu próprio exemplo: - Banco C6: c6banco1@brunofraga.com - Nubank: nubank1@brunofraga.com - Inter: inter1@brunofraga.com - E assim por diante para cada instituição Por que isso funciona? Se uma chave Pix vazar (e elas vazam), você sabe exatamente qual banco foi a fonte do vazamento. Além disso, cada alias é descartável — você pode trocar sem afetar seu email principal. Eu uso [Proton Mail](https://proton.me) para gerenciar esses aliases, mas qualquer provedor que suporte aliases (ou até domínio próprio) funciona. O ponto não é a ferramenta — é o princípio de compartimentalização. ### Email com domínio próprio vs email gratuito Se você usa gmail.com ou outlook.com como chave Pix, o golpista já sabe seu provedor, pode tentar phishing direcionado e correlacionar com outras contas. Com domínio próprio, você controla completamente os aliases e pode excluir qualquer um a qualquer momento. Para mais técnicas de investigação usando ferramentas digitais, confira o [Aulão #042 — 5 Ferramentas de Investigação](/aulao-semanal/extensoes-browser-investigacao-digital-osint). ## Registrando o boletim de ocorrência corretamente Mostrei no aulão que o boletim de ocorrência (BO) mal feito é pior do que nenhum BO — porque dá a falsa sensação de que "já fiz algo" enquanto o caso morre na gaveta. O BO precisa ser preciso, documentado e acompanhado do relatório de investigação. ### O que incluir no BO para golpe do Pix O BO para crimes de estelionato eletrônico deve conter: - Data e hora exata da transferência - Valor transferido - Chave Pix utilizada pelo golpista (CPF, CNPJ, email, telefone ou chave aleatória) - Nome que apareceu na confirmação do Pix - Banco de destino - Comprovante de transferência (PDF do app bancário) - Prints de toda a comunicação com o golpista (WhatsApp, email, site) - Número do protocolo do MED (se já acionou) ### Delegacia virtual vs delegacia presencial Na maioria dos estados, você pode registrar o BO pela delegacia virtual (delegacia eletrônica). Mas eu expliquei no aulão uma diferença importante: na delegacia virtual, você preenche um formulário. Na delegacia presencial, você pode entregar o relatório de investigação completo e conversar com o delegado. Se você tem um relatório com hash, Archive.org e análise de CNPJ, vá presencialmente — o delegado vai levar seu caso mais a sério. Para entender como golpistas são investigados do começo ao fim, assista ao [Aulão #003 — Desvendando um Golpe Real](/aulao-semanal/investigacao-digital-casos-reais-golpe-olx), onde investiguei um caso na OLX até a identificação do criminoso. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Registrato | Consultar contas, chaves Pix e empréstimos vinculados ao CPF | [Registrato — BCB](https://registrato.bcb.gov.br) | | Celular Seguro | Bloquear celular, linha e contas bancárias em caso de roubo | [Celular Seguro](https://celularseguro.mj.gov.br/) | | Sr. Watson | Verificação gratuita de identidade e dados públicos | [Sr. Watson](https://watson.brunofraga.com) | | Hunter | Investigação de emails e domínios (Protocolo Sherlock) | [Hunter](https://hunter.io) | | H-Spy | Rastreamento de links e investigação de cliques | [H-Spy](https://hispy.io) | | Receita Federal | Consulta de CNPJ, razão social e situação cadastral | [Consulta CNPJ](https://solucoes.receita.fazenda.gov.br/Servicos/cnpjreva/cnpjreva_solicitacao.asp) | | JusBrasil | Pesquisa de processos judiciais e jurisprudência | [JusBrasil](https://www.jusbrasil.com.br) | | Archive.org | Registro de evidências com timestamp (Wayback Machine) | [Archive.org](https://web.archive.org) | | MED — Banco Central | Mecanismo Especial de Devolução para fraudes via Pix | [Pix — BCB](https://www.bcb.gov.br/estabilidadefinanceira/pix) | ## Perguntas Frequentes sobre golpes do Pix e investigação ### Como investigar golpes do Pix se eu já transferi o dinheiro? Acione o MED pelo seu banco imediatamente — você tem até 80 dias, mas as primeiras horas são decisivas. Ligue também para o banco de destino e peça o Bloqueio Cautelar. Registre o boletim de ocorrência com o comprovante de transferência e o máximo de informações sobre o golpista. Consulte o Registrato para verificar se há contas abertas em seu nome sem sua autorização. ### O MED garante a devolução do dinheiro em caso de golpe do Pix? Não. O MED só devolve o dinheiro se ainda houver saldo na conta do golpista. Na prática, golpistas transferem o dinheiro para contas laranja em minutos. O MED funciona melhor quando acionado imediatamente após o golpe. O prazo máximo é 80 dias, mas a efetividade cai drasticamente após as primeiras horas. ### Qual a diferença entre MED e Bloqueio Cautelar no Pix? O MED é acionado no SEU banco e é um pedido formal de devolução por fraude. O Bloqueio Cautelar é acionado no banco que RECEBEU o Pix e bloqueia o valor por até 72 horas para análise. São mecanismos complementares — acione os dois simultaneamente para maximizar suas chances. ### Como consultar se abriram contas ou chaves Pix no meu nome? Acesse o Registrato do Banco Central em registrato.bcb.gov.br com sua conta gov.br (nível prata ou ouro). Solicite o Relatório de Chaves Pix e o Relatório de Contas. O sistema mostra todas as contas, chaves ativas e excluídas vinculadas ao seu CPF, inclusive em bancos onde você nunca teve relacionamento. ### Por que não devo usar meu CPF como chave Pix? Seu CPF já está em bases de dados vazadas. Quando você usa como chave Pix, está confirmando ao golpista que aquele CPF tem uma conta ativa, em qual banco, e qual o nome do titular. Use sempre a chave aleatória — ela não revela informações pessoais e pode ser substituída a qualquer momento. ### Quanto tempo tenho para acionar o MED depois de um golpe do Pix? O prazo formal é 80 dias após a transferência. Mas na prática, cada minuto conta. O dinheiro costuma ser transferido para contas laranja em questão de minutos. Acione o MED imediatamente — não espere horas ou dias para ligar para o banco. ### Como registrar um boletim de ocorrência por golpe do Pix? Acesse a delegacia virtual do seu estado ou vá presencialmente a uma delegacia. Informe a data, hora e valor do Pix, a chave utilizada pelo golpista, o banco de destino e o nome que apareceu na confirmação. Anexe comprovantes, prints de conversas e (se tiver) o relatório de investigação com hash e evidências registradas no Archive.org. > **Veja também:** [Como Localizar e Rastrear Pessoas na Internet: 360+ Fontes, Fantoches e OSINT — Aulão #045](/aulao-semanal/como-localizar-rastrear-pessoas-internet-fontes-governo-osint) > **Veja também:** [Como Encontrar Bens Ocultos de Devedores — Aulão #047](/aulao-semanal/como-encontrar-bens-ocultos-devedores-investigacao-patrimonial) > **Veja também:** [Como Remover Conteúdo da Internet: Blindagem Digital em 2 Níveis — Aulão #048](/aulao-semanal/blindagem-digital-remover-conteudo-internet-niveis) > **Veja também:** [Desafio de Investigação Digital ao Vivo: Como Rastreamos um Golpista do Pix — Aulão #049](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) > **Veja também:** [HI SPY: Como Funciona a Ferramenta de Investigação Digital — Aulão #051](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) > **Veja também:** [Bitcoin como Proteção Patrimonial — Aulão #053](/aulao-semanal/bitcoin-protecao-patrimonial-cold-wallet-autocustodia) ## Referências e Recursos - [Registrato — Banco Central do Brasil](https://registrato.bcb.gov.br) - [Celular Seguro — Ministério da Justiça](https://celularseguro.mj.gov.br/) - [MED e Pix — Banco Central do Brasil](https://www.bcb.gov.br/estabilidadefinanceira/pix) - [Consulta CNPJ — Receita Federal](https://solucoes.receita.fazenda.gov.br/Servicos/cnpjreva/cnpjreva_solicitacao.asp) - [JusBrasil — Pesquisa Jurídica](https://www.jusbrasil.com.br) - [Art. 171 — Código Penal (Estelionato)](https://www.jusbrasil.com.br/topicos/10617301/artigo-171-do-decreto-lei-n-2848-de-07-de-dezembro-de-1940) - [Relatório de Chaves Pix — Gov.br](https://www.gov.br/pt-br/servicos/emitir-relatorio-de-chaves-pix) - [Archive.org — Wayback Machine](https://web.archive.org) - [Hunter.io — Investigação de emails](https://hunter.io) - [NIC.br — Segurança e privacidade](https://www.nic.br) --- ### Aulão #042 — 5 Ferramentas de Investigação que você precisa conhecer URL: https://brunofraga.com/aulao-semanal/extensoes-browser-investigacao-digital-osint Publicado: 2024-09-25 Tags: osint, investigacao-digital, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=E61KfG_8rhw Aulão em vídeo onde Bruno Fraga demonstra ao vivo 5 extensões de browser para investigação digital: Wayback Machine para evidências jurídicas, RevEye para busca reversa de imagem, Link Gopher para extração de links, Wappalyzer para identificação de tecnologia e Video DownloadHelper para preservação de vídeos. Com casos reais de phishing e enumeração de usuários WordPress. ## O que você vai aprender neste aulão Extensões de browser para investigação digital são o atalho que separa amadores de profissionais. Neste aulão eu demonstrei ao vivo 5 extensões navegador investigação digital que uso no meu dia a dia como investigador — desde registrar evidências com validade jurídica até identificar a tecnologia por trás de qualquer site. E Wayback Machine, RevEye, Link Gopher, Wappalyzer e Video DownloadHelper foram testadas na prática, com casos reais. Depois de ler este artigo, você vai saber como instalar e configurar cada extensão, quando usar cada uma, e como combiná-las para investigações completas. Mostrei também por que separar browsers (Firefox para investigação, Chrome para uso pessoal) é uma prática que todo investigador deveria adotar. E Sputnik, a extensão que conecta qualquer IP direto ao [Shodan](https://www.shodan.io), apareceu como bônus junto com o pacote de domínios. Se você já viu o [Aulão #004 — As 7 Ferramentas que Todo Investigador Digital Precisa Conhecer](/aulao-semanal/ferramentas-de-investigacao-digital), este aulão complementa aquele conteúdo com foco exclusivo em extensões que rodam direto no browser — sem precisar instalar nada no sistema operacional. ## Por que separar browsers para investigação digital A primeira coisa que eu fiz neste aulão foi explicar por que uso dois browsers diferentes: Firefox para investigação e Chrome para uso pessoal. Mas não é capricho. Quando você investiga usando o mesmo browser onde está logado no Gmail, no Instagram, no banco — você está contaminando a investigação com os seus dados pessoais. Cookies, histórico, sessões ativas, extensões pessoais: tudo isso pode interferir nos resultados da sua pesquisa. Já imaginou um alvo descobrindo quem está investigando ele porque você esqueceu a sessão do Gmail aberta? Acontece mais do que você pensa. E pior, pode expor informações suas para o alvo da investigação. Eu gosto muito da ideia de isolar a investigação da minha vida pessoal, não só usando perfis falsos, mas o browser também. Durante o aulão eu também comentei sobre o Brave. Mas a minha recomendação é clara: se você não usa o Google Chrome, usa o Firefox. O Firefox tem compatibilidade excelente com extensões de OSINT, é mantido pela Mozilla (uma fundação sem fins lucrativos focada em privacidade) e permite criar perfis separados sem complicação. Essa prática de isolamento de browsers não é paranoia — é procedimento básico de qualquer investigador que leva a sério a cadeia de custódia das suas evidências. ## Wayback Machine: como registrar evidências digitais com um clique A extensão do [Wayback Machine (Archive.org)](https://web.archive.org) foi a primeira que eu mostrei no aulão, e por um bom motivo. Ela permite duas coisas que todo investigador precisa: consultar o histórico de qualquer site e registrar uma página como evidência digital. ### Consultando o histórico de sites Com a extensão instalada, você clica no ícone e ela mostra imediatamente se aquele site tem registros no Archive.org. Demonstrei isso ao vivo com o brunofraga.com — consegui ver como o site era meses antes, com layout completamente diferente do atual. Isso é poderoso para investigação porque sites mudam, páginas somem, conteúdo é removido. Mas o Archive.org guarda tudo. Se um golpista tinha um site com ofertas falsas e tirou do ar, você pode recuperar a versão antiga e documentar a fraude. No [Aulão #036 — 8 Técnicas para Investigar Sites](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint) eu cobri outras formas de investigar o histórico de um domínio, incluindo Whois vazado e reverse IP lookup. ### Registrando evidências com validade jurídica A funcionalidade mais importante da extensão é o botão "Save Page Now". Com um clique, você salva a página atual no Archive.org com timestamp, URL e hash. E essa evidência tem validade jurídica. Como eu disse durante o aulão: "O Archive possui validade jurídica. Você pode registrar uma página no Archive e utilizar aquela página num processo, num tribunal, numa denúncia." Em 2018, um tribunal de apelações dos Estados Unidos confirmou que arquivos do Wayback Machine são evidência legítima em processos judiciais. Mas é importante entender as limitações: a evidência funciona melhor quando a outra parte não contesta a autenticidade do conteúdo arquivado. Num clique você registra evidência digital. Mas para casos de alto risco (processos criminais de grande valor, por exemplo), considere complementar com captura certificada — ferramentas como a Verifact fazem captura forense com selo digital e conformidade com normas ISO/IEC 27037. ## RevEye e Exif Viewer Pro: busca reversa e metadados sem baixar nada ### RevEye: busca reversa de imagem com botão direito A segunda extensão que eu demonstrei foi o [RevEye](https://chromewebstore.google.com/detail/reveye-reverse-image-sear/keaaclcjhehbbapnphnmpiklalfhelgf). Ela resolve um problema que todo investigador enfrenta: você vê uma foto suspeita em um site e precisa descobrir de onde ela veio. Mas em vez de salvar a imagem, abrir o Google Images, fazer upload, esperar carregar — com o RevEye você clica com o botão direito direto na imagem e ela abre automaticamente no serviço de busca reversa que você escolher. No aulão eu demonstrei isso com imagens do site G1. Botão direito, RevEye, e em dois segundos a busca reversa estava rodando no Google, TinEye ou Yandex. O RevEye suporta cinco motores de busca por padrão (Google, Bing, Yandex, TinEye e customizados) e você pode adicionar motores próprios na configuração. Para quem investiga perfis falsos, catfishing ou notícias falsas, essa extensão economiza dezenas de minutos por dia. E RevEye é open source — o código está no [GitHub](https://github.com/steven2358/reveye), não rastreia seus dados e não exibe anúncios. A versão 2.0.0 foi atualizada para manifest v3, garantindo compatibilidade com as versões mais recentes do Chrome. Se você quer aprofundar em técnicas de investigação de pessoas usando imagens, veja o [Aulão #005 — 4 Técnicas para Investigar Qualquer Pessoa](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). ### Exif Viewer Pro: metadados de imagem sem download Como bônus, mostrei o [Exif Viewer Pro](https://chromewebstore.google.com/detail/exif-viewer-pro/mmbhfeiddhndihdjeganjggkmjapkffm) — uma extensão que lê metadados EXIF de imagens direto no browser. Você clica com o botão direito, seleciona "Show EXIF Data", e a extensão mostra informações como nome de usuário do fotógrafo, modelo da câmera, data da foto e até coordenadas GPS (quando disponíveis). Demonstrei isso ao vivo com imagens do site da prefeitura de Londrina. Mas atenção: nem toda imagem tem metadados. Redes sociais como Instagram e Facebook limpam os dados EXIF no upload. Mas sites institucionais, portais de governo e blogs pessoais frequentemente mantêm os metadados intactos — e é aí que a extensão brilha. Se você quer ir além e investigar metadados em massa (não só imagens, mas PDFs, documentos Word, vídeos), recomendo o [Aulão #010 — Descobrindo Segredos Ocultos: A Arte de Investigar Metadados](/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos), onde eu demonstrei ferramentas como ExifTool e FOCA. ## Link Gopher: como extrair todos os links e domínios de uma página A terceira extensão que demonstrei no aulão foi o [Link Gopher](https://chromewebstore.google.com/detail/link-gopher/bpjdkodgnbfalgghnbeggfbfjpcfamkf). Ela faz algo simples que tem impacto enorme em investigações: extrai todos os links de uma página e lista todos os domínios envolvidos. ### Mapeando a infraestrutura de um site No aulão eu usei o Link Gopher no site da Prefeitura de Curitiba. Com um clique, a extensão extraiu centenas de links e revelou todos os domínios carregados pela página: subdomínios oficiais da prefeitura, mas também domínios externos como TikTok, WhatsApp e Spotify. Isso mostra quais serviços externos o site utiliza — informação valiosa para mapear a infraestrutura digital de qualquer organização. O Link Gopher tem duas funcionalidades principais: "Extract Links" (mostra todos os links da página) e "Extract Domains" (filtra apenas os domínios únicos). Essa segunda funcionalidade é ouro para investigadores. ### Identificando phishing com o Link Gopher Mas o uso mais poderoso que eu mostrei foi na investigação de sites de phishing. Eu demonstrei com um site suspeito de golpe de doações — projetosvidasfl10.com.br. O Link Gopher revelou que o site carregava ativos (imagens, CSS, logos) de domínios completamente diferentes. Como eu expliquei no aulão: "O pessoal que aplica golpes, fraudadores de phishing, eles aproveitam ativos, uma imagem, uma logo, um botão, um estilo CSS, eles puxam de outros domínios." Quando você vê um site que deveria ser independente mas carrega recursos de cinco domínios diferentes, isso é um sinal claro de fraude. Encontrei até um PayPal.me sendo carregado no site da prefeitura de São Leopoldo — que na verdade era a página de doação do próprio RevEye embutida no site. Para investigar ações de phishing, o Link Gopher é uma ferramenta que eu uso com frequência. Se você quer aprofundar em técnicas de investigação de subdomínios e infraestrutura, veja o [Aulão #028 — Como Encontrar Subdomínios Escondidos](/aulao-semanal/como-encontrar-subdominios-escondidos-ferramentas-tecnicas). ## Wappalyzer: identificando a tecnologia por trás de qualquer site A quarta extensão que eu demonstrei foi o [Wappalyzer](https://www.wappalyzer.com). Ela identifica automaticamente as tecnologias usadas por qualquer site — CMS, frameworks, linguagens de programação, ferramentas de analytics, processadores de pagamento e mais de mil outras categorias. ### Como o Wappalyzer funciona na prática Ao acessar qualquer site com o Wappalyzer instalado, o ícone da extensão mostra imediatamente quais tecnologias foram detectadas. No aulão eu demonstrei isso com o site da Prefeitura de Londrina — e o Wappalyzer revelou que eles usam Joomla como CMS. Por que isso importa para um investigador? Porque saber que um site roda Joomla (ou WordPress, ou Drupal) abre portas para investigação mais profunda. Mas eu vou além: cada CMS tem vulnerabilidades conhecidas, endpoints padrão e formas específicas de enumerar informações. O Joomla da prefeitura de Londrina, por exemplo, pode ter falhas de segurança documentadas que permitem acessar dados que deveriam estar protegidos. ### Google Analytics como rastro digital Uma das demonstrações mais interessantes do aulão foi quando eu mostrei como extrair o identificador do Google Analytics do código fonte de um site. Todo site que usa Google Analytics tem um ID no formato UA-XXXXXXX embutido no código HTML. E esse ID é um rastro digital poderoso. Eu contei um caso que ficou famoso: uma campanha de fake news na África durante eleições foi derrubada porque todos os sites que disseminavam notícias falsas compartilhavam o mesmo identificador de Google Analytics. Mesmo parecendo sites independentes, o UA-ID provou que pertenciam à mesma operação. Ferramentas como o [NerdyData](https://nerdydata.com) permitem pesquisar quais sites usam um determinado ID de Analytics — conectando domínios que parecem não ter relação entre si. Combinado com o Wappalyzer (que identifica se o site usa Google Analytics), você tem um fluxo de investigação completo. ### Enumerando usuários WordPress Ainda no aulão, eu demonstrei como enumerar usuários de sites WordPress usando o endpoint padrão `wp-json/wp/v2/users`. No site da Prefeitura do Rio de Janeiro, encontrei os nomes Aislan James e Alexandre Fara (assessor de imprensa) listados publicamente. Isso funciona porque o WordPress expõe a API REST por padrão. Mas sites bem configurados bloqueiam esse endpoint. Mesmo assim, a combinação Wappalyzer (identifica WordPress) + enumeração de usuários é uma técnica que eu uso em praticamente toda investigação de sites institucionais. ## Sputnik e IP Info: investigação automatizada de domínios e IPs Junto com o Wappalyzer, eu mostrei no aulão duas extensões complementares que formam o que eu chamo de "pacote de domínios": o [Sputnik](https://chromewebstore.google.com/detail/sputnik/manapjdamopgbpimgojkccikaabhmocd) e o IP Address and Domain Information. ### IP Address and Domain Information Essa extensão mostra o IP, WHOIS e dados do domínio de qualquer site com um clique. Se você precisa saber rapidamente onde um site está hospedado, qual é o provedor, quando o domínio foi registrado — essa extensão resolve em dois segundos. No [Aulão #007 — Como Descobrir o Dono de um Site](/aulao-semanal/como-descobrir-o-dono-de-um-site) eu cobri o WHOIS em profundidade. Mas ter essa informação acessível com um clique direto no browser muda completamente o fluxo de trabalho. ### Sputnik: o canivete suíço para IPs e domínios O [Sputnik](https://github.com/mitchmoser/sputnik) é open source e faz algo genial: você seleciona qualquer texto no browser (um IP, um domínio, uma URL, um hash de arquivo) e com o botão direito pode pesquisar diretamente em serviços como [Shodan](https://www.shodan.io), [VirusTotal](https://www.virustotal.com), ARIN, Censys e outros. No aulão eu demonstrei selecionando o IP da Prefeitura de Londrina e abrindo direto no Shodan. Resultado: porta 80 aberta rodando Linux. Também verifiquei a URL do SPTrans no VirusTotal via Sputnik — tudo com dois cliques. Se você já conhece o Shodan do [Aulão #020 — Shodan na Prática](/aulao-semanal/shodan-como-usar-identificar-vulnerabilidades-internet), vai entender por que ter acesso direto via extensão acelera tanto a investigação. Mas o diferencial do Sputnik é que ele não se limita ao Shodan — são dezenas de serviços de OSINT integrados em um menu de contexto. O pacote Wappalyzer + IP Info + Sputnik deve estar sempre instalado no browser de investigação. Eu uso os três juntos em toda investigação e a combinação cobre identificação de tecnologia, informação de domínio e pesquisa automatizada em serviços de inteligência. ## Video DownloadHelper: como baixar vídeos de qualquer plataforma A quinta e última extensão que eu demonstrei no aulão foi o [Video DownloadHelper](https://www.downloadhelper.net). Ela permite baixar vídeos de qualquer plataforma — YouTube, TikTok, Instagram Reels, Facebook, Vimeo, Snapchat — direto do browser. ### Por que investigadores precisam baixar vídeos Vídeos são evidências voláteis. Um perfil pode ser deletado, um post pode sumir, uma live pode ser apagada. Mas se você fez o download antes, a evidência está preservada. Como eu disse no aulão: "Tudo que carrega no seu browser em vídeo, ela consegue fazer a extração da mídia." ### Como funciona na prática Quando um vídeo está sendo reproduzido, o ícone do Video DownloadHelper fica colorido (três bolinhas em movimento). Você clica e ele mostra as opções de download com diferentes resoluções e formatos. No aulão eu demonstrei baixando Reels do Instagram ao vivo — funcionou sem problemas. Mas tem um detalhe importante: o Video DownloadHelper funciona melhor no Firefox do que no Chrome. E para downloads de vídeos HLS (transmissão ao vivo e vídeos fragmentados), você precisa instalar o "Companion" — um aplicativo auxiliar que roda localmente e permite que a extensão capture streams segmentados. A extensão suporta mais de mil sites, converte para MP4, MKV ou WebM, e também extrai apenas o áudio em MP3. Para investigadores que precisam preservar vídeos como evidência antes que desapareçam, é uma ferramenta indispensável. ## O fluxo completo de investigação com extensões Agora que você conhece cada extensão individualmente, eu vou mostrar como eu uso todas elas combinadas em uma investigação real. Vou usar como exemplo a investigação de um site suspeito de fraude: 1. **Acesso ao site** — Com o Wappalyzer ativo, eu verifico imediatamente qual CMS, quais frameworks e quais serviços de analytics o site usa 2. **Domínio e IP** — Com o IP Address and Domain Information, descubro onde o site está hospedado e quando foi registrado 3. **Links e ativos externos** — Com o Link Gopher, extraio todos os domínios carregados pela página e identifico conexões suspeitas com outros sites 4. **Pesquisa em serviços de OSINT** — Com o Sputnik, pesquiso o IP no Shodan e a URL no VirusTotal 5. **Imagens suspeitas** — Com o RevEye, faço busca reversa das imagens do site para verificar se foram roubadas de outros sites 6. **Metadados de imagem** — Com o Exif Viewer Pro, verifico metadados das imagens em busca de nomes, localizações ou software usado 7. **Histórico** — Com o Wayback Machine, verifico se o site tinha conteúdo diferente antes e registro a página atual como evidência 8. **Vídeos** — Se o site tem vídeos, uso o Video DownloadHelper para preservar o conteúdo Esse fluxo leva menos de dez minutos e produz um dossiê completo sobre qualquer site. No [Aulão #038 — As Melhores Ferramentas para OSINT](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) eu cobri ferramentas mais amplas para OSINT, mas as extensões deste aulão são o ponto de partida — elas rodam direto no browser sem configuração adicional. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | [Wayback Machine](https://web.archive.org) | Consultar histórico de sites e registrar evidências digitais | [Archive.org](https://web.archive.org) | | [RevEye](https://chromewebstore.google.com/detail/reveye-reverse-image-sear/keaaclcjhehbbapnphnmpiklalfhelgf) | Busca reversa de imagens com botão direito | [Chrome Web Store](https://chromewebstore.google.com/detail/reveye-reverse-image-sear/keaaclcjhehbbapnphnmpiklalfhelgf) | | [Exif Viewer Pro](https://chromewebstore.google.com/detail/exif-viewer-pro/mmbhfeiddhndihdjeganjggkmjapkffm) | Leitura de metadados EXIF sem download | [Chrome Web Store](https://chromewebstore.google.com/detail/exif-viewer-pro/mmbhfeiddhndihdjeganjggkmjapkffm) | | [Link Gopher](https://chromewebstore.google.com/detail/link-gopher/bpjdkodgnbfalgghnbeggfbfjpcfamkf) | Extrair todos os links e domínios de uma página | [Chrome Web Store](https://chromewebstore.google.com/detail/link-gopher/bpjdkodgnbfalgghnbeggfbfjpcfamkf) | | [Wappalyzer](https://www.wappalyzer.com) | Identificar tecnologias usadas por um site | [Wappalyzer.com](https://www.wappalyzer.com) | | [IP Address and Domain Information](https://chromewebstore.google.com/detail/ip-address-and-domain-inf/lhgkegeccnckoiliokondpaaalbhafoa) | Consultar IP, WHOIS e dados do domínio | [Chrome Web Store](https://chromewebstore.google.com/detail/ip-address-and-domain-inf/lhgkegeccnckoiliokondpaaalbhafoa) | | [Sputnik](https://chromewebstore.google.com/detail/sputnik/manapjdamopgbpimgojkccikaabhmocd) | Pesquisar IPs e domínios no Shodan, VirusTotal e outros | [Chrome Web Store](https://chromewebstore.google.com/detail/sputnik/manapjdamopgbpimgojkccikaabhmocd) | | [Video DownloadHelper](https://www.downloadhelper.net) | Baixar vídeos de qualquer plataforma | [DownloadHelper.net](https://www.downloadhelper.net) | | [Shodan](https://www.shodan.io) | Buscar dispositivos e servidores expostos na internet | [Shodan.io](https://www.shodan.io) | | [VirusTotal](https://www.virustotal.com) | Verificar URLs e arquivos contra malware | [VirusTotal.com](https://www.virustotal.com) | | [NerdyData](https://nerdydata.com) | Pesquisar sites por identificadores de analytics | [NerdyData.com](https://nerdydata.com) | ## Perguntas Frequentes ### Quais são as melhores extensões para investigação digital? As cinco extensões que eu demonstrei neste aulão cobrem a maioria dos cenários de investigação: Wayback Machine (evidências), RevEye (busca reversa de imagem), Link Gopher (extração de links), Wappalyzer (identificação de tecnologia) e Video DownloadHelper (preservação de vídeos). Complementando com Sputnik, IP Info e Exif Viewer Pro, você tem um kit completo para investigar qualquer site ou perfil. ### O Wayback Machine realmente tem validade jurídica? Sim, tribunais de apelação nos Estados Unidos já confirmaram que arquivos do Archive.org são evidência legítima. No Brasil, o JusBrasil possui artigos discutindo o uso do Wayback Machine como prova em processos. Mas para casos de alto risco, complemente com captura certificada que inclui selo digital e cadeia de custódia documentada. ### Qual browser devo usar para investigação digital? Eu uso Firefox para investigação e Chrome para uso pessoal. Mas o ponto principal não é qual browser escolher — é separar os dois. Nunca investigue no mesmo browser onde você está logado nas suas contas pessoais. O Firefox tem excelente compatibilidade com extensões de OSINT e é mantido por uma fundação focada em privacidade. ### Como fazer busca reversa de imagem sem baixar a foto? Instale o RevEye no seu browser. Com a extensão ativa, clique com o botão direito em qualquer imagem e selecione o motor de busca reversa (Google, Bing, Yandex, TinEye ou customizado). A extensão envia a imagem automaticamente sem que você precise salvar e fazer upload manual. ### Como identificar a tecnologia que um site usa? Instale o Wappalyzer. Ao acessar qualquer site, o ícone da extensão mostra automaticamente as tecnologias detectadas: CMS (WordPress, Joomla, Drupal), frameworks JavaScript, ferramentas de analytics, CDNs, processadores de pagamento e mais de mil outras categorias. Combinado com o Sputnik para pesquisar o IP no Shodan, você mapeia a infraestrutura completa. ### O Video DownloadHelper funciona no Chrome? Funciona, mas com limitações. A extensão performa melhor no Firefox, onde tem acesso completo às APIs do browser. No Chrome, certas funcionalidades (especialmente download de streams HLS) são mais restritas. Minha recomendação: use o Video DownloadHelper no Firefox, que é o browser que eu recomendo para investigação de qualquer forma. ### Como extrair todos os links de uma página para investigação? Use o Link Gopher. Com um clique, a extensão extrai todos os links (URLs completas) ou apenas os domínios únicos de qualquer página. Isso revela quais serviços externos o site carrega — informação que eu uso para identificar sites de phishing que puxam ativos de domínios suspeitos. ### O Sputnik é seguro para usar? O Sputnik é open source (código disponível no [GitHub](https://github.com/mitchmoser/sputnik)), não requer permissões sensíveis e não coleta dados do usuário. Ele apenas redireciona a sua pesquisa para serviços públicos de OSINT como Shodan, VirusTotal e Censys. É uma das extensões mais seguras que eu uso. > **Veja também:** [Desafio de Investigação Digital ao Vivo: Como Rastreamos um Golpista do Pix — Aulão #049](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) > **Veja também:** [4 Ferramentas de Investigação Digital que Ninguém No Brasil Usa — Aulão #054](/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance) ## Referências e Recursos - [Wayback Machine — Archive.org](https://web.archive.org) — Arquivo digital da internet com funcionalidade de registro de evidências - [RevEye — GitHub](https://github.com/steven2358/reveye) — Código fonte da extensão de busca reversa de imagem - [Wappalyzer](https://www.wappalyzer.com) — Plataforma de identificação de tecnologias web - [Sputnik — GitHub](https://github.com/mitchmoser/sputnik) — Código fonte da extensão OSINT para pesquisa de IPs e domínios - [Video DownloadHelper](https://www.downloadhelper.net) — Site oficial com instruções de instalação e Companion - [Shodan](https://www.shodan.io) — Motor de busca para dispositivos conectados à internet - [VirusTotal](https://www.virustotal.com) — Serviço de análise de URLs e arquivos contra malware - [NerdyData](https://nerdydata.com) — Pesquisa de sites por identificadores de código fonte - [The Best Chrome Extensions for OSINT (i-intelligence)](https://i-intelligence.eu/insights/the-best-chrome-extensions-for-osint-professionals-researchers-and-journalists-in-2024) — Guia atualizado com extensões para investigadores - [OSINT Browser Extensions — GitHub](https://github.com/The-Osint-Toolbox/OSINT-Browser-Extensions) — Repositório curado de extensões para investigação digital - [Aulão #004 — As 7 Ferramentas de Investigação Digital](/aulao-semanal/ferramentas-de-investigacao-digital) — Fundamentos de ferramentas para investigação - [Aulão #010 — Descobrindo Segredos em Metadados](/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos) — ExifTool e FOCA na prática - [Aulão #020 — Shodan na Prática](/aulao-semanal/shodan-como-usar-identificar-vulnerabilidades-internet) — Como usar o Shodan para investigação - [Aulão #036 — 8 Técnicas para Investigar Sites](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint) — Técnicas avançadas de OSINT para sites - [Aulão #038 — As Melhores Ferramentas para OSINT](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) — Do OSINT Framework ao Bellingcat Toolkit --- ### Aulão #041 — Imersão Sherlock: O Poder do OSINT e da Espionagem Digital com Gadgets Reais URL: https://brunofraga.com/aulao-semanal/espionagem-digital-osint-gadgets-investigacao Publicado: 2024-09-24 Tags: osint, investigacao-digital, ciberseguranca, hacking, tecnicas-de-invasao YouTube: https://www.youtube.com/watch?v=kAtheCf0N8U Aulão ao vivo com a equipe completa mostrando gadgets de espionagem digital — Flipper Zero, Evil Twin, Bad USB — combinados com técnicas OSINT de pivotagem de dados para investigação. Demonstrações práticas com dispositivos reais. ## O que você vai aprender neste aulão Espionagem digital OSINT é o que eu pratico toda semana com minha equipe — e neste aulão eu reuni o time inteiro para mostrar como funciona de verdade. Alonso, Diego, Gabriel e Luan vieram ao vivo apresentar os dispositivos, as técnicas e os cenários que usamos em investigações digitais profissionais. Você vai entender como um [Flipper Zero](https://flipperzero.one) funciona na prática para espionagem, como ataques Evil Twin capturam credenciais de Wi-Fi sem acesso físico ao local, e como um simples pendrive pode extrair todas as senhas salvas no browser em segundos. Mas não para aí. Também vamos falar de pivotagem de dados — a arte de conectar um perfil a outro usando aplicativos comuns como [Tinder](https://tinder.com), [Duolingo](https://www.duolingo.com) e [Wise](https://wise.com) de formas que ninguém imagina. Tudo isso baseado em demonstrações ao vivo com equipamentos reais. Neste aulão eu mostro os bastidores de como funciona investigação digital de verdade — com casos que já aconteceram. E Alonso, Diego, Gabriel e Luan mostraram por que a mentalidade de bug bounty revolucionou a forma como fazemos OSINT no Brasil. ## Como o hacking de bug bounty revoluciona a investigação OSINT A pivotagem de dados entre plataformas usando técnicas de hacking é o que separa investigadores digitais comuns de quem realmente encontra informações ocultas. O Alonso, com 18 anos, já encontrou falhas de segurança no Facebook e na BMW — e trouxe essa mentalidade para dentro da nossa equipe de investigação. O ponto que ele levantou na live é direto: investigadores tradicionais não exploram endpoints de API. Eles usam a interface gráfica de um site ou app, pegam o que está visível e param ali. Mas quem vem do bug bounty tem outro reflexo. Quando você clica num botão num site, o hacker quer saber: pra onde vai essa requisição? Que dados o servidor devolve? Tem algo exposto que não deveria? E essa curiosidade muda tudo na investigação. ### Endpoints de API expõem mais do que a interface mostra Pensa no [Duolingo](https://www.duolingo.com). Na interface do app, aparece que um post foi publicado "na quinta-feira". Mas via API, nos metadados, aparece o timestamp completo — hora, minuto e segundo exatos. Para investigação, essa diferença é enorme. Você consegue cruzar horários de atividade em diferentes plataformas e construir um perfil comportamental do alvo. O Alonso explicou isso com clareza: "na inteligência, qualquer dado já agrega. Qualquer informação que você consiga encontrar, já é possível fazer alguma coisa com aquilo." No bug bounty, ou você encontra a falha ou não. Na investigação digital, cada fragmento de dado se conecta a outro. Se você já estudou [técnicas para investigar pessoas na internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), sabe que um email pode abrir dezenas de portas. ### A funcionalidade "encontrar amigo" como vetor de investigação Aplicativos como [Wise](https://wise.com) (antiga TransferWise), jogos de piano, até apps de corrida — todos têm uma funcionalidade que existe para tornar a vida mais prática: adicionar amigos pelo email. Você passa seu email, a pessoa te encontra, pronto. Mas essa mesma funcionalidade vira uma máquina de investigação. Se você tem um email sob investigação, pode testar em dezenas de plataformas. Cada app que retorna uma conta confirmada é um dado novo. E a pessoa que criou aquela conta no joguinho de piano usando aquele email? Nem imaginava que um dia alguém buscaria. O Alonso chamou isso de "usar aplicativos de formas que ninguém imagina." Quem quiser se aprofundar nessa técnica pode conferir as [ferramentas para investigar pessoas online com fontes abertas](/aulao-semanal/ferramentas-para-investigar-pessoas-online-fontes-abertas) que já cobrimos em aulões anteriores. ## Pivotagem de dados: como conectar perfis e informações em investigações Pivotagem de dados é o processo de conectar um perfil a outro, um dado a outro, cruzando informações de diferentes fontes até formar um mapa completo do alvo. O Gabriel, que é especialista em big data para investigação, trouxe uma provocação interessante: às vezes você não precisa de nenhuma ferramenta. "A pivotagem, ligar um dado ao outro, um perfil ao outro, informações em comentários, isso às vezes substitui até as ferramentas." Parece contraintuitivo, mas faz sentido. Antes de sair rodando scripts e APIs, um investigador experiente olha para os dados que já tem e procura conexões lógicas. Um comentário numa rede social pode revelar mais do que uma ferramenta automatizada. ### O método na prática O processo funciona assim: você começa com um dado — pode ser um email, um nome de usuário, um número de telefone. A partir dele, busca em quais plataformas aquele dado aparece. Cada plataforma devolve novos dados: foto de perfil, localização, amigos, atividades. E cada dado novo vira um ponto de partida para outra busca. O [FaceCheck ID](https://facecheck.id), por exemplo, pega uma foto de perfil e busca onde mais aquele rosto aparece na internet. Um vídeo se quebra em frames, e cada frame pode ser submetido a busca reversa. O Alonso mencionou que essa técnica "está ficando bastante utilizada" em investigações reais. Para investigações que envolvem [engenharia social aplicada a investigações digitais](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital), a pivotagem é o passo anterior — você primeiro mapeia o alvo, depois aplica a abordagem. ### Usando o Tinder para investigação — sim, o Tinder Vou mostrar o exemplo mais inusitado da live. Se você está investigando alguém em uma cidade específica, é possível emular a localização no [Tinder](https://tinder.com) e buscar por nome na área. O Tinder não permite busca por email, mas aceita por localização e nome. Então se você sabe que "Pedro Álvares Cabral" está em São Paulo, emula sua localização para lá e varre os perfis. É uma ferramenta de relacionamento sendo usada de forma completamente diferente. E funciona porque a plataforma foi desenhada para encontrar pessoas perto de você — ela só não esperava que alguém usaria isso para investigação. Quem quer praticar esse tipo de técnica pode conferir os [desafios práticos de investigação OSINT](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) que já abordamos com exercícios hands-on. ## Gadgets de espionagem digital: do Flipper Zero ao pendrive de extração O Flipper Zero não é brinquedo — eu mostro isso durante o aulão. E olha que o visual engana: parece um Tamagotchi com tela colorida e botões. Para espionagem digital, ele concentra em um único dispositivo funções que normalmente exigiriam meia dúzia de equipamentos diferentes. O Diego, especialista em telecom e segurança da informação, mostrou o aparelho ao vivo e detalhou cada capacidade. Eu sei que muita gente acha o [Flipper Zero](https://flipperzero.one) um gadget de curiosidade. Mas quando você vê um investigador usando ele para adentrar um condomínio clonando NFC, interceptar Bluetooth de um dispositivo pareado, ou executar ataques bad USB — a perspectiva muda completamente. ### O que o Flipper Zero faz na prática O dispositivo integra múltiplas funcionalidades: 1. **NFC e RFID** — clonar crachás, chaves eletrônicas, cartões de acesso 2. **Infravermelho** — controle remoto universal para TVs, ar-condicionado, qualquer dispositivo IR 3. **Bluetooth** — ataques que se passam por dispositivos pareados (como uma caixa JBL conectada ao celular do alvo) 4. **Bad USB** — executa comandos no computador como se fosse um teclado 5. **Wi-Fi** (com placa adicional) — expande para ataques wireless O problema no Brasil? A Anatel proibiu a importação. O dispositivo custa US$170 lá fora — seria uns mil e pouquinho convertidos. Mas no mercado paralelo brasileiro, o preço vai de R$3.600 a R$4.000. E quem consegue trazer "coloca o preço que quer", como o Diego disse na live. Se você quer entender mais sobre o Flipper Zero e como ele foi usado no nosso primeiro evento presencial, confira o [Aulão #030 — Bug Bounty, Flipper Zero e os Bastidores da Equipe](/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil). ### Pendrive de extração: plugou, copiou tudo O Diego mostrou um pendrive com um botãozinho vermelho que faz extração de dados só de plugar. Duas funções programáveis: a primeira coleta todas as senhas salvas no browser, documentos e arquivos do computador e joga no micro SD interno. A segunda pode apagar os dados copiados, criptografar ou enviar para a nuvem. Sem interface. Sem interação do usuário. Plugou no USB, o dispositivo faz o trabalho sozinho. E Diego confirmou ao vivo: impressiona. O tempo de operação depende da quantidade de dados, mas estamos falando de segundos para credenciais e minutos para dump completo. E tem versão mais barata. Como o Diego fez questão de frisar: "não é só equipamento de alto custo. Tem equipamentinho barato que faz também as extrações." ## Ataques Wi-Fi e Bluetooth para coleta de dados em investigação O ataque Evil Twin é quando você cria uma cópia exata da rede Wi-Fi do alvo, derruba a rede original e espera ele reconectar — só que agora ele está conectado na sua rede falsa. O Diego contou um caso real: investigadores precisavam das credenciais de um alvo dentro da própria casa, mas não podiam entrar. A solução? O dispositivo simulou o roteador do alvo. Derrubou o Wi-Fi legítimo. Quando o alvo tentou reconectar, digitou a senha no portal captivo falso — e a credencial foi capturada. "Ele nem imagina que é o Wi-Fi aqui e pega a credencial do cara." Com acesso ao Wi-Fi, teve acesso ao email. Com o email, toda a investigação avançou. ### Bluetooth como vetor de ataque O cenário é mais assustador do que parece. Seu celular está conectado a uma caixa JBL via Bluetooth. De repente, desconecta. Na tela, começam a aparecer dados estranhos. O que aconteceu? Um dispositivo se passou pela JBL, capturou a conexão Bluetooth e agora está extraindo dados do celular. E esse tipo de ataque funciona porque dispositivos Bluetooth confiam em conexões que já foram pareadas. Se você consegue se passar por um dispositivo conhecido, o celular aceita a conexão sem pedir confirmação. É uma vulnerabilidade de design que demora para ser corrigida. E Bluetooth não é o único protocolo vulnerável — qualquer investigador atento explora isso para inteligência enquanto não for corrigido. ### O alcance do remoto Uma pergunta que surgiu durante a live: e se eu não consigo entrar no local do alvo? O Diego respondeu: "eu sei que o alvo está ali dentro. Então, mecanismo para conseguir acessar aquele dispositivo remoto, Wi-Fi, Bluetooth." O range depende do equipamento. Wi-Fi pode funcionar de fora do prédio. Bluetooth tem alcance menor, mas com antena direcional, chega mais longe. A mesma lógica de [investigação ativa contra golpistas](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet) se aplica aqui: você usa a tecnologia de forma ofensiva, mas com propósito investigativo e dentro dos limites legais. Para ir além dos ataques Wi-Fi e aprender a rastrear dispositivos pela rede Wi-Fi usando wardriving e o WiGLE, veja o [Aulão #044 — WiGLE para Investigação Digital](/aulao-semanal/wigle-investigacao-digital-rastrear-redes-wifi), onde o Diego demonstra como encontrar a localização exata de qualquer roteador pelo BSSID. ## Extração de dados com acesso físico: técnicas e dispositivos Eu sempre digo que acesso físico ao dispositivo do alvo — mesmo que por poucos segundos — muda tudo numa investigação. O Diego mostrou ao vivo um arsenal de gadgets que cabem na palma da mão, cada um projetado para um tipo específico de extração. ### Cabo de rede com interceptador Eu peguei na mão e parece um cabo de rede comum. Mas dentro dele tem uma entrada USB que redireciona todo o tráfego de rede do alvo para você. Com ele instalado, você pode: - Subir um site falso para coleta de credenciais - Redirecionar o alvo para páginas controladas - Capturar credenciais sem que o alvo perceba - Executar comandos remotos depois de instalado O alvo vai usar a internet normalmente. Vai digitar suas credenciais. Vai continuar usando o computador. Mas a primeira credencial que digitou já ficou registrada. É um dispositivo que opera de forma passiva — depois de instalado, não precisa de mais nada. ### Ataque a teclado sem fio Teclados que usam dongle USB (aquele receptorzinho sem fio) são vulneráveis. Com um dispositivo específico, é possível se passar pelo teclado e executar comandos remotamente no computador do alvo. O cara está usando o teclado sem fio dele e nem percebe que tem outro "teclado" conectado ao computador digitando comandos por baixo. Isso não é ficção científica — eu vi funcionando ao vivo. São dispositivos que existem, funcionam, e custam relativamente pouco. Como o Diego reforçou na live, a intenção é "usar para investigar, rastrear pessoas, investigar pessoas, coletar dados de pessoas para análise." ### Bad USB: o teclado invisível Bad USB é uma técnica onde um dispositivo USB se apresenta ao computador como um teclado legítimo. Quando plugado, executa uma sequência de comandos pré-programados em alta velocidade — pode copiar senhas, instalar backdoors, exfiltrar documentos. O computador não questiona porque pensa que é apenas um teclado novo sendo conectado. Na Imersão Sherlock, cada participante ganhou uma placa para construir seu próprio gadget de extração. "Vocês vão ter uma plaquinha dessa, todo mundo tem, para construírem um gadget que possibilita a extração de dados com acesso físico." É espionagem digital na prática, construída com as próprias mãos. ## Como usar aplicativos do dia a dia para investigação OSINT Aplicativos que usamos todos os dias — para pedir comida, aprender idiomas, fazer transferências — são minas de informação para quem sabe onde procurar. O ponto que o Alonso levantou é que investigadores tradicionais ignoram essas fontes porque não pensam como hackers. A lógica é simples: todo app que tem funcionalidade de "encontrar amigo" é um vetor de investigação. Se você pode buscar um email no [Wise](https://wise.com) para adicionar como contato, pode usar essa mesma funcionalidade para verificar se um email específico tem conta na plataforma. Multiplique isso por dezenas de apps e você tem um mapa de presença digital do alvo. E Alonso confirma: nessa varredura aparecem os dados mais surpreendentes — eu uso essa técnica constantemente. ### Metadados que a interface esconde Quando você usa um app pela interface normal, vê o que os designers decidiram mostrar. Mas a API por trás entrega mais. Muito mais. O [Duolingo](https://www.duolingo.com) é o exemplo perfeito: na interface, "postado na quinta-feira". Na API, timestamp exato com hora, minuto e segundo. Para investigação, isso significa que você pode: - Cruzar horários de atividade entre plataformas - Identificar padrões de comportamento (o alvo é mais ativo de madrugada? De manhã?) - Confirmar se dois perfis pertencem à mesma pessoa pelo padrão temporal de uso - Determinar fuso horário real do alvo com base nos timestamps de interação E o [FaceCheck ID](https://facecheck.id) vai além, usando reconhecimento facial por IA para encontrar onde mais um rosto aparece na internet. Upload de uma foto, e a ferramenta vasculha redes sociais, blogs, vídeos e sites de notícias. Se você quer uma lista completa de ferramentas OSINT para complementar essas técnicas, confira o [Aulão #038 — Melhores Ferramentas OSINT](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) e o [Aulão #039 — Ferramentas OSINT na Prática](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme). ## Capture: prints com validade jurídica e a descoberta no WhatsApp O Luan revelou que está próximo do lançamento do Capture (Capture Get) — uma ferramenta para tirar prints com validade jurídica, mantendo toda a cadeia de custódia necessária para uso em processos legais. Mas o que surpreendeu na live foi outra coisa. Durante o desenvolvimento da ferramenta, trabalhando com extrações de conversas do WhatsApp, a equipe descobriu algo que, segundo o Luan, "ninguém no mundo revelou até hoje. Literalmente." A descoberta foi guardada para o evento presencial, mas o impacto ficou claro na live. O que eu posso dizer é que a descoberta veio da mentalidade que o Alonso descreveu: entrar mais fundo no sistema, investigar, fuçar. Às vezes durante o desenvolvimento de uma ferramenta você encontra algo que nem imaginava que poderia estar ali. E quando se trata do WhatsApp — uma plataforma usada por praticamente todo brasileiro — qualquer vulnerabilidade ou dado oculto tem impacto massivo para investigações. Para quem trabalha com investigação de [WhatsApp e técnicas de descobrir o dono de um número](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao), o Capture promete ser um divisor de águas para formalizar evidências. ## A visão de espionagem digital que poucas pessoas entendem Eu demonstrei durante o aulão que espionagem digital não é algo distante, exclusivo de agências de inteligência com orçamento de bilhões. A tecnologia por si só é cheia de vulnerabilidades — como o ser humano também. E a espionagem inteligente explora essas vulnerabilidades para produzir inteligência acionável. O Diego colocou de forma direta: "toda vulnerabilidade física demora para ser corrigida. E o fato dela demorar para ser corrigida pode ser usada para isso." Enquanto fabricantes de teclados sem fio não mudam o protocolo de comunicação, o ataque funciona. Enquanto redes Wi-Fi usarem o mesmo mecanismo de autenticação, Evil Twin captura credenciais. Enquanto dispositivos Bluetooth confiarem em conexões pareadas, o ataque por proximidade funciona. Mas — e isso é importante — todo o conteúdo que mostramos é voltado para investigação legal. A diferença entre espionagem maliciosa e investigação digital está no propósito e na autorização. Investigadores digitais, peritos forenses e profissionais de segurança usam essas mesmas técnicas com respaldo legal para resolver casos. Se o tema de perícia te interessa, vale conferir o [Aulão #037 — Perícia Forense na Prática](/aulao-semanal/pericia-forense-como-funciona-investigar-cenas-de-crimes). ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Flipper Zero | Dispositivo multifuncional: NFC, RFID, Bluetooth, infravermelho, bad USB, Wi-Fi | [Flipper Zero](https://flipperzero.one) | | FaceCheck ID | Busca reversa de imagens por reconhecimento facial com IA | [FaceCheck ID](https://facecheck.id) | | Wise (TransferWise) | Exemplo de plataforma com busca por email que expõe existência de contas | [Wise](https://wise.com) | | Duolingo | API expõe metadados detalhados (timestamps exatos) não visíveis na interface | [Duolingo](https://www.duolingo.com) | | Tinder | Busca por localização emulada para encontrar perfis de alvos | [Tinder](https://tinder.com) | ## Perguntas Frequentes ### O que é espionagem digital? Espionagem digital é o uso de tecnologia — software e hardware — para coletar, interceptar e analisar dados de um alvo. Inclui desde ataques Wi-Fi e Bluetooth até extração de dados com dispositivos físicos como pendrives e gadgets especializados. Quando aplicada em investigações legais, é uma ferramenta de inteligência. ### Como funciona o Flipper Zero? O [Flipper Zero](https://flipperzero.one) é um dispositivo portátil que integra antenas para NFC, RFID, infravermelho e Bluetooth. Com placa adicional, também faz ataques Wi-Fi. Ele pode clonar crachás, controlar dispositivos por infravermelho, se passar por teclado USB (bad USB) e interceptar conexões Bluetooth. Custa US$170 no exterior, mas no Brasil vai de R$3.600 a R$4.000 porque a Anatel proibiu a importação. ### O que é pivotagem de dados em OSINT? Pivotagem de dados é o processo de usar uma informação conhecida (email, nome de usuário, foto) como ponto de partida para descobrir outras informações conectadas em diferentes plataformas. Você começa com um dado e vai "pivotando" entre fontes até construir um perfil completo do alvo. Às vezes não precisa de ferramentas — a conexão lógica entre dados públicos já resolve. ### O que é um ataque Evil Twin? Evil Twin é quando um atacante cria uma cópia exata de uma rede Wi-Fi legítima, derruba a rede original e captura as credenciais quando o alvo tenta reconectar na rede falsa. O alvo nem percebe que está conectado em uma rede controlada pelo investigador. É usado em cenários onde não há acesso físico ao local do alvo. ### Como um Bad USB funciona na extração de dados? Um dispositivo Bad USB se apresenta ao computador como um teclado legítimo. Quando conectado, executa comandos pré-programados automaticamente — pode copiar senhas salvas no browser, extrair documentos, instalar backdoors. O computador não bloqueia porque reconhece o dispositivo como um teclado comum, não como uma ameaça. ### É legal usar essas técnicas no Brasil? O uso de técnicas de espionagem digital depende do contexto e da autorização. Profissionais de segurança em pentests autorizados, investigadores digitais com respaldo legal e peritos forenses podem aplicar essas técnicas dentro dos limites da lei. O uso sem autorização configura crime. O Flipper Zero especificamente tem importação proibida pela Anatel no Brasil. ### Quais gadgets de espionagem custam menos que o Flipper Zero? Existem pendrives de extração de dados, cabos de rede com interceptador, e dispositivos de ataque a teclado sem fio que custam significativamente menos que o Flipper Zero. Como o Diego mencionou no aulão, "tem equipamentinho barato que faz também as extrações." Placas programáveis para bad USB podem ser encontradas por menos de R$100. ### Como começar a estudar bug bounty para aplicar em investigação? O Alonso recomendou uma abordagem em duas fases. Se você está começando do zero, entenda primeiro como funcionam servidores, backend, frontend e requisições — "é quase desenvolvimento." Se já tem essa base, vá para a lista Bug Bounty Top Vulnerabilities e estude cada falha. A transição para investigação vem naturalmente: em vez de reportar a vulnerabilidade, você usa a informação exposta como dado investigativo. > **Veja também:** [Os Bastidores do Protocolo Sherlock: Como Construí Minha Metodologia de Investigação Digital — Aulão #052](/aulao-semanal/protocolo-sherlock-metodologia-investigacao-digital) ## Referências e Recursos - [Flipper Zero — Site Oficial](https://flipperzero.one) - [FaceCheck ID — Busca Reversa por Reconhecimento Facial](https://facecheck.id) - [What is an Evil Twin Attack? — Kaspersky](https://www.kaspersky.com/resource-center/preemptive-safety/evil-twin-attacks) - [O que é um BadUSB e como criar um? — Solyd](https://blog.solyd.com.br/o-que-e-um-badusb-e-como-criar-um/) - [Flipper Zero: O que é, como funciona e por que é ilegal no Brasil? — Solyd](https://blog.solyd.com.br/conheca-o-flipper-zero-entenda-a-fundo-seu-funcionamento/) - [Wise — Transferências Internacionais](https://wise.com) - [Duolingo — Plataforma de Idiomas](https://www.duolingo.com) --- ### Aulão #040 — Como Remover Conteúdo da Internet na Prática: De 100 Sites Derrubados a Serviço de Remoção URL: https://brunofraga.com/aulao-semanal/como-remover-conteudo-online-servico-remocao Publicado: 2024-09-23 Tags: investigacao-digital, osint, ciberseguranca, privacidade, tutoriais YouTube: https://www.youtube.com/watch?v=U5SPLR1ghHw Demonstração ao vivo de como derrubar sites de golpe, remover vídeos piratas do YouTube e limpar dados pessoais da internet. Neste aulão em vídeo, Bruno Fraga mostra o passo a passo de mais de 100 remoções reais e como transformar isso em serviço. ## O que você vai aprender neste aulão Remoção de conteúdo da internet não é teoria jurídica — é uma habilidade prática que qualquer pessoa pode aplicar hoje. Neste aulão eu demonstro ao vivo como derrubar sites de golpe, remover vídeos piratas do YouTube e limpar dados pessoais de sites agregadores, tudo sem precisar de advogado ou ordem judicial. Na semana anterior a este aulão, eu e os alunos do Protocolo Sherlock derrubamos mais de 100 sites de golpe de Pix que exploravam doações pelo Rio Grande do Sul. Foram mais de 100 domínios tirados do ar enviando e-mail para as empresas de hospedagem. E durante a live, eu removo um vídeo pirata do meu curso no YouTube em tempo real — e faço uma consultoria de remoção de dados para um participante do chat ao vivo. Você vai sair deste artigo sabendo identificar quem hospeda um site, como notificar a hospedagem para derrubar conteúdo fraudulento, como usar o YouTube Studio para remover vídeos piratas, e como percorrer os sites agregadores de dados para encontrar (e usar) os botões de remoção que eles escondem. E se quiser, vai saber como transformar isso num serviço cobrando R$300 por cliente. ## O que é remoção de conteúdo da internet e por que funciona Remoção de conteúdo é o processo de tirar do ar qualquer material publicado na internet que quebre algum fundamento legal — difamação, pirataria, cópia, golpe, fraude. E funciona porque nenhuma empresa de hospedagem quer manter conteúdo ilegal no ar. Eu falo isso com propriedade porque na prática é exatamente assim. Quando eu notifico uma hospedagem de que um site sob responsabilidade dela está aplicando golpe, a hospedagem remove. Quando eu faço um pedido de remoção no YouTube por pirataria, o YouTube tira do ar em no máximo dois dias. Não existe terra sem lei na internet — existe gente que não sabe como denunciar. O problema é que a maioria das pessoas acha que remover algo da internet exige processo judicial, advogado caro e meses de espera. Não exige. Na semana antes deste aulão, derrubei mais de 100 sites de golpe de Pix que usavam doações pelo Rio Grande do Sul como isca. E o método foi simplesmente enviar e-mail para a empresa de hospedagem. Mas calma. Para derrubar com eficiência, você precisa entender os pontos de ataque. ## Os 3 pontos de ataque para tirar conteúdo do ar Para remover qualquer conteúdo da internet, você ataca um ou mais destes pontos: o responsável pelo domínio, o responsável pela hospedagem e a plataforma ou site onde o conteúdo está publicado. Cada um desses pontos é uma porta que você pode bater para derrubar o que precisa. Pensa assim: se um site está aplicando golpe, o cara que registrou o domínio provavelmente não vai cooperar. Mas a empresa que hospeda aquele site quer cooperar? Não quer. A [Shopify](https://www.shopify.com) quer manter uma loja de golpe nos servidores dela? Não quer. A [Cloudflare](https://www.cloudflare.com) quer o nome dela associado a fraude? Não quer. E é aí que entra a estratégia: 1. **Domínio** — quem registrou o domínio, quem é o proprietário. Às vezes o registrante cancela o domínio direto 2. **Hospedagem** — a empresa que mantém o site no ar. Notificou com fundamento, a hospedagem derruba 3. **Plataforma** — YouTube, TikTok, Instagram, [Jus Brasil](https://www.jusbrasil.com.br), [Escavador](https://www.escavador.com). Cada plataforma tem seu mecanismo de denúncia 4. **DNS/CDN** — serviços como a Cloudflare que gerenciam o DNS. Importante saber que a Cloudflare não hospeda o site — ela apenas aponta para onde o site está. Você precisa descobrir a hospedagem real Na prática, o que eu fiz com os 100+ sites de golpe foi atacar direto a hospedagem. Identifiquei quem hospedava cada site e enviei um e-mail reportando a fraude. Simples assim. ## Como identificar a hospedagem de um site com Synapse Sint O primeiro passo para derrubar qualquer site é saber quem hospeda. Para isso eu uso o Synapse Sint, uma ferramenta que te mostra o responsável pelo domínio, quem hospeda, as informações de DNS e outros dados sobre qualquer domínio que você pesquisar. Funciona assim: você acessa o Synapse Sint, insere o domínio que quer investigar e ele te retorna tudo — registrante, hospedagem, nameservers, IPs. No aulão eu demonstrei isso ao vivo com dois domínios. O primeiro foi o tecnicasdeinvasao.com (meu próprio domínio, como referência). O segundo foi o havaianas.site, um site suspeito que encontrei buscando golpes. O resultado do havaianas.site mostrou que ele estava hospedado no [Shopify](https://www.shopify.com). E o Shopify liderou o ranking: dos 100+ sites de golpe que derrubamos, cerca de 40% estavam nessa plataforma. Os golpistas usam os templates prontos de loja virtual, integram módulos de Pix e gateway de pagamento, e montam a loja falsa em minutos. Para encontrar esses sites de golpe, usei [Google dorks](/aulao-semanal/google-hacking-buscas-perigosas-dorks). A busca que fiz foi algo como "site em title doação pix" — e apareceram dezenas de resultados suspeitos. Um deles era uma cópia de uma ONG da Agência da ONU, captando Pix fraudulento para supostas doações. O site era visualmente idêntico ao original, com QR Code de Pix e tudo. E para confirmar que era cópia, eu pesquisei o texto do site no Google e encontrei o original — a PagBrasil da ONG real apareceu nos resultados. Essa técnica de pesquisar trechos do texto de um site suspeito no Google é simples e poderosa. Se o texto aparece em outro lugar, você confirma a cópia. Se não aparece, o conteúdo pode ser original (o que não significa que é legítimo). Mas a investigação não para na hospedagem. Se você quer ir mais fundo — entender quem está por trás, se há outros sites conectados — precisa do [Aulão #007 — Como Descobrir o Dono de um Site](/aulao-semanal/como-descobrir-o-dono-de-um-site), onde eu cobri isso com mais profundidade. ## IP Reverse Lookup: encontrando outros domínios no mesmo servidor O IP Reverse Lookup é uma técnica que permite descobrir outros domínios que apontam para o mesmo servidor. Se você encontrou um site de golpe, provavelmente há outros no mesmo servidor — do mesmo golpista. A ferramenta que eu uso para isso é o [ViewDNS](https://viewdns.info). Você acessa o [ViewDNS Reverse IP Lookup](https://viewdns.info/reverseip/), insere o domínio ou IP, e ele retorna todos os outros domínios que compartilham aquele servidor. No aulão, quando pesquisei o IP de um dos sites de golpe, apareceram mais de 10 outros domínios apontando para o mesmo lugar. E o Reverse IP é poderoso por dois motivos. Primeiro, você descobre a escala da operação — se o golpista tem 2 sites ou 50. Segundo, você pode derrubar todos de uma vez notificando a hospedagem sobre o servidor inteiro. Para quem trabalha com investigação de domínios e subdomínios, recomendo também o [Aulão #028 — Como Encontrar Subdomínios Escondidos](/aulao-semanal/como-encontrar-subdominios-escondidos-ferramentas-tecnicas), que cobre o DNSDumpster e outras técnicas complementares. E se você quer aprender técnicas mais avançadas de investigação de sites, confira o [Aulão #036 — Técnicas Avançadas para Investigar Sites](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint). ## Como derrubar sites de golpe notificando a hospedagem A forma mais direta de derrubar um site de golpe é notificar a empresa de hospedagem. Quando você reporta que um site hospedado nos servidores deles está praticando fraude, a hospedagem remove porque não quer responsabilidade legal. Eu e os alunos do Protocolo Sherlock fizemos isso mais de 100 vezes em uma semana. O processo segue um fluxo que chamamos de Protocolo RCI (Remoção de Conteúdo da Internet): 1. **Reconhecimento do alvo** — encontrar o site e analisar o conteúdo 2. **Identificação da hospedagem** — usar Synapse Sint ou WHOIS para descobrir quem hospeda 3. **Reverse IP** — verificar se há outros domínios do mesmo golpista no servidor 4. **Extração de dados** — documentar evidências (screenshots, URLs, conteúdo) 5. **Notificação** — enviar e-mail à hospedagem reportando a violação O e-mail de notificação não precisa ser um documento jurídico complexo. Precisa ter: o domínio infrator, a descrição da violação (golpe, pirataria, fraude), as evidências (screenshots, links) e a base legal (termos de uso da hospedagem, LGPD, Marco Civil da Internet). Um detalhe que importa: a [Cloudflare](https://www.cloudflare.com) não hospeda sites. Ela gerencia DNS e CDN. Quando o Synapse Sint mostra que um site "está na Cloudflare", isso significa que a Cloudflare está na frente — mas o site está hospedado em outro lugar. Você precisa descobrir a hospedagem real por trás da Cloudflare. Para contexto mais amplo sobre como investigar e contra-atacar golpistas, veja o [Aulão #029 — Contra-Atacando Golpistas na Internet](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet) e o [Aulão #019 — Crimes Digitais e Golpes na Internet](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar). E para investigar lojas virtuais fraudulentas especificamente, o [Aulão #034 — Como Investigar Lojas Virtuais e Identificar Golpes](/aulao-semanal/como-investigar-lojas-virtuais-identificar-golpes-online) é leitura obrigatória. ## Remoção de conteúdo em plataformas: YouTube, TikTok e Instagram Toda plataforma digital tem um mecanismo de denúncia e remoção de conteúdo. YouTube, TikTok, Instagram, Facebook — todas. E elas funcionam. O YouTube é especialmente efetivo: no aulão eu removi um vídeo pirata do meu curso ao vivo, e em no máximo dois dias o vídeo saiu do ar. ### Como remover vídeo pirata no YouTube O processo no YouTube é direto. Você abre o [YouTube Studio](https://studio.youtube.com), vai em Direitos Autorais, depois em Pedidos de Remoção, e clica em Novo Pedido. Ali você insere o link do vídeo que quer remover. No aulão, eu encontrei um vídeo pirata do meu curso Técnicas de Invasão com 9 mil views. Inseri o link, selecionei o tipo de obra (curso online), escolhi remoção imediata (sem dar tempo para o infrator remover por conta própria), e enviei. O YouTube processou e o vídeo caiu. Uma dica que eu dei na aula: você pode usar o ChatGPT para redigir a solicitação formal. O prompt que usei foi algo como "como um especialista nas políticas e termos do YouTube, escreva a solicitação de denúncia de remoção de aula privada do meu curso sendo pirateada". O ChatGPT gera o texto formal, com os fundamentos legais corretos, e você só adapta com os dados do caso. E o ChatGPT economiza tempo — a solicitação fica profissional sem você precisar ser jurista. Para mais detalhes sobre o processo oficial, veja o [guia do YouTube para pedidos de remoção por direitos autorais](https://support.google.com/youtube/answer/2807622). Outro ponto que testei ao vivo: no formulário você escolhe entre dar um prazo de 7 dias para o infrator remover por conta própria ou solicitar remoção imediata. Eu sempre escolho imediata. Se o cara está pirateando meu curso com 9 mil views, não vou dar prazo nenhum. Quero que caia. Você pode inserir múltiplos vídeos no mesmo pedido de remoção. Se tem uma lista de 100 vídeos piratas, não precisa fazer 100 pedidos separados. ### TikTok: o mais agressivo O TikTok é a plataforma mais efetiva para remoções. Além de remover o conteúdo, o TikTok frequentemente bane a conta inteira do infrator. A pessoa fica apavorada porque perde tudo. O processo é pelo próprio aplicativo — você faz o report direto no conteúdo. ### Instagram e outras plataformas Cada plataforma tem seu formulário de denúncia. No Instagram, TikTok e Facebook, você pode reportar contas falsas, conteúdo que se passa por outra pessoa, pirataria e fraude. O processo é parecido em todas: identificar o conteúdo, selecionar o tipo de violação, enviar evidências. ## Como remover dados pessoais de sites agregadores Sites como [CNPJ Biz](https://cnpj.biz/blog/lgpd-pessoas-juridicas), [Jus Brasil](https://www.jusbrasil.com.br) e [Escavador](https://www.escavador.com) indexam dados públicos — processos judiciais, dados de CNPJ, endereços. E é um direito seu solicitar a remoção desses dados, especialmente quando dados empresariais se misturam com dados pessoais (como acontece com quem abre MEI usando endereço residencial e telefone pessoal). No aulão, eu fiz uma demonstração ao vivo com o Marlon, participante do chat. Ele mandou o CNPJ dele e eu mostrei tudo que aparecia na internet: nome completo, endereço, telefone, processos. Tudo acessível com uma busca no Google. O processo de remoção nesses sites funciona assim: você percorre o site até encontrar o mecanismo de remoção. E eles escondem. Escondem mesmo — propositalmente. Mas são obrigados a ter porque a LGPD exige. No caso do CNPJ Biz, eu encontrei em Contato > Gerenciar Meus Dados > Ocultar Minha Empresa. Preenchi o formulário com o CNPJ do Marlon e os dados foram removidos em tempo real durante a live. Cada site tem o botão de remoção em um lugar diferente. Às vezes está em Política de Privacidade, às vezes em Contato, às vezes em uma página escondida que você só encontra lendo tudo. Mas está lá. Tem que caçar. Depois de remover o conteúdo do site original, o passo seguinte é desindexar do Google. O Google tem uma ferramenta específica para isso: [Privacidade nos Resultados Sobre Você](https://support.google.com/websearch/answer/12719076?hl=pt-BR). Você pode solicitar que o Google remova dos resultados de busca links que contenham suas informações pessoais como endereço, telefone e e-mail. Outra opção é o [formulário de remoção de conteúdo pessoal](https://support.google.com/websearch/troubleshooter/3111061?hl=pt-BR). Para o aulão completo que eu fiz anteriormente sobre remoção de conteúdo com foco no mapeamento e notificação extrajudicial, confira o [Aulão #026 — Como Remover Conteúdo da Internet](/aulao-semanal/como-remover-conteudo-da-internet-guia-pratico). ## Remoção de conteúdo como serviço: quanto cobrar e como precificar Remoção de conteúdo é um serviço com demanda real e crescente. Médicos querem remover processos do Google. Empresários MEI querem tirar dados pessoais expostos. Donos de cursos online querem derrubar pirataria. E escritórios de advocacia cobram milhares de reais por isso — enquanto o processo técnico é acessível. No aulão, eu demonstrei ao vivo como formatar esse serviço. O Marlon, do chat, me autorizou a fazer a remoção dos dados do CNPJ dele. O valor que cobrei: R$300. Para um MEI com poucos links expostos, esse valor cobre o trabalho. O fluxo de um serviço de remoção de conteúdo funciona assim: 1. **Mapeamento** — pesquisar o nome/CNPJ do cliente no Google e listar todos os resultados com dados expostos 2. **Relatório** — entregar ao cliente uma planilha com todos os links, descrevendo o que aparece em cada um 3. **Aprovação** — o cliente seleciona quais quer remover 4. **Execução** — você entra em cada site, encontra o mecanismo de remoção e solicita 5. **Desindexação** — depois de removido do site, solicitar remoção dos resultados do Google 6. **Entrega** — confirmar para o cliente que os links não aparecem mais O prazo que eu trabalho é 30 dias no máximo. Na prática, muitas remoções acontecem no dia seguinte. O vídeo pirata que eu removi no aulão caiu antes do final da live. Quem pode contratar esse serviço? Médicos com processos aparecendo antes do consultório no Google. Empresários com dados pessoais vazando por causa do MEI. Criadores de conteúdo com cursos pirateados. Pessoas que sofreram difamação online. Empresas com marcas clonadas em lojas falsas. A demanda é enorme — e a maioria das pessoas não sabe que pode resolver sem advogado. Quando eu expliquei para o Marlon que poderia tirar tudo que aparecia sobre ele no Google, a resposta foi imediata: "claro, com certeza, faz sentido". Porque faz. Ninguém quer o endereço da casa aparecendo no Google junto com CNPJ e telefone pessoal. Ninguém quer que um processo arquivado apareça antes do nome do consultório. E quando você mostra que resolve por R$300 em vez de R$5.000 de um escritório de advocacia, o cliente fecha na hora. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | ViewDNS | Reverse IP Lookup para encontrar domínios no mesmo servidor | [ViewDNS](https://viewdns.info) | | YouTube Studio | Pedidos de remoção por direitos autorais de vídeos piratas | [YouTube Studio](https://studio.youtube.com) | | CNPJ Biz | Remoção de dados empresariais via mecanismo de ocultação | [CNPJ Biz](https://cnpj.biz/blog/lgpd-pessoas-juridicas) | | Google Privacidade nos Resultados | Solicitar remoção de dados pessoais dos resultados de busca | [Google](https://support.google.com/websearch/answer/12719076?hl=pt-BR) | | Cloudflare | CDN e DNS — não hospeda sites, gerencia apontamento | [Cloudflare](https://www.cloudflare.com) | | Shopify | Plataforma de e-commerce explorada por golpistas | [Shopify](https://www.shopify.com) | ## Perguntas Frequentes ### Como remover conteúdo da internet sem advogado? Você mesmo pode fazer. Identifique quem hospeda o site usando ferramentas como Synapse Sint ou WHOIS, e envie um e-mail à hospedagem reportando a violação (golpe, pirataria, difamação). Para plataformas como YouTube, TikTok e Instagram, use os formulários de denúncia internos. Nenhum desses processos exige advogado. ### Quanto tempo demora para derrubar um site? Depende do tipo de conteúdo e da hospedagem. Vídeos no YouTube saem do ar em no máximo dois dias. Sites de golpe hospedados em empresas como Shopify ou Hostgator costumam cair em 24 a 72 horas após a notificação. Remoção de dados em sites agregadores como CNPJ Biz pode ser imediata — no aulão, removemos dados ao vivo em minutos. ### Qualquer conteúdo pode ser removido da internet? Não. O conteúdo precisa quebrar algum fundamento: pirataria, difamação, golpe, fraude, violação de privacidade, uso indevido de marca. Conteúdo legítimo publicado em veículos de imprensa, por exemplo, exige processo judicial para remoção. A diferença é o fundamento — se há violação, a remoção extrajudicial funciona. ### Quanto cobrar por um serviço de remoção de conteúdo? No aulão eu cobrei R$300 para remover dados de CNPJ de um MEI — um caso simples com poucos links. Para casos mais complexos (múltiplos sites, processos judiciais indexados, difamação espalhada), o valor sobe proporcionalmente. Escritórios de advocacia cobram de R$3.000 a R$15.000 pelo mesmo serviço. O ponto é: o trabalho técnico é acessível, o que torna o serviço viável mesmo a preços competitivos. ### A Cloudflare hospeda sites? Não. A Cloudflare é um serviço de CDN e gerenciamento de DNS. Quando um domínio aparece "na Cloudflare", significa que a Cloudflare está gerenciando as DNS e apontando para outro servidor onde o site realmente está hospedado. Para derrubar o site, você precisa descobrir a hospedagem real por trás da Cloudflare. ### Como remover dados de MEI que aparecem no Google? Primeiro, vá aos sites que exibem seus dados (CNPJ Biz, Escavador, entre outros) e use os mecanismos de remoção de cada um — geralmente escondidos em Política de Privacidade ou Contato. Depois, solicite ao Google a remoção dos resultados de busca usando a ferramenta [Privacidade nos Resultados Sobre Você](https://support.google.com/websearch/answer/12719076?hl=pt-BR). Em 30 dias, na maioria dos casos, seus dados não aparecem mais. ### O TikTok realmente bane a conta inteira? Sim. O TikTok é a plataforma mais agressiva em remoções. Ao contrário do YouTube (que remove o vídeo e aplica um strike), o TikTok pode banir a conta inteira do infrator. Por isso é considerada a plataforma mais efetiva para quem precisa de remoção rápida e definitiva. ### É possível remover processos do Jus Brasil e do Escavador? Sim. Tanto o [Jus Brasil](https://www.jusbrasil.com.br) quanto o [Escavador](https://www.escavador.com) possuem mecanismos de remoção. O processo envolve encontrar a página de solicitação (geralmente em Política de Privacidade ou formulário de contato), preencher com seus dados e aguardar a remoção. Após a remoção do site, solicite a desindexação ao Google para que o resultado não continue aparecendo nas buscas. > **Veja também:** [Como Remover Conteúdo da Internet: Blindagem Digital em 2 Níveis — Aulão #048](/aulao-semanal/blindagem-digital-remover-conteudo-internet-niveis) ## Referências e Recursos - [ViewDNS - Ferramenta de Investigação de Domínios](https://viewdns.info) - [ViewDNS Reverse IP Lookup](https://viewdns.info/reverseip/) - [YouTube - Pedido de Remoção por Direitos Autorais](https://support.google.com/youtube/answer/2807622) - [Google - Remover Informações Pessoais dos Resultados de Busca](https://support.google.com/websearch/answer/12719076?hl=pt-BR) - [Google - Solicitar Remoção de Conteúdo Pessoal](https://support.google.com/websearch/troubleshooter/3111061?hl=pt-BR) - [CNPJ Biz - Remoção de Dados via LGPD](https://cnpj.biz/blog/lgpd-pessoas-juridicas) - [Cloudflare](https://www.cloudflare.com) - [Shopify](https://www.shopify.com) --- ### Aulão #039 — Desafio OSINT ao Vivo: Investigando Pessoas com TryHackMe, RevEye e Wayback Machine URL: https://brunofraga.com/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme Publicado: 2024-09-20 Tags: osint, investigacao-digital, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=PHdstrh6SNU Desafio prático de investigação digital resolvido ao vivo no TryHackMe usando SpiderFoot, RevEye, Wayback Machine e ChatGPT. Assista ao aulão em vídeo e acompanhe cada técnica OSINT aplicada passo a passo. ## O que você vai aprender neste aulão Ferramentas OSINT na prática é exatamente o que entregamos neste aulão — um desafio de investigação digital resolvido ao vivo, passo a passo, usando técnicas reais de inteligência em fontes abertas. Nada de teoria solta. Eu abri a plataforma [TryHackMe](https://tryhackme.com) na frente de todo mundo e resolvi o desafio KaffeeSec SoMeSINT junto com a audiência, errando, acertando e descobrindo coisas no caminho. Depois de assistir (ou ler), você vai conseguir investigar perfis em redes sociais usando Google Dorking, descobrir a data de nascimento de alguém analisando timestamps de postagens, fazer busca reversa de imagem para identificar locais geográficos e até usar inteligência artificial para analisar perfis inteiros de forma automatizada. E mais: vai entender a cultura de pastes e exposed que permeia o submundo da internet — e como isso se aplica em investigações reais. Tudo baseado em demonstração ao vivo. Sem roteiro, sem edição, sem filtro. ## Como praticar OSINT com desafios no TryHackMe O [TryHackMe](https://tryhackme.com) é uma plataforma gratuita com laboratórios e desafios prontos para você treinar investigação digital. Cada "sala" é um cenário diferente com perguntas que você precisa responder usando técnicas OSINT. Neste aulão eu escolhi a sala [KaffeeSec SoMeSINT](https://tryhackme.com/room/somesint) — um desafio de nível intermediário onde você assume o papel de um detetive particular na Groenlândia. Um cliente misterioso sob o apelido "H" te contrata para investigar um sujeito chamado Thomas Strausman. A esposa do cliente desconfia de traição. E toda a investigação acontece apenas pela internet. O cenário pode parecer fictício, mas os fundamentos são idênticos aos de um caso real. Pesquisar nome de usuário com aspas duplas no Google, rastrear perfis em redes sociais, analisar código-fonte de páginas, recuperar conteúdo apagado. Se você sabe fazer isso num desafio, sabe fazer na vida real. Antes de começar, eu organizei tudo em post-its virtuais. Anotei quem era o cliente, quem era o alvo, quais informações já tínhamos. Isso é algo que muita gente ignora — e paga caro depois, quando se perde no meio de dezenas de abas abertas. Se você quer levar investigação a sério, comece anotando. Parece bobo. Mas funciona. Se você nunca usou o TryHackMe, crie uma conta gratuita e comece pelos desafios de OSINT. Além do KaffeeSec, recomendo o OhSINT (introdutório), o SearchLight (busca reversa de imagem) e o Sakura (rastreamento de um hacker). Eu já cobri desafios práticos no [Aulão #017 — Desafios Práticos de Investigação Digital](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint), então se quiser um guia mais amplo de plataformas para treinar, passa lá. ## Técnicas de investigação em redes sociais: Twitter e Reddit A investigação de redes sociais é onde a maioria dos casos começa. Neste desafio, a primeira coisa que fiz foi pegar o nome de usuário do Thomas e pesquisar no Google entre aspas duplas. Simples assim. E Twitter e Reddit apareceram logo nos primeiros resultados. No Twitter, analisei o que ele postava, quem ele seguia e quem o seguia. O feriado favorito dele? Natal. Estava ali, escrito por ele mesmo. Mas a parte que interessa de verdade é o que vem depois: cruzar informações entre plataformas. E Francesca, a noiva dele? Apareceu na lista de seguidores do Twitter. Eu não precisei de nenhuma ferramenta sofisticada para isso — bastou abrir a lista de "seguindo" e procurar. Numa investigação real, essa análise de conexões entre contas é o que te leva de um alvo para toda a rede ao redor dele. No Reddit, o processo foi parecido. Encontrei o perfil, li as postagens, identifiquei padrões. Mas o Reddit tem uma característica que o torna especialmente útil para investigadores: o histórico é público por padrão. Comentários antigos, comunidades que a pessoa participa, interações com outros usuários. Tudo ali, esperando ser lido. Se você quer se aprofundar em investigação no Twitter especificamente, eu já fiz um aulão inteiro sobre isso — o [Aulão #012 — Investigação de Perfis no Twitter](/aulao-semanal/como-investigar-pessoas-no-twitter) cobre técnicas que poucos conhecem. E para investigar pessoas de forma mais ampla, o [Aulão #005 — Técnicas para Investigar Pessoas na Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) é um bom ponto de partida. ## Como descobrir a data de nascimento de alguém com timestamps Descobrir a data de nascimento de uma pessoa pela internet parece impossível. Mas não é. E neste desafio eu demonstrei exatamente como fazer. O Thomas tinha feito uma postagem no Reddit dizendo que completou 30 anos. A postagem mostrava "3 anos atrás" — uma informação relativa, inútil sozinha. Mas quando eu passei o mouse por cima da data, apareceu o timestamp completo. Data exata, hora, minuto. Isso acontece na maioria das plataformas: Twitter, Reddit, Facebook. O layout mostra "há 3 anos", mas o timestamp real está escondido ali, esperando alguém curioso o suficiente para procurar. Se o hover do mouse não revelar o timestamp, a alternativa é inspecionar o código-fonte da página. Clique com botão direito, "Inspecionar Elemento", e procure por atributos como `datetime`, `timestamp` ou `data-time`. O metadado está lá — a plataforma apenas não exibe por padrão. Com o timestamp da postagem e a informação de que ele tinha 30 anos naquele dia, a matemática é direta. Subtraí 30 anos e cheguei à data de nascimento. Isso não é teoria. Existe um caso famoso nos Estados Unidos onde um cara postou no Tumblr sobre a morte de um amigo — só que o timestamp da postagem era de ANTES do amigo morrer. O timestamp foi a evidência que o incriminou. Se você trabalha com investigação, precisa saber identificar timestamps. É o tipo de detalhe que muda um caso inteiro. Para quem é da polícia ou trabalha com sistemas integrados de busca, a data de nascimento é um dado que a maioria dos sistemas policiais exige para localizar alguém. Sem ela, a busca simplesmente não funciona em boa parte dos bancos de dados governamentais. Por isso descobrir essa informação é tão valioso numa investigação. Eu até acho estranho que sistemas do Estado exijam isso — mas a realidade é essa. ## Busca reversa de imagem com RevEye na prática Busca reversa de imagem é uma das técnicas mais poderosas de OSINT para identificar locais, pessoas e objetos. No aulão eu demonstrei a extensão [RevEye](https://chromewebstore.google.com/detail/reveye-reverse-image-sear/keaaclcjhehbbapnphnmpiklalfhelgf) — gratuita, open-source, e que simplifica todo o processo. Com o RevEye instalado no Chrome, basta clicar com botão direito em qualquer imagem e escolher em qual engine buscar: Google, Bing, Yandex ou TinEye. Ele abre a busca automaticamente. Sem salvar imagem, sem upload manual, sem copiar URL. Um clique. No desafio, eu precisava descobrir onde Thomas e Francesca passaram as férias. Havia uma foto no Twitter com um monumento ao fundo. Botão direito, busca reversa no Google, e em segundos apareceu: o monumento Deutsches Eck, em Koblenz, na Alemanha. Investigação de localização concluída com uma extensão gratuita e 10 segundos de trabalho. Mas a busca reversa vai além de localização. Você pode identificar se uma foto de perfil é roubada de outra pessoa, verificar se uma imagem foi manipulada comparando com a original, ou rastrear onde mais uma foto específica aparece na internet. Em investigações de golpes, isso é ouro — golpistas frequentemente usam fotos roubadas de bancos de imagem ou de perfis reais. A versão 2.0.0 do RevEye foi atualizada para o Manifest V3 do Chrome e permite adicionar engines de busca customizados. E o mais importante: não rastreia seus dados e não tem anúncios. Se você quer entender mais sobre técnicas de investigação com imagens e sites, recomendo o [Aulão #036 — Técnicas Avançadas para Investigar Sites](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint), que cobre abordagens complementares. ## Como usar IA para analisar perfis de redes sociais Essa foi a parte que mais surpreendeu a audiência do aulão — e confesso que me surpreendeu também. Eu usei o [ChatGPT](https://chat.openai.com) como ferramenta de investigação digital, alimentando ele com todos os tweets de uma pessoa para gerar inteligência automatizada. O processo foi simples. No Twitter, usei o operador de busca `from:usuario` para filtrar apenas as postagens de Francesca. Copiei tudo e colei no ChatGPT com o prompt: "como um investigador digital expert em OSINT, analise todos os tweets dessa pessoa e produza inteligência e insights". O resultado foi absurdo. Em segundos, o ChatGPT identificou que Francesca tinha um gato chamado Gota, demonstrou interesse em revisitar a Alemanha, tinha um relacionamento com Thomas, celebrava o Natal junto com o aniversário da mãe, e acompanhava reality shows de relacionamento. Padrões de viagem, conexões pessoais, interesses — tudo extraído automaticamente de postagens públicas. Eu já explorei o uso do ChatGPT para investigação digital no [Aulão #006 — ChatGPT para Investigação Digital](/aulao-semanal/chatgpt-para-investigacao-digital). Mas o que fiz neste aulão foi um passo além: em vez de perguntar "como investigar alguém", eu dei dados reais e pedi análise. A diferença é enorme. Isso muda o jogo para quem trabalha com volumes grandes de dados. Imagine analisar 5.000 tweets manualmente versus alimentar uma IA e receber um relatório estruturado. Não substitui o olho humano — mas acelera absurdamente o processo. E Facebook, Instagram, LinkedIn — qualquer rede social onde você consiga extrair texto serve como fonte. ## Wayback Machine: recuperando conteúdo apagado da internet O [Wayback Machine](https://web.archive.org) é a máquina do tempo da internet. Ele armazena snapshots de páginas web ao longo dos anos, permitindo que você acesse versões antigas de sites, perfis e postagens que já foram deletados. No desafio, eu usei o Wayback Machine para investigar o histórico de postagens do Thomas no Reddit. O perfil dele no [Old Reddit](https://old.reddit.com) — a versão antiga da interface — mostrava mais informações que o Reddit moderno. Combinando o Old Reddit com o Wayback Machine, consegui percorrer snapshots de anos anteriores e encontrar postagens que tinham sido apagadas. Uma dica prática: instale a [extensão do Wayback Machine para Chrome](https://web.archive.org). Com ela, você pode verificar o histórico de qualquer página diretamente do Chrome, sem precisar abrir o Archive.org manualmente. Durante a live, isso economizou tempo e agilizou a troca entre snapshots. O processo de vasculhar o Wayback Machine é trabalhoso — eu não vou mentir. Você clica em datas, espera carregar, verifica se tem algo útil, volta, tenta outra data. Mas é justamente esse trabalho que separa quem encontra a informação de quem desiste antes de achar. No desafio, a audiência me ajudou a encontrar um paste com informações vazadas que tinham sido postadas e depois apagadas. Sem o Wayback Machine, essa informação estaria perdida. E Wayback Machine não mente: deletar algo da internet não significa que sumiu. Se o Wayback Machine capturou um snapshot antes da exclusão, o conteúdo continua acessível. Pastes, postagens, perfis, ameaças — tudo pode ser recuperado. Quando você investiga alguém, sempre verifique o histórico no Archive.org. Sempre. ## A cultura de pastes e exposed na investigação digital Pastes são uma das fontes mais subestimadas de informação em investigações digitais. Sites como [Pastebin](https://pastebin.com), Ghostpaste e Beanpaste permitem que qualquer pessoa publique texto de forma anônima — e essa cultura existe desde os primórdios da internet. No desafio do TryHackMe, o investigado tinha sido "exposto" em um paste. Alguém publicou dados pessoais dele, senhas e informações comprometedoras num paste público. E esse tipo de situação é extremamente comum no mundo real. A cultura de "exposed" permeia comunidades de hackers, gamers e golpistas. Quando dois grupos brigam, a retaliação é publicar um paste com os dados do rival: nome real, endereço, telefone, senhas, prints de conversas. Eu mostrei exemplos reais no aulão — exposed de hackers brasileiros com dados completos, vazamentos de informações de figuras públicas, denúncias entre golpistas de cartão (os chamados "lotters"). Para usar isso em investigações, a técnica é o bom e velho Google Dorking. Busque `site:pastebin.com "nome da pessoa"` ou `site:pastebin.com "exposed" + termo`. Você vai se surpreender com o que encontra. Exposed do governo americano, da CIA, do FBI — tudo já apareceu em pastes. É uma cultura que sempre fez parte da internet. Mas atenção: pastes são voláteis. O Pastebin remove postagens com frequência, especialmente as que violam termos de uso. Por isso, se você encontrar algo relevante para uma investigação, salve imediatamente — faça screenshot, copie o texto, registre a URL no Wayback Machine. Amanhã aquele paste pode não existir mais. Se você trabalha com segurança pública ou investigação privada, entender pastes é obrigatório. No [Aulão #009 — Como Descobrir Senhas e Vazamentos](/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas) eu aprofundei bastante o tema de vazamentos e onde encontrá-los. ## SpiderFoot: automação de OSINT para investigadores O [SpiderFoot](https://www.spiderfoot.net) é um software de automação OSINT com mais de 200 módulos que investiga IPs, domínios, e-mails e nomes de pessoas automaticamente. No aulão, eu mencionei o SpiderFoot como ferramenta do desafio, mas decidi não instalá-lo ao vivo para não complicar demais. Por que não? Porque o SpiderFoot é poderoso, mas complexo. Para quem está começando, ele pode ser mais confuso do que útil. É como comparar um canivete suíço com uma faca de cozinha — os dois cortam, mas para fatiar pão você não precisa de 47 ferramentas. O módulo que o desafio pedia era o `sfp_account`, que enumera contas de uma pessoa em múltiplas plataformas. Basicamente, ele pesquisa o nome de usuário em centenas de sites para ver onde a pessoa tem perfil. Mas você pode fazer isso sem o SpiderFoot — o [WhatsMyName](https://whatsmyname.io) faz a mesma coisa de graça, direto no browser, buscando em mais de 1.500 plataformas simultaneamente. O SpiderFoot é open-source, gratuito e roda em Windows, Linux e macOS. O [repositório no GitHub](https://github.com/smicallef/spiderfoot) tem mais de 13.000 stars. Se você quiser se aprofundar, eu pretendo fazer um aulão dedicado sobre ele. Mas para começar, ferramentas mais simples resolvem a maioria dos casos. Para uma visão mais ampla de ferramentas OSINT, incluindo OSINT Framework e Bellingcat Toolkit, confira o [Aulão #038 — As Melhores Ferramentas para OSINT](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital). E se você quer entender as ferramentas fundamentais que todo investigador precisa ter, o [Aulão #004 — As 7 Ferramentas que Todo Investigador Digital Precisa](/aulao-semanal/ferramentas-de-investigacao-digital) é o ponto de partida. ## Google Dorking aplicado a investigações OSINT Google Dorking — ou Google Hacking — é a base de qualquer investigação OSINT. No desafio, eu usei operadores de busca avançada do Google em pelo menos 4 momentos diferentes, e cada um deles revelou informações que uma busca normal jamais mostraria. O operador mais básico e mais útil: aspas duplas. Pesquisar `"Thomas Strausman"` no Google retorna apenas resultados que contêm exatamente esse nome, na ordem exata. Sem aspas, o Google mistura resultados com "Thomas" em um lugar e "Strausman" em outro — inútil para investigação. O operador `site:` filtra resultados de um domínio específico. Pesquisar `site:pastebin.com "exposed" + nome` retorna apenas pastes no Pastebin que mencionam aquele nome num contexto de exposição. No Twitter, o operador `from:usuario` mostra apenas tweets de uma conta específica — foi assim que coletei todos os tweets de Francesca para alimentar o ChatGPT. Esses operadores não são novidade. E Pastebin, Reddit, Twitter — todos podem ser filtrados com eles. Mas a combinação dos operadores é o que faz a diferença. No [Aulão #008 — Google Hacking e Buscas Perigosas](/aulao-semanal/google-hacking-buscas-perigosas-dorks) eu mostrei 7 buscas que revelam informações sensíveis — câmeras, documentos, painéis administrativos. O Google Dorking é a ferramenta mais subestimada que existe porque todo mundo acha que sabe usar o Google. Quase ninguém sabe. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | TryHackMe | Plataforma de desafios práticos para treinar OSINT e hacking | [TryHackMe](https://tryhackme.com) | | KaffeeSec SoMeSINT | Sala do TryHackMe com desafio de investigação de redes sociais | [KaffeeSec SoMeSINT](https://tryhackme.com/room/somesint) | | SpiderFoot | Automação OSINT com 200+ módulos para investigar IPs, domínios e pessoas | [SpiderFoot](https://www.spiderfoot.net) | | RevEye | Extensão Chrome para busca reversa de imagem com um clique | [RevEye](https://chromewebstore.google.com/detail/reveye-reverse-image-sear/keaaclcjhehbbapnphnmpiklalfhelgf) | | Wayback Machine | Recuperação de conteúdo apagado e histórico de páginas web | [Wayback Machine](https://web.archive.org) | | WhatsMyName | Busca de nomes de usuário em 1.500+ plataformas simultaneamente | [WhatsMyName](https://whatsmyname.io) | | Pastebin | Plataforma de compartilhamento de texto usada para vazamentos e exposed | [Pastebin](https://pastebin.com) | | ChatGPT | Análise automatizada de perfis de redes sociais com inteligência artificial | [ChatGPT](https://chat.openai.com) | | Maltego | Plataforma profissional de investigação digital e mapeamento de conexões | [Maltego](https://www.maltego.com) | ## Perguntas Frequentes ### Como usar OSINT para investigar uma pessoa na internet? Comece pelo nome completo entre aspas duplas no Google. Procure perfis em redes sociais, analise postagens e conexões, use busca reversa de imagem para fotos de perfil, e verifique o Wayback Machine para conteúdo deletado. Ferramentas como [WhatsMyName](https://whatsmyname.io) automatizam a busca em mais de 1.500 plataformas de uma vez. ### O que é o TryHackMe e como posso praticar OSINT? O [TryHackMe](https://tryhackme.com) é uma plataforma gratuita com laboratórios de cibersegurança. Para OSINT, comece pelas salas OhSINT (iniciante), SearchLight (imagens) e KaffeeSec SoMeSINT (intermediário). Cada sala tem um cenário fictício com perguntas que você responde usando técnicas reais de investigação. ### O que é SpiderFoot e como funciona? O [SpiderFoot](https://www.spiderfoot.net) é um software open-source com mais de 200 módulos que automatiza coleta de informações sobre IPs, domínios, e-mails e pessoas. Ele cruza dados de diversas APIs e produz relatórios detalhados. É gratuito e roda em Windows, Linux e macOS, mas tem uma curva de aprendizado considerável para iniciantes. ### Como fazer busca reversa de imagem para investigação digital? Instale a extensão [RevEye](https://chromewebstore.google.com/detail/reveye-reverse-image-sear/keaaclcjhehbbapnphnmpiklalfhelgf) no Chrome. Com ela, basta clicar com botão direito em qualquer imagem e buscar em Google, Bing, Yandex ou TinEye. Útil para identificar locais em fotos, verificar se fotos de perfil são roubadas e rastrear onde uma imagem aparece na internet. ### Como usar o Wayback Machine para encontrar conteúdo apagado? Acesse [web.archive.org](https://web.archive.org) e cole a URL da página que quer investigar. O Wayback Machine mostra snapshots históricos organizados por data. Percorra as datas disponíveis para encontrar versões antigas do conteúdo. Instale a extensão para Chrome para acessar o histórico diretamente do seu browser. ### O que é um paste e como é usado em investigações? Um paste é um texto publicado anonimamente em sites como [Pastebin](https://pastebin.com). Originalmente usados para compartilhar código, pastes se tornaram canal de vazamentos, ameaças e "exposed" — publicações com dados pessoais de rivais. Investigadores usam Google Dorking com `site:pastebin.com` para encontrar pastes relevantes a um caso. ### Como identificar o timestamp de uma postagem em redes sociais? Passe o mouse sobre a data relativa ("há 3 anos") — na maioria das plataformas, o timestamp completo aparece como tooltip. Se não aparecer, inspecione o código-fonte da página e procure por atributos como `datetime` ou `timestamp`. Essa técnica já foi usada como evidência criminal em casos reais. ### Posso usar inteligência artificial para investigações OSINT? Sim. No aulão eu demonstrei como alimentar o ChatGPT com todos os tweets de uma pessoa para gerar análise automatizada de padrões, conexões e informações relevantes. A IA identifica rapidamente dados que levariam horas para analisar manualmente. Não substitui o investigador, mas acelera drasticamente o trabalho com grandes volumes de dados. > **Veja também:** [Desafio de Investigação Digital ao Vivo: Como Rastreamos um Golpista do Pix — Aulão #049](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) > **Veja também:** [Os Bastidores do Protocolo Sherlock: Como Construí Minha Metodologia de Investigação Digital — Aulão #052](/aulao-semanal/protocolo-sherlock-metodologia-investigacao-digital) ## Referências e Recursos - [TryHackMe — Plataforma de Treinamento em Cibersegurança](https://tryhackme.com) - [KaffeeSec SoMeSINT — Sala de Desafio OSINT](https://tryhackme.com/room/somesint) - [SpiderFoot — Automação de OSINT](https://www.spiderfoot.net) - [SpiderFoot no GitHub](https://github.com/smicallef/spiderfoot) - [RevEye — Busca Reversa de Imagem (Chrome Web Store)](https://chromewebstore.google.com/detail/reveye-reverse-image-sear/keaaclcjhehbbapnphnmpiklalfhelgf) - [Wayback Machine — Internet Archive](https://web.archive.org) - [WhatsMyName — Busca de Nomes de Usuário](https://whatsmyname.io) - [Pastebin](https://pastebin.com) - [Maltego — Plataforma de Investigação Digital](https://www.maltego.com) - [Old Reddit](https://old.reddit.com) --- ### Aulão #038 — As Melhores Ferramentas para OSINT: Do OSINT Framework ao Bellingcat Toolkit URL: https://brunofraga.com/aulao-semanal/melhores-ferramentas-osint-investigacao-digital Publicado: 2024-09-19 Tags: osint, investigacao-digital, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=yXBI5VBy5oc Navegação prática pelas melhores ferramentas de OSINT com testes ao vivo. Do OSINT Framework ao Bellingcat Toolkit e Start.me, descubra quais ferramentas realmente funcionam para investigação digital em um aulão em vídeo com demonstrações reais. ## O que você vai aprender neste aulão Ferramentas OSINT são o combustível de qualquer investigação digital — e a maioria dos investigadores está usando as erradas. Neste aulão eu naveguei ao vivo pelo famoso [OSINT Framework](https://osintframework.com), testei dezenas de ferramentas na prática e mostrei por que ele já não é a melhor referência para quem investiga de verdade. Você vai sair deste artigo sabendo quais ferramentas de OSINT realmente funcionam hoje, quais alternativas superam o OSINT Framework (incluindo o [Bellingcat Toolkit](https://bellingcat.gitbook.io/toolkit) e os quadros do [Start.me](https://start.me)), e como pesquisar ferramentas atualizadas por conta própria. Tudo baseado em demonstração ao vivo, com testes reais usando nomes de usuário, emails e geolocalização. E eu compartilho casos reais de investigação — desde rastreamento de ameaça de bomba até tráfico de animais em Dubai — para você entender como essas ferramentas se aplicam na prática. ## O que é o OSINT Framework e por que ele não é suficiente O OSINT Framework é um mapa mental interativo que reúne links para ferramentas de investigação digital organizadas por categoria. Ele foi um projeto que ganhou muita notoriedade quando surgiu e se tornou referência para quem quer começar em OSINT. Funciona assim: você acessa [osintframework.com](https://osintframework.com) e encontra uma página com um mapa mental organizado por tópicos. Precisa investigar um email? Ele reúne várias recomendações de ferramentas para isso. Precisa investigar aplicativos de relacionamento? Várias ferramentas e links agregados. Metadados? Terrorismo? Geolocalização? Tem tópico para tudo. Mas eu preciso ser sincero: eu não uso ele hoje. E vou te explicar por quê. Quando naveguei ao vivo pelas ferramentas linkadas, o resultado foi decepcionante. Na categoria de username, testei várias ferramentas e a maioria tinha resultados fracos ou interfaces ruins. Na categoria de geolocalização, o SunCalc linkado estava com o Google Maps quebrado — simplesmente não funcionava. Ferramentas que deveriam ser referência estavam desatualizadas ou offline. Tem um problema maior. E Olha, eu respeitei o projeto por anos: o OSINT Framework não acompanha o ritmo de atualização da área. Todo dia eu descubro uma técnica nova, uma ferramenta que surgiu ontem. Mas o framework continua linkando as mesmas ferramentas de anos atrás. Como eu falei na aula: "Me incomoda o pessoal que começa e os influencers que falam 'OSINT Framework, que vou te mostrar'. Gente, aquilo lá tá muito defasado." Se você está começando, vale a pena conhecer o OSINT Framework para entender a estrutura e as categorias de investigação. Mas não pare nele. As alternativas que vou mostrar agora são muito superiores. ## Alternativas superiores ao OSINT Framework: Awesome OSINT e OSINT Brazuca O [Awesome OSINT](https://github.com/jivoi/awesome-osint) é um repositório no GitHub que reúne ferramentas OSINT de forma curada e atualizada. A comunidade contribui constantemente com novos links e remove ferramentas que saíram do ar. Eu uso bastante e recomendo como primeira parada antes do OSINT Framework. A vantagem? É atualizado regularmente. Tem contribuições da comunidade global. E organiza as ferramentas por categoria de forma limpa — quer trabalhar com email, clica e encontra todas as ferramentas de email. Se você vai comparar com o OSINT Framework, como eu fiz neste [Aulão #004 — As 7 Ferramentas que Todo Investigador Digital Precisa Conhecer](/aulao-semanal/ferramentas-de-investigacao-digital), o Awesome OSINT ganha em profundidade e atualização. E para quem investiga no Brasil, existe o [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca). Esse repositório compila mais de 1600 links com fontes de dados brasileiras: consulta de CPF, CNPJ, benefícios sociais, auxílio, pessoas desaparecidas, [JusBrasil](https://www.jusbrasil.com.br) para processos judiciais. É um complemento que nenhum framework internacional oferece. O OSINT Brazuca tem projetos derivados também — templates para a ferramenta Nuclei e expressões regulares voltadas para o contexto brasileiro. Tudo respeitando a LGPD. Mas atenção: verifico que o projeto tem períodos de inatividade. Mesmo assim, complementa demais as ferramentas internacionais quando você precisa investigar algo específico do Brasil. ## Como investigar um username com WhatsMyName.app A busca de username é uma das técnicas mais poderosas em OSINT. Quando você tem um nome de usuário — obtido de uma rede social, um arquivo com metadados, um email, uma assinatura, um site — você pode rastrear a presença digital inteira de uma pessoa. E eu testei várias ferramentas para isso ao vivo. O resultado? De todas as ferramentas do OSINT Framework para username, apenas uma realmente me impressionou: o [WhatsMyName.app](https://whatsmyname.app). ### O teste com Felipe Neto Pesquisei "felipeneto" no WhatsMyName e ele encontrou contas em Disqus, Audio Jungle, Chess, Bodybuilding, Docker, Bigo Live, Figma, GitHub, Duolingo, IFTTT, HackerRank, Streamlabs, TikTok, Trello, Telegram e Tinder. É claro que por ser uma pessoa famosa, alguém pode ter criado algumas dessas contas. Mas a cobertura foi impressionante. ### O teste comigo mesmo Pesquisei "brunofragame" e o WhatsMyName encontrou meu perfil no Duolingo — com meu status de estudo de inglês e atividade monitorável publicamente. Encontrou TryHackMe, resultados no Google, até PDFs que eu nem lembrava que existiam. Percebe o tamanho da exposição? E o Duolingo nem é rede social. Um simples username expõe muito mais do que as pessoas imaginam. E o OSINT Framework nas outras categorias? O Name Check encontrou domínios registrados mas as buscas de redes sociais foram fracas. Outras ferramentas nem carregaram direito. Por isso eu insisto: teste antes de confiar. Se você quer se aprofundar em como investigar pessoas online, recomendo também o [Aulão #005 — 4 Técnicas para Investigar Qualquer Pessoa na Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). Além do WhatsMyName, existem ferramentas de linha de comando como o [Sherlock](https://github.com/sherlock-project/sherlock), que busca usernames em 400+ redes sociais, e o [Blackbird](https://github.com/p1ngul1n0/blackbird), desenvolvido por um pesquisador brasileiro. Ambas aparecem na planilha do Bellingcat e funcionam bem para automação. ## Ferramentas OSINT para investigar emails A investigação de email mudou nos últimos anos. Antes, você fazia requisição de URL para ver se existia um usuário. Hoje temos automações que buscam contas com base em "esqueci minha senha" — quando a plataforma responde "enviamos um link de recuperação para o email X@Y.com", você confirma que aquela conta existe. Ou na tentativa de criar uma conta com aquele email e receber o retorno "não é possível usar esse email porque já tem conta". É muito melhor que a verificação antiga de URL. ### Hunter.io para emails corporativos O [Hunter.io](https://hunter.io) é muito boa para buscar emails empresariais. Você coloca o domínio de uma empresa e ela encontra os padrões de email e os endereços dos funcionários. Só que é bem segmentada para o mercado corporativo e a licença é cara. Não é a ferramenta para investigação geral. ### GHunt para contas Google O [GHunt](https://github.com/mxrch/GHunt) investiga contas Google a partir de um email Gmail. Extrai informações do Google Maps, Calendar e outros serviços vinculados. E o [VoilaNorbert](https://www.voilanorbert.com) amplia as capacidades de busca e verificação de email. ### Gravatar: a ferramenta esquecida Uma descoberta interessante nos quadros do Start.me foi o [Gravatar](https://gravatar.com). Você insere um email e ele retorna a foto de perfil e redes sociais vinculadas. Quando testei com um email antigo meu, encontrou uma foto de 2015 de uma conta que eu tinha esquecido que existia. É uma ferramenta que não estava no OSINT Framework sendo que funciona muito bem. Para quem lida com emails suspeitos no dia a dia, vale complementar com as técnicas que mostrei no [Aulão #016 — Como Investigar E-mails Fraudulentos](/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas), onde destrinchei cabeçalhos de email e fiz takedown de site falso. ## Geolocalização com SunCalc: como determinar o horário de uma foto Geolocalização é um dos campos mais fascinantes do OSINT. Quando você tem uma foto e precisa descobrir onde e quando foi tirada, a posição do sol e das sombras pode ser decisiva. A ferramenta que eu recomendo para isso é o [SunCalc.org](https://www.suncalc.org) — e não a versão linkada no OSINT Framework, que estava com o Google Maps quebrado e nem carregava endereço. ### Como funciona na prática No caso que demonstrei ao vivo, analisei uma foto do Paulo Guedes em Copacabana. Pelos elementos visuais — a calçada característica do Rio de Janeiro, o fundo com praia e montanhas, a distância das montanhas, a vegetação e a arquitetura — identifiquei a localização provável. Mas para descobrir o horário, precisei do SunCalc. O processo: você se posiciona no mapa na localização onde a foto foi tirada, define a data aproximada, e mexe no horário para simular como estava a sombra naquele momento. O SunCalc projeta a posição do sol e o formato das sombras em tempo real. Comparando com a sombra da foto original, você chega ao horário aproximado. Eu admito: não domino completamente essa técnica de análise solar. Mas nas vezes que precisei usar, consegui fazer — dedicando tempo e seguindo o guia do Bellingcat para cálculo de posição do sol. Eles explicam a técnica usando um caso real de guerra e cybercrime, com passo a passo detalhado. O correto seria pegar a altura média da pessoa, calcular o tamanho da sombra, cruzar com a data e fazer o cálculo para chegar ao horário exato. Isso é utilizado por investigadores profissionais em geossíntese e análise de imagens forenses. Para geolocalização via redes Wi-Fi (com precisão de 20 a 40 metros usando coordenadas GPS reais), veja o [Aulão #044 — WiGLE para Investigação Digital](/aulao-semanal/wigle-investigacao-digital-rastrear-redes-wifi), onde eu e o Diego Andretta demonstramos como rastrear dispositivos pelo BSSID usando a maior base de dados aberta de redes Wi-Fi do mundo. ## Bellingcat: o toolkit definitivo para investigadores digitais O [Bellingcat](https://www.bellingcat.com) é, na minha opinião, a fonte mais valiosa de ferramentas e técnicas de OSINT que existe hoje. E praticamente ninguém fala dele nos cursos e tutoriais em português. O Bellingcat é um grupo de investigadores ativistas que a todo instante expõem guerras, cartéis criminosos, tráfico humano e de animais. E fazem isso para combater corrupção e criminalidade usando fontes abertas. Mas o que torna o Bellingcat único é que eles explicam como investigam — as ferramentas que usaram, os passos que seguiram, a lógica por trás de cada descoberta. ### O Bellingcat Online Investigation Toolkit O Bellingcat lançou o [Online Investigation Toolkit](https://bellingcat.gitbook.io/toolkit) no GitBook, substituindo a antiga planilha do Google Sheets. É um toolkit colaborativo com descrições detalhadas mantidas por uma equipe de voluntários e até um assistente de IA. A profundidade é absurda. Quer investigar transporte? Tem ferramentas para avião, barco, trem, carro e transporte público. Quer investigar redes sociais? Tem seções para Facebook, Instagram (com o [Instaloader](https://instaloader.github.io) que é excelente), Twitter, TikTok, YouTube, Reddit, Telegram. Quer trabalhar com email? Tem ferramentas que não aparecem em nenhum outro lugar — incluindo aquelas que eu considero as melhores do mercado. Demonstrei ao vivo o rastreamento de transporte público em São Paulo usando uma das ferramentas do toolkit. Em tempo real, consegui ver ônibus e metrô se movendo — Praça da Sé, estação Vargueiro, linhas cruzando a cidade. Esse tipo de fonte de dados não existia no OSINT Framework. ### Casos reais do Bellingcat que eu estudei O caso de tráfico de animais em Dubai mudou minha forma de investigar. O Bellingcat identificou o mesmo tigre sendo vendido no mercado negro e aparecendo em stories de celebridades — comparando o padrão de manchas do animal. E a técnica de comparação visual que eles documentaram, eu apliquei depois em um caso completamente diferente: uma ameaça de bomba no MASP. Na ameaça de bomba, alguém postou em um imageboard que iria detonar um explosivo durante um evento em São Paulo. Tinha foto da bomba e de um pó explosivo. Usando busca reversa de imagem — técnica que aprendi com o caso dos animais — identifiquei que a foto da bomba vinha de um tutorial online. E o pó? Era um frame de um vídeo do YouTube. Precisei analisar o formato do pó, como a bordinha dobrava, comparar quadro a quadro. A técnica de busca reversa em frames de vídeo foi decisiva. Outro caso: precisei identificar uma pessoa no Telegram. Seguindo um guia do Bellingcat, criei um bot que capturava o telefone de quem entrava em um canal fake. Populamos o canal, colocamos no diretório de Telegram, e quando o alvo entrou e autorizou o bot, capturamos o telefone da conta dele. Técnica sofisticada que eu encontrei documentada. E Tudo isso com fontes abertas, sem precisar de mandado judicial. Se você trabalha com investigação em redes sociais, a técnica de investigar perfis no Twitter que mostrei no [Aulão #012 — Como Investigar Pessoas no Twitter](/aulao-semanal/como-investigar-pessoas-no-twitter) complementa bem o que o Bellingcat documenta. ## Start.me: a nova tendência de compartilhamento de ferramentas OSINT Existe uma cultura crescendo em OSINT que pouca gente está acompanhando: os quadros do [Start.me](https://start.me). O Start.me é uma plataforma que permite criar páginas com links e atalhos organizados. E a comunidade de OSINT, especialmente investigadores da Rússia e Europa Oriental, está criando quadros absurdamente completos. Funciona como um framework descentralizado. Em vez de um único site tentando reunir tudo (como o OSINT Framework), você tem dezenas de investigadores especializados compartilhando suas próprias coleções. Um quadro focado em finanças e Bitcoin. Outro em GEOINT. Outro em Dark Web com buscadores da Onion, TorScan. Outro em redes sociais com ferramentas para cada plataforma. ### O que encontrei explorando os quadros - **Ferramentas para telefone**: links para investigar rastros de um número na internet que eu nunca tinha visto — como o Lular.com - **BananaTag**: ferramenta para trackear abertura de email. Nome curioso, funcionalidade real - **Leitor de código de barras**: você faz upload de um QR Code ou código de barras e descobre o que ele referencia — se é um produto, um mercado, um preço, um passaporte, um cartão. Pode saber de que país é aquele produto, qual o software que gerou aquele QR Code - **Ferramentas para o Tinder**: um tutorial completo de como criar um crawler que emula o Tinder numa região e compara fotos com rosto procurado usando busca reversa. Já repliquei isso na prática - **Tutoriais de Dark Web**: guias de como investigar aplicativos de encontro, como posicionar um telefone, como fazer busca reversa de frames A lição aqui é que cada investigador organiza suas ferramentas de formas diferentes. E quando você encontra um quadro bom, clica no site do autor e investiga o que mais ele publicou. Descobre mais técnicas, mais possibilidades. É um ciclo de aprendizado contínuo. Para quem trabalha com ferramentas OSINT no celular, tem uma abordagem complementar no [Aulão #018 — Ferramentas de Investigação Digital para Android](/aulao-semanal/ferramentas-de-investigacao-digital-para-celular-android), e se você quer entender como organizar investigações de forma profissional, o [Aulão #033 — TraceLabs: O Sistema Operacional OSINT](/aulao-semanal/tracelabs-sistema-operacional-osint-investigacao-digital) mostra uma abordagem integrada. ## Como pesquisar ferramentas OSINT atualizadas no Google A técnica mais simples e mais poderosa que compartilhei neste aulão é essa: pesquisar no Google com aspas e termos específicos. Parece óbvio, mas a maioria das pessoas não faz. Vai investigar um avião? Pesquise: **airplane OSINT guide**. Vai investigar conteúdo no Brasil? Pesquise: **Brasil OSINT guide**. Precisa de técnicas para uma plataforma específica? **TikTok OSINT guide** ou **TikTok OSINT tips**. O Google vai retornar guias atualizados, escritos por investigadores que documentaram seus processos. E quando você encontra um conteúdo bom, faz duas coisas: 1. Lê o guia completo e anota as ferramentas 2. Clica no site do autor, vai no toolbox ou blog dele e vê os outros conteúdos que publicou E Aqui mora o ouro de verdade. Um investigador que escreveu um guia sobre como extrair tweets apagados provavelmente tem outros guias sobre análise de redes sociais. Você descobre mais técnicas, mais ferramentas, mais possibilidades. É exatamente como eu aprendi a fazer busca reversa em frames de vídeo — lendo um caso do Bellingcat sobre tráfico de animais e aplicando a técnica em uma ameaça de bomba. Se você quer dominar as buscas no Google como ferramenta de investigação, eu já cobri o [Google Hacking no Aulão #008](/aulao-semanal/google-hacking-buscas-perigosas-dorks) com 7 buscas que revelam informações sensíveis. E no [Aulão #001 — Os 4 Segredos para Dominar OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos), cobri os fundamentos que todo investigador precisa. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | OSINT Framework | Mapa mental com links para ferramentas OSINT por categoria | [OSINT Framework](https://osintframework.com) | | WhatsMyName.app | Busca de username em 500+ plataformas | [WhatsMyName](https://whatsmyname.app) | | Awesome OSINT | Repositório curado de ferramentas OSINT no GitHub | [Awesome OSINT](https://github.com/jivoi/awesome-osint) | | OSINT Brazuca | Ferramentas e fontes de dados brasileiras (CPF, CNPJ, processos) | [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca) | | Bellingcat Toolkit | Toolkit colaborativo com ferramentas por categoria (transporte, redes sociais, email) | [Bellingcat Toolkit](https://bellingcat.gitbook.io/toolkit) | | SunCalc | Calculadora de posição solar para geolocalização de fotos | [SunCalc](https://www.suncalc.org) | | Hunter.io | Busca de emails corporativos por domínio | [Hunter.io](https://hunter.io) | | GHunt | Investigação de contas Google via email | [GHunt](https://github.com/mxrch/GHunt) | | Sherlock | Busca de username em 400+ redes sociais via CLI | [Sherlock](https://github.com/sherlock-project/sherlock) | | Blackbird | Busca de username desenvolvida por pesquisador brasileiro | [Blackbird](https://github.com/p1ngul1n0/blackbird) | | Gravatar | Encontra foto e redes sociais a partir de email | [Gravatar](https://gravatar.com) | | Instaloader | Download de fotos, vídeos e metadados do Instagram | [Instaloader](https://instaloader.github.io) | | Start.me | Plataforma de quadros de ferramentas OSINT compartilhados | [Start.me](https://start.me) | | VoilaNorbert | Busca e verificação de emails | [VoilaNorbert](https://www.voilanorbert.com) | ## Perguntas Frequentes ### O que é OSINT Framework? O OSINT Framework é um site que funciona como mapa mental interativo com links para ferramentas de investigação digital. Cada tópico (email, username, geolocalização, metadados) leva a ferramentas específicas. Foi referência por anos, mas hoje está desatualizado e tem muitas ferramentas que não funcionam mais. ### Quais são as melhores ferramentas gratuitas de OSINT? Das que testei ao vivo, o [WhatsMyName.app](https://whatsmyname.app) é a melhor para busca de username. O [Bellingcat Toolkit](https://bellingcat.gitbook.io/toolkit) é a melhor fonte de ferramentas atualizadas por categoria. O [SunCalc.org](https://www.suncalc.org) é a melhor para geolocalização por posição solar. E o [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca) é indispensável para investigações no contexto brasileiro. ### Como investigar um nome de usuário na internet? Use o [WhatsMyName.app](https://whatsmyname.app) para buscar o username em centenas de plataformas simultaneamente. Ele retorna quais redes sociais, fóruns e serviços possuem conta com aquele nome. Para automação em linha de comando, use [Sherlock](https://github.com/sherlock-project/sherlock) ou [Blackbird](https://github.com/p1ngul1n0/blackbird). ### Como rastrear um email com OSINT? Comece pelo [Gravatar](https://gravatar.com) para encontrar foto e redes vinculadas. Use [Hunter.io](https://hunter.io) para emails corporativos. Teste a técnica de "esqueci minha senha" em plataformas para confirmar se o email possui conta. E o [GHunt](https://github.com/mxrch/GHunt) investiga especificamente contas Google. ### O que é Bellingcat e como usar para investigação? O [Bellingcat](https://www.bellingcat.com) é um grupo independente de investigadores que usa fontes abertas para expor crimes, guerras e corrupção. Além das investigações, eles publicam guias detalhados com as ferramentas e técnicas usadas. O [Bellingcat Toolkit](https://bellingcat.gitbook.io/toolkit) organiza centenas de ferramentas por categoria. É a fonte mais atualizada e confiável que eu conheço. ### Existe OSINT focado no Brasil? Sim. O [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca) reúne mais de 1600 links com fontes de dados brasileiras: consulta de CPF, CNPJ, benefícios sociais, pessoas desaparecidas, processos judiciais no JusBrasil. Tudo respeitando a LGPD. É um complemento indispensável para quem investiga no contexto nacional. ### O OSINT Framework ainda vale a pena? Para entender as categorias de investigação e ter uma visão geral da área, sim. Mas para uso prático, não. Muitas ferramentas linkadas estão desatualizadas ou quebradas. Use o Awesome OSINT, o Bellingcat Toolkit e os quadros do Start.me como fontes principais. O OSINT Framework serve como ponto de partida conceitual, não como ferramenta de trabalho. ### Como me manter atualizado em ferramentas OSINT? Pesquise no Google com termos específicos: "[assunto] OSINT guide" ou "[plataforma] OSINT tips". Acompanhe o [Bellingcat](https://www.bellingcat.com) para casos reais e técnicas documentadas. Navegue pelos quadros do [Start.me](https://start.me) para descobrir ferramentas novas. E quando encontrar um conteúdo bom, investigue o autor — veja o que mais ele publicou. OSINT muda todo dia. Não tem livro, não tem framework único. Tem o buscar, o pesquisar, o clicar e ler. > **Veja também:** [Desafio OSINT ao Vivo — Aulão #039](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme) > **Veja também:** [Imersão Sherlock: Espionagem Digital e OSINT com Gadgets Reais — Aulão #041](/aulao-semanal/espionagem-digital-osint-gadgets-investigacao) > **Veja também:** [5 Extensões de Browser para Investigação Digital — Aulão #042](/aulao-semanal/extensoes-browser-investigacao-digital-osint) > **Veja também:** [Os Bastidores do Protocolo Sherlock: Como Construí Minha Metodologia de Investigação Digital — Aulão #052](/aulao-semanal/protocolo-sherlock-metodologia-investigacao-digital) > **Veja também:** [4 Ferramentas de Investigação Digital que Ninguém No Brasil Usa — Aulão #054](/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance) > **Veja também:** [Google PSE: Como Criar Seu Próprio Google para OSINT — Aulão #055](/aulao-semanal/google-programmable-search-engine-pse-osint-investigacao) ## Referências e Recursos - [OSINT Framework](https://osintframework.com) — Mapa mental de ferramentas OSINT - [WhatsMyName.app](https://whatsmyname.app) — Busca de username em múltiplas plataformas - [WhatsMyName - GitHub](https://github.com/WebBreacher/WhatsMyName) — Repositório open source - [Awesome OSINT - GitHub](https://github.com/jivoi/awesome-osint) — Lista curada de ferramentas - [OSINT Brazuca - GitHub](https://github.com/osintbrazuca/osint-brazuca) — Ferramentas OSINT brasileiras - [Bellingcat](https://www.bellingcat.com) — Grupo de investigação independente - [Bellingcat Online Investigation Toolkit](https://bellingcat.gitbook.io/toolkit) — Toolkit colaborativo - [SunCalc.org](https://www.suncalc.org) — Calculadora de posição solar - [Hunter.io](https://hunter.io) — Busca de emails corporativos - [GHunt - GitHub](https://github.com/mxrch/GHunt) — Investigação de contas Google - [Sherlock Project - GitHub](https://github.com/sherlock-project/sherlock) — Busca de username via CLI - [Blackbird - GitHub](https://github.com/p1ngul1n0/blackbird) — Busca de username - [Instaloader](https://instaloader.github.io) — Download de dados do Instagram - [Gravatar](https://gravatar.com) — Busca de perfil via email - [Start.me](https://start.me) — Plataforma de quadros de ferramentas - [VoilaNorbert](https://www.voilanorbert.com) — Busca e verificação de emails --- ### Aulão #037 — Perícia Forense na Prática: Como Investigar Cenas de Crimes com um Perito Real URL: https://brunofraga.com/aulao-semanal/pericia-forense-como-funciona-investigar-cenas-de-crimes Publicado: 2024-09-18 Tags: investigacao-digital, ciberseguranca YouTube: https://www.youtube.com/watch?v=YnGaZWWCBVY O perito Danilo Peleje explica ao vivo como funciona a perícia forense no Brasil: cadeia de custódia, tipos de perito, casos reais e como atuar sem concurso. Assista ao aulão completo em vídeo. ## O que você vai aprender neste aulão Perícia forense é o trabalho técnico-científico que transforma vestígios em provas para a justiça. Neste aulão, o perito Danilo Peleje — fundador do [INPAT Forense](https://www.inpatforense.com.br/), credenciado pelo Tribunal de Justiça do Paraná como perito criminal número 40, com mais de 10 anos de atuação — explica como funciona a perícia forense no Brasil na prática, com casos reais que ele mesmo trabalhou. Você vai entender a diferença entre perito e investigador, como funciona a cadeia de custódia (e por que a maioria das provas digitais já chega quebrada), quais são os tipos de perito que existem no Brasil, quanto ganha um perito forense e — o que surpreende 99% das pessoas — como é possível atuar como perito judicial sem prestar concurso público. Tudo isso baseado em demonstração ao vivo, com legislação, casos e valores reais. E sim — dá para atuar na área sem prestar concurso. E tem mais: eu compartilho nesse aulão como a investigação digital que eu pratico se conecta diretamente com a perícia forense, e por que a inteligência investigativa trabalhando junto com a perícia é o cenário ideal para resolver casos. ## O que é perícia forense e como funciona no Brasil Perícia forense é a análise técnico-científica de vestígios para produzir provas que auxiliem a justiça. A palavra "forense" vem de fórum — o perito forense é, literalmente, o profissional do fórum judicial. Mas calma. Isso não tem nada a ver com o que a maioria imagina assistindo séries americanas. No Brasil, o sistema funciona de forma bem diferente dos Estados Unidos. Lá, o FBI ou a CIA pode contratar um profissional por análise curricular — sem concurso público. O Danilo tem uma aluna, a Alessandra, do estado de Oregon, que trabalhou para o FBI exatamente assim. No Brasil, a perícia está fundamentada no Código de Processo Penal (CPP), especificamente no [artigo 158](https://www.jusbrasil.com.br/topicos/250911206/artigo-158a-do-decreto-lei-n-3689-de-03-de-outubro-de-1941), que determina: quando a infração deixar vestígios, será indispensável o exame de corpo de delito direto ou indireto, não podendo suprir a confissão do acusado. E "corpo de delito" não é o corpo de uma pessoa — é o conjunto de vestígios concentrados na cena do crime. O que pouca gente sabe: o Tribunal de Justiça do Paraná é o primeiro do Brasil a fazer credenciamento de peritos criminais e detetives sem concurso público. O Danilo foi o número 40 do cadastramento, em 12 de março de 2024 — e desde então o número de credenciados só cresce. Isso mudou o jogo completamente para quem quer atuar na área. ### Como o perito é convocado O juiz precisa de conhecimento técnico ou científico para decidir um caso. Como ele não pode ir ao local dos fatos, nomeia um perito para fazer a diligência, coletar vestígios e produzir o laudo. O perito também pode ser contratado diretamente pelo advogado ou pelas partes — nesse caso, a nomenclatura muda para assistente técnico (ou perito particular, como é chamado informalmente). O processo começa com uma proposta de honorários — que funciona como um orçamento técnico. Depois de receber 50% adiantado, o perito inicia os trabalhos. Pelo CPC (Código de Processo Civil), o prazo é de 20 a 30 dias para entregar o laudo. Pelo CPP, são 20 dias corridos após a entrega do laudo oficial da polícia. ## Tipos de perito: criminal, judicial, assistente técnico e ad hoc No Brasil existem quatro tipos de perito, cada um com legislação e atribuições específicas. Misturar os termos é um erro comum — até profissionais da área confundem. **Perito criminal (oficial)** — É o perito da polícia, previsto no artigo 159 do CPP. Presta concurso público e atua pelo Instituto de Criminalística ou Polícia Técnica. É o mais conhecido, mas não é o único caminho. **Perito judicial** — Nomeado pelo juiz, previsto no artigo 156 da [Lei 13.105/2015](https://www.jusbrasil.com.br/topicos/250911206/artigo-158a-do-decreto-lei-n-3689-de-03-de-outubro-de-1941) (CPC). Não precisa de concurso. Faz [cadastramento no tribunal](https://www.tjdft.jus.br/carta-de-servicos/servicos/cadastro-de-auxiliares/cadastro-peritos) e passa a integrar um banco de profissionais. O Danilo explicou: "O perito judicial é os olhos do juiz." Pela legislação, o termo correto é apenas "perito" — sem adjetivos. **Assistente técnico (perito particular)** — Contratado pelo advogado ou pelas partes, previsto no artigo 465 do CPC. Elabora parecer técnico (diferente do laudo do perito judicial). Pode acompanhar todo o trabalho do perito judicial e até solicitar contraprova. **Perito ad hoc** — Previsto no parágrafo primeiro do artigo 159 do CPP. Quando não há Instituto de Criminalística disponível ou ele está sobrecarregado, o delegado pode convidar até duas pessoas idôneas com diploma de curso superior ou habilitação técnica para realizar a perícia. Nomeação instantânea, na hora. É raro, mas existe na legislação. O que importa na prática: o perito judicial elabora um **laudo**, o assistente técnico elabora um **parecer técnico**, e o investigador elabora um **relatório técnico**. E cada documento tem peso e função diferentes no processo. ## Diferença entre perito e investigador digital O perito é o cientista. O investigador é o operacional. Essa frase do Danilo resume tudo, mas vale detalhar. O investigador faz levantamentos — coleta dados, busca informações, identifica onde, quando e como algo aconteceu. O perito pega esse material e faz análise técnico-científica: mede, pesa, testa, compara e prova. Se você disse "eu estou provando", na verdade está fazendo o papel de cientista — está fazendo perícia. E na experiência do Danilo, a maioria dos profissionais transita entre as duas funções — investigadores que fazem perícia, peritos que fazem levantamento. Mas a distinção importa juridicamente. Eu compartilhei isso no aulão porque é uma descoberta recente para mim também. A investigação digital era a primeira parte do hacking — o recon, a coleta de informação sobre um alvo. Do nada, isso começou a ajudar pessoas que precisavam daquele recon: o advogado, a pessoa que sofreu um golpe. A investigação [desmascara golpistas](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet), revela modos operantes de quadrilhas. Mas para que isso vire prova num processo, entra a perícia. E aqui está o ponto que o Danilo deixou claro: a inteligência investigativa trabalhando em conjunto com a perícia é o cenário ideal. A inteligência pode guiar até um elemento que será formalmente comprovado pela perícia. O advogado que diz "frutos da árvore envenenada, não posso usar isso" está certo juridicamente — mas a inteligência não precisa virar prova direta. Ela conecta os pontos até chegar numa evidência formal. ## Cadeia de custódia: o que é e por que a maioria das provas digitais chega quebrada A cadeia de custódia é o conjunto de procedimentos que documenta a história cronológica de um vestígio, desde a coleta até o descarte. Está no artigo 158-A do CPP, e tem 10 etapas obrigatórias: reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte. Agora a parte que dói. O Danilo foi direto: "Todas as provas que nós pegamos, quando é dispositivo móvel que foi coletado pela polícia, foi quebrada a cadeia de custódia." Todas. A grande maioria. Isso acontece porque o policial que chega primeiro no local (geralmente a Guarda Municipal) nem sempre sabe como preservar vestígios digitais. Pega o pendrive na mão. Mexe no celular. Liga o computador. Cada toque contamina a cadeia. E casos que poderiam ser resolvidos morrem por provas descartadas antes de chegar ao juiz. ### Fixação: sem foto, sem prova A fixação é obrigatória — fotografias, filmagens, croquis (desenhos). Se um vestígio chega na delegacia sem registro fotográfico de onde estava, pode ser descartado como prova. É simples assim. ### Vestígios verdadeiros, forjados e ilusórios Nem todo vestígio encontrado numa cena de crime é real. O Danilo classifica em categorias distintas: - **Verdadeiro** — estava lá por causa do crime - **Forjado** — colocado intencionalmente para incriminar alguém (uma bituca de cigarro plantada, dados inseridos num celular, fotos colocadas num dispositivo) - **Ilusório** — parece relevante mas não é (a bituca que o próprio policial fumando no local deixou cair) - **Decomposto** — existiu, mas se deteriorou antes da coleta (sangue evaporado, dados sobrescritos, câmera de CFTV que gravou por cima) No meio digital, isso é ainda mais perigoso. O WhatsApp permite editar mensagens após o envio. O Instagram permite modificar conteúdo. Alguém pode [mandar uma ameaça](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) e depois alterar o texto. Existem programas e equipamentos para provar se um vestígio digital foi alterado ou não. ### O caso do CD cortado no fórum Um caso que o Danilo compartilhou mostra a importância da cadeia de custódia na prática. Um CD com imagens de CFTV — prova num processo — estava armazenado no cartório de um fórum. Quando foram buscar, estava cortado no meio. A justificativa: "quebrou no manuseio." O Danilo fez perícia comparativa. Comprou dezenas de CDs, bateu, quebrou, cortou com tesoura, com estilete — até chegar na guilhotina. O padrão de corte era compatível com guilhotina. E havia uma guilhotina no fórum. Uma conclusão que fica no ar, mas tecnicamente fundamentada. ## Princípio de Locard: todo contato deixa uma marca — inclusive no digital [Edmond Locard](https://pt.wikipedia.org/wiki/Teoria_de_Locard) (1877-1966) é o pai da perícia — não da criminalística (esse é [Hans Gross](https://www.millenniumeditora.com.br/series/guia-pratico-para-a-instrucao-dos-processos-criminais), com o livro "Guia Prático para a Instrução dos Processos Criminais", recomendado pelo Danilo). O princípio de Locard é direto: todo contato deixa uma marca. Na prática forense, isso significa que o criminoso sempre terá uma relação com a vítima e com o local dos fatos. Sempre haverá transferência de vestígios — biológicos, materiais ou cibernéticos. No digital, o princípio funciona igual. Um criminoso que tenta invadir um celular ou rede social deixa registro — IP, log de localização, metadados. O desafio é que vestígios digitais são mais fáceis de destruir e mais difíceis de preservar que vestígios físicos. Enquanto uma prova material (sangue, fibra) se decompõe com o tempo, uma prova digital pode ser sobrescrita em segundos. É por isso que eu bato tanto na tecla da [investigação de metadados](/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos) e da [análise de metadados em massa](/aulao-semanal/como-analisar-metadados-em-massa-investigacao-digital). Metadados são vestígios digitais — e saber extraí-los e preservá-los é o que separa uma investigação amadora de uma que gera provas reais. ### O local do crime pode ser digital Um ponto que o Danilo trouxe e que mudou minha perspectiva: o local imediato de um crime pode ser a internet. Um crime de bullying, exposição de dados pessoais, [investigação de lojas falsas](/aulao-semanal/como-investigar-lojas-virtuais-identificar-golpes-online) — o local imediato é o perfil no Facebook, a conta no Instagram, o servidor que hospeda o site. Não é a casa do suspeito. A legislação não define uma delimitação por lei para o local do crime digital. Quem delimita é o próprio perito nos fatos. Isso abre um campo enorme de atuação para peritos com conhecimento em tecnologia. E é um campo pouco explorado — o que significa oportunidade real para quem está começando. ## Casos reais de perícia forense que mudaram processos ### O celular que "deu defeito" Uma fabricante de celulares foi processada por uma consumidora que alegava defeito de fabricação. O juiz nomeou o Danilo como perito. Resultado: ao abrir o aparelho, constataram corrosão por contato com água. A fabricante já havia emitido relatório técnico dizendo que estava fora da garantia por uso indevido. A perícia confirmou com análise química e física dos componentes. ### A roupa impossível Uma menina chegou na delegacia com saia curta e blusa curta — e mais de 1 kg de droga. O advogado da defesa contratou o Danilo como assistente técnico para provar se era possível esconder aquela quantidade naquela roupa. Usando técnica de costura, análise de pontos e medições com régua e fita, provaram que não era possível incluir aquela quantidade de entorpecentes na roupa mínima. Conhecimento técnico básico transformado em perícia com metodologia. ### A digital inconclusiva Um senhorzinho não alfabetizado assinava com o polegar direito. Alegou que a impressão digital num contrato não era dele. O juiz nomeou o Danilo para perícia papiloscópica. Ele coletou as impressões em alta qualidade — mas a impressão no documento, coletada pelo banco, estava em péssimas condições. Convidou 20 profissionais para ajudar. Resultado: primeira perícia inconclusiva da carreira dele. "A perícia ou é ou não é, não existe meio grávida", disse o Danilo. Mas quando faltam elementos, o perito honesto declara inconclusivo. Isso constrói credibilidade. ### O coldre criativo O Danilo precisou fazer perícia numa arma de fogo — especificamente no coldre. Não existia metodologia científica para isso. Solução: usou tinta base água da filha (tinha até o nominho dela no pote) e cotonete para verificar se o gatilho deixava marca no coldre. Criou uma metodologia inexistente a partir de princípios básicos. ### HD no micro-ondas Eu perguntei ao Tom, da [UTI dos Dados](https://utidosdados.com.br/) (maior laboratório de recuperação de dados do Brasil, em Barueri/SP): "Minha técnica de descartar HD é botar no micro-ondas. É boa?" Ele gravou um vídeo, explodiu no micro-ondas — e depois recuperou os dados. Já vi ele recuperando HD que pegou fogo. Furar HD também não resolve — já vi HD furado ser recuperado. Funciona botar HD no micro-ondas para destruir dados? Não. E furar? Também não. A lição: destruição física de mídias digitais não garante eliminação dos dados. Peritos forenses conseguem recuperar informações em condições extremas. O descarte correto de vestígios segue protocolo documentado — porque existe o direito do contraditório, e a outra parte pode solicitar contraprova. ## Como se tornar perito forense sem concurso público Não precisa de concurso público para atuar como perito judicial no Brasil. Essa informação surpreende 99% das pessoas — dado que o próprio Danilo levantou em pesquisa. O caminho é o cadastramento nos tribunais de justiça. Funciona assim: 1. Tenha diploma de curso superior ou habilitação técnica na área de interesse 2. Busque certificações e formações específicas (como as oferecidas pela [Academia de Forense Digital](https://academiadeforensedigital.com.br/) ou pelo [INPAT Forense](https://www.inpatforense.com.br/)) 3. Acesse o site do Tribunal de Justiça do seu estado e procure o cadastro de peritos 4. Apresente a documentação exigida (RG, CPF, diploma, certidões, cadastro de autônomo) 5. Aguarde o credenciamento — em São Paulo sai na hora, em outros estados pode levar até 30 dias Você integra um banco de profissionais e pode ser nomeado pelo juiz quando surgir demanda na sua especialidade. É possível cadastrar-se em mais de um estado. O Danilo está cadastrado no Tribunal de Justiça do Paraná (perito criminal e criminalístico — quatro credenciais incluindo químico e detetive) e no Tribunal de Justiça de São Paulo (área cível: químico balístico, grafotécnica, documentoscopia, papiloscopia). Em São Paulo não há área criminal para cadastramento — apenas cível e trabalhista. ## Quanto ganha um perito forense no Brasil E quanto ganha de fato? Pela tabela judicial, o valor é de R$540 por hora. O Danilo fez a comparação: "Eu era professor de escola pública, ganhava R$25 hora-aula. Um perito hoje é incomparável." Para contextualizar: um médico e um engenheiro não ganham R$540/hora. O perito judicial, sim. E o investigador particular pode ganhar até mais, dependendo do caso — o trabalho privado tende a ser mais lucrativo. O caso das Lojas Americanas ilustra o teto: a perícia custou 25 milhões de reais. Imagina os danos que estavam em jogo. O processo de pagamento funciona assim: o perito apresenta a proposta de honorários (não use a palavra "orçamento"), as partes custeiam via Defensoria Pública, e o perito recebe. No momento da nomeação, torna-se agente público com título honorífico. ## Segurança operacional para investigadores e peritos O Danilo assina todos os laudos digitalmente — com CPF. Isso significa que qualquer parte no processo sabe quem é o perito. Ele nunca recebeu ameaças diretas, mas trabalha com precaução: porte de arma, treinamento, e nunca deixa endereço pessoal exposto. Para investigadores, eu trouxe um ponto que repito para meus alunos: nós não temos sigilo da fonte como advogados ou jornalistas. Se alguém chegar no seu computador e encontrar material de investigação — fotos íntimas de uma vítima, dados de um criminoso — como você explica que estava investigando? A resposta: criptografia total. Segurança operacional. Nada em texto puro. E não é paranoia — é protocolo básico de segurança operacional. Isso vale para [investigadores que usam técnicas OSINT](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), para quem [investiga crimes digitais](/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint), e para peritos que armazenam provas periciais. A LGPD (Lei Geral de Proteção de Dados) reforça essa obrigação. O Danilo mencionou um caso que ilustra: a perícia das Lojas Americanas valeu 25 milhões. Imagine se alguém invadisse o equipamento do perito e comprometesse todas as provas periciais de um caso desse porte. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Avilla Forensics | Ferramenta gratuita de forense mobile para análise de dispositivos Android | [Avilla Forensics](https://github.com/AvillaDaniel/AvillaForensics) | | Cellebrite UFED | Líder mundial em extração e análise forense de dispositivos móveis | [Cellebrite](https://cellebrite.com) | | UTI dos Dados | Laboratório de recuperação de dados — maior do Brasil | [UTI dos Dados](https://utidosdados.com.br/) | | Academia de Forense Digital | Maior ecossistema de forense digital do Brasil — cursos e formação | [AFD](https://academiadeforensedigital.com.br/) | | INPAT Forense | Instituto de perícias, treinamentos e pós-graduação em forense | [INPAT Forense](https://www.inpatforense.com.br/) | ## Perguntas Frequentes ### O que é perícia forense? Perícia forense é a análise técnico-científica de vestígios realizada por um profissional qualificado para produzir provas que auxiliem decisões judiciais. O termo "forense" vem de fórum — o perito é o profissional que trabalha para o sistema judicial, não necessariamente com crimes. ### Qual a diferença entre perito criminal e perito judicial? O perito criminal é da polícia — presta concurso público e atua pelo Instituto de Criminalística. O perito judicial é nomeado pelo juiz, faz cadastramento no tribunal sem concurso, e pode atuar em causas cíveis e trabalhistas. No Paraná, já existe credenciamento para peritos criminais sem concurso também. ### Precisa de concurso público para ser perito? Não necessariamente. O perito judicial se cadastra diretamente no Tribunal de Justiça. Em São Paulo, o credenciamento sai na hora. Você precisa de diploma de curso superior ou habilitação técnica, documentação e certificações na área. ### O que é cadeia de custódia e por que importa? Cadeia de custódia é o conjunto de procedimentos que rastreia um vestígio desde a coleta até o descarte, documentando toda a história cronológica. Se for quebrada — e na área digital isso acontece com a maioria das provas coletadas pela polícia — a prova pode ser considerada inadmissível pelo juiz. ### Quanto ganha um perito forense? Pela tabela judicial, R$540 por hora. O investigador particular pode ganhar mais, dependendo do caso. Na perícia das Lojas Americanas, o valor da perícia foi de 25 milhões de reais. ### Qual a diferença entre laudo, parecer técnico e relatório técnico? O laudo é produzido pelo perito judicial (nomeado pelo juiz). O parecer técnico é produzido pelo assistente técnico (contratado pelo advogado). O relatório técnico é produzido pelo investigador. Cada um tem peso jurídico diferente. ### A inteligência investigativa pode ser usada como prova? Não diretamente. A inteligência investigativa pode guiar a investigação até um elemento que será formalmente comprovado pela perícia. O advogado decide o que vai ou não para o processo. Mas a inteligência trabalhando junto com a perícia é, nas palavras do Danilo, "excelente" e "maravilhoso" quando as partes investem nisso. ### Como preservar provas digitais corretamente? Nunca toque no dispositivo sem registro fotográfico. Use ferramentas como [Avilla Forensics](https://github.com/AvillaDaniel/AvillaForensics) ou [Cellebrite](https://cellebrite.com) para extração forense. Documente cada etapa da cadeia de custódia. Criptografe todo material armazenado. E lembre: HD no micro-ondas não funciona — dados podem ser recuperados mesmo em mídias severamente danificadas. ## Referências e Recursos - [INPAT Forense — Instituto de Perícias e Assistentes Técnicos](https://www.inpatforense.com.br/) - [Academia de Forense Digital — Cursos e Formação](https://academiadeforensedigital.com.br/) - [Avilla Forensics — Ferramenta gratuita de forense mobile](https://github.com/AvillaDaniel/AvillaForensics) - [Cellebrite — Soluções de inteligência digital](https://cellebrite.com) - [UTI dos Dados — Recuperação de dados](https://utidosdados.com.br/) - [Teoria de Locard — Wikipédia](https://pt.wikipedia.org/wiki/Teoria_de_Locard) - [Guia Prático de Hans Gross — Millennium Editora](https://www.millenniumeditora.com.br/series/guia-pratico-para-a-instrucao-dos-processos-criminais) - [Art. 158-A CPP — Cadeia de Custódia](https://www.jusbrasil.com.br/topicos/250911206/artigo-158a-do-decreto-lei-n-3689-de-03-de-outubro-de-1941) - [Cadastro de Peritos — Tribunal de Justiça](https://www.tjdft.jus.br/carta-de-servicos/servicos/cadastro-de-auxiliares/cadastro-peritos) --- ### Aulão #036 — 8 Técnicas para Investigar Sites que Ninguém Te Ensina URL: https://brunofraga.com/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint Publicado: 2024-09-17 Tags: osint, investigacao-digital, ciberseguranca, hacking YouTube: https://www.youtube.com/watch?v=n5jKU1_HIyE Aulão em vídeo onde Bruno Fraga demonstra ao vivo 8 técnicas avançadas de OSINT para descobrir o dono de qualquer site — de busca reversa de favicon a canary tokens e reverse IP lookup. Com casos reais de investigação de quadrilhas digitais. ## O que você vai aprender neste aulão Como descobrir o dono de um site vai muito além de digitar um domínio no Registro.br e torcer para aparecer um nome. Neste aulão eu demonstro ao vivo 8 técnicas que trago direto da minha experiência investigando quadrilhas de phishing, golpistas digitais e redes criminosas online. Depois de assistir (ou ler este artigo completo), você vai conseguir rastrear o responsável por qualquer domínio usando favicon hash, canary tokens, reverse IP lookup, histórico Whois vazado e ferramentas de OSINT automatizado. Tudo na prática, com casos reais que eu mesmo resolvi. E não estou falando de teoria — cada técnica foi demonstrada ao vivo no [Aulão #036](https://www.youtube.com/watch?v=n5jKU1_HIyE), com ferramentas gratuitas que você pode usar agora. Se você é policial, advogado, detetive, ou simplesmente foi vítima de um golpe e precisa de dados para uma notícia-crime, este conteúdo vai te armar com o que precisa. No [Aulão #007 — Como Descobrir o Dono de um Site](/aulao-semanal/como-descobrir-o-dono-de-um-site) eu cobri o básico do Whois. Aqui eu vou muito além. ## Como um domínio já revela pistas sobre o dono do site Uma URL completa carrega mais informação do que a maioria das pessoas percebe. Não é só um endereço — é um mapa de conexões esperando para ser explorado. Quando você olha para uma URL como `exemplo.com.br/empresa/sobre-nos`, tem pelo menos quatro vetores de investigação ali. O domínio em si possui um registrante no ICANN com dados de contato. A extensão (.com.br, .com, .net) pode indicar jurisdição e tipo de organização. O padrão de nomenclatura nas URLs (`/empresa/sobre-nos`) pode ser replicado em outros sites da mesma pessoa. E o certificado SSL do HTTPS pode revelar outros domínios cobertos pelo mesmo certificado. Mas tem algo que quase ninguém fala. Aquele ícone pequeno que aparece na aba do browser — o favicon — pode ser transformado numa arma de investigação poderosa. E é exatamente por aí que eu começo. ## Busca reversa de favicon: encontrando sites pelo ícone A busca reversa de favicon funciona assim: você baixa o ícone de um site, gera uma hash única dele e busca essa hash em toda a internet para encontrar outros servidores usando o mesmo arquivo. É uma das técnicas mais subestimadas de OSINT. Por que funciona tão bem? Porque criminosos são preguiçosos. Quando criam sites de phishing, copiam e colam o código-fonte do site original — e junto vai o favicon. Eu já mapeei quadrilhas inteiras de phishing que usavam o mesmo favicon do PagSeguro em dezenas de servidores diferentes. Peguei a hash, joguei no [Shodan](https://www.shodan.io). E apareceu tudo. ### Como gerar a hash de um favicon O processo é direto: 1. Abra o site-alvo e localize o favicon no código-fonte (botão direito > ver código-fonte, busque por "favicon") 2. Copie a URL do arquivo favicon 3. Use uma ferramenta como [favihash.py](https://github.com/m4ll0k/favihash.py) para baixar o arquivo e gerar a hash MurmurHash3 4. No [Shodan](https://www.shodan.io), busque com o filtro `http.favicon.hash:HASH_AQUI` No aulão eu demonstrei ao vivo com o PicPay — 2 servidores encontrados com o mesmo favicon (o blog e a página inicial). Com o PagSeguro, apareceram servidores como "Duelo dos Investimentos" com IPs completamente diferentes mas usando o mesmo ícone. ### Instalação da ferramenta No PDF que eu disponibilizo para os alunos, o passo a passo está detalhado. Mas é simples: `git clone` do repositório, `pip3 install` das dependências, e rodar o script Python passando a URL do favicon. A ferramenta já monta a pesquisa no Shodan para você. Uma limitação: sites grandes como Tesla podem bloquear a requisição de download do favicon. Nesses casos, baixe o arquivo manualmente e passe o caminho local para a ferramenta. Quem quiser se aprofundar no Shodan, eu fiz um [Aulão #020 — Shodan na Prática](/aulao-semanal/shodan-como-usar-identificar-vulnerabilidades-internet) dedicado a essa ferramenta. ## Canary Tokens: rastreando quem abre seus documentos Canary tokens são códigos inseridos dentro de arquivos comuns — PDF, DOCX, planilha Excel, imagem — que disparam uma notificação quando alguém abre o documento. Você recebe o IP de quem abriu, a localização e o horário. Sem vírus, sem malware. E o melhor: é uma função nativa dos programas. Como isso funciona? Quando você cria uma planilha XLS, pode instruir o Excel a puxar uma imagem ou tipografia de um servidor externo. Quando alguém abre a planilha, o programa faz uma requisição HTTP para carregar esse recurso. E se você controlar o servidor de destino, captura o log completo da requisição. É basicamente como funciona o meu [HI SPY](https://brunofraga.com) — monitoramento de requisições. ### Na prática: criando um canary token 1. Acesse [canarytokens.org](https://canarytokens.org) (gratuito) 2. Selecione o tipo de token: PDF, documento Word, planilha Excel, QR code, DNS 3. Insira seu e-mail para receber as notificações 4. Adicione um lembrete (ex: "PDF enviado para site suspeito") 5. Baixe o arquivo gerado e envie para o alvo No aulão, eu criei um PDF ao vivo e o pessoal da live abriu. A ideia original veio de uma necessidade empresarial: como saber se documentos confidenciais vazaram da rede interna? A empresa por trás dos Canary Tokens vende a solução corporativa por $7.000 por ano para monitorar 5 canais. Mas a versão gratuita no site funciona perfeitamente para investigações pontuais. ### Por que isso é útil na investigação de sites Imagine que você encontrou um site suspeito com um formulário de upload. Você pode enviar um documento com canary token pelo formulário. Se alguém do outro lado abrir o arquivo, você captura o IP e a localização de quem está operando aquele site. É uma forma não intrusiva de coletar inteligência sobre o operador. ## Google Analytics e Facebook Pixel: rastreando donos pelo código-fonte Todo site com foco em marketing possui tags de rastreamento: Google Analytics, Google Tag Manager (GTM), Facebook Pixel, TikTok Ads, Taboola. Esses identificadores funcionam como impressões digitais — e criminosos frequentemente reutilizam os mesmos códigos entre sites diferentes. A lógica é simples. Criar uma conta nova no Google Analytics dá trabalho. Configurar conversões, públicos, integrações. Então o golpista cria um site fake, depois cria outro, e reaproveita o mesmo GTM para não precisar montar tudo de novo. E isso entrega ele completamente. ### Como fazer a busca reversa de tags Primeiro, extraia o identificador. Abra o código-fonte do site (Ctrl+U) e busque por: - **GTM-XXXXXXX** (Google Tag Manager) - **UA-XXXXXXX** ou **G-XXXXXXX** (Google Analytics) - **fbq** ou número do pixel (Facebook Pixel) Para Facebook Pixel, a extensão [Facebook Pixel Helper](https://chrome.google.com/webstore/detail/facebook-pixel-helper/fdgfkebogiimcoedlicjlajpkdmockpc) resolve o problema — ela identifica automaticamente todos os pixels rodando em qualquer site que você visitar. Depois, use [NerdyData](https://www.nerdydata.com) para busca reversa. Cole o identificador e ele retorna todos os sites que usam o mesmo código. No aulão, eu demonstrei com o site Arma Secreta: o mesmo GTM apareceu em armasecreta.com e na Imersão Sherlock. Dois domínios diferentes, mesmo dono confirmado. E tudo isso a partir de um único código no HTML. Quem usa técnicas de [Google Hacking](/aulao-semanal/google-hacking-buscas-perigosas-dorks) já sabe o poder de buscar padrões no código-fonte. Aqui é o mesmo princípio aplicado a identificadores de marketing. ## Como encontrar quem divulga um link na internet Essa técnica usa um operador de busca do Google pouco conhecido: `link:dominio.com`. Ela retorna todas as páginas indexadas que contêm um link para aquele domínio. É absurdamente simples e absurdamente efetiva. No aulão, eu pesquisei `link:armasecreta.com` e encontrei um cara chamado Francisco compartilhando o curso sem autorização. Você pode refinar excluindo resultados de sites governamentais com `-site:gov.br`, por exemplo. ### Por que isso importa para investigação Quando você está investigando um site de golpe, saber quem está divulgando aquele link ajuda a mapear toda a rede de distribuição. Quem foi a primeira pessoa a compartilhar? Quem está promovendo? Existe uma rede organizada de divulgação? Com o operador `link:`, você responde essas perguntas em segundos. Eu uso muito isso combinado com a busca por datas do Google. Ordenando por data, dá para ver quem publicou primeiro e traçar a cronologia da operação. ## Histórico e vazamento Whois: encontrando donos anteriores de domínios O Whois atual de um domínio provavelmente mostra "privacidade ativada". Todo mundo que registra um domínio hoje paga os R$5 a mais pela privacidade. Mas aqui está o que a maioria dos investigadores não sabe: todos os Whois já vazaram. Existem bases de dados com 535 milhões de registros Whois vazados, vendidas por $10.000. Empresas que vendem privacidade de Whois foram hackeadas, e os cadastros completos dos clientes — incluindo quem pagou privacidade — foram expostos. Além disso, existe o histórico: se alguém comprou um domínio sem privacidade e depois ativou, o registro anterior continua disponível. ### Whoxy: a ferramenta que desbloqueou a investigação O [Whoxy](https://www.whoxy.com) é gratuito até certo número de pesquisas e oferece: - **Whois atual**: o que o ICANN mostra hoje - **Whois histórico**: todos os donos anteriores do domínio - **Busca reversa por e-mail**: todos os domínios registrados com determinado e-mail - **Busca reversa por nome**: domínios registrados por determinada pessoa - **Busca reversa por telefone**: domínios vinculados a um número No aulão, pesquisei o histórico de brunofraga.com e apareceu um tal de Gilson Alves Barbosa como dono anterior. Depois pesquisei por e-mail e encontrei 15 domínios registrados: Técnicas de Invasão, CVT Digital, The Maker School, Beach Lives, Sola Park, Aprenda Linux, Pentest Profissional — toda a minha trajetória digital mapeada a partir de um único e-mail. A diferença entre o Whois no [Registro.br](https://registro.br) e o Whoxy é brutal. O Registro.br te mostra o presente. O Whoxy te mostra o passado inteiro. Se você investiga [lojas virtuais suspeitas](/aulao-semanal/como-investigar-lojas-virtuais-identificar-golpes-online), o histórico Whois é uma das primeiras coisas que você deveria consultar. E para quem trabalha com [investigação de e-mails fraudulentos](/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas), a busca reversa por e-mail no Whoxy é ouro. ## Reverse IP lookup: encontrando todos os sites no mesmo servidor Um servidor pode hospedar dezenas ou centenas de sites diferentes no mesmo IP. O reverse IP lookup inverte a lógica do DNS: ao invés de resolver domínio → IP, ele resolve IP → todos os domínios. Essa técnica é devastadora para investigações. No aulão, eu demonstrei com o Norte Leilões e o resultado foi revelador: 23 domínios no mesmo servidor. Eduardo Leilões, Elo Leilões, KingLeilões, Leilões Tocantins, Leilões Brasil, Maestro Leilões — todos com "Desenvolvido por RioSoft" no rodapé. Acabamos de descobrir uma agência que revende sistema de leilão. E o ViewDNS revelou toda a carteira de clientes dela num único clique. ### Como executar na prática 1. Acesse [ViewDNS.info](https://viewdns.info) e clique em "Reverse IP Lookup" 2. Insira o domínio-alvo 3. A ferramenta resolve o IP e lista todos os domínios apontando para ele ### O caso Zeus Espião Esse é um dos meus casos favoritos. Investigando um aplicativo de golpe chamado Zeus Espião (prometia "invadir Android"), fiz o reverse IP lookup no servidor onde o app estava hospedado. No mesmo IP, encontrei o site de uma agência web. Na agência, tinha o perfil de um cara que trabalhava com tecnologia. Era o criador do aplicativo. Depois que a investigação avançou, ele tirou tudo do ar — mas os dados já estavam coletados. Para quem estuda enumeração DNS e já viu o [Aulão #028 sobre subdomínios escondidos](/aulao-semanal/como-encontrar-subdominios-escondidos-ferramentas-tecnicas), o reverse IP é o complemento perfeito. Subdomínios mostram a infraestrutura horizontal de um domínio. Reverse IP mostra quem mais divide o servidor. ## SynapsInt: investigação OSINT automatizada e gratuita O [SynapsInt](https://synapsint.com) é uma ferramenta que roda todas as técnicas anteriores (e mais) de forma automatizada. Você insere um domínio e ele varre a internet. O que ele entrega numa única pesquisa: - Verificação no [VirusTotal](https://www.virustotal.com): histórico de denúncias de vírus - Consulta no [Wayback Machine](https://web.archive.org): como o site era no passado - Arquivos robots.txt, sitemap, ads.txt - Portas abertas e serviços do servidor - Blacklists e denúncias - Subdomínios encontrados automaticamente - Reverse IP: outros domínios no mesmo servidor - Localização do servidor - Vazamento Whois - DNS records completos No aulão, pesquisei brunofraga.com e ele encontrou subdomínios que eu nem lembrava: Hub, ESLP, Arte Secreta, API, Pixel, ACX. Tudo automatizado, tudo gratuito. E para investigadores que precisam de velocidade, é a melhor relação custo-benefício que existe. ## Hunter.is: link analysis que conecta domínios a pessoas reais O [Hunter.is](https://hunter.is) leva a investigação para outro patamar. Enquanto o SynapsInt foca no domínio, o Hunter.is faz link analysis — expande conexões entre domínios, e-mails, telefones, redes sociais e até processos judiciais. No aulão, eu criei uma investigação partindo de tecnicasdeinvasao.com. Do domínio, a ferramenta chegou a um telefone. Do telefone, expandiu para mais contas e domínios. Chegou no meu Instagram, no meu endereço, na minha conta Google, nos endereços da minha mãe e em processos judiciais. E o Hunter.is fez tudo isso a partir de um único domínio. Mas o caso mais impressionante foi com o Norte Leilões. Partindo do domínio, o Hunter.is chegou ao Gmail do registrante. Do Gmail, encontrou a foto de perfil do Google com a última edição feita no perfil (6 de abril, com horário). Encontrou uma conta Spotify e até o aplicativo de corrida da pessoa. E Spotify, app de corrida — tudo isso partindo de um domínio de leilões. Isso mostra o poder (e o risco) da exposição digital. Se você quer entender como proteger suas informações, o caminho é conhecer exatamente como elas podem ser descobertas. E para quem investiga [pessoas na internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), o Hunter.is é uma adição indispensável ao arsenal. ## Como comprar um domínio com total anonimato Essa é uma técnica bônus que compartilhei no aulão. Se todas as técnicas anteriores funcionam para encontrar donos de sites, como fazer para registrar um domínio sem ser encontrado? Existem dois níveis de anonimato: ### Nível máximo: Njalla O [Njalla](https://njal.la) foi criado por Peter Sunde, co-fundador do The Pirate Bay. O conceito: eles registram o domínio no nome deles, em uma empresa sediada na Islândia (jurisdição com leis rígidas de proteção de dados). Você paga com Monero pelo Tor Browser, sem fornecer e-mail nem identificação. Mas cuidado: como o domínio é registrado no nome deles, eles podem derrubá-lo se for usado para tráfico humano, pornografia infantil ou drogas. Fora esses casos extremos, eles lutam pela sua privacidade. Eu já vi disputas legais deles que foram intensas. ### Nível intermediário: 1984 Hosting e Orange Website O [1984 Hosting](https://1984.hosting) é uma empresa islandesa fundada em 2006, focada em liberdade de expressão. Aceita Monero, não exige identificação pessoal, e você é o dono real do domínio (diferente do Njalla). O Whois é protegido por GDPR da Islândia. O [Orange Website](https://www.orangewebsite.com) segue a mesma linha: hospedagem e domínios com pagamento em cripto, jurisdição islandesa. E para quem está do outro lado — tentando capturar domínios que expiraram — existe o domain backorder. Serviços como GoDaddy, Dynadot e Name.com monitoram domínios específicos e registram automaticamente no segundo em que ficam disponíveis. Custa entre $40 e $200. Eu já peguei mais de 10 domínios assim. Mas não recomendo GoDaddy para compra normal de domínios — só para backorders. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Shodan | Busca reversa de favicon hash para encontrar servidores | [Shodan](https://www.shodan.io) | | favihash.py | Gerar hash MurmurHash3 de favicons | [favihash.py](https://github.com/m4ll0k/favihash.py) | | Canary Tokens | Criar documentos rastreáveis (PDF, DOCX, XLS) | [Canarytokens](https://canarytokens.org) | | Facebook Pixel Helper | Identificar pixels do Facebook em sites | [Facebook Pixel Helper](https://chrome.google.com/webstore/detail/facebook-pixel-helper/fdgfkebogiimcoedlicjlajpkdmockpc) | | NerdyData | Busca reversa de Google Analytics, GTM, Pixel | [NerdyData](https://www.nerdydata.com) | | Whoxy | Histórico Whois e busca reversa por e-mail/nome | [Whoxy](https://www.whoxy.com) | | ViewDNS.info | Reverse IP lookup para encontrar domínios no mesmo servidor | [ViewDNS.info](https://viewdns.info) | | SynapsInt | OSINT automatizado para domínios | [SynapsInt](https://synapsint.com) | | Hunter.is | Link analysis expandindo conexões entre domínios e pessoas | [Hunter.is](https://hunter.is) | | Njalla | Registro anônimo de domínios com Monero | [Njalla](https://njal.la) | | 1984 Hosting | Hosting e domínios com privacidade na Islândia | [1984 Hosting](https://1984.hosting) | | Registro.br | Consulta Whois de domínios .com.br | [Registro.br](https://registro.br) | ## Perguntas Frequentes ### Como descobrir o dono de um site que tem privacidade Whois? Use o [Whoxy](https://www.whoxy.com) para consultar o histórico Whois — se o domínio já foi registrado sem privacidade, os dados antigos ainda estão disponíveis. Bases vazadas de empresas de privacidade Whois (com 535 milhões de registros) também circulam e podem ser consultadas por investigadores. Outra alternativa: combine reverse IP lookup com análise de Google Analytics e Facebook Pixel para encontrar outros sites do mesmo dono que podem não ter privacidade ativada. ### O que é busca reversa de favicon e como funciona? É a técnica de pegar o ícone (favicon) de um site, gerar uma hash MurmurHash3 dele e buscar essa hash no [Shodan](https://www.shodan.io) usando o filtro `http.favicon.hash:`. O Shodan indexa favicons de servidores em toda a internet, então você encontra todos os outros servidores que usam aquele mesmo ícone. Funciona especialmente bem contra sites de phishing que copiam o código-fonte (e o favicon) de sites legítimos. ### Canary tokens são legais? Posso usar em investigações? Canary tokens não contêm vírus nem malware — eles exploram funcionalidades nativas dos programas (como o carregamento de recursos externos em PDFs e planilhas). São amplamente usados por empresas para detectar vazamento de documentos confidenciais. Para investigações, consulte um advogado sobre a legislação local, mas a técnica em si é uma coleta passiva de metadados de conexão, similar a um servidor web registrando IPs de visitantes. ### Como encontrar outros sites do mesmo dono usando Google Analytics? Abra o código-fonte do site (Ctrl+U), busque por "GTM-", "UA-" ou "G-" para encontrar o identificador do Google Analytics ou Tag Manager. Depois use [NerdyData](https://www.nerdydata.com) para fazer uma busca reversa desse código. Todos os sites que compartilham o mesmo identificador aparecerão nos resultados. A mesma técnica funciona com Facebook Pixel — use a extensão [Facebook Pixel Helper](https://chrome.google.com/webstore/detail/facebook-pixel-helper/fdgfkebogiimcoedlicjlajpkdmockpc) para extrair o ID. ### O que é reverse IP lookup e por que é útil? É a técnica de pegar o IP de um servidor e descobrir todos os domínios que apontam para ele. Um servidor compartilhado pode hospedar dezenas de sites diferentes. Usando [ViewDNS.info](https://viewdns.info), você insere o domínio-alvo e a ferramenta mostra todos os outros domínios no mesmo IP. No aulão, encontrei 23 domínios de leilão no mesmo servidor, revelando uma empresa fornecedora de sistemas (RioSoft) e toda sua carteira de clientes. ### Como o SynapsInt se compara a fazer investigação manual? O [SynapsInt](https://synapsint.com) automatiza o que levaria horas fazendo manualmente: consulta VirusTotal, Wayback Machine, DNS records, subdomínios, reverse IP, portas abertas, blacklists e Whois — tudo numa única pesquisa gratuita. A desvantagem é que ele não permite personalização profunda como ferramentas individuais. Eu recomendo usar SynapsInt como ponto de partida para ter uma visão geral, e depois aprofundar com ferramentas específicas onde encontrar algo interessante. ### É possível comprar um domínio sem ser rastreado? Sim, usando o [Njalla](https://njal.la) (que registra o domínio no nome deles em jurisdição islandesa, aceita Monero, não exige identificação) ou o [1984 Hosting](https://1984.hosting) (onde você é dono do domínio, com Whois protegido por GDPR da Islândia, aceita Monero). Ambos são acessíveis pelo Tor Browser para máximo anonimato. A diferença: no Njalla você não é o registrante legal (eles são), no 1984 você é. ### Qual a diferença entre o Aulão #007 e o Aulão #036 sobre investigação de sites? O [Aulão #007](/aulao-semanal/como-descobrir-o-dono-de-um-site) cobriu o básico: consulta Whois, análise de código-fonte e ferramentas introdutórias. O Aulão #036 expande com 8 técnicas avançadas que eu uso em investigações reais: favicon hash com Shodan, canary tokens, busca reversa de Google Analytics e Facebook Pixel, operador link: do Google, histórico Whois com vazamentos, reverse IP lookup, SynapsInt e Hunter.is. São técnicas complementares — recomendo assistir os dois. > **Veja também:** [5 Extensões de Browser para Investigação Digital — Aulão #042](/aulao-semanal/extensoes-browser-investigacao-digital-osint) > **Veja também:** [Inteligência de Mercado com OSINT: Vantagem Desleal Ética para Empresários — Aulão #046](/aulao-semanal/inteligencia-de-mercado-osint-empresarial-google-dorks) > **Veja também:** [Como Encontrar Bens Ocultos de Devedores — Aulão #047](/aulao-semanal/como-encontrar-bens-ocultos-devedores-investigacao-patrimonial) > **Veja também:** [Como Remover Conteúdo da Internet: Blindagem Digital em 2 Níveis — Aulão #048](/aulao-semanal/blindagem-digital-remover-conteudo-internet-niveis) > **Veja também:** [Desafio de Investigação Digital ao Vivo: Como Rastreamos um Golpista do Pix — Aulão #049](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) > **Veja também:** [Google PSE: Como Criar Seu Próprio Google para OSINT — Aulão #055](/aulao-semanal/google-programmable-search-engine-pse-osint-investigacao) ## Referências e Recursos - [Shodan — Motor de busca para dispositivos e servidores](https://www.shodan.io) - [Canarytokens — Criação gratuita de tokens rastreáveis](https://canarytokens.org) - [Whoxy — Histórico Whois e busca reversa](https://www.whoxy.com) - [ViewDNS.info — Reverse IP lookup e ferramentas DNS](https://viewdns.info) - [SynapsInt — OSINT automatizado para domínios](https://synapsint.com) - [NerdyData — Busca reversa de código-fonte](https://www.nerdydata.com) - [Hunter.is — Link analysis e investigação em cadeia](https://hunter.is) - [favihash.py — Ferramenta Python para hash de favicons](https://github.com/m4ll0k/favihash.py) - [Njalla — Registro anônimo de domínios](https://njal.la) - [1984 Hosting — Hosting com privacidade na Islândia](https://1984.hosting) - [Orange Website — Hosting com cripto na Islândia](https://www.orangewebsite.com) - [Registro.br — Consulta Whois de domínios .com.br](https://registro.br) - [VirusTotal — Verificação de domínios e arquivos](https://www.virustotal.com) - [Wayback Machine — Histórico de sites](https://web.archive.org) --- ### Aulão #035 — 14 Técnicas para Descobrir o Dono de um WhatsApp na Prática URL: https://brunofraga.com/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao Publicado: 2024-09-16 Tags: osint, investigacao-digital, ciberseguranca, privacidade, tutoriais YouTube: https://www.youtube.com/watch?v=UdxfnRqMFzY Aprenda 14 técnicas práticas demonstradas ao vivo para descobrir quem está por trás de qualquer número de WhatsApp — do PIX às ferramentas de OSINT profissionais. Aulão em vídeo com Bruno Fraga. ## O que você vai aprender neste aulão Quer descobrir dono do WhatsApp de forma rápida e legal? É mais fácil do que parece — possível sem quebrar sigilo, sem contratar ninguém e sem depender de ferramentas ilegais. Neste aulão eu demonstrei ao vivo 14 técnicas práticas — desde a análise do perfil até ferramentas de OSINT profissionais — para identificar quem está por trás de qualquer número de WhatsApp. E não é teoria — cada técnica foi testada em tempo real durante a aula, com números reais de espectadores que participaram ao vivo. Eu mostrei o resultado na tela, com nomes, contas de redes sociais, e-mails parciais e até dados de contas bancárias aparecendo direto na simulação de PIX. Depois de ler este artigo, você vai conseguir: verificar a identidade de qualquer pessoa que te chamar no WhatsApp, identificar golpistas antes de cair em fraudes, e montar um dossiê completo de investigação usando apenas fontes públicas. Se você trabalha com investigação digital, segurança da informação ou simplesmente quer se proteger de golpes, essas 14 técnicas vão mudar a forma como você lida com números desconhecidos. Mas antes de começar: eu sempre falo que você pode confiar em Deus e nos seus familiares. De todo o resto, investigue. E as técnicas que eu vou compartilhar aqui são exatamente para isso. ## Por que você não deve confiar cegamente em um número de WhatsApp O WhatsApp é um dos principais canais de golpes digitais no Brasil. Qualquer pessoa pode criar uma conta, colocar a foto de outra pessoa e se passar por ela. Eu sei disso porque aconteceu comigo. No evento que eu fiz recentemente, mais de 300 pessoas pagaram R$40 para um golpista que usava minha foto no WhatsApp. A mensagem era simples: "Oi, aqui é o Bruno Fraga, estou abrindo as vagas do meu curso novo, R$40, está aqui o Pix." Mais de 300 transferências. Se isso acontece com pessoas da área de tecnologia e segurança, imagina com quem não tem nenhum conhecimento técnico. Por isso eu recomendo algo que funciona muito bem: crie uma palavra-chave de segurança com seus familiares. Uma pergunta que só a pessoa real saberia responder. "Qual é o problema do meu carro?" E a resposta é a palavra-chave combinada. Funciona para WhatsApp, para ligações, para qualquer abordagem suspeita. Se você ainda não tem uma palavra-chave com sua família, crie hoje. E agora, vamos às 14 técnicas para investigar qualquer número de WhatsApp. ## Como analisar o perfil do WhatsApp para identificar o dono A primeira técnica é a mais simples, mas a maioria das pessoas subestima. Quando você adiciona um número na agenda e abre o perfil no WhatsApp, tem acesso a nome, foto, bio, status e stories anteriores. Cada uma dessas informações é um vetor de investigação. ### Busca reversa da foto de perfil Salve a foto do perfil e faça upload no [FaceCheck ID](https://facecheck.id). Essa ferramenta faz busca reversa focada em reconhecimento facial — ela varre a internet procurando rostos similares. Eu fiz isso ao vivo no aulão: peguei a foto de um perfil de WhatsApp, subi no FaceCheck e encontrei perfis da pessoa no GitHub, YouTube, Vimeo e Teachable. Também existe o [PimEyes](https://pimeyes.com), que em cenários específicos funciona até melhor que o FaceCheck. E o [Google Lens](https://lens.google.com) como opção gratuita para busca reversa de imagem. O importante é nunca aceitar uma foto de perfil como prova de identidade sem verificar. ### Pesquisa da bio entre aspas duplas Pegue o texto da bio ou do status do WhatsApp e cole no Google entre aspas duplas. Essa busca exata pode revelar outros perfis que usam o mesmo texto. Citações, frases motivacionais, emojis, links — o detalhe de uma bio pode traçar um perfil psicológico do indivíduo e identificar conexões que se repetem em outras plataformas. Se o contato for uma conta Business, você ainda obtém endereço, e-mail, site e informações comerciais diretamente no perfil. Tudo isso são dados públicos que o próprio WhatsApp disponibiliza. ## Como usar o PIX para descobrir quem está por trás do número A segunda técnica é o que eu chamo de "checkmate sinistro". Você pega o número do WhatsApp, abre o app do banco — eu demonstrei usando o Nubank — e simula uma transferência PIX usando aquele número como chave. Na tela de confirmação, **antes de confirmar** a transferência, o sistema revela: nome completo do titular, CPF parcial, instituição bancária, agência e conta. Você não precisa enviar nenhum centavo. Basta simular e ler os dados na tela. Imagina o cenário: alguém te chama no WhatsApp dizendo "Oi, eu sou a Rosângela". Você vai no PIX, coloca o número, e aparece "Matias Rodrigo" como titular. Pronto — você já sabe que aquela pessoa não é quem diz ser. Com duas técnicas — perfil do WhatsApp e simulação de PIX — você já tem informações suficientes para desmascarar a maioria dos golpes. E PIX nem é a mais avançada da lista — estamos só usando mecanismos que todo mundo pode utilizar, sem nada técnico, sem quebra de sigilo, sem nada ilegal. ## Google Dorks: buscando o número em todas as formatações possíveis Pesquisar um número no Google parece óbvio. Mas se você simplesmente colar o número na barra de pesquisa, o resultado vai ser fraco. O segredo está em buscar todas as variações de formatação do número ao mesmo tempo. Eu criei uma Dork de pesquisa avançada que faz exatamente isso. Você monta uma busca com o número completo entre aspas, o número com DDD entre parênteses, com espaços, sem espaços, com hífen, com o código do país. Todas as variações numa única consulta usando operador OR. O resultado? Perfis no Facebook que citam esse número, postagens que mencionam, vídeos no YouTube, imagens, registros em sites de reclamação. Se for o número de um golpista, a quantidade de resultados é absurda — reclamações no Reclame Aqui, denúncias em fóruns, registros em sites de telelista. E não pare no Google. E Bing, DuckDuckGo e Yandex podem retornar resultados diferentes. Eu já encontrei informação só no Bing que não aparecia no Google. Cada buscador indexa de forma diferente, então vale combinar. Se você quer se aprofundar em técnicas de busca avançada, eu cobri isso em detalhes no [Aulão #8 — Google Hacking e Buscas Perigosas](/aulao-semanal/google-hacking-buscas-perigosas-dorks). ## Aplicativos de identificação de chamadas: TrueCaller e alternativas O [TrueCaller](https://www.truecaller.com) é um aplicativo de identificação de chamadas que funciona com uma base de dados colaborativa. Quando alguém reporta um número como spam ou phishing, essa informação fica disponível para toda a comunidade. Eu uso o TrueCaller na Coreia do Sul e na Irlanda, onde funciona muito bem. Quando alguém liga, já aparece na tela se o número tem histórico de spam, phishing ou denúncias da comunidade. Inclusive traz os dados públicos do possível dono do número. E TrueCaller não é o único — existe também o Whoscall e outros apps similares. No Brasil, eu não posso garantir que funciona tão bem — nunca testei pessoalmente com números brasileiros. Mas espectadores do aulão confirmaram no chat que funciona, especialmente quando combinado com o Whoscall. Vale testar ambos e ver qual retorna mais dados para o número que você está investigando. O ponto importante: esses apps não são a solução definitiva. São uma camada a mais de verificação que pode confirmar ou levantar suspeitas sobre um número. ## Canais e bots no Telegram: a área cinzenta da investigação Existem canais no Telegram no Brasil com milhões de usuários que oferecem consulta de CPF, telefone, score, histórico de pagamentos. É uma área cinzenta, e eu preciso ser direto sobre minha posição. Eu não recomendo usar painéis do Telegram como fonte principal de investigação. Sem análise apropriada, não é possível saber se o dinheiro que você está pagando é confiável, se o dado é verdadeiro, de onde vem. Prefiro evitar essa solução, ainda mais se você não possui protocolos de segurança operacional. Mas eu também não posso ignorar que esses canais existem. Que investigador é esse que não se dá o trabalho de buscar, de investigar? Não faz sentido o investigador que fala: "Não, eu não investigo na internet, eu não investigo aqui." Você contrataria um investigador assim? O ponto de equilíbrio está em entender a diferença entre inteligência e prova judicial. A investigação gera inteligência — inteligência policial, inteligência para análise. Isso é diferente de coletar evidência para processo judicial. São duas coisas completamente diferentes, e confundir uma com a outra é um erro que dezenas de profissionais cometem. Inclusive eu cobri técnicas de engenharia social aplicadas a investigações no [Aulão #21 — Engenharia Social Aplicada em Investigações](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital). ## Sites de telelista: diretórios telefônicos online como fonte de dados Sites como [Telelista.net](https://telelista.net) são diretórios telefônicos que permitem buscar empresas e telefones. O problema é que a busca padrão funciona por nome de empresa, não por número de telefone. A solução? Combine o Google com o operador `site:`. Pesquise `site:telelista.net "número-que-você-quer"` e o Google vai filtrar apenas resultados dentro do Telelista que contenham aquele número. Você pode fazer o mesmo com 4 ou 5 sites de telelista diferentes, ampliando a cobertura da busca. Já tive resultado positivo com essa técnica. Não é a mais poderosa da lista, mas é uma camada extra que pode retornar informação que nenhuma outra fonte tem — especialmente para números fixos e empresariais. ## Verificação cruzada: encontrando perfis do número em outras redes Se você salvar um número na sua agenda, pode verificar se aquele telefone possui conta no [Telegram](https://telegram.org), no [Signal](https://signal.org), no Messenger e até no Facebook. Basta adicionar o contato e abrir cada aplicativo — eles automaticamente mostram se aquele número tem conta registrada. E o melhor: nas outras plataformas, a pessoa pode ter informações diferentes. Um nome diferente, uma foto diferente, uma bio com mais detalhes. Aí você volta para o começo do processo — faz busca reversa da nova foto no FaceCheck, pesquisa o novo nome no Google. Cada plataforma é uma camada nova de dados. Tem outro recurso que aparece às vezes no Facebook e Instagram: quando você autoriza o app a acessar sua agenda, ele sugere seguir contatos. Se o número que você adicionou tem conta naquela rede, o app pode recomendar o perfil para você seguir. Isso já aconteceu várias vezes comigo — o Facebook linkando o número da agenda ao perfil da pessoa na plataforma. Para quem quer explorar mais ferramentas de investigação de pessoas online, eu demonstrei 4 ferramentas detalhadas no [Aulão #31 — 4 Ferramentas para Investigar Pessoas Online](/aulao-semanal/ferramentas-para-investigar-pessoas-online-fontes-abertas). ## Esqueci minha senha: a técnica de recuperação que extrai dados ocultos Essa técnica funciona em qualquer rede social: Facebook, Instagram, TikTok, o que você quiser. Vá até a tela de login, clique em "Esqueci minha senha" e insira o número de telefone que está investigando. Se o número tiver conta na plataforma, o sistema vai confirmar que enviou um código de recuperação — e no processo, revela partes do e-mail associado, partes do nome e às vezes até outro número de telefone vinculado. Eu já usei essa técnica em investigações policiais reais. Num caso específico, o processo de "esqueci minha senha" revelou um número de telefone que não estava no escopo original da investigação. A gente fala: "Opa, essa pessoa tem um outro telefone, tem um outro número aqui na parada envolvido." Isso é extremamente valioso. Outra variação: em vez de recuperar senha, tente criar uma conta com aquele número. Se o sistema disser que já existe uma conta, você confirma que o número está registrado naquela plataforma. É um falso positivo controlado que gera inteligência real. Essas técnicas podem ser usadas em todas as plataformas — Facebook, Instagram, TikTok, Google, Microsoft. Cada uma revela pedaços diferentes do quebra-cabeça. Se o tema de investigação de golpes te interessa, confira o [Aulão #29 — Contra-Atacando Golpistas na Internet](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet), onde eu demonstro investigação ativa contra fraudadores. ## Ferramentas de OSINT automático para investigar números de telefone Aqui a investigação sobe de nível. Ferramentas como [OSINT Industries](https://osint.industries), [Epieos](https://epieos.com), Hunter e [DonodoZap](https://donodozap.com) automatizam tudo que eu ensinei até agora — e fazem isso em segundos. ### OSINT Industries na prática Eu demonstrei o OSINT Industries ao vivo usando números que os espectadores mandaram no chat. O resultado foi impressionante: Para o número do espectador Sálvio Silva, a ferramenta retornou: WhatsApp registrado com bio, conta do Telegram com o nome "Gabriel PSW" e ID completo, última visualização da conta, cadastro no Instagram, Facebook com e-mail parcial (g**1@icloud.com), conta Microsoft com hint de outro telefone. Tudo isso a partir de um único número de telefone. Para o número do Rafa, apareceu: WhatsApp com bio, Telegram com nome "Cíntia Braga", conta Apple com hint de Gmail. Menos dados, mas ainda assim suficiente para iniciar uma investigação completa. ### Como essas ferramentas funcionam Não tem magia nenhuma. E OSINT Industries apenas automatiza consultas que você pode fazer manualmente. Ele vai no Telegram e adiciona o número para ver o perfil. Vai no WhatsApp e pega a foto. Vai no Facebook e aperta "esqueci minha senha" para extrair o hint do e-mail. Vai na Microsoft, na Apple, no Instagram — tudo automatizado. A diferença é que fazer isso manualmente leva horas. A ferramenta faz em 30 segundos. Mas são serviços pagos — versões gratuitas têm limitações sérias. O Epieos, por exemplo, tem um plano gratuito limitado e o Osinter custa €29.99/mês. ### DonodoZap e expansão da investigação O [DonodoZap](https://donodozap.com) é um serviço gratuito que eu criei compilando várias técnicas. Quando pesquisei o número do Gabriel, o DonodoZap retornou o nome completo, que levou ao Serasa com dados adicionais, CNPJ aberto, e quando conectei com o Hunter, apareceu endereço no Google Maps, processos judiciais, auxílio moradia, Instagram — uma rede completa de conexões a partir de um único número de WhatsApp. Para técnicas mais avançadas de investigação de pessoas, eu demonstrei o fluxo completo de fontes abertas no [Aulão #5 — 4 Técnicas para Investigar Qualquer Pessoa na Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). ## Como descobrir a operadora e explorar mecanismos da empresa Saber a operadora do número é mais útil do que parece. Você pode consultar gratuitamente no site da BR Telecom: insere o número e descobre se é Vivo, Claro, TIM, Oi. E depois de saber a operadora, você pode explorar os mecanismos do próprio site dela. No site da Claro, por exemplo, eu descobri que quando você apertava "esqueci minha senha" no formulário, o CPF do titular aparecia no campo oculto do código-fonte. A informação estava ali, no HTML que o browser renderizava, sem nenhum mecanismo de segurança. Não foi nada quebrado — era o próprio site entregando a informação no client-side. Tem muitas APIs de operadoras abertas com endpoints que entregam dados. E mesmo numa ligação simples para a central de atendimento — "Informe seu telefone" — a atendente pode falar "Bruno, você quer..." e revelar o nome do titular logo de cara. Mas calma — nem toda operadora tem essas falhas, e elas são corrigidas com o tempo. O ponto é: sempre explore os mecanismos da operadora como parte da investigação. ## Localização e tipo de número: segmentando a investigação Identificar se o número é fixo ou móvel e de qual estado é o DDD ajuda a segmentar toda a sua busca. Números com dígitos iniciais de 2 a 5 são fixos; de 6 a 9 são móveis. O DDD revela o estado de origem. E se o número é de um DDD de São Paulo mas a pessoa diz que é do Ceará, já é uma inconsistência para investigar. Se é um WhatsApp Business criado com número fixo, pode indicar uma empresa — e empresas têm CNPJ, endereço e dados públicos muito mais fáceis de rastrear. Parece básico, mas essa classificação inicial direciona quais técnicas vão funcionar melhor para aquele número específico. ## Metadados de arquivos recebidos no WhatsApp revelam informações ocultas Toda imagem, PDF, documento ou vídeo que você recebe pelo WhatsApp carrega metadados. E o WhatsApp mantém esses metadados — eles não são extraídos na transferência. Se alguém te manda um PDF dizendo "aqui está seu boleto para pagamento", você baixa o arquivo, lê os metadados e encontra que a data de criação é do ano passado. Aí você fala: "Isso aqui não é um boleto meu. Esse documento foi criado há meses." Desconfia imediatamente. E metadados podem revelar: data de criação, software usado para criar o arquivo, nome do autor, localização GPS (em fotos), versão do sistema operacional. É informação que o remetente nem sabe que está enviando junto. Eu tenho um vídeo dedicado a metadados aqui no canal, mas se você quer se aprofundar nas ferramentas profissionais, confira o [Aulão #10 — A Arte de Investigar Metadados](/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos) e o [Aulão #27 — Análise de Metadados em Massa com ExifTool e FOCA](/aulao-semanal/como-analisar-metadados-em-massa-investigacao-digital). ## Técnicas complementares: ligação, portais do governo e base de CNPJs ### Ligação direta para o número A técnica 14 do blog post é a mais simples e subestimada: ligar para o número. Uma ligação de 30 segundos pode revelar se o número está ativo, se é homem ou mulher, qual é o sotaque (que indica região), qual a idade aproximada pela voz, e o horário em que a pessoa atende. Mesmo que a pessoa diga "é engano", você já extraiu informação. ### Portal da Transparência e Receita Federal O [Portal da Transparência](https://portaldatransparencia.gov.br) permite pesquisar dados de gastos públicos, servidores e transferências. E a Receita Federal disponibiliza para download público a [base completa de CNPJs do Brasil](https://dados.gov.br/dados/conjuntos-dados/cadastro-nacional-da-pessoa-juridica---cnpj) — são aproximadamente 300GB com todas as empresas, sócios, telefones, e-mails, endereços, CNAEs e CPFs de sócios. ### Montando um banco de dados local Eu mostrei ao vivo um projeto open source que automatiza o download dessa base e monta tudo em SQLite na sua máquina. A tabela inclui: empresa, estabelecimento, município, país, sócios, CNPJ, nome do sócio, qualificação. Com isso, você pode pesquisar por telefone e conectar a empresa, sócios e endereços. Se você juntar esses dados e criar grafos de conexão, a investigação escala de forma absurda. Você pode conectar um número de WhatsApp a uma empresa, que leva a um sócio, que leva a um endereço, que leva a processos judiciais. Tudo com dados públicos, tudo legal, tudo disponível para download. Para quem trabalha com crimes digitais e quer entender o contexto completo, eu recomendo o [Aulão #19 — Crimes Digitais e Como Investigar Golpes](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar). ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | DonodoZap | Descobrir possíveis donos de número de WhatsApp gratuitamente | [DonodoZap](https://donodozap.com) | | FaceCheck ID | Busca reversa de imagem por reconhecimento facial | [FaceCheck ID](https://facecheck.id) | | PimEyes | Motor de busca de reconhecimento facial alternativo | [PimEyes](https://pimeyes.com) | | Google Lens | Busca reversa de imagens do Google | [Google Lens](https://lens.google.com) | | TrueCaller | Identificação de chamadas e histórico de spam/phishing | [TrueCaller](https://www.truecaller.com) | | OSINT Industries | Plataforma profissional de OSINT com busca em 1000+ fontes | [OSINT Industries](https://osint.industries) | | Epieos | Busca reversa de e-mail e telefone em 140+ plataformas | [Epieos](https://epieos.com) | | Telelista.net | Diretório telefônico online do Brasil | [Telelista.net](https://telelista.net) | | Portal da Transparência | Dados públicos do governo federal brasileiro | [Portal da Transparência](https://portaldatransparencia.gov.br) | | Base de CNPJs — Receita Federal | Download de dados abertos de todas as empresas do Brasil | [Receita Federal — Dados Abertos](https://dados.gov.br/dados/conjuntos-dados/cadastro-nacional-da-pessoa-juridica---cnpj) | ## Perguntas Frequentes ### Como saber quem é o dono de um número de WhatsApp sem aplicativo? A forma mais rápida sem instalar nada é simular uma transferência PIX com o número como chave. Na tela de confirmação, antes de enviar qualquer valor, o sistema mostra o nome completo do titular, CPF parcial e banco. Outra opção é pesquisar o número no Google entre aspas duplas com variações de formatação. ### O PIX realmente mostra o nome do dono do WhatsApp? Sim, desde que o número esteja cadastrado como chave PIX em algum banco. Ao simular a transferência (sem confirmar), o app bancário exibe nome do titular, CPF parcial, instituição, agência e conta. É uma das técnicas mais efetivas e rápidas que existem. ### O que é OSINT e como usar para investigar WhatsApp? OSINT (Open Source Intelligence) é investigação usando fontes abertas — dados públicos disponíveis na internet. Para WhatsApp, isso inclui: busca reversa de foto de perfil, pesquisa do número em buscadores, verificação em outras redes sociais, consulta de chave PIX e uso de ferramentas automatizadas como OSINT Industries e Epieos. Não envolve nada ilegal — são dados que as próprias plataformas disponibilizam. Se você quer começar em investigação digital, confira o [Aulão #1 — Segredos para Dominar OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos). ### Quais ferramentas gratuitas funcionam para descobrir o dono de um WhatsApp? O [DonodoZap](https://donodozap.com) é gratuito e compila várias técnicas automatizadas. O [Google Lens](https://lens.google.com) permite busca reversa de foto gratuitamente. A simulação de PIX não tem custo. A pesquisa no Google com Dorks é gratuita. O [TrueCaller](https://www.truecaller.com) tem plano gratuito com limitações. Já ferramentas profissionais como OSINT Industries e Epieos são pagas, mas oferecem resultados muito mais completos. ### É legal investigar o dono de um número de WhatsApp? Todas as técnicas apresentadas neste aulão usam dados públicos e mecanismos que qualquer pessoa pode acessar. Não envolve invasão de sistema, quebra de sigilo ou acesso não autorizado. Você está consultando perfis públicos, simulando operações disponíveis para qualquer usuário e usando buscadores. A legalidade está na forma como você usa a informação obtida — para proteção pessoal e investigação legítima, sim; para assédio, perseguição ou chantagem, não. ### Como fazer busca reversa de foto de perfil do WhatsApp? Salve a foto do perfil no seu celular ou computador. Depois faça upload no [FaceCheck ID](https://facecheck.id) ou no [PimEyes](https://pimeyes.com) para busca por reconhecimento facial, ou no [Google Lens](https://lens.google.com) para busca reversa de imagem geral. O FaceCheck e o PimEyes são mais efetivos para rostos, enquanto o Google Lens funciona melhor para imagens que não são necessariamente de pessoas. ### Como descobrir a operadora de um número de celular? Consulte o site BR Telecom inserindo o número completo. O sistema retorna a operadora responsável (Vivo, Claro, TIM, Oi). Com essa informação, você pode explorar os mecanismos do site da operadora — como recuperação de senha — que às vezes revelam dados parciais do titular. ### Ferramentas pagas de OSINT valem o investimento? Se você trabalha com investigação digital profissionalmente, sim. O [OSINT Industries](https://osint.industries) custa a partir de US$29/mês e busca em mais de 1000 fontes simultaneamente. O [Epieos](https://epieos.com) custa €29.99/mês e foca em email e telefone em 140+ plataformas. Para uso eventual, as técnicas manuais que ensinei neste aulão são suficientes — as ferramentas pagas apenas automatizam o processo. > **Veja também:** [Perícia Forense na Prática: Como Investigar Cenas de Crimes — Aulão #037](/aulao-semanal/pericia-forense-como-funciona-investigar-cenas-de-crimes) > **Veja também:** [Imersão Sherlock: Espionagem Digital, OSINT e Capture — Aulão #041](/aulao-semanal/espionagem-digital-osint-gadgets-investigacao) > **Veja também:** [HI SPY: Como Funciona a Ferramenta de Investigação Digital — Aulão #051](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) ## Referências e Recursos - [DonodoZap — Descubra o Dono de Qualquer WhatsApp](https://donodozap.com) - [FaceCheck ID — Busca Reversa por Reconhecimento Facial](https://facecheck.id) - [PimEyes — Motor de Busca Facial](https://pimeyes.com) - [Google Lens — Busca Reversa de Imagens](https://lens.google.com) - [TrueCaller — Identificação de Chamadas](https://www.truecaller.com) - [OSINT Industries — Plataforma de Investigação Digital](https://osint.industries) - [Epieos — Busca Reversa de Email e Telefone](https://epieos.com) - [Telelista.net — Diretório Telefônico](https://telelista.net) - [Portal da Transparência — Governo Federal](https://portaldatransparencia.gov.br) - [Base de CNPJs — Receita Federal — Dados Abertos](https://dados.gov.br/dados/conjuntos-dados/cadastro-nacional-da-pessoa-juridica---cnpj) - [Signal — App de Mensagens Seguro](https://signal.org) - [Telegram — Mensagens e Canais](https://telegram.org) --- ### Aulão #034 — Como Investigar Lojas Virtuais: Guia Prático para Não Cair em Golpes Online URL: https://brunofraga.com/aulao-semanal/como-investigar-lojas-virtuais-identificar-golpes-online Publicado: 2024-09-13 Tags: ciberseguranca, investigacao-digital, osint, privacidade YouTube: https://www.youtube.com/watch?v=2vy7JXzwlzY Aprenda a investigar lojas virtuais antes de comprar e descubra como identificar fraudes usando Whois, CNPJ, Google Maps e técnicas de investigação digital. Aulão ao vivo com demonstrações práticas e participação do especialista Ulisses da Nóbrega. ## O que você vai aprender neste aulão Como investigar lojas virtuais é a pergunta que separa quem compra com segurança de quem vira estatística de golpe. Neste aulão, eu mostro na prática — ao vivo, com sites reais enviados pelo público — como desmascarar lojas fraudulentas usando ferramentas gratuitas que qualquer pessoa pode acessar. Eu não estive sozinho nessa investigação. O Ulisses da Nóbrega, agente da Polícia Civil do DF com 19 anos de experiência em crimes cibernéticos, participou do aulão inteiro. Juntos, investigamos lojas enviadas pelos espectadores no chat, abrimos sites ao vivo, consultamos CNPJ na Receita Federal, verificamos endereços no Google Maps e até simulamos uma compra para testar o atendimento de um site suspeito. Depois de assistir (ou ler este artigo), você vai conseguir: - Consultar o Whois de qualquer domínio e interpretar os dados - Cruzar informações de CNPJ, endereço e razão social para encontrar inconsistências - Usar o teste do cliente falso para confirmar suspeitas - Descobrir redes inteiras de golpe a partir de um único email vazado - Denunciar e derrubar sites fraudulentos - Acionar o MED do Banco Central para tentar recuperar dinheiro perdido via Pix Vou mostrar como um único email vazado revelou mais de 50 domínios de golpe conectados ao mesmo criminoso. E não é teoria — aconteceu ao vivo, durante o aulão. ## Como identificar se uma loja virtual é falsa Uma loja virtual falsa se identifica pelo cruzamento de informações públicas: dados do domínio, CNPJ, endereço físico e comportamento no atendimento. Nenhum desses sinais isoladamente confirma fraude, mas a soma deles forma um diagnóstico preciso. O primeiro erro que a maioria das pessoas comete é confiar no cadeado HTTPS. Aquele ícone de cadeado no browser **não garante que o site é confiável** — ele indica apenas que a conexão entre você e o servidor é criptografada. Um golpista pode (e vai) ter certificado SSL no site dele. É gratuito e leva 5 minutos para configurar. A segunda armadilha são os selos de segurança falsos. Durante o aulão, analisamos sites que exibiam selos do Google Safe Browsing, Norton e SiteLock — todos falsos. Eram imagens estáticas, sem link de verificação. Um selo verdadeiro, quando clicado, abre uma página de verificação no site da empresa certificadora. Se você clicar e nada acontecer, o selo é decoração. Comparamos o layout de sites suspeitos com o da [Magazine Luiza](https://www.magazineluiza.com.br), que é referência em e-commerce no Brasil. As diferenças saltam aos olhos: lojas legítimas têm footer completo com CNPJ, razão social, endereço, canais de atendimento, políticas de troca. Lojas fraudulentas têm rodapés vagos ou copiados de outros sites — no caso da Brasil Usados, o rodapé dizia "JM" enquanto o nome da loja era outro. Se você quer se aprofundar em técnicas para descobrir quem está por trás de qualquer site, eu dediquei um [Aulão #7 — Como Descobrir o Dono de um Site](/aulao-semanal/como-descobrir-o-dono-de-um-site) inteiro a esse tema. ## Whois: a primeira consulta que você deve fazer antes de comprar O Whois é uma consulta pública que revela quem registrou um domínio, quando e com qual documento. Para domínios .br, a consulta é feita no [Registro.br](https://registro.br/tecnologia/ferramentas/whois/) e mostra CPF ou CNPJ do proprietário. Eu demonstrei isso ao vivo com 6 sites diferentes. O primeiro foi a Magazine Luiza: domínio registrado desde 1999. Como eu disse na aula: "se você pega um site de 99 fraudulento até hoje no ar, é muito difícil." Já os sites suspeitos que o público enviou tinham 2 meses, 8 meses, uma semana de existência. ### Como interpretar os dados do Whois Quando você consulta um domínio no Registro.br, preste atenção em quatro pontos: 1. **Data de criação** — domínios com menos de 6 meses vendendo produtos caros são alerta vermelho 2. **Data de expiração** — se vence em poucos meses e não foi renovado, o dono não pretende manter o site 3. **CPF/CNPJ do proprietário** — domínios .br exigem documento brasileiro. Compare com o CNPJ da loja 4. **Nome do proprietário** — se o nome no Whois não bate com a razão social, investigue mais Um caso que investigamos ao vivo: a loja Brasil Usados tinha no Whois o nome "Alexila" e a razão social "Caleb Equipamentos Industriais". Mas no site, o nome era "Brasil Usados" e no rodapé aparecia "JM". Três nomes diferentes para a mesma loja. Nenhuma empresa legítima opera com essa confusão de identidades. ### A limitação dos domínios .com Domínios .com (sem o .br) podem ter privacidade no Whois. Isso significa que os dados do proprietário ficam ocultos atrás de um serviço de proxy. O Ulisses explicou que hoje essa privacidade é gratuita na maioria dos registradores. Mas calma — mesmo com privacidade ativada, existem formas de contornar isso, como veremos na seção sobre dados vazados. Se você quer aprender a automatizar consultas Whois com programação, eu ensinei isso passo a passo no [Aulão #25 — Programação do Zero para Investigação Digital](/aulao-semanal/programacao-do-zero-para-investigacao-digital). ## Como verificar o CNPJ de uma loja online na Receita Federal A consulta de CNPJ na Receita Federal é gratuita e revela a razão social, situação cadastral, endereço e atividade econômica da empresa. Basta acessar o [portal da Receita Federal](https://solucoes.receita.fazenda.gov.br/Servicos/cnpjreva/cnpjreva_solicitacao.asp) e digitar o número. No aulão, investigamos o CNPJ da Brasil Usados. O resultado? A razão social era "JM Móveis Usados", cadastrada há 8 meses, já tinha mudado de nome uma vez. A atividade econômica era "Comércio JM" — nada a ver com o nome do site. ### O que verificar no resultado da consulta Quando fizer a consulta, compare cinco informações: - **Razão social** vs nome da loja no site — devem ser compatíveis - **Situação cadastral** — deve estar "Ativa". CNPJ inapto ou baixado é fraude confirmada - **Endereço** — anote para verificar no Google Maps (próximo passo) - **Data de abertura** — empresas abertas recentemente para vender online são suspeitas - **Atividade econômica (CNAE)** — uma empresa de "consultoria" vendendo eletrônicos não faz sentido Mas atenção: CNPJ pode ser de laranja. Como o Ulisses explicou, golpistas recrutam pessoas em situação vulnerável para emprestar documentos e abrir empresas. "Eu posso ter um laranja, uma pessoa que empresta os documentos para que seja aberto isso daí. Isso acontece demais." Por isso, o CNPJ sozinho não é prova definitiva — é uma peça do quebra-cabeça. Você também pode pesquisar o CNPJ no [JusBrasil](https://www.jusbrasil.com.br) para ver se a empresa tem processos judiciais, e no [Serasa](https://www.serasa.com.br) para verificar protestos e pendências financeiras. Se a empresa de 8 meses já tem processos de consumidores reclamando de golpe, a conclusão é clara. E JusBrasil mostrou exatamente isso em um dos casos que investigamos ao vivo. Para mais técnicas sobre como investigar crimes digitais e golpes na internet, confira o [Aulão #19 — Crimes Digitais e Golpes na Internet](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar). ## Endereço da loja no Google Maps: o teste que ninguém faz O Google Maps com Street View permite verificar se o endereço informado pela loja corresponde a um estabelecimento comercial real. A maioria dos compradores nunca faz essa verificação — e é exatamente aí que os golpistas se aproveitam. Durante o aulão, verificamos o endereço de várias lojas suspeitas. Uma delas informava um endereço que, no [Google Maps](https://maps.google.com), era uma casa residencial pequena num bairro sem comércio. Outra tinha um endereço numa travessa que só ia até o número 16, mas o endereço da loja era número 18 — simplesmente não existia. ### Passo a passo da verificação 1. Copie o endereço do site da loja (geralmente no rodapé ou na página "Sobre") 2. Cole no Google Maps e ative o Street View 3. Verifique se o local parece um estabelecimento comercial compatível com o que a loja vende 4. Compare o nome na fachada (se visível) com o nome da loja A Isadora, que estava no chat, fez uma pergunta válida: "Mas nada garante que esse endereço é da loja mesmo." Exato. O endereço pode ser falso. Mas se você pesquisa e encontra uma casa residencial, uma lavanderia ou um terreno baldio, já tem informação suficiente para desconfiar. Essa técnica complementa o que eu ensinei no [Aulão #8 — Google Hacking e Buscas Avançadas](/aulao-semanal/google-hacking-buscas-perigosas-dorks), onde mostro como usar operadores de busca avançada para encontrar informações que sites tentam esconder. ## Teste do cliente falso: simule uma compra antes de pagar O teste do cliente falso consiste em se passar por um comprador interessado e avaliar o comportamento da loja no atendimento. É uma forma de engenharia social aplicada à defesa do consumidor — e funciona muito bem. No aulão, fizemos esse teste ao vivo. Entramos em contato com uma loja suspeita e simulamos interesse em comprar. O resultado foi revelador: o produto custava R$2.400 na loja, mas o Pix veio no valor de R$1.080. Desconto de mais de 50% pago exclusivamente por Pix. E o nome no Pix era "Robson" — diferente do nome da empresa. ### Sinais de alerta no atendimento Ao fazer o teste do cliente falso, observe estes sinais: - **Pressão para pagar via Pix** — golpistas preferem Pix porque é instantâneo e difícil de reverter - **Nome diferente no Pix** — se o Pix é em nome de pessoa física e a loja é de pessoa jurídica, desconfie - **Desconto absurdo para pagamento à vista** — "quando você vê um produto que custa R$2.400 e vai pagar R$1.000, você acha que tá fazendo um excelente negócio. E aí você baixa sua guarda" - **Sem nota fiscal** — loja que não emite NF-e não é loja - **Pix dinâmico** — um QR Code diferente para cada transação, dificultando rastreamento Eu e o Ulisses alertamos sobre uma coisa que parece óbvia mas acontece o tempo todo: mais de 300 pessoas pagaram R$40 para um golpista que se passava por mim no WhatsApp, vendendo o curso "Apocalipse Digital". As pessoas queriam economizar e baixaram a guarda. Preço bom demais é o anzol do golpe. Se você quer entender melhor como a engenharia social funciona em investigações, eu aprofundei esse tema no [Aulão #21 — Engenharia Social em Investigações](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital). ## Domínios vazados: como um email revela 50 sites de golpe Bases de dados vazados podem revelar informações que o golpista tentou esconder com privacidade de domínio. Um único email vazado pode conectar dezenas de sites fraudulentos operados pela mesma pessoa. Enquanto o Ulisses explicava outra técnica, eu fiz uma busca paralela nos bastidores. O domínio da Brasil Usados tinha um vazamento que revelou o email calebequipamentos@gmail.com — um email que o proprietário usou para registrar o domínio com privacidade ativada. Não aparecia na consulta Whois normal, mas estava em bases vazadas. ### O que eu encontrei com esse email A partir do calebequipamentos@gmail.com, encontrei mais de 50 domínios registrados pela mesma pessoa: - Brasil Usados - Caleb Equipamentos - Stories Eletros - Grupo Máquinas - Compre Seu Equipamento - E dezenas de outros com nomes genéricos de "lojas" Todos com o mesmo padrão: nomes diferentes, mesma operação, mesma infraestrutura de golpe. E Ulisses confirmou: não parou aí. Esse email estava associado a um número de telefone que tinha uma conta no Instagram. "Isso é muito bom para polícia, por exemplo", como eu expliquei ao vivo. É o tipo de informação que transforma uma suspeita em investigação policial formal. Esse tipo de pivot — partir de um dado e chegar a uma rede inteira — é a base da investigação digital. Eu mostrei técnicas parecidas no [Aulão #29 — Contra-Atacando Golpistas na Internet](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet) e também no [Aulão #9 — Vazamentos de Dados e Senhas](/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas). ## ABR Telecom: identificando a operadora de números suspeitos A [ABR Telecom](https://consultanumero.abrtelecom.com.br/) é uma ferramenta gratuita que identifica a operadora de qualquer número de telefone no Brasil, incluindo histórico de portabilidade. Quando você descobre um número de telefone associado a um site suspeito (via Whois, vazamento ou contato com a loja), consultar a operadora ajuda a entender o perfil do golpista. Números VoIP (de operadoras virtuais), por exemplo, são mais fáceis de descartar. Números que passaram por várias portabilidades recentes podem indicar tentativa de dificultar rastreamento. Para consultar, basta acessar o site, digitar o número com DDD e resolver o captcha. O resultado mostra a operadora atual e se houve portabilidade. ## Como denunciar e derrubar uma loja virtual fraudulenta Sites fraudulentos podem ser denunciados ao registrador de domínio, ao provedor de hospedagem e ao Google, resultando na remoção ou bloqueio do site. O processo é mais rápido do que a maioria das pessoas imagina. Eu cobri esse tema no aulão porque é uma parte que poucos ensinam. Todo mundo fala "como identificar golpe", mas quase ninguém explica o que fazer para tirar o site do ar. E isso é importante: enquanto o site estiver ativo, mais pessoas vão cair. ### Passos para derrubar um site fraudulento 1. **Denuncie ao Google Safe Browsing** — acesse [safebrowsing.google.com](https://safebrowsing.google.com/) e reporte a URL. Se aceito, o Google mostra um aviso vermelho para qualquer pessoa que tentar acessar o site 2. **Denuncie ao registrador de domínio** — para domínios .br, entre em contato com o [Registro.br](https://registro.br/tecnologia/ferramentas/whois/). Para domínios internacionais, identifique o registrador via Whois e envie abuse report 3. **Denuncie ao provedor de hospedagem** — a maioria dos provedores tem email abuse@ para esse tipo de denúncia 4. **Registre boletim de ocorrência** — na delegacia virtual do seu estado. Inclua prints, URLs e toda evidência coletada 5. **Denuncie no PROCON** — o [PROCON-SP](https://www.procon.sp.gov.br/site-de-compras-falso/) aceita denúncias online de sites falsos Técnicas mais avançadas de takedown eu demonstrei no [Aulão #16 — Investigando E-mails Fraudulentos](/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas), onde mostrei o processo completo do cabeçalho suspeito até a remoção do site. Mas o Ulisses fez um alerta realista: "quando cai um, volta outro." Golpistas criam novos domínios constantemente. É por isso que eu repeti ao longo do aulão: "nós precisamos formar um exército de investigadores, porque existe um exército de golpistas e a gente tá muito atrás." ## O que fazer se você já caiu no golpe Se você já foi vítima, o primeiro passo é agir rápido: acionar o MED do Banco Central, registrar BO e coletar todas as evidências antes que o golpista apague os rastros. ### Mecanismo Especial de Devolução (MED) do Pix O [MED](https://www.bcb.gov.br/estabilidadefinanceira/pix) é um mecanismo do Banco Central que permite solicitar a devolução de valores Pix em caso de fraude. Funciona assim: 1. Entre em contato com seu banco em até 80 dias após o Pix 2. Informe que foi vítima de fraude e solicite abertura do MED 3. O banco tem 7 dias corridos para analisar 4. Se confirmada a fraude, o banco do recebedor tem 96 horas (4 dias) para devolver o valor Funciona sempre? Não. O MED só funciona se ainda houver saldo na conta do golpista. Na maioria dos casos, o dinheiro já foi transferido para outras contas. A boa notícia é que o MED 2.0, previsto para 2026, vai permitir rastrear o dinheiro mesmo após múltiplas transferências. ### Como denunciar a conta bancária do golpista Além do MED, denuncie diretamente ao banco onde o golpista tem conta. Se o Pix foi para uma conta no Banco do Brasil, Bradesco, Itaú ou qualquer outro, ligue para a central do banco e informe que a conta está sendo usada para fraude. Bancos são obrigados a investigar. O Ulisses explicou que existem duas abordagens para investigar fraude eletrônica: "ou você investiga o caminho do dinheiro, que a gente chama de follow the money, ou você vai atrás dos endereços IPs, do site." No aulão, focamos na investigação de infraestrutura (sites, domínios, dados públicos), mas o follow the money é o que a polícia faz quando tem acesso a dados bancários. Para mais contexto sobre investigação de golpes com casos reais, assista ao [Aulão #3 — Desvendando um Golpe Real na OLX](/aulao-semanal/investigacao-digital-casos-reais-golpe-olx), onde eu investiguei um golpe do início até a identificação do criminoso. ## O ecossistema dos golpes de lojas virtuais no Brasil Golpes de lojas virtuais no Brasil operam como negócios: têm infraestrutura dedicada, gateways de pagamento montados, templates replicáveis e redes de laranjas descartáveis. Entender esse ecossistema ajuda a identificar padrões. O Ulisses detalhou o modus operandi que ele vê nas investigações da Polícia Civil: - **Conta laranja no Pix** — pessoa recrutada para emprestar dados e receber os pagamentos - **Gateway montado** — sistema de pagamento configurado para processar transações rapidamente - **Template replicado** — o mesmo layout de loja usado em dezenas de domínios diferentes - **Múltiplos domínios** — quando um é derrubado, outro já está no ar com novo nome - **Tráfego pago** — investimento em Google Ads e redes sociais para aparecer nos primeiros resultados "Essa pessoa que recebe esse dinheiro, ela é chamada de laranja, mas ela é um partícipe", explicou o Ulisses. E complementou: "essa pessoa é descartável. Daqui uns dias eu vou criar outra empresa, outro laranja, outro endereço falso." É um sistema que se retroalimenta. E PROCON, Google, Registro.br — todos aceitam denúncias. A investigação individual importa: cada site derrubado, cada BO registrado, cada denúncia ao banco contribui para dificultar a operação do golpista. Não resolve sozinho, mas soma. ## Checklist completo: como investigar uma loja virtual em 15 minutos Aqui está a sequência que eu e o Ulisses seguimos no aulão, condensada em um checklist prático: **Etapa 1 — Análise visual (2 minutos)** - Verifique selos de segurança (clique neles — falsos não abrem nada) - Confira o rodapé: tem CNPJ, razão social, endereço, telefone? - Compare o layout com lojas conhecidas do mesmo segmento **Etapa 2 — Whois (2 minutos)** - Acesse [registro.br/whois](https://registro.br/tecnologia/ferramentas/whois/) para domínios .br - Verifique data de criação e nome do proprietário - Compare CPF/CNPJ do Whois com os dados da loja **Etapa 3 — CNPJ na Receita Federal (2 minutos)** - Consulte o [CNPJ na Receita](https://solucoes.receita.fazenda.gov.br/Servicos/cnpjreva/cnpjreva_solicitacao.asp) - Verifique razão social, situação cadastral, data de abertura e CNAE - Compare endereço da Receita com o endereço do site **Etapa 4 — Google Maps (2 minutos)** - Cole o endereço da loja no [Google Maps](https://maps.google.com) - Ative o Street View e verifique se é compatível com o negócio **Etapa 5 — Reputação online (2 minutos)** - Pesquise o nome da loja + "golpe" ou "fraude" no Google - Consulte processos no [JusBrasil](https://www.jusbrasil.com.br) **Etapa 6 — Teste do cliente falso (5 minutos)** - Entre em contato simulando interesse - Observe: aceita cartão? Emite NF? Nome no Pix bate com a empresa? Se qualquer etapa revelar inconsistência, não compre. Simples assim. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Whois (Registro.br) | Consultar dados de registro de domínios .br | [Registro.br Whois](https://registro.br/tecnologia/ferramentas/whois/) | | Receita Federal | Verificar CNPJ, razão social e situação cadastral | [Consulta CNPJ](https://solucoes.receita.fazenda.gov.br/Servicos/cnpjreva/cnpjreva_solicitacao.asp) | | Google Maps | Verificar endereço físico da loja via Street View | [Google Maps](https://maps.google.com) | | Google Safe Browsing | Verificar e denunciar sites perigosos | [Safe Browsing](https://safebrowsing.google.com/) | | ABR Telecom | Identificar operadora de número de telefone | [Consulta Número](https://consultanumero.abrtelecom.com.br/) | | JusBrasil | Pesquisar processos judiciais de empresas | [JusBrasil](https://www.jusbrasil.com.br) | | Serasa | Consultar situação financeira e protestos | [Serasa](https://www.serasa.com.br) | | MED (Banco Central) | Solicitar devolução de Pix em caso de fraude | [Pix — BCB](https://www.bcb.gov.br/estabilidadefinanceira/pix) | ## Perguntas Frequentes ### Como saber se uma loja virtual é confiável? Consulte o Whois do domínio para ver quando foi criado e quem registrou. Verifique o CNPJ na Receita Federal e compare o endereço com o Google Maps. Lojas com menos de 6 meses de domínio, CNPJ recém-aberto e endereço residencial são sinais claros de fraude. ### O cadeado HTTPS garante que o site é seguro? Não. O cadeado indica apenas que a conexão é criptografada, não que o site é confiável. Golpistas usam certificado SSL (gratuito) nos sites deles. Nunca use o cadeado como único critério de segurança. ### O que fazer se já caí num golpe de loja virtual? Acione o MED do Banco Central pelo seu banco em até 80 dias. Registre boletim de ocorrência na delegacia virtual. Denuncie o site ao Google Safe Browsing e ao registrador de domínio. Guarde todos os prints e comprovantes. ### Como denunciar uma loja falsa na internet? Denuncie ao Google Safe Browsing, ao registrador de domínio (Registro.br para .br), ao provedor de hospedagem, ao PROCON e registre BO. Quanto mais denúncias, mais rápido o site é removido. ### Como funciona o MED do Pix para recuperar dinheiro de golpe? O MED é um mecanismo do Banco Central que bloqueia valores na conta do golpista. Você solicita pelo seu banco em até 80 dias. O banco analisa em 7 dias e, se confirmada a fraude, o valor é devolvido em até 96 horas. A limitação é que o dinheiro precisa ainda estar na conta. ### Domínio recém-criado significa que a loja é golpe? Não automaticamente, mas é um forte sinal de alerta. Um domínio com semanas ou poucos meses vendendo produtos caros é muito suspeito. Combine essa informação com outros sinais: endereço residencial, CNPJ recente, ausência de nota fiscal, pagamento exclusivo por Pix. ### É possível derrubar um site de golpe da internet? Sim. Denúncias ao Google Safe Browsing fazem o Chrome mostrar aviso de site perigoso. Denúncias ao registrador e ao provedor de hospedagem podem resultar na suspensão do domínio. O processo leva de dias a semanas, mas funciona. ### Como identificar se os selos de segurança de uma loja são verdadeiros? Clique no selo. Selos verdadeiros (Norton, SiteLock, Google Safe Browsing) abrem uma página de verificação no site da certificadora. Se clicar e nada acontecer — ou se abrir uma imagem — o selo é falso. É apenas uma imagem colada no site. > **Veja também:** [Como Remover Conteúdo da Internet na Prática — Aulão #040](/aulao-semanal/como-remover-conteudo-online-servico-remocao) > **Veja também:** [Como Investigar Golpes do Pix: Prevenção, Recuperação e Investigação — Aulão #043](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao) > **Veja também:** [Como Encontrar Bens Ocultos de Devedores — Aulão #047](/aulao-semanal/como-encontrar-bens-ocultos-devedores-investigacao-patrimonial) ## Referências e Recursos - [Whois — Registro.br](https://registro.br/tecnologia/ferramentas/whois/) - [Consulta CNPJ — Receita Federal](https://solucoes.receita.fazenda.gov.br/Servicos/cnpjreva/cnpjreva_solicitacao.asp) - [Consulta Número — ABR Telecom](https://consultanumero.abrtelecom.com.br/) - [Google Safe Browsing — Denúncia de sites](https://safebrowsing.google.com/) - [JusBrasil — Pesquisa Jurídica](https://www.jusbrasil.com.br) - [Serasa — Consulta CPF e CNPJ](https://www.serasa.com.br) - [Pix e MED — Banco Central do Brasil](https://www.bcb.gov.br/estabilidadefinanceira/pix) - [PROCON-SP — Denúncia de sites falsos](https://www.procon.sp.gov.br/site-de-compras-falso/) - [NIC.br — 8 formas de identificar site seguro ou falso](https://www.nic.br/noticia/na-midia/8-formas-de-identificar-se-um-site-e-seguro-ou-falso/) --- ### Aulão #033 — TraceLabs: Vale a Pena ou o Kali Linux Resolve? Análise Completa com Demonstração ao Vivo URL: https://brunofraga.com/aulao-semanal/tracelabs-sistema-operacional-osint-investigacao-digital Publicado: 2024-09-12 Tags: osint, investigacao-digital, ciberseguranca, tutoriais, privacidade YouTube: https://www.youtube.com/watch?v=lNlOzpVLI3I Neste aulão em vídeo, eu instalo o TraceLabs ao vivo, comparo com o Kali Linux e mostro por que não uso mais esse sistema. Bônus: como deixar o Kali completamente anônimo com o Kali Whoami. ## O que você vai aprender neste aulão TraceLabs OSINT VM é o sistema operacional mais citado quando se fala em investigação digital — mas será que você realmente precisa dele? Neste aulão eu instalei o TraceLabs ao vivo, mostrei o que funciona (e o que não funciona), e comparei com o Kali Linux para te dar uma resposta honesta. Depois de assistir este conteúdo, você vai saber instalar o TraceLabs e o Kali Linux em máquina virtual, entender as diferenças reais entre os dois sistemas, montar seu próprio arsenal de ferramentas OSINT no Kali e — o bônus que ninguém esperava — deixar o Kali completamente anônimo com o projeto Kali Whoami. Tudo demonstrado ao vivo, com erros, travamentos e soluções na hora. E sim, eu vou te contar por que eu, Bruno Fraga, não uso o TraceLabs no meu dia a dia. Mas também vou te mostrar em que situação ele faz sentido. A resposta não é binária. ## O que é o TraceLabs e para que serve na investigação digital O [TraceLabs](https://www.tracelabs.org) é um sistema operacional Linux baseado no Kali com foco em OSINT (Open Source Intelligence). Foi criado por uma comunidade sem fins lucrativos dedicada a encontrar pessoas desaparecidas de forma voluntária. A ideia é simples: pegar o Kali Linux, remover o que não é relevante para OSINT, adicionar ferramentas específicas de investigação e entregar tudo pronto num pacote que qualquer pessoa pode baixar e usar. O sistema vem com [Sherlock](https://github.com/sherlock-project/sherlock), [PhoneInfoga](https://github.com/sundowndev/phoneinfoga), [SpiderFoot](https://github.com/smicallef/spiderfoot), Metagoofil, [Sublist3r](https://github.com/aboul3la/Sublist3r) e um Firefox configurado com dezenas de bookmarks organizados por categoria de investigação. Mas o TraceLabs não é só um sistema operacional. A comunidade por trás dele é ativa no Discord, compartilha material de estudo diariamente, organiza eventos presenciais chamados Search Party (onde investigadores se reúnem para localizar pessoas), e já teve impacto real em casos graves — incluindo um esquema de sequestro de mulheres que envolveu governo, descoberto de forma voluntária pela comunidade. E qualquer pessoa pode solicitar uma operação. Você vai ao site, informa o nome da pessoa desaparecida, data do desaparecimento, última localização conhecida, e a comunidade decide se vai contribuir naquela busca. Isso é investigação crowdsourced na prática. Para quem está começando na investigação digital, o [Aulão #4 — 7 Ferramentas que Todo Investigador Digital Precisa](/aulao-semanal/ferramentas-de-investigacao-digital) apresenta as bases que o TraceLabs tenta reunir num sistema só. ## TraceLabs vs Kali Linux: qual é melhor para OSINT O TraceLabs é o Kali Linux com modificações. Não tem como separar completamente os dois. A diferença está no que foi adicionado e no que foi removido. O Kali tem mais de 300 ferramentas organizadas em categorias: coleta de informação, análise de vulnerabilidades, ataques wireless, engenharia reversa, forense, sniffing, engenharia social. O TraceLabs pegou esse sistema, tirou ferramentas de pentesting que não são relevantes para OSINT e adicionou coisas como YouTube-DL (para capturar vídeos como evidência), [PhoneInfoga](https://github.com/sundowndev/phoneinfoga) (informações de telefone) e bookmarks OSINT no Firefox. Na prática, eu fiz essa comparação ao vivo. Abri o TraceLabs e tentei rodar o Sherlock. Não funcionou — pediu instalação. Tentei outras ferramentas. Mesma coisa. A versão ISO para Mac não veio com nada pré-instalado. Um participante da live (Francisco) encontrou uma pasta no desktop chamada "TraceLab Install Tools" com scripts de instalação, mas quando executei, deu erros e travou a máquina. E o Kali Linux? Abri logo em seguida. Menu organizado, ferramentas mapeadas, Sherlock funcionando direto do repositório com um simples comando. [Maltego](https://www.maltego.com) disponível para instalar em segundos. Tudo estável. | Característica | TraceLabs | Kali Linux | |---|---|---| | Base do sistema | Kali Linux | Debian | | Foco principal | OSINT e investigação | Pentesting e segurança | | Ferramentas pré-instaladas | ~30 ferramentas OSINT | 300+ ferramentas de segurança | | Estabilidade | Comunidade menor, bugs podem demorar para corrigir | Grande comunidade, atualizações frequentes | | Bookmarks OSINT no Firefox | Sim, organizados por categoria | Não | | Suporte a Mac (M1/M2) | ISO com problemas na instalação | Funciona sem problemas | | Documentação | Limitada | Extensiva | Se você nunca usou Linux, o [Aulão #15 — Seu Primeiro Passo no Linux](/aulao-semanal/linux-para-iniciantes-passo-a-passo) te dá a base antes de mergulhar em qualquer sistema. ## Como instalar o TraceLabs em máquina virtual passo a passo A instalação do TraceLabs segue o mesmo processo de qualquer sistema Linux em máquina virtual. Você precisa de um software de virtualização e do arquivo de imagem do sistema. ### 1. Instalar o software de virtualização Para Windows e Linux, o [VirtualBox](https://www.virtualbox.org) é a melhor opção gratuita. Baixe, instale com avançar-avançar-concluir. O [VMware](https://www.vmware.com) é outra alternativa gratuita. Para Mac, o [Parallels](https://www.parallels.com) é o melhor (pago), mas o VirtualBox também funciona. ### 2. Verificar a virtualização na BIOS Antes de tudo: abra o Gerenciador de Tarefas (Ctrl+Shift+Esc), vá na aba Desempenho e verifique se "Virtualização" aparece como "Habilitada". Se não estiver, você precisa entrar na BIOS do seu computador e ativar. Cada fabricante tem uma tecla diferente — pesquise o modelo do seu notebook + "habilitar virtualização". Esse detalhe trava muita gente. É o erro número um de quem tenta rodar máquina virtual pela primeira vez. ### 3. Baixar o TraceLabs Vá ao [repositório oficial no GitHub](https://github.com/tracelabs/tlosint-vm) e baixe o arquivo OVA (para VirtualBox) ou VMware. O arquivo tem aproximadamente 1,8 GB. Dê dois cliques no arquivo baixado e ele abre direto no VirtualBox. ### 4. Credenciais padrão Usuário: `osint` / Senha: `osint` Um detalhe que eu descobri na marra: a versão ISO para Mac (processadores M1/M2) pode não vir com as ferramentas pré-instaladas. Se isso acontecer com você, procure a pasta "TraceLab Install Tools" no desktop — ela contém scripts que tentam instalar tudo. Mas prepare-se para possíveis erros. ## O que vem dentro do TraceLabs: navegador, bookmarks e arsenal OSINT O maior diferencial do TraceLabs não são as ferramentas de linha de comando — são os bookmarks do Firefox. É um navegador montado com dezenas de atalhos OSINT organizados por categoria. Quando você abre o Firefox do TraceLabs, encontra pastas como: Empresa (LinkedIn, registros corporativos), DNS ([DNS Dumpster](https://dnsdumpster.com), scanners de DNS), E-mail ([DeHashed](https://dehashed.com), [Have I Been Pwned](https://haveibeenpwned.com), [Hunter.io](https://hunter.io)), Telefone (validadores, operadoras), Pessoas (ferramentas de busca por nome, CPF, endereço), Mapas, Imagens (busca reversa), Social Media (Instagram, Twitter, Facebook). Eu testei ao vivo: abri o DNS Dumpster direto do bookmark, coloquei brunofraga.com e em segundos ele puxou as DNS, os subdomínios, mapeou Cloudflare, a LP, a API, e montou um mapa visual da infraestrutura. Isso tudo sem instalar nada — é um site web. E esse é exatamente o ponto que me fez questionar a necessidade do TraceLabs. Se as ferramentas mais úteis são bookmarks de sites que funcionam no navegador de qualquer computador, por que preciso de um sistema operacional dedicado? O menu do sistema também tem categorias: coleta de informação, Live Host Identification, sniffing, pós-exploração, engenharia social. Mas na minha experiência ao vivo, o menu estava desorganizado, com links quebrados e ferramentas que não abriam. É uma experiência bem diferente do Kali, onde tudo está catalogado e funcional. Para quem quer entender como usar o DNS Dumpster e ferramentas similares na prática, o [Aulão #28 — Como Encontrar Subdomínios Escondidos](/aulao-semanal/como-encontrar-subdominios-escondidos-ferramentas-tecnicas) detalha o processo completo de enumeração de subdomínios. ## Por que eu não uso o TraceLabs (e o que uso no lugar) Eu preciso ser honesto aqui. Do fundo do coração: eu hoje não uso o TraceLabs e não acho necessário utilizar. Mas tenho razões concretas para isso. Quando a comunidade criou o TraceLabs lá no começo, não existiam tantas ferramentas prontas. Hoje o cenário mudou completamente. Tem navegador com extensões OSINT. Tem sites com APIs gratuitas. Tem automações, bots, serviços web que fazem o que antes precisava de Python instalado na máquina. O mercado evoluiu e o TraceLabs perdeu aderência. Ponto por ponto: 1. **O Sherlock não é o melhor mais para encontrar redes sociais.** What's My Name também não é bom. As plataformas mudaram, as APIs mudaram. Ferramentas que funcionavam há 6 anos precisam de atualização constante — e um sistema com comunidade menor não acompanha. 2. **PhoneInfoga tem sites que fazem a mesma coisa de graça.** Operadora, país, validação de número — não precisa instalar nada localmente. 3. **As ferramentas mais úteis são web.** DNS Dumpster, Have I Been Pwned, Hunter.io, DeHashed — tudo funciona no navegador. 4. **O Kali é mais estável.** Tem empresa por trás, tem comunidade gigante, tem atualizações regulares. Quando algo quebra, corrige rápido. Minha recomendação: instale o Kali Linux e adicione as ferramentas que precisar. Você vai ter um sistema mais estável, com mais suporte, e pode personalizar exatamente para o seu fluxo de trabalho. Se quiser ver o ecossistema completo de ferramentas que substituem o TraceLabs, o [Aulão #31 — 4 Ferramentas para Investigar Pessoas Online](/aulao-semanal/ferramentas-para-investigar-pessoas-online-fontes-abertas) mostra o que está funcionando de verdade hoje. Agora, se você gosta de ter um arsenal pré-montado e não quer configurar nada, o TraceLabs pode fazer sentido. Não é um sistema ruim — é um sistema que eu não preciso mais. ## Como montar seu arsenal OSINT no Kali Linux Montar o seu próprio ambiente de investigação no Kali é mais simples do que parece. E o resultado é mais estável do que usar o TraceLabs. Primeiro, instale o Kali. Vá ao [site oficial](https://www.kali.org), baixe o OVA para VirtualBox (ou a ISO para Parallels no Mac) e importe. São 7 minutos do download ao sistema funcionando. Depois, instale as ferramentas que precisa via terminal: **Sherlock** — busca de nomes de usuário em redes sociais: ```bash sudo apt install sherlock ``` **Maltego** — mapeamento de conexões entre entidades (e-mails, sites, pessoas, IPs): ```bash sudo apt install maltego ``` E Maltego, na minha opinião, é o cara mais poderoso do OSINT. Com a licença CE (gratuita), você mapeia conexões entre sites, e-mails, redes sociais, pessoas, IPs, blockchain, criptoativos, empresas. Literalmente monta um diagrama visual de relacionamentos entre entidades. Instalei ao vivo no Kali e em segundos estava funcionando. **SpiderFoot** — automação OSINT: ```bash sudo apt install spiderfoot ``` Para ferramentas que não estão no repositório oficial (como PhoneInfoga), o processo é: ```bash git clone phoneinfoga-repo cd phoneinfoga # seguir instruções do README ``` E pronto. Tudo que o TraceLabs oferece, você monta no Kali em menos de uma hora. Com a vantagem de ter um sistema atualizado, estável e com suporte de uma comunidade enorme. Se você quer aprender a usar o Sherlock e ferramentas similares para investigar perfis, o [Aulão #5 — Técnicas para Investigar Pessoas na Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) cobre os fundamentos. E para quem quer praticar, o [Aulão #17 — Desafios Práticos de Investigação Digital](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) traz exercícios que você pode fazer tanto no TraceLabs quanto no Kali. ## Kali Whoami: como deixar o Kali Linux completamente anônimo O [Kali Whoami](https://github.com/owerdogan/whoami-project) é um projeto open source que transforma o Kali Linux numa máquina anônima com um único comando. Ele altera IP (via rede Tor), DNS, endereço MAC, timezone, hostname, user agent do navegador e apaga logs do sistema. Eu demonstrei ao vivo e o resultado foi impressionante. ### Como instalar ```bash git clone whoami-project-repo cd whoami-project sudo make install ``` ### Como usar ```bash sudo kali-whoami start ``` O sistema pergunta quais módulos você quer ativar: 1. **Log Killer** — destrói todos os logs do sistema 2. **IP changer** — roteia o tráfego pela rede Tor 3. **DNS changer** — altera os servidores DNS 4. **MAC changer** — muda o endereço físico da placa de rede 5. **Timezone changer** — altera o fuso horário do sistema (isso vaza localização) 6. **Hostname changer** — muda o nome do computador 7. **Browser anonymization** — altera o user agent e configurações do navegador 8. **Anti-MITM** — força criptografia de ponta a ponta contra ataques man-in-the-middle E ativei tudo ao vivo. Abri o [BrowserLeaks](https://browserleaks.com) para verificar: sem WebRTC vazado, IP apontando para Frankfurt na Alemanha, depois Holanda, depois França, depois Austrália. O site de detecção não conseguiu identificar dados reais. O IP ficava alternando entre países a cada verificação. Mas tem um porém. Com todas as opções ativadas, a navegação fica lenta (é a rede Tor) e a maioria dos sites identifica você como bot. Fica difícil usar o computador normalmente. A dica é ativar apenas o que precisa. Se quer só o IP mascarado, ative apenas o módulo de IP. Se precisa de anonimato completo, ative tudo — mas saiba que vai impactar a usabilidade. Para parar: ```bash sudo kali-whoami stop ``` É um projeto que eu recomendo para quem precisa fazer investigações que exigem anonimato. Combinado com máquina virtual, você tem uma caixa isolada e anônima no seu computador. Se quiser ir além no anonimato, o [Aulão #13 — Como Criar sua Própria VPN](/aulao-semanal/como-criar-sua-propria-vpn-passo-a-passo) te ensina a montar uma VPN sem logs, sem depender de terceiros. ## Tails vs TraceLabs vs Kali: quando usar cada um Cada sistema tem seu momento. Não existe o melhor absoluto — existe o mais adequado para o contexto. **Tails** é para quando você precisa de um sistema portátil e descartável. Eu sempre carrego um pendrive com Tails na mochila. Já usei no aeroporto do Qatar quando precisei acessar algo num desktop público — pluguei, iniciei do pendrive e usei sem expor nenhum dado pessoal. Desligou, apagou tudo. É o melhor para situações de campo. **TraceLabs** faz sentido se você quer participar dos CTFs da comunidade, contribuir nas buscas por pessoas desaparecidas, ou simplesmente ter um sistema pronto sem configurar nada. Se você é iniciante e quer explorar ferramentas OSINT sem gastar horas configurando, pode ser um ponto de partida. **Kali Linux** é a minha recomendação para quem quer um sistema completo de investigação. Tem mais ferramentas, mais estabilidade, mais documentação. E com o Kali Whoami, tem anonimato também. É o que eu uso. | Sistema | Quando usar | Prós | Contras | |---|---|---|---| | [Tails](https://tails.net) | Campo, máquinas públicas, descartável | Portátil, amnesic, Tor nativo | Sem persistência, limitado | | [TraceLabs](https://www.tracelabs.org) | CTFs, busca de pessoas, iniciantes | Pronto para usar, bookmarks OSINT | Instável, comunidade menor | | [Kali Linux](https://www.kali.org) | Arsenal completo, investigação profissional | 300+ ferramentas, estável, documentado | Requer configuração inicial | Para entender como documentar suas investigações de forma profissional (independente do sistema que escolher), o [Aulão #24 — Hunchly para Investigação Digital](/aulao-semanal/hunchly-como-usar-investigacao-digital) mostra uma ferramenta que grava tudo automaticamente enquanto você navega. ## Máquina virtual para investigação: por que dominar isso é obrigatório Se você fica desconfortável quando alguém fala em máquina virtual, você tem um problema grave. Eu falo isso com respeito, mas com firmeza. Máquina virtual é um computador dentro do seu computador. É um ambiente isolado onde você pode baixar arquivos suspeitos, instalar ferramentas, infectar com vírus — e depois simplesmente apagar. O que acontece na máquina virtual não atinge o seu sistema principal. Se você tem 1 GB de memória, roda máquina virtual. Não tem desculpa. O processo é: instale o [VirtualBox](https://www.virtualbox.org), baixe o OVA do sistema que quer (TraceLabs ou Kali), dê dois cliques e pronto. No Mac, o [Parallels](https://www.parallels.com) é superior — eu uso ele e rodo Windows 11, Kali e TraceLabs no mesmo computador. E a máquina virtual mitiga riscos que não têm outro substituto. Baixou um arquivo de investigação e ele estava infectado? A máquina virtual contém o dano. Precisa testar uma ferramenta desconhecida? Faz na VM. Precisa criar um ambiente anônimo com Kali Whoami? Só faz sentido na VM — se fizesse no seu sistema principal e desse problema, você perderia tudo. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | TraceLabs | Sistema operacional OSINT baseado no Kali para investigação digital e busca de pessoas desaparecidas | [TraceLabs](https://www.tracelabs.org) | | Kali Linux | Distribuição Linux com 300+ ferramentas de segurança e pentesting, base do TraceLabs | [Kali Linux](https://www.kali.org) | | VirtualBox | Software gratuito de virtualização para Windows, Mac e Linux | [VirtualBox](https://www.virtualbox.org) | | Parallels | Software de virtualização premium para macOS | [Parallels](https://www.parallels.com) | | Kali Whoami | Projeto de anonimato que altera IP, DNS, MAC, timezone, hostname e browser no Kali | [Whoami Project](https://github.com/owerdogan/whoami-project) | | Maltego | Plataforma de investigação para mapear conexões entre entidades (e-mails, sites, pessoas, IPs) | [Maltego](https://www.maltego.com) | | Sherlock | Busca de nomes de usuário em mais de 400 redes sociais | [Sherlock](https://github.com/sherlock-project/sherlock) | | SpiderFoot | Automação OSINT com integração de centenas de fontes de dados | [SpiderFoot](https://github.com/smicallef/spiderfoot) | | PhoneInfoga | Coleta de informações sobre números de telefone via OSINT | [PhoneInfoga](https://github.com/sundowndev/phoneinfoga) | | DNS Dumpster | Reconhecimento DNS e mapeamento de infraestrutura de domínios | [DNS Dumpster](https://dnsdumpster.com) | | BrowserLeaks | Verificação de vazamentos de dados do navegador (WebRTC, fingerprint, geolocalização) | [BrowserLeaks](https://browserleaks.com) | | Tails | Sistema operacional portátil em pendrive focado em privacidade e rede Tor | [Tails](https://tails.net) | ## Perguntas Frequentes ### O que é o TraceLabs? O TraceLabs é um sistema operacional Linux baseado no Kali com foco em OSINT e investigação digital. Foi criado por uma comunidade sem fins lucrativos dedicada a localizar pessoas desaparecidas. O sistema vem com ferramentas como Sherlock, PhoneInfoga, SpiderFoot e um Firefox pré-configurado com bookmarks de investigação organizados por categoria. ### Preciso do TraceLabs para fazer investigação digital? Não necessariamente. Todas as ferramentas do TraceLabs podem ser instaladas separadamente no Kali Linux ou em qualquer distribuição Linux. Eu pessoalmente não uso o TraceLabs — prefiro o Kali com ferramentas personalizadas porque é mais estável e tem mais suporte. O TraceLabs faz sentido se você quer um ambiente pronto sem configuração ou se quer participar dos CTFs da comunidade. ### Como instalar o TraceLabs no VirtualBox? Baixe o arquivo OVA no [repositório oficial do GitHub](https://github.com/tracelabs/tlosint-vm/releases). Verifique se a virtualização está habilitada na BIOS (Ctrl+Shift+Esc > Desempenho > Virtualização). Abra o VirtualBox, dê dois cliques no arquivo OVA e siga o assistente. As credenciais padrão são usuário `osint` e senha `osint`. ### Qual a diferença entre TraceLabs e Kali Linux? O TraceLabs é construído sobre o Kali Linux. A diferença é que o TraceLabs remove ferramentas de pentesting e adiciona ferramentas específicas de OSINT (PhoneInfoga, bookmarks OSINT no Firefox, YouTube-DL). O Kali tem 300+ ferramentas e uma comunidade muito maior. Na prática, o Kali é mais estável e você pode adicionar qualquer ferramenta do TraceLabs manualmente. ### O que é o Kali Whoami e como deixar o Kali anônimo? O [Kali Whoami](https://github.com/owerdogan/whoami-project) é um projeto open source que transforma o Kali Linux numa máquina anônima. Ele altera IP (via Tor), DNS, MAC address, timezone, hostname e configurações do navegador com um único comando. Instalação: `git clone`, `cd whoami-project`, `sudo make install`. Uso: `sudo kali-whoami start`. Com todas as opções ativadas, seu IP pode aparecer na Alemanha, Austrália ou qualquer outro país por onde a rede Tor roteia. ### É seguro usar o TraceLabs como sistema operacional principal? Não recomendo. O TraceLabs tem uma comunidade menor que o Kali, o que significa que bugs demoram mais para serem corrigidos e atualizações de software podem quebrar o sistema. Na minha demonstração ao vivo, a versão ISO para Mac não veio com ferramentas instaladas e travou durante a instalação. Use o TraceLabs em máquina virtual, nunca como sistema principal. ### Que ferramentas OSINT posso instalar no Kali Linux? Praticamente todas. O repositório do Kali já tem Sherlock, Maltego, SpiderFoot e centenas de outras disponíveis via `sudo apt install`. Para ferramentas que não estão no repositório (como PhoneInfoga), basta clonar do GitHub e instalar. O Kali tem o maior ecossistema de ferramentas de segurança de qualquer distribuição Linux. ### Bruno Fraga usa o Tails ou o TraceLabs? Eu uso o Tails como sistema portátil — sempre tenho um pendrive na mochila para situações de campo (aeroportos, máquinas públicas). Para investigação no dia a dia, uso o Kali Linux com ferramentas personalizadas e, quando preciso de anonimato, uso o Kali Whoami. Não uso o TraceLabs. > **Veja também:** [As Melhores Ferramentas para OSINT — Aulão #038](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) ## Referências e Recursos - [TraceLabs — Site Oficial](https://www.tracelabs.org) - [TraceLabs OSINT VM no GitHub](https://github.com/tracelabs/tlosint-vm) - [TraceLabs Live ISO no GitHub](https://github.com/tracelabs/tlosint-live) - [Kali Linux — Site Oficial](https://www.kali.org) - [Oracle VirtualBox — Download](https://www.virtualbox.org) - [Whoami Project — Anonimato no Kali](https://github.com/owerdogan/whoami-project) - [Maltego — Plataforma de Investigação](https://www.maltego.com) - [Sherlock — Busca de Usernames](https://github.com/sherlock-project/sherlock) - [PhoneInfoga — OSINT para Telefone](https://github.com/sundowndev/phoneinfoga) - [SpiderFoot — Automação OSINT](https://github.com/smicallef/spiderfoot) - [DNS Dumpster — Reconhecimento DNS](https://dnsdumpster.com) - [BrowserLeaks — Verificação de Vazamentos](https://browserleaks.com) - [Tails OS — Sistema Portátil de Privacidade](https://tails.net) - [Have I Been Pwned — Verificar Vazamentos](https://haveibeenpwned.com) - [Hunter.io — Email Finder](https://hunter.io) - [DeHashed — Busca em Bases Vazadas](https://dehashed.com) --- ### Aulão #032 — Desmascarando Stalkers: Caso Real, OSINT e Investigação Ativa Contra Criminosos Online URL: https://brunofraga.com/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint Publicado: 2024-09-11 Tags: osint, investigacao-digital, ciberseguranca, privacidade YouTube: https://www.youtube.com/watch?v=MHv41xYhMwA Neste aulão em vídeo, eu e a Vitória Okida mostramos como desmascaramos um stalker real usando Osintgram, HiSpy e engenharia social. Do caso Elisa Mendes às ferramentas que você pode usar agora. ## O que você vai aprender neste aulão Como desmascarar stalkers e criminosos que se escondem atrás de perfis falsos na internet — essa é a pergunta que mais recebo da comunidade. E neste aulão eu trouxe alguém que fez exatamente isso: a Vitória Okida, especialista em segurança digital que identificou um stalker que aterrorizava uma família inteira por mais de um ano. Aqui você vai entender o passo a passo real de uma investigação ativa contra stalkers. Não é teoria. Tudo que discutimos foi demonstrado ao vivo, com ferramentas reais que você pode instalar agora. Vou te mostrar como o [Osintgram](https://github.com/Datalux/Osintgram) revelou a identidade de um criminoso conectando um perfil falso ao Facebook pessoal dele. Como o [HiSpy](https://hispy.io/) capturou o IP real do stalker quando ele clicou em uma isca. E como a análise de padrões entre múltiplas vítimas fechou o cerco. Mas mais do que ferramentas, você vai sair daqui entendendo por que a investigação ativa resolve em dias o que o processo judicial não resolve em meses. Por que a quebra de sigilo do Instagram não é o checkmate que todo advogado pensa que é. E por que a mentalidade do investigador importa mais do que qualquer software. ## O caso Elisa Mendes: quando o stalking vai além do digital O caso Elisa Mendes é um dos mais brutais de stalking digital que já vi no Brasil. E foi ele que conectou o trabalho da Vitória Okida ao meu radar. Elisa é uma influenciadora com 2 milhões de seguidores no Facebook que voltou do Japão e, logo depois, começou a ser perseguida por um indivíduo que ela nunca conheceu pessoalmente. O que começou com perfis falsos no Instagram usando fotos dela rapidamente escalou para algo sinistro. O stalker produziu deepfakes com pornografia infantil usando o rosto das filhas pequenas da Elisa. Colocou órgão genital masculino na mão de uma das meninas — tudo montagem, tudo usando inteligência artificial. Criou um perfil e publicou essas imagens. E o Instagram não derrubou por meses. Foram meses de conteúdo criminoso disponível na plataforma. Mas não parou no digital. Ele cancelou as linhas telefônicas da Elisa ligando para as operadoras se passando por ela. Cancelou cartões de crédito. Fez denúncias fraudulentas ao conselho tutelar dizendo que ela maltratava os filhos. A polícia civil ia toda semana na casa dela verificar se tinha comida na geladeira e se as crianças tinham hematomas. Sete vezes, pelo menos. E derrubou a monetização da página dela no Facebook denunciando uso de imagem — da própria imagem dela. Fazia pedidos do iFood para o endereço dela e depois interrogava os entregadores pedindo fotos do portão, se passando por irmã. O stalker não tinha a localização exata e usava os entregadores como olhos. E Vitória, ao ver tudo isso, decidiu agir. A Vitória viu um Reels da Elisa — um vídeo de 1,5 milhão de visualizações onde ela literalmente pedia socorro — e decidiu agir. Esse caso prova uma coisa que eu repito sempre: o que acontece no digital não fica no digital. A vida financeira, emocional e física da Elisa foi destruída por uma pessoa escondida atrás de um perfil falso. E o sistema não conseguiu ajudá-la a tempo. Se você quer entender como técnicas similares de investigação se aplicam em outros contextos, veja o [Aulão #3 — Desvendando um Golpe Real: Da Denúncia à Identificação](/aulao-semanal/investigacao-digital-casos-reais-golpe-olx), onde mostro outro caso completo do início ao fim. ## Como funciona a quebra de sigilo do Instagram na prática A primeira coisa que a maioria das vítimas e advogados pensa é: quebra de sigilo. Pede pro juiz, a Meta entrega os dados, pronto. Mas na prática é completamente diferente. A quebra de sigilo da Meta entrega basicamente três coisas: o e-mail vinculado à conta, o telefone de cadastro e os IPs de login. Nada de CPF. Nada de endereço. Nada de nome real. É um PDF com informações técnicas que a maioria dos advogados não sabe interpretar. E demora. O processo leva em média 90 dias. São três meses com o stalker ativo, fazendo deepfakes, cancelando suas contas, ameaçando sua família. Enquanto você espera. Tem outro detalhe que pouca gente sabe. A vítima precisa de um advogado **civilista**, não criminalista. A ação contra plataformas é uma ação reparadora — ação civil. É o civilista que entra contra a Meta, solicita a quebra, pede a derrubada do perfil falso. Muita gente contrata o advogado errado e perde tempo. E tem mais: o boletim de ocorrência precisa ser representado. Não basta registrar. Você precisa manifestar formalmente que quer dar seguimento, que quer que aquilo seja investigado. Sem representação, o BO vira papel. No caso da Elisa, um dos processos tinha 700 páginas. Setecentas. E quando finalmente levaram tudo mastigado para uma delegacia especializada em pedofilia em São Paulo, aí sim o inquérito andou. Mas isso só aconteceu porque a investigação ativa já tinha feito o trabalho pesado antes. ## Por que o IP não é suficiente para identificar um stalker Beleza, você esperou 90 dias, recebeu a quebra de sigilo e tem o IP do stalker. Acabou? Longe disso. Com o IP, o próximo passo é identificar a telecom — o provedor de internet que atribuiu aquele endereço. E aí começa outro calvário. No caso da Elisa, a telecom mandou 500 páginas em PDF. Quinhentas páginas de log com IPs de todos os usuários da rede. O dono da telecom falou: "Quer saber? Toma. Não sei identificar qual é o que vocês querem." A Vitória teve que mapear manualmente para encontrar o IP correto. Mas existem cenários piores. Telecoms pequenas podem simplesmente não ter log. O computador deu problema, perdeu os dados daquele dia. Já vi isso acontecer. Ou então — e esse é um caso real que eu soube — a telecom de um bairro controlado por facção fazia os dados sumirem quando chegava solicitação judicial. Pior: a facção avisava o investigado. "Sai daí, chegaram até o teu IP." E se o stalker usou VPN na hora do crime? O IP pode apontar para um servidor em outro país. Porém — ponto importante — muita gente cria a conta sem VPN e só depois começa a usar. O IP de criação da conta é um dado valioso que aparece na quebra de sigilo. A conclusão é que a via tradicional — quebra de sigilo, identificação de IP, telecom — funciona, mas é lenta, falha e incompleta. É por isso que a investigação ativa é o caminho complementar que resolve o que o sistema não consegue. ## OSINT no Instagram: como usar o Osintgram para investigar perfis falsos O [Osintgram](https://github.com/Datalux/Osintgram) é uma ferramenta gratuita e open source no GitHub que automatiza a coleta de dados públicos de perfis no Instagram. Foi a ferramenta que a Vitória usou para dar o primeiro passo na identificação do stalker. O que o Osintgram faz é simples: ele varre um perfil inteiro e extrai tudo que é público. Todos os endereços registrados nas fotos. Todas as descrições de todas as postagens. Todos os comentários. Todos os seguidores e quem a conta segue. Se algum perfil tem e-mail de contato exposto (perfis business, por exemplo), ele captura. Faz download de fotos, stories, locais tagueados. No caso da investigação, o stalker tinha um perfil falso com selo de verificação que era usado para os ataques. A Vitória rodou o Osintgram nesse perfil e descobriu algo que mudou tudo: **o perfil falso estava vinculado ao Facebook pessoal do autor**. Isso aconteceu por causa da central de contas da Meta. Quando você vincula Instagram e Facebook numa mesma central, existe uma conexão técnica entre as contas. O selo de verificação migrou junto com o vínculo. O stalker provavelmente nem sabia que essa conexão era visível. E Vitória percebeu isso no primeiro dia de investigação. ### Como instalar e usar Você pode instalar o Osintgram em Linux, macOS ou Windows — basta ter Python. O próprio repositório no GitHub tem instruções. Mas atenção a dois cuidados: 1. **Nunca use sua conta pessoal.** O Osintgram precisa de login no Instagram para funcionar. Use uma conta secundária criada só para investigação, porque a automação pode fazer o Instagram bloquear a conta. 2. **Funciona melhor com contas antigas.** Contas muito novas não retornam dados úteis. O perfil precisa ter um tempo de atividade para que a ferramenta consiga extrair informações relevantes. Se quiser se aprofundar em outras ferramentas de investigação de perfis, no [Aulão #12 — Técnicas de Investigação de Perfis no Twitter](/aulao-semanal/como-investigar-pessoas-no-twitter) eu mostro técnicas similares aplicadas a outra plataforma. E no [Aulão #31 — 4 Ferramentas para Investigar Pessoas Online](/aulao-semanal/ferramentas-para-investigar-pessoas-online-fontes-abertas) apresento um toolkit mais amplo com fontes abertas. ## Engenharia social como arma de investigação 90% das contas de Instagram invadidas no Brasil são por engenharia social. Não por exploits técnicos, não por vulnerabilidades de sistema. A criptografia da Meta é impecável — um sistema que vale bilhões de dólares não vai deixar porta aberta. O problema são os usuários. E se a engenharia social é a arma número um dos criminosos, por que não usar contra eles? A Vitória fez algo que poucos investigadores teriam coragem: acessou um dos perfis falsos do stalker usando sua conta pessoal. De propósito. Queria que ele visse que ela estava olhando. E funcionou — o stalker mandou mensagem. A partir daí, ela usou a conversa para confirmar informações que já tinha coletado de outras fontes. Jogou verdes para ver se ele entregava detalhes consistentes com o material das outras vítimas. E ele entregou. Essa técnica de engajamento com o alvo é algo que a Vitória destacou como fundamental. Não é só mandar um link e torcer para a pessoa clicar. É criar um cenário onde o criminoso se sente confortável ou provocado o suficiente para interagir. E nessa interação, cada palavra, cada padrão de escrita, cada detalhe vira evidência. Uma conversa aprofundada sobre engenharia social aplicada a investigações está no [Aulão #21 — Engenharia Social Aplicada em Investigações Digitais](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital). E se você quer ver como golpistas usam essas mesmas técnicas (e como contra-atacar), o [Aulão #29 — Contra-Atacando Golpistas com Investigação Ativa](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet) detalha o processo. ## HiSpy e rastreamento de IP: como capturar dados do stalker em tempo real O [HiSpy](https://hispy.io/) teve um papel decisivo na identificação do stalker da Elisa. É uma plataforma de investigação digital que funciona assim: você cria um link personalizado e, quando o alvo clica, o servidor captura em tempo real o IP, a geolocalização GPS, uma foto do rosto (pela câmera do dispositivo), o modelo do aparelho, sistema operacional, browser e operadora. E tudo isso em menos de um segundo. O alvo não percebe. No caso, como o stalker tinha o hábito de entrar em contato com as vítimas (inclusive para debochar da polícia, dizendo que nada ia dar para ele), a Vitória usou o HiSpy como isca. O stalker clicou. O IP capturado bateu com outro IP que já estava nas informações coletadas das outras vítimas. Confirmação cruzada. Mas o HiSpy não é limitado a um link direto. Você pode transformar o link em QR Code. Pode jogar no [Bitly](https://bitly.com) e criar um encurtador disfarçado. Pode embutir numa imagem, num convite, numa promoção falsa. As possibilidades de engenharia social com o HiSpy são enormes — depende da criatividade e do cenário. Uma dica importante: mesmo com VPN, o HiSpy consegue capturar dados do dispositivo. O stalker pode mascarar o IP, mas o modelo do celular, o sistema operacional e a geolocalização GPS (se as permissões estiverem ativas) ficam expostos. ## Padrões de comportamento: como o modus operandi entrega o criminoso Todo criminoso tem um padrão. Serial killers têm padrão. Estupradores têm padrão. E stalkers digitais também. No caso da Elisa, o stalker tinha outras vítimas. Quando a Vitória conseguiu material dessas outras vítimas e colocou as linhas temporais lado a lado — a primeira vítima em cima, a segunda embaixo — era idêntico. Entrega de alimentos na residência. Exposição de dados sensíveis. Deepfakes com símbolos religiosos satanistas. Colagens com o mesmo padrão visual. Cancelamento de serviços se passando pela vítima. As mesmas táticas, na mesma sequência. E essa análise de modus operandi foi o que conectou os casos. E é o que permitiu construir uma denúncia sólida com múltiplas evidências cruzadas. Outra fonte de evidência veio das gravações telefônicas. Quando o stalker ligou para operadoras se passando pela vítima para cancelar serviços, não usou modificador de voz. E aqui vai uma informação que muita gente não sabe: **você pode solicitar à operadora a gravação de qualquer chamada feita à central de atendimento**. Como titular da linha, você tem direito legal a essa gravação. Não precisa de ordem judicial. A Vitória obteve esses áudios. Comparou com gravações que as outras vítimas tinham (o stalker ligava por vídeo para mostrar o corpo — e as vítimas gravaram). Um perito analisou os áudios. A voz batia. E Vitória teve certeza naquele momento. Então pense no que se acumulou: vínculo Instagram-Facebook via Osintgram. IP capturado pelo HiSpy cruzando com IP de outras vítimas. Padrão de modus operandi idêntico entre vítimas. Análise pericial de áudio confirmando a mesma voz. Modo de escrita similar. Tudo isso formou o que chamamos de relatório de inteligência — não é uma prova judicial única, mas um conjunto de conexões que fundamenta a evidência. O caso foi levado para uma delegacia especializada em pedofilia em São Paulo e corre em segredo de justiça. ## Gravações telefônicas: a prova que ninguém sabe que pode pedir Esse ponto merece destaque porque quase ninguém sabe. Se um stalker ligar para a sua operadora, banco ou qualquer central de atendimento se passando por você — aquela chamada foi gravada. Você, como titular da conta, pode ligar para a operadora e solicitar: "Eu quero a gravação de chamada realizada no dia tal, horário tal." Não precisa de advogado. Não precisa de ordem judicial. É um direito seu como consumidor. No caso da Elisa, essas gravações revelaram a voz real do stalker. Combinadas com áudios que ele mesmo enviou dos perfis falsos e com chamadas de vídeo que outras vítimas gravaram, criou-se um material consistente para perícia. Essa é uma dica prática que eu compartilho com todos que estão lidando com qualquer tipo de crime digital envolvendo contato telefônico. A primeira coisa que você faz: solicita a gravação. É evidência concreta. ## Como pesquisar técnicas OSINT para qualquer plataforma Eu demonstrei ao vivo no aulão um método simples que uso para pesquisar técnicas de investigação para qualquer plataforma. E é mais simples do que você imagina. Abre o Google. Digita o nome da plataforma + "OSINT" entre aspas duplas. Discord OSINT. Instagram OSINT. Microsoft Teams OSINT. Quando pesquisei "Discord OSINT" ao vivo, encontrei em segundos um guia completo com: como capturar o User ID (que não muda mesmo se a pessoa trocar o nome de usuário), como descobrir quando uma conta foi criada, como extrair chats, templates de investigação passo a passo, técnicas de pentesting. Para Instagram, além do Osintgram, encontrei o InstaloSync — outra ferramenta que extrai seguidores, ID, IGTV e highlights. Cada plataforma tem um ecossistema inteiro de ferramentas e técnicas documentadas pela comunidade. Mas a pesquisa não para no primeiro resultado. Use `filetype:pdf` para encontrar documentação técnica aprofundada. Pesquise em repositórios como o [OSINT Brazuca no GitHub](https://github.com/osintbrazuca/osint-brazuca), que reúne fontes e ferramentas no contexto brasileiro. Leia os estudos de caso — como um investigador pegou um nome de usuário, cruzou com um ID, usou uma hashtag, voltou para o Osintgram e montou um fluxo de investigação completo. Dois livros que recomendo para aprofundamento: um sobre segurança operacional com mais de mil páginas (como ter endereço fantasma, telefone burner, contas alternativas — tudo o que um investigador precisa para se proteger durante uma investigação). E o "Open Source Intelligence Techniques" de Michael Bazzell, também com mais de mil páginas de técnicas OSINT, com foco em técnicas e conexões, não em ferramentas. Para quem quer começar a praticar, o [Aulão #17 — Desafios Práticos para Treinar Investigação Digital](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) traz exercícios hands-on. E o [Aulão #5 — 4 Técnicas para Investigar Qualquer Pessoa na Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) cobre os fundamentos de OSINT que você precisa dominar antes de enfrentar um caso real. ## O que fazer se você é vítima de stalking digital Se você está passando por uma situação de stalking, aqui vai o passo a passo que a Vitória Okida compartilhou: 1. **Registre um boletim de ocorrência imediatamente.** Stalking é crime no Brasil desde 2021 — [artigo 147-A do Código Penal](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/lei/l14132.htm), com pena de reclusão de 6 meses a 2 anos. A pena aumenta pela metade se for contra criança, mulher ou idoso, ou com uso de arma. 2. **Represente o boletim de ocorrência.** Manifestar formalmente que você quer que o caso seja investigado. Sem isso, o BO não anda. 3. **Contrate um advogado civilista, não criminalista.** Para entrar contra plataformas (Meta, Google, operadoras), a ação é civil, reparadora. 4. **Documente absolutamente tudo.** Print de tela com data e hora. URLs dos perfis. Mensagens recebidas. Ligações. Pedidos falsos. Tudo. 5. **Solicite gravações de chamadas.** Se o stalker ligou para qualquer central se passando por você, peça a gravação como titular. 6. **Procure profissionais especializados.** Investigadores digitais, peritos, ativistas — pessoas como a Vitória que atuam nesse tipo de caso. Não espere o sistema agir sozinho. A combinação de ação legal (BO, advogado) com investigação ativa (OSINT, engenharia social, ferramentas de captura) é o que produz resultado. Para entender melhor seus direitos digitais e como agir para remover conteúdo indevido, o [Aulão #26 — Como Remover Conteúdo da Internet](/aulao-semanal/como-remover-conteudo-da-internet-guia-pratico) detalha o processo do mapeamento à notificação extrajudicial. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Osintgram | Coleta automatizada de dados públicos de perfis Instagram (seguidores, e-mails, vínculos, fotos, metadados) | [Osintgram no GitHub](https://github.com/Datalux/Osintgram) | | HiSpy | Captura de IP, geolocalização GPS, foto facial e dados de dispositivo quando o alvo clica em um link | [HiSpy](https://hispy.io/) | | Bitly | Encurtador de URLs para camuflar links de rastreamento em cenários de engenharia social | [Bitly](https://bitly.com) | | Kali Linux | Distribuição Linux com ferramentas de segurança ofensiva e testes de penetração | [Kali Linux](https://www.kali.org) | | Hashcat | Ferramenta avançada de recuperação e cracking de senhas | [Hashcat](https://hashcat.net/hashcat/) | | OSINT Brazuca | Repositório brasileiro com compilado de ferramentas e fontes OSINT | [OSINT Brazuca no GitHub](https://github.com/osintbrazuca/osint-brazuca) | ## Perguntas Frequentes ### Como desmascarar um stalker na internet? A forma mais efetiva combina investigação ativa com ferramentas OSINT. Use o Osintgram para extrair dados públicos de perfis Instagram (incluindo vínculos com outras contas). Use o HiSpy para capturar IP e geolocalização quando o stalker interagir com um link. Aplique engenharia social para engajar com o alvo e coletar informações. Analise padrões de comportamento cruzando dados de múltiplas vítimas. Tudo isso complementa (e muitas vezes supera) o processo judicial tradicional. ### Stalking é crime no Brasil? Sim. Desde 2021, o stalking é tipificado no artigo 147-A do Código Penal brasileiro pela Lei 14.132/2021. A pena é de reclusão de 6 meses a 2 anos, mais multa. A pena é aumentada pela metade se cometido contra criança, adolescente, idoso, mulher por razão do sexo, ou com uso de arma. É um crime que exige conduta reiterada — ou seja, a perseguição precisa ser repetida. ### O que a Meta entrega na quebra de sigilo do Instagram? A Meta entrega basicamente e-mail vinculado à conta, telefone de cadastro e IPs de login (incluindo o IP de criação da conta). Não entrega CPF, nome real, endereço ou localização. O processo demora em média 90 dias e o resultado requer análise técnica que a maioria dos advogados não está preparada para fazer. ### Que tipo de advogado cuida de casos de stalking? Um advogado civilista, não criminalista. A ação contra plataformas digitais (solicitar quebra de sigilo, derrubada de perfil, reparação de danos) é uma ação civil. O criminalista atua na esfera penal. As duas esferas podem correr em paralelo, mas o civilista é quem vai agir contra a Meta, Google, operadoras. ### É legal usar ferramentas OSINT como o Osintgram? Sim. Ferramentas OSINT trabalham exclusivamente com informações de domínio público — dados que qualquer pessoa pode acessar na internet. O Osintgram não invade nenhum sistema e não acessa informações privadas. Utilizar dados públicos para investigação não é crime. O que importa é a finalidade e o contexto legal da investigação. ### O que é investigação ativa contra crimes digitais? Investigação ativa é quando o investigador interage diretamente com o alvo ou o ambiente digital dele. Inclui engenharia social (engajar em conversa com o suspeito), uso de ferramentas de captura como o HiSpy, infiltração em grupos, criação de cenários para provocar interação. É o oposto da investigação passiva (apenas coletar dados públicos sem interação). É mais arriscada, mas produz resultados imediatos que o processo judicial demora meses para conseguir. ### Como solicitar gravação de chamada da operadora? Ligue para a central de atendimento da operadora como titular da linha e solicite formalmente a gravação de chamadas realizadas em datas e horários específicos. Você tem direito como consumidor. Não precisa de ordem judicial. Se um stalker ligou para a operadora se passando por você, essa gravação contém a voz dele — evidência concreta para perícia. ### Vale a pena investigar por conta própria ou esperar a polícia? A realidade é que existem cerca de 4.500 cidadãos para cada investigador policial. A máquina pública não está preparada para agir rapidamente em casos de stalking digital. Investigar por conta própria (ou contratar um profissional) não substitui a polícia — complementa. Você coleta dados, monta um relatório de inteligência e entrega mastigado para a autoridade policial. Foi exatamente isso que a Vitória fez no caso da Elisa, levando o material para uma delegacia especializada em São Paulo. > **Veja também:** [Perícia Forense na Prática: Como Investigar Cenas de Crimes — Aulão #037](/aulao-semanal/pericia-forense-como-funciona-investigar-cenas-de-crimes) > **Veja também:** [Como Encontrar Bens Ocultos de Devedores — Aulão #047](/aulao-semanal/como-encontrar-bens-ocultos-devedores-investigacao-patrimonial) > **Veja também:** [HI SPY: Como Funciona a Ferramenta de Investigação Digital — Aulão #051](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) ## Referências e Recursos - [Osintgram — Ferramenta OSINT para Instagram](https://github.com/Datalux/Osintgram) - [HiSpy — Plataforma de Investigação Digital](https://hispy.io/) - [Lei 14.132/2021 — Crime de Stalking no Brasil](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2021/lei/l14132.htm) - [OSINT Brazuca — Ferramentas e Fontes OSINT Brasil](https://github.com/osintbrazuca/osint-brazuca) - [Kali Linux — Distribuição de Segurança](https://www.kali.org) - [Hashcat — Ferramenta de Recuperação de Senhas](https://hashcat.net/hashcat/) - [Bitly — Encurtador de URLs](https://bitly.com) - [O Crime de Stalking (Art. 147-A CP): Guia Prático](https://legale.com.br/blog/o-crime-de-stalking-art-147-a-cp-guia-pratico/) --- ### Aulão #031 — 4 Ferramentas para Investigar Pessoas Online com Fontes Abertas URL: https://brunofraga.com/aulao-semanal/ferramentas-para-investigar-pessoas-online-fontes-abertas Publicado: 2024-09-10 Tags: osint, investigacao-digital, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=7uA-HsuB5sk Demonstração ao vivo de 4 ferramentas para investigar pessoas online usando fontes abertas: fontes de dados do governo, identificadores (email/telefone), HSPY e fantoches digitais. Aulão em vídeo com casos reais de investigação criminal. ## O que você vai aprender neste aulão Se você quer saber como investigar pessoas online de forma legal, este aulão é para você. Eu demonstrei ao vivo, com dados reais de participantes, 4 ferramentas que uso no dia a dia dos meus serviços de investigação digital e relatórios de inteligência. Você vai aprender a consultar mais de 80 fontes de dados do governo brasileiro para localizar pessoas, descobrir como um simples e-mail revela toda a vida digital de alguém (incluindo reviews no Google Maps, dispositivos conectados e última atividade online), entender como funciona o [HSPY](https://hispy.io/) para capturar geolocalização de investigados, e dominar a técnica de criação de fantoches — que eu considero a mais poderosa e subestimada da investigação digital hoje. Tudo isso sem hackear, sem invadir, sem precisar de painel clandestino. Fontes abertas, dados públicos, técnicas legais. E com casos reais: de foragidos localizados via aplicativo de corrida a fraudes de R$200 milhões desvendadas com perfis falsos estratégicos. Eu mostrei cada ferramenta funcionando ao vivo, com emails de voluntários da própria live. Se você quer entender como profissionais de investigação digital trabalham na prática, este aulão é o ponto de partida. ## Fontes de dados do governo: a ferramenta mais subestimada da investigação Fontes de dados públicas do governo brasileiro são o primeiro recurso que eu uso em qualquer investigação de pessoas. O Brasil tem mais de 80 fontes de dados abertas que permitem consultar desde zona eleitoral até antecedentes criminais — tudo legal, tudo público. Vou te dar um exemplo prático que uso bastante: preciso localizar uma pessoa desaparecida. Tenho o nome completo e a data de nascimento. Primeiro passo? Consultar o [título eleitoral no TSE](https://www.tse.jus.br/servicos-eleitorais/titulo-eleitoral/consulta-por-nome). Por que? Porque mesmo quem desaparece, muda de cidade e tenta sumir do mapa precisa re-registrar o título eleitoral nas próximas eleições. E essa informação é pública. Com o nome e a data de nascimento, eu descubro a zona eleitoral ativa da pessoa. A investigação deixa de ser "Bruno Fraga no Brasil inteiro" e vira "Bruno Fraga em Santa Catarina, na cidade tal, zona eleitoral tal". Isso segmenta a busca drasticamente. E Funciona mesmo com quem tenta desaparecer de propósito. ### O que você encontra em fontes governamentais Com um CPF, você acessa a [Receita Federal](https://servicos.receita.fazenda.gov.br/servicos/cpf/consultasituacao/consultapublica.asp) e descobre o nome completo do titular e a situação cadastral. Sem painel clandestino, sem dados vazados — direto do site do governo. Além disso, você pode consultar: - Benefícios sociais (Bolsa Família, seguro-desemprego) - Situação cadastral de CNPJ - Processos judiciais - Mandados de prisão - Antecedentes criminais na Polícia Federal - Dados do [Portal da Transparência](https://portaldatransparencia.gov.br/) (passagens aéreas, gastos públicos) Eu mesmo apareço no Portal da Transparência com várias passagens aéreas emitidas pelo governo para treinamentos. Qualquer pessoa pode consultar isso. O repositório [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca) compila mais de 1.600 links de fontes de dados brasileiras organizados em bookmarks. E o melhor ponto de partida para quem quer explorar esse universo. Se você já conhece os fundamentos de OSINT que cobri no [Aulão #1 — Os 4 Segredos para Dominar OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos), estas fontes de dados são o próximo passo natural. ## Como fazer background check no Brasil com fontes abertas Background check é a consulta automatizada de múltiplas fontes de dados públicas sobre uma pessoa ou empresa. Custa centavos e entrega dezenas de páginas de informação em minutos. Na live eu mostrei a [Exato Digital](https://exato.digital/), uma startup brasileira que automatiza esse processo. Ela consulta Receita Federal (7 tipos de consulta), IBAMA, TST, IEPB, Portal do Empreendedor, Polícia Federal, eSocial, SUFRAMA, CNJ, MTE, Correios, CGU, Bolsa Família, Caixa, Sintegra, eMetro, TCU e mais. Uma consulta em massa custa R$1. Uma individual, 30 centavos. Eu mostrei meu próprio relatório: 33 páginas com situação do CPF, protestos em cartório, consulta eleitoral, processos judiciais, antecedentes criminais, tudo compilado automaticamente. Um relatório que um investigador levaria horas para montar manualmente. ### Quem precisa de background check Investidores anjo antes de aportar dinheiro numa startup. Eu já investiguei CEOs a pedido de investidores que iam colocar R$200 mil num aporte — descobrimos processos trabalhistas anteriores de colaboradores que comprometiam a operação. RH para contratações. Parceiros comerciais antes de fechar sociedade. Advogados para due diligence. E você pode oferecer isso como serviço. Background check com fontes abertas é uma demanda real e crescente no Brasil. Se você quer se aprofundar nas ferramentas que todo investigador precisa dominar, veja o [Aulão #4 — 7 Ferramentas que Todo Investigador Digital Precisa Conhecer](/aulao-semanal/ferramentas-de-investigacao-digital). ## Investigação via redes sociais: Instagram como ferramenta de vigilância Redes sociais são fontes de dados públicas tão poderosas quanto as governamentais. E a maioria das pessoas não percebe o quanto expõe. Demonstrei ao vivo uma técnica no Instagram que pouca gente conhece: buscar um endereço na barra de pesquisa. Digitei "Avenida Paulista 171", apertei em "lugares" e selecionei o local. Resultado? Stories publicados naquela região nas últimas 24 horas. Literalmente ter olhos em qualquer rua do mundo pelos olhos de quem está lá. Vi stories da Praça da Sé (23 horas atrás, 1 hora atrás, 6 horas atrás), de uma Smart Fit na região, de comércios locais. Se você sabe onde seu investigado mora ou frequenta, pode monitorar os arredores remotamente. Uma pessoa numa balada, num restaurante, numa academia — você busca o local no Instagram e vê por dezenas de ângulos. Outra técnica: Google com nome completo entre aspas duplas. Parece básico, mas a quantidade de informação que aparece surpreende até profissionais experientes. E para quem investiga perfis no Twitter especificamente, existe até ferramenta que descobre que horas a pessoa dorme analisando os horários dos tweets — como cobri no [Aulão #12 — Como Investigar Pessoas no Twitter](/aulao-semanal/como-investigar-pessoas-no-twitter). ## Como encontrar todas as redes sociais de alguém usando identificadores Um identificador — email, username ou telefone — é a chave que abre toda a vida digital de uma pessoa. Eu demonstrei 3 níveis de sofisticação, do básico ao avançado, usando emails reais de participantes da live. ### Nível 1: Enumeração básica com WhatsMyName O [WhatsMyName](https://whatsmyname.app/) é a melhor ferramenta gratuita hoje para encontrar redes sociais por username. Pesquisei "brunofraga.me" e encontrei: Gravatar, Pastebin, Pinterest, Trello, Duolingo (incluindo meu estudo diário de inglês e coreano), TikTok. Tudo em segundos, tudo gratuito. E Sem precisar instalar nada no computador. Mas isso é nível 1. E superficial. Ferramentas como [Sherlock](https://github.com/sherlock-project/sherlock) fazem algo parecido — verificam se um username existe em centenas de plataformas via requisição HTTP. Funciona, mas perde muita coisa. ### Nível 2: Extração avançada com OSINT Industries O [OSINT Industries](https://www.osint.industries/) mudou o jogo da investigação por identificadores. Diferente do Sherlock e do WhatsMyName, ele não faz apenas requisição HTTP. Ele implementou mecanismos que exploram APIs de desenvolvedores, sistemas de recuperação de senha e verificação de contas em mais de 1.500 fontes. Na live, peguei o email do Jefferson (voluntário do chat) e rodei no OSINT Industries. O que veio? Uma timeline completa dos reviews dele no Google Maps — a igreja que visitou no Rio de Janeiro, o restaurante Uruguaiana 24 onde almoçou, a Solute Digital (provavelmente trabalha com TI). Locais, datas, o que escreveu em cada review. Mas o detalhe que muda investigações criminais: o Facebook. Quando você tenta recuperar a senha do Facebook com um telefone, ele revela os 2 últimos dígitos do número cadastrado. Eu tive uma investigação criminal recente onde esse mecanismo revelou um telefone que não estava na quebra de sigilo da polícia. O investigado tinha um WhatsApp adicional que ninguém sabia da existência. Com o Angelo (outro voluntário), descobri a conta Microsoft dele e a última data de acesso — 26 de fevereiro. Perguntei ao vivo no chat: "Angelo, foi dia 26 de fevereiro que você entrou na Microsoft pela última vez?" Confirmou. Isso é sinistro porque numa investigação criminal você consegue saber se o investigado está logando ou não nas plataformas. E o Google? Através do GaiaID — um sistema interno do Google que vaza por APIs de desenvolvedores — você extrai reviews do Maps, endereços, localização, último acesso, dispositivo utilizado. Se o usuário tem serviço de mapas ativo, isso pode alimentar ferramentas como o HSPY para investigação ativa. Para quem não quer pagar, o [DaProfiler](https://github.com/daprofiler/DaProfiler) é um projeto open source em Python que faz algo similar. Conecta redes sociais e extrai dados gratuitamente. Precisa de Python 3.8 e Firefox. ### Nível 3: Mapa investigativo com conexões A terceira ferramenta que mostrei (reservei detalhes para o workshop Arma Secreta) conecta todos esses dados num mapa visual. A diferença? Ela não entrega dados soltos — ela gera conexões entre identificadores. Com o email do Marco Informatica (outro voluntário), a ferramenta trouxe contas relacionadas. Uma conta WordPress levou a outro email. Esse email levou a um vazamento do Canva que expunha senha e um terceiro email. Esse terceiro email levou ao nome real, que levou a um telefone, que levou a conexões com outras pessoas — incluindo a mãe dele. Cada extensão dessas gera novas ramificações. Um email vira 4 emails, que viram 6 telefones, que viram 12 redes sociais, que viram localizações, dispositivos, familiares. Como eu disse na live: "esse emaranhar é inteligência pura, a mais pura inteligência". Se você quer entender como vazamentos de dados alimentam essas conexões, vale revisitar o [Aulão #9 — Como Investigar Vazamentos de Senhas](/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas). ### Caso real: do email ao aplicativo de corrida de um foragido Num caso real de investigação criminal, começamos com apenas um telefone. Esse telefone, via extração de dados de plataformas, revelou uma conta Google. A conta Google tinha reviews numa Smart Fit. Fomos ao Instagram da Smart Fit e pesquisamos o nome do investigado entre os seguidores. Encontramos o Instagram que não existia por métodos convencionais. Do Instagram chegamos ao My Fitness Pal com check-ins de academia, ao Twitter e ao aplicativo de corrida Nike Run Club. O criminoso — foragido com recompensa por ter matado um policial — tinha o mapa das suas corridas exposto publicamente. Rota, horários, frequência. Localizado. E Tudo começou com um único telefone. Esse caso prova que aplicativos aparentemente inofensivos como fitness trackers são minas de ouro para investigação. Se você já conhece as [4 Técnicas para Investigar Qualquer Pessoa na Internet do Aulão #5](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), as ferramentas deste aulão levam tudo a outro nível. ## Como funciona o HSPY na investigação digital ativa O [HSPY (HI SPY)](https://hispy.io/) é uma ferramenta de investigação ativa que captura geolocalização GPS, IP, foto da câmera e dados do dispositivo quando o alvo clica num link. A diferença fundamental: tudo que mostrei até aqui é investigação passiva (fontes abertas, sem interação com o alvo). O HSPY exige que você envie um link para o investigado e ele clique. É investigação ativa — você precisa ter um pretexto, um contexto, uma interação. Na live, gerei um link disfarçado de Google Drive ("ver contrato freelancer"). Quando o alvo clica, a página parece legítima. Mas o HSPY captura no backend: localização GPS precisa, endereço IP, sistema operacional, e pode até ativar a câmera frontal para tirar uma foto. Mostrei resultados reais de testes: localização do clique no mapa, sistema operacional, foto capturada. E mencionei dois casos concretos: uma pessoa desaparecida encontrada com o HSPY e uma operação que desarticulou meio milhão de reais em fraude. Eu não recomendo depender só do HSPY — ele funciona melhor como complemento das técnicas passivas. Primeiro você mapeia a pessoa com fontes abertas e identificadores, depois usa o HSPY para confirmar localização em tempo real. Para quem quer entender investigação ativa contra golpistas, esse tema conecta com o [Aulão #29 — Como Contra-Atacar Golpistas na Internet](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet). ## Fantoches digitais: a técnica mais efetiva e subestimada da investigação Criar perfis falsos estratégicos para engajamento investigativo é, na minha opinião, a técnica mais importante da investigação digital hoje. Mas quase ninguém investe tempo nisso de verdade. Não estou falando de criar um "perfil fake" qualquer. Isso é amador e levanta desconfiança imediatamente. Um fantoche profissional exige: identidade completa (nome, dados, idade), email e telefone dedicados (com chip registrado adequadamente, na região correta), perfil aquecido com histórico de meses ou anos, seguidores reais, engajamento orgânico. ### Como eu monto fantoches na prática Descobri que existe um mercado de contas de anúncio do Facebook onde pessoas criam e aquecem perfis de Instagram e Facebook por meses antes de revender. Um perfil aquecido com histórico de 1 ano custa entre R$50 e R$100. Na minha empresa, temos mais de 100 perfis comprados, todos aquecidos, antigos, com seguidores e engajamento real. Quando preciso investigar alguém, pego um desses fantoches, adapto o perfil para o contexto da investigação e começo a operar. A vantagem? O perfil não foi criado ontem. Tem histórico. Não levanta suspeita. ### Casos reais com fantoches **Torcida do Grêmio:** Um advogado precisava do vídeo de uma briga entre torcedores como evidência. Criamos um fantoche de torcedora do Grêmio — com camisa, estereótipo, todo o perfil adequado. Entrou no grupo do WhatsApp dos torcedores, interagiu por 3 dias. Depois escreveu: "amigos, como que foi essa briga aí?" Um dos membros mandou o vídeo. Evidência baixada, fantoche ainda no grupo. **Foragido top do Brasil localizado:** Caso recente onde contribui com a segurança pública. Ninguém conseguia encontrar o cara — era um dos maiores foragidos do Brasil. Pegamos o Instagram de um familiar próximo que certamente sabia o paradeiro. Criamos um fantoche se passando por amiga da infância (faculdade ou ensino médio) desse familiar. Solicitou acesso ao Instagram privado, foi aceita, trocou mensagens e monitorou stories da conta privada com poucos seguidores. Checkmate. **Fraude de R$200 milhões:** Me passei por um fazendeiro — vítima potencial de golpe. Engajei com os golpistas, fiz chamadas de voz, negociei, conversei. As mesmas falhas de engenharia social que a vítima tem, o criminoso também tem. Obtive as informações necessárias para o checkmate. Essa técnica conecta diretamente com os princípios de [engenharia social que ensinei no Aulão #21](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital). **Apreensão via Messenger:** Ajudei policial civil a prender uma pessoa trocando mensagens em tempo real no Messenger via fantoche. A pessoa não suspeitou de nada. ### Cuidados com fantoches Fantoche pode ser crime dependendo do contexto. Precisa de cuidado com o modus operandi e o ambiente de trabalho. Segurança operacional é obrigatória: tudo no computador criptografado, nada armazenado sem proteção. E lembre-se: sigilo de fonte só protege advogados e jornalistas. Se você não é um deles, mantenha anonimização total de tudo. ## Ferramentas de espionagem com hardware da Hak5 No final do aulão, mencionei ferramentas de espionagem intrusiva — diferente de tudo que mostrei antes, que era não intrusivo. Essas são para contextos autorizados (segurança publica, pentest com autorização, testes de segurança corporativa). A [Hak5](https://shop.hak5.org/) fabrica dispositivos compactos e discretos: - **[Screen Crab](https://shop.hak5.org/products/screen-crab):** Fica entre o cabo HDMI é o monitor. Captura tudo que aparece na tela e transmite remotamente via Wi-Fi. Voce abre o celular e vê o que acontece naquela tela, em planta, sem a pessoa perceber. - **[Key Croc](https://shop.hak5.org/products/key-croc):** Fica entre o teclado é o computador. Keylogger físico que captura tudo que e digitado e permite executar comandos remotamente. Imperceptível — fica atrás do gabinete. - **[LAN Turtle](https://shop.hak5.org/products/lan-turtle):** Parece um adaptador USB Ethernet genérico. Conecta na rede e captura todo o tráfego. Stealth total. - **[Wi-Fi Pineapple Enterprise](https://shop.hak5.org/products/wifi-pineapple):** Captura todo o tráfego Wi-Fi de um prédio inteiro. Tudo que as pessoas fazem online, monitorado. - **[SharkJack](https://shop.hak5.org/products/shark-jack):** Dispositivo portátil para reconhecimento de rede. Essas ferramentas são usadas pela policia e por profissionais de segurança. Mas são intrusivas — exigem acesso físico e autorização. Diferente de tudo que ensinei neste aulão, que funciona 100% remotamente com fontes abertas. Para quem esta comecando na area, recomendo primeiro dominar as técnicas não intrusivas antes de partir para hardware — veja o [Aulão #22 — Como Comecar na Investigação Digital](/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias). ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | TSE — Consulta Título Eleitoral | Descobrir zona eleitoral e local de votação de uma pessoa | [TSE Serviços Eleitorais](https://www.tse.jus.br/servicos-eleitorais/titulo-eleitoral/consulta-por-nome) | | Receita Federal — Consulta CPF | Verificar situação cadastral e nome completo pelo CPF | [Receita Federal](https://servicos.receita.fazenda.gov.br/servicos/cpf/consultasituacao/consultapublica.asp) | | Portal da Transparência | Consultar gastos públicos, benefícios sociais e passagens | [Portal da Transparência](https://portaldatransparencia.gov.br/) | | OSINT Brazuca | Repositório com 1.600+ fontes de dados OSINT do Brasil | [OSINT Brazuca (GitHub)](https://github.com/osintbrazuca/osint-brazuca) | | Exato Digital | Background check automatizado em fontes governamentais | [Exato Digital](https://exato.digital/) | | WhatsMyName | Encontrar redes sociais por username em 500+ plataformas | [WhatsMyName App](https://whatsmyname.app/) | | OSINT Industries | Extracao avançada de dados por email/telefone de 1.500+ fontes | [OSINT Industries](https://www.osint.industries/) | | DaProfiler | Alternativa gratuita ao OSINT Industries em Python | [DaProfiler (GitHub)](https://github.com/daprofiler/DaProfiler) | | Sherlock | Busca de usernames em redes sociais (open source) | [Sherlock (GitHub)](https://github.com/sherlock-project/sherlock) | | HI SPY (HSPY) | Captura de geolocalização, IP e câmera via link rastreador | [HI SPY](https://hispy.io/) | | Screen Crab | Captura remota de tela via implante HDMI | [Screen Crab (Hak5)](https://shop.hak5.org/products/screen-crab) | | Key Croc | Keylogger físico com acesso remoto e payloads | [Key Croc (Hak5)](https://shop.hak5.org/products/key-croc) | | LAN Turtle | Captura de tráfego de rede via adaptador USB stealth | [LAN Turtle (Hak5)](https://shop.hak5.org/products/lan-turtle) | ## Perguntas Frequentes ### Como investigar uma pessoa na internet de forma legal? Use exclusivamente fontes abertas: dados públicos do governo (TSE, Receita Federal, portais de transparência), redes sociais públicas e ferramentas de OSINT como WhatsMyName e OSINT Industries. Tudo que é públicado voluntariamente ou disponibilizado pelo governo é legal para consulta. O limite é claro: não invada sistemas, não use dados vazados ilegalmente, não instale spyware sem autorização. ### Quais ferramentas OSINT são gratuitas para investigar pessoas? WhatsMyName para encontrar redes sociais por username, DaProfiler (Python) para extração de dados de plataformas, OSINT Brazuca como compilado de fontes brasileiras, e os próprios portais do governo (TSE, Receita Federal, Portal da Transparência). O Google com nome entre aspas duplas também revela informações que surpreendem até profissionais. ### O que e background check é como fazer no Brasil? Background check é a consulta automatizada de múltiplas fontes de dados públicas sobre uma pessoa ou empresa. No Brasil, plataformas como a Exato Digital consultam Receita Federal, Polícia Federal, CNJ, TST e dezenas de outros órgãos. Uma consulta individual custa 30 centavos e gera relatórios de até 33 páginas em minutos. ### Como descobrir todas as redes sociais de alguém pelo email? Use o OSINT Industries para pesquisar o email — ele verifica mais de 1.500 plataformas usando APIs e mecanismos de recuperação de senha, não apenas requisições HTTP. Alternativa gratuita: DaProfiler em Python. Para busca por username, use WhatsMyName ou Sherlock. A combinação das ferramentas em níveis (enumeração basica, extração avançada, mapa de conexões) entrega resultados que nenhuma ferramenta isolada consegue. ### E crime criar fantoche para investigação digital? Depende do contexto. Membros de segurança publica, investigadores privados e advogados podem usar fantoches dentro de seus mandatos profissionais. Para civis, o limite e engenharia social não intrusiva — não se passar por autoridade, não extorquir, não ameacar. Segurança operacional é obrigatória: criptografia total, anonimização, consciência de que sigilo de fonte protege apenas advogados e jornalistas. ### O que é o GaiaID do Google e por que e importante para OSINT? GaiaID é um sistema interno do Google que expõe dados quando você conecta APIs de desenvolvedor. Através dele, você acessa reviews do Google Maps, endereços visitados, último acesso a conta, dispositivo utilizado — tudo vinculado a um email Gmail. E uma das fontes mais ricas que o OSINT Industries explora. ### Como o HSPY captura a localização de alguém? O HSPY gera um link rastreador disfarçado (aparece como Google Drive, por exemplo). Quando o alvo clica, o browser pede permissão de geolocalização. Se concedida, captura GPS preciso. Mesmo sem GPS, captura o IP público que revela localização aproximada. Também pode ativar câmera frontal. É investigação ativa — exige interação com o alvo. ### Qual a diferença entre investigação passiva e ativa? Investigação passiva usa fontes abertas sem nenhum contato com o alvo: consultar dados do governo, analisar redes sociais públicas, pesquisar identificadores. Investigação ativa envolve interação: enviar link do HSPY, criar fantoche para engajar, trocar mensagens. A passiva e mais segura e legal. A ativa exige mais cuidado com limites éticos e legais. > **Veja também:** [14 Técnicas para Descobrir o Dono de um WhatsApp na Prática — Aulão #35](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) > **Veja também:** [As Melhores Ferramentas para OSINT — Aulão #038](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) > **Veja também:** [Inteligência de Mercado com OSINT: Vantagem Desleal Ética para Empresários — Aulão #046](/aulao-semanal/inteligencia-de-mercado-osint-empresarial-google-dorks) ## Referências e Recursos - [OSINT Brazuca — Repositório de fontes OSINT brasileiras](https://github.com/osintbrazuca/osint-brazuca) - [OSINT Industries — Plataforma de investigação por identificadores](https://www.osint.industries/) - [WhatsMyName — Busca de usernames em 500+ plataformas](https://whatsmyname.app/) - [DaProfiler — Ferramenta OSINT open source em Python](https://github.com/daprofiler/DaProfiler) - [Sherlock — Busca de usernames em redes sociais](https://github.com/sherlock-project/sherlock) - [Exato Digital — Background check automatizado](https://exato.digital/) - [HI SPY — Ferramenta de investigação digital ativa](https://hispy.io/) - [TSE — Consulta de título eleitoral](https://www.tse.jus.br/servicos-eleitorais/titulo-eleitoral/consulta-por-nome) - [Receita Federal — Consulta de CPF](https://servicos.receita.fazenda.gov.br/servicos/cpf/consultasituacao/consultapublica.asp) - [Portal da Transparência](https://portaldatransparencia.gov.br/) - [Screen Crab — Hak5](https://shop.hak5.org/products/screen-crab) - [Key Croc — Hak5](https://shop.hak5.org/products/key-croc) - [LAN Turtle — Hak5](https://shop.hak5.org/products/lan-turtle) - [Wi-Fi Pineapple — Hak5](https://shop.hak5.org/products/wifi-pineapple) - [SharkJack — Hak5](https://shop.hak5.org/products/shark-jack) --- ### Aulão #030 — Primeiro Aulão Presencial no Brasil: Bug Bounty, Flipper Zero e os Bastidores da Equipe URL: https://brunofraga.com/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil Publicado: 2024-09-09 Tags: hacking, ciberseguranca, investigacao-digital, tutoriais YouTube: https://www.youtube.com/watch?v=qCr_aNETT-A No primeiro aulão presencial no Brasil, a equipe inteira se reuniu para demonstrar bug bounty na prática ($25k do Facebook), Flipper Zero ao vivo, câmera infravermelha e os bastidores do desenvolvimento do HI SPY. Assista o vídeo completo. ## O que você vai aprender neste aulão Quer saber bug bounty como funciona na prática? Neste aulão eu trouxe quem já ganhou $25.000 do Facebook encontrando falhas de segurança — e mais: demonstrei ao vivo equipamentos como o Flipper Zero e uma câmera infravermelha. No primeiro aulão presencial no Brasil, reuni a equipe inteira para um bate-papo: Andrés Alonso (que hackeou o Instagram aos 14 anos), Diego Andretta (que demonstrou o Flipper Zero), Lucas Daleia (editor do canal) e Luã Álvaro (desenvolvedor que programou o HI SPY do zero). Depois de assistir, você vai entender como funciona um programa de bug bounty — com valores reais, etapas de report e a diferença entre o que paga e o que não paga. E vai ver ao vivo uma câmera térmica revelando calor humano no escuro. E vai descobrir como a primeira etapa de qualquer hacking é, na verdade, investigação digital — a mesma que eu ensino aqui no canal desde o [Aulão #1 — Os 4 Segredos para Dominar OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos). ## Como Andrés Alonso hackeou o Instagram e ganhou R$130 mil Andrés Alonso começou vendendo filtros do Instagram por R$100 cada usando o [Spark AR](https://spark.meta.com), a plataforma da Meta para criar efeitos de realidade aumentada. Ele tinha 14 anos. O negócio cresceu rápido — 50 pessoas por dia pediam filtros customizados, mais do que ele conseguia entregar manualmente. A solução lógica? Criar um aplicativo para automatizar a criação de filtros. E foi aí que tudo mudou. Ao estudar o sistema interno do Instagram para construir o app, Alonso começou a testar se era possível injetar código. Cinco dias quebrando a cabeça. Testando parâmetros, modificando requisições, inserindo payloads. Até que um código funcionou — e ele percebeu que tinha encontrado uma falha de XSS (Cross-Site Scripting) nos filtros do Instagram. ### O que essa falha permitia fazer A falha tinha dois níveis de gravidade dependendo do browser da vítima: - **Browsers antigos**: era possível roubar os cookies da sessão da vítima e hackear a conta completamente — sem precisar de autenticação de dois fatores, sem nada. O atacante simplesmente assumia a sessão - **Browsers modernos**: a falha permitia redirecionar o usuário para qualquer página — o que abria espaço para phishing sofisticado, como uma página falsa pedindo "pague seu filtro do Instagram" E Facebook fez algo inesperado: reclassificou a falha. Alonso reportou como média (esperando receber $500 a $1.000). Um mês depois, recebeu uma notificação: $25.000. O Facebook reconheceu que era grave — mais grave do que o próprio Alonso imaginava. "Essa falha do Instagram é 0,5% do que esse cara faz", eu disse na live. Mas a mídia só fala do Instagram porque é o nome que chama atenção. ## O que é bug bounty e como participar Bug bounty é literalmente "recompensa do bug". Empresas como Google, Apple, Facebook, Nubank, PayPal, iFood, Pornhub, Steam e até o FBI mantêm programas onde você pode reportar falhas de segurança e receber dinheiro em troca. Os valores variam de $50 por falhas simples até $25.000 ou mais por vulnerabilidades críticas. E a maior plataforma hoje é o [HackerOne](https://hackerone.com). Na live, eu mostrei o feed do Hacktivity em tempo real — o que apareceu foi revelador: - BMW hackeada 8 horas antes - LinkedIn com falha reportada 2 dias antes - Alguém encontrou no X/Twitter uma forma de pegar o selo de verificação sem pagar - Departamento de Defesa dos EUA com falhas no feed No Brasil, existe a [BugHunt](https://bughunt.com.br), que é referência em bug bounty na América Latina. Mas a realidade brasileira é diferente: como o Alonso contou, empresas brasileiras costumam responder falhas reportadas com "um forte abraço e obrigado" em vez de recompensa. ### Information disclosure lidera o ranking de falhas Uma coisa que poucas pessoas percebem: o tipo de falha mais reportado no [HackerOne](https://hackerone.com) é information disclosure — informação vazada. E sabe como a maioria dessas falhas é encontrada? Com [Google Hacking](/aulao-semanal/google-hacking-buscas-perigosas-dorks). Eu filtrei ao vivo no Hacktivity por "information disclosure" e apareceram dezenas de casos: pastas expostas, cookies em JavaScript, caches de dados sensíveis, documentos do Google acessíveis publicamente. Nenhum desses é um "hack técnico" — é investigação pura. Um programador sobe um sistema, esquece uma pasta com documentos aberta, ela cai no Google e alguém encontra. Isso é exatamente o que eu ensino no [Aulão #8 — 7 Buscas Perigosas que Revelam Informações Sensíveis no Google](/aulao-semanal/google-hacking-buscas-perigosas-dorks). As mesmas técnicas de pesquisa avançada que investigadores usam para encontrar informações sobre pessoas e empresas são as que bug bounty hunters usam para encontrar falhas e ganhar dinheiro. E Tor, Departamento de Defesa de Minas Gerais, FBI — todos têm programa de bug bounty. A superfície é enorme. ## XSS na prática: a mesma falha que está hackeando sites do governo brasileiro Para quem não é técnico, XSS funciona assim: você injeta um código malicioso dentro de uma página legítima. Quando outra pessoa abre aquela página, o código executa no browser dela — sem que ela perceba nada. No caso do Instagram, o Alonso criava um filtro com código embutido. A vítima clicava no link do filtro e o código executava. Em browsers antigos, isso capturava os cookies da sessão (basicamente roubava o acesso à conta). Em browsers modernos, redirecionava para onde o atacante quisesse. Mas o mais assustador é que essa mesma técnica está sendo explorada em massa até hoje. Eu mostrei um vídeo no canal sobre casas de apostas e cassinos online que estão hackeando sites do governo brasileiro — usando XSS para injetar checkout de pagamento dentro de páginas governamentais. Sites do governo usam templates padrão, tecnologia parecida, e dezenas deles compartilham a mesma vulnerabilidade. Os criminosos exploram isso para redirecionar visitantes para casas de apostas. É a mesma falha que o Alonso encontrou no Facebook, só que aplicada em escala industrial. Se você quer entender como essas falhas funcionam na prática, vale revisar as técnicas de reconhecimento do [Aulão #28 — Como Encontrar Subdomínios Escondidos](/aulao-semanal/como-encontrar-subdominios-escondidos-ferramentas-tecnicas). ## Flipper Zero: o que faz e por que é proibido no Brasil Diego Andretta chegou na live com uma mochila cheia de equipamentos. O primeiro que ele tirou foi o [Flipper Zero](https://flipperzero.one) completo ��� com placa de programação, módulo Wi-Fi e capinha. O Flipper Zero é um dispositivo portátil do tamanho de um controle remoto que concentra múltiplas ferramentas de pentest. Ele intercepta sinais de alarme de carro (fazendo parecer que trancou quando não trancou), abre portões de garagem, clona cartões NFC e iButton, faz ataques de deauth em redes Wi-Fi, e até funciona como dispositivo de autenticação de dois fatores. E Flipper Zero tem um detalhe que torna tudo mais interessante: ele é gamificado. Tem um bichinho virtual tipo Tamagotchi que evolui conforme você captura sinais e hackeia coisas. Se você fica uma semana sem capturar nenhum sinal novo, ele fica triste. ### Quanto custa e onde comprar Fora do Brasil, o Flipper Zero custa $300. No Brasil, se você achar por menos de R$6.000, provavelmente é golpe. A Anatel bloqueou a importação e homologação, tornando a venda comercial oficialmente proibida. O Canadá também proibiu. Mas aqui vai minha opinião: a proibição não faz sentido. "O Flipper não cria nenhuma falha. Tudo que ele faz, você pode fazer qualquer coisa. Ele só expõe a vulnerabilidade que tá aí." Essa é a realidade. Um D-ALTER para desconectar Wi-Fi pode ser montado por R$70 com um ESP e uma bateria. Aplicativos de R$5 na AliExpress clonam portões de garagem. O Flipper Zero só torna tudo compacto, portátil e fácil de usar. A solução real não é proibir a ferramenta — é corrigir as falhas. Wi-Fi 6, por exemplo, torna o ataque de deauth completamente inútil. Se toda a infraestrutura migrasse para Wi-Fi 6, esse recurso do Flipper seria obsoleto. A mesma lógica vale para todo o resto: se as falhas fossem corrigidas, o dispositivo ficaria inútil. É a mesma discussão da inteligência artificial: proibir não vai impedir quem quer fazer mal. Crime já é crime. O caminho é conscientização e correção, como discutimos no [Aulão #29 — Contra-Atacando Golpistas](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet). ## Câmera infravermelha: detectando câmeras escondidas e calor humano O segundo equipamento que Diego demonstrou foi uma câmera infravermelha — e a demonstração ao vivo foi impressionante. Apagamos todas as luzes do estúdio e dava para ver as pessoas perfeitamente pelo calor corporal. Quando eu coloquei a mão no notebook e tirei, a marca da mão permaneceu visível por 3 a 5 segundos. Diego usa essa câmera no trabalho real. Ele gerencia data centers — salas com servidores, cabos e conexões que trabalham com 48 volts em corrente contínua. A câmera detecta pontos de aquecimento anormal em cabos, indicando fuga de corrente. Isso previne incêndios e falhas de equipamento. Mas a aplicação mais interessante para segurança pessoal é a detecção de câmeras escondidas. Em hotéis e Airbnbs, câmeras espiãs estão cada vez mais comuns. Como toda câmera gera calor ao operar, a parede ao redor fica toda azul (fria) enquanto o ponto da câmera aparece vermelho. Detectável mesmo através de superfícies. ### Quanto custa e onde encontrar A câmera que Diego mostrou custa uns $200. Existem versões mais acessíveis que conectam direto no iPhone — a [FLIR ONE](https://www.flir.com/flir-one/) é a mais conhecida. Profissionais de eletrônica também usam para detectar componentes aquecendo em placas. E caçadores usam equipamentos similares para enxergar animais à noite. ## SIM swap e por que autenticação por SMS não protege ninguém Na discussão sobre segurança, eu e Diego tocamos num assunto que afeta milhões de pessoas: o SIM swap. Não é engenharia social simples. O problema real é que existem criminosos dentro das operadoras de telefonia com acesso direto ao sistema de troca de chip. Esses funcionários corruptos têm a senha do software, o controle para fazer a transferência do número. Não importa se você tem senha forte, não importa se você é cuidadoso. Quando o atacante está dentro da operadora, não tem o que fazer contra SMS como segundo fator. "Se a esposa do presidente da república não tinha dois fatores ativados, como você vai cobrar da pessoa normal?" — essa foi minha resposta num podcast sobre alfabetismo digital. A realidade é que a infraestrutura de segurança da internet foi construída em cima de gambiarras. O HTTP foi feito para transferir texto. Botaram o S para criptografar. Senha. Multi-fator. E cada camada é uma gambiarra sobre a anterior. ### Alternativas ao SMS como segundo fator O que eu recomendo na prática: 1. **Authenticator apps** — Microsoft Authenticator ou Google Authenticator. Não dependem da operadora 2. **YubiKey** — hardware de dois fatores da [Yubico](https://www.yubico.com). Extremamente seguro, mas se perder, perde tudo. Recomendado ter duas unidades: uma com você e uma de backup em casa 3. **Flipper Zero** — sim, o Flipper também funciona como dispositivo de 2FA. Você conecta via USB e ele serve como chave de autenticação Na live, eu dei uma [YubiKey](https://www.yubico.com) de presente para o Alonso e quase imediatamente ele quase perdeu. Isso ilustra o problema: a segurança máxima é complexa. Uma pessoa normal não vai andar com um dispositivo minúsculo, ter backup em casa, e guardar uma terceira cópia numa [Cryptosteel Capsule](https://shop.ledger.com/products/cryptosteel-capsule-solo) que resiste a explosões e fogo até 1400°C. "Na segurança, o limite é o dinheiro" — essa frase resume tudo. Para roubar de você, o criminoso calcula custo versus benefício. No Paraguai, fizeram um túnel de 180 metros para roubar cofres de um banco. Se o prêmio compensa, o ataque acontece. Se quiser entender mais sobre como criminosos exploram falhas de segurança, o [Aulão #19 — A Nova Era dos Crimes Digitais](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar) cobre esse tema em profundidade. ## C2: como funciona um servidor de comando e controle Uma pergunta do público na live foi sobre C2 — Command and Control. Diego explicou de forma direta: é o servidor central que controla uma rede de dispositivos infectados. Funciona assim: o atacante não manda comandos diretamente da máquina dele. Ele usa um servidor intermediário (o C2) que distribui instruções para todos os dispositivos comprometidos — IPTVs infectados, equipamentos IoT, computadores zumbis. O C2 é o "mestre" que ordena o ataque simultâneo. Quando se fala em ataque de negação de serviço (DDoS), por exemplo, milhares de dispositivos atacam ao mesmo tempo porque receberam o comando de um único C2. O IP do atacante real está protegido atrás desse servidor, fazendo o que Diego chamou de "jump" — um salto que dificulta a rastreabilidade. Diego trabalha com provedor de internet e conhece bem o problema: "Ataque de negação de serviço é como apanhar sem saber quem tá batendo e não conseguir bater de volta." A investigação para chegar ao controlador do C2 exige técnicas avançadas que foram abordadas na parte presencial do workshop no sábado seguinte. Quem estuda [engenharia social aplicada a investigações](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital) já tem uma base para entender como esses atacantes operam. ## Como o HI SPY foi programado do zero Luã Álvaro é o desenvolvedor que escreveu cada linha de código do HI SPY — desde a primeira função até a versão em produção que milhares de pessoas usam para investigações digitais. A tecnologia é JavaScript de ponta a ponta. [Next.js](https://nextjs.org) no front-end com APIs integradas, Node.js no back-end. Além da aplicação principal, existe uma API privada separada que cuida exclusivamente do redirecionamento das investigações — captura de IP, geolocalização, foto do dispositivo. "Se você parar para entender o que o HSPY faz hoje, ele não é uma ferramenta complexa", Luã admitiu. "A dificuldade foi mais condensar essa ideia e trazer isso de uma forma f��cil." Esse é o ponto: o HI SPY interpreta dados que já estão circulando na internet (toda requisição web carrega informações como IP e geolocalização) e apresenta de forma acessível para quem não é especialista em tecnologia. Luã também comentou sobre a evolução da arquitetura web: o [Next.js](https://nextjs.org) est�� trazendo de volta a integração front-end e back-end que existia no PHP monolítico — mas com React, TypeScript e APIs modernas. "Next.js tá bem no hype agora", ele disse. E está certo: o framework que começou como front-end React puro agora tem server components, API routes e tudo integrado. Se você quer entender mais sobre ferramentas de investigação digital, o [Aulão #4 — As 7 Ferramentas que Todo Investigador Digital Precisa Conhecer](/aulao-semanal/ferramentas-de-investigacao-digital) é um bom ponto de partida. ### Bug bounty do HI SPY E na live, eu anunciei oficialmente o programa de bug bounty do HI SPY: - **Falha simples**: R$500 - **Falha grave**: R$3.000 "Eu sei que você não vai quebrar a empresa, que o sistema tá seguro", eu disse para o Alonso. Mas a oferta está de pé. Para reportar, basta enviar um e-mail detalhando a falha com prova de conceito. ## Dicas de produção de conteúdo para YouTube Lucas Daleia trouxe uma perspectiva diferente — a do editor que transforma material bruto em vídeos publicáveis. O maior desafio? Ocultar informações sensíveis de investigações reais que aparecem nos vídeos. Códigos, dados pessoais, telas de ferramentas — tudo precisa ser revisado frame por frame. Mas o momento mais revelador veio quando Diego perguntou sobre o storytelling dos vídeos do canal. Eu contei a origem: uma palestra no Dublin Tech Summit, de alguém que trabalhou com Steve Jobs na Pixar. "As pessoas não lembram do que você falou, de como você falou. Elas lembram o que você fez ela sentir." E essa frase mudou a forma como eu encerro vídeos. Em vez de pedir inscrição ("se inscreve, dá like, compartilha"), eu encerro com emoção — um caso real, uma reflexão, algo que tangibiliza a missão. O MrBeast faz a mesma coisa: encerrar com o vídeo sendo bom é mais efetivo do que encerrar mendigando engajamento. Para quem quer começar a criar conteúdo, revelei meu setup: câmera na frente, [Ecamm Live](https://www.ecamm.com) gravando direto no computador (sem cartão de memória), [Stream Deck da Elgato](https://www.elgato.com/stream-deck) para controlar pausa e atalhos. Sem equipamento caro no começo — eu adiei o YouTube por 2 anos esperando ter a câmera perfeita, até que um dia simplesmente liguei e gravei. "O segredo é iluminação e um bom áudio." Câmera cara ajuda, mas iluminação correta transforma até celular em imagem profissional. E confesso: eu também já perdi dois canais do YouTube — um com 100 mil inscritos e outro com 80 mil. Começar do zero dói. Mas o conteúdo sempre compensa. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Flipper Zero | Dispositivo multi-ferramenta para pentest: interceptação de sinais, clonagem NFC, deauth Wi-Fi, 2FA | [Flipper Zero](https://flipperzero.one) | | HackerOne | Maior plataforma de bug bounty do mundo — conecta hackers éticos com empresas | [HackerOne](https://hackerone.com) | | BugHunt | Plataforma brasileira de bug bounty, referência na Am��rica Latina | [BugHunt](https://bughunt.com.br) | | Spark AR | Plataforma da Meta para criar filtros de realidade aumentada no Instagram | [Spark AR](https://spark.meta.com) | | YubiKey | Chave de segurança hardware para autenticação de dois fatores físico | [Yubico](https://www.yubico.com) | | FLIR ONE | Câmera térmica que conecta ao smartphone para detectar calor e câmeras escondidas | [FLIR ONE](https://www.flir.com/flir-one/) | | Cryptosteel Capsule | Cápsula de aço inoxidável para proteger chaves de criptomoeda — resiste a fogo até 1400°C | [Cryptosteel](https://shop.ledger.com/products/cryptosteel-capsule-solo) | | Next.js | Framework React full stack usado no desenvolvimento do HI SPY | [Next.js](https://nextjs.org) | | Ecamm Live | Software de streaming e gravação profissional para Mac | [Ecamm Live](https://www.ecamm.com) | | Elgato Stream Deck | Controlador de atalhos para streaming e produção de conteúdo | [Stream Deck](https://www.elgato.com/stream-deck) | ## Perguntas Frequentes ### O que é bug bounty e como começar? Bug bounty é um programa onde empresas pagam hackers éticos por encontrar e reportar falhas de segurança. Para começar, cadastre-se no [HackerOne](https://hackerone.com) ou [BugHunt](https://bughunt.com.br), estude os tipos de vulnerabilidades mais comuns (XSS, information disclosure, SQL injection) e comece por programas com escopo amplo. Não precisa ser expert — como mostrei na live, muitas falhas no ranking do HackerOne são encontradas com técnicas de Google Hacking que qualquer investigador digital conhece. ### Quanto paga um programa de bug bounty? Depende da gravidade da falha e da empresa. Falhas simples pagam de $50 a $500. Falhas graves podem pagar $10.000 a $25.000 ou mais. O Alonso recebeu $25.000 (R$130 mil na época) do Facebook por uma falha XSS no Instagram que ele próprio classificou como m��dia — o Facebook é que reclassificou como grave e pagou mais. ### O Flipper Zero é realmente proibido no Brasil? A Anatel bloqueou a importação e homologação do Flipper Zero no Brasil. Se você encontrar por menos de R$6.000, provavelmente é golpe. O Canadá também proibiu. Existe possibilidade de importação para fins de pesquisa científica ou uso institucional com autorização especial da Anatel, mas para uso pessoal comum não há caminho legal. ### Como funciona uma falha XSS? XSS (Cross-Site Scripting) é quando um atacante injeta código JavaScript malicioso numa página web legítima. Quando outra pessoa acessa essa página, o código executa no browser dela — podendo roubar cookies de sessão, redirecionar para páginas falsas ou capturar dados. A falha que Alonso encontrou nos filtros do Instagram é um exemplo clássico: o link do filtro carregava código que executava no browser de quem clicasse. ### O que é SIM swap e como se proteger? SIM swap é quando criminosos transferem seu número de telefone para outro chip. O problema não é só engenharia social — existem funcionários corruptos dentro das operadoras com acesso direto ao sistema. A proteção mais efetiva é não usar SMS como segundo fator. Use apps como Microsoft Authenticator ou Google Authenticator, ou hardware como [YubiKey](https://www.yubico.com). Saiba mais sobre proteção digital no [Aulão #9 — O Guia Definitivo para Investigar Vazamentos de Senhas](/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas). ### Como funciona uma câmera infravermelha para segurança? Câmeras infravermelhas detectam radiação térmica — tudo que emite calor aparece na tela. Câmeras espiãs geram calor ao operar, então mesmo escondidas atrás de objetos ou paredes, o ponto de aquecimento é visível. A [FLIR ONE](https://www.flir.com/flir-one/) para smartphone custa a partir de $200 e conecta via USB-C ou Lightning. Também funciona para detectar problemas elétricos, vazamentos de água quente e ver pessoas no escuro. ### O que é um servidor C2 (Command and Control)? C2 é um servidor central que criminosos usam para controlar dispositivos infectados remotamente. Em ataques DDoS, por exemplo, o C2 manda comandos simultâneos para milhares de dispositivos — IPTVs, IoT, computadores comprometidos. O IP do atacante fica protegido atrás do C2, dificultando a investigação. Diego, que trabalha com provedor de internet, explicou que rastrear o controlador exige técnicas avançadas de investigação. ### Qual tecnologia foi usada para criar o HI SPY? O HI SPY foi desenvolvido inteiramente em JavaScript por Luã Álvaro. O front-end usa [Next.js](https://nextjs.org) (framework React), o back-end roda em Node.js, e existe uma API privada separada para o serviço de redirecionamento e captura de dados de investigação. A ferramenta interpreta dados de requisições web — IP, geolocalização, informações do dispositivo — e apresenta de forma acessível para investigadores. > **Veja também:** [Imersão Sherlock: O Poder do OSINT e da Espionagem Digital com Gadgets Reais — Aulão #041](/aulao-semanal/espionagem-digital-osint-gadgets-investigacao) ## Referências e Recursos - [Flipper Zero — Site Oficial](https://flipperzero.one) - [HackerOne — Plataforma de Bug Bounty](https://hackerone.com) - [BugHunt — Bug Bounty na América Latina](https://bughunt.com.br) - [Yubico — YubiKey Autenticaç��o Hardware](https://www.yubico.com) - [FLIR ONE — Câmera Térmica para Smartphone](https://www.flir.com/flir-one/) - [Cryptosteel Capsule — Proteção para Chaves Cripto](https://shop.ledger.com/products/cryptosteel-capsule-solo) - [Comando e Controle (C2) — Como funciona](https://vnx.partners/servidor-comando-e-controle-c2/) - [O que é SIM Swap — Tecnoblog](https://tecnoblog.net/responde/como-nao-ser-a-proxima-vitima-de-fraudes-de-sim-swap/) - [Next.js — Framework React Full Stack](https://nextjs.org) - [Ecamm Live — Streaming Profissional para Mac](https://www.ecamm.com) - [Elgato Stream Deck — Controlador de Atalhos](https://www.elgato.com/stream-deck) --- ### Aulão #029 — Contra-Atacando Golpistas: Investigação Ativa, Dados Vazados e Deepfake na Prática URL: https://brunofraga.com/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet Publicado: 2024-09-06 Tags: ciberseguranca, investigacao-digital, osint, privacidade YouTube: https://www.youtube.com/watch?v=XzYJ5Ety9pU Aulão ao vivo com demonstrações práticas de como golpistas usam dados vazados, IA para clonar vozes e contas laranja — e como você pode contra-atacar usando investigação ativa e OSINT. Com dois convidados especialistas e casos reais. ## O que você vai aprender neste aulão Como se proteger de golpes na internet e, mais importante, como contra-atacar golpistas usando técnicas de investigação ativa e OSINT. Neste aulão ao vivo, eu demonstrei na prática como o mercado clandestino digital funciona — de dados vazados a contas laranja, de clonagem de voz com IA a fraudes de cartão de crédito. Mas não parei na defesa. Junto com dois convidados especialistas — Antonio, líder de produto da [HI SPY](https://hispy.io) e investigador de quadrilhas de phishing, e Diego, especialista em redes e telecom — eu mostrei como usar as mesmas técnicas dos golpistas contra eles. Você vai entender o fluxo completo de um golpe digital, aprender a se defender de ligações e mensagens fraudulentas, e descobrir como investigar e identificar criminosos usando ferramentas acessíveis. Tudo demonstrado ao vivo, com casos reais e telas compartilhadas. ## Por que seus dados já estão nas mãos dos golpistas Todos os seus dados pessoais estão expostos na internet neste exato momento. CPF, nome completo, familiares, endereços, telefones, créditos, vizinhos, convênio médico, faixa salarial — tudo vazado e disponível por centavos em canais do Telegram. Eu mostrei na tela durante o aulão: canais vendendo consultas de CPF por R$0,10, bases de dados do Serasa completas, bancos de dados do SUS, combinações de e-mail e senha. E não estou falando de hackers sofisticados. O golpista mais simples, dentro de uma cela de presídio, com um smartphone Android, tem acesso a um painel que consulta absolutamente tudo sobre você. "O golpista, sendo sincero, mais chinelo que tiver, o mais simples de todos, ele já tem todos os seus dados, todos os seus dados, ele tem no teclado, no smartphone Android dele, dentro da cela do presídio." O Serasa foi vazado. Bases de governo foram vazadas. Empresas de investimento foram vazadas. Dados do SUS, vacinas, tudo circula abertamente. E a LGPD? Existe, funciona em parte, mas o que já vazou continua circulando nas mãos de criminosos. Nenhuma multa vai desfazer um vazamento. Esse é o ponto que muita gente não entende: quando alguém te liga e sabe seu nome, CPF, endereço e nome da sua mãe, isso não significa que é do banco. Significa que os dados estão públicos. E O Brasil lidera em golpes digitais — porque também lidera em vazamentos de dados. O golpista não precisa te conhecer. E Não precisa ser sofisticado. Ele só precisa de R$0,15 e acesso ao Telegram. Se você quer entender como esses vazamentos funcionam na prática, eu já cobri isso em profundidade no [Aulão #9 — Investigar Vazamentos de Senhas](/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas). ## Como golpistas clonam vozes com inteligência artificial Clonar uma voz humana custa $10 e leva menos de 15 minutos. Com a [ElevenLabs](https://elevenlabs.io), qualquer pessoa cria uma réplica quase perfeita de qualquer voz usando poucos minutos de áudio — que podem vir dos seus stories do Instagram, de um vídeo no YouTube ou de uma ligação gravada. Eu demonstrei isso ao vivo no aulão. Abri a plataforma, configurei parâmetros de estabilidade, clareza e velocidade, e gerei uma voz sintética falando "Olá, Diego Santos, sou atendente do Nubank, seu CPF 855-222-222 está sob análise de risco." E quando você tem uma lista de 50 nomes, esse texto vira uma variável que o código altera automaticamente. Produção em massa de golpes por voz. O Antonio foi além: ele clonou a própria voz e mandou um áudio de cativeiro para a mãe dele. A voz era indistinguível da real. Nem como dizer que não era ele falando. "Criar uma voz hoje em massa para uma lista de 50 pessoas custa aqui, sério, $10." Mas não para na voz. O [HeyGen](https://www.heygen.com) popularizou deepfake de vídeo e foi criticado por tornar fraudes mais acessíveis. Implementou verificação de identidade. Mas a tecnologia subjacente é open source — qualquer pessoa com um computador pode rodar localmente. É como tentar impedir que pessoas programem sites. Não funciona. Diego lembrou do caso do Face ID do iPhone: alguém criou uma máscara 3D com profundidade e desbloqueou o aparelho. No deepfake de vídeo, a sofisticação para burlar sistemas só cresce. Diminui a quantidade de pessoas que conseguem, mas quem quer fazer, faz. O ponto que eu quero que você grave: se alguém ligar com a voz do seu filho, da sua mãe, do seu chefe, não significa que é a pessoa. Pode ser uma IA. E o custo para criar isso é ridiculamente baixo. ## O que são contas laranja e como funcionam os golpes de Pix O dinheiro roubado num golpe de Pix não vai para a conta pessoal do golpista. Vai para uma conta laranja — aberta no nome de outra pessoa, muitas vezes sem essa pessoa saber. Mostrei ao vivo como isso funciona: bancos digitais e fintechs querem liberar a criação de conta com menos de um clique. É o modelo de negócio deles para crescer. Só que essa facilidade é explorada. Aplicativos Android modificados burlam o KYC (a verificação facial) substituindo a câmera por upload de arquivo. Ou seja, o golpista pega seus dados vazados, usa um template de RG editável no Corel Draw (sim, encontrei templates durante a live), e cria uma conta bancária no seu nome. "Vocês não tem ideia a quantidade de aplicativo Android falsificado que trava a câmera e libera o anexo do arquivo." Nos canais do Telegram que eu mostrei, contas prontas são vendidas abertamente: Santander por R$300, PicPay, AstroPay, Stone, InfinityPay. Até bancos que eu nunca tinha ouvido falar tinham contas à venda. E não é uma operação artesanal — é produção em massa. Tem mais. E Olha um caso que me chamou atenção: uma influencer teve o Instagram hackeado. Os criminosos usaram o perfil dela para anunciar um iPhone à venda e pedir pagamento via Pix. Mas o detalhe sinistro: a conta laranja tinha o mesmo nome da influencer. Os golpistas criaram a conta especificamente para que o nome no Pix parecesse legítimo. Você deveria dar graças a Deus que ainda não abriram uma conta no seu nome. Porque os dados para fazer isso já estão disponíveis. Se você quer aprender como identificar esses perfis falsos usados em golpes, o [Aulão #3 — Desvendando um Golpe Real](/aulao-semanal/investigacao-digital-casos-reais-golpe-olx) mostra o processo completo. ## Como funciona o mercado clandestino de cartões e dados roubados Quando o golpista recebe o Pix na conta laranja, ele não saca o dinheiro no caixa eletrônico. Seria pego. O fluxo é mais sofisticado: o valor da conta laranja vai para um cartão pré-pago. Esse cartão é revendido em canais do Telegram para alguém que vai usar para compras online. Essa pessoa compra um produto na Magazine Luiza ou no Mercado Livre, e o produto é entregue em outro endereço. Eu naveguei nesses canais durante o aulão e mostrei os preços. Um cartão Gold com saldo? R$60. Aprovação Mercado Pago? À venda com frete. CC normal para compras online? Centavos. O mercado gira em velocidade absurda. "O cara que aplicou o golpe chegou na Laranja, que foi para um cartão, o cartão vai ser revendido no mercado de cartões." Fraude de cartão de crédito no Brasil acontece 80% das vezes após as 22 horas. A lógica é simples: pessoa dormindo, notificações não funcionam como barreira imediata. O alerta do banco chega, mas o dono do cartão só vai ver de manhã — e aí as compras já foram feitas. Só 8% dos crimes no Brasil são investigados. Oito por cento. Isso inclui assassinatos. Agora imagina um Pix de R$1.000. O custo da investigação supera o valor roubado na maioria dos casos. É por isso que o mercado cresce: a impunidade retroalimenta o sistema. Antonio trouxe um ponto que vale repetir: os criminosos são pegos na recorrência. Uma vez ou duas, dificilmente. Mas como o processo dá dinheiro, eles repetem. É na repetição que cometem erros. E é aí que a investigação funciona. Eu já demonstrei técnicas avançadas de investigação de emails fraudulentos no [Aulão #16 — Desmascarando E-mails Fraudulentos](/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas), que complementa muito esse tema. ## Como se defender de ligações e mensagens fraudulentas Ninguém que te liga é o banco. Ninguém. Essa é a regra número 1. Mas tem mais. Se alguém ligar dizendo ser do Nubank, do Banco do Brasil, do Itaú, não confirme nenhum dado. A pessoa ligou? Ela que fale. Você só escuta. "Continua falando, continua informando o que você tem para informar. Assim que você terminar, eu vou te falar se é ou não." A técnica que eu recomendo: peça para a pessoa informar as 10 últimas transações do seu extrato, com centavos. Se ela souber tudo com vírgula e centavos, ou é do banco de verdade, ou invadiu sua conta — e em ambos os casos você precisa agir. Mas 99% dos golpistas não tem essa informação. Diego deu uma dica prática para Android: ative a gravação automática de todas as ligações. Você precisa de evidência. Se alguém ligar e tentar te enganar, a gravação é prova para o boletim de ocorrência. Sobre cartões, a proteção que eu uso pessoalmente no Nubank: crio um cartão virtual para cada serviço. Netflix tem um cartão. Spotify tem outro. Acabou de usar para uma compra única? Bloqueio imediato. Se um cartão vaza, o dano é limitado àquele serviço com limite baixo. Diego faz igual — mantém limites baixos por cartão. E Não para por aí. E tem o spoofing de telefone. Algumas operadoras não bloqueiam essa técnica, e o golpista consegue fazer a ligação aparecer com o número real do banco ou até de um familiar seu. O número que aparece no visor não garante nada. Não confie no número. Não confie na voz. Não confirme dados. Prefira atendimento pelo chat do aplicativo ou por e-mail — onde você pode verificar o remetente. As técnicas de engenharia social por trás desses golpes são as mesmas que eu aprofundei no [Aulão #21 — Engenharia Social Aplicada em Investigações](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital). ## Investigação ativa: como contra-atacar golpistas com OSINT A interação entre golpista e vítima é mútua. Ele tem um telefone, um computador, uma conexão, uma voz, uma foto, um nome e um Pix. Tudo que ele pode descobrir sobre você, você pode descobrir sobre ele. E a maioria dos golpistas não está preparada para ser investigada. "O cara não espera que ele vai ser o enganado. A ideia dele, imagina aí que ele faz 10 golpes no dia e 5 é com sucesso. Mas ninguém ali daqueles tentou dar um golpe nele." Antonio explicou o conceito de investigação ativa: em vez de esperar a polícia resolver (lembra dos 8%?), você interage com o golpista de forma controlada para coletar dados que identifiquem quem ele é. Usando socket puppet (perfil falso protegido), engenharia social e links rastreáveis, você captura IP, geolocalização, dados de dispositivo e até foto da webcam. Importante: você não investiga com sua conta real. Nunca. Usa um socket puppet — um perfil falso criado especificamente para a investigação, com foto gerada por IA no [This Person Does Not Exist](https://thispersondoesnotexist.com) e dados fictícios. A proteção operacional (OPSEC) é tão importante quanto a técnica. Eu já cobri os fundamentos de OSINT no [Aulão #1 — Segredos para Dominar OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos) e técnicas avançadas de investigação no [Aulão #5 — Técnicas para Investigar Pessoas na Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). O roadmap que o Antonio compartilhou para investigação ativa segue esses passos: preparar socket puppet, analisar o alvo, gerar interesse, enviar link rastreável, aguardar clique, coletar dados, documentar tudo. E cada investigação é diferente — a forma que você investiga no WhatsApp não é a mesma do Instagram, que não é a mesma do Telegram ou do marketplace. ## Operação Coelho: caso real de investigação de golpista Esse foi um dos momentos mais legais do aulão. Antonio apresentou a Operação Coelho — uma investigação real feita em tempo real, gravada, com a participação do aluno Bruno Moura. O caso: um perfil anônimo no Instagram publicava fake news sobre moradores da cidade de Coelho Neto. Dizia que pessoas estavam traindo, inventava histórias, espalhava boatos. Quando a vítima descobria e pedia para remover, o golpista cobrava R$200 a R$300 para tirar a informação do ar. Extorsão digital pura. A investigação começou com sondagem. Antonio criou um socket puppet e mandou mensagem: "Tenho uma investigação em sigilo. Sobre o vereador que eu quero jogar na mídia. Você pode me ajudar com essa divulgação?" O gatilho mental usado foi curiosidade. Um vereador? Imagina o quanto esse cara poderia extorquir. O golpista respondeu: "Tenho interesse." Mas tinha um problema. O link rastreável foi enviado junto com a primeira mensagem, e o cara não clicou. Então Antonio refiniu a abordagem: "Vou mastigar tudo para você, deixar bonitinho só para você começar a divulgar e espalhar à vontade." E usou a técnica de pré-visualização — aquele preview que aparece quando você manda um link no Instagram ou WhatsApp. Na segunda tentativa, o golpista não clicou uma vez. Clicou três. Com os dados capturados pelo [HI SPY](https://hispy.io), a equipe conseguiu foto, IP, dispositivo e localização do golpista. O caso foi exposto na mídia depois. A cidade é Coelho Neto — daí o nome da operação. "Essa parte de investigação ativa é muito legal porque você geralmente é deixar o cara com sede." A lição aqui é clara. E Boa: golpistas estão acostumados a enganar, não a serem enganados. Quando você vira o jogo com técnica, eles são tão vulneráveis quanto qualquer outra pessoa. ## Como rastrear dispositivos roubados pela rede Wi-Fi Diego apresentou um caso fascinante de rastreamento de roteadores Nokia roubados. A técnica usada é simples no conceito, mas brilhante na execução. Em um grupo de provedores de internet no Telegram, roteadores roubados estavam sendo vendidos. Diego entrou em contato com o vendedor usando a pergunta mais natural do mundo naquele contexto: "O Wi-Fi funciona? Me manda uma foto." Em grupos de provedores, é absolutamente normal pedir para ver a intensidade do sinal. Ninguém desconfia. E quando o vendedor mandou a foto com o Wi-Fi funcionando, ela mostrava as redes ao redor: Vivo Fibra 24, Info Du 1533, Nokia Wi-Fi Prado. Com esses 3 nomes de rede, Diego conseguiu a localização exata do dispositivo usando um software chamado Eagle. O vendedor estava em Diadema. Mas não parou aí. Diego confirmou o fabricante do roteador pelo endereço MAC usando o [MAC Vendors](https://macvendors.com) — o chip era de um Shenzhen Gongya, fornecedor da Nokia. Bateu com a nota fiscal dos roteadores roubados. E usando o [Sherlock](https://github.com/sherlock-project/sherlock) no [Parrot OS](https://parrotsec.org), encontrou a conta do vendedor no Mercado Livre. Todos os dados pessoais. "O cara manda uma foto do Wi-Fi, a gente consegue mapear a rede. Na hora que ele manda a foto funcionando o Wi-Fi." Uma foto inocente do Wi-Fi funcionando entregou redes vizinhas, MAC address, localização e identidade. O investigador só precisou fazer a pergunta certa. Para quem quer aprender mais sobre ferramentas de investigação digital, indico o [Aulão #22 — Ferramentas de IA para Investigação Digital](/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias). ## Sites do governo hackeados para promover cassinos online Eu quase não dormi na noite antes desse aulão. Estava investigando algo que me deixou revoltado: dezenas de sites institucionais brasileiros — governo de Minas Gerais, prefeitura de Campo Bom, Unimed, site do estado da Bahia — hackeados para redirecionar visitantes ao site de apostas KTO. Publiquei um Reels no Instagram naquele dia e o engajamento explodiu. Muita gente já tinha visto o mesmo fenômeno em sites das suas cidades. O que chamou minha atenção foi um detalhe técnico: todos os links de redirecionamento tinham o mesmo parâmetro na URL — um invite code. Esse código identifica o afiliado que divulga o cassino e recebe comissão quando alguém se cadastra ou deposita. Comecei a mapear. Busquei por esse invite code em URLs na internet. Encontrei dezenas de sites hackeados com o mesmo código. Depois encontrei perfis no TikTok, Instagram e Twitter divulgando o mesmo invite code. Tudo ligado ao mesmo afiliado. E o KTO e o Betano tem KYC. Sabem quem é o cliente que recebe as comissões. Fazem pagamento em Pix no Brasil. Então com o invite code mapeado, uma investigação criminal pode solicitar quebra de sigilo e chegar ao responsável. Eu compilei tudo e reportei — derrubei dezenas de links nos sites institucionais. "Comecei a encontrar vários sites que tinham Invite Code e o código se repetindo." A lição: parâmetros de URL como invite codes são rastreáveis. Criminosos deixam pegadas digitais em tudo que fazem. O mundo digital tem mais evidências que o mundo físico — a gente só precisa saber onde procurar. ## Ferramentas de segurança física contra rastreamento e SimSwap Diego mostrou dois equipamentos que usa no dia a dia para proteção física. Primeiro, a [YubiKey](https://www.yubico.com) — uma chave de segurança física para autenticação de dois fatores. Em vez de receber código por SMS (que pode ser interceptado via SimSwap), os códigos ficam armazenados no dispositivo físico. Conecta por USB ou NFC. Sem a chave física, ninguém acessa suas contas, mesmo com sua senha. Por que isso importa? SimSwap. Se um funcionário corrupto dentro da operadora transferir seu número para outro chip (e isso acontece — mais de 10 milhões de vítimas no Brasil), o golpista recebe todos os seus códigos de verificação por SMS. Diego foi direto: "SimSwap, se for dentro da operadora, esquece. Não tem o que fazer." Seu celular perde sinal, o outro chip recebe seus códigos, e pronto. Segundo, a Faraday Bag. Diego demonstrou ao vivo: colocou o telefone dentro, fechou, e o aparelho perdeu todo sinal instantaneamente. Radiofrequência, Wi-Fi, Bluetooth, GSM — tudo morto. Irrastreável. Se alguém ligar, cai na caixa postal. É o mesmo material usado em tendas de rádio militar. "Tudo que eu fizer isso aqui e fechar, tudo que tá aqui dentro morre. Qualquer tipo de sinal de antena, cara, o ar, qualquer coisa." E se você não tem uma Faraday Bag? Diego deu uma alternativa caseira: papel alumínio grosso (depende da espessura) ou até um micro-ondas funcionam como bloqueadores improvisados. Não é ideal, mas funciona em emergência. ## Vocabulário de fraude: documento interno de quadrilha compartilhado No final do aulão, compartilhei com o público um documento interno de uma quadrilha de fraude — a chamada "Sociedade Anônima". É um material de treinamento que eles criaram para novos membros, com todo o vocabulário técnico usado no mercado clandestino. CARDER, CCINFO, CHECKER, GG, BIM, BIM baixa, BIM alta, CC Fuzil, DAI, consultável, mix, aprovação, esquema, drop, DB, banner. Cada termo tem significado específico no ecossistema de fraude. O documento explica a estrutura do cartão, quais países não exigem CCV, quais sites aceitam frete para endereço diferente do cadastro, e até o modus operandi de limpeza de rastros — incluindo software de varredura de vestígios. Entender esse vocabulário não é para cometer fraude. É para investigar. Quando você infiltra um grupo, monitora um canal, ou analisa uma conversa capturada, precisa saber o que significam os termos. Policiais, delegados, advogados, peritos — todos precisam desse conhecimento para atuar com eficácia no cenário atual de crimes digitais. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | ElevenLabs | Clonagem e síntese de voz com IA | [ElevenLabs](https://elevenlabs.io) | | HeyGen | Criação de deepfake em vídeo com IA | [HeyGen](https://www.heygen.com) | | HI SPY | Investigação ativa com links rastreáveis | [HI SPY](https://hispy.io) | | Sherlock | Busca de perfis de usuário em 400+ redes sociais | [Sherlock](https://github.com/sherlock-project/sherlock) | | Parrot OS | Sistema operacional para segurança e forense digital | [Parrot OS](https://parrotsec.org) | | MAC Vendors | Identificação de fabricante por endereço MAC | [MAC Vendors](https://macvendors.com) | | YubiKey | Chave física de autenticação dois fatores (FIDO2/U2F) | [YubiKey](https://www.yubico.com) | | This Person Does Not Exist | Geração de fotos fictícias por IA para socket puppets | [This Person Does Not Exist](https://thispersondoesnotexist.com) | | Kali Linux | Distribuição Linux para testes de segurança | [Kali Linux](https://www.kali.org) | | Flipper Zero | Dispositivo multifuncional para testes de segurança RF/NFC | [Flipper Zero](https://flipperzero.one) | ## Perguntas Frequentes ### Como os golpistas conseguem meus dados pessoais? Seus dados foram vazados em megabrechas de empresas como Serasa, bancos de dados de governo, operadoras e fintechs. Esses dados são comercializados em canais do Telegram por centavos — consultas de CPF por R$0,10, bases completas por reais. O golpista não precisa te hackear. Ele só compra seus dados prontos. ### O que é uma conta laranja e como funciona? Conta laranja é uma conta bancária aberta com dados de outra pessoa, sem o conhecimento dela. Criminosos usam apps Android modificados que burlam a verificação facial dos bancos digitais, combinados com documentos falsificados. Essas contas são vendidas prontas em canais do Telegram — uma conta Santander custa R$300. O dinheiro de golpes é transferido para essas contas antes de ser lavado. ### É possível rastrear um Pix para conta laranja? Tecnicamente sim, mas na prática depende do valor e dos recursos disponíveis. O Pix vai para uma conta laranja, que transfere para um cartão pré-pago, que é revendido para outro criminoso. O rastreamento é possível, mas o custo da investigação frequentemente supera o valor roubado. Apenas 8% dos crimes no Brasil são investigados. ### Como saber se uma ligação é do banco ou golpe? Nunca confirme dados numa ligação. Peça para a pessoa informar as 10 últimas transações do seu extrato com centavos. Se não souber, é golpe. Prefira atendimento pelo chat do app ou e-mail. Lembre-se que golpistas podem falsificar o número que aparece no visor (spoofing) e até clonar vozes com IA. ### O que é investigação ativa contra golpistas? Investigação ativa é quando você interage diretamente com o golpista de forma controlada para coletar dados que o identifiquem. Usando um perfil falso (socket puppet), engenharia social e links rastreáveis, você pode capturar IP, geolocalização, dados de dispositivo e até foto da webcam do criminoso. Ferramentas como o [HI SPY](https://hispy.io) tornam esse processo acessível para qualquer pessoa. ### Como me proteger de SimSwap? Use chaves de segurança físicas como a [YubiKey](https://www.yubico.com) em vez de SMS para autenticação de dois fatores. Se um funcionário corrupto da operadora transferir seu número, você perde todos os códigos por SMS — mas a chave física permanece segura. Mais de 10 milhões de brasileiros já foram vítimas de SimSwap. ### Deepfake de voz e vídeo pode ser bloqueado? Não. A tecnologia é open source e qualquer pessoa com computador pode rodar localmente. Plataformas como [ElevenLabs](https://elevenlabs.io) implementam verificações, mas a tecnologia base não depende delas. A defesa não é impedir a criação de deepfakes — é saber detectar, não acreditar automaticamente e investigar quando necessário. ### Qual a melhor forma de proteger meu cartão de crédito? Crie cartões virtuais separados para cada serviço no seu banco digital. Acabou de usar? Bloqueie. Mantenha limites baixos. Bloqueie cartões virtuais antes de dormir — 80% das fraudes de cartão acontecem após as 22 horas. Se um cartão vazar, o dano fica limitado àquele serviço. > **Veja também:** [Primeiro Aulão Presencial no Brasil: Bug Bounty, Flipper Zero e os Bastidores da Equipe — Aulão #30](/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil) > **Veja também:** [Desmascarando Stalkers: Caso Real, OSINT e Investigação Ativa — Aulão #32](/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint) > **Veja também:** [Como Investigar Lojas Virtuais: Guia Prático para Não Cair em Golpes Online — Aulão #34](/aulao-semanal/como-investigar-lojas-virtuais-identificar-golpes-online) > **Veja também:** [14 Técnicas para Descobrir o Dono de um WhatsApp na Prática — Aulão #35](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) > **Veja também:** [Perícia Forense na Prática: Como Investigar Cenas de Crimes — Aulão #037](/aulao-semanal/pericia-forense-como-funciona-investigar-cenas-de-crimes) > **Veja também:** [Como Investigar Golpes do Pix: Prevenção, Recuperação e Investigação — Aulão #043](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao) > **Veja também:** [HI SPY: Como Funciona a Ferramenta de Investigação Digital — Aulão #051](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) ## Referências e Recursos - [ElevenLabs — Plataforma de clonagem de voz com IA](https://elevenlabs.io) - [HeyGen — Criação de deepfake em vídeo](https://www.heygen.com) - [HI SPY — Ferramenta de investigação ativa](https://hispy.io) - [Sherlock Project — Busca de usernames em 400+ redes sociais](https://github.com/sherlock-project/sherlock) - [Parrot Security OS — Distribuição para segurança e forense](https://parrotsec.org) - [MAC Vendors — Lookup de fabricante por MAC address](https://macvendors.com) - [Yubico — Chaves de segurança YubiKey](https://www.yubico.com) - [This Person Does Not Exist — Fotos fictícias por IA](https://thispersondoesnotexist.com) - [Kali Linux — Distribuição para testes de segurança](https://www.kali.org) - [Flipper Zero — Dispositivo multifuncional de segurança](https://flipperzero.one) - [O que é SIM Swap e como se proteger — Tecnoblog](https://tecnoblog.net/responde/como-nao-ser-a-proxima-vitima-de-fraudes-de-sim-swap/) --- ### Aulão #028 — Como Encontrar Subdomínios Escondidos: Do DNSDumpster ao Brute Force URL: https://brunofraga.com/aulao-semanal/como-encontrar-subdominios-escondidos-ferramentas-tecnicas Publicado: 2024-09-05 Tags: hacking, osint, investigacao-digital, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=VNDKj-yFtnA Aprenda a encontrar subdomínios ocultos de qualquer site usando DNSDumpster, Subfinder, wordlists e força bruta. Aulão ao vivo com demonstrações práticas em sites reais. ## O que você vai aprender neste aulão Se você quer saber como encontrar subdomínios escondidos de qualquer site, este aulão é para você. Eu trouxe esse conhecimento direto do universo de web hacking para a investigação digital e demonstrei tudo ao vivo — usando ferramentas gratuitas que qualquer pessoa pode instalar e rodar hoje mesmo. E Subfinder, DNSDumpster, dnsenum, Sublist3r: todas foram executadas na prática, com resultados reais aparecendo na tela. Quando você investiga apenas o domínio principal de um site, você está ignorando dezenas (às vezes centenas) de outros sistemas conectados a ele. Subdomínios como intranet.empresa.com, login.empresa.com ou api.empresa.com são sites separados, com servidores próprios, e frequentemente possuem falhas de segurança que o domínio principal não tem. E é justamente aí que a investigação fica interessante. Depois de assistir este aulão, você vai conseguir: usar o [DNSDumpster](https://dnsdumpster.com/) para mapear subdomínios de forma passiva, instalar e executar o [Subfinder](https://github.com/projectdiscovery/subfinder) no Kali Linux, aplicar força bruta com wordlists do [SecLists](https://github.com/danielmiessler/SecLists) usando dnsenum e Sublist3r, e entender como a transferência de zona DNS pode expor toda a infraestrutura de um alvo. Tudo isso demonstrado na prática, com exemplos reais de sites de prefeituras, empresas e domínios sugeridos ao vivo pelo público. ## O que são subdomínios e por que investigar cada um deles Um subdomínio é o que vem antes do domínio principal na URL. O site empresa.com é apenas a superfície. Mas email.empresa.com, blog.empresa.com e admin.empresa.com são sistemas completamente diferentes, rodando em servidores separados. Por que eles existem? Porque é inviável colocar tudo no mesmo servidor. Uma empresa precisa de um software de email, um sistema de autenticação, um blog, um painel administrativo, uma API. Cada função vira um subdomínio. E o YouTube faz isso também — o studio.youtube.com é um subdomínio separado do youtube.com, porque é outra aplicação com outro nível de acesso. O problema (ou a oportunidade, dependendo do lado que você está) é que o domínio principal recebe toda a atenção de segurança. Os subdomínios, nem tanto. Eu mostrei isso ao vivo quando encontrei o subdomínio mobile.terra.com retornando erro "aplicação não encontrada" e altssoterra.com com um erro de configuração CGI exposto. O site principal do Terra estava impecável. Mas os subdomínios? Cheios de brechas. Na investigação digital, cada subdomínio que você descobre é um novo ponto de análise. Se você está [investigando um phishing ou golpe](/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas), por exemplo, o criminoso pode ter netflix.crime.com, bbb.crime.com e banco.crime.com rodando no mesmo servidor. Encontrar os subdomínios revela toda a operação. E quando você precisa [descobrir quem está por trás de um site](/aulao-semanal/como-descobrir-o-dono-de-um-site), mapear subdomínios expõe infraestrutura que o WHOIS sozinho não mostra. Como eu disse na aula: "Sair da superfície de um subdomínio e mapear todos os subdomínios para investigá-lo — você basicamente pega o seu alvo e multiplica a chance de encontrar algo por cada subdomínio, literalmente." ## Como encontrar subdomínios com Google Hacking A técnica mais rápida para encontrar subdomínios indexados é usar o operador de busca `site:` com asterisco. Basta digitar `site:*.dominio.com` no Google e ele retorna todos os subdomínios que o buscador já indexou. Eu demonstrei isso ao vivo com o Terra. Digitei `site:*.terra.com` e imediatamente apareceram subdomínios como clima.terra.com, games.terra.com e outros que o site principal não mostra em nenhum menu. É uma busca de 5 segundos que já dá resultado. Mas tem mais. Outra técnica manual que funciona é copiar o link de imagens dentro de um site. Cliquei com o botão direito em uma imagem do Terra, copiei o link, e a URL revelou p2.trrsf.com — um subdomínio de CDN que não aparece em lugar nenhum. Fiz o mesmo percorrendo o site da prefeitura de Florianópolis: cliquei em "Mapas de Obra" e fui redirecionado para obras.gov.pmfc, depois em "Somar Floripa" e cheguei na intranet. Cada clique revelava um subdomínio diferente. Se você quer se aprofundar nos operadores avançados do Google, eu fiz uma aula inteira sobre isso no [Aulão #8 — 7 Buscas Perigosas que Revelam Informações Sensíveis no Google](/aulao-semanal/google-hacking-buscas-perigosas-dorks). Mas para subdomínios, essas duas técnicas manuais já são um começo sólido. ## DNSDumpster: mapeando subdomínios de forma passiva e gratuita O [DNSDumpster](https://dnsdumpster.com/) é uma ferramenta web gratuita que consulta caches e históricos de DNS para encontrar subdomínios sem enviar nenhuma requisição direta ao alvo. Você acessa o site, digita o domínio e ele retorna tudo que encontrar. Eu testei ao vivo com vários domínios. O resultado da prefeitura de Uberlândia (uberlandiamg.gov) foi impressionante: agendamento, alvará, atestado, back-comunicação, back-débito, dados abertos, defesa civil, docs, efiscal, egestão, epidemiológico e até Pix API. Sim, uma API de Pix exposta como subdomínio público. Minha reação ao vivo foi: "Pix API, que isso aqui? Que parada louca." Depois testei o brunofraga.com e encontrou api, l, lp e www. No tecnicasdeinvasao.com apareceu api, sl e secreto — esse último é onde os alunos fazem login. Até o DNSDumpster encontrou isso. Mas o teste mais revelador foi com a prefeitura de Florianópolis. Encontrou ADM, ADM2, agendamentos, app, CMS (que tinha um WhatsApp de contato que não aparecia no site principal), cursos, gestão IPTU, ISSnet, e vários servidores de email: meio, meio2, meioz. E ainda achou um painel de login do Zimbra. Se você esquecesse a senha ali, o sistema poderia revelar um email de contato. O DNSDumpster também gera um mapa gráfico dos subdomínios encontrados, mostrando como eles se conectam entre si. É o ponto de partida perfeito — gratuito, sem instalação, e já revela muita coisa. Mas ele tem uma limitação: só consulta cache. Se o subdomínio nunca foi indexado, ele não encontra. ## Subfinder: a ferramenta mais poderosa para enumeração de subdomínios O [Subfinder](https://github.com/projectdiscovery/subfinder) é a ferramenta que eu considero a mais poderosa para encontrar subdomínios. Diferente do DNSDumpster, ele consulta dezenas de fontes simultaneamente: Google, [Shodan](https://www.shodan.io/), Archive.org e mais de 40 outros serviços. É uma ferramenta escrita em [Go (Golang)](https://go.dev/) pelo ProjectDiscovery, e a instalação no [Kali Linux](https://www.kali.org/) é direta. Primeiro você instala o Golang: ```bash sudo apt-get install golang ``` Depois instala o Subfinder via go install (o comando está no [repositório oficial](https://github.com/projectdiscovery/subfinder)). O binário fica em `~/go/bin/subfinder`. Para executar: ```bash ./subfinder -d dominio.com ``` Só isso. E ProjectDiscovery, a equipe por trás da ferramenta, mantém o código atualizado com novas fontes de dados constantemente. Para comparar com o DNSDumpster, testei o mesmo domínio: uberlandiamg.gov. Enquanto o DNSDumpster encontrou cerca de 28 subdomínios, o Subfinder trouxe mais de 50 — incluindo web, protestos, project, IoT, requerimentos, imóvel, validador, sepultos, webcam, portal, WebDisco, WebContabilidade, WebZones. Subdomínios que simplesmente não apareciam no DNSDumpster. Testei também sites sugeridos pelo público ao vivo. O nopba.com retornou apenas www — era um site novo, sem histórico de cache. O silvaeventos.com.br também não tinha subdomínios — site estático simples. Mas o anhanguera.com? O Subfinder encontrou 71 subdomínios: blog, aperfeiçoar, CPC, BI, portal, VooPay, login, colaborador, ensino, inscrição, saque, parceria, app, hub. Cada um desses é uma porta de investigação. E o arpadigital.com.br (uma agência de tráfego pago de alguém do chat) retornou servidor, API, app, cloud, mail, mailtrack, webdisk, webmail, cPanel, contatos. O dono do site estava assistindo a aula e pode conferir em tempo real. E esse é o ponto: se uma ferramenta gratuita de linha de comando encontra o cPanel, o webmail e a API do seu site em 10 segundos, imagine o que alguém com mais tempo e intenção consegue. Importante: quando um site não retorna resultados (como aconteceu com nopba.com e silvaeventos.com.br), não significa que não existem subdomínios. Significa que eles nunca foram indexados pelas fontes que o Subfinder consulta. Sites novos, sites pequenos, sites que acabaram de subir — todos podem ter subdomínios que só aparecem na força bruta. O Subfinder é passivo — ele não envia requisições diretamente ao alvo. Isso garante stealth. Mas como toda ferramenta de cache, ele não encontra subdomínios que nunca foram indexados. É aí que entra a força bruta. ## Wordlists: o segredo por trás da descoberta de subdomínios ocultos Wordlists são listas de palavras usadas para testar possibilidades de forma automatizada. No contexto de subdomínios, uma wordlist contém os nomes mais comuns que programadores usam: admin, intranet, vpn, login, mail, dev, staging, api, blog, test. O repositório [SecLists](https://github.com/danielmiessler/SecLists) no GitHub é a referência. Dentro da pasta Discovery/DNS, você encontra arquivos com os top 100 mil, 500 mil e 1 milhão de subdomínios mais utilizados no mundo. Eu abri o arquivo com 1 milhão de entradas ao vivo e mostrei: localhost, cPanel, mail2, pop3, old, new, shop, demo, autodiscover, dev, newsite, transfer, www10. Tudo que você imaginar de possibilidade já está catalogado. Pedi ao público para sugerir subdomínios que eles achavam que "ninguém encontraria". Alguém sugeriu gatekeeper — estava na lista. Admin? Óbvio que sim. Painel? Vários tipos: painel, painel3, painelstats. A única que não estava na lista de 1 milhão era WPast (WordPress do passado) — mas existem wordlists ainda mais completas no próprio SecLists, com 10 milhões de entradas ou mais. E não para por aí. Dentro do SecLists você encontra wordlists específicas para CMS (WordPress, Joomla), para diretórios web, para fuzzing de parâmetros, para senhas. A pasta Discovery/DNS é só uma das dezenas de categorias. Se você investiga sites WordPress, por exemplo, tem uma wordlist inteira com caminhos padrão de plugins e admin panels que desenvolvedores esquecem de proteger. E essas wordlists não vêm do nada. São construídas a partir de dados reais. Vazamentos de grandes plataformas de jogos, por exemplo, alimentaram wordlists de senhas com milhões de credenciais reais. Métricas analíticas de milhões de domínios alimentam as wordlists de subdomínios. Como eu expliquei na aula: "O programador que cria lá um localhost e acha que ninguém vai encontrar — cara, as top 1 milhão estão aqui." As mesmas wordlists servem para quebrar senhas de Wi-Fi e logins. O conceito é idêntico: testar padrões humanos de forma automatizada. Se você quer aprender a automatizar esse tipo de tarefa com scripts, recomendo o [Aulão #25 — Programação do Zero para Investigação Digital](/aulao-semanal/programacao-do-zero-para-investigacao-digital), onde eu mostrei como criar automações com Python. ## Força bruta com dnsenum, Sublist3r e SubBrute Força bruta de subdomínios é testar cada palavra de uma wordlist contra o domínio alvo para ver quais respondem. É a técnica que encontra subdomínios que nunca foram indexados por nenhum cache. ### dnsenum: enumeração DNS com brute force e zone transfer O [dnsenum](https://github.com/fwaeytens/dnsenum) já vem instalado no Kali Linux. Você passa o domínio e ele faz tudo: lê registros DNS, tenta transferência de zona e executa brute force com uma wordlist padrão de 1.500 linhas. ```bash dnsenum arpadigital.com.br ``` Testei ao vivo com arpadigital.com.br e encontrou 5 subdomínios por força bruta — incluindo o cloud, que o Subfinder (passivo) não tinha encontrado. É a prova de que combinar enumeração passiva com força bruta é a estratégia mais completa. Para usar uma wordlist mais completa, basta passar o parâmetro `-f`: ```bash dnsenum -f seclists-dns-top1million.txt arpadigital.com.br ``` Eu baixei a wordlist do SecLists com wget e passei para o dnsenum. Imediatamente encontrou mais resultados que a wordlist padrão. Mas o dnsenum faz algo ainda mais avançado: tenta a transferência de zona DNS. Essa técnica merece uma seção própria. ### Sublist3r: pesquisa multifontes com modo brute force O [Sublist3r](https://github.com/aboul3la/Sublist3r) é uma ferramenta Python que consulta simultaneamente Baidu, Yahoo, Google, Bing, Ask, Netcraft e DNSDumpster. Instalação no Kali: ```bash sudo apt-get install sublist3r ``` Uso básico: ```bash sublist3r -d arpadigital.com.br ``` Ele percorre todos os motores de busca automaticamente e consolida os resultados. Mas o diferencial é o flag `-b`, que ativa o brute force usando o [SubBrute](https://github.com/TheRook/subbrute) como engine: ```bash sublist3r -b -d arpadigital.com.br ``` O SubBrute é a ferramenta que eu considero a melhor para força bruta de subdomínios. Ele usa resolvedores DNS abertos para contornar rate-limiting e ordena a wordlist por frequência para retornar subdomínios comuns primeiro. É mais rápido e preciso que o dnsenum para brute force puro. Se você nunca usou o terminal Linux, recomendo começar pelo [Aulão #15 — Seu primeiro passo no Linux](/aulao-semanal/linux-para-iniciantes-passo-a-passo) antes de instalar essas ferramentas. ## Transferência de zona DNS: a técnica avançada que poucos conhecem A transferência de zona DNS é um protocolo que permite servidores DNS sincronizarem registros entre si. Quando um servidor está mal configurado, qualquer pessoa pode solicitar uma cópia completa de todos os registros DNS — incluindo subdomínios internos que não deveriam ser públicos. O dnsenum tenta isso automaticamente. Como eu expliquei na aula: "Ele faz uma requisição no servidor de DNS se passando pelos servidores DNS e fala: olá, eu quero atualizar a lista de DNS. E ele expõe DNS interna da rede local. É uma parada sinistra." Na prática, funciona assim: o protocolo AXFR (transferência completa) é usado legitimamente quando um servidor DNS primário precisa replicar dados para um secundário. Mas quando o administrador não restringe quem pode solicitar essa transferência, um atacante (ou investigador) consegue obter a lista completa de registros — revelando toda a infraestrutura de subdomínios do alvo, incluindo os internos. E AXFR, o protocolo de transferência completa, é justamente o que o dnsenum tenta explorar. Quando essa técnica funciona? O resultado é devastador. Você recebe subdomínios internos da rede local que não aparecem em nenhum cache, nenhuma wordlist e nenhuma busca no Google. É por isso que eu disse que é "absurdamente séria quando passa, e muitas vezes passa". A defesa contra isso é simples: restringir transferências de zona apenas para servidores autorizados e usar TSIG (Transaction Signature). Mas a realidade é que a maioria das organizações — especialmente órgãos públicos brasileiros — simplesmente não configuram isso. Se você quer entender mais sobre como [Shodan pode identificar servidores vulneráveis a esse tipo de falha](/aulao-semanal/shodan-como-usar-identificar-vulnerabilidades-internet), eu cobri isso em detalhes no aulão sobre Shodan. ## Estratégia completa: combinando técnicas para máxima cobertura Nenhuma ferramenta sozinha encontra tudo. A estratégia que eu uso na prática é uma combinação de quatro camadas: 1. **Google Hacking** — busca rápida com `site:*.dominio.com` para pegar subdomínios indexados 2. **DNSDumpster** — reconhecimento passivo via cache, com mapa gráfico gratuito 3. **Subfinder** — enumeração passiva consultando dezenas de fontes (Google, Shodan, Archive e mais) 4. **Força bruta** — dnsenum ou Sublist3r com wordlists do SecLists para encontrar subdomínios nunca indexados 5. **Transferência de zona** — tentativa automática pelo dnsenum que, quando funciona, revela tudo No caso da prefeitura de Uberlândia, o DNSDumpster encontrou 28 subdomínios. O Subfinder encontrou mais de 50, incluindo IoT, webcam e WebContabilidade. E a força bruta revelaria ainda outros que nenhum cache tinha. Cada camada complementa a anterior. E Kali Linux já vem com a maioria dessas ferramentas pré-instaladas, então você pode começar rapidamente. Depois de mapear os subdomínios, cada um vira um alvo de investigação. Abra o subdomínio no browser. Procure painéis de login. Verifique erros de configuração. Busque informações sensíveis. Como eu mostrei com as prefeituras — WhatsApp de contato no CMS, Zimbra com recuperação de senha, APIs expostas. E aplique todas as técnicas de investigação que você já conhece: [engenharia social](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital), análise de headers, [desafios práticos de OSINT](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint). ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | DNSDumpster | Reconhecimento passivo de subdomínios via cache DNS, com mapa gráfico | [DNSDumpster](https://dnsdumpster.com/) | | Subfinder | Enumeração passiva de subdomínios consultando dezenas de fontes online | [Subfinder](https://github.com/projectdiscovery/subfinder) | | SecLists | Repositório de wordlists com top 1 milhão de subdomínios para brute force | [SecLists](https://github.com/danielmiessler/SecLists) | | dnsenum | Enumeração DNS com brute force e tentativa de transferência de zona | [dnsenum](https://github.com/fwaeytens/dnsenum) | | Sublist3r | Enumeração de subdomínios via OSINT multifontes com modo brute force | [Sublist3r](https://github.com/aboul3la/Sublist3r) | | SubBrute | Engine de força bruta com resolvedores DNS abertos e wordlist ordenada por frequência | [SubBrute](https://github.com/TheRook/subbrute) | | Kali Linux | Distribuição Linux com todas as ferramentas de segurança pré-instaladas | [Kali Linux](https://www.kali.org/) | | Google Hacking | Operadores de busca avançada para encontrar subdomínios indexados | [Google](https://www.google.com) | ## Perguntas Frequentes ### O que são subdomínios e para que servem? Subdomínios são endereços que vêm antes do domínio principal — por exemplo, blog.empresa.com ou mail.empresa.com. Eles existem para isolar funções diferentes: email, autenticação, blog, API, painel administrativo. Cada subdomínio é essencialmente um site separado rodando em seu próprio servidor. ### Como descobrir os subdomínios de um site? Existem quatro abordagens: Google Hacking com operador `site:*.dominio.com`, ferramentas de cache como DNSDumpster, enumeração passiva com Subfinder, e força bruta com wordlists usando dnsenum ou Sublist3r. A combinação das quatro garante a maior cobertura possível. ### Preciso saber programar para usar essas ferramentas? Não. O DNSDumpster é 100% web — basta acessar o site e digitar o domínio. O Subfinder, dnsenum e Sublist3r rodam via terminal com comandos simples de uma linha. Você precisa de um Kali Linux (ou qualquer Linux) e seguir os comandos de instalação que eu mostrei na aula. ### Qual a diferença entre enumeração passiva e força bruta? Enumeração passiva (Subfinder, DNSDumpster) consulta caches e históricos da internet — não envia requisições ao alvo. Força bruta (dnsenum, SubBrute) testa cada palavra de uma wordlist diretamente contra o servidor DNS do alvo. A passiva é mais discreta; a força bruta encontra subdomínios que nunca foram indexados. ### O que é uma wordlist e onde encontrar? Wordlist é um arquivo de texto com milhares (ou milhões) de palavras comuns. Para subdomínios, o repositório [SecLists](https://github.com/danielmiessler/SecLists) no GitHub tem listas com os top 100 mil, 500 mil e 1 milhão de subdomínios mais usados no mundo. São construídas a partir de dados reais e métricas analíticas. ### O que é transferência de zona DNS e por que é perigosa? É um protocolo que permite servidores DNS sincronizarem registros. Quando mal configurado, qualquer pessoa pode solicitar uma cópia completa de todos os registros DNS do domínio — incluindo subdomínios internos da rede local. O dnsenum tenta isso automaticamente em cada scan. ### Posso usar essas técnicas no Windows? O DNSDumpster funciona em qualquer browser. O Subfinder tem versão para Windows (basta instalar Golang e rodar go install). Para as ferramentas de força bruta, o ideal é usar Kali Linux em uma máquina virtual ou WSL (Windows Subsystem for Linux). Mas nada impede de rodar no Windows com as adaptações certas. ### Encontrar subdomínios é ilegal? Enumeração de subdomínios usando fontes passivas (cache, buscadores) não envia requisições ao alvo e não é considerada invasão. Força bruta envia requisições DNS ao servidor e pode ser considerada scan não autorizado dependendo da jurisdição. Sempre tenha autorização antes de testar infraestrutura de terceiros. Este conteúdo é estritamente educacional. > **Veja também:** [Primeiro Aulão Presencial no Brasil: Bug Bounty, Flipper Zero e os Bastidores da Equipe — Aulão #30](/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil) > **Veja também:** [TraceLabs: Vale a Pena ou o Kali Linux Resolve? — Aulão #33](/aulao-semanal/tracelabs-sistema-operacional-osint-investigacao-digital) ## Referências e Recursos - [DNSDumpster — Ferramenta gratuita de reconhecimento DNS](https://dnsdumpster.com/) - [Subfinder — Enumeração passiva de subdomínios (GitHub)](https://github.com/projectdiscovery/subfinder) - [Documentação oficial do Subfinder (ProjectDiscovery)](https://docs.projectdiscovery.io/tools/subfinder/overview) - [SecLists — Repositório de wordlists para testes de segurança (GitHub)](https://github.com/danielmiessler/SecLists) - [dnsenum — Enumeração DNS com brute force (GitHub)](https://github.com/fwaeytens/dnsenum) - [Sublist3r — Enumeração de subdomínios multifontes (GitHub)](https://github.com/aboul3la/Sublist3r) - [SubBrute — Força bruta de subdomínios (GitHub)](https://github.com/TheRook/subbrute) - [Kali Linux — Distribuição para testes de segurança](https://www.kali.org/) - [Go (Golang) — Linguagem de programação](https://go.dev/) - [Shodan — Motor de busca para dispositivos conectados](https://www.shodan.io/) - [Transferência de zona DNS — Wikipedia](https://pt.wikipedia.org/wiki/Transfer%C3%AAncia_de_zona_DNS) --- ### Aulão #027 — Como Analisar Metadados em Massa: Do ExifTool ao FOCA em Investigações Digitais URL: https://brunofraga.com/aulao-semanal/como-analisar-metadados-em-massa-investigacao-digital Publicado: 2024-09-04 Tags: osint, investigacao-digital, ciberseguranca, privacidade, tutoriais YouTube: https://www.youtube.com/watch?v=1rTrHEOz8mE Aprenda a analisar metadados de milhares de arquivos usando ExifTool, wget, Metagoofil, HTTrack e FOCA. Demonstração ao vivo em vídeo com casos reais de dados expostos em sites governamentais. ## O que você vai aprender neste aulão Analisar metadados em massa é a técnica que separa o investigador digital amador do profissional. Neste aulão eu demonstrei ao vivo, passo a passo, como extrair informações ocultas de milhares de arquivos de uma vez — nomes de usuário, localizações GPS, caminhos de diretórios internos e versões de software que seu alvo nem sabe que está expondo. Eu peguei um site governamental com 28 mil PDFs públicos e mostrei que basta um único arquivo com metadado vazado para abrir uma investigação. E encontramos. Com poucos arquivos baixados manualmente, já apareceram dois nomes completos de pessoas, caminhos de pastas internas do servidor e até o modelo exato de uma câmera Nikon usada para tirar uma foto oficial. Você vai sair deste artigo sabendo usar o [ExifTool](https://exiftool.org/) para ler metadados de pastas inteiras, o [wget](https://www.gnu.org/software/wget/) para baixar arquivos sem alterar metadados, o [Metagoofil](https://github.com/opsdisk/metagoofil) para automatizar a coleta via Google, o [HTTrack](https://www.httrack.com/) para clonar sites completos e o [FOCA](https://github.com/ElevenPaths/FOCA) para quem quer tudo numa interface gráfica. Tudo baseado em demonstração ao vivo, com erros reais e soluções na hora. ## Por que metadados são um problema de privacidade (e uma arma para investigação) Metadados são informações embutidas automaticamente em arquivos digitais — data de criação, autor, software usado, coordenadas GPS, nome do computador, versão do sistema operacional. A maioria das pessoas nem sabe que essas informações existem dentro dos seus PDFs, fotos e documentos. E aqui mora o perigo: isso é um problema de duas faces. Para quem quer privacidade, é um pesadelo silencioso. Para quem investiga, é ouro. Um ex-diretor da NSA já afirmou publicamente: "A gente mata com base em metadados." Pessoas na rede Tor foram identificadas e presas por causa de metadados nos arquivos que compartilharam. Eu já resolvi casos inteiros lendo metadados de documentos que o alvo nem imaginava que estavam expostos. E Criminosos na dark web foram presos exatamente por esse descuido. Mas quando publiquei um vídeo sobre isso no YouTube, dezenas de comentários reclamaram: "Não funciona", "as redes sociais tiram os metadados", "testei com uma foto e não tinha nada." E o erro dessas pessoas é simples: analisar um arquivo só. "Você não quer que todos os arquivos tenham metadados expostos. Você quer um só. Você quer um vazamento, um arquivo que expõe." É exatamente isso. Se eu mostrei anteriormente no [Aulão #10 — Descobrindo Segredos Ocultos: A Arte de Investigar Metadados](/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos) como ler metadados de um arquivo individual, agora eu vou te ensinar a ler 28 mil de uma vez. ## Como usar Google Hacking para encontrar arquivos com metadados expostos Google Hacking é a técnica de usar operadores avançados de busca para localizar arquivos específicos dentro de um domínio. Com dois operadores simples — `site:` e `filetype:` — você consegue mapear todos os documentos públicos de qualquer organização. E na prática, eu demonstrei ao vivo assim: digitei `site:gov.br prefeitura filetype:pdf` e o Google retornou 28 mil resultados. Vinte e oito mil arquivos PDF públicos de um único site governamental. Cada um deles potencialmente vazando o nome de quem criou o documento, qual software usou, em que computador, em qual pasta salvou. E não para em PDF. Você pode filtrar por `filetype:xls` para planilhas, `filetype:docx` para documentos Word, `filetype:pptx` para apresentações. Se eu já mostrei em detalhes como funcionam esses operadores no [Aulão #8 — 7 Buscas Perigosas que Revelam Informações Sensíveis no Google](/aulao-semanal/google-hacking-buscas-perigosas-dorks), aqui a pergunta é diferente: como analisar tudo isso em massa? A resposta começa com o download. Mas por onde começar? Pelo detalhe que a maioria ignora. ## Como baixar arquivos sem alterar metadados usando wget O wget preserva a integridade dos metadados originais do arquivo durante o download. Quando você faz download pelo browser, especialmente no Windows, o sistema pode alterar metadados como data de acesso e data de modificação. Isso compromete a análise forense. Para instalar o wget no Windows, o processo é direto: baixe o executável do site oficial, copie para a pasta `C:\Windows\System32` e pronto. No Linux e macOS já vem instalado por padrão. O uso básico é simples: ```bash wget URL-DO-ARQUIVO ``` No meu caso: `wget` seguido da URL copiada direto do Google. Mas o poder real aparece quando você combina wget com uma lista de URLs. Durante o aulão, eu usei o [Metagoofil](https://github.com/opsdisk/metagoofil) para coletar 40 URLs de PDFs de um site governamental. A ferramenta listou tudo, mas não baixou automaticamente (falhas acontecem ao vivo — faz parte). E aí entrou o wget com o parâmetro `-i`: ```bash wget -i lista.txt ``` Esse comando lê cada URL do arquivo `lista.txt` e baixa todos os arquivos sequencialmente. Criei o arquivo texto com as URLs coletadas, executei o comando e em minutos tinha dezenas de PDFs prontos para análise. Sem browser, sem clique manual, sem alteração de metadados. Eu usei o [ChatGPT](https://chat.openai.com) ao vivo para descobrir esse parâmetro do wget quando o Metagoofil falhou. Isso não é vergonha — é método. Quando uma ferramenta falha parcialmente, você combina com outra e resolve. Investigação digital é composição de ferramentas. E Quanto mais ferramentas você domina, mais rápido resolve. Se você ainda não tem essa base de linha de comando, recomendo começar pelo [Aulão #25 — Programação do Zero para Investigação Digital](/aulao-semanal/programacao-do-zero-para-investigacao-digital), onde mostrei como automatizar tarefas com Python. ## Como usar ExifTool para ler metadados em massa no Linux e Windows O ExifTool é a ferramenta mais completa para leitura de metadados — suporta mais de 400 formatos de arquivo, roda em Windows, Linux e macOS, e é totalmente gratuita. Para ler metadados de um único arquivo, basta arrastar para o executável ou digitar no terminal. Mas a mágica está na leitura em massa. ### Ler todos os arquivos de uma pasta ```bash exiftool * ``` E esse asterisco faz o ExifTool processar cada arquivo no diretório atual. Se a pasta tem 20 mil arquivos, ele lê os 20 mil. Simples assim. ### Leitura recursiva em subdiretórios ```bash exiftool -r /caminho/da/pasta/ ``` O parâmetro `-r` faz a varredura entrar em todas as subpastas. Eu demonstrei ao vivo: executei `exiftool -r` no diretório raiz de um site clonado e ele vasculhou cada imagem, cada PDF, cada documento em todas as pastas e subpastas. ### Filtrar campos específicos ```bash exiftool -create_date arquivo.pdf ``` Ao invés de exibir todos os metadados, você puxa só a data de criação. Para um advogado validando a autenticidade de uma prova digital, isso é suficiente. E funciona com qualquer campo: `-author`, `-GPS*`, `-software`, `-creator`. ### Combinação com grep para análise em massa Aqui é onde fica poderoso de verdade: ```bash exiftool * | grep -i "author" ``` Executei esse comando na pasta com os arquivos que baixei do site de leilão. Resultado: encontrei Guilherme Gregório da Silva e Maria Helena como autores de documentos. Com apenas 5 arquivos baixados. Dois nomes completos de pessoas que criaram documentos naquele site — sem nenhuma ferramenta sofisticada, só ExifTool e grep. E isso com um site que convertia imagens para WebP, supostamente "protegido". Outros filtros que usei ao vivo: ```bash exiftool * | grep -i "creator" # quem criou o arquivo exiftool * | grep -i "GPS" # coordenadas geográficas exiftool * | grep -i "email" # endereços de e-mail exiftool * | grep -i "user" # nomes de usuário exiftool -r * | grep -i "path" # caminhos de diretórios internos ``` E com `grep --color` você destaca visualmente os resultados no terminal, tornando a identificação instantânea. ### Varrer um computador inteiro ```bash exiftool -r / | grep -i "GPS" ``` Eu sugeri isso ao vivo: execute no seu próprio computador ou Android e descubra se alguma foto sua está vazando coordenadas GPS. O resultado pode surpreender. E Se você acha que seu celular está limpo, teste antes de afirmar. ## Como coletar arquivos de um domínio automaticamente com Metagoofil O Metagoofil automatiza a busca no Google por arquivos de um domínio específico e coleta seus metadados. Você informa o domínio-alvo e os tipos de arquivo, e ele faz o trabalho pesado. A instalação é por git clone: ```bash git clone REPO-DO-METAGOOFIL cd metagoofil pip install -r requirements.txt ``` O repositório oficial está no [GitHub do opsdisk](https://github.com/opsdisk/metagoofil). E o uso básico: ```bash python metagoofil.py -d dominio-alvo.com -t pdf -l 40 -n 40 -o /pasta/alvo/ ``` Onde `-d` é o domínio, `-t` é o tipo de arquivo, `-l` é o limite de resultados da busca, `-n` é o máximo de downloads e `-o` é o diretório de saída. No aulão eu executei contra um site gov.br e ele encontrou dezenas de PDFs. Teve um problema: a ferramenta listou as URLs mas não completou o download automaticamente. Isso acontece — versões mudam, dependências quebram, servidores bloqueiam. Mas as URLs foram coletadas, e com o `wget -i lista.txt` que mostrei antes, resolvi em segundos. O Metagoofil vem instalado por padrão no [Kali Linux](https://www.kali.org/). Se você usa outra distribuição, a instalação via git funciona sem problemas. Uma observação: ferramentas que fazem muitas requisições ao Google podem ter seu IP bloqueado temporariamente. Durante o aulão, meu IP já estava com timeout por ter feito um dump grande antes da aula. Coloque um delay entre requisições (parâmetro `-e`) para evitar isso. ## Como clonar um site inteiro com HTTrack para análise de metadados O HTTrack baixa um site completo para um diretório local, incluindo todas as imagens, documentos, scripts e arquivos que normalmente não aparecem na interface pública. Ele segue todos os links recursivamente e reconstrói a estrutura de diretórios do servidor original. Por que isso importa para metadados? Porque a maioria dos sites comprime as imagens que aparecem nas páginas — convertem para WebP, removem metadados para performance. Mas os arquivos originais, aqueles que estão em subdiretórios que ninguém acessa diretamente, frequentemente mantêm os metadados intactos. Eu demonstrei clonando o site da prefeitura de Natal/RN: ```bash httrack DOMINIO-ALVO -O /pasta/alvo/ ``` Enquanto o HTTrack rodava em background, eu já fui analisando os primeiros arquivos baixados. E os resultados foram imediatos: ```bash exiftool -r www.site-alvo/ | grep -i "author" ``` Encontrei João Gabriel, Mariana e Renê Carvalho como autores de documentos. Mas o achado mais interessante foi uma foto de um secretário municipal que mantinha o GPS version ID nos metadados — indicando que a câmera (uma Nikon Corporation) tinha gravado informações de geolocalização. O arquivo tinha sido editado com o GIMP no Windows, e os metadados revelaram até o caminho completo de pastas internas: `Antigos/Marte/Comunicação`. "Eu vou clonar o site dele e vou baixar tudo que ele tem na internet." Se você trabalha com investigação de phishing, fraudes ou crimes digitais, clonar o site-alvo é o primeiro passo. Preserva evidências antes que sejam removidas. E aqui entra um ponto que pouca gente pensa: no [Aulão #26 — Como Remover Conteúdo da Internet](/aulao-semanal/como-remover-conteudo-da-internet-guia-pratico) eu mostrei o outro lado: como mapear e solicitar remoção de conteúdo exposto. ## O que o ExifTool revela em metadados: dados reais encontrados ao vivo Para que fique claro o que metadados podem expor, aqui estão dados reais que encontrei durante a demonstração ao vivo: **Nomes de pessoas encontrados nos metadados:** - Guilherme Gregório da Silva (author em PDF de site de leilão) - Maria Helena (author em PDF do mesmo site) - Esp Santos, PMS, JRP, Alves, Marco Aurélio, Giovanna, Leandro, Solange (authors em PDFs de site governamental) - João Gabriel, Mariana, Renê Carvalho (authors em arquivos de site de prefeitura clonado) - TRT apareceu como author institucional **Software e versões identificadas:** - Microsoft Word 2016 - ilovepdf.com (serviço online de PDF) - Adobe InDesign - GIMP (editor de imagens open source) - Corel Draw - Adobe Photoshop - Adobe Illustrator **Informações de hardware:** - Câmera Nikon Corporation com modelo específico - GPS version ID indicando geolocalização ativa - ISO, sensibilidade e configurações de exposição da câmera - Plataforma Windows identificada nos metadados de edição **Estrutura organizacional vazada:** - Caminhos de diretórios internos como `Antigos/Marte/Comunicação` - Caminhos como `fotos/espetáculos/suspiros/arquivo.jpg` - Mapeamento de volumes e pastas de rede - Diretórios de servidor revelando organização interna de departamentos E isso com poucos arquivos. Imagine o que apareceria com os 28 mil PDFs completos. ## Como usar FOCA Metadata para análise automatizada no Windows O FOCA (Fingerprinting Organizations with Collected Archives) automatiza todo o processo que mostrei manualmente: busca no Google e DuckDuckGo, baixa os arquivos encontrados, extrai metadados e organiza tudo em um sumário visual com usuários, pastas, impressoras, softwares e e-mails. Para instalar, você precisa de: 1. Windows 10 ou superior 2. .NET Framework instalado 3. SQL Server Express (gratuito) 4. FOCA — baixe a última versão em [github.com/ElevenPaths/FOCA](https://github.com/ElevenPaths/FOCA) No aulão eu tentei instalar ao vivo, mas o SQL Server deu erro de configuração no Windows recém-instalado. Coisas de Windows — "tem que reiniciar a máquina", como sempre. Mas o conceito é simples: 1. Abra o FOCA e insira o domínio-alvo 2. Ele varre Google, DuckDuckGo e faz fuzzing de diretórios 3. Lista todos os arquivos encontrados (PDF, DOC, XLS, PPT) 4. Você seleciona e manda baixar 5. Seleciona novamente e manda extrair metadados 6. O FOCA monta um sumário com todas as informações extraídas "O FOCA é uma ferramenta que faz tudo que eu te mostrei de forma automatizada." Mas eu sou honesto: eu pessoalmente não uso o FOCA no dia a dia. Prefiro fazer pelo terminal, com as ferramentas que mostrei neste aulão. O FOCA é excelente para quem quer resultado rápido no Windows sem aprender linha de comando. Mas entender o processo manual te dá flexibilidade para adaptar quando a ferramenta automática falha — como aconteceu ao vivo com o Metagoofil. Se você está começando do zero e quer conhecer mais ferramentas antes de decidir qual usar, veja o [Aulão #22 — Como Começar na Investigação Digital](/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias) onde apresentei mais de 20 ferramentas OSINT gratuitas. ## Pipeline completo: do Google Hacking ao relatório de metadados Aqui está o fluxo de trabalho completo que demonstrei ao vivo, do início ao fim: **1. Reconhecimento com Google Hacking** ```bash site:alvo.com filetype:pdf site:alvo.com filetype:xls site:alvo.com filetype:docx ``` Mapeie todos os arquivos públicos do seu alvo. Eu encontrei 28 mil PDFs em um único site. **2. Coleta automatizada com Metagoofil** ```bash python metagoofil.py -d alvo.com -t pdf,xls,doc -l 500 -n 500 -o /pasta/alvo/ ``` Ou coleta manual das URLs e download com `wget -i lista.txt`. **3. Clonagem completa com HTTrack** ```bash httrack DOMINIO-ALVO -O /pasta/clone/ ``` Para pegar imagens, assets e arquivos que o Google não indexa. **4. Download seletivo com wget** ```bash wget -r -A pdf,doc,xls,jpg,png DOMINIO-ALVO ``` O parâmetro `-r` faz download recursivo e `-A` filtra por extensão. **5. Análise em massa com ExifTool + grep** ```bash exiftool -r /pasta/alvo/ | grep -i "author" exiftool -r /pasta/alvo/ | grep -i "GPS" exiftool -r /pasta/alvo/ | grep -i "creator" exiftool -r /pasta/alvo/ | grep -i "user" exiftool -r /pasta/alvo/ | grep -i "path" ``` Esse é o processo que eu uso em investigações reais. E não precisa de ferramenta cara, não precisa de curso de mil reais. Precisa de curiosidade e persistência. Como eu demonstrei no [Aulão #7 — O Guia Definitivo para Descobrir Quem Está Por Trás de Qualquer Site](/aulao-semanal/como-descobrir-o-dono-de-um-site), investigação digital é sobre combinar técnicas. Os metadados que você extrai aqui complementam as informações de WHOIS, DNS e footprinting que já cobrimos em aulões anteriores. ## Metadados em dispositivos móveis: como varrer seu Android Você pode executar o ExifTool diretamente no seu celular Android para descobrir se alguma foto ou arquivo está vazando informações. O [Aulão #18 — Ferramentas de Investigação Digital para Celular Android](/aulao-semanal/ferramentas-de-investigacao-digital-para-celular-android) mostra como transformar seu celular em um laboratório de investigação — e a análise de metadados é parte fundamental disso. No terminal do Android (via Termux ou similar): ```bash exiftool -r /sdcard/ | grep -i "GPS" ``` Isso varre todas as fotos e arquivos do seu dispositivo buscando coordenadas GPS. O resultado pode revelar que fotos que você achava seguras estão com geolocalização ativa. Mas atenção: redes sociais como WhatsApp, Instagram e Facebook removem metadados das imagens enviadas. O vazamento acontece quando você compartilha o arquivo original — por e-mail, nuvem, site, ou transferência direta. ## A mentalidade do investigador digital: por que persistência importa mais que ferramentas Eu podia ter começado este aulão mostrando o FOCA e pronto. Mas fiz questão de mostrar o processo manual, as falhas, as gambiarras. Porque investigação digital não é sobre ter a ferramenta certa. É sobre pensar certo. "Nem tudo expõe algo. Nem tudo vaza algo, nem tudo é uma vulnerabilidade. No hacking também, nem toda falha te dá acesso. Você roda um scanner no alvo, aparece 10 mil falhas. 90% das falhas é falso positivo. Mas você precisa de uma só que invada." Com metadados é a mesma lógica. Funciona sempre? Não. Em 10 arquivos pode não ter nada. Em 100, talvez um GPS. Em mil, certamente um nome de usuário. Em 28 mil, você vai mapear a estrutura inteira da organização. E tem mais: o diferencial entre o investigador e o criminoso é que o criminoso tem todo o tempo do mundo. Não é o tempo de contrato de um mês de teste. Ele espera uma falha. Ele espera o momento. Se você é investigador, policial, detetive, perito — adote essa mentalidade. Analise tudo. Não desista no primeiro arquivo sem resultado. Se você ainda está construindo essa base de [fundamentos OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos), volte ao Aulão #1 e trace seu caminho até aqui. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | ExifTool | Leitura e extração de metadados de mais de 400 formatos de arquivo | [ExifTool](https://exiftool.org/) | | FOCA Metadata | Automação completa de busca, download e análise de metadados | [FOCA](https://github.com/ElevenPaths/FOCA) | | wget | Download de arquivos pelo terminal sem alterar metadados | [GNU Wget](https://www.gnu.org/software/wget/) | | Metagoofil | Coleta automatizada de arquivos de um domínio via Google | [Metagoofil](https://github.com/opsdisk/metagoofil) | | HTTrack | Clonagem completa de sites para análise offline | [HTTrack](https://www.httrack.com/) | | Hyper | Terminal moderno para Windows como alternativa ao CMD | [Hyper](https://hyper.is/) | | Google Hacking Database | Referência de operadores avançados de busca do Google | [GHDB](https://www.exploit-db.com/google-hacking-database) | ## Perguntas Frequentes ### Como ler metadados de 100+ arquivos ao mesmo tempo? Use o ExifTool com asterisco (`exiftool *`) para ler todos os arquivos de uma pasta, ou com `-r` para varrer subpastas recursivamente. Combine com `grep` para filtrar campos específicos como author, GPS ou creator. Em um comando: `exiftool -r /pasta/ | grep -i "author"`. ### Baixar arquivos pelo browser altera os metadados? Sim, o browser (especialmente no Windows) pode modificar metadados como data de acesso e data de modificação durante o download. Use o wget pelo terminal para manter a integridade original dos metadados. É uma diferença sutil, mas em investigação forense pode invalidar uma prova. ### O que é FOCA Metadata e como funciona? FOCA (Fingerprinting Organizations with Collected Archives) é uma ferramenta gratuita da ElevenPaths que automatiza a busca, download e análise de metadados de um domínio-alvo. Ela pesquisa no Google e DuckDuckGo, baixa os arquivos encontrados e gera um sumário com usuários, pastas, impressoras, softwares e e-mails. Funciona apenas no Windows e requer .NET Framework e SQL Server Express. ### É possível encontrar a localização GPS de uma pessoa pelos metadados? Sim, se a câmera ou celular estava com geolocalização ativa no momento da captura. Os dados EXIF da foto armazenam latitude e longitude exatas. Use `exiftool foto.jpg | grep GPS` para verificar. Redes sociais removem esses dados, mas o arquivo original compartilhado por e-mail ou nuvem mantém tudo. ### Como clonar um site inteiro para análise de metadados? Use o HTTrack com o domínio-alvo e a pasta de destino. Ele baixa todas as páginas, imagens, documentos e scripts recursivamente, reconstruindo a estrutura de diretórios do servidor. Depois, execute `exiftool -r /pasta/destino/` para analisar todos os metadados de uma vez. ### Metagoofil funciona no Windows? Sim, mas funciona melhor no Linux (vem pré-instalado no Kali Linux). No Windows, instale Python, clone o repositório do GitHub e execute `pip install -r requirements.txt`. O Metagoofil pesquisa no Google por arquivos do domínio-alvo e pode baixá-los automaticamente — ou listar as URLs para download manual com wget. ### Quais metadados são mais úteis em uma investigação digital? Depende do objetivo. Para identificar pessoas: author, creator, user. Para localização: GPS, coordenadas. Para mapear infraestrutura: file path, diretórios, versão de software. Para timeline: create_date, modify_date. Para ataque técnico: software, versão do sistema operacional, configuração de rede. Cada campo conta uma parte da história. ### As redes sociais realmente removem metadados das fotos? WhatsApp, Instagram, Facebook e Twitter removem metadados EXIF das imagens enviadas — incluindo GPS, modelo de câmera e data. Mas o arquivo original no dispositivo mantém tudo. E documentos (PDF, DOC, XLS) compartilhados por e-mail, Google Drive ou links diretos geralmente preservam todos os metadados originais. > **Veja também:** [14 Técnicas para Descobrir o Dono de um WhatsApp na Prática — Aulão #35](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) ## Referências e Recursos - [ExifTool — Ferramenta de leitura de metadados](https://exiftool.org/) - [FOCA Metadata — GitHub ElevenPaths](https://github.com/ElevenPaths/FOCA) - [Metagoofil — Metadata Harvester](https://github.com/opsdisk/metagoofil) - [HTTrack Website Copier](https://www.httrack.com/) - [GNU Wget — Download utility](https://www.gnu.org/software/wget/) - [Hyper — Terminal moderno](https://hyper.is/) - [Google Hacking Database — Exploit-DB](https://www.exploit-db.com/google-hacking-database) --- ### Aulão #026 — Como Remover Conteúdo da Internet: Do Mapeamento à Notificação Extrajudicial URL: https://brunofraga.com/aulao-semanal/como-remover-conteudo-da-internet-guia-pratico Publicado: 2024-09-03 Tags: investigacao-digital, osint, ciberseguranca, privacidade, tutoriais YouTube: https://www.youtube.com/watch?v=r7iYFUZOYzY Aprenda a remover conteúdos indesejados da internet usando Google Hacking, WHOIS, notificação extrajudicial e formulários de denúncia. Aulão ao vivo com demonstração prática de ferramentas e casos reais de remoção. ## O que você vai aprender neste aulão Como remover conteúdo da internet é uma das dúvidas mais comuns de quem teve dados pessoais expostos, processos judiciais indexados ou foi vítima de difamação online. Neste aulão eu mostro, ao vivo, o processo completo — do mapeamento à notificação extrajudicial — para tirar do ar conteúdos que causam dor e prejuízo real. Depois de assistir, você vai saber identificar todos os lugares onde um conteúdo indesejado aparece, descobrir quem é o dono do site e da hospedagem, enviar notificações que funcionam de verdade e usar os formulários oficiais de remoção do Google, YouTube, JusBrasil e Escavador. E mais: vai entender como transformar essa habilidade em um serviço profissional que gera renda — meus alunos estão fechando contratos de R$200 a R$15.000 por semana. Tudo o que mostro aqui foi demonstrado ao vivo, com tela compartilhada, usando ferramentas reais e casos concretos. Não é teoria genérica de blog. E é exatamente o que eu pratico no dia a dia como investigador digital. ## Como funciona a remoção de conteúdo da internet Remoção de conteúdo online funciona quando você tem dois ingredientes: fundamento legal e dados sobre o responsável. Sem esses dois elementos, qualquer tentativa vai fracassar. A frase que guiou todo esse aulão foi: "se está doendo e tem fundamento, precisa ser removido". Isso significa que não basta não gostar de algo. Precisa haver uma razão concreta — difamação, violação de privacidade, dados pessoais expostos, conteúdo íntimo vazado, pirataria. E precisa de fundamento na legislação brasileira, como a LGPD, o Marco Civil da Internet ou o Código Penal. Mas calma. Fundamento sem dados não funciona. Ir na delegacia e dizer "tem um site me difamando" sem saber quem é o dono, onde está hospedado, quem registrou o domínio — isso é como tentar desligar uma caixa de som que está te atacando sem saber onde ela fica. A polícia pode até querer ajudar, mas sem informações, a investigação empaca. Por outro lado, quando você chega com o nome do responsável, o e-mail, o telefone, o provedor de hospedagem e o fundamento legal específico, o cenário muda completamente. As empresas de hospedagem removem. Os donos de sites se assustam com a proximidade da investigação. E quando não removem, a notificação extrajudicial vira prova em processo judicial. ## Os erros que impedem você de remover conteúdo online Existem erros que praticamente todo mundo comete quando tenta tirar algo da internet pela primeira vez. Eu vejo isso acontecer com frequência nos casos que atendo. **Entrar na justiça sem ter dados para começar o processo.** A pessoa sabe que foi difamada, sabe o site, mas não sabe quem é o dono do domínio, não sabe quem hospeda, não tem prints com metadados. Vai na delegacia com uma URL e espera que a polícia resolva. Infelizmente, a máquina pública brasileira está sobrecarregada. Já ouvi de delegados que ligam dizendo: "cara, a gente tá tão ocupado hoje, conseguiria resolver aí?". Acontece. **Usar o Reclame Aqui e esperar que resolva.** Se alguém está te difamando em um site, reclamar numa plataforma de consumidores não vai chegar na pessoa certa. Não é o canal adequado. **Acreditar em fantasma.** Muita gente olha para um site anônimo e conclui que "não tem ninguém por trás". Sempre tem. Seja o dono, o registrante do domínio, a empresa de hospedagem, quem compartilhou. Sempre existe alguém que pode ser responsabilizado. E é exatamente aí que entra a [investigação digital que eu ensino no Aulão #5 — Como Investigar Pessoas na Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). ## O fundamento por trás de toda remoção de conteúdo A lógica da remoção é simples quando você entende a analogia certa. Imagine uma caixa de som em algum lugar perto de você, difamando alguém o tempo todo. Falando inverdades, causando dor. Se você vai na delegacia sem saber onde fica a caixa de som, sem saber quem a colocou ali, as chances de resolver são baixas. Mas se você sabe exatamente quem é o dono, onde está o equipamento e qual lei aquilo está quebrando — tudo muda. Você pode notificar o proprietário do terreno onde a caixa está. "Olá, proprietário do terreno tal. O seu inquilino está quebrando a lei XXX. Solicito que remova." Será que o proprietário quer um crime acontecendo na propriedade dele? Não quer. E na internet funciona igual: a HostGator, a Cloudflare, a WallHost — nenhuma empresa que cobra R$30 a R$40 de hospedagem quer comprar briga judicial. Na prática, a remoção de conteúdo segue este fluxo: identificar onde o conteúdo está publicado, descobrir quem registrou o domínio e quem hospeda o servidor, notificar com fundamento legal, e acompanhar a remoção. Quando a notificação é bem feita, com dados concretos, a taxa de sucesso é altíssima. ## Como mapear todo o conteúdo indesejado com Google Hacking O primeiro passo de qualquer remoção de conteúdo é saber exatamente onde aquele conteúdo aparece. Na internet, as coisas se replicam. Um blog publica, outro copia, um terceiro compartilha. Você precisa mapear todos. A ferramenta que eu uso para isso é o [Google Hacking (Google Dorks)](https://www.google.com) — operadores de busca avançada que filtram resultados com precisão cirúrgica. Se você quer se aprofundar nessa técnica, tem uma [aula completa de Google Hacking no Aulão #8](/aulao-semanal/google-hacking-buscas-perigosas-dorks) aqui no canal. ### Como funciona na prática Digamos que eu preciso remover conteúdos sobre uma pessoa específica. Eu vou ao Google e uso operadores: 1. **Nome entre aspas duplas** — `"Bruno Fraga"` retorna 68 mil resultados. Adiciono `"hacker"` e caio para 5 mil. Adiciono `filetype:pdf` e encontro 6 arquivos específicos 2. **Operador intext:** — `intext:"recupera.ai"` mostra todas as páginas que mencionam o termo no corpo do texto 3. **Combinação de filtros** — cruzo nome + palavra-chave + tipo de arquivo para afunilar os resultados Depois de mapear, eu crio uma planilha no [Google Sheets](https://sheets.google.com) com todas as URLs encontradas. Cada linha tem: URL completa, site que publicou, se o cliente quer remover ou não, status da remoção e observações. Um cliente com 23 resultados mapeados é um serviço de R$500 a R$800. Tem clientes com muito mais — e o valor sobe proporcionalmente. Eu demonstrei isso ao vivo no aulão usando o nome do Neymar como exemplo. Pesquisei "Neymar quebra perna", abri cada resultado, copiei os links e salvei tudo numa planilha em tempo real. ## Como monitorar novas publicações com Google Alertas Depois de mapear o que já existe, você precisa monitorar o que vai aparecer. Porque na internet os conteúdos não param de se replicar. O [Google Alerts](https://www.google.com/alerts) é gratuito e resolve isso. Você configura um alerta com os termos que quer monitorar, escolhe a frequência (diária, semanal ou imediata) e define o escopo (Brasil, qualquer lugar, blogs, notícias, web). Toda vez que o Google indexar um novo conteúdo com aqueles termos, você recebe um e-mail. No aulão eu mostrei meus próprios alertas configurados. Eu monitoro "Bruno Fraga" e recebo e-mails com tudo que aparece — desde menções em reportagens até resultados que não tem nada a ver comigo (como o delegado Bruno Fraga que aparece em notícias de operação policial). Mas o que importa é que nenhuma nova menção passa despercebida. Para o caso do influencer que eu atendi, além de mapear as 23 URLs existentes, criei um alerta para o nome completo dele combinado com os termos da acusação. Assim, se algum novo blog republicasse a notícia, eu saberia em menos de 24 horas e já atuava na remoção antes de ganhar tração. ## Como identificar o dono de um site para notificar Identificar o responsável por um conteúdo é o passo que separa uma remoção eficaz de uma tentativa frustrada. Existem pelo menos quatro caminhos que eu uso simultaneamente. ### Contato direto no site Todo site precisa ter algum mecanismo de contato ou remoção de dados. É obrigação legal. Se você procurar nas páginas de "Política de Privacidade", "Termos de Uso" ou "Contato", vai encontrar. No aulão eu demonstrei ao vivo: entrei em um site de dados empresariais, cliquei em "Política de Privacidade", encontrei o botão "Solicitar remoção de dados", preenchi CPF e e-mail, e enviei. Sites como [JusBrasil](https://privacidade-jusbrasil.zendesk.com/hc/pt-br/articles/30337030224148) e [Escavador](https://suporte.escavador.com/hc/pt-br/articles/42999515633819) têm formulários próprios para isso. ### WHOIS via Registro.br Para domínios .com.br, o [Registro.br](https://registro.br/tecnologia/ferramentas/whois/) mostra quem registrou o domínio — nome completo, CPF ou CNPJ, e-mail e telefone. No aulão, eu consultei o domínio cirurgianpe.com.br e encontrei o proprietário: Tiago Bittencourt Carvalho. Esse é um contato direto para notificação. Se você já conhece técnicas de [descobrir o dono de um site como no Aulão #7](/aulao-semanal/como-descobrir-o-dono-de-um-site), vai reconhecer o processo. Cerca de 30% dos domínios usam proteção de dados no WHOIS, ocultando informações do registrante. Mas mesmo nesses casos, existem formas de chegar ao responsável — e quando você chega ao WhatsApp pessoal do cara que registrou o domínio com privacidade, o impacto é enorme. ### Identificação do servidor de hospedagem Além do dono do domínio, você pode identificar quem hospeda o site. Ferramentas online mostram se o servidor está na HostGator, Cloudflare, WallHost, Hostinger ou qualquer outro provedor. Com essa informação, você vai direto no formulário de denúncia da hospedagem. A [HostGator tem uma página dedicada para denúncias](https://www.hostgator.com.br/denuncia) com categorias específicas: pedofilia, neonazismo, phishing, racismo, direitos autorais, entre outras. A [Cloudflare tem o formulário de abuse](https://abuse.cloudflare.com/general). A WallHost também aceita denúncias. Eu dou minha palavra: HostGator, WallHost, Hostinger — nenhuma dessas empresas mantém no ar conteúdo que tem fundamento para remoção. E HostGator, Cloudflare, WallHost — quando você denuncia com fundamento, em 3 a 5 dias o conteúdo sai do ar. ### Investigação profunda Quando os caminhos tradicionais não bastam, a investigação se aprofunda. No aulão eu mostrei um caso do meu treinamento Protocolo Sherlock onde um aluno rastreou o responsável por piratear o livro Técnicas de Invasão. O caminho foi: vídeo no YouTube → PDF pirata → canal do Telegram → nome de usuário → conta da Steam → nome real → título de eleitor → cidade → escola → jornal local → foto → todas as redes sociais. Tudo partindo de um único vídeo. Esse nível de mapeamento é o que diferencia uma notificação que funciona de uma que é ignorada. Quando o responsável recebe uma mensagem no WhatsApp pessoal com dados que ele achava impossível alguém encontrar, a reação é imediata. Como eu costumo dizer: a proximidade assusta. As técnicas de [engenharia social do Aulão #21](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital) complementam muito esse trabalho. ## Como enviar uma notificação extrajudicial que funciona A notificação extrajudicial é o coração da remoção de conteúdo. Quando bem feita, resolve o problema sem precisar ir à justiça. Uma boa notificação contém: identificação do remetente, fundamento legal específico (artigo de lei, não genérico), descrição exata do conteúdo a ser removido com URL, prazo para remoção e consequências do não cumprimento. E aqui vai o segredo: quando a notificação demonstra que você sabe quem a pessoa é, onde mora, qual é o e-mail pessoal, qual é o telefone — o impacto psicológico é devastador. No aulão eu contei o caso de um réu que recebeu a notificação e mandou um áudio respondendo: "Ô, bonitão, estou cagando pra formação judicial." A petição inicial do processo começou exatamente com essa frase. Entre aspas. Imagina o arrependimento do cara quando viu aquilo na petição. Envie a notificação para todos os pontos de contato simultaneamente: dono do domínio, empresa de hospedagem, e-mail encontrado no site. Não escolha um — vá nos dois ao mesmo tempo. E se a pessoa visualizar e não remover? Isso vira evidência na ação judicial. O WhatsApp ficou azulzinho? O e-mail foi aberto? Perfeito — tudo documentado para o processo. ## Como remover dados pessoais diretamente do Google Se seus dados pessoais aparecem nos resultados de busca do Google, você pode solicitar a remoção gratuitamente. O Google é obrigado a remover conforme a LGPD. O processo é direto: acesse o [formulário de remoção de dados pessoais do Google](https://support.google.com/websearch/answer/9673730?hl=pt-BR), selecione que o conteúdo contém suas informações pessoais, informe que mora no Brasil, indique qual tipo de dado aparece (CPF, RG, telefone, e-mail, endereço), cole a URL e o termo de pesquisa usado, anexe um print da tela e envie. No aulão eu fiz a demonstração ao vivo. O formulário é simples — preenche em menos de cinco minutos. E O Google realmente cumpre: vai analisar e, se confirmar que seus dados pessoais estão expostos, remove dos resultados de busca. Seu endereço não pode estar no Google. Seu telefone não pode. Seu CPF, seu RG. É um direito seu. Uma dica prática que eu dei no aulão: abra o Google agora e pesquise seu nome completo entre aspas duplas. Tudo que aparecer com seus dados pessoais, você provavelmente pode solicitar a remoção. É gratuito e leva poucos minutos por resultado. ## Remoção de conteúdo em redes sociais e plataformas Cada plataforma tem seus próprios mecanismos de remoção, e conhecer o caminho certo em cada uma economiza dias de espera. ### YouTube: remoção por direitos autorais em 24 horas No [YouTube Studio](https://studio.youtube.com), qualquer titular de direitos autorais pode solicitar remoção. Eu mostrei ao vivo no aulão: vá em Direitos Autorais → Novo Pedido → selecione o tipo de obra (vídeo, arte, outro) → descreva o conteúdo protegido → cole o link do vídeo infrator → preencha seus dados → assine de boa-fé → envie. Em 24 horas o vídeo é removido e aparece "indisponível, removido por [seu nome]". Eu mesmo uso esse processo regularmente. No aulão mostrei meus próprios pedidos de remoção que foram atendidos. É uma das remoções mais rápidas que existem. ### Instagram: o desafio das contas novas Instagram é extremamente complicado com contas novas criadas para praticar crimes. Uma conta sem histórico, sem seguidores, sem fotos — não tem lastro para investigação. Nesses casos, o caminho é quebra de sigilo judicial com a Meta. Mas existe uma técnica que eu uso antes de partir para o judicial. No aulão eu contei um caso de porn revenge onde fotos íntimas foram vazadas numa conta nova do Instagram. A urgência era extrema — cada minuto, mais centenas de pessoas visualizavam. O que fiz: 1. Solicitei remoção ao Instagram pelos canais oficiais 2. Fiz triagem com a vítima: quem teve acesso às mídias? Listei todos os suspeitos 3. Usei "Esqueci minha senha" no Instagram da conta criminosa — o sistema revelou que o e-mail associado era p99@gmail.com 4. Na lista de suspeitos, uma pessoa começava o nome com P e tinha 9 no número de telefone Não é prova definitiva. Mas direciona a investigação. E em casos de urgência como porn revenge ou vídeo de acidente de trânsito com morte (sim, eu atendi um caso assim — centenas de milhares de views de um acidente sem censura), direcionamento rápido é tudo. Para contas antigas com histórico, a investigação é muito mais efetiva. Nome de usuário, outras redes, rastros na internet, metadados — tudo pode ser rastreado. As [ferramentas de investigação digital do Aulão #4](/aulao-semanal/ferramentas-de-investigacao-digital) são especialmente úteis aqui. ### JusBrasil e Escavador: remoção de processos judiciais Sites como JusBrasil e Escavador indexam processos judiciais e dados empresariais. Se seu nome aparece nesses sites, a remoção é gratuita e relativamente simples: - **JusBrasil**: acesse a página onde seu nome aparece, clique em "Reportar página", preencha o formulário de desidentificação. O [JusBrasil substitui seu nome por iniciais](https://privacidade-jusbrasil.zendesk.com/hc/pt-br/articles/30337030224148) (ex: "João Alves da Silva" vira "J.A.S."). Prazo: até 30 dias - **Escavador**: acesse o processo, clique em "Remover informações", preencha com CPF e documentação. O [Escavador responde em até 48 horas](https://suporte.escavador.com/hc/pt-br/articles/42999515633819) Esses dois sites são responsáveis por uma enorme parcela dos problemas de reputação online no Brasil. Todo mundo que tem processo — trabalhista, cível, qualquer tipo — aparece lá. E tem gente que não consegue emprego por causa disso. ## Casos reais: quando a remoção muda vidas ### O influencer inocentado que vivia preso à acusação Um influencer foi acusado de um crime gravíssimo. A internet inteira julgou antes do inquérito terminar. Blogs, sites de notícia, fóruns — todos replicaram a denúncia. Quando ele foi inocentado, ninguém publicou a absolvição. O nome dele no Google? Só aparecia a acusação. Ele não conseguia mais fechar contratos. E nenhuma empresa queria associar a marca a alguém que aparecia no Google vinculado àquele tipo de acusação. É justo uma pessoa inocentada ter a vida profissional destruída pelo que aparece na primeira página do Google? O processo de remoção envolveu: mapeamento com Google Hacking de todas as URLs, criação de planilha com cada resultado, notificação extrajudicial para cada site, denúncia nas hospedagens e solicitação de remoção dos dados pessoais do Google. Resultado por resultado, site por site. ### O livro pirata que revelou a identidade completa do criminoso Alguém estava pirateando o livro Técnicas de Invasão no YouTube. A investigação partiu de um único vídeo e seguiu uma trilha que poucos imaginariam possível: do canal do YouTube encontraram um PDF com link para um canal do Telegram. Do Telegram, extraíram o nome de usuário. O nome de usuário levou a uma conta da Steam. A Steam revelou um nome. O nome levou a um título de eleitor. O título levou a uma cidade. Na cidade, um jornal local tinha uma matéria com a foto da pessoa. Da foto, todas as redes sociais foram identificadas. Quando a notificação chegou — com nome, foto, cidade, documento — o conteúdo pirata sumiu em horas. Ninguém mantém um crime no ar quando sabe que foi completamente identificado. E esse caso aconteceu usando técnicas que ensinamos no [Aulão #3 — Caso Real de Investigação Digital](/aulao-semanal/investigacao-digital-casos-reais-golpe-olx), aplicadas ao contexto de remoção. ## Remoção de conteúdo como serviço profissional Remoção de conteúdo não é só uma habilidade defensiva. É um mercado com demanda alta e pagamento excelente. No aulão eu mostrei resultados reais de alunos do Protocolo Sherlock que transformaram essa habilidade em serviço. Em uma única semana, os valores dos contratos fechados foram: R$200, R$15.000, R$300, R$2.400, R$500, R$250. O Felipe, um dos alunos mais ativos, faturou mais de R$30.000 em um mês com remoções e petições judiciais. A prospecção é surpreendentemente simples. E Brasil é um dos melhores mercados para isso: você busca nomes no Google, encontra pessoas com dados expostos e oferece o serviço. "Eu vi que seu nome está no Google vinculado a [problema]. Posso fazer a remoção. Segue meu contato." Todo mundo que abre um MEI no Brasil tem endereço, telefone, CNPJ e e-mail vazando no Google. Todo mundo que tem processo trabalhista aparece em pelo menos dois ou três sites de indexação. É um serviço especialmente valioso para advogados, executivos, empresários e qualquer pessoa pública que precisa proteger sua reputação digital. E o melhor: os custos operacionais são baixíssimos — você precisa de internet, conhecimento das técnicas e persistência para notificar. Se você quer entender melhor o mercado de [investigação digital como carreira, o Aulão #2](/aulao-semanal/como-iniciar-carreira-investigador-digital) é um bom ponto de partida. E para quem quer investigar [crimes digitais e golpes na internet, o Aulão #19](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar) complementa muito o que vimos aqui. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Google Hacking (Dorks) | Mapear em massa conteúdos publicados usando operadores de busca avançada | [Google](https://www.google.com) | | Google Alerts | Monitorar novas menções e conteúdos na web automaticamente | [Google Alerts](https://www.google.com/alerts) | | Registro.br (WHOIS) | Consultar proprietários de domínios .com.br — nome, CPF, e-mail, telefone | [Registro.br](https://registro.br/tecnologia/ferramentas/whois/) | | Google Remoção de Dados Pessoais | Solicitar remoção de CPF, RG, telefone e endereço dos resultados de busca | [Google Remoção](https://support.google.com/websearch/answer/9673730?hl=pt-BR) | | YouTube Studio | Solicitar remoção de vídeos por violação de direitos autorais | [YouTube Studio](https://studio.youtube.com) | | HostGator Denúncia | Reportar crimes e solicitar remoção de conteúdo hospedado | [HostGator Denúncia](https://www.hostgator.com.br/denuncia) | | Cloudflare Abuse | Denunciar abusos em sites protegidos pela Cloudflare | [Cloudflare Abuse](https://abuse.cloudflare.com/general) | | JusBrasil | Solicitar desidentificação de dados pessoais em processos judiciais | [JusBrasil Privacidade](https://privacidade-jusbrasil.zendesk.com/hc/pt-br/articles/30337030224148) | | Escavador | Solicitar remoção de dados pessoais e processos indexados | [Escavador Remoção](https://suporte.escavador.com/hc/pt-br/articles/42999515633819) | | Google Sheets | Criar planilha de mapeamento e controle de remoções | [Google Sheets](https://sheets.google.com) | ## Perguntas Frequentes ### Como remover meu nome do Google? Acesse o formulário de remoção de dados pessoais do Google, informe que mora no Brasil, selecione o tipo de dado exposto (CPF, RG, telefone, endereço), cole a URL do resultado e envie. O Google analisa e remove gratuitamente com base na LGPD. Pesquise seu nome entre aspas duplas para encontrar tudo que precisa ser removido. ### É possível tirar qualquer conteúdo da internet? Sim, desde que tenha fundamento legal. Difamação, dados pessoais expostos, conteúdo íntimo vazado, pirataria — tudo pode ser removido via notificação extrajudicial ou solicitação direta às plataformas e hospedagens. O que não pode ser removido é conteúdo protegido por liberdade de expressão sem fundamento de dano. ### Como descobrir quem é o dono de um site? Use o WHOIS do Registro.br para domínios .com.br — ele mostra nome, CPF/CNPJ, e-mail e telefone do registrante. Para outros domínios, use serviços de WHOIS internacionais. Além disso, busque contatos na política de privacidade do site e identifique a empresa de hospedagem para notificar por dois caminhos simultaneamente. ### Quanto custa um serviço de remoção de conteúdo? Depende da quantidade de conteúdos e da complexidade. Casos simples com 20 a 30 resultados ficam entre R$500 e R$800. Casos complexos com centenas de resultados e necessidade de investigação profunda podem chegar a R$15.000 ou mais. Alunos que atuam nessa área reportam faturamento de R$30.000 mensais. ### Como remover processo judicial do JusBrasil? Acesse a página no JusBrasil onde seus dados aparecem, clique em "Reportar página" e preencha o formulário de desidentificação. O JusBrasil substitui seu nome por iniciais gratuitamente. O prazo de análise é de até 30 dias. Não há custo. ### Notificação extrajudicial funciona mesmo? Funciona com uma taxa de sucesso muito alta quando bem fundamentada. Nenhuma empresa de hospedagem que cobra R$30 a R$40 por mês quer comprar briga judicial por um cliente que está cometendo irregularidade. A chave é apresentar fundamento legal específico e demonstrar que você identificou o responsável. ### Como remover vídeo pirata do YouTube? Acesse o YouTube Studio, vá em Direitos Autorais, clique em Novo Pedido, descreva o conteúdo protegido, cole o link do vídeo infrator, preencha seus dados como titular dos direitos e envie. O YouTube processa a remoção em 24 horas e marca o vídeo como "indisponível". ### O que fazer em caso de urgência como porn revenge? Solicite remoção imediata à plataforma (Instagram, Facebook, Twitter), faça triagem de suspeitos com a vítima listando quem teve acesso às mídias, e use técnicas de investigação ativa como recuperação de senha para identificar o e-mail parcial da conta criminosa. Em paralelo, registre boletim de ocorrência para viabilizar quebra de sigilo judicial. > **Veja também:** [Como Analisar Metadados em Massa: Do ExifTool ao FOCA — Aulão #27](/aulao-semanal/como-analisar-metadados-em-massa-investigacao-digital) > **Veja também:** [Como Remover Conteúdo da Internet na Prática: De 100 Sites Derrubados a Serviço de Remoção — Aulão #040](/aulao-semanal/como-remover-conteudo-online-servico-remocao) > **Veja também:** [Como Remover Conteúdo da Internet: Blindagem Digital em 2 Níveis — Aulão #048](/aulao-semanal/blindagem-digital-remover-conteudo-internet-niveis) ## Referências e Recursos - [Google Alerts — Monitoramento de Menções](https://www.google.com/alerts) - [Registro.br — Consulta WHOIS de Domínios](https://registro.br/tecnologia/ferramentas/whois/) - [Google — Remoção de Dados Pessoais](https://support.google.com/websearch/answer/9673730?hl=pt-BR) - [Google — Formulário de Remoção de Conteúdo Pessoal](https://support.google.com/websearch/answer/3143948?hl=pt-BR) - [HostGator — Denúncia de Crimes na Internet](https://www.hostgator.com.br/denuncia) - [HostGator — Direitos Autorais](https://www.hostgator.com.br/direitos-autorais) - [Cloudflare — Formulário de Abuse Report](https://abuse.cloudflare.com/general) - [JusBrasil — Como Ocultar Dados Pessoais](https://privacidade-jusbrasil.zendesk.com/hc/pt-br/articles/30337030224148) - [Escavador — Solicitar Remoção de Informações](https://suporte.escavador.com/hc/pt-br/articles/42999515633819) --- ### Aulão #025 — Programação do Zero para Investigação Digital: De Variáveis a WHOIS Automatizado URL: https://brunofraga.com/aulao-semanal/programacao-do-zero-para-investigacao-digital Publicado: 2024-09-02 Tags: investigacao-digital, osint, ciberseguranca, tutoriais, hacking YouTube: https://www.youtube.com/watch?v=wIvqgfJbJCU Aprenda fundamentos de programação aplicados a investigação digital neste aulão de 155 minutos. Do zero absoluto até automatizar consultas WHOIS de 100 domínios com Python, em demonstração ao vivo. ## O que você vai aprender neste aulão Programação para investigação digital não é sobre decorar comandos ou escolher a linguagem perfeita. É sobre entender fundamentos que transformam qualquer ideia em código funcional — e neste aulão de 155 minutos, eu demonstrei ao vivo como fazer exatamente isso. Eu peguei Python, abri o [Replit](https://replit.com) e fui do zero absoluto até criar um programa que consulta WHOIS de 100 domínios automaticamente, filtra o proprietário de cada um e processa tudo em loop. Sem slide bonito, sem teoria vazia. Código rodando na tela o tempo todo. Depois de ler este artigo, você vai conseguir criar variáveis, organizar dados em listas e dicionários, escrever funções reutilizáveis, fazer loops que processam centenas de alvos e importar pacotes prontos do [PyPI](https://pypi.org) para dar superpoderes ao seu código. E o mais importante: vai entender *por que* cada conceito existe, não apenas *como* escrever a sintaxe. Se você já tentou aprender a programar e travou — seja na escolha da linguagem, seja na incapacidade de criar algo além do que o professor mostrou — este aulão foi feito para resolver esse problema de uma vez. ## Por que fundamentos importam mais que a linguagem de programação A resposta direta: porque os fundamentos são universais. Variáveis, tipos de dados, listas, dicionários, funções e loops existem em Python, JavaScript, Go, Ruby e praticamente qualquer linguagem que você escolher. Eu passei anos travado nessa pergunta. "É JavaScript? É C? É Python? É Ruby?" E enquanto eu ficava preso nessa decisão, não aprendia nada. Ou então fazia um curso inteiro de JavaScript e no final só sabia replicar o que o professor fez — não conseguia criar nada novo. Isso mudou quando eu fiz um bootcamp de programação de 14 dias na Coreia do Sul. O banner nem falava qual linguagem seria. Era "bootcamp de coding para iniciantes" com uma proposta simples: publicar projetos em 14 dias. Paguei absurdamente caro e me matriculei. E no primeiro dia, quando cheguei em casa, eu falei: "isso aqui mudou minha vida." O método era diferente de qualquer curso que eu já tinha feito. Não começavam com "variável se cria assim, loop for é assim". Começavam com um problema e iam resolvendo do começo ao fim. Teve sim uma aula inicial de fundamentos, mas era resolvendo desafios o tempo todo. Antes desse bootcamp, eu já tinha experiência com código. Tenho ferramenta publicada no Arsenal do [Kali Linux](https://www.kali.org). Criei o ipinfo, um shell script que viralizou lá em 2013, 2014 — o pessoal adorava para pegar informação de IP. Sempre criei scripts, automações, ferramentas. Mas nunca conseguia sentar e programar um sistema completo, com funções, reusabilidade, estrutura. A diferença entre script e sistema está nos fundamentos. E são exatamente esses fundamentos que eu vou te passar aqui. E Python, JavaScript, Go — qualquer linguagem que você escolher depois vai parecer familiar. ## Variáveis e tipos de dados em Python para investigação Uma variável é a habilidade de armazenar e reusar dados. Parece simples demais para ser importante. Não é. Pensa numa lâmpada inteligente. Dentro dela existe uma variável que guarda a cor atual — "azul". Quando você abre o app e muda para vermelho, o que aconteceu? O programa alterou o valor dessa variável. De "azul" para "vermelho". E a lâmpada respondeu. Em Python, criar uma variável é tão direto quanto pensar nela: ```python alvo = "Bruno Fraga" idade = 20 lampada_ligada = True ``` Sem declaração de tipo, sem `int`, sem `var`. Você escreve como se estivesse falando. E esse é exatamente o motivo pelo qual eu recomendo [Python](https://python.org) para começar — a linguagem permite que você se expresse de forma livre. Se fosse Java, você teria que meter um `int` para declarar variável, estudar a sintaxe antes de pensar no problema. Python permite que você só escreva. ### Sequence matter: por que a ordem do código importa Todo código em Python é lido de cima para baixo. Se eu escrever: ```python a = 10 b = 20 a = 5 resultado = a + b ``` O resultado é 25, não 30. Porque quando o Python chegou na linha `a = 5`, o valor 10 deixou de existir. A última atribuição é a que vale. Esse conceito — *sequence matter*, sequência importa — é fundamental para não se perder quando o código crescer. Tudo que você ler ou escrever segue essa regra: de cima para baixo, declaração por declaração. ### Os três tipos de dados que você precisa agora Variáveis armazenam dados. Mas que tipos de dados? Em Python, os três fundamentais são: - **Números inteiros** (int): `idade = 20`, `ano = 2024` - **Números decimais** (float): `preco = 1000.50`, `dolar = 5.20` - **Strings** (texto): `nome = "Bruno Fraga"` — sempre entre aspas - **Booleans**: `lampada_ligada = True` ou `lampada_ligada = False` Um detalhe que pega muita gente: `10` é número, `"10"` é string. A diferença importa. Se você tentar somar `"Bruno"` com `10`, Python vai reclamar — não dá para concatenar string com inteiro. Mas `"Bruno" + " Fraga"` funciona, porque o operador `+` entre strings junta os textos. E CPF? Mesmo sendo composto de números, CPF é string. Porque pode ter traço, ponto, e não faz sentido fazer conta com CPF. É uma sequência de caracteres, não um valor matemático. A função `type()` confirma o tipo de qualquer valor. `type(nome)` retorna `str`. `type(idade)` retorna `int`. Ferramenta útil quando você não sabe o que está recebendo de um módulo externo. ## Operadores e como automatizar cálculos em investigações Operadores possibilitam operações entre tipos de dados. Soma, subtração, multiplicação, divisão — funcionam com números exatamente como na matemática. Mas o operador `+` entre strings faz concatenação: `"Bruno" + " " + "Fraga"` resulta em `"Bruno Fraga"`. E se você tentar `"Bruno" + 10`, erro. Python não mistura tipos sem conversão explícita. Onde isso é útil em investigação? Imagine que todo dia você precisa calcular o custo de uma operação em dólar. O dólar muda, o IOF muda. Com variáveis e operadores: ```python dolar = 5.20 valor_compra = 1000 iof = 0.06 total = (valor_compra * dolar) * (1 + iof) ``` Mudou o dólar? Altera uma linha. O cálculo inteiro se atualiza. Isso é o poder de trabalhar com variáveis — o código fica reutilizável sem reescrever nada. ## Listas em Python: organizando alvos de investigação Uma lista é um tipo de dado que guarda 5, 50 ou 5.000 itens dentro de uma única variável. Colchetes, vírgulas separando cada item. Pronto. Imagine que você tem 30 alvos para investigar. Criar 30 variáveis separadas — `alvo1`, `alvo2`, `alvo3` — é insano. Com lista: ```python alvos = ["Bruno", "Fernando", "Lucas", "Pedro", "Luiz"] ``` Uma variável. Todos os alvos organizados. E com acesso por índice, começando do zero. ### Por que o índice começa do zero Pensa numa régua. A régua começa no 0, depois 1 centímetro, 2, 3. O primeiro espaço é o zero. Lista é igual. `alvos[0]` é "Bruno". `alvos[1]` é "Fernando". `alvos[2]` é "Lucas". Se você pedir `alvos[2]` achando que vai pegar "Fernando", vai receber "Lucas". Porque 0 é Bruno, 1 é Fernando, 2 é Lucas. A régua não começa no 1. ### Métodos de lista que desbloqueiam investigação Quando eu mostrei isso na aula, a galera ficou animada. Uma lista em Python vem com funções prontas: - `alvos.append("Mike")` — adiciona Mike no final da lista - `alvos.remove("Bruno")` — remove o Bruno (pelo valor, não pelo índice) - `alvos.pop(0)` — remove pelo índice e retorna o item - `alvos.reverse()` — inverte a ordem da lista E tem o operador `in` para consultar se um valor existe: ```python print("Bruno" in alvos) # True print("Bruno X" in alvos) # False ``` Com isso você já consegue: adicionar alvos, remover alvos, verificar se alguém está na lista, inverter ordem de prioridade. E Python tem dezenas de outros métodos prontos para listas. ## Dicionários: estruturando dados complexos de alvos Listas resolvem o problema de organizar dezenas ou centenas de itens. Mas e quando cada alvo tem nome, CPF e e-mail? Aí entra o dicionário — uma estrutura de chave e valor. Literalmente como um dicionário de português: a palavra (chave) tem sua definição (valor). Em Python, usa-se chaves `{}`: ```python alvo = { "nome": "Bruno Fraga", "cpf": "123.456.789-00", "email": "bruno@brunofraga.com" } ``` Para acessar um valor, usa-se a chave entre colchetes: `alvo["email"]` retorna `"bruno@brunofraga.com"`. Sem precisar lembrar posição numérica — você pede pelo nome da informação. Os métodos `.keys()` e `.values()` permitem pegar só as chaves ou só os valores separadamente. Útil quando você precisa listar todos os campos disponíveis de um alvo sem saber a estrutura completa. ### Listas de dicionários: o banco de dados da investigação A combinação mais poderosa para investigação é uma lista onde cada item é um dicionário: ```python alvos = [ {"nome": "Bruno Fraga", "cpf": "123.456.789-00", "email": "bruno@brunofraga.com"}, {"nome": "Pedro Silva", "cpf": "987.654.321-00", "email": "pedro@email.com"}, {"nome": "Lucas Costa", "cpf": "555.666.777-88", "email": "lucas@email.com"} ] ``` Para pegar o nome do segundo alvo: `alvos[1]["nome"]` → "Pedro Silva". Primeiro seleciona o item pela posição, depois consulta a chave. Dois passos, zero complicação. Com essa estrutura, você tem um banco de dados completo na memória. Pode ter 30, 300 ou 3.000 alvos, cada um com seus dados organizados por chave. ## Funções reutilizáveis para automação de investigação Funções são blocos de código que executam uma tarefa e podem ser reutilizados em qualquer lugar do programa. Se você entendeu f(x) = x² da escola, entendeu funções. Quando o usuário faz login no sistema, o que aparece? "Olá, Bruno." Quando outro usuário faz login? "Olá, Pedro." O código é o mesmo — muda o nome. Isso é função: escreve uma vez, usa para todos. ```python def welcome(usuario): print(f"Olá, {usuario}") print("Hoje faz sol") welcome("Bruno") # Olá, Bruno / Hoje faz sol welcome("Pedro") # Olá, Pedro / Hoje faz sol ``` O `def` define a função. O nome é livre — `welcome`, `verifica_vazamento`, `ataque_alvo`, o que fizer sentido para você. Entre parênteses, o que ela recebe. Dentro do bloco (identado), o que ela faz. Eu não sou engenheiro de software. Eu programo, mas não sou engenheiro de software. Talvez não tenha os termos corretos o tempo todo. Mas é assim que eu me viro — e compartilho com vocês como me viro. Para investigação, funções são a base da automação. Uma função `verifica_vazamento(email)` que recebe um e-mail e verifica se tem vazamento pode ser chamada para cada alvo da sua lista, sem reescrever o código de verificação 30 vezes. ### Escopo: o código dentro da função é isolado Tudo que está dentro de uma função vive no bloco identado. Variáveis criadas ali dentro não saem para o código principal (a menos que você retorne elas). Pense como um compartimento: o que entra é o parâmetro, o que sai é o retorno. O resto fica dentro. A identação em Python não é só estética — ela define o escopo. Se o código está com 4 espaços para dentro, ele pertence àquele bloco. Sem identação, está fora. Python usa espaço em branco como sintaxe, e isso confunde no início. Mas depois de acostumar, torna o código muito legível. ## Loops: processando centenas de alvos automaticamente Loop é a capacidade de interagir com cada item de uma lista separadamente. Não é mágico, não é complicado. É percorrer uma lista, item por item, executando o mesmo bloco de código para cada um. Se você tem 3 alvos e quer o e-mail de cada um: ```python for alvo in alvos: print(alvo["email"]) ``` O `for` pega o primeiro item da lista, chama de `alvo`, executa o bloco. Depois pega o segundo, chama de `alvo`, executa. Depois o terceiro. Até acabar a lista. O nome `alvo` ali é livre. Podia ser `item`, `pessoa`, `x`. O que importa é que dentro do loop, essa variável representa o item atual da iteração — isoladamente. Não é a lista inteira. É só aquele dicionário, aquele valor, naquele momento. ### Combinando loop com função: automação real Aqui é onde tudo se conecta. Você tem uma lista de alvos, uma função que verifica vazamento, e um loop que junta os dois: ```python def verifica_vazamento(email): print(f"Iniciando verificação: {email}") print("Não tem vazamento") for alvo in alvos: pega_email = alvo["email"] verifica_vazamento(pega_email) ``` O resultado: para cada alvo da lista, o programa pega o e-mail, envia para a função, que executa a verificação e passa para o próximo. Se fosse 1 milhão de alvos, o código seria exatamente o mesmo — muda só o tamanho da lista. Na aula, quando mostrei isso funcionando ao vivo — "Iniciando verificação: bruno@brunofraga.com, não tem vazamento. Iniciando verificação: pedro@email.com, não tem vazamento" — deu para ver que o conceito clicou para a galera. É simples, mas é poderoso. Se você está em uma investigação com 500 domínios para verificar WHOIS, como descobrimos no [Aulão #7 — Como Descobrir o Dono de um Site](/aulao-semanal/como-descobrir-o-dono-de-um-site), um loop resolve em segundos o que levaria horas no braço. ## Módulos e pacotes Python: importando habilidades prontas Módulos são arquivos `.py` com funções que você pode importar no seu código. Pensa assim: `main.py` é o seu programa principal. `vazamentos.py` é outro arquivo com funções de verificação. No `main.py`, você importa: ```python import vazamentos vazamentos.verificaGoogle("bruno@email.com") ``` Ou importa só o que precisa: ```python from vazamentos import verificaGoogle verificaGoogle("bruno@email.com") ``` Ou dá um apelido: ```python import vazamentos as vmi vmi.verificaGoogle("bruno@email.com") ``` As três formas funcionam. A escolha depende de quantas funções você precisa e de como quer organizar o código. Mas o verdadeiro poder está nos módulos que outras pessoas já criaram. O [PyPI](https://pypi.org) tem mais de 614.000 pacotes prontos para instalar com `pip install`. Quer baixar vídeo do YouTube? Tem pacote. Quer fazer scraping? Tem pacote. Quer consultar WHOIS? Tem pacote. Se eu quero controlar a minha lâmpada inteligente agora, vai ter um pacote da empresa da luz que eu posso importar e usar as funções prontas. Você não precisa reinventar a roda. Precisa saber que a roda existe, onde encontrar e como instalar. E PyPI é o lugar onde 614.000 rodas já estão prontas para uso. ## Consulta WHOIS automatizada com Python na prática Na demonstração ao vivo, instalei o pacote `whois11` direto no [Replit](https://replit.com) e fiz uma consulta WHOIS no terra.com.br. O resultado? "Terra Networks" como proprietário. Com 5 linhas de código. ```python import whois11 site = "terra.com.br" resultado = whois11.whois(site) print(resultado) ``` Mas a consulta de um site é trivial. A graça começa quando você combina com tudo que aprendeu antes — lista, loop, função: ```python import whois11 import re alvos = ["tecnicasinvasao.com", "terra.com.br", "globo.com"] for alvo in alvos: try: resultado = whois11.whois(alvo) dono = re.search(r"owner:\s*(.*)", str(resultado)) if dono: print(f"O dono de {alvo} é {dono.group(1)}") else: print(f"Dono de {alvo} não encontrado") except: continue ``` Na aula, gerei uma lista de 100 sites com ajuda de IA e processei todos automaticamente. Cerca de 10 a 15 deram erro de encoding (acentuação no nome do proprietário), outros não retornaram dados completos. É normal. O `try/except` trata esses erros e pula para o próximo — não é a forma mais elegante, mas funciona para não travar o programa inteiro por causa de um domínio problemático. Com essa base, dá para expandir: pegar o e-mail do proprietário e verificar vazamentos como ensinei no [Aulão #9 — Investigar Vazamentos de Senhas](/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas). Pegar o CNPJ e consultar na Receita Federal. Cruzar dados entre domínios. A programação permite escalar o que você já sabe fazer manualmente, como as [ferramentas de investigação digital](/aulao-semanal/ferramentas-de-investigacao-digital) que mostrei no Aulão #4. Se você está começando agora na investigação digital e quer entender o caminho completo, recomendo assistir o [Aulão #22 — Como Começar na Investigação Digital](/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias) para ter a visão geral antes de mergulhar no código. ### O módulo re: filtrando dados com expressões regulares Para extrair o campo "owner" do resultado WHOIS, usei o módulo `re` — que já vem instalado no Python. Expressões regulares são padrões de busca dentro de textos. `re.search(r"owner:\s*(.*)", texto)` procura a palavra "owner:" seguida de qualquer coisa e captura o valor. Não precisa dominar regex agora. Só saber que existe e que resolve problemas de filtragem de texto. Quando precisar, pesquise o padrão específico — a [documentação do módulo re](https://docs.python.org/3/library/re.html) é a referência oficial. ## Por onde continuar depois deste aulão Programação se aprende resolvendo problemas, não assistindo aulas. Agora que você tem os fundamentos — variáveis, tipos, listas, dicionários, funções, loops e módulos — precisa de problemas para resolver. O [Aulão #17 — Desafios Práticos de Investigação Digital](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) traz exatamente isso: exercícios reais para treinar OSINT. Combine esses desafios com Python e você vai evoluir rápido. Para quem quer dar o próximo passo no ambiente técnico, o [Aulão #15 — Linux para Iniciantes](/aulao-semanal/linux-para-iniciantes-passo-a-passo) é o complemento natural. Linux e Python juntos são a fundação de qualquer investigador digital. E se quiser usar IA para acelerar seu aprendizado de programação — como eu fiz ao vivo usando o assistente do Replit para gerar código auxiliar — o [Aulão #6 — ChatGPT para Investigação Digital](/aulao-semanal/chatgpt-para-investigacao-digital) mostra como integrar IA no seu fluxo de trabalho. As [técnicas OSINT para investigar pessoas](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) que mostrei no Aulão #5 ficam muito mais poderosas quando você consegue automatizá-las com programação. Um loop que percorre 500 perfis é infinitamente mais eficiente que fazer busca manual. Nesta aula não cobrimos condicionais (`if/else`), que ficaram para um próximo aulão. Também não entrei em orientação a objetos para não complicar. Mas com o que você aprendeu aqui, já é possível criar ferramentas funcionais. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Replit | IDE online gratuita direto no browser | [Replit](https://replit.com) | | Python | Linguagem de programação principal da aula | [Python](https://python.org) | | PyPI | Repositório com 614.000+ pacotes Python | [PyPI](https://pypi.org) | | python-whois | Pacote para consulta WHOIS de domínios | [python-whois](https://pypi.org/project/python-whois/) | | VS Code | Editor de código alternativo ao Replit | [VS Code](https://code.visualstudio.com) | | Módulo re | Expressões regulares para filtragem de texto | [Documentação re](https://docs.python.org/3/library/re.html) | | Kali Linux | Distribuição Linux para segurança ofensiva | [Kali Linux](https://www.kali.org) | | pip | Gerenciador de pacotes Python | [pip](https://pip.pypa.io) | ## Perguntas Frequentes ### Qual a melhor linguagem de programação para investigação digital? Python é a mais usada em investigação digital e OSINT pela quantidade de bibliotecas disponíveis e pela sintaxe simples. Mas o mais importante é aprender os fundamentos — variáveis, listas, funções, loops. Esses conceitos são os mesmos em qualquer linguagem. Depois que você entende a lógica, trocar de linguagem é questão de aprender a sintaxe nova. ### Preciso saber programar para trabalhar com OSINT? Não é obrigatório para começar. Existem ferramentas prontas que resolvem a maioria dos casos. Mas programação separa o investigador que depende de ferramentas do que cria suas próprias soluções. Quando você precisa verificar 500 domínios ou cruzar dados de 1.000 e-mails, não existe ferramenta pronta que substitua um script Python customizado. ### O Replit é seguro para usar em investigações? O Replit é uma plataforma educacional na nuvem. Para aprender e testar código, é excelente e gratuito. Para investigações reais com dados sensíveis, recomendo configurar Python no seu computador local com [VS Code](https://code.visualstudio.com). Dados de investigação não devem ficar em servidores de terceiros sem necessidade. ### Quanto tempo leva para aprender Python do zero? Os fundamentos que cobri neste aulão — variáveis, tipos, listas, dicionários, funções, loops, módulos — são o suficiente para criar ferramentas funcionais. Isso se aprende em dias, não meses. O que leva tempo é a prática: resolver problemas reais, lidar com erros, ler documentação de pacotes. Programação é como investigação — se aprende fazendo. ### Como instalar pacotes Python no meu computador? Instale Python pelo [python.org](https://python.org), abra o terminal e use `pip install nome-do-pacote`. Por exemplo: `pip install python-whois`. O pip baixa o pacote do [PyPI](https://pypi.org) e instala automaticamente. No Replit, a instalação é automática pelo gerenciador de pacotes da plataforma. ### O que é o try/except que apareceu na demonstração? É uma forma de tratar erros em Python. O código dentro do `try` é executado normalmente. Se der erro, ao invés de travar o programa, o Python pula para o `except` e executa o que está ali — no nosso caso, `continue` para ir para o próximo item do loop. Não é a forma mais correta de tratar erros (o ideal é tratar erros específicos), mas funciona para prototipar rápido. ### Posso usar IA para me ajudar a programar? Sim, e eu usei durante a aula. O assistente do Replit gerou código auxiliar para expressões regulares e para criar listas de teste. IA é uma ferramenta poderosa para acelerar o desenvolvimento, mas você precisa entender os fundamentos para saber se o código gerado faz sentido. IA gera código, mas quem valida e integra é você. ### Por que o índice da lista começa do zero e não do um? É uma convenção herdada de como a memória do computador funciona. O primeiro elemento está no início (deslocamento zero), o segundo está uma posição à frente (deslocamento 1). Na prática, você se acostuma rápido. Pensa na régua: o primeiro centímetro é a marca 0, não a marca 1. ## Referências e Recursos - [Replit — IDE Online Gratuita](https://replit.com) - [Python.org — Site Oficial](https://python.org) - [PyPI — Python Package Index](https://pypi.org) - [python-whois no PyPI](https://pypi.org/project/python-whois/) - [Kali Linux — Distribuição de Segurança](https://www.kali.org) - [Visual Studio Code](https://code.visualstudio.com) - [Módulo re — Documentação Oficial Python](https://docs.python.org/3/library/re.html) - [OSINT Brazuca — Repositório de Ferramentas OSINT Brasil](https://github.com/osintbrazuca/osint-brazuca) --- ### Aulão #024 — Hunchly: O Robô que Grava Tudo Enquanto Você Investiga na Internet URL: https://brunofraga.com/aulao-semanal/hunchly-como-usar-investigacao-digital Publicado: 2024-08-30 Tags: osint, investigacao-digital, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=7ONbRvqDoqA Aprenda a usar o Hunchly do zero para capturar, organizar e cruzar dados automaticamente durante investigações digitais. Demonstração ao vivo com caso real de investigação empresarial neste aulão em vídeo. ## O que você vai aprender neste aulão Se você quer dominar Hunchly investigação digital com demonstração prática, este aulão é pra você. Neste aulão eu demonstro, ao vivo e do zero, como instalar, configurar e usar o Hunchly para capturar automaticamente todas as páginas, documentos, emails e dados que você encontra enquanto investiga na internet. Se você é policial, advogado, detetive ou investigador, sabe que uma sessão de pesquisa pode gerar centenas de links abertos — PDFs, perfis sociais, documentos governamentais, tudo misturado. O Hunchly roda nos bastidores do seu [Google Chrome](https://www.google.com/chrome) como um robô silencioso: enquanto você pesquisa, ele registra cada página visitada, identifica emails, telefones, CPFs e outros dados que passariam despercebidos, e organiza tudo numa dashboard consultável. E no final, gera relatórios completos com hash de verificação. Ao longo deste artigo, você vai aprender a instalar o Hunchly no Windows passo a passo, configurar a extensão no Chrome, usar seletores para cruzar dados automaticamente, exportar relatórios profissionais e acompanhar uma investigação real que fiz ao vivo — partindo de um CNPJ para mapear sócios, empresas offshore e perfis sociais. Tudo com o Hunchly gravando nos bastidores. ## O que é o Hunchly e como ele funciona na investigação digital O [Hunchly](https://hunch.ly/) é uma ferramenta de coleta e preservação de evidências digitais que funciona como extensão do Google Chrome. Ele captura automaticamente todas as páginas que você visita durante uma investigação, armazena screenshots, registra URLs com timestamps e cria hashes de verificação para garantir a integridade dos dados. Na prática, funciona assim: você instala o software no computador, ativa a extensão no Chrome e começa a investigar. Enquanto você abre sites, PDFs, perfis em redes sociais e documentos, o Hunchly está silenciosamente fazendo download de tudo e categorizando as informações. Como eu expliquei na aula: > "O Huntly ele é como se fosse um robô que ele vai ficar rodando no seu computador, nos bastidores, em silêncio. Enquanto você investiga, ele vai estar registrando tudo que você abre, todos os links, todas as informações, toda página, todo PDF, todo documento, todo vídeo, toda imagem, tudo." E o Hunchly vai além de simplesmente salvar páginas. Ele identifica automaticamente entidades nos dados — endereços de email, IPs (IPv4 e IPv6), domínios, números de telefone. Se em algum momento você não percebeu que tinha um email escondido no rodapé de uma página, o Hunchly já capturou. Se um CPF apareceu num PDF que você abriu rapidamente, ele já registrou. E Hunchly faz tudo isso sem exigir qualquer ação sua. A ferramenta é reconhecida internacionalmente. Está listada no [toolkit de investigação da Bellingcat](https://bellingcat.gitbook.io/toolkit/more/all-tools/hunchly), a organização referência em investigação jornalística com fontes abertas. Michael Bazzell, fundador do IntelTechniques.com, considera o Hunchly a única solução de coleta de evidências online que atende todas as suas necessidades de investigação. E a [Maltego adquiriu o Hunchly](https://www.maltego.com/blog/maltego-welcomes-hunchly-to-expand-osint-capabilities/) para integrar coleta forense com análise avançada de dados — sinal de que a ferramenta veio para ficar no ecossistema OSINT profissional. Se você ainda não conhece outras ferramentas fundamentais para investigação digital, recomendo assistir o [Aulão #4 — As 7 Ferramentas que Todo Investigador Digital Precisa Conhecer](/aulao-semanal/ferramentas-de-investigacao-digital), onde cubro um kit completo de ferramentas complementares ao Hunchly. ## Como instalar e configurar o Hunchly passo a passo A instalação do Hunchly leva menos de 10 minutos e requer apenas o Google Chrome já instalado no computador. O software funciona no Windows, Mac e Chromebook. Aqui vai o passo a passo que demonstrei ao vivo. ### Criando sua conta gratuita Primeiro, acesse o site oficial [hunch.ly](https://hunch.ly/) e clique em "Try it Free". O Hunchly oferece 30 dias gratuitos — sem cartão de crédito. Depois dos 30 dias, a licença custa $129 por ano. Mas como eu disse na aula: se você está estudando, pode gerar outra licença gratuita sem problemas. Preencha seus dados: nome, sobrenome, email e área de atuação. Na demonstração, usei o email a024@brunofraga.com como teste. Clique em "Start Now" e pronto — a licença chega no seu email como arquivo para download. ### Instalando o software 1. Abra o email e baixe o arquivo de licença do Hunchly (Hunchly License) 2. Acesse a [página de downloads do Hunchly](https://hunch.ly/downloads) 3. Baixe o instalador para seu sistema operacional 4. Execute a instalação — é leve e rápida, sem complicações 5. Abra o Hunchly depois de instalado ### Importando a licença Com o Hunchly aberto, vá em configurações (ícone de engrenagem no topo). Clique para importar a licença e selecione o arquivo que você baixou do email. A confirmação aparece na tela: licença ativa até tal data, com o email que você usou. ### Configurando a extensão no Chrome O último passo é integrar o Hunchly ao Chrome. O programa precisa que a extensão esteja instalada no [Google Chrome](https://www.google.com/chrome) para monitorar sua atividade online. A extensão aparece como um ícone no canto superior direito do Chrome. Quando ativada, o Hunchly começa a capturar tudo automaticamente. Importante: o Hunchly exige o Google Chrome. Na época da aula, não funcionava em outros browsers, embora a [documentação oficial](https://support.hunch.ly/) agora mencione suporte ao Microsoft Edge com configuração adicional. Para quem está começando na investigação digital e quer entender o contexto mais amplo antes de mergulhar nas ferramentas, o [Aulão #22 — Como Começar na Investigação Digital](/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias) traz uma visão completa de ferramentas, IA e tendências da área. ## Como usar o Hunchly na prática durante uma investigação Depois de instalado e configurado, o uso do Hunchly se resume a três ações: criar um caso, ativar a captura e investigar. Todo o resto é automático. ### Criando um caso No Hunchly, cada investigação é um "caso" separado. Isso permite que você trabalhe em múltiplas investigações sem misturar dados. Na demonstração, criei o caso "aula 024". Você pode pausar uma investigação hoje e retomar amanhã exatamente de onde parou. E Hunchly preserva todos os dados, notas e conexões exatamente como estavam. > "Se eu acabei hoje a investigação, eu posso vir aqui e fechar. E quando eu acordar amanhã, quando eu voltar, eu posso abrir o Hunt e continuar de onde eu parei, no meu caso, com os mesmos dados, com o mesmo nível de conexão." ### O dashboard: onde a inteligência se organiza A dashboard do Hunchly organiza automaticamente tudo que você coletou durante a sessão em abas específicas: - **Histórico** — todas as páginas visitadas com timestamps e screenshots - **Notas** — anotações que você faz durante a investigação (CNPJ encontrado, nome de sócio, etc.) - **Imagens** — todas as fotos e capturas de tela salvas - **Anexos** — PDFs, planilhas XLS e outros documentos baixados - **Buscas** — tudo que você digitou no Google durante aquela sessão - **Dados categorizados** — IPs (IPv4/IPv6), emails, domínios e outros padrões identificados automaticamente Na minha experiência com investigações maiores, já tive dashboards com mais de 8 mil páginas carregadas ao longo de 5 a 7 dias de trabalho. E Hunchly escala sem problema nenhum. ### Segurança e privacidade dos dados Uma dúvida que apareceu no chat: "é seguro?". Todos os arquivos do Hunchly ficam salvos na sua própria máquina. Nada vai para nuvem, nada é compartilhado com terceiros. Você controla o arquivo do caso. O software é usado por forças de segurança nos Estados Unidos e tem parcerias com agências governamentais. Precisa confiar em nuvem de terceiros? Não. Tudo fica com você. Se o tema de segurança e privacidade online te interessa, no [Aulão #1 — Segredos do OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos) eu cubro os fundamentos de investigação em fontes abertas que complementam o uso do Hunchly. ## O que são seletores no Hunchly e como usá-los para cruzar dados Seletores são o recurso mais poderoso do Hunchly — eles transformam a ferramenta de um simples gravador de páginas num motor de cruzamento de dados. Um seletor é qualquer identificador que você define como relevante: um telefone, um CPF, um email, um nome, um endereço, até um padrão de escrita. ### Como criar um seletor Na demonstração, encontrei um número de telefone numa página da investigação. Cliquei com o botão direito, selecionei "criar seletor" no Hunchly e pronto. A partir daquele momento, o Hunchly varreu automaticamente todas as páginas que eu já tinha visitado e me mostrou: "esse telefone aparece em 11 páginas diferentes." > "Todos os locais que o seletor aparece, ele vai me falar. Aqui no Facebook apareceu o seletor. Na capa do Facebook tinha aquele seletor." ### Cruzamento com múltiplos seletores Mas a mágica real acontece quando você combina seletores. Na aula, criei dois seletores: o telefone e o nome "Sandro". O Hunchly filtrou instantaneamente todas as páginas onde ambos apareciam, revelando conexões que seriam impossíveis de perceber percorrendo centenas de links manualmente. Tipos de dados que funcionam como seletores: - Nomes completos de pessoas - Números de CPF ou CNPJ - Endereços de email - Números de telefone - Endereços físicos - Nomes de usuário em redes sociais - Padrões de escrita específicos > "Um nome completo, um e-mail, CPF, endereço, um padrão de escrita, pode ser um seletor para você filtrar nossa investigação." Para quem quer aprofundar técnicas de investigação de pessoas, no [Aulão #5 — Como Investigar Pessoas na Internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) eu demonstro 4 técnicas OSINT que combinam perfeitamente com o uso de seletores no Hunchly. ## Como exportar relatórios de investigação no Hunchly O Hunchly oferece duas formas de exportar relatórios: exportação completa do caso e construtor de relatório customizado. Ambos geram saídas com hash de verificação, URLs, timestamps e conteúdo capturado. ### Exportação completa do caso Clicando em "Export Case", o Hunchly gera um arquivo ZIP contendo todas as páginas capturadas, fotos, anotações e dados categorizados. No Windows, é necessário extrair o arquivo ZIP antes de abrir — no Mac, o PDF abre direto. O relatório inclui: título de cada página, URL, hash de verificação e conteúdo. Mas como eu observei na aula, o relatório completo é técnico demais para entregar a um cliente ou usar num processo. É um dump bruto de dados. ### Construtor de relatório customizado Para relatórios profissionais, o Hunchly tem um construtor onde você monta seções personalizadas. Na demonstração, criei um relatório com: 1. Seção "Páginas Interessantes" — com prints e anotações selecionados 2. Seção "Locais onde o telefone aparece" — usando dados do seletor 3. Seção de texto explicativo — com fundamento e contexto da investigação 4. Dados do investigado — filtrados pelo seletor de nome Cada seção pode conter anotações, prints, dados de seletores e texto livre. E o resultado? Um PDF organizado, com hash de verificação em cada item. Muito mais apresentável que um monte de screenshots soltos. Para complementar o tema de documentação de investigações, no [Aulão #10 — Investigar Metadados](/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos) eu mostro como os metadados de arquivos podem revelar informações que nem o próprio autor sabia que estavam ali. ## Investigação prática: mapeando sócios de uma empresa com Hunchly Na parte final do aulão, fiz uma investigação ao vivo partindo do zero para demonstrar o Hunchly em ação. O objetivo: mapear os donos e sócios de uma empresa real usando apenas fontes abertas, com o Hunchly registrando tudo nos bastidores. ### Ponto de partida: o CNPJ Escolhi a empresa Conta Simples (banco digital) como alvo da demonstração. No site oficial, encontrei o CNPJ no rodapé e imediatamente fiz duas coisas: criei uma nota no Hunchly registrando "CNPJ no site oficial" e transformei o CNPJ em seletor. > "Vou pegar o CNPJ e vou transformar num seletor já, porque o CNPJ ele é um seletor, é o que eu quero estar sempre filtrando." ### Google Hacking com CNPJ entre aspas O próximo passo foi pesquisar o CNPJ no Google entre aspas duplas — uma técnica de [Google Hacking](/aulao-semanal/google-hacking-buscas-perigosas-dorks) que filtra apenas resultados que contenham exatamente aquela sequência de números. Os resultados trouxeram: - Dados de transparência na [CVM](https://www.gov.br/cvm/) (Comissão de Valores Mobiliários) - Registros na Universidade Federal Fluminense - Documentação no HubSpot - Informações no [Registro.br](https://registro.br/) - Processos no [JusBrasil](https://www.jusbrasil.com.br/) Se você quer dominar Google Hacking para investigações, no [Aulão #8 — Google Hacking e Dorks](/aulao-semanal/google-hacking-buscas-perigosas-dorks) eu demonstro 7 buscas avançadas que revelam informações sensíveis no Google. ### Afunilando para os sócios A partir do CNPJ, cheguei ao nome de um sócio. Transformei o sobrenome em seletor e comecei a pesquisar o nome completo. Os achados se acumularam rapidamente: - Empresa offshore americana (LLC) vinculada ao investigado - Perfil de atleta (basquete) com fotos - Canal no YouTube com possível nome de usuário antigo - Dados de corridas e competições esportivas - Fotos de equipe e atividades sociais E o Hunchly, rodando nos bastidores, capturou cada página visitada e mapeou automaticamente onde cada seletor aparecia. Emails, IPs, domínios — tudo categorizado sem eu precisar fazer nada manualmente. ### O poder do cruzamento automático Depois de percorrer dezenas de páginas, voltei à dashboard do Hunchly. O resultado: todos os emails encontrados durante a pesquisa estavam listados, códigos de rastreio de Facebook Pixel identificados, padrões de infraestrutura mapeados, e todas as notas que fiz (CNPJ, nome de sócio, nome completo) organizadas cronologicamente. > "Entenda que agora você consegue fazer tudo que você faz de investigação gerando inteligência e progresso nos bastidores." Como eu disse na aula: se continuasse com aquele progresso, chegaria na senha do email, porte de arma, endereço residencial — tudo com fontes abertas. Mas o objetivo não era expor ninguém numa live pública. O ponto era demonstrar que o Hunchly transforma uma sessão caótica de pesquisa em inteligência estruturada. Se o tema de investigação de empresas e pessoas te interessa, o [Aulão #7 — Como Descobrir o Dono de um Site](/aulao-semanal/como-descobrir-o-dono-de-um-site) aprofunda técnicas de WHOIS e rastreamento de propriedade digital, e o [Aulão #3 — Casos Reais de Investigação Digital](/aulao-semanal/investigacao-digital-casos-reais-golpe-olx) mostra uma investigação completa de golpe onde o Hunchly teria sido extremamente útil para documentar cada passo. ## Hunchly tem validade jurídica no Brasil? O Hunchly salva hash de verificação e registro completo de cada página, o que o coloca acima de um simples print screen como evidência digital. Mas não tem a mesma validade formal que ferramentas específicas do sistema jurídico brasileiro. Na aula, o Vinícius perguntou no chat se o Hunchly serve como prova. Minha resposta direta: depende do contexto. ### A hierarquia de validade no Brasil No Brasil, a hierarquia de provas digitais funciona assim, da mais forte para a mais fraca: 1. **Ata notarial** — você vai ao cartório com o computador, um tabelião com fé pública registra o que está vendo na tela. Regulamentada pelo artigo 384 do Código de Processo Civil. É a prova mais forte 2. **[Verifact](https://www.verifact.com.br/)** — plataforma de captura técnica de provas digitais com validade jurídica reconhecida em todas as instâncias do judiciário brasileiro, incluindo validação pelo Ministério Público Federal 3. **Hunchly** — salva hash, arquivo completo e timeline com timestamps. Melhor que print, mas sem o mesmo respaldo jurídico formal 4. **Print screen** — aceito quando a outra parte não contesta, mas facilmente questionável ### Quando o Hunchly basta Na prática, a maioria dos advogados no Brasil ainda usa apenas print como prova — e quando a outra parte não contesta, o processo segue normalmente. O Hunchly está um nível acima: tem hash de verificação, arquivo completo da página e registro técnico da sessão. Se alguém tentar contestar, a defesa fica mais técnica. > "Se você usar o Hunt ao invés de um print, o ato de tentar descartar aquilo, de contestar aquela evidência, ele é um pouco mais técnico. O Hunt salvou a sessão, ele tem a hash, tem um conteúdo." Minha recomendação: use o Hunchly como ferramenta de trabalho durante a investigação, e quando precisar de prova formal para processo, complemente com [Verifact](https://www.verifact.com.br/) ou ata notarial nas evidências mais críticas. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Hunchly | Coleta e preservação automática de evidências digitais durante pesquisa online | [Hunchly](https://hunch.ly/) | | Google Chrome | Browser obrigatório para extensão Hunchly | [Google Chrome](https://www.google.com/chrome) | | Google Hacking (Dorks) | Buscas avançadas com operadores como aspas duplas para filtrar CNPJ | [Google Hacking Database](https://www.exploit-db.com/google-hacking-database) | | Registro.br | Consulta WHOIS de domínios brasileiros | [Registro.br](https://registro.br/) | | JusBrasil | Plataforma jurídica com processos e dados públicos | [JusBrasil](https://www.jusbrasil.com.br/) | | CVM | Dados de empresas e negociações de valores mobiliários | [CVM](https://www.gov.br/cvm/) | | Verifact | Registro de provas digitais com validade jurídica no Brasil | [Verifact](https://www.verifact.com.br/) | ## Perguntas Frequentes ### O que é Hunchly e para que serve? Hunchly é uma extensão do Google Chrome que captura automaticamente todas as páginas web visitadas durante uma investigação digital. Ele salva screenshots, registra URLs, identifica entidades (emails, IPs, telefones) e organiza tudo numa dashboard pesquisável. Serve para policiais, advogados, detetives, jornalistas e qualquer profissional que investiga informações na internet. ### Como instalar o Hunchly no Google Chrome? Acesse [hunch.ly](https://hunch.ly/), crie uma conta gratuita, baixe o instalador para seu sistema operacional e instale. Depois, importe a licença que chega por email nas configurações do software. A extensão do Chrome é instalada automaticamente junto com o programa. Todo o processo leva menos de 10 minutos. ### Hunchly é gratuito? O Hunchly oferece 30 dias gratuitos para teste. Depois, a licença custa $129 por ano. Para quem está estudando, é possível gerar novas licenças gratuitas de avaliação. ### O que são seletores no Hunchly? Seletores são identificadores que você define como relevantes para sua investigação — um telefone, CPF, email, nome ou qualquer padrão de texto. Quando você cria um seletor, o Hunchly automaticamente varre todas as páginas já capturadas e futuras para mostrar onde aquele dado aparece, cruzando informações de forma automática. ### Como exportar relatórios de investigação no Hunchly? O Hunchly oferece exportação completa do caso (ZIP com todos os dados brutos) e um construtor de relatório customizado onde você seleciona quais páginas, notas, seletores e dados incluir. O relatório final pode ser exportado em PDF com hashes de verificação em cada item. ### Os dados do Hunchly ficam salvos na nuvem? Não. Todos os dados do Hunchly ficam salvos exclusivamente na máquina do investigador. Nada é enviado para servidores externos. Você tem controle total sobre os arquivos do caso. ### O Hunchly funciona em outros browsers além do Chrome? Na época deste aulão, o Hunchly funcionava exclusivamente no Google Chrome. Atualmente, a documentação oficial do [Hunchly](https://support.hunch.ly/) indica suporte ao Microsoft Edge com configuração adicional. Firefox e Safari não são compatíveis. ### Posso usar o Hunchly como prova em processos judiciais no Brasil? O Hunchly está acima de um print por salvar hash e arquivo completo, mas não tem a validade formal de uma ata notarial ou do [Verifact](https://www.verifact.com.br/). Use o Hunchly como ferramenta de trabalho e complemente com Verifact ou ata notarial para evidências que precisam de validade jurídica formal. ## Referências e Recursos - [Hunchly — Site Oficial](https://hunch.ly/) - [Hunchly Downloads](https://hunch.ly/downloads) - [Hunchly Pricing](https://hunch.ly/pricing) - [Hunchly Knowledge Base](https://support.hunch.ly/) - [Maltego adquire Hunchly](https://www.maltego.com/blog/maltego-welcomes-hunchly-to-expand-osint-capabilities/) - [Bellingcat OSINT Toolkit — Hunchly](https://bellingcat.gitbook.io/toolkit/more/all-tools/hunchly) - [Verifact — Registro de Provas Digitais](https://www.verifact.com.br/) - [Google Hacking Database (GHDB)](https://www.exploit-db.com/google-hacking-database) - [Registro.br — Consulta de Domínios](https://registro.br/) - [CVM — Comissão de Valores Mobiliários](https://www.gov.br/cvm/) - [JusBrasil — Plataforma Jurídica](https://www.jusbrasil.com.br/) --- ### Aulão #022 — O Melhor Momento para Começar na Investigação Digital: Ferramentas, IA e Tendências URL: https://brunofraga.com/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias Publicado: 2024-08-29 Tags: investigacao-digital, osint, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=J8qm3VWOFEA Neste aulão ao vivo de 89 minutos, demonstro mais de 20 ferramentas OSINT gratuitas, ensino como usar inteligência artificial para criar sockpuppets e analisar fotos, e mostro por que FININT vai dominar o mercado de investigação digital. ## O que você vai aprender neste aulão Como começar na investigação digital é a pergunta que mais recebo, e neste aulão eu mostro por que agora é o melhor momento para dar esse passo. Eu demonstro ao vivo mais de 20 ferramentas gratuitas, workflows documentados pela comunidade, e técnicas que vão desde pesquisa reversa de e-mail até criação de sockpuppets com inteligência artificial. Depois de assistir (ou ler), você vai saber pesquisar guias de investigação para qualquer plataforma, usar ferramentas como [GHunt](https://github.com/mxrch/GHunt) e [Epieos](https://epieos.com) para extrair dados de contas Google, investigar números de celular e perfis de Instagram, e entender por que FININT (inteligência financeira) vai dominar o mercado nos próximos anos. Tudo isso baseado em demonstrações práticas com resultados reais na tela — não é teoria. E tem mais: mostro como a inteligência artificial está transformando a investigação digital, desde a criação de fantoches realistas até análise de geolocalização por foto. Se você quer entrar nessa área ou evoluir, esse conteúdo é o mapa. ## Por que a investigação digital ficou mais acessível A comunidade de OSINT cresceu de forma explosiva nos últimos anos, e isso mudou completamente o cenário para quem quer começar. Hoje existe documentação, processos padronizados e ferramentas gratuitas que simplesmente não existiam antes. Eu lembro que em 2019, quando comecei a estudar investigação digital, tinha um ou dois canais que eu podia acompanhar. Poucos PDFs, poucos conteúdos. Mas o pior: não se tinha um passo a passo. Não existia metodologia. Cada investigador tinha uma abordagem totalmente diferente do outro, e o problema é que talvez um conseguisse resultado e o outro não. Isso mudou. A comunidade criou o que eu chamo de "frameworks de investigação" — a mesma lógica de um MVC ou React no desenvolvimento de software, só que para OSINT. Hoje, se você precisa investigar um e-mail, existe um workflow documentado que te guia desde a verificação do nome de usuário até a análise de vazamentos, certificados e conexões com outras contas. O mercado não depende mais de gênios isolados. Um policial, um advogado, um investigador iniciante — qualquer pessoa consegue seguir um processo e atingir resultados consistentes. Como eu falei na live com 800 pessoas conectadas: "hoje é muito fácil você ter acesso ao conhecimento de OSINT, a técnicas, a ferramentas, a metodologias, frameworks." Mas calma. Acessível não significa fácil. Significa que o caminho está mapeado. Se você quer se aprofundar no que é OSINT e como ele funciona, eu expliquei isso em detalhe no [Aulão #1 — Segredos do OSINT](/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos). E se está pensando em fazer disso carreira, o [Aulão #2 — Como Iniciar Carreira como Investigador Digital](/aulao-semanal/como-iniciar-carreira-investigador-digital) cobre o caminho profissional. ## Ferramentas OSINT gratuitas que todo investigador precisa conhecer As ferramentas open source para investigação digital se multiplicaram, e a comunidade organizou tudo em repositórios acessíveis. Quem quiser investigar hoje não precisa começar do zero — existe ferramenta específica para cada tipo de alvo. ### Investigação de e-mail Antigamente, a única ferramenta que existia para encontrar e-mails de uma pessoa ou empresa era o [theHarvester](https://github.com/laramies/theHarvester). Era a única. Uma ferramenta de hacking do Linux com mais de 7 anos de idade. E era o que todo mundo usava. Hoje a comunidade criou dezenas de alternativas. Eu demonstrei ao vivo o [Epieos](https://epieos.com): coloquei meu e-mail antigo e em segundos ele encontrou uma conta no Trello, outra no Google, um Gravatar, uma conta no Skype, e até um comentário que eu fiz no Google Maps na Coreia do Sul — no dia que fui ao hospital. Tudo isso de forma reversa, sem alertar o dono da conta. E Epieos não é a única. Outra ferramenta que demonstrei foi o [GHunt](https://github.com/mxrch/GHunt), que pega informações de uma conta Google: postagens, comentários, Google Drive, tudo de forma automatizada. Antes, todo mundo era refém de uma ferramenta só. Agora, a comunidade criou alternativas open source que atingem o mesmo resultado. Eu cobri mais ferramentas para e-mail no [Aulão #16 — Investigar E-mails Fraudulentos](/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas), onde mostro do cabeçalho suspeito ao takedown. ### Enumeração de usernames Para buscar uma pessoa pelo username em múltiplas redes sociais, hoje existem pelo menos seis ferramentas catalogadas: - [Sherlock](https://github.com/sherlock-project/sherlock) — busca em mais de 400 redes sociais simultaneamente - [Maigret](https://github.com/soxoj/maigret) — fork aprimorado do Sherlock com suporte a mais de 2500 sites - Social Analyzer — análise de perfis em redes sociais - Nexfil — busca focada e rápida - WhatsMyName — verificação de disponibilidade de username - [Snoop](https://github.com/snooppr/snoop) — busca focada por país específico Todas catalogadas, organizadas, com documentação de quando usar cada uma. É como ter um cardápio de ferramentas com descrição do prato. ### Extração de IDs de redes sociais Eu lembro de fazer live anos atrás e abrir várias ferramentas para capturar o ID de uma conta do Instagram ou Facebook. Abrimos várias, e elas estavam quebradas. O Instagram atualizava, quebrava tudo. Era uma confusão. A comunidade resolveu isso com ferramentas como o Social Distractor, que extrai IDs de várias redes sociais pelo terminal — Google, Facebook, Instagram, Reddit. Sem depender de sites que quebram a cada atualização. Eu mostrei mais técnicas de investigação de pessoas no [Aulão #5 — Técnicas OSINT para Investigar Pessoas](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). ## Como pesquisar frameworks e guias de investigação A técnica mais simples e poderosa que ensinei nesse aulão: pesquisar o termo OSINT junto com a plataforma alvo no Google. Parece óbvio, mas a maioria das pessoas não faz isso. Quer investigar um TikTok? Pesquise "TikTok OSINT" e você vai encontrar guias detalhados com passo a passo. YouTube? "YouTube OSINT" traz dezenas de guias. Instagram? A mesma coisa. E se quiser resultados melhores, adicione a palavra "guide" — em inglês, porque o material mais avançado ainda é produzido em inglês. A habilidade que acompanha isso: saber abrir múltiplas abas. Segurar a tecla Command (Mac) ou Ctrl (Windows) e clicar em tudo que aparece. Depois, processar cada resultado. Parece básico, mas é obrigatório para quem trabalha com investigação digital. Uma dica sobre dorks: eu cobri buscas avançadas no Google de forma profunda no [Aulão #8 — Google Hacking e Dorks](/aulao-semanal/google-hacking-buscas-perigosas-dorks). Se você dominar essa técnica de busca, encontrar frameworks e guias fica muito mais rápido. ## Como investigar perfis no Instagram com OSINT A comunidade documentou o mapeamento completo da surface de ataque de uma conta no Instagram. Isso significa um fluxograma visual de tudo que você pode extrair a partir de uma única conta. O ponto de partida é a conta. A partir dela, você extrai: 1. Nome de usuário — permite busca reversa em outras plataformas 2. Foto de perfil — análise de imagem reversa 3. ID numérico — identificador permanente que não muda mesmo se o username mudar 4. Nome exibido — pode revelar nome real 5. Status de verificação — conta verificada ou não 6. Lista de seguidores e seguidos — rede de conexões 7. Site linkado na bio — ponto de pivô para investigação web E isso é só o perfil. Cada postagem tem suas próprias camadas: pessoas marcadas, comentários, localização, hashtags, timestamp exato, e se é foto ou vídeo. Um pesquisador documentou todo esse processo de forma visual, com fluxograma e exemplos práticos. Como ele escreveu: "ele documentou como ele pensa pra você." Mas é fundamental saber o mínimo de GitHub para pegar projetos open source e utilizar. As ferramentas que mostrei precisam de Linux e terminal. "Atualize, instale, baixe e rode" — esse é o ciclo básico. Sem esse fundamento, você fica dependente de ferramentas online que quebram a cada atualização da plataforma. ## Como investigar números de celular Existem ferramentas OSINT específicas para investigação de números de telefone que retornam país, código de área, fuso horário, operadora e reputação. A comunidade reuniu essas ferramentas em diretórios organizados. Uma que demonstrei foi o Inspector: você passa um número de telefone e ele retorna país, código, fuso horário e empresa responsável (Claro, Vivo, TIM). E reputação — se aquele número já foi reportado como spam ou golpe. Para números brasileiros, o [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca) tem recursos específicos: consulta de operadora por número, consulta de informações da linha, e links para ferramentas de verificação. É um compilado com mais de 1600 links de fontes OSINT focadas no Brasil. A dica prática: pesquise "phone number OSINT" no Google, abra as primeiras páginas com Command+Click, e processe cada resultado. Você vai encontrar ferramentas, guias e até workflows completos — a mesma lógica que mostrei para Instagram e TikTok. ## OSINT Brazuca e recursos de investigação no Brasil O [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca) é o maior repositório de ferramentas e fontes de dados OSINT focadas no Brasil. Inclui GeoINT brasileiro, fontes de dados governamentais, ferramentas para consulta de CPF, CNPJ, telefone e operadoras. Mas além do repositório, se você pesquisar "OSINT Brasil" no Google, vai encontrar algo que me surpreendeu: investigadores estrangeiros publicando casos de investigação feitos no Brasil. Um exemplo que mostrei ao vivo foi um caso onde um pesquisador usou o [GHunt](https://github.com/mxrch/GHunt) para investigar pessoas envolvidas nos distúrbios de 8 de janeiro. O investigador pegou um mapa do Google compartilhado em um grupo do Telegram e, usando o GHunt, extraiu informações de contas Gmail associadas. Encontrou comentários no Google Maps em João Pessoa, mapeou perfis no Telegram e na Steam, e chegou ao Instagram. Todo o workflow foi publicado como estudo de caso — com passo a passo para qualquer pessoa replicar. E eu também criei processos documentados para os alunos. No curso RCI (Remoção de Conteúdo da Internet), montei um fluxograma de como identificar o responsável por um site: análise investigativa do site → WHOIS → menções ao site → cache → reverse IP → extração de metadados → scanner → investigação ativa. Esse processo eu detalho mais no [Aulão #7 — Descobrir o Dono de um Site](/aulao-semanal/como-descobrir-o-dono-de-um-site). ## Inteligência artificial aplicada à investigação digital A IA está mudando a investigação digital de forma radical, e eu demonstrei pelo menos cinco aplicações práticas ao vivo. Não é teoria — é ferramenta funcionando na tela. ### Análise de imagens com upscaling Sabe quando você pega uma foto de câmera de segurança toda embaçada e fala "não tem o que fazer"? Tem sim. IA de upscaling consegue escalar uma imagem até 15K de resolução, reconstruindo cada pixel com base em modelos treinados. Eu testei isso com a placa de um carro que um aluno me mandou. A foto original era ilegível. Depois do upscaling com IA, a placa ficou perfeita. Legível. Cada caractere visível. Isso muda completamente a forense de imagem. Não tem mais desculpa de "foto embaçada." ### GeoINT com ChatGPT Eu fiz uma demonstração ao vivo de GeoINT com [ChatGPT](https://chat.openai.com): peguei uma foto de Florianópolis e pedi para ele analisar como um especialista em OSINT e GeoINT. O resultado me assustou. Ele identificou: ambiente tropical, pôr do sol (indicando orientação oeste), tipo de vegetação compatível com América do Sul, densidade populacional e estilo de crescimento urbano compatíveis com Brasil. Quando pedi para filtrar por estado, ele sugeriu regiões costeiras e listou Santa Catarina entre os candidatos — que era a resposta certa. "Cara, é muito louca essa parada. Eu fico muito doido com esse negócio." ### Análise de linguagem em depoimentos Outra aplicação que mostrei: pegar um depoimento ou texto e mandar o ChatGPT analisar padrões de linguagem. A frase "I walked there" (eu fui andando até lá) indica que a pessoa mora perto. O ChatGPT identificou esse padrão e extraiu pistas de localização e hábitos a partir de um texto curto. E para policiais e advogados, essa capacidade de análise é ouro. Eu aprofundei mais usos do ChatGPT para investigação no [Aulão #6 — ChatGPT para Investigação Digital](/aulao-semanal/chatgpt-para-investigacao-digital). ## Como criar sockpuppets realistas com ChatGPT Sockpuppet é um perfil fictício criado para investigação — para infiltrar um grupo, monitorar um alvo, coletar informações. Antes da IA, o máximo que tínhamos era o [Fake Name Generator](https://www.fakenamegenerator.com): você colocava sexo, país e idade, e ele gerava um nome com endereço e telefone. Os alunos ficavam impressionados. "Nossa, que ferramenta sinistra!" Mas hoje isso é fichário perto do que a IA faz. Eu demonstrei ao vivo como criar um sockpuppet completo com ChatGPT. Configurei o prompt como "Sherlock GPT" para auxiliar um policial militar a se infiltrar num grupo criminoso. O cenário: adolescente de São Paulo, família humilde, querendo entrar em grupo do Telegram que vende cartão clonado para comprar jogos na Steam. O ChatGPT gerou: 1. Identidade completa — nome (Kaique Ferreira), idade, endereço, personalidade 2. Build da Steam — perfil de jogador com preferência por FPS 3. Mensagem de entrada com gírias e erros de digitação naturais: "Cara, sou novo aqui. Como faço com esse bagulho de cartão clonado? Tô precisando de uma grana pra comprar uns jogos, uma testinha. Alguém pode me dar um help?" 4. Foto de perfil gerada por IA E vai além. Eu já usei morph de rosto em investigação real: criei um fantoche feminino misturando o rosto gerado com uma pessoa próxima ao alvo. O objetivo era que, quando o alvo visse o convite no Instagram, o rosto gerasse familiaridade visual — e ele aceitasse. Funcionou. O processamento facial subconsciente ajudou na aprovação. Para criar álbum de fotos do fantoche, uso [Photopea](https://www.photopea.com) (editor online como Photoshop) combinado com fotos do Flickr. Insiro o rosto do fantoche em cenários reais. O resultado é um perfil com histórico visual completo. E Cada detalhe conta para a credibilidade do fantoche. Técnicas de engenharia social como essas eu aprofundo no [Aulão #21 — Engenharia Social Aplicada em Investigações Digitais](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital). ## Investigação financeira: PIX e Bitcoin FININT (Financial Intelligence) vai dominar o mercado de investigação digital. Fraudes com PIX, golpes de emprego, pirâmides de criptomoedas — a demanda por profissionais que sabem investigar isso está explodindo. Eu mostrei na live o meu Instagram: no mínimo 10 mensagens por dia de vítimas de golpe do PIX pedindo ajuda. No mínimo. Abri ao vivo e tinha gente mandando print de PIX feito para site falso de emprego, gente ligando, gente desesperada. E quem é a pessoa que está posicionada para ajudar essas vítimas? Quase ninguém. "Se você hoje se posicionar na internet, no seu perfil, que você ajuda pessoas vítimas do golpe do PIX, você tem uma demanda de trabalho que, assim, por mais que você queira, você não vai conseguir atender todo mundo." Não é nada mágico. É sentar uma semana, dedicado, entendendo tudo sobre o PIX: o que é uma chave PIX, como funciona o registro, o que fazer após um golpe, para quem reportar, como coletar informações para um boletim de ocorrência. Tem coisas que você faz após o golpe para ter o estorno — tem site, tem e-mail, tem canal de reporte. Para quem gosta de parte técnica, Bitcoin é a outra frente. Rastrear transações, identificar donos de carteiras, mapear fluxo de criptomoedas — é uma mão de obra que não existe no Brasil. Eu compartilhei um PDF em russo (traduzido com ChatGPT) que explica em detalhes: o que é um endereço de remetente, como abrir o site da blockchain, como ver para quem foi a transação, da Binance para onde, e como identificar o dono da carteira. Se golpes na internet interessam, o [Aulão #19 — Crimes Digitais e Golpes na Internet](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar) cobre proteção e investigação de golpes em detalhe. ## Tratamento de dados e análise em escala com IA E o ano anterior foi marcado pela capacidade de conectar identificadores em escala. Ferramentas como [Maltego](https://www.maltego.com) e [SpiderFoot](https://github.com/smicallef/spiderfoot) dominaram: pegar dados de diferentes fontes e visualizar as conexões em gráficos — esse site conecta esse e-mail, que conecta esse IP, que conecta essa pessoa. Mas 2024 começou uma batalha diferente: processar esses dados e gerar inteligência automatizada. Não é mais só conectar — é interpretar. E Social Links é um exemplo dessa evolução. A plataforma [Social Links](https://sociallinks.io) que antes fazia conexão de dados agora integra LLMs para interpretar texto, analisar fala, explorar vazamentos. É a diferença entre ver um gráfico e entender o que ele significa. ### Geolocalização de Telegram Uma das ferramentas mais impressionantes que mostrei: um software de geolocalização de Telegram usado por Israel durante a guerra na Faixa de Gaza. Você posiciona um pin no mapa e ela encontra todos os grupos e perfis de Telegram naquela região — com idade, foto e dados de perfil. Na prática: se você desconfia que uma pessoa vende produtos ilegais no Telegram, pode posicionar a ferramenta na rua dela e verificar se existe algum grupo público ou perfil que condiz com a atividade suspeita. Ferramenta gratuita, disponível para Windows e Linux. Um pesquisador publicou o workflow completo de como monitorou ativistas russos usando essa ferramenta: posicionou no mapa, mapeou perfis, encontrou grupos, e cruzou com localização de militares. Tudo documentado passo a passo. ### Classificação de sentimento em massa No [Hugging Face](https://huggingface.co), existem modelos de IA que classificam texto em categorias: ameaça, felicidade, raiva, perigo. Imagine baixar todas as postagens de um perfil no Twitter e processar em massa para identificar sinais de ameaça ou comportamento suspeito. O poder computacional para isso é sinistro. Por isso eu falei na live: "Compre a ação da NVIDIA. Se você acredita em OSINT e AI, compra toda a NVIDIA, porque os caras tão dominando esse processamento." E NVIDIA está no centro disso — o processamento de dados OSINT com IA depende de hardware pesado. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | GHunt | Extrair informações de contas Google (postagens, comentários, Drive) | [GHunt](https://github.com/mxrch/GHunt) | | Epieos | Pesquisa reversa de e-mail e telefone em mais de 200 serviços | [Epieos](https://epieos.com) | | OSINT Brazuca | Compilado de ferramentas e fontes OSINT focadas no Brasil | [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca) | | Sherlock | Busca de usernames em mais de 400 redes sociais | [Sherlock](https://github.com/sherlock-project/sherlock) | | Maigret | Busca de usernames em mais de 2500 sites com extração de dados | [Maigret](https://github.com/soxoj/maigret) | | theHarvester | Coleta de e-mails e subdomínios de fontes públicas | [theHarvester](https://github.com/laramies/theHarvester) | | Maltego | Análise de conexão de dados em gráficos de relacionamento | [Maltego](https://www.maltego.com) | | SpiderFoot | Automação OSINT com mais de 200 módulos integrados | [SpiderFoot](https://github.com/smicallef/spiderfoot) | | Social Links | Plataforma de investigação digital com IA e LLM integrados | [Social Links](https://sociallinks.io) | | ChatGPT | Criação de sockpuppets, análise de texto, GeoINT e tradução | [ChatGPT](https://chat.openai.com) | | Fake Name Generator | Geração de identidades fictícias para sockpuppets | [Fake Name Generator](https://www.fakenamegenerator.com) | | Photopea | Editor de imagens online para manipulação de fotos de sockpuppet | [Photopea](https://www.photopea.com) | | Hugging Face | Modelos de IA para classificação de sentimento em massa | [Hugging Face](https://huggingface.co) | | Snoop | Busca de usernames focada por país | [Snoop](https://github.com/snooppr/snoop) | ## Perguntas Frequentes ### Como começar na investigação digital sem experiência? Comece pesquisando "[plataforma] OSINT" no Google para a rede social que te interessa. Siga os workflows documentados pela comunidade. Aprenda o mínimo de GitHub e Linux para rodar ferramentas open source. Não precisa comprar curso — em 2026, o material gratuito disponível é suficiente para construir uma base sólida. ### Quais são as melhores ferramentas OSINT gratuitas para iniciantes? Para e-mail, comece com [Epieos](https://epieos.com). Para busca de username, use [Sherlock](https://github.com/sherlock-project/sherlock) ou [Maigret](https://github.com/soxoj/maigret). Para contas Google, o [GHunt](https://github.com/mxrch/GHunt). Para fontes brasileiras, o [OSINT Brazuca](https://github.com/osintbrazuca/osint-brazuca). Todas são gratuitas e open source. ### Como usar o ChatGPT para investigação digital? Configure um prompt de sistema como "Sherlock GPT" definindo o contexto da investigação. Use para criar sockpuppets com personalidade, analisar fotos com GeoINT, identificar padrões de linguagem em depoimentos, traduzir material técnico em outros idiomas, e gerar mensagens realistas para infiltração. ### O que é FININT e por que é importante para investigadores? FININT (Financial Intelligence) é a inteligência financeira aplicada à investigação de fraudes. Com o crescimento de golpes do PIX e fraudes com criptomoedas no Brasil, profissionais que entendem como rastrear transações financeiras estão em alta demanda. É uma área com poucos especialistas e muita necessidade. ### Como investigar um perfil no Instagram usando OSINT? Mapeie a surface de ataque: username (busca reversa), foto de perfil (imagem reversa), ID numérico (permanente), seguidores, site na bio, e cada postagem (marcações, localização, hashtags, timestamp). Pesquise "Instagram OSINT" no Google para encontrar guias detalhados com fluxogramas visuais. ### É possível rastrear transações de Bitcoin? Sim. Cada transação de Bitcoin é registrada na blockchain de forma pública. Você pode abrir um explorador de blockchain, ver a transação, identificar de qual carteira saiu e para qual foi. Existem técnicas específicas para identificar o dono de uma carteira e mapear o fluxo de criptomoedas. ### Como criar um sockpuppet eficiente para investigação? Vá além do nome e endereço falso. Use ChatGPT para gerar personalidade completa, comunicação com gírias da idade e região, e perfis em plataformas de jogos ou redes sociais. Crie álbum de fotos usando [Photopea](https://www.photopea.com) com fotos de banco de imagem. Para gerar conexão visual com o alvo, técnicas de morph facial podem aumentar a taxa de aceitação em redes sociais. ### Preciso saber programar para trabalhar com investigação digital? Não precisa programar, mas precisa saber o mínimo de GitHub e terminal Linux. A maioria das ferramentas OSINT open source roda no terminal com comandos simples: clonar repositório, instalar dependências e executar. Esse fundamento básico é obrigatório — sem ele, você fica dependente de ferramentas web que quebram constantemente. > **Veja também:** [Programação do Zero para Investigação Digital — Aulão #25](/aulao-semanal/programacao-do-zero-para-investigacao-digital) > **Veja também:** [Os Bastidores do Protocolo Sherlock: Como Construí Minha Metodologia de Investigação Digital — Aulão #052](/aulao-semanal/protocolo-sherlock-metodologia-investigacao-digital) ## Referências e Recursos - [GHunt — Framework ofensivo para Google](https://github.com/mxrch/GHunt) - [Epieos — Pesquisa reversa de e-mail e telefone](https://epieos.com) - [OSINT Brazuca — Ferramentas OSINT brasileiras](https://github.com/osintbrazuca/osint-brazuca) - [Sherlock — Busca de usernames](https://github.com/sherlock-project/sherlock) - [Maigret — Busca avançada de usernames](https://github.com/soxoj/maigret) - [theHarvester — Coleta de e-mails](https://github.com/laramies/theHarvester) - [SpiderFoot — Automação OSINT](https://github.com/smicallef/spiderfoot) - [Maltego — Análise de dados em gráficos](https://www.maltego.com) - [Social Links — Plataforma OSINT com IA](https://sociallinks.io) - [Photopea — Editor de imagens online](https://www.photopea.com) - [Hugging Face — Modelos de IA](https://huggingface.co) - [Snoop — Busca de usernames por país](https://github.com/snooppr/snoop) - [Fake Name Generator — Identidades fictícias](https://www.fakenamegenerator.com) --- ### Aulão #021 — A Arte de Manipular: Engenharia Social Aplicada em Investigações Digitais URL: https://brunofraga.com/aulao-semanal/engenharia-social-tecnicas-investigacao-digital Publicado: 2024-08-28 Tags: investigacao-digital, ciberseguranca, hacking, osint, tutoriais YouTube: https://www.youtube.com/watch?v=pOHmUpZdLXI Técnicas de engenharia social aplicadas em investigações digitais, com demonstrações ao vivo de phishing com ChatGPT, casos reais do falso coronel do RJ e hack do Twitter, e automação de ataques com IA. Baseado no aulão em vídeo com exemplos práticos. ## O que você vai aprender neste aulão Se você pesquisou "engenharia social investigação digital", chegou no lugar certo. A engenharia social é a técnica que permite manipular, persuadir e extrair informações de qualquer alvo — e ela é a arma mais poderosa no arsenal de um investigador digital. Neste aulão eu demonstrei ao vivo como aplicar técnicas de engenharia social em investigações digitais, desde os fundamentos psicológicos até a automação de ataques personalizados com ChatGPT. Ela está por trás de 80% dos ataques de hacking no mundo. Você vai aprender a identificar gatilhos mentais que hackers e golpistas exploram no subconsciente humano. Vai conhecer o Social Engineer Framework, o recurso gratuito mais completo que existe sobre o assunto. E vai ver, na prática, como eu usei inteligência artificial para gerar 1.500 e-mails de phishing personalizados a partir de perfis do LinkedIn — cada um escrito como se fosse manualmente. Mais do que teoria: eu trouxe casos reais que comprovam que engenharia social funciona. Um falso coronel infiltrou a Secretaria de Segurança Pública do Rio de Janeiro. O Twitter foi hackeado por uma ligação telefônica. Uma bilionária do Shark Tank perdeu 400 mil dólares por um e-mail falso. E eu mostrei como o novo recurso de triggers do [HI SPY](https://hispy.io/) aplica esses conceitos para potencializar capturas em investigações. Se você é investigador, advogado, policial ou profissional de cibersegurança — dominar engenharia social não é opcional. É o que separa quem investiga de quem realmente resolve. ## O que é engenharia social e por que todo investigador precisa dominar Engenharia social é qualquer ação de influenciar uma pessoa a tomar uma decisão que talvez não seja do interesse dela. Pode ser fazer alguém clicar num link, entregar uma senha, abrir uma porta ou transferir dinheiro — sem que a vítima perceba que foi manipulada. E não precisa de tecnologia avançada. Uma criança que chora no shopping pra fazer o pai comprar um brinquedo está usando engenharia social. Sem planejamento, sem framework, sem curso. Mas funciona. A diferença entre isso e um ataque profissional está na intencionalidade. Um engenheiro social competente estuda o alvo, coleta inteligência, monta um cenário (pretexto) e aplica gatilhos psicológicos calibrados. No ambiente digital, esse processo escala sem limites — e é por isso que [80% dos ataques de hacking bem-sucedidos envolvem engenharia social](https://www.social-engineer.org/framework/general-discussion/). Mas tem um lado que poucos discutem: engenharia social também pode ser benéfica. Influenciar alguém a tomar uma decisão que genuinamente é melhor pra ela. Eu uso isso conscientemente. E digo mais — quem estuda engenharia social a fundo acaba aplicando técnicas de forma natural, sem perceber. Na Coreia, numa reunião recente, eu usei uma técnica de rapport instintivamente. Só depois percebi o que tinha feito. O corpo absorve o conhecimento e executa sozinho. Para um investigador digital, dominar engenharia social é o que permite gerar um clique, extrair informação do alvo, criar um fantoche que funcione. Quem diz que "meu alvo não vai clicar" ou que "engenharia social não funciona" simplesmente não está implementando direito. Semana passada, um dos meus alunos — policial civil — fez uma apreensão. Chegou na casa do alvo trocando mensagem com a pessoa num fantoche que ele criou. Funcionou. Sempre funciona quando você sabe o que está fazendo. ## Como 80% dos ataques de hacking exploram falhas humanas O ser humano processa 500 palavras por minuto no cérebro, mas só consegue falar 150. Essa diferença cria uma brecha cognitiva que engenheiros sociais exploram com precisão. O subconsciente toma decisões em 7 segundos — e estudos recentes indicam que esse tempo está diminuindo, porque processamos informação cada vez mais rápido e com menos filtro. Quando eu digo "aqui na Coreia, todos os carros têm câmeras, até o meu", você automaticamente decidiu que os carros na Coreia têm câmera, que eu tenho um carro e que eu moro na Coreia. Uma frase. Quatro decisões tomadas no subconsciente sem que você questionasse nenhuma delas. O mecanismo mais sofisticado para explorar isso é o que os profissionais chamam de **embed** — injetar comandos de decisão dentro de frases comuns. "Assim que você confirmar seu pagamento, você já recebe o acesso" faz o cérebro aceitar a premissa de que o pagamento será feito. O marketing usa isso o tempo todo. Quem estuda [PNL (Programação Neurolinguística)](https://www.social-engineer.org/framework/general-discussion/) reconhece o padrão: cada palavra é escolhida para programar uma resposta. E não para por aí. O phishing moderno não é mais aquele e-mail genérico de "parabéns, você ganhou". Olha como funciona na prática: - "Obrigado por trabalhar com a gente. Aqui está sua conta de 300 dólares em anexo." — A curiosidade de saber "o que eu comprei?" faz a pessoa abrir - "Atividade suspeita na sua conta. Verifique agora para não perder acesso." — Urgência + medo = clique imediato - "Alguém compartilhou com você um documento no Google Docs" — Familiaridade com a plataforma desliga o filtro crítico - "Sua senha expirou. Mude agora." — Autoridade do provedor de e-mail gera obediência automática Cada um desses e-mails explora um gatilho mental diferente. E com a tecnologia atual, é possível personalizar cada mensagem em massa usando [ChatGPT](https://chat.openai.com) e automação — algo que eu demonstrei ao vivo neste aulão e que detalho nas seções seguintes. ## Caso real: o falso coronel que infiltrou a Segurança Pública do RJ Carlos da Cruz Sampaio Júnior nunca pisou num quartel. Era funcionário administrativo do zoológico do Rio de Janeiro. Mas se tornou tenente-coronel da Secretaria de Segurança Pública — usando apenas engenharia social. O processo dele foi cirúrgico. Primeiro, estudou manuais de segurança pública e de polícia de mais de 10 países durante três anos. Inclusive manuais russos, idioma que diz ter aprendido pela internet. Depois, elaborou seu próprio projeto de patrulhamento e se apresentou como major num batalhão da Zona Norte do Rio. "Como é que você fez isso?" — perguntaram na entrevista para a TV. A resposta dele: "Ué, basta dizer." Basta dizer. E Sampaio ainda completa: as pessoas acreditaram. Por quê? Porque ele usou elementos de autoridade. Uma carteira do exército inteira criada no Photoshop — "Não falsifiquei, criei. Diferente." — com foto em farda de gala. Um currículo que incluía a Academia das Agulhas Negras, comando de batalhão de fronteira na Amazônia e até a guarda presidencial. Tudo mentira. Mas tudo impresso, formatado, com aparência de legitimidade. A carteira tinha 10 erros grosseiros. Data de validade até 2031 (num documento militar seria indeterminada). A assinatura era de um capitão (impossível num documento de coronel). O próprio posto "tenente coronel" estava escrito errado. Mas ninguém verificou. Porque ninguém verifica quando os elementos visuais de autoridade estão presentes. Sampaio implantou seu projeto de patrulhamento em quatro batalhões. Dava palestras, planejava policiamento, redistribuía viaturas. Deu instruções de tiro. Comandou operações armadas nas ruas, determinando onde e como os policiais deviam agir. [Participou de uma operação contra traficantes que invadiram um hotel em São Conrado](https://cntv.org.br/noticia__1942__Falso-coronel-conta-como-enganou-a-cupula-de-seguranca-do-Rio.html), acompanhando a negociação para que os bandidos se entregassem. Se um policial te para na rua, você verifica a identidade dele? Não. Porque a farda, a viatura e o comportamento já ativaram o gatilho de autoridade. Se você chega no posto de saúde e alguém de jaleco branco com estetoscópio diz "pode sentar que eu vou examinar", você senta. Sem perguntar se é médico de verdade. A lição do caso Sampaio é brutal: elementos de autoridade bastam para convencer sistemas inteiros. E se você acha que engenharia social "não funciona" pra fazer alguém clicar num link, lembre que um homem enganou todo o sistema de segurança pública de um estado com um Photoshop mal feito e um bom discurso. O problema nunca é a técnica — é a implementação. ## Gatilhos mentais e embeds: como o subconsciente é hackeado em 7 segundos O cérebro humano funciona como um software com vulnerabilidades conhecidas. A engenharia social explora essas falhas de forma sistemática, usando o que chamamos de gatilhos mentais. Cada gatilho aciona uma resposta automática no subconsciente — e quando combinados, tornam qualquer ataque quase irresistível. **Autoridade** é o mais poderoso. Uma farda, uma carteirinha, um currículo impresso, um e-mail com assinatura corporativa. Donald Trump usa isso de forma explícita: no aperto de mão, coloca a mão por cima, puxa a pessoa para dentro, não larga. É controle físico que comunica superioridade antes de qualquer palavra ser dita. **Urgência** é o segundo. "Verifique agora", "nos próximos dois dias", "sua conta será bloqueada". O subconsciente não tem tempo de analisar — age. **Ego** funciona em pessoas de alto status. "Sou admirador do seu trabalho" e "tenho uma proposta alinhada com suas habilidades" desligam o filtro crítico de quem está acostumado a receber elogios. **Empatia e pedido de ajuda** exploram uma falha humana universal. As pessoas tendem a acatar pedidos de ajuda sem questionar. "Cara, meu cartão travou no caixa eletrônico, será que você pode me ajudar?" ativa cooperação instantânea. Mas o mecanismo mais sofisticado é o **embed**. O [Social Engineer Framework](https://www.social-engineer.org/framework/general-discussion/) ensina a montar frases que injetam decisões no subconsciente. "Tom, eu vi que você está indo para a cozinha — você vai me pegar dois copos de café com creme?" Essa frase faz Tom ir até a cozinha sem perceber que foi direcionado. O manual de interrogação da CIA usa a mesma lógica. Um interrogador nunca pergunta "você matou ela?" diretamente. Ele pergunta: "O que você sentiu quando largou a faca?" ou "Por que você lavou a mão com água e não usou sabão?" — cada pergunta carrega um embed que assume uma premissa e força o interlocutor a processar o cenário, não a questionar se ele aconteceu. E tem a **elicitação**: perguntar sem perguntar. Em vez de chegar num segurança e perguntar "quantas câmeras tem aí dentro?", você diz "nossa, ouvi dizer que esse prédio é cheio de câmera, né? Me falaram que tem uns 12 guardas aí dentro." O segurança responde: "Não, mas cara, acho que tem mais que 20 câmeras." Você extraiu a informação sem fazer uma pergunta sequer. Se você quer aprofundar, o curso da [Polícia Civil de Minas Gerais sobre engenharia social em golpes virtuais](https://ead.policiacivil.mg.gov.br/moodle/course/info.php?id=1115) cobre identificação dessas técnicas do lado defensivo. Para investigadores que precisam também aplicar essas técnicas na coleta de informações, recomendo estudar as [técnicas para investigar pessoas na internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) que eu demonstrei no Aulão #5. ## Social Engineer Framework: o guia gratuito para aprender engenharia social O [Social Engineer Framework](https://www.social-engineer.org/framework/general-discussion/) é o material mais completo que eu conheço sobre engenharia social aplicada. É gratuito, está online e cobre desde código de ética até técnicas avançadas de manipulação cognitiva. Eu aprendi engenharia social nesse framework. Tinha 16, 17 anos. Não falava inglês — traduzia tudo no Google. Mas ficava horas debruçado naquele conteúdo, entendendo o ciclo de ataque, os exemplos práticos, a lógica de manipulação. Até hoje, quando volto ao site, bate uma nostalgia. O que você encontra lá: - **Código de ética** para engenharia social — sim, existe. O framework diferencia uso ofensivo, defensivo e investigativo - **Tipos de ataques** mais comuns com exemplos reais — phishing, vishing, pretexto, impersonation - **Customer Service hacking** — como persuadir por telefone, com vídeos da conferência mostrando exemplos ao vivo - **Rapport** — técnicas detalhadas para criar conexão instantânea com qualquer pessoa - **Buffer Overflow cerebral** — como sobrecarregar a capacidade de processamento mental do alvo - **Embed Codes** — frases prontas que injetam decisões no subconsciente, com exemplos que você pode adaptar O framework é mantido pela [Social-Engineer.org](https://www.social-engineer.org/), a mesma organização que promove o [Human Hacking Conference](https://www.social-engineer.org/events/the-human-hacking-conference/) — um evento mundial onde especialistas em hackear pessoas se reúnem para discutir técnicas de engenharia social. Ex-agentes do FBI, investigadores criminais, autores best-seller. O ingresso é caro, mas o framework online é grátis. Kevin Mitnick, que faleceu em julho de 2023, era referência absoluta nesse mundo. Começou com engenharia social aos 12 anos, burlando o sistema de bilhetes de ônibus em Los Angeles. Ligava para empresas fingindo ser funcionário e conseguia senhas, acessos e informações sensíveis. Preso pelo FBI em 1995, tornou-se consultor de segurança. E Kevin codificou suas técnicas na metodologia proprietária que ainda orienta pentests hoje. Para quem está começando, o Social Engineer Framework é o ponto de partida que eu recomendo. E se você já usa [ferramentas de investigação digital](/aulao-semanal/ferramentas-de-investigacao-digital) mas sente que falta algo, provavelmente é engenharia social. A ferramenta sem a técnica humana resolve pouco. ## Phishing, vishing e pretexto: técnicas de engenharia social no mundo digital Phishing é o ataque mais comum de engenharia social — e funciona porque explora confiança em plataformas conhecidas. O e-mail parece ser do Google, do Outlook, do Dropbox. A formatação está correta, o tom está correto, o cenário faz sentido. O que não está correto é o remetente — e a maioria das pessoas não verifica. O hack do Twitter em 2020 é o caso mais emblemático de vishing (phishing por voz). Um criminoso simplesmente ligou para funcionários do Twitter dizendo que era do suporte técnico e pediu reset de senha. Funcionou. [Com essas credenciais, hackeou contas de Jeff Bezos, Joe Biden, Elon Musk, Bill Gates, Apple e Barack Obama](https://gatefy.com/pt-br/blog/maior-ataque-hacker-twitter-engenharia-social/). Mais de 110 mil dólares em bitcoin foram roubados em minutos. E Joseph O'Connor foi condenado a 5 anos de prisão por isso. Um único telefonema. Engenharia social pura. Sem exploit técnico, sem vulnerabilidade de software. A vulnerabilidade era humana. O pretexto vai além do e-mail ou telefone — ele cria um cenário completo. No Brasil, teve um golpe que gerou milhares de vítimas em agências bancárias. Os criminosos quebravam o bico de uma caneta BIC, botavam invertido no caixa eletrônico para travar o cartão, e instalavam um telefone branco na parede do lado. Quando o cliente ficava preso sem cartão, via o telefone. Ligava. Música de espera falsa. "Me confirma seus dados. Senha. Pode sair, seu cartão foi cancelado e será enviado outro pra você." O cliente saía. O criminoso entrava com os dados e sacava tudo. Cada elemento reforçava a legitimidade: o local (agência bancária), o dispositivo (telefone branco na parede), o áudio (música de espera do banco), o atendente (tom profissional). O pretexto criou um cenário onde não havia razão para desconfiar. Bárbara Corcoran, do Shark Tank, perdeu 400 mil dólares por um golpe parecido. O criminoso sabia o nome do contador dela, o telefone, e provavelmente o fluxo normal de comunicação entre eles. Mandou um e-mail de um endereço parecido com o original — brunofraga.co em vez de brunofraga.com, por exemplo — pedindo transferência para compra de uma casa. O contador transferiu. Porque era exatamente o tipo de mensagem que a Bárbara mandaria. Durante a pandemia do coronavírus, explodiu um phishing da Netflix que impactou o Brasil inteiro. "Netflix libera acesso gratuito por período de isolamento. Corre no site. Cadastro aberto por dois dias." Um site falso pedia o cartão de crédito. Milhares de credenciais e cartões foram roubados. O pretexto (pandemia), a marca (Netflix), a urgência (dois dias) e a oferta (gratuito) criaram a tempestade perfeita. Se você trabalha com investigação de [e-mails fraudulentos](/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas), entender como o phishing é construído é metade do caminho para desmontá-lo. O Aulão #16 cobre a parte técnica — do cabeçalho suspeito ao takedown do site falso. ## Domain Lookalike: como criminosos clonam domínios para enganar Domain Lookalike é uma técnica onde o criminoso registra um domínio quase idêntico ao original para enganar a vítima. É simples, barato e devastadoramente eficaz. No aulão, eu mostrei ao vivo um [teste de Domain Lookalike](https://www.jamieweb.net/apps/lookalike-domains-test/) para treinar o olho. Blogger.com — original ou falso? Paypal.com — original. Reddit.com — parece original, mas o "i" pode ser um "l". Soundcloud — espera, o domínio termina em .corn em vez de .com. A diferença entre "m" e "rn" é invisível em fontes pequenas. Ferramentas como [DNSTwister](https://www.dnstwister.report/) e [KnowBe4 Domain Doppelgänger](https://www.knowbe4.com/free-cybersecurity-tools/domain-doppelganger) permitem monitorar domínios similares ao seu que podem estar sendo usados para phishing. Para investigadores, isso funciona no sentido inverso: você pode verificar se um domínio suspeito é lookalike de uma marca legítima. O caso da Bárbara do Shark Tank usou exatamente isso. Em vez de um endereço de e-mail real, o criminoso usou um domínio parecido — a diferença pode ter sido um caractere. O contador viu "bárbara@dominio.co" em vez de "bárbara@dominio.com" e não percebeu. Quando o volume de e-mails é alto e o contexto faz sentido, o cérebro preenche as lacunas automaticamente. Para quem investiga [crimes digitais e golpes na internet](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar), domain lookalike é uma das primeiras coisas a verificar. E se você quer entender como investigar o registro de domínios suspeitos, o [Aulão #7 sobre como descobrir o dono de um site](/aulao-semanal/como-descobrir-o-dono-de-um-site) cobre as técnicas de WHOIS e DNS que complementam essa análise. ## Como usar ChatGPT para engenharia social em investigações Inteligência artificial transformou a engenharia social de algo artesanal em algo escalável. Eu demonstrei isso ao vivo no aulão, e o resultado impressiona até quem já trabalha com isso há anos. O prompt que eu usei foi direto: instruí o ChatGPT como "especialista em escrita de meios persuasivos, com técnicas avançadas de PNL, Neuromarketing e Copywriting." Depois passei o site de um alvo fictício e pedi para gerar um e-mail focado em fazer a pessoa abrir um PDF em anexo sem pensar duas vezes. Com embeds de tomada de decisão, gatilhos de urgência, autoridade e ego. O ChatGPT leu o site, identificou que a pessoa (Kallia) era CEO focada em estratégia de conteúdo para canais digitais, e gerou: "Olá Kallia, sou admirador do seu trabalho de CEO e estratégia de conteúdo, particularmente para canais digitais como redes sociais. Tenho uma proposta que pode alavancar significativamente o seu portfólio. No anexo você encontra detalhes dessa oportunidade única, perfeitamente alinhados com suas habilidades e experiências." Ego. Especificidade. Urgência implícita. Tudo calibrado para aquela pessoa específica. E quando eu pedi para usar mais palavras-chave que ela mesma escrevia em seu site, o nível de personalização subiu ainda mais. Mas a demonstração ao vivo foi só a ponta. A prova de conceito que eu fiz antes do aulão foi mais ambiciosa: peguei a API da OpenAI, conectei a uma planilha com 3 mil pessoas. Cada linha tinha o perfil do LinkedIn, o código-fonte do LinkedIn (sim, as palavras-chave, a carreira, tudo), dados do Instagram — tudo consolidado. Automatizei o envio de prompts individualizados para cada linha. Resultado: cerca de 1.500 e-mails escritos especificamente para cada pessoa, como se fossem manualmente redigidos. E funciona. Porque um e-mail que menciona o cargo exato, a especialidade, os interesses e usa a linguagem do próprio alvo não levanta suspeita. É exatamente o que a hacker do vídeo que mostrei fazia: "está escrito na voz do chefe, é o que ele diria se estivesse escrevendo isso." A sacada não é o [ChatGPT](https://chat.openai.com) em si — já abordei o potencial dessa ferramenta no [Aulão #6 sobre ChatGPT para investigação digital](/aulao-semanal/chatgpt-para-investigacao-digital). A sacada é combinar inteligência artificial com coleta de inteligência prévia. O ChatGPT sabe PNL melhor que você. Sabe Copywriting melhor que eu. Mas ele precisa do contexto — e esse contexto vem de OSINT, de [investigar pessoas na internet](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), de [vazamentos de dados](/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas), de perfis públicos. ## Automação de engenharia social com inteligência artificial: a nova fronteira A convergência entre OSINT e IA criou um cenário que muda as regras do jogo. Antes, engenharia social em massa significava e-mails genéricos — e por isso filtros de spam funcionavam. Agora, cada e-mail pode ser único, personalizado, escrito na linguagem do alvo. O fluxo que eu implementei funciona assim: 1. Coletar perfis em massa — LinkedIn, Instagram, sites pessoais 2. Extrair palavras-chave, cargo, especialidades, interesses de cada perfil 3. Consolidar tudo em planilha estruturada 4. Conectar via API da OpenAI com prompt base que define o objetivo, o tom e os gatilhos 5. Gerar e-mail individualizado para cada linha automaticamente Com 3 mil perfis na planilha, eu gerei cerca de 1.500 e-mails em poucas horas. Cada um referenciando o cargo específico, usando termos que o próprio alvo utiliza, explorando interesses verificados. Não é spam — é spear phishing automatizado com qualidade artesanal. Para investigadores, essa mesma técnica funciona ao inverso. Você pode automatizar a geração de mensagens para fantoches, criar pretextos personalizados para cada alvo de uma investigação, ou analisar padrões de vulnerabilidade em comunicações de uma organização. E aqui vai uma opinião: quem trabalha com [desafios práticos de investigação digital](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) e não está incorporando IA no workflow está ficando para trás. Não é sobre substituir a habilidade humana — é sobre amplificar. O engenheiro social com IA consegue o que antes só era possível com equipes dedicadas. Mas cuidado: essa mesma capacidade está nas mãos dos criminosos. Por isso a importância de entender como funciona, para saber identificar e defender. Quem investiga [Google Hacking](/aulao-semanal/google-hacking-buscas-perigosas-dorks) já sabe que informação pública é munição. Com IA, essa munição se transforma em armamento de precisão. ## Como se proteger: identificando gatilhos e ataques de engenharia social A melhor defesa contra engenharia social é conhecer as técnicas — e treinar o olho para identificá-las em tempo real. Aqui vai o que você precisa verificar antes de confiar em qualquer comunicação digital: **Verifique o remetente, não só o nome.** O nome pode ser "Bruno Fraga" mas o e-mail ser brunofraga@dominio-falso.co. Sempre expanda o campo "De" e leia o endereço completo. Uma letra diferente é suficiente para um domain lookalike. **Identifique os gatilhos na mensagem.** Se o e-mail cria urgência ("verifique agora"), medo ("sua conta será bloqueada"), ego ("admirador do seu trabalho") ou autoridade ("e-mail do CEO"), pare. Analise friamente se o cenário faz sentido. Ligue para a pessoa por outro canal para confirmar. **Desconfie de pretextos convenientes.** A pandemia gerou pretextos perfeitos para golpes. Qualquer evento que mude a rotina — nova política, atualização de sistema, mudança de processo — é explorado por engenheiros sociais. **Teste sua organização.** Use ferramentas como [KnowBe4 Domain Doppelgänger](https://www.knowbe4.com/free-cybersecurity-tools/domain-doppelganger) para monitorar domínios similares ao seu. Faça o [teste de Domain Lookalike](https://www.jamieweb.net/apps/lookalike-domains-test/) com sua equipe. Simule ataques de phishing internos. É melhor falhar no treino do que ser vítima em produção. **Aplique o princípio da verificação independente.** O contador da Bárbara do Shark Tank teria evitado a perda de 400 mil dólares com uma ligação telefônica. Qualquer solicitação financeira ou sensível deve ser confirmada por um canal diferente do que trouxe o pedido. Se você trabalha com [investigação de casos reais](/aulao-semanal/investigacao-digital-casos-reais-golpe-olx), vai reconhecer esses padrões em praticamente todo golpe digital. A engenharia social é o denominador comum. E o [Shodan](/aulao-semanal/shodan-como-usar-identificar-vulnerabilidades-internet) mostra o lado técnico da exposição — mas o lado humano é onde a maioria dos ataques realmente começa. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Social Engineer Framework | Framework completo e gratuito para aprender engenharia social aplicada | [Social Engineer Framework](https://www.social-engineer.org/framework/general-discussion/) | | ChatGPT | Geração de e-mails persuasivos personalizados com PNL e embeds | [ChatGPT](https://chat.openai.com) | | API da OpenAI | Automação de geração de e-mails de phishing em massa | [OpenAI Platform](https://platform.openai.com) | | HI SPY | Software de investigação tática com triggers para captura de câmera, IP e geolocalização | [HI SPY](https://hispy.io/) | | DNSTwister | Detecção de domínios lookalike e typosquatting | [DNSTwister](https://www.dnstwister.report/) | | Lookalike Domain Test | Teste interativo para treinar identificação de domínios falsos | [Lookalike Domain Test](https://www.jamieweb.net/apps/lookalike-domains-test/) | | KnowBe4 Domain Doppelgänger | Monitoramento gratuito de domínios similares usados em phishing | [KnowBe4](https://www.knowbe4.com/free-cybersecurity-tools/domain-doppelganger) | ## Perguntas Frequentes ### O que é engenharia social e como funciona? Engenharia social é qualquer ação para influenciar uma pessoa a tomar uma decisão que talvez não seja do interesse dela. Funciona explorando falhas cognitivas do ser humano — o subconsciente toma decisões em 7 segundos, e técnicas como embeds, gatilhos mentais e pretextos direcionam essas decisões sem que a vítima perceba. ### Por que 80% dos ataques de hacking envolvem engenharia social? Porque hackear pessoas é mais fácil que hackear sistemas. Firewalls, antivírus e criptografia protegem a infraestrutura, mas o ser humano continua vulnerável a autoridade, urgência, ego e empatia. Um e-mail convincente custa centavos. Uma vulnerabilidade zero-day custa milhões. ### O que é domain lookalike e como identificar? Domain lookalike é quando um criminoso registra um domínio quase idêntico ao original — brunofraga.co em vez de brunofraga.com, por exemplo. Para identificar, sempre leia o endereço de e-mail completo (não só o nome do remetente), preste atenção em caracteres similares como "rn" vs "m", e use ferramentas como [DNSTwister](https://www.dnstwister.report/) para monitorar domínios suspeitos. ### Como usar ChatGPT para engenharia social de forma ética? Em investigações legítimas, o ChatGPT pode gerar mensagens personalizadas para fantoches, criar pretextos calibrados para coleta de inteligência, e simular ataques de phishing internos para testar a segurança da organização. A chave é ter autorização e propósito legítimo — pentest, investigação policial ou treinamento de segurança. ### O que é o Social Engineer Framework? É um recurso online gratuito mantido pela Social-Engineer.org que cobre todos os aspectos da engenharia social: código de ética, tipos de ataques, técnicas de rapport, embeds, elicitação, pretexto e exemplos do mundo real. É o material mais completo que existe sobre o assunto e pode ser acessado em [social-engineer.org/framework](https://www.social-engineer.org/framework/general-discussion/). ### Engenharia social funciona mesmo em alvos experientes? Funciona. O falso coronel Sampaio enganou a cúpula de segurança pública do Rio de Janeiro. O hack do Twitter comprometeu uma empresa bilionária por telefone. A Bárbara do Shark Tank, empresária sofisticada, perdeu 400 mil dólares. Experiência não protege contra ataques bem construídos — verificação independente protege. ### Como engenharia social é usada em investigações digitais? Investigadores usam engenharia social para gerar cliques em links de captura (como o [HI SPY](https://hispy.io/)), criar fantoches para interagir com alvos, coletar informações por elicitação, e montar pretextos para operações. Um policial civil aluno do Bruno fez uma apreensão na semana do aulão usando um fantoche que trocava mensagens com o alvo. ### Como me proteger de ataques de engenharia social? Verifique remetentes de e-mail (não só o nome, mas o endereço completo), identifique gatilhos de urgência e autoridade, confirme solicitações sensíveis por um canal diferente, monitore domínios similares ao seu com ferramentas como KnowBe4, e treine sua equipe com simulações de phishing regulares. > **Veja também:** [Contra-Atacando Golpistas: Investigacao Ativa, Dados Vazados e Deepfake na Pratica — Aulão #29](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet) > **Veja também:** [Primeiro Aulão Presencial no Brasil: Bug Bounty, Flipper Zero e os Bastidores da Equipe — Aulão #30](/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil) > **Veja tambem:** [4 Ferramentas para Investigar Pessoas Online com Fontes Abertas — Aulao #31](/aulao-semanal/ferramentas-para-investigar-pessoas-online-fontes-abertas) > **Veja tambem:** [Desmascarando Stalkers: Caso Real, OSINT e Investigação Ativa — Aulão #32](/aulao-semanal/como-desmascarar-stalkers-investigacao-ativa-osint) > **Veja também:** [14 Técnicas para Descobrir o Dono de um WhatsApp na Prática — Aulão #35](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) > **Veja também:** [Como Localizar e Rastrear Pessoas na Internet: 360+ Fontes, Fantoches e OSINT — Aulão #045](/aulao-semanal/como-localizar-rastrear-pessoas-internet-fontes-governo-osint) > **Veja também:** [Como Encontrar Bens Ocultos de Devedores — Aulão #047](/aulao-semanal/como-encontrar-bens-ocultos-devedores-investigacao-patrimonial) ## Referências e Recursos - [Social Engineer Framework — Guia completo de engenharia social](https://www.social-engineer.org/framework/general-discussion/) - [Social-Engineer.org — Hub oficial de educação em engenharia social](https://www.social-engineer.org/) - [Human Hacking Conference — Evento mundial sobre hackear o comportamento humano](https://www.social-engineer.org/events/the-human-hacking-conference/) - [Lookalike Domain Names Test — Teste interativo de domínios falsos](https://www.jamieweb.net/apps/lookalike-domains-test/) - [DNSTwister — Detecção de domínios lookalike](https://www.dnstwister.report/) - [KnowBe4 Domain Doppelgänger — Monitoramento de domínios similares](https://www.knowbe4.com/free-cybersecurity-tools/domain-doppelganger) - [HI SPY — Investigação Digital Avançada](https://hispy.io/) - [Hack do Twitter 2020 — O maior crime da história da rede social](https://gatefy.com/pt-br/blog/maior-ataque-hacker-twitter-engenharia-social/) - [Falso coronel conta como enganou a cúpula de segurança do Rio](https://cntv.org.br/noticia__1942__Falso-coronel-conta-como-enganou-a-cupula-de-seguranca-do-Rio.html) - [Kevin Mitnick: As Técnicas de Engenharia Social que Ainda São Relevantes](https://supremaux.com/kevin-mitnick-as-tecnicas-que-ainda-sao-relevantes/) --- ### Aulão #020 — Shodan na Prática: Como Encontrar Dispositivos Vulneráveis Expostos na Internet URL: https://brunofraga.com/aulao-semanal/shodan-como-usar-identificar-vulnerabilidades-internet Publicado: 2024-08-27 Tags: hacking, osint, ciberseguranca, investigacao-digital, tutoriais, tecnicas-de-invasao YouTube: https://www.youtube.com/watch?v=GQf77sbZwis Neste aulão em vídeo com demonstração prática, Bruno Fraga ensina como usar o Shodan para identificar dispositivos IoT vulneráveis, câmeras abertas e serviços expostos na internet. Aprenda dorks, filtros avançados e integração com OpenVAS para análise de vulnerabilidades. ## O que você vai aprender neste aulão Neste artigo eu mostro como usar o Shodan — o buscador que encontra dispositivos conectados à internet em vez de páginas web. Câmeras, roteadores, bombas de combustível, babás eletrônicas e qualquer coisa que tenha um IP público. Saber operar o Shodan significa entender como milhões de dispositivos estão expostos agora mesmo, sem proteção alguma, e como você pode usar isso tanto para investigação digital quanto para proteger sua própria rede. Nesse aulão número 20, que eu dei ao vivo com a participação do Diego Andreto, eu demonstrei na prática como fazer buscas no Shodan, como aplicar filtros e dorks para encontrar dispositivos específicos, como visualizar câmeras ao vivo e como usar geolocalização para mapear equipamentos na sua região. E no final, mostrei o OpenVAS instalado no Kali Linux — uma alternativa local para escanear vulnerabilidades na sua própria rede. Depois de ler este artigo, você vai conseguir criar sua conta no [Shodan](https://www.shodan.io/), fazer buscas filtradas por país, porta, sistema operacional e produto, identificar dispositivos vulneráveis e entender por que mudar a porta do seu serviço não te protege de nada. Se você já acompanha meus aulões sobre [ferramentas de investigação digital](https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital) ou [técnicas OSINT para investigar pessoas](https://brunofraga.com/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), o Shodan é a próxima peça do quebra-cabeça. ## O que é o Shodan: o buscador de dispositivos da internet O Shodan é um mecanismo de busca que indexa dispositivos conectados diretamente à internet, em vez de páginas web. Enquanto o Google busca informações e conteúdo, o Shodan busca IPs — e tudo que está por trás deles. O resumo é simples: tudo que se comunica pela internet, o Shodan busca. Câmeras de segurança, roteadores, servidores, babás eletrônicas, termômetros de piscina, cafeteiras inteligentes, geladeiras, bombas de combustível. Se o dispositivo tem um IP público e responde a uma conexão, o Shodan indexa. A ferramenta foi criada originalmente para documentar dispositivos na internet — uma espécie de benchmark de mercado. A ideia inicial era responder perguntas como "quantos roteadores da Cisco existem no mundo?" ou "quantos dispositivos Huawei estão ativos?". Mas ela tomou uma forma diferente. Hoje, o Shodan revela se um dispositivo está inseguro. E a maioria está. Eu sempre falo isso nas minhas aulas: o dispositivo não aparece no Shodan à toa. Ele aparece porque está totalmente inseguro. A configuração que fizeram nele é uma configuração insegura, ou o equipamento já está ultrapassado e não recebe mais atualização de firmware. ### O que o Shodan indexa: banners e metadados Segundo a [documentação oficial do Shodan](https://help.shodan.io/the-basics/what-is-shodan), a maior parte dos dados vem de banners — metadados sobre o software que está rodando em um dispositivo. Isso pode incluir informações sobre o servidor web, certificados SSL, versão do sistema operacional, portas abertas e serviços ativos. Quando o Shodan se conecta a um dispositivo, ele coleta essas informações públicas e as armazena em seu banco de dados. É como uma SQL gigante que você pode filtrar. E os filtros são poderosos: país, cidade, porta, sistema operacional, produto, versão de firmware, [CVE](https://www.fortinet.com/resources/cyberglossary/cve) (Common Vulnerabilities and Exposures) e até geolocalização por latitude e longitude. ## Como o Shodan funciona: de onde vêm os dados dos dispositivos O Shodan varre a internet inteira semanalmente, conectando-se a dispositivos e coletando os banners de resposta. Mas existe uma segunda fonte de dados que pouca gente conhece — e que eu fiz questão de alertar no aulão. Todo profissional de TI quer ir lá no site para testar se a porta está aberta. Todo cara que instala uma câmera vai lá no site para ver se a porta está aberta. E eu pergunto: qual é o modelo de negócio de um site que testa se a porta está aberta? Vender essa base de informação de IP e porta para quem precisa. Isso mesmo. Sites de teste de porta online criam bases de dados com IP + porta e revendem essas informações para ferramentas como o Shodan. Então toda vez que um profissional de TI vai testar se a porta do DVR está aberta usando um site desses, ele está alimentando o Shodan com informações sobre aquele dispositivo. Minha recomendação é clara: quando forem fazer escaneamento de porta, façam com [Nmap](https://nmap.org/), com um produto local, com as técnicas de vocês. Não usem um website que vai marcar esse IP, essa porta para ferramentas como o Shodan. ### Por que mudar a porta NÃO protege seu dispositivo Eu preciso bater nessa tecla porque no dia do aulão tivemos uma discussão sobre isso. Profissionais de TI que trabalham com LAN ficam teimando que basta mudar a porta para estarem protegidos. "Ah, vou deixar a porta do SQL Server exposta na internet, mas vou mudar a porta padrão, então estou protegido." Não funciona assim. Primeiro, o Shodan escaneia todas as portas — não só as padrões. Segundo, se você testou sua porta em um site online, o Shodan já tem essa informação sem precisar gastar processamento para encontrar. E no aulão eu mostrei isso na prática: bombas de combustível com porta alterada de 80 para 4433, completamente visíveis no Shodan. Mas o problema vai além. Eu mostrei painéis de roteadores MikroTik na porta 8008 — uma porta não padrão — com dados de clientes de provedores de internet completamente expostos. Nomes, logins, e-mails, consumo de velocidade. Tudo visível. Mudar a porta não fez diferença alguma. ## Como criar conta e começar a usar o Shodan (gratuito vs pago) A conta gratuita do Shodan é suficiente para quem está começando a estudar. Você consegue fazer buscas, visualizar dispositivos e monitorar pelo menos 1 IP. O limite está no número de páginas de resultados e em algumas funcionalidades como imagens e mapas. Para quem trabalha na área, o plano Membership custa $49 (pagamento único, vitalício) e libera 100 query credits por mês, 100 scan credits e monitoramento de até 16 IPs. Segundo a [página de preços do Shodan](https://account.shodan.io/billing), os planos sobem para $69/mês (Freelancer), $359/mês (Small Business) e $1.099/mês (Corporate). | Plano | Preço | Query Credits/mês | Scan Credits/mês | IPs Monitorados | |---|---|---|---|---| | Gratuito | $0 | Limitado | Limitado | 1 | | Membership | $49 (único) | 100 | 100 | 16 | | Freelancer | $69/mês | 10.000 | 5.120 | 5.120 | | Small Business | $359/mês | 200.000 | 65.536 | 65.536 | | Corporate | $1.099/mês | Ilimitado | 327.680 | 327.680 | Para começar, acesse [shodan.io](https://www.shodan.io/), crie uma conta gratuita e acompanhe os exemplos que vou mostrar a seguir. E uma dica: o Shodan entra em promoção com frequência, às vezes o Membership cai para $4. Fique atento. ## Principais dorks e filtros do Shodan para iniciantes Dorks no Shodan funcionam como filtros de banco de dados. Você está consultando uma base gigantesca de dispositivos e usando comandos para retornar exatamente o que precisa. É como uma consulta SQL, só que na interface de busca. Aqui estão os filtros que eu mais uso e que demonstrei no aulão: | Filtro | O que faz | Exemplo | |---|---|---| | `country:` | Filtra por país | `country:BR` | | `city:` | Filtra por cidade | `city:"São Paulo"` | | `port:` | Filtra por porta | `port:3389` | | `os:` | Filtra por sistema operacional | `os:"Windows XP"` | | `product:` | Filtra por produto/software | `product:"Raspberry Pi"` | | `geo:` | Filtra por latitude,longitude | `geo:-23.56,-46.65` | | `has_screenshot:` | Mostra só resultados com screenshot | `has_screenshot:true` | | `title:` | Filtra pelo título da página | `title:camera` | | `server:` | Filtra pelo servidor | `server:"webcam 7"` | Você combina esses filtros para refinar a busca. Por exemplo: `os:"Windows XP" country:BR` retorna todos os dispositivos com Windows XP no Brasil. No dia do aulão, essa busca retornou 31 dispositivos, sendo 23 em São Paulo. Para uma lista completa de dorks, recomendo o [repositório no GitHub do nullfuzz-pentest](https://github.com/nullfuzz-pentest/shodan-dorks) e também [este repositório com dorks categorizadas](https://github.com/mr-exo/shodan-dorks). São centenas de filtros organizados por tipo: câmeras, servidores, bancos de dados, dispositivos industriais, jogos e mais. ## Como buscar dispositivos por país, porta e sistema operacional no Shodan A busca mais básica no Shodan é filtrar por país. Digitando `country:BR` na barra de busca, você recebe todos os dispositivos indexados no Brasil. No Internet Observatory do Shodan, o Brasil aparece com 15 milhões de portas abertas mapeadas. Cada resultado mostra o IP do dispositivo, as portas abertas, os serviços rodando, a localização aproximada e o banner com metadados. Clicando em um IP específico, você vê detalhes como operadora, cidade, todas as portas abertas e as CVEs (vulnerabilidades conhecidas) associadas. ### Caso real: Windows XP com SQL Server 2000 em São Paulo Quando digitei `os:"Windows XP" country:BR` no aulão, o Shodan retornou 31 dispositivos. Um deles chamou atenção: um Windows XP com Service Pack 2 rodando SQL Server 2000, localizado em São Paulo, operadora Claro. Clicando no IP, vi as portas 83 e 84 abertas com painéis de login acessíveis. E na lateral, as CVEs — falhas de segurança conhecidas com [exploits](https://www.bitdefender.com.br/consumer/support/answer/27646/) disponíveis publicamente. É assim que funciona a lógica de invasão em massa: o atacante não escolhe um alvo e depois procura a falha. Ele encontra a falha primeiro e depois ataca todos os alvos vulneráveis. A lógica é "falha → alvos", não "alvo → falha". E o Shodan permite exatamente esse mapeamento em escala. ### Caso real: 4 milhões de dispositivos com Remote Desktop aberto na pandemia Em 2020 — há 6 anos — durante a pandemia de COVID-19, eu lembro exatamente dessa época porque foi extremamente conturbada. Todo mundo colocou a porta 3389 ([Remote Desktop Protocol](https://scanitex.com/en/resources/ports/tcp/3389)) aberta para trabalhar remotamente. Uma busca simples por `port:3389` no Shodan retornava 4 milhões de dispositivos. Existia um exploit que fazia bypass de autenticação no RDS da Microsoft — não precisava de usuário nem senha. O script passava direto. Qualquer pessoa que fizesse essa busca no Shodan conseguia executar o script e entrar em qualquer servidor. E foi exatamente o que aconteceu: ataques massivos de ransomware. Criminosos invadiam servidores, criptografavam dados e pediam Bitcoin. Não era ataque direcionado — era varredura em massa. ## Filtrando câmeras de segurança e webcams no Shodan Câmeras são o tipo de dispositivo que mais impacta visualmente quando você mostra no Shodan, porque é tangível — a pessoa vê a imagem da sua rua, do seu bairro. Mas como eu disse no aulão, não é necessariamente o maior impacto real. Ver os clientes de uma operadora com nome e e-mail expostos é pior. Mas câmeras chamam atenção. Para buscar câmeras, existem várias abordagens: 1. **Por porta**: `port:554 country:BR` — a [porta 554 é usada pelo protocolo RTSP](https://www.pentestpad.com/port-exploit/port-554-rtsp-real-time-streaming-protocol) (Real Time Streaming Protocol), padrão de câmeras IP e DVRs 2. **Por título**: `title:camera` — busca páginas que tenham "camera" no título 4. **Por servidor**: `server:"webcam 7"` — busca por um software específico de webcam 5. **Por screenshot**: `port:554 country:BR has_screenshot:true` — mostra apenas resultados que têm captura de tela A seção de [Imagens do Shodan](https://www.shodan.io/about/products) é um recurso pago que mostra screenshots capturados de dispositivos. No dia do aulão, havia 940.850 dispositivos com imagens capturadas. Mas eu dei uma dica gratuita: use `has_screenshot:true` na busca padrão para ver screenshots sem precisar da conta paga. ### O que eu encontrei ao vivo no aulão Ao buscar câmeras durante a transmissão, encontrei de tudo. Uma câmera de atendimento ao vivo — dava para ver a pessoa trabalhando em tempo real. Uma webcam de garagem com um botão escrito "Abrir Portão" — sim, qualquer pessoa poderia abrir o portão eletrônico remotamente. Uma câmera de guarita de segurança exposta sem senha — ela está ali para proteger as pessoas, mas está completamente vulnerável. Paradoxo. E encontrei câmeras dentro de casas. Quartos, salas. Webcams baratas geralmente não têm senha. A pessoa compra, instala, conecta na internet e pronto — está no Shodan para qualquer um acessar. ### O caso das babás eletrônicas hackeadas Eu falei de babás eletrônicas no aulão por um motivo específico. Teve uma onda de criminosos que acessavam babás eletrônicas expostas na internet e conversavam com as crianças. Isso aconteceu dezenas de vezes documentadas. A [CNN Brasil reportou](https://www.cnnbrasil.com.br/entretenimento/americana-afirma-que-teve-baba-eletronica-hackeada-falavam-com-meu-filho/) o caso de uma mãe americana que descobriu que alguém falava com seu filho à noite pela babá eletrônica hackeada. O [Globo noticiou](https://oglobo.globo.com/economia/estranho-hackeia-baba-eletronica-noite-grita-acorda-nenem-12329990) um caso onde um estranho gritava "Acorda, neném!" pela babá eletrônica. E a [Record registrou](https://record.r7.com/balanco-geral/invasao-de-hackers-em-babas-eletronicas-gera-preocupacao-nos-pais-12052023/) que a Polícia Federal investiga 141 casos de tentativas de invasão a babás eletrônicas e câmeras de segurança no Brasil. Essas babás eletrônicas chinesas baratas usam a porta 554 e não recebem mais atualizações de firmware. Todos aqueles gadgets que você compra no AliExpress em promoção, em desconto, muito provável estão no Shodan. A empresa produz, não vai ficar atualizando porque é um custo, e vai produzir novos para vender novos. ## Como usar geolocalização para encontrar dispositivos na sua região O Shodan permite filtrar dispositivos por coordenadas geográficas usando o filtro `geo:`. No aulão, eu demonstrei como capturar latitude e longitude diretamente do Google Maps e usar no Shodan. O passo a passo é direto: 1. Abra o [Google Maps](https://maps.google.com) e vá até a região que você quer investigar 2. Copie a latitude e longitude da URL do browser (aparecem como números separados por vírgula, tipo `-23.5615,-46.6559`) 4. Combine com outros filtros: `geo:-23.5615,-46.6559 port:554 has_screenshot:true` No aulão, filtrei dispositivos na região da Avenida Paulista em São Paulo e os resultados mostraram equipamentos naquela área específica. Também tentamos uma busca em Porto Alegre a pedido de um espectador, mas a localização estava específica demais (rua exata) e não retornou resultados — é preciso usar uma área mais ampla na geolocalização. Mas cuidado: a geolocalização do Shodan é aproximada, baseada em dados de registro do IP. Não espere precisão de GPS. Para investigações que exigem localização precisa, eu combino o Shodan com outras ferramentas — como fiz no caso que vou contar agora. ## Shodan para investigação digital e OSINT: casos reais O Shodan não serve só para encontrar câmeras desprotegidas. Ele é uma ferramenta de OSINT poderosa que eu uso em investigações reais. Se você está [começando como investigador digital](https://brunofraga.com/aulao-semanal/como-iniciar-carreira-investigador-digital), precisa conhecer essa ferramenta. ### Caso real: rastreando um golpista de Instagram com H-Spy + Shodan Esse caso eu contei no aulão porque ilustra bem o poder da combinação de ferramentas. Um golpista de Instagram foi rastreado usando o H-Spy (minha ferramenta de rastreamento e geolocalização) combinado com o Shodan. A geolocalização capturada pelo H-Spy foi inserida no Shodan usando o filtro `geo:`. E tinha câmeras naquela região. Uma delas era de uma oficina de moto que mostrava um painel de propaganda com telefone de contato. Através desse telefone, conseguimos rastrear e identificar o golpista. Isso mostra como ferramentas OSINT se complementam. A geolocalização do GPS deu a coordenada exata do momento em que o golpista estava naquele local. O Shodan encontrou câmeras na região. E a câmera forneceu a evidência visual com um dado de contato rastreável. Se você quer se aprofundar em [técnicas para investigar pessoas usando a internet](https://brunofraga.com/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), esse tipo de combinação é o que separa amadores de profissionais. ### Caso real: provedores de internet com dados de clientes expostos Esse foi um dos achados mais graves do aulão. Eu sabia que a porta 8008 estava sendo usada por uma configuração específica no Brasil. Quando busquei `port:8008 os:routerOS PPPoE country:BR`, encontrei painéis MikroTik de roteadores de borda de provedores de internet. E o que tinha nesses painéis? Nomes de usuários, logins, e-mails de clientes e consumo de velocidade de internet. Tudo exposto. Sem autenticação. Qualquer pessoa com acesso ao Shodan poderia ver esses dados. Mas o pior: todas as configurações eram idênticas. Mesmo padrão de porta, mesmo layout, mesma estrutura. Isso indica que uma única empresa de consultoria — ou um único profissional — configurou todos esses provedores da mesma forma insegura. O nível de engenharia social que isso permite é assustador. Eu posso descobrir quem é o profissional que faz essa configuração e me passar por ele para entrar em contato com as empresas. É uma violação grave da [LGPD](https://www.gov.br/esporte/pt-br/acesso-a-informacao/lgpd) — dados pessoais de clientes expostos publicamente na internet. ### Caso real: bombas de combustível visíveis no Shodan Quando o Diego digitou `country:BR tanque` no Shodan, apareceram bombas de combustível com painéis de gerenciamento acessíveis pela internet. Um deles era o Posto Triângulo, na Avenida Anhanguera, em Goiânia — o banner revelava nome do posto, endereço completo e informações dos tanques. E no mapa do Shodan, filtrando por "tanque" no Brasil, apareceram 189 resultados. Pontos espalhados por Rio de Janeiro, Goiás, Cachoeiro de Itapemirim. Bombas de combustível com software de gerenciamento exposto na internet. Se um software desse tem uma falha, todos os que usam o mesmo software também têm. ## Dispositivos IoT vulneráveis: por que isso acontece em escala A maioria dos dispositivos IoT que aparecem no Shodan está lá por uma combinação de fatores. Não é um problema isolado — é sistêmico. Babás eletrônicas chinesas são vendidas baratas porque a empresa já não investe em atualização de firmware. Elas usam IPv4, não têm suporte a [IPv6](https://aws.amazon.com/pt/compare/the-difference-between-ipv4-and-ipv6/), e são "dissolvidas" no mercado — produtos que a empresa quer se livrar porque já não são mais viáveis de manter. O valor é barato, não tem mais atualização, e quem colocar sem um firewall na frente pode ficar vulnerável. Vocês podem notar nas manchetes de invasão que geralmente o que invadiu determinada empresa gigantesca foi um dispositivo de IoT que não estava atualizado. Nunca é o servidor principal. É sempre um dispositivo paralelo — uma câmera, um sensor, uma impressora de rede. E os profissionais de TI que configuram esses dispositivos nem sempre compreendem os riscos. Trabalham com LAN, entendem de rede local, mas não entendem o que significa expor um serviço na internet. Insistem que mudar a porta é suficiente. Não é. ## Alternativas ao Shodan: Censys, ZoomEye e outras opções O Shodan não é monopólio. Existem outras ferramentas que fazem trabalho similar, e vale conhecer para cruzar informações. ### Censys Search O [Censys](https://censys.com/solutions/censys-search/) é o segundo maior buscador de dispositivos após o Shodan. Possui 3,5 bilhões de registros e uma versão gratuita um pouco mais generosa em termos de resultados. A sintaxe de filtros é diferente do Shodan. Para buscar por país, por exemplo, você usa `location.country:"Brasil"` em vez de `country:BR`. No aulão, o Diego tentou fazer buscas ao vivo no Censys e teve dificuldade com a sintaxe — é menos intuitivo que o Shodan, mas funciona. ### ZoomEye O [ZoomEye](https://www.zoomeye.ai/) é uma alternativa chinesa com foco em descoberta de ativos na internet. A interface é em chinês por padrão (precisa traduzir), mas oferece funcionalidades similares ao Shodan, incluindo busca por componentes, CVEs e dispositivos IoT. | Ferramenta | Registros | Versão Gratuita | Sintaxe | |---|---|---|---| | [Shodan](https://www.shodan.io/) | 15M+ (só Brasil) | Limitada (poucas páginas) | `country:BR port:80` | | [Censys](https://censys.com/solutions/censys-search/) | 3,5 bilhões | Mais generosa | `location.country:"Brasil"` | | [ZoomEye](https://www.zoomeye.ai/) | Não divulgado | Disponível | Interface em chinês | ## OpenVAS no Kali Linux: como ter seu próprio scanner de vulnerabilidades O [OpenVAS](https://www.greenbone.net/en/blog/openvas-the-new-name-for-proven-greenbone-security/) (agora operando sob a marca OPENVAS da Greenbone) é uma ferramenta de scan de vulnerabilidades que você instala no [Kali Linux](https://www.kali.org/). Para vocês entenderem, é como se fosse o Shodan rodando dentro do Kali Linux — só que em vez de consultar uma base de dados já pronta, você define os IPs e redes que quer escanear. A ferramenta nasceu como um fork do Nessus em 2005, quando o Nessus mudou para licença closed-source. Desde 2008, é a Greenbone Networks que desenvolve e mantém o OpenVAS. Eu e o Diego costumávamos chamá-lo de "antigo Nexus" — o nome mudou, mas a função é a mesma. ### Como funciona na prática Depois de instalar o OpenVAS no Kali Linux, ele cria uma interface web. Você acessa pelo browser digitando o IP e a porta, faz login, e cai em um dashboard onde pode criar tarefas de scan. No aulão, eu fiz login no meu OpenVAS real (tomando cuidado para não expor IPs de clientes) e mostrei: 1. **Dashboard com gráficos em pizza** mostrando a gravidade das vulnerabilidades encontradas na rede 2. **Classificação de risco de 1 a 10** — onde 10 significa que é possível invadir a máquina com um simples exploit 4. **CVEs associadas** a cada vulnerabilidade, com links para os relatórios técnicos 5. **Grafos de ataque** mostrando como escalar de um dispositivo comprometido para outro na mesma rede O risco 10 é praticamente eu conseguir entrar nessa máquina com um simples exploit. No scan que mostrei, havia 3 IPs com falhas graves — e o gráfico de ataque mostrava os caminhos possíveis de escalação entre dispositivos. ### Limitação importante Se você usar o OpenVAS para escanear IPs na internet (não na sua rede local), seu IP será banido rapidamente por firewalls. O Shodan tem mecanismos especiais para não ser banido — scan manual direto não tem essa proteção. Para sua rede local, é uma ferramenta excelente. Para a internet, use o Shodan. Se você já usa o [Android como laboratório de investigação digital](https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital-para-celular-android), o OpenVAS no Kali é o próximo passo para levar suas análises a outro nível. E se você combinar isso com [ChatGPT para investigação digital](https://brunofraga.com/aulao-semanal/chatgpt-para-investigacao-digital), consegue automatizar a análise das CVEs encontradas. ## Como proteger seus dispositivos para não aparecer no Shodan Eu não tive tempo de cobrir proteção em profundidade no aulão (foram quase 2 horas e ainda assim faltou tempo), mas aqui vão os pontos que considero fundamentais: 1. **Atualize o firmware de todos os seus dispositivos IoT** — câmeras, roteadores, babás eletrônicas, qualquer coisa conectada. Se o fabricante não oferece mais atualizações, considere trocar o dispositivo 2. **Não exponha serviços desnecessariamente na internet** — se você não precisa acessar sua câmera remotamente, não abra a porta no roteador 3. **Use firewall** — coloque um firewall entre seus dispositivos IoT e a internet. Sem firewall, qualquer dispositivo com IP público está exposto 4. **Nunca use sites de teste de porta online** — use [Nmap](https://nmap.org/) localmente. Sites de teste vendem seus dados 5. **Troque senhas padrão** — a maioria dos dispositivos vêm com senhas de fábrica que nunca são alteradas 6. **Use o próprio Shodan para verificar sua exposição** — a conta gratuita permite monitorar 1 IP. Use para verificar se seus dispositivos estão aparecendo Mas o básico é o mais importante: atualizar firmware e não expor serviços desnecessariamente. Se todo mundo fizesse só isso, o Shodan teria bem menos dispositivos para indexar. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Shodan | Buscador de dispositivos conectados à internet (IoT, câmeras, roteadores, servidores) com filtros por país, porta, OS, produto e geolocalização | [Shodan](https://www.shodan.io/) | | Shodan Images | Visualização de screenshots capturados de dispositivos (câmeras, desktops remotos, webcams) | [Shodan Products](https://www.shodan.io/about/products) | | Censys Search | Alternativa ao Shodan com 3,5 bilhões de registros e versão gratuita mais generosa | [Censys](https://censys.com/solutions/censys-search/) | | ZoomEye | Alternativa chinesa para busca e descoberta de ativos na internet | [ZoomEye](https://www.zoomeye.ai/) | | OpenVAS (Greenbone) | Scanner de vulnerabilidades instalável no Kali Linux — funciona como um Shodan local para redes específicas | [Greenbone OpenVAS](https://www.greenbone.net/en/blog/openvas-the-new-name-for-proven-greenbone-security/) | | Kali Linux | Distribuição Linux para segurança ofensiva, plataforma para instalar o OpenVAS | [Kali Linux](https://www.kali.org/) | | Nmap | Escaneamento de portas local — alternativa segura aos sites de teste de porta online | [Nmap](https://nmap.org/) | | Google Maps | Captura de latitude e longitude para usar no filtro geo: do Shodan | [Google Maps](https://maps.google.com) | | Shodan Dorks (GitHub) | Repositório com centenas de dorks organizadas por categoria | [GitHub - Shodan Dorks](https://github.com/nullfuzz-pentest/shodan-dorks) | ## Perguntas Frequentes ### O que é o Shodan e para que serve? O Shodan é um mecanismo de busca que indexa dispositivos conectados diretamente à internet — câmeras, roteadores, servidores, dispositivos IoT e qualquer equipamento com IP público. Ele serve para identificar dispositivos vulneráveis, fazer investigação digital, análise de segurança e mapeamento de infraestrutura exposta. Diferente do Google que busca páginas web, o Shodan busca IPs e os metadados (banners) dos serviços que rodam neles. ### Quanto custa o Shodan? O Shodan tem uma versão gratuita com funcionalidades limitadas (poucas páginas de resultados e sem acesso a imagens). O plano Membership custa $49 em pagamento único vitalício. Os planos por assinatura começam em $69/mês (Freelancer) e vão até $1.099/mês (Corporate). Para quem está começando a estudar, a versão gratuita é suficiente. ### É legal usar o Shodan? Usar o Shodan para buscar e visualizar informações de dispositivos é legal — ele indexa dados publicamente acessíveis. O que é ilegal é acessar, invadir ou manipular dispositivos sem autorização. O Shodan é uma ferramenta de pesquisa. O que você faz com a informação é sua responsabilidade. ### Como o Shodan encontra dispositivos na internet? O Shodan varre a internet semanalmente, conectando-se a IPs em diversas portas e coletando os banners de resposta — metadados sobre o software rodando no dispositivo. Além disso, recebe dados de sites de teste de porta online que revendem suas bases de IP+porta. É por isso que eu recomendo nunca usar sites de teste de porta e preferir ferramentas locais como o Nmap. ### Quais são as principais dorks do Shodan? As dorks mais usadas incluem `country:` (filtrar por país), `port:` (filtrar por porta), `os:` (sistema operacional), `product:` (produto/software), `city:` (cidade), `geo:` (latitude,longitude), `has_screenshot:true` (resultados com screenshot) e `title:` (título da página). Você combina esses filtros para refinar a busca — por exemplo, `os:"Windows XP" country:BR port:3389`. ### Qual a diferença entre Shodan e Censys? Ambos são buscadores de dispositivos na internet, mas o Shodan tem uma base de dados maior e mais consolidada, enquanto o Censys possui 3,5 bilhões de registros e uma versão gratuita mais generosa em termos de resultados. A sintaxe de filtros é diferente: no Shodan você usa `country:BR`, no Censys é `location.country:"Brasil"`. O Shodan é mais intuitivo para iniciantes. ### O que é OpenVAS e como funciona? O OpenVAS (agora marca da Greenbone) é um scanner de vulnerabilidades open-source que você instala no Kali Linux. Funciona como um Shodan local: você define os IPs ou redes que quer escanear, ele verifica falhas de segurança e retorna um relatório com classificação de risco de 1 a 10, CVEs associadas e grafos de ataque. É ideal para auditar sua rede interna, não para escanear a internet (seu IP seria banido rapidamente). ### Mudar a porta protege meu dispositivo de aparecer no Shodan? Não. O Shodan escaneia todas as portas, não apenas as padrões. E se você testou sua porta em um site online de teste, essa informação já foi vendida para o Shodan. No aulão, eu mostrei bombas de combustível com porta alterada de 80 para 4433 completamente visíveis, e painéis MikroTik na porta 8008 com dados de clientes expostos. Segurança por obscuridade não funciona. > **Veja também:** [Como Encontrar Subdomínios Escondidos: Do DNSDumpster ao Brute Force — Aulão #28](/aulao-semanal/como-encontrar-subdominios-escondidos-ferramentas-tecnicas) > **Veja também:** [Primeiro Aulão Presencial no Brasil: Bug Bounty, Flipper Zero e os Bastidores da Equipe — Aulão #30](/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil) > **Veja também:** [8 Técnicas para Investigar Sites que Ninguém Te Ensina — Aulão #036](/aulao-semanal/tecnicas-avancadas-para-investigar-sites-osint) > **Veja também:** [4 Ferramentas de Investigação Digital que Ninguém No Brasil Usa — Aulão #054](/aulao-semanal/ferramentas-investigacao-digital-geospy-pimeyes-osint-surveillance) ## Referências e Recursos - [Shodan Search Engine — Página oficial](https://www.shodan.io/) - [Shodan — Planos e Preços](https://account.shodan.io/billing) - [What is Shodan? — Documentação oficial](https://help.shodan.io/the-basics/what-is-shodan) - [Censys Search — Internet Visibility & Cybersecurity](https://censys.com/solutions/censys-search/) - [ZoomEye — Search Engine for Internet Asset Discovery](https://www.zoomeye.ai/) - [Greenbone OpenVAS — Nova marca para segurança comprovada](https://www.greenbone.net/en/blog/openvas-the-new-name-for-proven-greenbone-security/) - [Kali Linux — Distribuição para segurança ofensiva](https://www.kali.org/) - [Nmap — Network Scanner](https://nmap.org/) - [Shodan Dorks — Repositório GitHub nullfuzz-pentest](https://github.com/nullfuzz-pentest/shodan-dorks) - [Shodan Dorks — Repositório GitHub mr-exo](https://github.com/mr-exo/shodan-dorks) - [O que é CVE — Fortinet](https://www.fortinet.com/resources/cyberglossary/cve) - [O que é um Exploit — Bitdefender](https://www.bitdefender.com.br/consumer/support/answer/27646/) - [Porta 554 — RTSP (Real-Time Streaming Protocol)](https://www.pentestpad.com/port-exploit/port-554-rtsp-real-time-streaming-protocol) - [Porta 3389 — RDP Vulnerabilities](https://scanitex.com/en/resources/ports/tcp/3389) - [MikroTik RouterOS — Vulnerabilidades conhecidas (CVE-2023-30799)](https://vulncheck.com/blog/mikrotik-foisted-revisited) - [Babá eletrônica hackeada — CNN Brasil](https://www.cnnbrasil.com.br/entretenimento/americana-afirma-que-teve-baba-eletronica-hackeada-falavam-com-meu-filho/) - [Estranho hackeia babá eletrônica — O Globo](https://oglobo.globo.com/economia/estranho-hackeia-baba-eletronica-noite-grita-acorda-nenem-12329990) - [Invasão de hackers em babás eletrônicas — Record](https://record.r7.com/balanco-geral/invasao-de-hackers-em-babas-eletronicas-gera-preocupacao-nos-pais-12052023/) - [LGPD — Lei Geral de Proteção de Dados Pessoais](https://www.gov.br/esporte/pt-br/acesso-a-informacao/lgpd) - [IPv4 vs IPv6 — AWS](https://aws.amazon.com/pt/compare/the-difference-between-ipv4-and-ipv6/) --- ### Aulão #019 — A Nova Era dos Crimes Digitais: Como se Proteger e Investigar Golpes na Internet URL: https://brunofraga.com/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar Publicado: 2024-08-26 Tags: ciberseguranca, investigacao-digital, osint, privacidade, tutoriais YouTube: https://www.youtube.com/watch?v=9ySMIvKWauo Neste aulão ao vivo, Bruno Fraga mergulha no universo dos crimes digitais e golpes na internet com demonstrações práticas de técnicas como SIM swap, spoofing de e-mail e engenharia social. Aprenda a identificar, investigar e se proteger das fraudes que explodiram no pós-pandemia. ## O que você vai aprender neste aulão Crimes digitais e golpes na internet mudaram completamente depois da pandemia — e a maioria das pessoas (incluindo profissionais de segurança) não acompanhou essa evolução. Neste aulão 19, eu trouxe o Delegado Emanuel ao vivo para destrinchar os golpes que mais chegam nas delegacias no pós-pandemia, mostrar como os criminosos operam por dentro e, principalmente, como você pode usar técnicas de OSINT e investigação digital para se proteger, investigar e até ganhar dinheiro ajudando advogados e delegados. Eu demonstrei ao vivo como funciona um spoofing de e-mail (sim, enviei um e-mail falso de uma "delegacia" para minha própria caixa de entrada). Mostrei como verificar se um e-mail é autêntico usando SPF, DKIM e DMARC. E o Delegado Emanuel trouxe casos reais de vítimas que perderam R$1.700.000 no golpe do nudes, uma senhora que transferiu R$250 mil para um "astronauta", e sequestros originados no Tinder em São Paulo. Depois de ler este artigo, você vai saber identificar os golpes mais comuns que circulam no Brasil em 2026, entender como investigar cada um deles com ferramentas acessíveis, e descobrir como transformar esse conhecimento em atuação profissional — seja auxiliando a polícia, empresas ou escritórios de advocacia. Se você já acompanha os [fundamentos de OSINT que eu ensino desde o aulão 01](https://brunofraga.com/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos), vai perceber como tudo se conecta aqui. ## O que mudou nos crimes digitais após a pandemia: os 5 fatores que fizeram os golpes explodirem Os crimes digitais no Brasil mais que quadruplicaram em cinco anos. Segundo o [Anuário Brasileiro de Segurança Pública](https://g1.globo.com/sp/sao-paulo/noticia/2023/07/20/estelionatos-no-brasil-mais-que-triplicam-em-cinco-anos-e-golpes-virtuais-disparam-apos-pandemia-revela-anuario.ghtml), em 2022 foram registrados mais de 1 milhão e 800 mil casos de estelionatos — 151,6 mil por mês, ou 208 golpes por hora. E esses são só os registrados. Existe uma cifra negra enorme de vítimas que nunca fizeram boletim de ocorrência. O Delegado Emanuel foi categórico nesse aulão: 2019 foi um marco. Mudou o modo de investigar e mudou o modo de abordagem dos criminosos. E eu concordo — acompanho isso de perto nos casos que atendo. ### Os 5 fatores que explodiram os golpes digitais pós-pandemia 1. **Falta de educação digital** — As pessoas não sabem como funcionam os aplicativos que usam. Não sabem o que é dupla autenticação. Não sabem verificar se um e-mail é legítimo. E foram forçadas a usar tudo isso de uma hora para outra. 2. **Confiança cega nos aplicativos** — Se a pessoa está usando um app de conversa, ela acredita que aquele app é totalmente seguro. Imagina que alguém vai se passar pela filha dela e pedir dinheiro? Pois é. Acontece todo dia. 3. **Inclusão digital forçada** — A pandemia empurrou milhões de pessoas para o digital sem preparo nenhum. Idosos, pessoas sem letramento tecnológico, todos precisaram usar Pix, apps bancários, plataformas de compra. 4. **Engenharia social em escala** — As maiores falhas não estão nos dispositivos. Os dispositivos são até seguros. As maiores falhas estão nos usuários. Eu repito isso em toda aula porque é a realidade. Todo dia milhares de contas do Instagram são hackeadas — não por força bruta, mas por engenharia social. 5. **Legislação inadequada** — A pena para um golpe do bilhete premiado (1 a 5 anos) era a mesma de um ataque de ransomware contra um banco. Um absurdo. Houve mudanças legislativas depois, mas as penas continuam baixas. A [Lei Carolina Dieckmann](https://www.projuris.com.br/blog/lei-carolina-dieckman-tudo-o-que-voce-precisa-saber-sobre/) e o [Marco Civil da Internet](https://www.camara.leg.br/noticias/398277-marco-civil-da-internet-complementara-leis-de-crimes-virtuais-dizem-especialistas/) foram avanços, mas ainda não cobrem toda a complexidade dos crimes digitais atuais. Dados do [Senado Federal](https://www12.senado.leg.br/noticias/infomaterias/2025/04/golpes-virtuais-aumentam-e-nao-fazem-distincao-de-idade) mostram aumento de 13,6% nos estelionatos digitais entre 2022 e 2023, enquanto roubos físicos a bancos caíram quase 30%. A migração é clara: o crime saiu da rua e entrou no celular. ## Como funcionavam os golpes antes da internet: de Victor Lustig a Frank Abagnale Engenharia social não nasceu com a internet. O modus operandi é o mesmo desde 1910 — só o meio mudou. E entender isso é o que separa um investigador competente de alguém que só reage a golpes. ### Victor Lustig: o homem que vendeu a Torre Eiffel [Victor Lustig](https://en.wikipedia.org/wiki/Victor_Lustig) era um europeu que em 1910 falsificou crachás do governo francês. Paris estava com falta de ferro, e ele chamou os maiores sucateiros da cidade para uma reunião oficial. Vendeu a Torre Eiffel para esses empresários. Usou engenharia social pura, falsificação de documentos, e conseguiu um dinheiro alto com isso. Depois fugiu para os Estados Unidos, onde [virou contador de mafiosos](https://allthatsinteresting.com/victor-lustig). Quando eu conto essa história nas aulas, o pessoal fala: "ninguém cairia nisso hoje." Mas cairia sim. Pessoas tentaram comprar o Cristo Redentor. Tentaram comprar terrenos públicos. O modus operandi é o mesmo. ### Frank Abagnale Jr.: o golpista sem tecnologia [Frank Abagnale Jr.](https://en.wikipedia.org/wiki/Frank_Abagnale) — aquele do filme [Catch Me If You Can](https://en.wikipedia.org/wiki/Catch_Me_If_You_Can_(book)) com Leonardo DiCaprio — se passou por piloto de avião, médico, advogado e professor de sociologia em uma faculdade. Tudo usando engenharia social. Sem computador, sem internet, sem nada. Falsificava traveler's checks de companhia aérea e [ludibriou centenas de pessoas](https://allthatsinteresting.com/frank-abagnale). A lição aqui é direta: não é necessário tecnologia sofisticada para aplicar golpes. Persuasão e confiança são as principais armas. E isso não mudou em 2026. ### O que mudou de verdade Antes da pandemia, os crimes lucrativos eram sequestros físicos. O celular valia pelo hardware. Há 10 anos, os iPhones estavam sendo criados e o aparelho em si tinha valor. Hoje? O hardware não vale nada. O que vale é a informação dentro — Pix, dados bancários, acessos. O maior ativo financeiro do mundo hoje é informação. E os criminosos sabem disso. Eles usam o [Google Trends](https://trends.google.com) para identificar temas quentes e criar [phishing](https://www.fortinet.com/br/resources/cyberglossary/phishing) contextualizado. Quando aconteceu o ataque em Joinville, criminosos usaram o tema para aplicar phishing no WhatsApp. Quando chega uma mensagem de SMS oferecendo emprego de 4-5 horas por dia ganhando R$10 mil — isso é [smishing](https://www.fortinet.com/resources/cyberglossary/smishing), SMS phishing para captar dados. ## Golpe de compra e venda na internet: como identificar e-mails falsos com SPF, DKIM e DMARC O golpe de compra e venda é um dos que mais chegam nas delegacias no pós-pandemia. O criminoso encontra você vendendo um produto na OLX ou Mercado Livre, obtém seu e-mail (usando técnicas de [Google Hacking com DORKs](https://brunofraga.com/aulao-semanal/google-hacking-buscas-perigosas-dorks)), e envia um e-mail falso da plataforma dizendo que o pagamento foi feito. Você entrega o produto para um motoboy ou Uber. Perdeu. Eu quase fui vítima desse golpe. Ano passado, quando estava no Brasil, publiquei produtos para vender e alguém me contactou querendo pagar pelo Mercado Pago fora da plataforma. E olha — eu trabalho com investigação, sou desconfiado por natureza, tenho ferramentas. Mas na hora que você quer vender, não pensa em filtrar golpe. Conecta com a urgência de vender, o cara contactou, pronto. A engenharia social funciona assim. ### Como funciona o spoofing de e-mail na prática Nesse aulão eu demonstrei ao vivo usando o MK Mailer como é possível enviar um e-mail com remetente falso. Criei um e-mail de "delegacia do Brasil" com domínio @policiabr.com e enviei para minha própria caixa de entrada. Chegou na caixa principal, não no spam. Poderia ter colocado @mercadolivre.com.br, @fbi.gov, qualquer coisa. A ferramenta simula o spoofing para demonstrar a vulnerabilidade. E o e-mail chega com o remetente que você escolher. Mas calma. Existe como verificar. ### Como verificar se um e-mail é autêntico Quando você abre a mensagem original de um e-mail (no Gmail: três pontos > "Mostrar original"), você consegue verificar três protocolos de autenticação que funcionam como uma assinatura digital do servidor: | Protocolo | O que verifica | O que significa quando falha | |---|---|---| | **SPF** (Sender Policy Framework) | Se o servidor que enviou tem permissão para enviar em nome daquele domínio | O servidor remetente não é autorizado — possível spoofing | | **DKIM** (DomainKeys Identified Mail) | Se o e-mail tem assinatura digital criptografada válida | A mensagem pode ter sido alterada ou forjada | | **DMARC** (Domain-based Message Authentication) | Se SPF e DKIM estão alinhados com a política do domínio | O domínio não autenticou aquela mensagem | No e-mail spoofado que eu enviei ao vivo, nenhuma dessas autenticações existia. Zero. Já no meu e-mail legítimo do brunofraga.com, o SPF aparecia como aprovado e o DKIM mostrava que o domínio brunofraga.com autorizou aquele envio. A diferença é gritante quando você sabe onde olhar. Se você participou do [aulão 17 sobre investigação de e-mails](https://brunofraga.com/aulao-semanal/google-hacking-buscas-perigosas-dorks), já conhece esse processo. Para quem está chegando agora: aprenda a ler cabeçalhos de e-mail. Isso sozinho já te protege de 80% dos golpes por e-mail. A [Cloudflare tem um guia técnico excelente](https://www.cloudflare.com/learning/email-security/dmarc-dkim-spf/) sobre como esses protocolos funcionam juntos. ### O que fazer se você já foi vítima O Delegado Emanuel trouxe um ponto que eu acho que todo investigador precisa saber: a própria plataforma tem dados do acesso do criminoso. Endereços de IP, logs de login, dados de conta. Você, como profissional, pode sugerir ao delegado que solicite ao Mercado Livre todos os acessos de IP daquele login. A maioria dos delegados não sabe que pode pedir isso. E tem gente que chega na delegacia querendo processar a plataforma, sendo que toda negociação foi feita por fora. O criminoso começou a conversar pelo WhatsApp. Mandou um e-mail que não era da plataforma. A vítima entregou o bem e agora quer culpar o Mercado Livre. Entender esse fluxo é parte do trabalho de inteligência que você pode entregar. ## Estelionato amoroso e golpe do nudes: como criminosos mapeiam suas vítimas Estelionato amoroso é um guarda-chuva que abriga golpes com valores absurdos. E a sofisticação da engenharia social envolvida surpreende até profissionais experientes. ### Golpe do nudes: R$1.700.000 em uma única vítima O modus operandi é assim: um perfil de uma pessoa atraente aborda um homem mais velho no Facebook. Migram para WhatsApp. Trocam fotos íntimas. Em determinado momento, o criminoso diz que a pessoa é menor de idade — "eu sou o pai dela, você é um pedófilo." Começa a extorsão. Na delegacia do Delegado Emanuel, uma vítima transferiu R$1.700.000 para os criminosos. Um milhão e setecentos mil reais. E antes de extorquir, o criminoso faz um mapeamento completo: esposa, filhos, onde trabalha, se tem filhos menores. Monta um arsenal para pressionar. Eu já atendi casos assim. Não com valores tão expressivos, mas o padrão é sempre o mesmo. E a investigação começa por onde? ### Como investigar perfis fakes envolvidos em golpes Cinco passos que eu uso e que funcionam: 1. **Verificar engajamento real** — Perfil com 1 milhão de seguidores mas sem curtidas e comentários proporcionais? Red flag imediata. 2. **Buscar nome de usuário em outras plataformas** — Se você achar um perfil no Tinder que não tem nenhum rastro na internet, nenhuma conta em outro lugar com aquele nome ou usuário, é red flag. Eu tenho um [vídeo no canal sobre investigação por nome de usuário](https://brunofraga.com/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) que detalha isso. 3. **Busca reversa por imagem** — Pegar a foto do perfil e colocar no Google para ver outros perfis que usam a mesma foto. Funciona em 2026 e vai continuar funcionando. 4. **Verificar o WhatsApp** — A ferramenta Dono do Zap (que eu criei e está temporariamente desativada enquanto discutimos questões sobre fontes abertas) consumia dados públicos — Google, Bing, API do WhatsApp — para mostrar o nome vinculado a um telefone. Se a "Giovanna" que te ameaça tem o WhatsApp no nome do "Jorge", algo não faz sentido. 5. **Monitorar atividade do perfil fake** — Eu tive um caso com o Diego Andretta onde estávamos investigando uma conta fake que sempre tinha 6 seguidores. Às 2h da manhã no Brasil (eu estava na Coreia), atualizei o Instagram e vi que tinha passado para 7. O perfil tinha seguido uma casa noturna — provavelmente para fazer check-in. Em 15 minutos, desfez o follow. Mas eu já tinha tirado o print. A partir daquela balada, daquela cidade, começamos a mapear a localização do criminoso. Criminosos cometem erros usando perfis fakes. Um like, um follow, uma curtida em uma lanchonete que frequentam. E monitoramento constante captura esses deslizes. ### A senhora que transferiu R$250 mil para um "astronauta" Esse caso eu preciso contar com detalhes porque ilustra o poder da engenharia social. Uma senhora idosa no interior de São Paulo estava conversando com alguém que dizia ser astronauta. Ele falou que precisava do dinheiro para voltar da estação espacial para a Terra. Ela transferiu mais de R$250 mil. Parece absurdo? Parece. Mas tem gente que acredita que fala com Brad Pitt, com Johnny Depp. Não subestime a capacidade de manipulação dos criminosos quando a vítima é vulnerável. ### Sequestros via Tinder em São Paulo Em São Paulo está acontecendo uma modalidade que começa como estelionato e vira sequestro. A pessoa cria perfil no Tinder, marca encontro, e quando a vítima aparece, é levada para cárcere privado. Fazem transferências via Pix até drenar as contas. Acontece com homens e mulheres. Investigar o perfil antes do encontro presencial não é paranoia. É sobrevivência digital em 2026. ## SIM Swap: como criminosos clonam seu chip e invadem todas as suas contas [SIM swap](https://www.proofpoint.com/us/threat-reference/sim-swapping) é quando o criminoso convence a operadora a transferir seu número de telefone para um chip que ele controla. Com isso, recebe seus SMS, seus códigos de verificação, e acessa todas as contas vinculadas ao seu número. O Delegado Emanuel confirmou: algumas operadoras permitem fazer a portabilidade do chip para outro aparelho por telefone. O criminoso tem dados da vítima (obtidos por fontes abertas), confirma para a operadora, e às 23:50 da noite fazem o SIM swap. Tiveram casos com pessoas de 500 mil seguidores. ### Minha experiência pessoal com a falha das operadoras Eu vou contar uma coisa que aconteceu comigo no Brasil. Fui na loja da Claro trocar meu chip. Não levei RG. Estava com minha filha bebê no colo, chorando. A vendedora não pediu documento. Dei meus dados verbalmente e ela fez a troca. Isso não foi engenharia social intencional da minha parte — era uma situação real. Mas demonstra a vulnerabilidade do processo. Se eu consegui trocar um chip sem RG porque tinha um bebê chorando, imagine o que um criminoso treinado em [vishing](https://www.proofpoint.com/us/threat-reference/vishing) (phishing por voz) consegue. Eles colocam áudios de criança, usam mulheres com boa oratória, criam urgência. E funcionam. ### Como se proteger de SIM swap - Use aplicativo de autenticação ([Google Authenticator](https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2) ou [Microsoft Authenticator](https://www.microsoft.com/pt-br/security/mobile-authenticator-app)) em vez de SMS para dois fatores - Não vincule recuperação de senha a e-mail com senha fraca — quando fazem SIM swap, já sabem sua senha porque você usa a mesma em tudo - Use gerenciador de senhas como [LastPass](https://www.lastpass.com) para ter senhas diferentes em cada serviço - Se possível, use chave de segurança física — meus dois fatores dependem de um pendrive com biometria que eu mostrei ao vivo no aulão. Sem meu dedo plugado naquele dispositivo, ninguém acessa Ter Google Authenticator ou Microsoft Authenticator é o mínimo hoje em dia. Eu não recomendo SMS para dois fatores em nenhuma circunstância, porque é exatamente o que o SIM swap explora. ### Clonagem de WhatsApp: o golpe do código de 6 dígitos O criminoso encontra seu telefone em um anúncio (OLX, Mercado Livre), tenta instalar o WhatsApp no próprio aparelho com seu número, e liga para você se passando pela plataforma: "por questões de segurança, você vai receber um código de 6 dígitos. Precisamos confirmar que você é você mesmo." A vítima envia o código. O criminoso acessa todas as conversas (geralmente em nuvem) e todos os contatos. Começa a aplicar engenharia social nos seus contatos pedindo dinheiro. Dois fatores já ajudam porque o criminoso precisaria pedir também o PIN de verificação em duas etapas. Mas as vítimas passam isso também. É manipulação. ## Golpe da mão fantasma: como funciona o acesso remoto usado por criminosos O golpe da mão fantasma funciona assim: o criminoso liga dizendo que você tem gastos exorbitantes no cartão. Convence você a instalar uma "atualização de segurança" que é na verdade um Trojan de acesso remoto. Com isso, veem sua tela, suas senhas, seus apps bancários. Fazem transferências enquanto você assiste. Mas aqui vai um detalhe técnico que eu acho fascinante: esse tipo de golpe com conexão remota é o mais fácil de investigar. O software de conexão remota cria um túnel bidirecional. No momento da conexão, ele entrega em tempo real o IP de onde está vindo. Você consegue até fazer uma conexão reversa — hackear a webcam do criminoso enquanto ele está te "hackeando." O canal [Scammer Payback](https://www.youtube.com/@ScammerPayback) no YouTube faz exatamente isso. O cara se passa por vítima, e enquanto o golpista acha que está no controle, ele vai em outro computador, faz a conexão reversa, hackeia a câmera do criminoso e mostra a foto dele ao vivo. O golpista desliga a chamada correndo. Esse canal inclusive [ajudou a derrubar um esquema golpista de R$350 milhões](https://www.otempo.com.br/mundo/2025/12/18/youtubers-ajudam-a-derrubar-esquema-golpista-de-r-350-milhoes) em parceria com a polícia da Califórnia. Eu quero criar conteúdo assim no Brasil. Só preciso que alguém me aplique esse golpe primeiro. Existe uma variante onde mandam um motoboy buscar o cartão físico na residência da vítima. A pessoa entrega o cartão com código de segurança e o criminoso faz compras online ou usa maquininhas para compras físicas. ## Golpes com deepfake e inteligência artificial: a nova fronteira dos crimes digitais Deepfake não é futuro. Já está acontecendo. E as pessoas não estão preparadas para investigar isso. Um colega meu foi vítima de deepfake — fizeram um vídeo dele vendendo um empréstimo falso. Era um influenciador com bastante credibilidade, e o vídeo era convincente o suficiente para que pessoas comprassem um produto que não existia, de um link fraudulento. E eu tive minha própria experiência. Apareceu no YouTube um vídeo do Elon Musk falando sobre computação quântica. "Aqui é o Elon Musk, eu tenho uma oportunidade de retorno 10 vezes para você usando a computação quântica, este é o link." O deepfake ficou perfeito. Eu fiquei olhando e demorei para entender que não era o Elon Musk real. Eu, que trabalho com isso. Imagine as pessoas que veem uma oportunidade do Elon Musk falando diretamente para elas. Deepfake, clonagem de voz e IA — os três juntos — são ameaças para as quais a população não está preparada. E por isso precisamos de profissionais capacitados em investigação digital. Se você quer entender como a IA já está sendo usada em investigação (para o bem), eu recomendo assistir o [aulão sobre ChatGPT para investigação digital](https://brunofraga.com/aulao-semanal/chatgpt-para-investigacao-digital). ## Jogos de aposta online (Tigrinho): como funciona o golpe por trás dos aplicativos O [Jogo do Tigrinho](https://www.bbc.com/portuguese/articles/c78deer89gjo) (Fortune Tiger) virou febre no Brasil e está no centro de dezenas de investigações. Mas preciso ser direto aqui: não é um cassino. É um golpe com template PHP. Tem fóruns hoje que você paga R$300 e recebe o template PHP para replicar o joguinho. Você sobe em um domínio, configura o Pix, e pronto. O dinheiro vai direto para a conta do golpista. Quem ganha dinheiro é quem hospeda o site e o influencer que divulga. Quando eu estava investigando, percebi que influencers divulgam o jogo do Tigrinho todo dia, mas sempre de um domínio diferente. Tigrinho 10X, Tigrinho Cassino, Tigre ponto BR, Tigre ponto com. Porque cada domínio fica 24 horas no ar e cai. É um novo golpe a cada dia, com um novo endereço. As vítimas fazem boletim de ocorrência, e a investigação envolve chegar nos provedores (frequentemente fora do Brasil, em jurisdições blindadas como Bahamas) e nos influencers. É aí que entra o OSINT: rastreamento de rede social de influencer para descobrir localização usando [Google Hacking](https://brunofraga.com/aulao-semanal/google-hacking-buscas-perigosas-dorks) e técnicas de investigação digital. Mas nem tudo é simples. Provedores em offshores dificultam cooperação policial internacional. E os estelionatários brasileiros, como o Delegado Emanuel apontou, não usam técnicas sofisticadas de lavagem — é "meu Pix, vai para cá, vem para lá." O que torna mais rápido o rastreamento financeiro quando a investigação tem apoio técnico adequado. ## Como usar OSINT e Google Hacking para investigar golpes e auxiliar a polícia O [ciclo de inteligência](https://www.cia.gov/spy-kids/static/59d238b4b5f69e0497325e49f0769acf/Briefing-intelligence-cycle.pdf) é o mesmo que a CIA usa: definir a direção, definir a base de dados, processar os dados, gerar inteligência e gerar conclusões. Eu estava lendo ontem o documento público da CIA sobre a Intelligence Cycle. Está lá, código aberto, explicando como funciona. E é exatamente o que fazemos com OSINT. O Delegado Emanuel confirmou algo que eu sempre digo: a gente entra na escola da polícia, tem noções básicas de fontes abertas e entende os sistemas fechados. Mas o curso de Google Hacking com DORKs não existe na academia policial. Dezenas de policiais que assistem meus aulões fazem cursos externos para se aprimorar. E aqui está o ponto que muda tudo: você, como profissional privado, tem acesso às mesmas ferramentas que a CIA e a polícia usam. A internet democratizou o acesso a fontes de dados. Open source é a mesma open source que os investigadores da polícia usam e que eu ensino nos [treinamentos de investigação digital](https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital). ### Caso real: relatório de inteligência que acelerou investigação policial Eu tive um caso onde entreguei um relatório final que mapeava tudo: zona frequentada pela pessoa investigada, IP, dados completos, padrões de comportamento. Esse relatório fez com que o caso fosse direto para a delegacia especializada de crimes cibernéticos em São Paulo. Sem esse trabalho de inteligência, provavelmente teria ficado em uma delegacia comum sem recursos para investigar. O Delegado Emanuel confirmou: isso faz com que acelere a investigação e que a equipe tenha um norte para seguir. Nem toda delegacia é especializada, e casos simples podem não receber atenção adequada sem apoio de inteligência. ### Engenharia social reversa: investigando o criminoso Uma técnica que eu uso bastante é a engenharia social reversa. No golpe de compra e venda, por exemplo, o criminoso também está vulnerável. Ele quer ver comprovante de pagamento. Então eu crio um link — pode ser um Google Drive, pode ser usando ferramentas como o H-SPY para capturar câmera, IP, localização, hardware. Mando: "Tá aqui a foto do comprovante do Pix." O criminoso clica para confirmar a informação. E eu capturo os dados dele. Funciona? Sim, mas com ressalvas. Dados telemáticos como geolocalização e IP, como regra, dependem de autorização judicial para uso em inquérito. O que eu entrego é relatório de inteligência. O advogado decide o que usar juridicamente. Algumas ferramentas são discutíveis no âmbito jurídico mas válidas no âmbito de inteligência — e essa distinção é importante para quem quer atuar profissionalmente. Se você quer aprender a [descobrir quem está por trás de um site](https://brunofraga.com/aulao-semanal/como-descobrir-o-dono-de-um-site) ou [investigar golpes reais passo a passo](https://brunofraga.com/aulao-semanal/investigacao-digital-casos-reais-golpe-olx), eu já cobri isso em aulões anteriores. ## Defesa ativa: como investigadores digitais podem ajudar advogados e delegados Defesa ativa é um conceito jurídico moderno no processo penal brasileiro. A defesa pode buscar provas — inclusive para absolver a pessoa. Às vezes o advogado procura você para mostrar que o cliente não é o autor daquele fato. Usando técnicas de OSINT e Google Hacking, você consegue provar que a pessoa estava em outro local, buscando uma câmera de estacionamento, por exemplo. O Delegado Emanuel foi enfático: auxiliar advogados é um nicho que não é explorado ainda no Brasil. Escritórios de advocacia em Curitiba já estão usando investigação privada para auxiliar casos. Mas são poucos. Se todo escritório tivesse alguém — ou um terceirizado fazendo freelancer — as investigações seriam melhores. ### Como funciona na prática 1. O advogado recebe um caso de estelionato digital 2. Você, como investigador, faz o levantamento de inteligência: análise de e-mails, rastreamento de perfis, mapeamento de IPs, verificação de autenticidade de comunicações 3. Entrega um relatório de inteligência com todas as evidências documentadas 4. O advogado decide o que usar juridicamente — pode sugerir ao delegado que solicite dados da plataforma, pode usar as evidências na defesa ativa 5. O caso chega na delegacia com fundamentação, o que direciona para delegacia especializada e acelera a investigação Eu sempre falo: a gente como investigadores entrega o relatório de inteligência, faz o trabalho de inteligência. O advogado é o responsável por tocar aquilo, por escolher o que usar. Essa separação de responsabilidades é o que torna a atuação profissional viável e ética. Se você está pensando em [iniciar carreira como investigador digital](https://brunofraga.com/aulao-semanal/como-iniciar-carreira-investigador-digital), esse é o caminho com mais demanda em 2026. ## Engenharia social física: os testes de invasão que provam que nada mudou Eu trouxe dois casos de pen-test físico no Brasil que amigos próximos realizaram, porque ilustram que segurança digital sem segurança física não existe. **Caso 1 — Tailgating no elevador:** O profissional chegou no elevador de uma empresa grande. Precisava de crachá para acessar o andar. Chegou cheio de pastas e disse: "segura a porta pra mim." Entrou junto. Acessou a sala dos programadores onde informações sensíveis eram faladas em voz alta. Isso se chama [tailgating](https://www.checkpoint.com/pt/cyber-hub/cyber-security/what-is-cyber-attack/what-is-a-tailgating-attack/) — uma técnica de engenharia social física que explora a cortesia humana. **Caso 2 — USB na recepção:** O profissional chegou na recepção dizendo que tinha entrevista de emprego e precisava imprimir o currículo. "Esqueci de imprimir, meu Deus, tá aqui meu pen drive, imprime pra mim." A recepcionista plugou o pen drive no computador. Acesso total à rede da empresa. A política de não plugar dispositivos externos existe por motivo — mas engenharia social explora empatia. Esses casos mostram que o modus operandi é o mesmo de [Victor Lustig em 1910](https://en.wikipedia.org/wiki/Victor_Lustig). Muda o cenário, muda a tecnologia, mas a vulnerabilidade humana permanece. ## O mercado de investigação digital: oportunidades para profissionais de OSINT no Brasil em 2026 O conhecimento pelo conhecimento não tem valor nenhum. Estudar técnicas de OSINT, de Google Hacking, para ficar provando que você é bom, que consegue chegar num cara, que consegue invadir um site — tem valor, mas é muito melhor utilizar isso ganhando dinheiro e auxiliando o próximo. Esse é um mercado que está gerando renda alta no pós-pandemia. E as oportunidades são concretas: - **Auxiliar delegacias** — Entregar relatórios de inteligência que aceleram investigações e direcionam para delegacias especializadas - **Auxiliar escritórios de advocacia** — Defesa ativa, busca de provas, mapeamento de autores de golpes - **Auxiliar empresas privadas** — Testes de segurança, investigação de fraudes internas, due diligence digital - **Criar soluções e ferramentas** — Extensões que verificam autenticidade de e-mails, chatbots que analisam se uma comunicação é confiável - **Educação e treinamento** — Ensinar pessoas e empresas a se protegerem O profissional privado tem acesso às mesmas ferramentas. Não existe informação mais privilegiada quando falamos de open source intelligence. A mesma open source que os investigadores da polícia usam é a que você aprende aqui. Para quem quer se aprofundar nas [ferramentas que todo investigador digital precisa conhecer](https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital), eu já detalhei isso em aulão anterior. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Google Hacking (DORKs) | Busca avançada no Google para encontrar e-mails, dados, fotos e informações específicas | [Google](https://www.google.com) | | Google Trends | Identificar temas quentes — criminosos usam para criar phishing contextualizado | [Google Trends](https://trends.google.com) | | Google Authenticator | Autenticação de dois fatores para proteger contas contra SIM swap | [Google Authenticator](https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2) | | Microsoft Authenticator | Autenticação de dois fatores como alternativa ao Google Authenticator | [Microsoft Authenticator](https://www.microsoft.com/pt-br/security/mobile-authenticator-app) | | LastPass | Gerenciamento e criptografia de senhas para evitar reutilização | [LastPass](https://www.lastpass.com) | | mSpy | Ferramenta de monitoramento mencionada pelo Delegado como recurso de inteligência | [mSpy](https://www.mspy.com/pt/) | | Scammer Payback | Canal do YouTube que investiga golpistas de acesso remoto ao vivo | [Scammer Payback](https://www.youtube.com/@ScammerPayback) | | OLX | Plataforma de compra e venda onde criminosos encontram dados de vítimas | [OLX](https://www.olx.com.br) | | Mercado Livre | Plataforma de compra e venda — criminosos forjam e-mails da plataforma | [Mercado Livre](https://www.mercadolivre.com.br) | ## Perguntas Frequentes ### Quais são os golpes digitais mais comuns no Brasil em 2026? Os golpes que mais chegam nas delegacias são: golpe de compra e venda com e-mail falso, estelionato amoroso (incluindo golpe do nudes), clonagem de WhatsApp, SIM swap, golpe da mão fantasma (acesso remoto), e golpes com aplicativos de aposta como o Tigrinho. Segundo o Anuário Brasileiro de Segurança Pública, foram mais de 1 milhão e 800 mil estelionatos registrados em 2022, com aumento de 13,6% nos anos seguintes. ### Como identificar um e-mail falso de spoofing? Abra a mensagem original do e-mail e verifique três protocolos: SPF (se o servidor tem permissão para enviar), DKIM (se existe assinatura digital válida) e DMARC (se as autenticações estão alinhadas). Um e-mail spoofado não terá nenhuma dessas autenticações aprovadas. No Gmail, acesse "Mostrar original" nos três pontos do e-mail para ver esses dados. ### O que é SIM swap e como se proteger? SIM swap é quando o criminoso convence a operadora a transferir seu número de telefone para um chip sob controle dele. Com isso, recebe seus SMS e códigos de verificação. Para se proteger, use aplicativo de autenticação (Google Authenticator ou Microsoft Authenticator) em vez de SMS para dois fatores, use senhas diferentes em cada serviço com gerenciador como LastPass, e se possível utilize chave de segurança física com biometria. ### Posso ajudar a polícia com investigação digital mesmo sem ser policial? Sim. O conceito de defesa ativa no processo penal permite que profissionais auxiliem advogados na busca de provas. Você pode entregar relatórios de inteligência com levantamento de IPs, mapeamento de perfis, verificação de e-mails e análise de fontes abertas. Escritórios de advocacia em Curitiba já utilizam investigação privada para auxiliar casos, e delegacias especializadas recebem bem casos que chegam com fundamentação técnica. ### Qual a diferença entre phishing, smishing e vishing? [Phishing](https://www.proofpoint.com/br/threat-reference/phishing) é o ataque por e-mail que tenta enganar a vítima para clicar em links maliciosos ou fornecer dados. [Smishing](https://www.fortinet.com/resources/cyberglossary/smishing) é a mesma técnica aplicada via SMS — como aquelas mensagens oferecendo emprego de 4-5 horas ganhando R$10 mil. [Vishing](https://www.proofpoint.com/us/threat-reference/vishing) é phishing por voz, onde o criminoso liga se passando por banco ou operadora para extrair dados. Os três exploram engenharia social, apenas o canal muda. ### Como investigar um perfil fake nas redes sociais? Verifique o engajamento real (seguidores vs curtidas/comentários), busque o nome de usuário em outras plataformas, faça busca reversa por imagem no Google, verifique se o WhatsApp está no nome de quem diz ser, e monitore a atividade do perfil ao longo do tempo. Perfis fakes geralmente têm histórico curto (menos de 6 meses), pouco engajamento e nenhum rastro digital consistente em outras plataformas. ### O que é engenharia social e como os criminosos usam? Engenharia social é a técnica de manipulação psicológica para obter uma ação da vítima — clicar em um link, enviar um código, transferir dinheiro, entregar um produto. Os criminosos usam urgência, medo, ganância e empatia como gatilhos. Funciona desde 1910, quando Victor Lustig vendeu a Torre Eiffel, até 2026, quando golpistas usam deepfake do Elon Musk para vender investimentos falsos. A tecnologia muda, a vulnerabilidade humana permanece. ### Quais são os 7 golpes cibernéticos mais comuns? Os mais recorrentes nas delegacias brasileiras são: golpe de compra e venda com e-mail falso, golpe do nudes/extorsão sexual, clonagem de WhatsApp via código de 6 dígitos, SIM swap para invasão de contas, golpe da mão fantasma com acesso remoto, estelionato amoroso com perfis fakes, e golpes com aplicativos de aposta fraudulentos (Tigrinho). Cada um tem modus operandi específico e pode ser investigado com técnicas de OSINT. > **Veja também:** [A Arte de Manipular: Engenharia Social Aplicada em Investigações Digitais — Aulão #21](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital) > **Veja também:** [O Melhor Momento para Começar na Investigação Digital — Aulão #22](/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias) > **Veja também:** [Como Remover Conteúdo da Internet: Do Mapeamento à Notificação Extrajudicial — Aulão #26](/aulao-semanal/como-remover-conteudo-da-internet-guia-pratico) > **Veja também:** [Contra-Atacando Golpistas: Investigacao Ativa, Dados Vazados e Deepfake na Pratica — Aulão #29](/aulao-semanal/como-se-proteger-contra-atacar-golpistas-internet) > **Veja também:** [Primeiro Aulão Presencial no Brasil: Bug Bounty, Flipper Zero e os Bastidores da Equipe — Aulão #30](/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil) > **Veja também:** [Como Investigar Lojas Virtuais: Guia Prático para Não Cair em Golpes Online — Aulão #34](/aulao-semanal/como-investigar-lojas-virtuais-identificar-golpes-online) > **Veja também:** [14 Técnicas para Descobrir o Dono de um WhatsApp na Prática — Aulão #35](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) > **Veja também:** [Como Investigar Golpes do Pix: Prevenção, Recuperação e Investigação — Aulão #043](/aulao-semanal/como-investigar-golpes-pix-prevencao-recuperacao) > **Veja também:** [HI SPY: Como Funciona a Ferramenta de Investigação Digital — Aulão #051](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) ## Referências e Recursos - [Anuário Brasileiro de Segurança Pública 2023 — Estelionatos no Brasil (G1)](https://g1.globo.com/sp/sao-paulo/noticia/2023/07/20/estelionatos-no-brasil-mais-que-triplicam-em-cinco-anos-e-golpes-virtuais-disparam-apos-pandemia-revela-anuario.ghtml) - [Golpes virtuais aumentam e não fazem distinção de idade (Senado Federal)](https://www12.senado.leg.br/noticias/infomaterias/2025/04/golpes-virtuais-aumentam-e-nao-fazem-distincao-de-idade) - [Victor Lustig — Wikipedia](https://en.wikipedia.org/wiki/Victor_Lustig) - [Frank Abagnale Jr. — Wikipedia](https://en.wikipedia.org/wiki/Frank_Abagnale) - [O que são DMARC, DKIM e SPF — Cloudflare](https://www.cloudflare.com/learning/email-security/dmarc-dkim-spf/) - [Protocolos de autenticação de e-mail — Email on Acid](https://www.emailonacid.com/blog/article/email-deliverability/email-authentication-protocols/) - [O que é SIM Swapping — Proofpoint](https://www.proofpoint.com/us/threat-reference/sim-swapping) - [O que é Phishing — Proofpoint BR](https://www.proofpoint.com/br/threat-reference/phishing) - [O que é Smishing — Fortinet](https://www.fortinet.com/resources/cyberglossary/smishing) - [O que é Vishing — Proofpoint](https://www.proofpoint.com/us/threat-reference/vishing) - [O que é um Tailgating Attack — Check Point](https://www.checkpoint.com/pt/cyber-hub/cyber-security/what-is-cyber-attack/what-is-a-tailgating-attack/) - [Lei Carolina Dieckmann — ProJuris](https://www.projuris.com.br/blog/lei-carolina-dieckman-tudo-o-que-voce-precisa-saber-sobre/) - [Marco Civil da Internet — Câmara dos Deputados](https://www.camara.leg.br/noticias/398277-marco-civil-da-internet-complementara-leis-de-crimes-virtuais-dizem-especialistas/) - [The Intelligence Cycle — CIA](https://www.cia.gov/spy-kids/static/59d238b4b5f69e0497325e49f0769acf/Briefing-intelligence-cycle.pdf) - [A misteriosa empresa por trás do Jogo do Tigrinho — BBC](https://www.bbc.com/portuguese/articles/c78deer89gjo) - [YouTubers ajudam a derrubar esquema golpista de R$350 milhões](https://www.otempo.com.br/mundo/2025/12/18/youtubers-ajudam-a-derrubar-esquema-golpista-de-r-350-milhoes) - [Canal Scammer Payback — YouTube](https://www.youtube.com/@ScammerPayback) --- ### Aulão #018 — Transforme seu Android em um laboratório de investigação digital URL: https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital-para-celular-android Publicado: 2024-08-23 Tags: osint, investigacao-digital, hacking, tutoriais, ciberseguranca YouTube: https://www.youtube.com/watch?v=pHvLzOUSnw0 Neste aulão em vídeo com demonstração prática, Bruno Fraga apresenta as melhores ferramentas de investigação digital que rodam direto no celular Android. Aprenda a rastrear redes Wi-Fi, extrair metadados de arquivos, fazer reconhecimento facial por foto e muito mais usando apenas o seu smartphone. ## O que você vai aprender neste aulão Ferramentas de investigação digital para celular Android existem, funcionam e eu demonstrei todas ao vivo no Aulão 018. Nesse artigo, você vai ver exatamente como transformar qualquer Android — sem root, sem configuração complicada — numa ferramenta de investigação que cabe no bolso. Eu mostrei na prática como rastrear a localização de uma pessoa pelo nome da rede Wi-Fi dela, como tirar uma foto de alguém na rua e encontrar todas as redes sociais dessa pessoa por reconhecimento facial, e como extrair metadados de arquivos recebidos pelo Telegram para descobrir de onde vieram, com que dispositivo foram criados e até as coordenadas GPS de onde a foto foi tirada. O Alonso — que é meu parceiro no treinamento Android Hacking Pro e já encontrou falhas de segurança no Instagram e na BMW — fez as demonstrações ao vivo direto do celular Android dele. E o que a gente mostrou não é teoria. São técnicas que advogados, policiais e investigadores usam na rua, quando não dá para abrir um notebook e digitar comandos. Se você quer começar a investigar pelo celular hoje, este artigo é o seu ponto de partida. Vou detalhar cada ferramenta, cada passo e cada cuidado que você precisa ter. Se você já acompanha os [aulões semanais sobre investigação digital em fontes abertas](https://brunofraga.com/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos), sabe que aqui a gente mostra na tela — não fica só listando nome de app. ## Por que o Android é a plataforma ideal para investigação digital no celular O Android roda Linux por baixo. O mesmo sistema operacional que hackers e investigadores usam em computadores para rodar ferramentas de pentest, OSINT e análise forense. Isso significa que boa parte do que você faz num terminal Linux também funciona no Android. E não, você não precisa de root para fazer investigação digital pelo celular. Root é um acesso privilegiado ao sistema — você desbloqueia o kernel, mexe em coisas internas. Certas ferramentas ganham funcionalidades extras com root, mas tudo que eu demonstrei nesse aulão funciona em qualquer Android, sem root, sem gambiarra. O Alonso resumiu bem: "O computador é tipo uma bazuca. Você tem que estar preparado. O celular é tipo uma pistolinha. Você encontra uma informação, tira ele. Pronto, acabou." E é exatamente isso. O celular não substitui o computador — ele complementa. Quando você está na rua, num escritório, numa cafeteria, e precisa verificar uma informação rápido, o celular é o que você tem. ### Quem se beneficia de investigar pelo celular Pensa nos seguintes cenários: - Um advogado que está em audiência e precisa verificar rapidamente se uma foto apresentada como prova foi editada no Photoshop - Um policial que vê uma placa de carro suspeita e quer cruzar informações ali mesmo, na rua - Um investigador particular que precisa confirmar se o perfil de Instagram de alguém é fake - Um jornalista que recebe um arquivo anônimo pelo Telegram e quer saber de onde veio antes de publicar - Um profissional de segurança que quer verificar se tem câmeras expostas na rede de um cliente Nenhuma dessas pessoas vai parar, abrir um notebook, esperar bootar, conectar numa rede. O celular resolve. E como eu já mostrei no [guia de ferramentas de investigação digital](https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital), ter as ferramentas certas instaladas e prontas para uso faz toda a diferença entre pegar uma informação a tempo ou perder ela. ### O que o Android Hacking Pro provou No treinamento que eu criei com o Alonso, a gente hackeou um painel de aeroporto, encontrou um IP numa rede usando SQL Injection e invadiu o modem de uma cafeteria — tudo com um celular Android. Sem computador. Sem notebook. Só o celular na mão. Mas calma. O objetivo deste artigo não é ensinar a hackear coisas. É mostrar o lado da investigação: como usar o celular para coletar informações, rastrear origens e analisar dados. As ferramentas que vou detalhar agora são legais, gratuitas (ou com versão gratuita) e acessíveis para qualquer pessoa com um Android. ## Como rastrear redes Wi-Fi com o WiGLE: tutorial passo a passo O [WiGLE](https://wigle.net/faq) é um projeto colaborativo que mapeia redes Wi-Fi, Bluetooth e celular no mundo todo desde setembro de 2001. Funciona assim: pessoas instalam o aplicativo, andam pela rua, e o app coleta automaticamente os nomes e localizações de todas as redes Wi-Fi ao redor. Esses dados vão para uma base de dados global que qualquer pessoa cadastrada pode pesquisar. E a parte que interessa para investigação: se você sabe o nome de uma rede Wi-Fi (o SSID), pode pesquisar no WiGLE e encontrar a localização geográfica exata de onde essa rede foi detectada. ### Como instalar e configurar o WiGLE no Android 1. Abra a Play Store no seu Android 2. Pesquise por "WiGLE WiFi Wardriving" — o desenvolvedor é [WiGLE.net](https://wigle.net/tools) e o app está disponível gratuitamente 3. Instale o aplicativo 4. Acesse o site [wigle.net](https://wigle.net/faq) pelo browser e crie uma conta gratuita — você vai precisar de um usuário e senha para fazer buscas na base global 5. No aplicativo, vá nas configurações e insira seu ID de usuário e senha do site 6. Pronto — agora você pode pesquisar na base global de redes Wi-Fi Mas atenção a um detalhe que pega muita gente: quando você abre a busca no WiGLE, existem duas opções. "Procurar no banco de dados local" pesquisa apenas as redes que o SEU celular já capturou enquanto andava pela rua. "Buscar no WiGLE" pesquisa na base global, com dados de milhares de contribuidores do mundo todo. Para investigação, você quer a segunda opção. ### Como encontrar a localização de alguém pelo nome da rede Wi-Fi Eu demonstrei isso ao vivo e o resultado impressionou até quem já conhecia a ferramenta. Vou dar os exemplos reais que a gente testou: **Exemplo 1 — Pesquisa por "padaria":** Pesquisamos o termo "padaria" no campo SSID do WiGLE. Resultado: dezenas de redes Wi-Fi de padarias apareceram no mapa, concentradas em São Paulo. Uma padaria no São Caetano do Sul, por exemplo, apareceu com segurança fraca na rede. Dá para ver a localização exata no mapa e até o tipo de criptografia que a rede usa. **Exemplo 2 — "Troca senha por cerveja":** Sabe aqueles prints que o pessoal posta no Instagram mostrando nomes engraçados de redes Wi-Fi dos vizinhos? Pesquisamos "troca senha por cerveja" no WiGLE e encontramos a localização exata da pessoa em São Paulo. O dono da rede provavelmente nunca imaginou que aquele nome engraçado funcionaria como um endereço público. **Exemplo 3 — Rede de um espectador ao vivo:** Um espectador da live pediu para pesquisarmos sua rede "Vivo-Internet-C6C7". O Alonso digitou o SSID, pesquisou na base global, e encontrou a localização geográfica da rede — próxima a referências como Banco do Brasil e Dudalina. O cara confirmou no chat. E aqui vai um detalhe técnico que muita gente ignora: o WiGLE não guarda apenas o SSID (nome da rede). Ele também registra o BSSID, que é como se fosse o "RG" do roteador — um identificador fixo baseado no [MAC Address do access point](https://www.itgoat.com/blog/bssid-vs-ssid-understanding-the-basic-differences/). Mesmo que a pessoa mude o nome da rede Wi-Fi, o BSSID permanece o mesmo. Então dá para rastrear o histórico de movimentação de um roteador ou hotspot ao longo do tempo. ### O caso do hotspot do iPhone Essa é uma técnica que eu já usei e que vale ouro. Quando você liga o hotspot do iPhone, o nome padrão da rede é "iPhone de [Seu Nome]". Se em algum momento o seu iPhone com hotspot ligado foi captado por alguém com o WiGLE rodando — ou por qualquer sistema de War Driving — a localização fica registrada. Então se o cara se chama "iPhone de João Silva" e ligou o hotspot numa cafeteria, num hotel, num aeroporto... tem chance de aparecer no WiGLE. E como eu disse, mesmo que ele mude o nome depois, o BSSID continua o mesmo. ### O que é War Driving e por que isso importa [War Driving](https://home.sophos.com/en-us/security-news/2021/what-is-wardriving) é a prática de andar de carro (ou a pé, de bicicleta, de qualquer jeito) com equipamentos que capturam informações de redes Wi-Fi ao redor. O WiGLE nasceu dessa prática. Desde 2001, contribuidores do projeto saem com antenas e celulares mapeando redes. E tem um caso famoso que ilustra a escala disso: entre 2008 e 2010, os carros do Google Street View — aqueles que tiravam fotos das ruas para o Google Maps — também capturavam informações de todas as redes Wi-Fi das casas por onde passavam. Segundo [reportagem da BBC](https://www.bbc.com/news/technology-24047235), o Google coletou e-mails, nomes de usuário, senhas e documentos de redes Wi-Fi desprotegidas em 30 países. A empresa disse que foi "inadvertido", mas [investigações da FCC](https://g1.globo.com/tecnologia/noticia/2012/05/relatorio-mostra-que-coleta-de-dados-pelo-street-view-nao-foi-acidental.html) mostraram que a coleta não foi acidental — um engenheiro do Google incluiu código específico para capturar esses dados. A lição aqui é direta: suas redes Wi-Fi estão sendo mapeadas constantemente, por múltiplos serviços e projetos, mesmo sem seu consentimento. E qualquer pessoa com acesso ao WiGLE pode pesquisar o nome da sua rede e potencialmente encontrar onde você mora. ### Limitações do WiGLE que você precisa conhecer Nem tudo funciona perfeitamente. Durante o aulão, testamos uma rede de Portugal (MEO-96AAF0) e não encontramos resultado. A rede simplesmente não havia sido mapeada por nenhum contribuidor do WiGLE naquela região. Outro ponto: quando a busca é muito ampla — tipo pesquisar um termo genérico no Brasil todo — o WiGLE não carrega todos os resultados. Apareceram 200 redes, mas havia muito mais. A ferramenta funciona melhor quando você pesquisa um nome específico ou foca numa região geográfica delimitada. ## Como encontrar pessoas pela foto com reconhecimento facial usando o PimEyes O [PimEyes](https://pimeyes.com/pt) é um motor de busca por reconhecimento facial. Você faz upload de uma foto de rosto e ele varre a internet procurando aparições daquele rosto em sites, redes sociais, vídeos e matérias de imprensa. Não é busca reversa de imagem comum — é reconhecimento facial real. A diferença para o Google Lens é brutal. Eu mostrei isso ao vivo: apontei o Google Lens para uma pessoa e ele retornou "homem andando na rua". Apontei para um mouse e ele encontrou o produto exato. O Google Lens identifica objetos, não pessoas. O PimEyes identifica rostos. ### Demonstração ao vivo: como funciona na prática O Alonso tirou uma foto aleatória de si mesmo com a câmera do celular — não era uma foto que já existia na internet, era uma foto nova, tirada naquele momento. Fez upload no PimEyes pelo browser do celular. E o resultado: - Encontrou postagens dele em Reels que ele nem lembrava que existiam - Encontrou vídeos do YouTube onde ele aparecia - Encontrou fotos em sites que ele não sabia que tinham publicado Depois testamos comigo. O Alonso tirou uma foto minha (meio pelo reflexo da tela, nem era uma foto boa) e o PimEyes encontrou meu LinkedIn, matérias de imprensa onde eu aparecia e mais de dez outras aparições online. Como ele mesmo disse: "Se você visse o Bruno na rua, tirasse uma foto dele, já encontrava várias coisas." ### Passo a passo para usar o PimEyes no celular 1. Abra o browser do seu celular (funciona em Android e iPhone) 2. Acesse [pimeyes.com](https://pimeyes.com/pt) 3. Clique para fazer upload de uma foto 4. Selecione "Nova foto da câmera" para tirar uma foto na hora, ou escolha uma foto da galeria 5. Você pode fazer upload de múltiplas fotos de diferentes ângulos — isso melhora a precisão do reconhecimento 6. Clique em "Iniciar busca" 7. O sistema processa a imagem e retorna as aparições encontradas na internet Mas aqui vai uma limitação importante: para ver informações completas — como o site de origem de cada resultado, detalhes e links diretos — você precisa de um [plano pago](https://pimeyes.com/pt/premium). O PimEyes cobra a partir de US$ 29,99 por mês. A busca gratuita mostra os resultados com as imagens borradas e sem link de origem. ### Casos de uso reais para o PimEyes - **Verificar perfis fake:** Alguém te adicionou no Instagram com uma foto bonita demais? Salva a foto, joga no PimEyes. Se o rosto aparecer associado a outra pessoa, outro nome, outro país — é fake. - **Encontrar pessoas desaparecidas:** Tem uma foto da pessoa mas não sabe onde ela está? O PimEyes pode encontrar aparições recentes em redes sociais, sites de notícias ou qualquer página pública. - **Investigar identidades:** Um fugitivo cuja única evidência é uma imagem de câmera de segurança ou olho mágico de porta. O PimEyes pode cruzar esse rosto com aparições em Facebook, Instagram ou qualquer site indexado. - **Confirmar identidade de contatos:** Recebeu uma proposta de negócio de alguém que você não conhece? Tire uma foto do perfil dele e verifique se as informações batem. Se você já conhece [técnicas para investigar pessoas na internet](https://brunofraga.com/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), o PimEyes adiciona uma camada poderosa: a busca pelo rosto, não pelo nome. ## Como analisar metadados de arquivos e fotos pelo celular com ExifTool Metadados são informações invisíveis embutidas em todo arquivo digital. Quando você tira uma foto, o celular grava automaticamente: modelo do dispositivo, data e hora, coordenadas GPS de onde a foto foi tirada, resolução, nível de brilho, software usado para edição e dezenas de outros campos. Essa "ficha técnica silenciosa" é o que investigadores chamam de [dados EXIF](https://tecnoblog.net/responde/o-que-sao-dados-exif-de-fotos-e-como-encontra-los-ou-esconde-los/). O [ExifTool](https://exiftool.org/) é a ferramenta padrão para ler esses metadados. A versão original é uma biblioteca Perl criada por Phil Harvey que roda em qualquer plataforma. Para Android, existe o app [ExifTool Android – Editor EXIF](https://play.google.com/store/apps/details?id=com.exiftool.free&hl=pt), disponível na Play Store com mais de 100 mil downloads. ### Demonstração ao vivo: extraindo dados de um ZIP recebido pelo Telegram Nesse aulão, o Alonso abriu um arquivo ZIP que havia sido compartilhado pelo Telegram. Dentro do ZIP havia fotos tiradas durante a gravação do treinamento Android Hacking Pro em Porto Alegre. Veja o que o ExifTool extraiu de uma única foto: - **Dispositivo:** iPhone 13 mini - **Data de modificação:** registrada com precisão - **Resolução:** completa - **Nível de brilho:** salvo automaticamente pelo iOS - **Coordenadas GPS:** latitude e longitude exatas de Porto Alegre, onde a foto foi tirada - **Informações de edição:** dados sobre correções de lente e processamento do software E quando o Alonso clicou em "update location" dentro do app, o mapa abriu mostrando o ponto exato onde a foto havia sido tirada. Até pela galeria nativa do Android, ao abrir a foto extraída do ZIP, a localização apareceu automaticamente. ### Passo a passo para analisar metadados no Android 1. Baixe o [ExifTool Android](https://play.google.com/store/apps/details?id=com.exiftool.free&hl=pt) na Play Store 2. Se recebeu um arquivo ZIP, extraia ele primeiro usando o gerenciador de arquivos do Android 3. Abra o ExifTool e selecione o arquivo que deseja analisar (foto, documento, vídeo) 4. O app exibe todos os metadados organizados por categoria: informações do dispositivo, GPS, software, edição 5. Você pode exportar os metadados para uma planilha para análise posterior 6. Para ver a localização no mapa, clique nas coordenadas GPS ou use a função "update location" ### Quais plataformas removem metadados e quais mantêm Essa informação é fundamental para qualquer investigação. Nem todo arquivo que você recebe tem metadados — depende de como foi enviado. | Plataforma/Método | Mantém metadados? | Observação | |---|---|---| | WhatsApp (foto como imagem) | ❌ Não | Compacta e remove metadados | | Instagram (post/story) | ❌ Não | Compacta e remove metadados | | Telegram (foto como imagem) | ❌ Não | Compacta e remove metadados | | Telegram (enviado como arquivo/documento) | ✅ Sim | Mantém metadados originais | | WhatsApp (enviado como documento) | ✅ Sim | Mantém metadados originais | | Google Drive | ✅ Sim | Mantém metadados originais | | Torrent | ✅ Sim | Mantém tudo — inclusive nome de usuário do computador e pasta de origem | | E-mail (anexo) | ✅ Sim | Mantém metadados originais | | ZIP compartilhado | ✅ Sim | Fotos dentro do ZIP mantêm metadados individuais | E aqui vai um ponto que eu fiz questão de destacar no aulão: redes torrent mantêm TUDO. Nome de usuário do computador, pasta de origem do arquivo, metadados completos. Então se alguém edita um vídeo no computador, salva e compartilha via torrent, o nome de usuário do Windows fica gravado nos metadados. Em uma investigação policial, isso é evidência. ### Casos de uso investigativo para análise de metadados **Caso 1 — Arquivos ilegais compartilhados em ZIP pelo Telegram:** Imagine um grupo no Telegram compartilhando material ilegal compactado em ZIP. As fotos dentro do ZIP, se foram tiradas diretamente do celular do criminoso, mantêm as coordenadas GPS, o modelo do dispositivo e a data exata. Isso é o tipo de evidência que coloca alguém num lugar específico, num momento específico. **Caso 2 — Verificar se uma imagem foi editada:** Quando alguém edita uma foto no Photoshop e salva, os metadados registram que o software Adobe Photoshop foi usado. Então se alguém te mostra uma "prova" em foto e você suspeita de manipulação, os metadados podem confirmar ou descartar a edição. **Caso 3 — Vídeo editado que revela o autor:** Uma pessoa edita um vídeo usando um editor de vídeo. Quando salva, o arquivo grava o nome de usuário do computador nos metadados. Se esse vídeo é enviado por um canal que mantém metadados (torrent, Drive, e-mail), o investigador consegue identificar o autor pela informação do sistema operacional. **Caso 4 — Boleto ou documento suspeito:** Recebeu um boleto por e-mail de origem duvidosa? Baixe e analise os metadados. Pode revelar o software que gerou o documento, a data real de criação (que pode ser diferente da data impressa) e até informações do autor. Se você quer se aprofundar em como [descobrir informações escondidas em sites e documentos](https://brunofraga.com/aulao-semanal/como-descobrir-o-dono-de-um-site), metadados são uma das técnicas mais poderosas do arsenal. ## Como usar o Shodan para encontrar câmeras e dispositivos expostos O [Shodan](https://www.shodan.io/) é um motor de busca que mapeia dispositivos conectados à internet no mundo todo. Não sites — dispositivos. Câmeras de segurança, roteadores, webcams, sistemas de controle industrial, servidores, impressoras. Tudo que tem um IP público e está acessível, o Shodan encontra. Eu tentei demonstrar o Shodan ao vivo no aulão e o site caiu. Isso acontece — o Shodan tem momentos de instabilidade, especialmente quando muita gente acessa ao mesmo tempo. Mas vou explicar como funciona e o que você pode fazer com ele. ### Como funciona o Shodan na prática Você acessa pelo browser do celular (o app Android existe, mas só funciona bem em versões anteriores do Android — pelo browser é mais confiável). Depois de criar uma conta, pode pesquisar por: - **Tags populares:** webcam, câmera, servidor - **Tipo de dispositivo:** câmeras de segurança, roteadores, sistemas SCADA - **Localização:** filtrar por país, cidade ou coordenadas - **Portas abertas:** encontrar serviços específicos rodando em IPs públicos O Shodan tem um [modelo de preços](https://account.shodan.io/billing) que começa com uma membership de US$ 49 (pagamento único) que dá 100 créditos de consulta por mês. Para uso mais intenso, os planos vão de US$ 69/mês (Freelancer) até planos corporativos customizados. Mas para uma busca rápida, a conta gratuita já permite ver resultados básicos. E quando combinado com as técnicas de [Google Hacking que eu já ensinei](https://brunofraga.com/aulao-semanal/google-hacking-buscas-perigosas-dorks), você consegue encontrar dispositivos expostos sem pagar nada. ## Google Hacking Database: alternativa gratuita ao Shodan para encontrar dispositivos expostos O [Google Hacking Database (GHDB)](https://www.exploit-db.com/google-hacking-database) é um índice categorizado de termos de pesquisa do Google projetados para encontrar informações sensíveis que foram expostas publicamente na internet. Mantido pela Exploit-DB (da OffSec), o GHDB contém milhares de "dorks" — strings de busca que revelam câmeras, arquivos, servidores e dispositivos que não deveriam estar acessíveis. Quando o Shodan caiu durante o aulão, o Alonso mostrou o GHDB como alternativa. Funciona assim: 1. Acesse [exploit-db.com/google-hacking-database](https://www.exploit-db.com/google-hacking-database) 2. Filtre por categoria: arquivos vulneráveis, servidores, dispositivos, páginas com login 3. Escolha um dork (termo de pesquisa) 4. Cole no Google e pesquise 5. Os resultados mostram dispositivos e arquivos expostos que correspondem àquele padrão A vantagem sobre o Shodan: funciona direto no Google, de graça, sem conta. A desvantagem: é mais manual e menos organizado. Mas para quem está começando e quer entender como dispositivos ficam expostos na internet, é um ponto de partida excelente. E se você quer ir mais fundo nesse tipo de pesquisa avançada no Google, eu já cobri isso em detalhes no aulão sobre [buscas perigosas com Google Dorks](https://brunofraga.com/aulao-semanal/google-hacking-buscas-perigosas-dorks). ## Cuidados e limitações ao investigar pelo celular Android Eu não recomendo que ninguém saia usando essas ferramentas sem entender os limites. Investigação digital tem poder — e com poder vem responsabilidade (e consequências legais se usado de forma errada). ### Limitações técnicas - **Tela e teclado:** O processador do celular aguenta. Mas digitar comandos longos num teclado virtual é sofrido. Para análises rápidas, funciona. Para trabalho pesado e prolongado, o computador continua sendo a bazuca. - **Ferramentas como Termux dão erro:** Eu avisei no aulão e repito aqui — se você instalar o [Termux](https://github.com/termux/termux-app/discussions/4000) para rodar ferramentas de linha de comando no Android, vai dar erro. Python não atualiza, dependências quebram, pacotes conflitam. Android é isso. A versão da Play Store está depreciada; a versão oficial atualizada está no F-Droid e no GitHub. - **Shodan no celular:** O app Android do Shodan só funciona bem em versões anteriores do sistema. Use pelo browser. - **WiGLE não tem tudo:** Nem todas as redes Wi-Fi do mundo estão mapeadas. Regiões com menos contribuidores (como Portugal, no nosso teste) podem não ter resultados. ### Limitações de dados - **WhatsApp e Instagram limpam metadados:** Fotos enviadas como imagem perdem toda informação EXIF. Só mantêm metadados se enviadas como documento/arquivo. - **PimEyes tem paywall:** A busca gratuita mostra resultados borrados. Para ver links de origem e detalhes, precisa pagar a partir de US$ 29,99/mês. - **Resultados dependem de exposição pública:** O PimEyes só encontra rostos em páginas públicas da internet. Se a pessoa não tem nenhuma foto pública, não vai aparecer resultado. - **GHDB exige trabalho manual:** Diferente do Shodan que organiza tudo automaticamente, o Google Hacking Database depende de você testar dork por dork no Google — funciona, mas leva mais tempo. ### Cuidados legais e éticos Investigação digital em fontes abertas (OSINT) trabalha com informações públicas. Mas "público" não significa "vale tudo". Usar reconhecimento facial para perseguir alguém é crime. Acessar redes Wi-Fi alheias sem autorização é crime. Invadir câmeras de segurança é crime. As ferramentas que eu mostrei servem para investigação legítima — verificar identidades, analisar evidências, proteger-se. Se você está começando nessa área, eu recomendo fortemente que leia sobre o [caminho para se tornar investigador digital](https://brunofraga.com/aulao-semanal/como-iniciar-carreira-investigador-digital) e entenda os limites legais antes de sair usando qualquer ferramenta. ## Conceitos técnicos que aparecem nessas ferramentas Para tirar o máximo dessas ferramentas de investigação digital no celular Android, vale entender dois conceitos que apareceram repetidamente no aulão. ### SSID, BSSID e MAC Address — qual a diferença prática O SSID (Service Set Identifier) é o nome da rede Wi-Fi — aquele que aparece quando você procura redes disponíveis, tipo "Vivo-Internet-C6C7". Pode ser alterado a qualquer momento pelo dono do roteador. Já o BSSID (Basic Service Set Identifier) é o [identificador único do access point](https://7signal.com/blog/bssid-basic-service-set-identifier/), representado como um MAC Address (exemplo: 00:1A:2B:3C:4D:5E). Diferente do SSID, o BSSID é fixo — mesmo que o nome da rede mude, o BSSID permanece o mesmo. Para investigação, o BSSID é mais confiável que o SSID. O MAC Address (Media Access Control) é o endereço físico de 48 bits que identifica unicamente cada interface de rede. Todo dispositivo Wi-Fi tem um. Na maioria dos casos, o BSSID é exatamente o MAC Address do roteador, embora em roteadores com múltiplas interfaces possa haver pequenas variações. ### O que fica gravado nos metadados EXIF O padrão [EXIF (Exchangeable Image File Format)](https://exiftool.org/) grava automaticamente nos arquivos de imagem: marca e modelo da câmera/celular, data e hora exatas da captura, coordenadas GPS, resolução, abertura, ISO, software usado para edição posterior e nível de brilho da tela no momento da captura (em iPhones). Esses dados são encontrados em formatos JPEG, TIFF e em formatos de vídeo como MP4 e áudio como WAV. E como eu mostrei no aulão, eles sobrevivem dentro de arquivos ZIP — compactar fotos num ZIP e enviar pelo Telegram como documento preserva todos os metadados. ## Como IA pode acelerar a análise dos dados coletados Se você já viu o aulão onde eu mostrei como usar o [ChatGPT para investigação digital](https://brunofraga.com/aulao-semanal/chatgpt-para-investigacao-digital), sabe que IA generativa pode acelerar a análise. Exemplo prático: você extrai metadados de 50 arquivos com o ExifTool, exporta para planilha e pede para o ChatGPT identificar padrões — dispositivos repetidos, localizações próximas, horários suspeitos. Mas a IA não substitui a coleta. Primeiro você precisa das ferramentas certas para obter os dados. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | WiGLE | Mapear e rastrear redes Wi-Fi no mundo todo por nome (SSID) ou identificador (BSSID), encontrando localização geográfica | [WiGLE](https://wigle.net/faq) | | PimEyes | Busca reversa por reconhecimento facial — encontra aparições de um rosto em redes sociais, sites e matérias na internet | [PimEyes](https://pimeyes.com/pt) | | ExifTool Android | Analisar metadados de fotos, documentos e vídeos no celular — extrai GPS, modelo do dispositivo, software de edição | [ExifTool Android](https://play.google.com/store/apps/details?id=com.exiftool.free&hl=pt) | | Shodan | Motor de busca para dispositivos conectados à internet: câmeras, roteadores, webcams, sistemas industriais | [Shodan](https://www.shodan.io/) | | Google Hacking Database | Índice de termos de pesquisa para encontrar dispositivos e arquivos expostos via Google | [GHDB](https://www.exploit-db.com/google-hacking-database) | | Google Lens | Busca reversa de imagem para identificar objetos e produtos (limitado para reconhecimento facial) | [Google Lens](https://lens.google.com) | ## Perguntas Frequentes ### Como rastrear uma rede Wi-Fi pela localização? Use o WiGLE (wigle.net). Crie uma conta gratuita no site, instale o app no Android pela Play Store, e pesquise o nome da rede (SSID) na base global. Se a rede foi captada por algum contribuidor do projeto, a localização geográfica exata aparece no mapa. O WiGLE tem dados desde 2001 e cobre boa parte do mundo, com maior concentração nos EUA e Brasil. ### Como encontrar uma pessoa apenas com uma foto? O PimEyes (pimeyes.com) faz reconhecimento facial a partir de uma foto de rosto. Você tira a foto com a câmera do celular, faz upload no site pelo browser, e o sistema varre a internet buscando aparições daquele rosto em redes sociais, vídeos, matérias e sites públicos. A busca básica é gratuita, mas para ver links de origem e detalhes completos é necessário um plano pago a partir de US$ 29,99/mês. ### O que são metadados de arquivos e como usá-los em investigação? Metadados são informações invisíveis gravadas automaticamente em todo arquivo digital — fotos, documentos, vídeos. Incluem modelo do dispositivo, data de criação, coordenadas GPS, software de edição e nome de usuário do computador. Em investigação, metadados podem revelar quem criou um arquivo, onde e quando, mesmo que o conteúdo visível não dê pistas. Use o ExifTool no Android para extrair essas informações. ### É possível investigar com celular Android sem root? Sim. Todas as ferramentas demonstradas neste aulão — WiGLE, PimEyes, ExifTool e Shodan — funcionam em qualquer Android sem root. Root é um acesso privilegiado ao sistema operacional que desbloqueia funcionalidades extras em certas ferramentas, mas não é necessário para investigação digital básica e intermediária. ### Como saber se uma foto foi editada no Photoshop? Abra a foto no ExifTool e procure nos metadados referências ao software Adobe Photoshop. Quando uma imagem é editada no Photoshop e salva, os metadados registram o nome do software, a versão e às vezes até o histórico de edições. Se os metadados mostram "Adobe Photoshop" no campo de software, a imagem foi processada por esse programa. ### O WhatsApp remove metadados das fotos enviadas? Sim. Quando você envia uma foto como imagem pelo WhatsApp, ela é compactada e todos os metadados EXIF são removidos — incluindo localização GPS, modelo do dispositivo e data original. O mesmo acontece no Instagram e no Telegram (quando enviado como foto). Para preservar metadados, envie o arquivo como documento, não como foto. Arquivos enviados como documento pelo WhatsApp e Telegram mantêm os metadados originais. ### Como usar o Shodan para encontrar câmeras de segurança? Acesse shodan.io pelo browser, crie uma conta e pesquise por tags como "webcam", "camera" ou "IP cam". O Shodan retorna uma lista de dispositivos encontrados com seus IPs, localização aproximada e informações do serviço. A conta gratuita permite buscas básicas; planos pagos começam em US$ 49 (pagamento único) para 100 créditos mensais. Quando o Shodan estiver fora do ar, use o Google Hacking Database como alternativa. ### Qual a diferença entre o PimEyes e o Google Lens para busca de imagem? O Google Lens identifica objetos — aponta para um mouse e ele encontra o produto, aponta para uma pessoa e ele retorna "homem andando na rua". O PimEyes faz reconhecimento facial real: a partir de um rosto, encontra todas as aparições daquela pessoa específica na internet. Para investigação de identidade, o PimEyes é incomparavelmente mais preciso. Para identificar produtos e objetos, o Google Lens resolve. ## Próximos passos práticos Se você leu até aqui e quer colocar em prática hoje: 1. Instale o WiGLE no seu Android e pesquise o nome da sua própria rede Wi-Fi — veja se sua localização aparece 2. Acesse o PimEyes pelo browser e faça uma busca com sua própria foto — descubra onde seu rosto aparece na internet 3. Baixe o ExifTool e analise os metadados de uma foto da sua galeria — veja quanta informação está gravada sem você saber 4. Acesse o Google Hacking Database e explore as categorias para entender que tipo de informação fica exposta na internet E se você quer ir além do que mostrei aqui, os [aulões semanais](https://brunofraga.com/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos) acontecem toda semana com demonstrações ao vivo — desde [desvendar golpes reais](https://brunofraga.com/aulao-semanal/investigacao-digital-casos-reais-golpe-olx) até [investigar qualquer pessoa usando apenas a internet](https://brunofraga.com/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint). > **Veja também:** [Shodan na Prática: Como Encontrar Dispositivos Vulneráveis Expostos na Internet — Aulão #020](/aulao-semanal/shodan-como-usar-identificar-vulnerabilidades-internet) ## Referências e Recursos - [WiGLE — FAQ e documentação oficial](https://wigle.net/faq) - [WiGLE — Downloads e ferramentas](https://wigle.net/tools) - [WiGLE na Wikipedia](https://en.wikipedia.org/wiki/WiGLE) - [PimEyes — Buscador de rostos](https://pimeyes.com/pt) - [PimEyes — Planos e preços](https://pimeyes.com/pt/premium) - [ExifTool — Site oficial por Phil Harvey](https://exiftool.org/) - [ExifTool Android na Play Store](https://play.google.com/store/apps/details?id=com.exiftool.free&hl=pt) - [Shodan — Search Engine for IoT](https://www.shodan.io/) - [Shodan — Planos de preços](https://account.shodan.io/billing) - [Google Hacking Database (GHDB)](https://www.exploit-db.com/google-hacking-database) - [O que é Wardriving — Sophos](https://home.sophos.com/en-us/security-news/2021/what-is-wardriving) - [Google Street View e captura de Wi-Fi — BBC](https://www.bbc.com/news/technology-24047235) - [Coleta de dados pelo Street View — G1](https://g1.globo.com/tecnologia/noticia/2012/05/relatorio-mostra-que-coleta-de-dados-pelo-street-view-nao-foi-acidental.html) - [Investigações sobre Google Street View — EPIC](https://epic.org/documents/investigations-of-google-street-view/) - [BSSID vs SSID — IT GOAT](https://www.itgoat.com/blog/bssid-vs-ssid-understanding-the-basic-differences/) - [O que é BSSID — 7SIGNAL](https://7signal.com/blog/bssid-basic-service-set-identifier/) - [O que são dados EXIF — Tecnoblog](https://tecnoblog.net/responde/o-que-sao-dados-exif-de-fotos-e-como-encontra-los-ou-esconde-los/) - [Termux — Anúncio oficial sobre Play Store](https://github.com/termux/termux-app/discussions/4000) - [Termux — Situação na Play Store (XDA Developers)](https://www.xda-developers.com/termux-terminal-linux-google-play-updates-stopped/) --- ### Aulão #017 — Pare de Só Estudar Teoria: Desafios Práticos Para Treinar Investigação Digital URL: https://brunofraga.com/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint Publicado: 2024-08-22 Tags: osint, investigacao-digital, tutoriais, ciberseguranca, hacking YouTube: https://www.youtube.com/watch?v=Mb9klUIaJz8 Neste aulão em vídeo, Bruno Fraga demonstra na prática como resolver desafios reais de investigação digital usando plataformas gratuitas. Acompanhe passo a passo o uso de Wayback Machine, busca reversa de IP, consulta WHOIS e análise de imagens em exercícios do TryHackMe e outros CTFs de OSINT. ## O que você vai aprender neste aulão Desafios práticos de investigação digital são a forma mais rápida de sair da teoria e realmente desenvolver habilidades de OSINT. Neste aulão — o 17º da série — eu demonstrei ao vivo como resolver desafios reais de investigação usando plataformas gratuitas, ferramentas de consulta de domínios, histórico de sites, análise de DNS e geolocalização de imagens. Você vai aprender a investigar um site que não existe mais, descobrir quem registrou um domínio, acessar o conteúdo de páginas que foram apagadas há anos, identificar outros sites hospedados no mesmo servidor e até localizar onde uma foto foi tirada. Tudo na prática, com passo a passo detalhado, usando ferramentas que funcionam em 2026 e que não custam nada. Eu gravei essa aula ao vivo com cerca de 700 pessoas acompanhando no chat. E o que eu mostrei não é teoria — é exatamente o que eu faço quando investigo casos reais. A diferença é que aqui usei ambientes de CTF (Capture the Flag) para que qualquer pessoa possa praticar sem risco. Se você quer saber [como praticar OSINT](https://brunofraga.com/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos) de verdade, com desafios que simulam cenários reais, este artigo é o seu ponto de partida. ## O que são CTFs de OSINT e por que você deveria praticar CTF (Capture the Flag) é uma competição de cibersegurança onde participantes resolvem desafios práticos para encontrar respostas escondidas — as "flags". No contexto de OSINT, os desafios envolvem investigar domínios, pessoas, imagens e infraestrutura digital usando apenas fontes abertas. A ideia é simples: você recebe um alvo (um domínio, uma foto, um cenário) e precisa responder perguntas sobre ele. Quem registrou esse site? Qual era o IP em 2016? Onde essa foto foi tirada? Qual o telefone da empresa responsável? Eu já usei plataformas de CTF quando estudava hacking, porque precisava de sistemas para invadir de forma controlada. Mas com o crescimento da investigação digital, essas mesmas plataformas passaram a oferecer desafios focados em OSINT. E isso muda tudo para quem quer aprender na prática. Não adianta só ler sobre [ferramentas de investigação digital](https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital). Você precisa usar. Precisa errar. Precisa travar numa resposta e descobrir sozinho como resolver. É assim que se forma um investigador. ### Por que desafios práticos superam cursos teóricos Quando você está dentro de um desafio, a pressão de encontrar a resposta ativa um tipo de raciocínio que nenhuma videoaula passiva consegue gerar. Você começa a conectar ferramentas, a pensar em caminhos alternativos, a questionar cada dado que encontra. E tem mais: a curiosidade é a sua maior arma. Eu repito isso em toda aula porque é verdade. Sem curiosidade, você olha para uma consulta WHOIS e vê só texto. Com curiosidade, você percebe que o telefone listado pode levar a uma empresa, que a empresa pode levar a uma pessoa, que a pessoa pode levar a outros domínios. ## TryHackMe: como acessar desafios gratuitos de OSINT O [TryHackMe](https://tryhackme.com/) é uma plataforma gratuita de aprendizado em cibersegurança que oferece salas de desafio (rooms) sobre mais de 20 temas, incluindo OSINT. Você cria uma conta sem pagar nada e começa a praticar imediatamente. Aqui está o passo a passo que eu mostrei ao vivo: 1. Acesse [tryhackme.com](https://tryhackme.com/) e clique em "Join Free" 2. Insira seu e-mail, crie um username e confirme o e-mail 3. Após o login, clique em **Learn** no menu superior 4. Dentro de Learn, clique em **Search** 5. Digite **OSINT** na barra de busca 6. Escolha uma sala de desafio e clique em **Join Room** Na aula, eu trabalhei com duas salas específicas: a **WebOSINT** (focada em investigação de domínios, DNS e histórico de sites) e a **Searchlight - IMINT** (focada em investigação de imagens e geolocalização). Ambas estão disponíveis gratuitamente e têm writeups publicados pela comunidade caso você trave em alguma questão. Mas nem tudo é perfeito. O TryHackMe tem um problema chato: a formatação das respostas é muito rígida. Se a resposta esperada é "Namecheap" e você digita "Namecheap Inc", dá erro. Isso aconteceu comigo ao vivo — eu encontrei a resposta correta no terminal, mas o formato não batia com o que a plataforma esperava. Frustrante, mas faz parte. E outro ponto: certos desafios ficam desatualizados. Os dados reais mudam (domínios expiram, IPs mudam, empresas trocam de nome), mas as respostas esperadas no desafio não são atualizadas. Eu encontrei isso no desafio WebOSINT — o número de mudanças de IP do domínio era muito maior do que a resposta cadastrada, porque o desafio foi criado anos atrás. ## Como investigar um site que não existe mais Um site fora do ar não significa fim da investigação. O registro do domínio continua existindo, o histórico de DNS permanece acessível e o conteúdo antigo pode estar arquivado. Existem pelo menos quatro camadas de informação que você pode extrair de um domínio "morto". No aulão, o alvo era o domínio **republiccoffee.com** — um site completamente fora do ar, com domínio expirado. A primeira reação de muita gente seria desistir. Mas eu mostrei que dá para descobrir quem registrou, qual empresa hospedava, qual era o conteúdo, quem escrevia e até onde a pessoa morava. Se você já leu meu artigo sobre [como descobrir o dono de um site](https://brunofraga.com/aulao-semanal/como-descobrir-o-dono-de-um-site), sabe que o WHOIS é o primeiro passo. Mas aqui vamos além — combinando WHOIS com Wayback Machine, ViewDNS e análise de conteúdo arquivado. ### As 4 camadas de investigação de um domínio inativo - **Camada 1 — Registro (WHOIS):** Quem comprou o domínio, qual empresa registradora, telefone, name servers - **Camada 2 — Histórico de DNS:** Para quais IPs o domínio apontou ao longo dos anos, quais empresas de hospedagem foram usadas - **Camada 3 — Conteúdo arquivado (Wayback Machine):** O que estava publicado no site, quem escrevia, que informações pessoais vazavam no conteúdo - **Camada 4 — Conexões laterais:** Outros sites no mesmo servidor, tags de rastreamento compartilhadas, links externos que conectam a outros domínios ## Consulta WHOIS: como descobrir quem registrou um domínio [WHOIS](https://en.wikipedia.org/wiki/WHOIS) é um protocolo de consulta que retorna dados públicos sobre o registro de um domínio — incluindo nome do registrante, empresa registradora, telefone de contato, name servers e datas de criação e expiração. É o primeiro passo de qualquer investigação de domínio. Para consultar, eu uso o [ICANN Lookup](https://lookup.icann.org/), que é o serviço oficial mantido pela ICANN (Internet Corporation for Assigned Names and Numbers). Você digita o domínio, clica em Lookup e recebe os dados disponíveis. ### Passo a passo da consulta WHOIS que eu fiz ao vivo No desafio, consultei o domínio **republiccoffee.com** no ICANN Lookup. Eis o que encontrei: - **Empresa registradora:** Namecheap - **Privacidade WHOIS:** Ativada (o nome real do proprietário estava oculto) - **Telefone de contato:** Listado nos dados do registrante (aparecia melhor no terminal do que no site) - **Name servers:** Dois name servers apontando para a infraestrutura de DNS do domínio - **País do registrante:** Iceland (Islândia) — e aqui aconteceu algo engraçado na aula: alguém no chat sugeriu "Panamá" e eu acabei digitando Panamá sem verificar. Erro meu. A resposta correta era Iceland. E tem um detalhe que vale ouro: no site do ICANN, nem todos os dados aparecem de cara. Você precisa rolar a página e clicar em "ver código geral do registro" para acessar informações como telefone. No terminal do Linux ou Mac, o comando `whois republiccoffee.com` retorna tudo de uma vez, sem essa fricção. ``` whois republiccoffee.com ``` Esse comando funciona nativamente no Linux e no macOS. No Windows, você precisa instalar uma ferramenta separada ou usar sites como o ICANN Lookup. ### O que é privacidade WHOIS e por que isso importa A Namecheap é uma empresa que oferece privacidade WHOIS gratuitamente quando você compra um domínio lá. Isso significa que, em vez do nome real do proprietário, aparece o nome de um serviço de privacidade. Para investigadores, isso é uma barreira. Mas não é o fim. Autoridades podem solicitar judicialmente a quebra desse sigilo. E mesmo com privacidade ativa, outros dados — como name servers, histórico de DNS e conteúdo arquivado — continuam acessíveis. ### O que são name servers e por que você deve prestar atenção neles [Name servers](https://en.wikipedia.org/wiki/Name_server) são servidores que traduzem nomes de domínio em endereços IP. Todo domínio tem pelo menos dois name servers configurados, e eles indicam onde o domínio está sendo gerenciado — qual empresa de hospedagem, qual provedor de DNS. Na prática, quando eu vejo os name servers de um domínio, consigo identificar se o site está na HostGator, na DigitalOcean, no Google Cloud, na Cloudflare. E isso é uma pista investigativa. Se dois domínios aparentemente não relacionados compartilham os mesmos name servers, pode haver uma conexão entre eles. ## Wayback Machine: como acessar o histórico de qualquer site A [Wayback Machine](https://web.archive.org) do Archive.org é um serviço que arquiva capturas (snapshots) de sites da internet ao longo dos anos. Mesmo que um site tenha sido completamente removido, é provável que a Wayback Machine tenha uma cópia dele. No aulão, usei a Wayback Machine para acessar o conteúdo do blog republiccoffee.com que havia sido publicado em outubro de 2016. O site não existia mais, mas o conteúdo estava lá — posts, nomes, cidades, referências pessoais. ### Como eu encontrei o autor do blog e onde ele morava Ao acessar [web.archive.org](https://web.archive.org) e digitar republiccoffee.com, apareceu um calendário com as datas em que o site foi capturado. Percorri diferentes anos até encontrar capturas com conteúdo real em outubro de 2016. Dentro do blog arquivado, encontrei: - **Nome do autor:** Steve (aparecia como nome de usuário no blog) - **Cidade onde morava:** Gwangju, na Coreia do Sul (mencionada diretamente no texto de um post) - **Faculdade onde estudava:** Identificada no conteúdo do blog, o que serviu de pista para a próxima descoberta - **Templo que frequentava:** Identificado cruzando o nome da faculdade com uma busca no Google Maps por templos na região Esse cruzamento de informações é o coração da investigação digital. Você lê um texto, identifica uma faculdade, joga no Google Maps, procura templos na região e confirma. Não é mágica — é método. E isso funciona para qualquer site. Você pode colocar o endereço do Terra, do seu próprio site, de qualquer empresa. Vai estar lá. Eu mesmo mencionei na aula: "Você botar o Técnicas de Invasão aqui, vai tá o Técnicas de Invasão lá de 2015, como que era, o que que eu escrevia, quem que eram as pessoas, tudo." ### Dicas práticas para usar a Wayback Machine 1. Nem todas as datas têm capturas completas — certas datas mostram apenas erros ou páginas em branco 2. Percorra diferentes anos para encontrar o período em que o site tinha conteúdo ativo 3. Clique nos pontos do calendário (cada ponto é uma captura) para visualizar a versão do site naquela data 4. Links internos dentro do site arquivado podem funcionar, permitindo transitar entre páginas como se o site ainda estivesse no ar 5. Use a combinação Wayback Machine + Google Maps para confirmar localizações mencionadas no conteúdo ## Como investigar IP e DNS de um domínio O [ViewDNS.info](https://viewdns.info/) é um conjunto de ferramentas gratuitas para investigar DNS, histórico de IPs, busca reversa e muito mais. É uma das ferramentas que eu mais uso em investigações reais e que demonstrei extensivamente neste aulão. A funcionalidade mais poderosa do ViewDNS para investigação é o **IP History** — que mostra todos os endereços IP para os quais um domínio já apontou ao longo do tempo. Isso revela quais empresas de hospedagem foram usadas, quando houve mudanças de servidor e, potencialmente, quem estava por trás da infraestrutura. ### Como ver o histórico de IPs de um domínio No ViewDNS, a ferramenta **IP History** funciona assim: 1. Acesse [viewdns.info](https://viewdns.info/) 2. Encontre a seção "IP History" 3. Digite o domínio que você quer investigar 4. Clique em buscar Para o domínio republiccoffee.com, o resultado mostrou dezenas de IPs diferentes ao longo dos anos. Cada mudança de IP representa uma possível mudança de servidor, de empresa de hospedagem ou de configuração de infraestrutura. Eu também demonstrei com o meu próprio site, tecnicasinvasao.com. No histórico apareciam IPs da Cloudflare, da Sucuri e de outras empresas de segurança e hospedagem que eu já utilizei. E aqui vem uma dica que vale ouro para quem trabalha com segurança. ### Como descobrir o IP real por trás da Cloudflare A [Cloudflare](https://www.cloudflare.com) funciona como um escudo entre o visitante e o servidor real. Quando um site usa Cloudflare, o IP que aparece na consulta DNS é o da Cloudflare, não o do servidor onde o site está hospedado. Mas tem um truque: se o site não usava Cloudflare desde o início, o IP real do servidor aparece no histórico de DNS. No ViewDNS, você olha as datas anteriores à instalação da Cloudflare e encontra o IP original. Na prática, funciona assim: o dono do site instala a Cloudflare em 2025, mas antes disso o IP do servidor aparecia direto. Se você consultar o histórico, vai ver o IP real lá em 2024, 2023, e por aí vai. E geralmente o servidor não muda — o IP real continua o mesmo. Mas atenção: isso não funciona se o site sempre usou Cloudflare desde o primeiro dia. Nesse caso, o histórico só vai mostrar IPs da Cloudflare. ## Busca reversa de IP: como encontrar outros sites no mesmo servidor A [busca reversa de IP](https://hackertarget.com/reverse-ip-lookup/) (reverse IP lookup) é uma técnica que permite descobrir todos os domínios hospedados no mesmo endereço IP. Enquanto uma consulta DNS normal transforma domínio em IP, a busca reversa faz o caminho contrário — pega um IP e lista todos os domínios que apontam para ele. Isso é devastador para investigação. Se você tem o IP de um site suspeito, pode descobrir outros sites do mesmo proprietário hospedados no mesmo servidor. ### O caso real que eu contei na aula Eu já peguei quadrilha usando essa técnica. O caso foi assim: eu estava investigando um site de golpe — era um aplicativo de telefone fraudulento. Suspeitava de um indivíduo específico, mas não tinha certeza de que ele era o responsável. Fiz uma busca reversa de IP no servidor onde o site do golpe estava hospedado. E no mesmo servidor, encontrei um outro site — uma agência — com a foto do suspeito. O cara tinha um servidor compartilhado com os dois sites: o do golpe e o da agência pessoal dele. Isso acontece mais do que você imagina. As pessoas compartilham servidores para economizar. E quando fazem isso, deixam rastros que conectam atividades aparentemente separadas. ### Como fazer a busca reversa no ViewDNS 1. Acesse [viewdns.info](https://viewdns.info/) 2. Encontre a seção "Reverse IP Lookup" 3. Digite o endereço IP que você quer investigar 4. Veja a lista de todos os domínios hospedados naquele IP No desafio, quando fiz a busca reversa no IP do domínio hit.net, encontrei outros 8 domínios compartilhando o mesmo servidor. Isso confirmou que era um servidor compartilhado (shared hosting), não dedicado. ### Servidor compartilhado vs servidor dedicado — por que isso importa Em um [servidor compartilhado](https://brasilcloud.com.br/hospedagem-compartilhada-ou-dedicada-qual-e-a-melhor-opcao/), sites de donos diferentes dividem a mesma máquina física e o mesmo IP. É o plano mais barato de hospedagem — o tipo que você encontra na HostGator, na Locaweb, na Hostinger. Em um servidor dedicado, toda a máquina pertence a um único cliente. O IP é exclusivo. Para investigação, a diferença é grande: - **Servidor compartilhado:** A busca reversa pode retornar dezenas ou centenas de domínios, a maioria sem relação entre si. Mas se você encontrar dois sites do mesmo dono, a conexão fica evidente. - **Servidor dedicado:** Se a busca reversa retorna poucos domínios (1 a 5), é provável que todos pertençam ao mesmo proprietário. Cada domínio ali é uma pista. ## Como usar tags do Google Analytics para conectar sites ao mesmo dono O código do Google Analytics (formato UA-XXXXXXX-Y, ou G-XXXXXXXX no GA4) é um identificador único vinculado a uma conta Google. Quando o mesmo código aparece em dois sites diferentes, significa que ambos pertencem ao mesmo proprietário — ou pelo menos são gerenciados pela mesma pessoa. Eu demonstrei ao vivo como extrair essa tag usando a extensão [NerdyData](https://www.nerdydata.com/extension) no browser. Instalei a extensão, acessei o site investigado e cliquei no ícone da extensão. Apareceu o código do Google Analytics, do Google AdSense e outras tags de rastreamento. ### Por que isso é uma bomba investigativa Pensa comigo: um golpista cria 5 sites diferentes para aplicar fraudes. Ele usa o mesmo Google Analytics em todos porque quer acompanhar as métricas de todos os sites em um único painel. Esse código UA é a impressão digital que conecta os 5 sites. E vai além. O Google Analytics está registrado em um Gmail. O [Google AdSense](https://adsense.google.com) paga alguém — tem dados bancários vinculados. Quando uma autoridade solicita ao Google a quebra de sigilo daquele identificador, o Google coopera. Porque aquele Analytics, aquele AdSense, está registrado a uma pessoa real. Eu já encontrei 4 ou 5 sites do mesmo dono que compartilhavam o mesmo código de rastreamento. E não é só o Analytics — o [Facebook Pixel](https://www.facebook.com/business/tools/meta-pixel), o código do AdSense, qualquer tag de rastreamento pode ser o fio que conecta toda a operação. ### Como extrair tags de rastreamento de um site 1. Instale a extensão [NerdyData](https://www.nerdydata.com/extension) no Chrome ou Firefox 2. Acesse o site que você quer investigar 3. Clique no ícone da extensão 4. Procure por códigos que começam com "UA-" (Google Analytics Universal) ou "G-" (GA4) 5. Anote o código e pesquise se outros sites usam o mesmo identificador Mas tenho uma ressalva: o NerdyData piorou. Antes era totalmente gratuito, sem necessidade de criar conta. Agora exige registro. Eu tive que criar uma conta ao vivo durante a aula, o que me irritou um pouco. A alternativa é ler o código-fonte do site manualmente (Ctrl+U no browser) e buscar por "UA-" ou "gtag". ## Conectando sites aparentemente distintos via DNS No desafio do TryHackMe, eu precisei provar a conexão entre dois domínios: **hit.net** e **purchase.org**. A conexão foi encontrada através do histórico de DNS — ambos os domínios apontavam para servidores da mesma empresa: [Liquid Web](https://www.liquidweb.com). Quando verifiquei o histórico de IPs de hit.net no ViewDNS e comparei com o histórico de purchase.org, os dois tinham IPs pertencentes à Liquid Web. Mesmo servidor, mesma infraestrutura. Conexão confirmada. Esse tipo de análise comparativa é o que separa um investigador iniciante de um intermediário. Não basta encontrar dados — você precisa cruzar dados de fontes diferentes para estabelecer conexões. ### O passo a passo da conexão que eu demonstrei 1. Identifiquei o link externo para purchase.org dentro do conteúdo arquivado de hit.net (via Wayback Machine) 2. Consultei o histórico de IPs de hit.net no ViewDNS 3. Consultei o histórico de IPs de purchase.org no ViewDNS 4. Comparei os provedores de hospedagem — ambos usavam Liquid Web 5. Conexão estabelecida: mesma infraestrutura, mesmo provedor, provavelmente mesmo proprietário ## Investigação do domínio hit.net: um caso com histórico desde 1997 O domínio hit.net foi o segundo alvo do desafio. A Wayback Machine tinha capturas desse site desde **1º de junho de 1997**. Quase 30 anos de história digital. Ao percorrer as capturas ao longo dos anos, identifiquei que o site mudou de dono e de propósito em pelo menos duas ocasiões: - Na versão original, era uma empresa de jogos multiplayer online - Em 2001, aparecia uma mensagem de despedida: "After years of great gaming, it's time to say goodbye" - Em 2007, o domínio estava estacionado sem conteúdo real - Em 2010, tinha se tornado um site de aquecimento e refrigeração — empresa completamente diferente Essa mudança de proprietários é comum em domínios antigos. Domínios curtos e memoráveis como hit.net têm valor comercial e são revendidos repetidamente. ### O que esse caso ensina sobre investigação temporal Quando você investiga um domínio, precisa considerar que o dono de hoje pode não ser o dono de 5 anos atrás. E o conteúdo de 2010 pode não ter nenhuma relação com o conteúdo de 2020. Cada período temporal é uma investigação separada. No desafio, eu precisei identificar o segundo name server do domínio (via WHOIS), o IP em dezembro de 2011 (via ViewDNS IP History), a data da primeira captura no Archive.org (1º de junho de 1997), a primeira frase do último snapshot de 2001, a empresa responsável pela versão original do site, links internos vs links externos no conteúdo e a tag do Google Analytics. Cada pergunta exigia uma ferramenta diferente. E é isso que torna os desafios de CTF tão valiosos para o aprendizado — eles forçam você a alternar entre ferramentas e técnicas constantemente. ## Investigação de imagens: como descobrir onde uma foto foi tirada Investigação baseada em imagens (IMINT — Imagery Intelligence) é a arte de extrair informações de localização, contexto e identidade a partir de elementos visuais de uma fotografia. No TryHackMe, o desafio [Searchlight - IMINT](https://dev.to/l0wk3y/tryhackme-searchlight-imint-write-up-2ee8) é um dos melhores para praticar isso. Eu demonstrei ao vivo como analisar imagens para identificar locais. A técnica não é mágica — é observação sistemática. ### Caso 1: Identificando a estação Piccadilly Circus em Londres Recebi uma imagem de uma estação de metrô. Elementos que identifiquei: - A palavra "Circus" visível em um letreiro - Indicações de "Subway" e "Underground" (metrô de Londres) - Arquitetura característica de estações londrinas - Formato das placas de sinalização típico do Transport for London Combinei esses elementos em uma busca no Google: **"Subway Underground Circus London"**. O resultado: [Piccadilly Circus tube station](https://en.wikipedia.org/wiki/Piccadilly_Circus_tube_station). Confirmei no Google Maps comparando a fachada dos prédios com a imagem original. ### Caso 2: Aeroporto de Vancouver pelo código YVR Outra imagem mostrava um ambiente de aeroporto com o texto "YVR Connect" visível. YVR é o código IATA do aeroporto de Vancouver, Canadá. Identificação instantânea para quem conhece códigos de aeroporto — e uma busca rápida no Google para quem não conhece. ### Caso 3: Café turco em Edimburgo Uma imagem de um café com comida que parecia ser um "Turkish breakfast". A investigação envolveu identificar o tipo de comida (café da manhã turco), buscar por cafés turcos na cidade indicada pelo desafio (Edimburgo) e comparar a fachada e o interior do café com imagens no Google Maps. Chegou no local, qual é o telefone? Qual é o e-mail? Qual é o nome dos donos? Qual é o WhatsApp? É isso. Pensando de forma reversa — da imagem para a identidade. ### Caso 4: Hotel em Singapura via Street View No desafio Searchlight, uma das tarefas envolvia identificar um hotel em Singapura. O detalhe interessante (que aparece nos writeups da comunidade) é que o hotel já havia sido demolido — as imagens do Google Street View de 2024 mostravam o terreno vazio. Isso reforça uma lição: dados mudam, e o investigador precisa considerar a dimensão temporal de cada evidência. ### Metodologia para investigação de imagens 1. **Leia a imagem inteira:** Placas, letreiros, marcas, idiomas visíveis, tipo de vegetação, lado da rua em que os carros trafegam 2. **Identifique elementos únicos:** Códigos de aeroporto, nomes de estações, números de telefone, logotipos 4. **Construa buscas combinando elementos:** "Subway + Underground + Circus + London" é mais efetivo que buscar cada termo isoladamente 5. **Confirme no Google Maps / Street View:** Compare a perspectiva da foto com a vista do Street View 6. **Use busca reversa de imagens:** Arraste a imagem para o Google Imagens e veja se ela aparece em algum outro contexto Eu mencionei na aula que hoje, automaticamente, quando vejo uma foto de qualquer pessoa, já começo a analisar. É um hábito que se desenvolve com prática. E os desafios de IMINT no TryHackMe são perfeitos para construir esse hábito. Se você quer se aprofundar em [técnicas de investigação de pessoas](https://brunofraga.com/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint), a análise de imagens é uma habilidade que complementa perfeitamente a investigação textual. ## A importância de anotar tudo durante uma investigação Durante o aulão, eu criei um documento no [Notion](https://www.notion.so) ao vivo e compartilhei o link com os participantes. Cada dado que eu encontrava — IP, nome, empresa, telefone — ia direto para o documento. Isso não é frescura. Em uma investigação real, você pode passar horas coletando dados. Se não anotar de forma organizada, vai perder conexões que só aparecem quando você olha tudo junto. Eu uso o Notion, mas pode ser qualquer ferramenta: Google Docs, Obsidian, até um bloco de notas. O que importa é registrar cada descoberta com a fonte e a data. Quando você precisa montar um relatório ou apresentar evidências, ter tudo documentado faz a diferença entre um trabalho profissional e um amador. E confesso: investigar ao vivo com câmera é muito diferente de investigar normalmente. No meu dia a dia, fico no escuro, com 15 abas abertas, anotando de forma caótica. Na aula, preciso manter tudo organizado para que as pessoas acompanhem. É um desafio extra. ## Como começar a praticar investigação digital hoje Se você chegou até aqui, já tem conhecimento suficiente para começar. O caminho é direto: 1. Crie sua conta gratuita no [TryHackMe](https://tryhackme.com/) 2. Comece pelo desafio **WebOSINT** — ele ensina WHOIS, Wayback Machine e ViewDNS na prática 3. Depois faça o **Searchlight - IMINT** — ele desenvolve sua capacidade de análise de imagens 4. Use o [ICANN Lookup](https://lookup.icann.org/) para consultar domínios reais que você encontra no dia a dia 5. Explore o [ViewDNS.info](https://viewdns.info/) com domínios que você conhece — veja o histórico de IPs do seu próprio site 6. Instale a extensão [NerdyData](https://www.nerdydata.com/extension) e comece a observar as tags de rastreamento dos sites que você visita Mas não fique só nos desafios. Aplique no seu contexto. Se você é policial, advogado, jornalista, investigador particular — cada técnica que eu mostrei aqui tem aplicação direta no seu trabalho. O [ChatGPT também pode auxiliar](https://brunofraga.com/aulao-semanal/chatgpt-para-investigacao-digital) na organização e análise dos dados que você coleta. E se você está pensando em [iniciar carreira como investigador digital](https://brunofraga.com/aulao-semanal/como-iniciar-carreira-investigador-digital), esses desafios são o melhor portfólio que você pode construir. Resolva os CTFs, documente seu processo, publique writeups. Isso mostra competência prática. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | TryHackMe | Plataforma de desafios práticos de OSINT e cibersegurança com salas gratuitas | [TryHackMe](https://tryhackme.com/) | | ICANN WHOIS Lookup | Consulta de dados de registro de domínios (proprietário, registradora, telefone, name servers) | [ICANN Lookup](https://lookup.icann.org/) | | Wayback Machine (Archive.org) | Acesso a versões históricas de qualquer site da internet, mesmo que não exista mais | [Wayback Machine](https://web.archive.org) | | ViewDNS.info | Histórico de IPs de domínios, busca reversa de IP, ferramentas de investigação DNS | [ViewDNS.info](https://viewdns.info/) | | NerdyData | Extensão de browser para identificar tags de rastreamento (Google Analytics, AdSense) em sites | [NerdyData Extension](https://www.nerdydata.com/extension) | | Google Maps | Geolocalização e confirmação visual de locais identificados durante investigação de imagens | [Google Maps](https://maps.google.com) | | Notion | Ferramenta de anotações para organizar dados coletados durante a investigação | [Notion](https://www.notion.so) | | Shodan | Buscador de dispositivos conectados à internet (câmeras, servidores, IoT) | [Shodan](https://www.shodan.io/search/filters) | ## Perguntas Frequentes ### Como praticar investigação digital de graça? A melhor forma é usar plataformas de CTF como o [TryHackMe](https://tryhackme.com/), que oferece salas gratuitas com desafios de OSINT. Você recebe um alvo (domínio, imagem, cenário) e precisa responder perguntas usando técnicas de investigação. Ferramentas como [ICANN Lookup](https://lookup.icann.org/), [Wayback Machine](https://web.archive.org) e [ViewDNS.info](https://viewdns.info/) também são gratuitas. ### O que é CTF de OSINT e como funciona? [CTF (Capture the Flag)](https://en.wikipedia.org/wiki/Capture_the_flag_(cybersecurity)) é uma competição de cibersegurança onde participantes resolvem desafios para encontrar "flags" (respostas). No contexto de OSINT, os desafios envolvem investigar domínios, imagens e infraestrutura digital usando fontes abertas. Você recebe um alvo, investiga com ferramentas reais e submete as respostas na plataforma. ### Como investigar um site que não existe mais? Use a [Wayback Machine](https://web.archive.org) para acessar versões arquivadas do conteúdo, consulte o WHOIS via [ICANN Lookup](https://lookup.icann.org/) para ver dados de registro do domínio, e verifique o histórico de IPs no [ViewDNS.info](https://viewdns.info/). Um site fora do ar ainda possui registros de domínio, histórico de DNS e conteúdo arquivado que podem ser investigados. ### Como descobrir quem registrou um domínio? Faça uma consulta WHOIS no [ICANN Lookup](https://lookup.icann.org/) ou diretamente no terminal com o comando `whois nomedodominio.com`. Os resultados mostram a empresa registradora, dados de contato, name servers e datas de registro. Se o proprietário ativou privacidade WHOIS, os dados pessoais estarão ocultos, mas autoridades podem solicitar a quebra judicial desse sigilo. ### Como ver o histórico de um site na internet? Acesse [web.archive.org](https://web.archive.org) e digite a URL do site. A Wayback Machine mostra um calendário com todas as capturas feitas ao longo dos anos. Clique em uma data para ver como o site era naquele momento. No aulão, encontrei capturas do domínio hit.net desde 1º de junho de 1997. ### Como descobrir outros sites hospedados no mesmo servidor? Use a busca reversa de IP (reverse IP lookup) no [ViewDNS.info](https://viewdns.info/). Digite o endereço IP do servidor e a ferramenta lista todos os domínios que apontam para aquele IP. Em servidores compartilhados, isso pode revelar dezenas de sites — incluindo outros domínios do mesmo proprietário. ### Como fazer busca reversa de IP para investigação? Acesse [viewdns.info](https://viewdns.info/), encontre a seção "Reverse IP Lookup", digite o IP que você quer investigar e veja a lista de domínios. Essa técnica é especialmente útil em servidores compartilhados, onde sites dividem o mesmo IP. Eu já identifiquei quadrilhas inteiras usando essa técnica — encontrando sites pessoais do suspeito no mesmo servidor do site de golpe. ### Qual é o principal desafio na investigação de crimes virtuais? O maior desafio é a velocidade com que os crimes acontecem e a dificuldade de obtenção rápida de dados. Em minutos, valores são movimentados por dezenas de contas. Isso exige integração ágil entre investigadores, plataformas digitais e órgãos reguladores. Do lado técnico, a privacidade WHOIS, o uso de CDNs como Cloudflare e a hospedagem em jurisdições diferentes dificultam a identificação dos responsáveis. Se você quer entender mais sobre [como desvendar golpes na prática](https://brunofraga.com/aulao-semanal/investigacao-digital-casos-reais-golpe-olx), recomendo ler o artigo do aulão 003. ### Como descobrir a tag do Google Analytics de um site? Instale a extensão [NerdyData](https://www.nerdydata.com/extension) no browser, acesse o site e clique no ícone da extensão. Ela mostra o código do Google Analytics (formato UA-XXXXXXX ou G-XXXXXXXX), AdSense e outras tags. Alternativamente, abra o código-fonte do site (Ctrl+U) e busque por "UA-" ou "gtag". Essa tag está vinculada a um Gmail e pode conectar sites aparentemente distintos ao mesmo proprietário. > **Veja também:** [Programação do Zero para Investigação Digital — Aulão #25](/aulao-semanal/programacao-do-zero-para-investigacao-digital) > **Veja também:** [Desafio OSINT ao Vivo — Aulão #039](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme) > **Veja também:** [Desafio de Investigação Digital ao Vivo: Como Rastreamos um Golpista do Pix — Aulão #049](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) ## Referências e Recursos - [TryHackMe — Plataforma de aprendizado em cibersegurança](https://tryhackme.com/) - [TryHackMe — OSINT Tools You Can Practise Safely](https://tryhackme.com/resources/blog/osint-tools-you-can-practise-safely) - [ICANN Lookup — Consulta WHOIS oficial](https://lookup.icann.org/) - [ICANN — WHOIS and Registration Data Directory Services](https://www.icann.org/resources/pages/whois-rdds-2023-11-02-en) - [Wayback Machine — Internet Archive Help Center](https://help.archive.org/help/using-the-wayback-machine/) - [ViewDNS.info — Ferramentas de investigação DNS](https://viewdns.info/) - [ViewDNS.info — Reverse IP Lookup API](https://viewdns.info/api/reverse-ip-lookup/) - [NerdyData — Extensão gratuita para análise de tecnologias](https://www.nerdydata.com/extension) - [NerdyData — Search Engine for Source Code](https://www.nerdydata.com/) - [Capture the Flag (cybersecurity) — Wikipedia](https://en.wikipedia.org/wiki/Capture_the_flag_(cybersecurity)) - [WHOIS — Wikipedia](https://en.wikipedia.org/wiki/WHOIS) - [Reverse IP Lookup — Hacker Target](https://hackertarget.com/reverse-ip-lookup/) - [Name Server — Wikipedia](https://en.wikipedia.org/wiki/Name_server) - [Piccadilly Circus tube station — Wikipedia](https://en.wikipedia.org/wiki/Piccadilly_Circus_tube_station) - [Shodan — What is Shodan?](https://help.shodan.io/the-basics/what-is-shodan) - [TryHackMe WebOSINT Writeup — Carson Shaffer](https://blog.carsonshaffer.me/tryhackme-webosint-writeup-9ad5fe108d8b) - [TryHackMe Searchlight IMINT Walkthrough — Jasper Alblas](https://www.jalblas.com/blog/tryhackme-searchlight-imint-walkthrough/) --- ### Aulão #016 — Desmascarando E-mails Fraudulentos: Do Cabeçalho Suspeito ao Takedown do Site Falso URL: https://brunofraga.com/aulao-semanal/como-investigar-emails-fraudulentos-ferramentas-tecnicas-avancadas Publicado: 2024-08-21 Tags: investigacao-digital, ciberseguranca, osint, tutoriais, hacking YouTube: https://www.youtube.com/watch?v=zc9OnPvibTk Neste aulão em vídeo com demonstração prática, Bruno Fraga mostra como investigar e-mails fraudulentos do zero: análise de cabeçalhos, verificação de SPF/DKIM/DMARC, rastreamento da origem real do remetente e como solicitar a derrubada de sites de phishing. Ferramentas e técnicas que você pode aplicar imediatamente. ## O que você vai aprender neste aulão Saber como investigar e-mails fraudulentos é a habilidade que separa quem cai em golpe de quem desmonta o golpe. Nesse aulão 16, eu demonstrei ao vivo — junto com o Antônio (@focoensec) — como analisar cabeçalhos de e-mail, verificar autenticação SPF/DKIM/DMARC, rastrear IPs de remetentes e até usar inteligência artificial para identificar phishing em segundos. Depois de ler este artigo, você vai conseguir abrir o cabeçalho de qualquer e-mail suspeito no Gmail, Outlook ou ProtonMail, verificar se a autenticação passou ou falhou, checar a reputação do IP de envio, analisar anexos sem se infectar e investigar sites de phishing usando bases de dados atualizadas a cada 90 minutos. Tudo com ferramentas gratuitas que eu mostrei funcionando na prática. E não estou falando de dicas genéricas tipo "verifique o remetente". Estou falando do método que investigadores profissionais usam — o mesmo tipo de análise que o FBI faz com equipe dedicada exclusivamente a e-mails. A diferença é que você não precisa ser do FBI para fazer isso. Precisa das ferramentas certas e do conhecimento que eu vou te passar agora. São 294 bilhões de e-mails enviados por dia no mundo, segundo dados da Statista/Radicati Group. E 91% dos ataques cibernéticos começam com um simples e-mail — dados publicados por empresas como Check Point Software e confirmados em relatórios de segurança globais. Sabendo disso, ignorar a investigação de e-mails é como deixar a porta da sua casa aberta e reclamar quando roubam. ## Por que investigar e-mails fraudulentos é a habilidade mais subestimada da segurança digital A investigação de e-mail phishing é subestimada porque a maioria das pessoas confia no que vê na tela. O nome do remetente diz "Bradesco"? Então é do Bradesco. Diz "Polícia Civil"? Então é da Polícia Civil. Só que não funciona assim. Eu já tive experiência direta com uma empresa da Avenida Paulista que pagava entre 12 e 14 milhões de dólares por ano em licenças de segurança — antivírus, firewalls, monitoramento, tudo de ponta. E sofreram um vazamento gigante por causa de um único e-mail. Um. Milhões de dólares em proteção, e o elo mais fraco foi um clique num e-mail que parecia legítimo. Mas não é só empresa grande que sofre. Os bancos, que têm equipes extraordinárias de segurança, reportam que 88% dos ataques a instituições bancárias acontecem via e-mail. E os próprios bancos afirmam: 98% das invasões vêm de cliques dos próprios clientes. Não é falha do sistema do banco. É o cliente abrindo a porta. O FBI tem uma equipe inteira dedicada exclusivamente à análise de e-mails. Eles rastrearam e-mails ameaçadores até endereços IP de remetentes, o que gerou discussão sobre privacidade e monitoramento de cidadãos. Mas o ponto aqui é outro: se o FBI dedica recursos específicos para isso, talvez você também devesse prestar atenção nos e-mails que recebe. ## Como funciona a estrutura de um e-mail: do visual ao código oculto Todo e-mail tem duas camadas: o que você vê (front-end) e o que está escondido (back-end). A parte visual — nome do remetente, assunto, corpo da mensagem — é só a superfície. Por trás existe um código completo que registra cada passo do e-mail, desde o servidor de origem até a sua caixa de entrada. ### Os campos obrigatórios de todo e-mail Todo e-mail carrega estes campos: - **From e To** — remetente e destinatário - **Data e hora** — timestamp do envio - **Assunto** — mesmo que esteja em branco, o campo existe (é obrigatório pelo protocolo) - **CC e CCO** — com cópia e com cópia oculta - **Corpo do e-mail** — o conteúdo visível - **Message ID** — um identificador único, como uma digital. Não existem dois iguais. Cada e-mail enviado gera um Message ID diferente, mesmo que o conteúdo seja idêntico E tem mais: plataformas como o [Streak](https://www.streak.com) permitem rastrear se e-mails enviados foram visualizados pelo destinatário, usando justamente o Message ID. Então esse identificador único não serve só para investigação — serve para monitoramento de comunicação corporativa também. ### O cabeçalho: o que o FBI realmente investiga Grava isso: **cabeçalho de e-mail**. É o grande segredo. É isso que o FBI investiga. É isso que qualquer investigador sério vai pedir. Se você um dia for fazer uma denúncia, o que vão solicitar é o cabeçalho. Não vão pedir print. Não vão pedir "me manda uma captura de tela do e-mail que você recebeu". O que conta é o cabeçalho — porque contra cabeçalhos não há argumentos. O cabeçalho registra o IP do servidor de envio, por quais servidores o e-mail passou, quanto tempo demorou cada salto, se passou nas verificações de autenticação e o caminho completo até chegar a você. É como um rastreio de encomenda, só que para mensagens eletrônicas. ## O que é spoofing de e-mail e por que a vulnerabilidade SMTP ainda existe Spoofing de e-mail é a técnica de forjar o campo "from" de um e-mail para se passar por outra pessoa ou empresa. Funciona porque o protocolo SMTP (Simple Mail Transfer Protocol) tem uma falha de design que nunca foi corrigida: ele não exige verificação do remetente no momento do envio. ### Demonstração ao vivo: enviando e-mail como "Polícia Civil" Nesse aulão, eu demonstrei isso ao vivo. Usei um site gratuito — o [Emkei's Fake Mailer](https://emkei.cz/) — que tem um campo "from" editável. No Gmail, esse campo não existe; o remetente é definido automaticamente pela sua conta. Mas em outras plataformas e servidores SMTP, você escreve o que quiser. Enviei um e-mail como "Bruno Inspetor", do endereço bruno@policiacivil.com.br, para o ProtonMail do Antônio. O e-mail chegou na caixa de entrada — não no spam. O Antônio abriu e lá estava: "Bruno Inspetor, policiacivil.com.br, Preciso falar com você." Por que não caiu no spam? Porque o domínio policiacivil.com.br provavelmente não tem chaves de autenticação (SPF, DKIM, DMARC) configuradas. Sem essas chaves, o provedor de e-mail não tem contra o que verificar. É como se não existisse um crachá para comparar — então o e-mail passa. Mas quando fizemos o mesmo teste com o domínio bradesco.com, o Gmail detectou o spoofing. Apareceu um aviso: "Este e-mail falhou na autenticação de domínio. Pode ter sido spoofado." Isso aconteceu porque o Bradesco tem SPF, DKIM e DMARC configurados. O Gmail verificou, não bateu, e alertou. ### Por que essa falha ainda existe Não existe uma regra na internet que impeça alguém de escrever qualquer endereço no campo "from" de um e-mail. Eu posso enviar um e-mail como bruno@fbi.gov, como bruno@casasbahia.com, como quem eu quiser. A proteção vem depois, na verificação — e só funciona se o domínio legítimo tiver configurado seus registros de autenticação. Eu trabalhei durante 3 meses em 2015 numa empresa que fazia prospecção por e-mail (para ser gentil com o termo). A gente disparava milhões de e-mails por dia. Eu criei um shell script que alternava automaticamente quando um IP era encontrado numa blacklist. Num dia, mandava 1 milhão de e-mails alternando entre 40 ou 50 IPs. Bloqueou um? Vai para o próximo. Enquanto remove da blacklist, já está usando outro. Era uma guerra constante. E até hoje é assim. Spammers profissionais usam múltiplos IPs, compram servidores na DigitalOcean, Amazon, Azure, criam contas em plataformas de envio com boa reputação. Algumas empresas de cloud já exigem solicitação para liberar a porta SMTP em contas novas — justamente para dificultar esse tipo de abuso. Mas não elimina o risco. ## Como acessar o cabeçalho de e-mail no Gmail, Outlook e ProtonMail Acessar o cabeçalho é o primeiro passo técnico da investigação. Cada plataforma tem seu caminho, mas o resultado é o mesmo: um bloco de código com todas as informações de rota, autenticação e servidores. ### No Gmail 1. Abra o e-mail suspeito 2. Clique nos três pontinhos (menu) no canto superior direito da mensagem 3. Clique em **"Mostrar original"** 4. O Gmail já mostra no topo, de forma formatada: SPF, DKIM e DMARC com o resultado (pass ou fail) 5. Abaixo, o cabeçalho completo em texto O Gmail é especialmente bom nisso. Ele já formata os resultados de autenticação no topo da visualização original, o que torna a leitura rápida mais prática. ### No Outlook 1. Abra o e-mail suspeito 2. Procure a opção **"Exibir origem da mensagem"** 3. O cabeçalho completo aparece em texto ### No ProtonMail 1. Abra o e-mail suspeito 2. Clique em **"View Headers"** (ou "Ver cabeçalhos" em português) 3. O cabeçalho completo aparece Mas não se assuste com o bloco de código. Existem ferramentas que formatam tudo isso de forma visual — e é exatamente o que vou mostrar agora. ## SPF, DKIM e DMARC: como verificar a autenticidade de um e-mail SPF, DKIM e DMARC são os três mecanismos de autenticação que determinam se um e-mail é legítimo. Quando os três mostram "pass", o e-mail veio de um servidor autorizado pelo domínio. Quando mostram "none" ou "fail", algo está errado. ### O que cada um faz **SPF (Sender Policy Framework)** — Define quais servidores têm permissão para enviar e-mails em nome de um domínio. É um registro DNS que lista os IPs autorizados. **DKIM (DomainKeys Identified Mail)** — Adiciona uma assinatura criptográfica ao e-mail. O servidor receptor verifica essa assinatura contra a chave pública no DNS do domínio. **DMARC (Domain-based Message Authentication, Reporting & Conformance)** — Combina SPF e DKIM e define uma política: o que fazer quando a verificação falha? Pode ser "none" (não fazer nada), "quarantine" (mandar para spam) ou "reject" (rejeitar completamente). **Return-Path** — O endereço para onde e-mails com erro de entrega são devolvidos. Em e-mails spoofados, o Return-Path geralmente não bate com o campo "from" — mais um indicador de fraude. ### Na prática: e-mail spoofado vs. e-mail legítimo Quando analisamos o cabeçalho do e-mail spoofado da "Polícia Civil" que eu enviei para o Antônio, o resultado foi claro: - SPF: **none** - DKIM: **none** - DMARC: **none** Nenhuma autenticação. Zero. Já no e-mail legítimo que comparamos, os três mostravam **pass**. A diferença é gritante. E quando testamos o spoofing com o domínio do Bradesco, o resultado foi DMARC **fail** e Authentication **fail**. O Gmail detectou e exibiu o aviso de segurança. ### Como verificar as configurações de um domínio Você pode verificar se qualquer domínio tem SPF e DMARC configurados usando validadores online. Nesse aulão, testamos o domínio focoensec.com.br do Antônio — e não tinha nenhum registro configurado. Qualquer pessoa poderia enviar e-mails se passando por ele. Já o brunofraga.com estava totalmente configurado: SPF com Google e [ActiveCampaign](https://www.activecampaign.com) autorizados, DKIM com chave válida e DMARC com política **reject** — ou seja, qualquer e-mail não autorizado é rejeitado na hora. Eu uso o [GlockApps](https://glockapps.com) para receber relatórios mensais de servidores que tentaram usar meu domínio sem autorização. É um serviço pago, mas me dá visibilidade total sobre quem está tentando se passar por mim. ## Ferramentas para analisar cabeçalhos de e-mail de forma visual Ler cabeçalhos em texto puro não é para todo mundo. Por isso existem ferramentas que formatam essas informações de forma visual, destacando o que importa. ### Google Admin Toolbox — Message Header O [Google Admin Toolbox](https://toolbox.googleapps.com/apps/main/) tem uma ferramenta chamada Messageheader. Você copia o cabeçalho completo do e-mail, cola na ferramenta e clica em "Analisar cabeçalho". Ela mostra: - Message ID único - Horário de envio e tempo de entrega (no caso do e-mail spoofado, foram 11 segundos) - Cada "salto" do e-mail entre servidores, com tempo de cada um - Resultado de SPF, DKIM e DMARC de forma clara - Possíveis atrasos e qual servidor causou o delay Quando colamos o cabeçalho do e-mail spoofado, o resultado foi direto: SPF none, DKIM none, DMARC none. Sem autenticação nenhuma. E tem um detalhe prático: se alguém na sua empresa reclamar que um e-mail atrasou, você pode pegar o cabeçalho e jogar nessa ferramenta para ver exatamente onde foi o atraso e quanto tempo demorou cada salto. ### Azure Message Header Analyzer O [Message Header Analyzer da Microsoft](https://mha.azurewebsites.net/) é uma alternativa que funciona bem com ProtonMail, Yahoo e outros provedores. Você cola o cabeçalho e ele formata os resultados mostrando subject, remetente e status de autenticação. Quando analisamos o e-mail spoofado nessa ferramenta, o resultado confirmou: não passou na validação. Mesma conclusão, ferramenta diferente. Eu recomendo usar as duas. Não por redundância, mas porque cada uma apresenta os dados de forma ligeiramente diferente, e às vezes um detalhe que passa despercebido numa aparece na outra. ## Como verificar a reputação de um IP com AbuseIPDB e MX Toolbox Depois de extrair o IP do cabeçalho do e-mail, o próximo passo é verificar a reputação desse IP. Um IP limpo pode indicar um servidor legítimo. Um IP com centenas de reportes indica spam, phishing ou atividade maliciosa. ### AbuseIPDB O [AbuseIPDB](https://www.abuseipdb.com) é um projeto dedicado a ajudar administradores de sistemas a verificar e reportar IPs envolvidos em atividade maliciosa — spam, tentativas de hack, ataques DDoS e mais. Quando jogamos o IP do servidor que enviou o e-mail spoofado, o resultado foi: **214 reportes** de spam para aquele IP. Alguém já tinha reportado 2 meses antes. Se fosse realmente da Polícia Civil, obviamente não teria nenhum reporte de spam. Você pode verificar qualquer IP — inclusive o da sua própria casa — para ver se em algum momento foi usado para envio de spam, brute force ou outros abusos. ### MX Toolbox O [MX Toolbox](https://mxtoolbox.com/blacklists.aspx) permite verificar se um IP está em blacklists. Ele testa contra mais de 100 blacklists de DNS. No nosso teste, o IP do site de envio estava listado na Sorbs Spam. Mas atenção: quando dezenas de pessoas usam o mesmo site de demonstração ao mesmo tempo (como aconteceu durante o aulão), o IP pode entrar em blacklist rapidamente por excesso de uso. Isso não invalida a ferramenta — só mostra como o sistema de reputação funciona em tempo real. ## Como analisar anexos e PDFs suspeitos sem se infectar Anexos são o segundo vetor de ataque mais comum em e-mails fraudulentos. E os criminosos estão ficando espertos: colocam senha nos PDFs para que nenhum antivírus consiga escanear o conteúdo. ### O truque do PDF com senha Nesse aulão, analisamos um PDF falso do Bradesco com senha "1010". Quando jogamos no [VirusTotal](https://www.virustotal.com) para escanear, o resultado foi: **nenhum antivírus detectou**. Zero detecções em mais de 90 engines. Por quê? Porque o PDF estava criptografado com senha. Nenhum antivírus, por melhor que seja, consegue ver o que tem dentro de um PDF protegido por senha. Os criminosos sabem disso. É por isso que colocam senha — não para "proteger" o documento, mas para cegar os antivírus. ### VirusTotal vs. URLScan.io: por que usar mais de uma ferramenta Quando escaneamos a URL do site de phishing bancário no VirusTotal, ele deu como **limpo**. Mais de 90 antivírus olharam e disseram: "sem problema". Mas quando jogamos a mesma URL no [URLScan.io](https://urlscan.io/about/), o resultado foi diferente: **malicioso**. O Google classificou como malicioso dentro do URLScan. Essa é a grande lição: você não pode confiar em apenas uma ferramenta. Precisa confiar na sua análise e usar mais de um veredito. O URLScan.io é especialmente útil porque ele acessa o site suspeito remotamente — você não precisa abrir no seu browser. Ele tira screenshot, mostra redirecionamentos, classifica o risco e exibe todo o comportamento da página. No nosso caso, ele mostrou que o site fazia um redirecionamento para outro domínio — comportamento típico de phishing. ### Como copiar links sem clicar Uma técnica simples que pouca gente conhece: clique com o **botão direito** no link suspeito e selecione **"Copiar endereço do link"**. Assim você pega a URL sem abrir nada. Daí cola no VirusTotal ou URLScan.io para análise segura. ### FOCA: extraindo metadados de documentos O [FOCA (Fingerprinting Organizations with Collected Archives)](https://github.com/ElevenPaths/FOCA) é um software gratuito que extrai metadados de documentos — PDF, DOC, entre outros. Ele revela informações como username do criador, nome do computador, pasta de origem, data de criação e modificação. No nosso teste, o FOCA revelou que o PDF foi criado por um computador chamado "Só Cola" (era um ambiente de teste, mas imagine isso num cenário real — o nome do computador do criminoso exposto nos metadados). Também mostrou a URL de onde o PDF foi gerado e a pasta de origem. Mas cuidado: o FOCA é um software para Windows e o repositório no GitHub não recebe atualizações frequentes. Funciona bem para o que se propõe, mas não espere interface moderna. ## Como usar o ChatGPT para analisar cabeçalhos de e-mail Inteligência artificial pode automatizar a análise de cabeçalhos de e-mail em segundos. No aulão, demonstramos isso ao vivo com o ChatGPT e o resultado impressionou até o Antônio. ### Passo a passo da análise com IA 1. Abra o e-mail suspeito e acesse o cabeçalho (como mostrei antes) 2. Copie o cabeçalho completo 3. Abra o [ChatGPT](https://chat.openai.com) 4. Cole o cabeçalho e peça: "Por favor, analise este e-mail e me diga o que você acha" 5. Em segundos, você tem o veredito Quando colamos o cabeçalho do e-mail spoofado da "Polícia Civil", o ChatGPT identificou em **3 segundos** que: - O e-mail parecia suspeito - Usou criptografia, mas não passou na autenticação - SPF, DKIM e DMARC não foram verificados com sucesso - Não foi a Polícia Civil que enviou - A falta de autenticação indica que o e-mail pode ser falso Tudo que fizemos manualmente — verificar SPF, DKIM, DMARC, analisar o IP — o ChatGPT fez automaticamente em segundos. E você pode continuar perguntando: "Qual IP disparou esse e-mail?" E ele responde com a linha exata do cabeçalho. Mas não use o ChatGPT como substituto da sua análise. Use como ferramenta de triagem rápida. Ele é excelente para uma primeira avaliação, mas você precisa saber interpretar os resultados para casos mais complexos. ### O caso do boleto legítimo com remetente fraudulento Um seguidor me relatou um caso interessante: recebeu uma cobrança do Mercado Pago com cabeçalhos totalmente autênticos — SPF pass, DKIM pass, tudo legítimo. Mas o boleto era de um golpista que criou uma conta real no Mercado Pago usando a mesma razão social e CNPJ de uma empresa legítima. Nesse caso, a análise de cabeçalho sozinha não resolve. O e-mail é tecnicamente legítimo — foi enviado pelos servidores reais do Mercado Pago. O golpe está na conta, não no e-mail. E isso mostra uma limitação importante: golpistas estão evoluindo e criando contas reais em plataformas de pagamento para emitir cobranças fraudulentas com autenticação legítima. ## Como investigar e derrubar sites de phishing na prática Investigar sites de phishing é uma das experiências mais formativas que um profissional de segurança pode ter. Eu era viciado nisso. Abria dezenas de páginas de phishing, fazia enumeração de diretórios e encontrava os arquivos de log dos criminosos. ### A anatomia de um site de phishing amador A maioria dos criminosos de phishing é amadora. Eles criam formulários de captura (aquela página falsa do banco pedindo agência e conta) e salvam os dados em arquivos de texto no próprio servidor. Eu encontrava arquivos como: - recebido.txt - entrada.txt - log.txt - painel/cartões.txt - dados.php (com output em texto plano) Basta fazer enumeração de diretórios — testar caminhos comuns no browser — e você encontra os logs expostos. Dentro desses arquivos estão os dados das vítimas e, frequentemente, informações que levam ao criminoso. ### Sites legítimos hackeados para hospedar phishing No aulão, abrimos mais de 10 sites de phishing do CSV do PhishStats e encontramos um padrão preocupante: sites brasileiros legítimos que foram hackeados para hospedar phishing. O site ake.com.br, por exemplo, era uma loja real de vendas. Alguém invadiu a hospedagem e upou uma página de phishing bancário. Resultado? O site inteiro foi banido por todos os browsers. O negócio legítimo foi destruído por uma falha de segurança que permitiu a invasão. Outro caso: o site de Rafael Paes, uma empresa de consultores de TI, foi hackeado com uma página de phishing de "pacote para agendar entrega". E quando investigamos mais a fundo, encontramos um documento de cybercrime da República Tcheca que já documentava o mesmo golpe — mostrando que era uma operação internacional. E remover o aviso de "site perigoso" do Google depois de ser hackeado é trabalhoso e demorado. O dano à reputação é real. ### Técnicas avançadas de investigação de phishing Quando encontro um site de phishing, meu processo vai além de só reportar: 1. **Busca reversa de favicon** — Pego o favicon (ícone do site) e busco a hash no [Shodan](https://www.shodan.io) para encontrar outros servidores com o mesmo ícone. Isso revela infraestrutura relacionada. 2. **Pesquisa por identificadores** — Copio textos específicos do golpe (frases, tracking codes, identificadores) e pesquiso no Google. Isso encontra outros sites da mesma quadrilha usando o mesmo template. 3. **Enumeração de diretórios** — Testo caminhos comuns para encontrar logs, painéis administrativos e arquivos expostos. 4. **Leitura de metadados de imagens** — Imagens usadas no phishing podem conter metadados que revelam informações sobre o criador. 5. **Contato com a hospedagem** — Envio e-mail para abuse@ da empresa de hospedagem informando sobre o phishing. Geralmente em 48 a 72 horas o site é derrubado. ## PhishStats: monitorando phishing em tempo real no mundo todo O [PhishStats](https://phishstats.info/) é o principal projeto global de monitoramento de sites de phishing. Desde 2014, ele reúne reportes e identificações de phishing no mundo todo, com dados atualizados a cada 90 minutos. A cada 90 minutos, o PhishStats gera um novo CSV com sites de phishing identificados. Cada entrada contém data, horário, URL e informações sobre o phishing. No aulão, abri o CSV do dia e fui abrindo os sites listados — páginas clonadas do Facebook/Messenger, sites brasileiros hackeados hospedando phishing bancário, golpes de "pacote para agendar entrega" com checkout para pagamento, links do Bitly já bloqueados por redirecionarem para phishing. O PhishStats também oferece um dashboard com métricas globais e API para consulta programática. Para quem quer automatizar monitoramento de phishing, é uma fonte de dados indispensável. Eu aprendi muito investigando phishing na prática. Foram noites sem dormir seguindo rastros, encontrando conexões entre sites, descobrindo operações internacionais. E tem um lado prático também: sites hackeados que aparecem no PhishStats são potenciais clientes para quem trabalha com segurança. "Vi que seu site foi invadido e está hospedando phishing. Posso ajudar a resolver." É prospecção legítima baseada em dados reais. ## Como proteger seu domínio contra spoofing de e-mail Proteger seu domínio é configurar SPF, DKIM e DMARC nos registros DNS. Sem isso, qualquer pessoa pode enviar e-mails se passando por você. **SPF** — Liste todos os servidores autorizados a enviar e-mails pelo seu domínio. No meu caso (brunofraga.com), autorizo apenas o Google e o ActiveCampaign. **DKIM** — Configure a chave criptográfica que assina seus e-mails. O servidor receptor verifica essa assinatura para confirmar que o e-mail não foi alterado. **DMARC** — Defina a política de rejeição. Eu uso "reject" — qualquer e-mail não autorizado é rejeitado na hora. Não vai para spam, não vai para quarentena. É rejeitado. O [BIMI (Brand Indicators for Message Identification)](https://bimigroup.org/) é uma evolução da autenticação de e-mail. Ele permite que sua logo e um selo de verificação apareçam dentro do Gmail e Hotmail quando o destinatário recebe seu e-mail. Para obter o BIMI, você precisa ter DMARC configurado com política estrita, histórico de compliance, e pagar uma licença anual de aproximadamente $300 para o certificado VMC (Verified Mark Certificate). Eu estou no processo de obter essa certificação para o brunofraga.com. Mas o BIMI não é para todo mundo. É mais relevante para empresas que enviam e-mails em volume e precisam de reconhecimento visual de marca. Para uso pessoal, SPF + DKIM + DMARC com política reject já resolve. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | AbuseIPDB | Verificar reputação de IPs — reportes de spam, phishing, brute force | [AbuseIPDB](https://www.abuseipdb.com) | | Google Admin Toolbox — Message Header | Analisar cabeçalhos de e-mail de forma visual e formatada | [Google Admin Toolbox](https://toolbox.googleapps.com/apps/main/) | | Azure Message Header Analyzer | Alternativa para análise de cabeçalhos, funciona com ProtonMail e Yahoo | [MHA Azure](https://mha.azurewebsites.net/) | | VirusTotal | Escanear URLs e arquivos com múltiplos antivírus | [VirusTotal](https://www.virustotal.com) | | URLScan.io | Acessar sites suspeitos remotamente sem abrir no seu browser | [URLScan.io](https://urlscan.io/about/) | | FOCA | Extrair metadados de documentos (PDF, DOC) — username, computador, datas | [FOCA no GitHub](https://github.com/ElevenPaths/FOCA) | | ChatGPT | Analisar cabeçalhos de e-mail automaticamente com inteligência artificial | [ChatGPT](https://chat.openai.com) | | PhishStats | Base de dados global de phishing com CSVs atualizados a cada 90 minutos | [PhishStats](https://phishstats.info/) | | MX Toolbox | Verificar blacklists de IP e diagnóstico de DNS | [MX Toolbox](https://mxtoolbox.com/blacklists.aspx) | | Streak | Rastrear visualização de e-mails enviados via Message ID | [Streak](https://www.streak.com) | | Emkei's Fake Mailer | Demonstração de vulnerabilidade SMTP com campo "from" editável | [Emkei.cz](https://emkei.cz/) | | GlockApps | Relatórios de tentativas de uso não autorizado do seu domínio | [GlockApps](https://glockapps.com) | | Shodan | Buscar servidores pela hash do favicon para encontrar infraestrutura relacionada | [Shodan](https://www.shodan.io) | ## Perguntas Frequentes ### Como saber se um e-mail é falso ou verdadeiro? Abra o cabeçalho do e-mail (no Gmail: três pontinhos > Mostrar Original) e verifique os resultados de SPF, DKIM e DMARC. Se os três mostram "pass", o e-mail veio de um servidor autorizado. Se mostram "none" ou "fail", o e-mail é suspeito ou forjado. ### O que é spoofing de e-mail e como funciona? Spoofing é a técnica de forjar o campo "from" de um e-mail para se passar por outra pessoa. Funciona por causa de uma vulnerabilidade do protocolo SMTP que permite escrever qualquer endereço como remetente. A proteção depende das configurações de autenticação (SPF, DKIM, DMARC) do domínio legítimo. ### Como ver o cabeçalho de um e-mail no Gmail? No Gmail, abra o e-mail, clique nos três pontinhos no canto superior direito e selecione "Mostrar original". O Gmail exibe SPF, DKIM e DMARC formatados no topo, e o cabeçalho completo abaixo. ### O que é SPF, DKIM e DMARC? SPF define quais servidores podem enviar e-mails por um domínio. DKIM adiciona uma assinatura criptográfica ao e-mail. DMARC combina os dois e define a política de rejeição quando a verificação falha. Juntos, são os três pilares da autenticação de e-mail. ### Como rastrear o IP de quem enviou um e-mail? Abra o cabeçalho do e-mail e procure o campo "Received" — ele mostra os IPs dos servidores por onde o e-mail passou. O IP do servidor de envio pode ser verificado no [AbuseIPDB](https://www.abuseipdb.com) para checar reputação e histórico de abusos. ### É possível enviar e-mail se passando por outra pessoa? Sim. A vulnerabilidade de SMTP permite forjar o campo "from" de qualquer e-mail. Sites como o Emkei.cz demonstram isso. A proteção depende do domínio legítimo ter SPF, DKIM e DMARC configurados — sem isso, o e-mail forjado pode chegar na caixa de entrada sem nenhum aviso. ### Como denunciar um site de phishing? Identifique a empresa de hospedagem do site (via WHOIS ou cabeçalhos HTTP) e envie e-mail para abuse@ dessa empresa informando a URL do phishing. Geralmente o site é derrubado em 48 a 72 horas. Você também pode reportar no Google Safe Browsing e no PhishStats. ### Como usar inteligência artificial para investigar e-mails? Copie o cabeçalho completo do e-mail suspeito e cole no ChatGPT pedindo análise. Em segundos, ele identifica se o e-mail passou na autenticação, qual IP disparou, e se há indicadores de fraude. Use como triagem rápida, não como substituto da análise manual. > **Veja também:** [A Arte de Manipular: Engenharia Social Aplicada em Investigações Digitais — Aulão #21](/aulao-semanal/engenharia-social-tecnicas-investigacao-digital) > **Veja também:** [O Melhor Momento para Começar na Investigação Digital — Aulão #22](/aulao-semanal/como-comecar-investigacao-digital-ferramentas-ia-tendencias) > **Veja também:** [As Melhores Ferramentas para OSINT — Aulão #038](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) > **Veja também:** [Como Remover Conteúdo da Internet: Blindagem Digital em 2 Níveis — Aulão #048](/aulao-semanal/blindagem-digital-remover-conteudo-internet-niveis) ## Referências e Recursos - [AbuseIPDB — FAQ e funcionalidades](https://www.abuseipdb.com/faq.html) - [Google Admin Toolbox](https://toolbox.googleapps.com/apps/main/) - [Message Header Analyzer — Microsoft Learn](https://learn.microsoft.com/en-us/connectivity-analyzer/message-header-analyzer) - [PhishStats — Phishing Intelligence & Cybercrime Data](https://phishstats.info/) - [PhishStats — API Documentation](https://phishstats.info/api-docs) - [FOCA — GitHub (ElevenPaths)](https://github.com/ElevenPaths/FOCA) - [URLScan.io — About](https://urlscan.io/about/) - [MX Toolbox — Blacklist Check](https://mxtoolbox.com/blacklists.aspx) - [BIMI — Brand Indicators for Message Identification (Twilio)](https://www.twilio.com/en-us/blog/insights/what-is-bimi) - [BIMI — DigiCert FAQ](https://www.digicert.com/faq/email-trust/what-is-bimi-and-why-is-it-important) - [Email Sender Guidelines — Google Workspace](https://support.google.com/a/answer/81126?hl=en) - [FBI — Business E-Mail Compromise](https://www.fbi.gov/news/stories/business-e-mail-compromise-on-the-rise) - [Forbes — FBI Warns Gmail and Outlook Users](https://www.forbes.com/sites/zakdoffman/2025/12/02/fbi-warns-gmail-and-outlook-users-do-not-click/) - [Statista — Number of e-mails per day worldwide 2018-2028](https://www.statista.com/statistics/456500/daily-number-of-e-mails-worldwide/) - [91% of cyber attacks start with an email — LinkedIn](https://www.linkedin.com/posts/marcelvelica_91-of-cyber-attacks-start-with-an-email-activity-7334549581176672257-Eo4m) - [Check Point — 90% dos ataques começam com phishing](https://inforchannel.com.br/2024/04/24/check-point-software-alerta-90-dos-ataques-a-empresas-comecam-com-um-e-mail-de-phishing/) - [GlockApps — Pricing e funcionalidades](https://glockapps.com/pricing/) - [Emkei's Fake Mailer](https://emkei.cz/) - [Streak — CRM for Gmail](https://www.streak.com) --- ### Aulão #015 — Seu primeiro passo no Linux: do zero ao servidor web funcionando URL: https://brunofraga.com/aulao-semanal/linux-para-iniciantes-passo-a-passo Publicado: 2024-08-20 Tags: tutoriais, ciberseguranca, hacking YouTube: https://www.youtube.com/watch?v=ciyRfi-S9vw Neste aulão em vídeo, Bruno Fraga guia você do absoluto zero no Linux até subir um servidor web Apache, tudo com demonstração prática no terminal. Aprenda os comandos essenciais, entenda as distribuições e descubra por que o Linux é indispensável no mercado de cibersegurança. ## O que você vai aprender neste aulão Linux para iniciantes não precisa ser aquele caminho doloroso de decorar 300 comandos e colar uma tabela na parede. Nesse aulão 015, eu demonstrei ao vivo — do zero — como usar o terminal Linux, percorrer pastas, criar e editar arquivos, buscar informações no sistema e, no final, subir um servidor web real com Apache na nuvem. Tudo sem decorar nada. Eu quero que você saia deste artigo sabendo fazer coisas no Linux. Não sabendo recitar comandos. A diferença é gigante. Quando você cria uma necessidade real — "preciso montar um servidor", "preciso encontrar um arquivo", "preciso filtrar um log" — o aprendizado gruda. E foi exatamente assim que eu conduzi essa aula com mais de 1.200 pessoas assistindo ao vivo. Você vai aprender como se mover pelo terminal, criar pastas e arquivos, editar texto com o Nano, usar o pipe para encadear comandos, buscar arquivos com find, filtrar resultados com grep, instalar software com apt, conectar em servidores remotos via SSH e analisar logs de acesso. Tudo isso na prática, com exemplos que eu executei ao vivo. E no final, mostro como usar o [ExplainShell](https://explainshell.com) e o [ChatGPT](https://chat.openai.com) para acelerar seu aprendizado sem depender de ninguém. Se você quer entrar no mercado de trabalho de tecnologia, este artigo é o seu ponto de partida. ## Por que aprender Linux: o sistema que roda na maioria dos servidores do mundo Linux está presente em mais de 83% dos servidores corporativos, segundo [estudo publicado pelo Canaltech](https://canaltech.com.br/linux/Estudo-mostra-que-83-das-empresas-executam-Linux-em-seus-servidores/). Dados compilados em 2025/2026 pela [CommandLinux](https://commandlinux.com/statistics/linux-server-market-share/) apontam que 78,5% dos desenvolvedores usam Linux e 90,1% dos desenvolvedores cloud-native trabalham sobre ele. Eu sempre falo: Linux literalmente mudou a minha vida. E quando alguém me pergunta "Bruno, eu quero entrar no mercado de trabalho de tecnologia, qual o caminho mais rápido?", eu respondo sem hesitar: Linux. Faltam profissionais de suporte, de administração de servidores, de configuração, de deploy, de DevOps. Tem muita oportunidade no mercado. Pensa comigo. Todo JavaScript, todo Node, todo Python, todo Nginx roda no Linux. As vagas de Dev Full Stack, de programador Python, de engenheiro de machine learning — todas dependem de Linux por baixo. Mas quase ninguém fala disso. As pessoas olham para a vaga de React com salário alto e não percebem que o servidor onde aquele React roda é um Linux. E não para aí. Android é Linux. IoT roda kernel Linux. Servidores que mineram criptomoedas rodam Linux. O próprio Windows 11 tem o [WSL — Windows Subsystem for Linux](https://blogs.windows.com/windowsdeveloper/2025/05/19/the-windows-subsystem-for-linux-is-now-open-source/) embutido. Linux está em tudo. Tem muito hacker que foca no hacking, invade o servidor num pen-test ético, ganha acesso — e o que encontra? Linux. Se o profissional não sabe Linux, fica travado depois de uma invasão bem-sucedida. E tem muito investigador digital que começa a trabalhar com ferramentas de linha de comando e descobre que são todas para Linux. Dominar o terminal não é diferencial — é fundamento. ## O que é Linux e a história do GNU/Linux explicada de forma simples Linux é um sistema operacional de código aberto e gratuito amplamente utilizado em computadores, servidores, dispositivos integrados e smartphones. O kernel (núcleo do sistema) foi criado por Linus Torvalds em 1991. Antigamente existia uma grande discussão sobre GNU/Linux. O [projeto GNU foi fundado por Richard Stallman](https://www.gnu.org/gnu/gnu.pt-br.html) nos anos 1980 com o objetivo de criar um sistema operacional completamente livre. Os desenvolvedores do GNU criaram compiladores, editores de texto e utilitários de sistema — mas faltava o kernel. Quando Linus Torvalds criou o kernel Linux, as peças se juntaram: programas GNU + kernel Linux = sistema operacional completo. Eu era muito envolvido nessa discussão. Em 2017, eu tinha um canal no YouTube (que foi banido) onde meu conteúdo principal era explicar licenças de software livre e a diferença entre GNU e Linux. Usava camisa de open source, falava de open stack, era realmente viciado nesse tema. Mas a percepção mudou muito. Hoje a distinção GNU/Linux não gera mais tanta polêmica. O importante é entender que Linux nasceu da filosofia de código aberto — qualquer pessoa pode contribuir, clonar, melhorar e redistribuir. Tem um [comercial da IBM de 2003](https://www.youtube.com/watch?v=x7ozaFbqg00) que ilustra isso perfeitamente. Dezenas de pessoas — incluindo uma referência ao Einstein, um músico, um professor — ensinam coisas a um menino. No final, perguntam o nome dele. A resposta: "His name is Linux." A ideia é que Linux é algo que dezenas de pessoas vão ensinando, melhorando, e que vai crescendo com inteligência coletiva. ## Qual distribuição Linux escolher: Ubuntu, Kali, Debian ou outra? A escolha da distribuição depende do seu objetivo. Não existe melhor ou pior — existe a mais adequada para o que você quer fazer. Por que existem tantas distribuições? Porque Linux é código aberto. Qualquer pessoa pode pegar o Ubuntu, o Debian ou qualquer outro, mudar o papel de parede, instalar softwares, configurar o sistema, dar um nome e compartilhar. E assim nascem as distribuições. O [Kali Linux](https://www.kali.org), por exemplo, foi criado pela [Offensive Security](https://en.wikipedia.org/wiki/Offensive_Security) — uma empresa global de segurança. Eles pegaram o Debian, adicionaram centenas de ferramentas de hacking e pen-test, configuraram tudo e compartilharam como Kali Linux. Simples assim. Para dar uma ideia de como qualquer pessoa pode criar uma distro: existe até o [Hannah Montana Linux](https://www.xda-developers.com/i-tried-hannah-montana-linux-in-2025/). Alguém fez. Funciona? Funciona. É prático? Provavelmente não. Mas demonstra o poder do código aberto. Aqui vai minha visão sobre as distribuições mais comuns: - **Ubuntu** — Popular, fácil de instalar, boa documentação. Muito usado em servidores. Mas tem uma empresa por trás (Canonical) que rastreia algumas coisas, então se privacidade é prioridade máxima, talvez não seja a primeira escolha. - **Debian** — Base do Ubuntu e do Kali. Mais estável, mais "puro". Boa escolha para servidores de produção. - **Kali Linux** — Focado em segurança e hacking. Não é para uso diário — é ferramenta de trabalho para pen-testers e investigadores. - **[Pop!_OS](https://system76.com/pop/)** — Baseado em Ubuntu, desenvolvido pela System76. Eu instalei no meu notebook Dell pessoal e estou gostando bastante. Sistema bonito, simples de usar, bem configurado. Boa opção para quem quer Linux no desktop. - **Tails** — Configurado para privacidade máxima. Roda de um pendrive, não deixa rastros. - **Fedora / CentOS** — Mais usados em ambientes corporativos Red Hat. Mas o ponto principal é: os fundamentos são os mesmos em todas. Os comandos que eu vou te ensinar aqui funcionam no Ubuntu, no Kali, no Debian, no Fedora. Muda alguma coisa de estrutura, de gerenciador de pacotes, mas a base é a mesma. ## Como instalar Linux em uma máquina virtual A forma mais fácil de começar com Linux em 2026 é usando uma máquina virtual. Você não precisa formatar seu computador nem fazer dual boot. No aulão eu mostrei duas opções: **Para usuários Mac — [Parallels](https://www.parallels.com):** Eu uso Parallels no MacBook. Com um clique eu crio uma máquina virtual e rodo Kali Linux. É simples assim — ele baixa, instala e configura automaticamente. **Para usuários Windows — [VirtualBox](https://www.virtualbox.org):** O VirtualBox é gratuito e funciona muito bem. Duas coisas importantes na instalação: 1. Faça o download da versão correta para seu sistema em [virtualbox.org](https://www.virtualbox.org) 2. Depois de instalar, volte ao site e instale o **Extension Pack** — ele adiciona suporte a USB 2.0, criptografia de disco virtual e melhor performance de virtualização Para o Kali Linux especificamente, você nem precisa instalar do zero. No site [kali.org](https://www.kali.org), em Downloads > Virtual Machine, tem uma imagem pronta para o VirtualBox. Você baixa, abre no VirtualBox e está pronto para usar. E se você está no Windows 11, existe também o [WSL — Windows Subsystem for Linux](https://devblogs.microsoft.com/commandline/the-windows-subsystem-for-linux-in-the-microsoft-store-is-now-generally-available-on-windows-10-and-11/), que permite rodar Linux diretamente dentro do Windows. Em maio de 2025 o WSL se tornou open source, o que mostra o quanto a Microsoft abraçou o Linux. ## Como aprender Linux da forma certa: sem decorar comandos Você nunca vai aprender Linux tendo que decorar para um dia usar. Você precisa criar necessidade de aprender Linux, de fazer algo no Linux. Essa é a frase mais importante deste artigo. Se você pesquisar "comandos Linux" na internet, vai encontrar aquelas tabelas gigantes com 50, 100 comandos. Tem gente que cola isso na parede e tenta memorizar. Não funciona. Eu sei porque eu tentei. O que funciona é se desafiar. Você quer criar 20 arquivos numerados? Pesquisa como fazer. Quer filtrar um IP específico de um log? Pesquisa como fazer. Quer editar um arquivo de configuração? Pesquisa como fazer. Quando você aprende resolvendo um problema real, você nunca mais esquece. Nesse aulão eu demonstrei isso ao vivo. Eu não sabia de cabeça como voltar ao diretório anterior no terminal. Sabe o que eu fiz? Abri o [ChatGPT](https://chat.openai.com) e perguntei. A resposta: `cd -`. Pronto. Aprendi na hora, no contexto, com necessidade real. ### Quatro ferramentas para aprender sem decorar **1. O comando `apropos`** — Pesquisa na documentação do sistema. Quer criar um diretório e não sabe o comando? Digite `apropos create directory` e o sistema te mostra todas as ferramentas relacionadas. **2. O comando `man`** — Abre o manual completo de qualquer programa. `man mkdir` te mostra tudo sobre o mkdir: parâmetros, opções, exemplos. Todo programa no Linux tem documentação. **3. [ExplainShell.com](https://explainshell.com)** — Essa é a dica de ouro. Alguém te manda um comando e você não entende? Cola no ExplainShell. Ele decompõe cada parte do comando e explica visualmente o que faz. Na aula eu colei `cd ~/Desktop` e ele explicou que o `~` representa o diretório home do usuário, que `cd` muda de diretório, e que `Desktop` é o destino. Todo o parsing acontece localmente no browser — nenhum dado é enviado para servidores. **4. [ChatGPT](https://chat.openai.com)** — Eu uso e recomendo. Pergunta o que você quer fazer, ele te dá o comando e a explicação. Mas confira sempre — teste o comando, entenda o que ele faz antes de executar em produção. ## Comandos do terminal Linux para iniciantes: o guia prático Aqui está o que eu demonstrei ao vivo no aulão. Não é uma lista para decorar — é um guia para consultar quando você precisar. ### Como percorrer pastas no terminal: cd, pwd, ls O comando `cd` (change directory) é como você se move pelo sistema. O `pwd` (print working directory) mostra onde você está. E o `ls` lista o que tem no diretório atual. ```bash pwd # Mostra o diretório atual ls # Lista arquivos e pastas ls -lh # Lista com detalhes e tamanhos legíveis (KB, MB, GB) cd Desktop # Entra na pasta Desktop cd .. # Volta um nível cd ~ # Vai para o diretório home cd - # Volta para o diretório anterior cd ~/Desktop/projeto # Vai direto para um caminho específico ``` Uma coisa que eu mostrei na aula e que muda tudo: a tecla **Tab**. Se você digitar `cd D` e apertar Tab, o terminal autocompleta ou mostra as opções disponíveis. Não tem essa de ficar digitando tudo manualmente. O Tab autocompleta caminhos, nomes de arquivos, comandos — praticamente qualquer coisa. E tem um detalhe sobre o `ls -lh` que vale destacar. O `-l` mostra em formato de lista com permissões, usuário, data e tamanho. Mas o tamanho aparece em bytes (tipo 4096), que é difícil de ler. O `-h` transforma para "human readable" — KB, MB, GB. Você pode juntar os parâmetros: `ls -lh` ou `ls -l -h`, tanto faz. ### Criando e gerenciando arquivos: touch, nano, cat, cp, mv, rm O comando `touch` cria arquivos vazios. O `nano` abre o editor de texto. O `cat` lê o conteúdo. E o `cp` copia, o `mv` move (ou renomeia), e o `rm` remove. ```bash touch nomes # Cria um arquivo vazio chamado "nomes" touch documento{1..20} # Cria 20 arquivos: documento1, documento2... documento20 nano nomes # Abre o arquivo "nomes" no editor Nano cat nomes # Mostra o conteúdo do arquivo no terminal cp nomes ~/Documents/ # Copia o arquivo para a pasta Documents mv nomez nome # Renomeia "nomez" para "nome" mv arquivo ~/Documents/ # Move o arquivo para Documents rm index.html # Remove um arquivo rm -f arquivo # Força a remoção sem perguntar ``` Na aula eu criei 20 arquivos numerados com `touch documento{1..20}`. Os dois pontos entre chaves criam uma sequência. Isso é muito mais rápido do que criar um por um. E quando você descobre isso resolvendo um problema real — "preciso criar 20 arquivos" — nunca mais esquece. ### O editor Nano: atalhos que você precisa saber O [Nano](https://www.nano-editor.org) é o editor de texto que eu recomendo para quem está começando. O pessoal fala muito do [Vim](https://www.vim.org), mas para iniciantes o Nano é mais intuitivo — os atalhos ficam visíveis na parte de baixo da tela. | Atalho | Função | |---|---| | Ctrl+W | Buscar texto no arquivo | | Ctrl+\ | Buscar e substituir (replace) | | Ctrl+K | Recortar linha | | Ctrl+U | Colar linha | | Ctrl+G | Abrir ajuda | | Ctrl+X | Sair (pergunta se quer salvar) | | Ctrl+O | Salvar sem sair | Na aula eu demonstrei a busca e o replace ao vivo. Abri um arquivo com nomes, usei Ctrl+W para buscar "Felipe", depois Ctrl+\ para substituir "Felipe" por "hacker". O Nano pergunta se você quer substituir uma ocorrência ou todas — apertando `A` ele substitui todas de uma vez. Sem mouse, sem interface gráfica. Tudo pelo teclado. ### Buscando e filtrando: find, grep, pipe, wc O `find` busca arquivos no sistema. O `grep` filtra texto. O pipe (`|`) conecta a saída de um comando à entrada de outro. E o `wc` conta linhas. ```bash find . -name "nomes" # Busca arquivo chamado "nomes" a partir do diretório atual find . -name "docu*" # Busca tudo que começa com "docu" find . -name "docu*" | grep 10 # Busca "docu*" e filtra resultados que contêm "10" find . -name "docu*" | wc -l # Conta quantos resultados a busca retornou ifconfig | grep 10. # Filtra linhas do ifconfig que contêm "10." cat access.log | grep "192.168.1.5" | wc -l # Conta requisições de um IP específico ``` O pipe é um dos conceitos mais poderosos do Linux. Funciona assim: todo programa no terminal produz uma saída (output). O pipe pega essa saída e envia como entrada para o próximo programa. Você encadeia quantos quiser. Na aula eu mostrei isso com `ifconfig | grep 10.` — o ifconfig gera um monte de texto sobre interfaces de rede, o pipe manda tudo para o grep, e o grep filtra só as linhas que contêm "10." (o começo do meu IP). De um texto enorme, sobrou uma linha com a informação que eu precisava. E o `wc -l` é perfeito para contar resultados. O `wc` sozinho mostra linhas, palavras e caracteres. Com o parâmetro `-l`, mostra só o número de linhas. Na análise de logs do servidor, eu usei `cat access.log | grep IP | wc -l` e descobri que um IP específico fez 24 requisições. Investigação digital básica com comandos simples. ## Prática: criando um servidor web Linux com Apache do zero Nesta parte do aulão eu criei um servidor Ubuntu na [DigitalOcean](https://www.digitalocean.com), conectei via SSH, instalei o [Apache](https://httpd.apache.org), editei o HTML e publiquei um site — tudo ao vivo, com a audiência acessando o servidor em tempo real. ### Passo 1: Criar o servidor na nuvem Na DigitalOcean eu criei um "droplet" (é como eles chamam os servidores virtuais): 1. Escolhi a região: São Francisco 2. Sistema operacional: Ubuntu (última versão estável) 3. Plano: servidor regular de $12/mês 4. Defini uma senha de acesso 5. Nomeei como "Aulão 15" 6. Cliquei em criar Em menos de um minuto o servidor estava no ar com um IP público. ### Passo 2: Conectar via SSH Com o IP do servidor em mãos, abri meu terminal e digitei: ```bash ssh root@IP_DO_SERVIDOR ``` O SSH (Secure Shell) é o protocolo padrão para conexão remota em servidores Linux. O `root` é o superusuário padrão de todo sistema novo. Depois de aceitar a troca de chaves e digitar a senha, estava dentro do servidor. No Windows, você pode usar o PowerShell (que já tem SSH embutido) ou o [PuTTY](https://www.putty.org) como cliente SSH. ### Passo 3: Instalar o Apache Dentro do servidor, executei dois comandos: ```bash sudo apt update sudo apt install apache2 ``` O `apt update` não instala nada — ele vai no arquivo `sources.list` do sistema, consulta os repositórios e verifica o que tem de novo. É como atualizar a lista de produtos disponíveis numa loja antes de comprar. O `apt install apache2` baixa e instala o servidor web Apache. O sistema perguntou se eu queria prosseguir (13 novos pacotes, alguns megabytes de download), confirmei com "sim" e em segundos o Apache estava rodando. Abrindo o IP do servidor no browser, a página padrão do Apache apareceu. Servidor web no ar. ### Passo 4: Editar o site Os arquivos públicos do Apache ficam em `/var/www/html/`. Fui até lá: ```bash cd /var/www/html/ ls ``` Tinha um `index.html` com a página padrão. Removi com `rm index.html` e criei um novo com o Nano: ```bash nano index.html ``` Escrevi "hacker" no arquivo, salvei com Ctrl+X > Y > Enter. Atualizei a página no browser e lá estava: meu site rodando num servidor Linux na nuvem, acessível por qualquer pessoa no mundo. Mas o servidor não tinha HTTPS. SSL/HTTPS é um software adicional que precisa ser instalado e configurado separadamente — não vem por padrão com o Apache. ## Como funciona o apt: instalando software no Linux via terminal O `apt` é o gerenciador de pacotes do Ubuntu e do Debian (e derivados). Ele automatiza o download, instalação e atualização de software. Todo sistema Linux baseado em Debian tem um arquivo chamado `/etc/apt/sources.list`. Esse arquivo contém os endereços dos repositórios — "lojas" online de software. Quando você digita `apt install alguma-coisa`, o sistema: 1. Lê o `sources.list` 2. Vai até o repositório 3. Procura o pacote solicitado 4. Baixa o software compilado 5. Instala e configura Você pode ver o conteúdo do seu sources.list com: ```bash cat /etc/apt/sources.list ``` No Kali, os repositórios apontam para servidores da Offensive Security com ferramentas de hacking. No Ubuntu, apontam para servidores da Canonical com software geral. E aqui vai um detalhe interessante que eu mostrei na aula: se você adicionar a sources.list do Kali no Ubuntu, pode instalar ferramentas de hacking no Ubuntu com `apt install`. O seu Ubuntu pode virar um "Kali Linux" — só que não vai estar pré-configurado. Mas cuidado: não adicione sources.list de fontes não confiáveis. Isso pode comprometer a segurança do sistema. | Comando | O que faz | |---|---| | `apt update` | Atualiza a lista de pacotes disponíveis (não instala nada) | | `apt upgrade` | Atualiza os pacotes já instalados para versões mais recentes | | `apt install nome` | Instala um pacote novo | | `apt remove nome` | Remove um pacote instalado | A diferença entre `update` e `upgrade` confunde muita gente. O `update` só atualiza a lista — é como verificar o cardápio. O `upgrade` efetivamente baixa e instala as atualizações — é como fazer o pedido. ## Como analisar logs de acesso no Linux A análise de logs é uma habilidade fundamental para administração de servidores e investigação digital. Com comandos simples do terminal, você faz análise forense básica. Na aula, com mais de 1.200 pessoas assistindo ao vivo, eu pedi que todos acessassem o IP do servidor. Depois fui até os logs do Apache: ```bash cd /var/log/apache2/ cat access.log ``` O `cat access.log` mostrou todos os acessos — IPs, horários, requisições, user agents. Mas eu queria ver em tempo real. Para isso usei o `tail`: ```bash tail -f access.log ``` O `tail` sozinho mostra as últimas linhas de um arquivo. Com o parâmetro `-f` (follow), ele fica monitorando o arquivo em tempo real. Cada novo acesso ao servidor aparecia instantaneamente no terminal. Era possível ver os IPs dos espectadores entrando no servidor ao vivo. Depois simulei uma investigação. Peguei um IP específico e quis saber tudo que ele fez: ```bash cat access.log | grep 192.168.X.X ``` Todas as requisições daquele IP apareceram. E para saber quantas requisições ele fez: ```bash cat access.log | grep 192.168.X.X | wc -l ``` Resultado: 24 requisições. Com três comandos encadeados por pipes, eu fiz uma análise que um iniciante acharia que precisaria de software especializado. Mas calma — isso é análise básica. Em cenários reais de investigação digital, existem ferramentas mais sofisticadas. O ponto aqui é mostrar que o terminal Linux te dá poder de análise imediato, sem instalar nada extra. ## Linux no mercado de trabalho: por que faltam profissionais Faltam profissionais Linux no mercado. Ponto. Isso não é opinião — é o que eu vejo diariamente conversando com empresas e recrutadores. As pessoas olham para vagas de desenvolvedor full stack com salário alto e não percebem que existe uma camada inteira de infraestrutura que precisa de gente. Administradores de servidores, engenheiros DevOps, profissionais de suporte Linux, especialistas em deploy e configuração. Essas vagas existem, pagam bem e têm menos concorrência do que vagas de programação. E mais: quem sabe Linux tem vantagem em qualquer área de tecnologia. O programador Python que sabe Linux configura seu próprio ambiente de produção. O profissional de segurança que sabe Linux não trava quando ganha acesso a um servidor num pen-test. E o investigador digital que sabe Linux usa ferramentas de OSINT e forense sem depender de interface gráfica. Mais de 60-70% dos servidores Linux no mundo não têm interface gráfica. É tudo linha de comando. Interface gráfica é um software adicional que consome processamento e pode ter falhas de segurança — por isso servidores de produção não usam. Se você só sabe clicar em ícones, está limitado a uma fração dos ambientes Linux que existem. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Kali Linux | Distribuição Linux focada em segurança, usada como sistema principal na demonstração | [kali.org](https://www.kali.org) | | Ubuntu | Distribuição Linux usada como servidor na demonstração prática | [ubuntu.com](https://ubuntu.com) | | VirtualBox | Software gratuito de máquina virtual para rodar Linux no Windows | [virtualbox.org](https://www.virtualbox.org) | | Parallels | Software de máquina virtual para macOS | [parallels.com](https://www.parallels.com) | | DigitalOcean | Plataforma de cloud para criar servidores na nuvem | [digitalocean.com](https://www.digitalocean.com) | | Apache (Apache2) | Servidor web instalado no Ubuntu para hospedar páginas HTML | [httpd.apache.org](https://httpd.apache.org) | | Nano | Editor de texto no terminal, recomendado para iniciantes | [nano-editor.org](https://www.nano-editor.org) | | ExplainShell | Site que explica visualmente qualquer comando Linux | [explainshell.com](https://explainshell.com) | | ChatGPT | Ferramenta de IA para tirar dúvidas sobre comandos Linux | [chat.openai.com](https://chat.openai.com) | | PuTTY | Cliente SSH para Windows | [putty.org](https://www.putty.org) | | Pop!_OS | Distribuição Linux baseada em Ubuntu para uso desktop | [system76.com/pop](https://system76.com/pop/) | | SSH (OpenSSH) | Protocolo para conexão remota segura a servidores | [openssh.com](https://www.openssh.com) | ## Perguntas Frequentes ### Por que aprender Linux é importante? Linux roda em mais de 83% dos servidores corporativos, em smartphones Android, em dispositivos IoT e em praticamente toda infraestrutura de nuvem. Qualquer profissional de tecnologia — de desenvolvedor a investigador digital — vai encontrar Linux no caminho. Dominar o terminal é pré-requisito, não diferencial. ### Qual distribuição Linux usar para iniciantes? Ubuntu é a escolha mais comum para iniciantes por ter documentação ampla e comunidade ativa. Mas se seu objetivo é segurança e hacking, comece direto pelo Kali Linux numa máquina virtual. A escolha depende do que você quer fazer — os fundamentos são os mesmos em todas as distribuições. ### Como instalar o Linux em uma máquina virtual? Baixe o [VirtualBox](https://www.virtualbox.org) (gratuito) e instale no seu Windows. Depois, acesse [kali.org](https://www.kali.org) e baixe a imagem pronta para Virtual Machine. Abra no VirtualBox e está pronto. Não esqueça de instalar o Extension Pack do VirtualBox para melhor performance. ### O que é o terminal Linux e como usar? O terminal é a interface de linha de comando do Linux. Tudo que você faz clicando na interface gráfica — criar pastas, mover arquivos, instalar programas — pode ser feito no terminal digitando comandos. A diferença é que o terminal é mais rápido, mais poderoso e funciona em servidores sem interface gráfica. ### Como criar arquivos e pastas no terminal Linux? Use `mkdir nome-da-pasta` para criar pastas e `touch nome-do-arquivo` para criar arquivos vazios. Para criar vários arquivos de uma vez, use sequências: `touch documento{1..20}` cria 20 arquivos numerados. Para criar pastas aninhadas, use `mkdir -p projeto/css/pagina`. ### O que é o comando apt no Linux? O `apt` é o gerenciador de pacotes do Ubuntu e Debian. Ele automatiza a instalação de software lendo repositórios configurados no arquivo `/etc/apt/sources.list`. Use `apt update` para atualizar a lista de pacotes disponíveis e `apt install nome-do-pacote` para instalar software. ### Como criar um servidor web com Linux? Crie um servidor Ubuntu (na DigitalOcean ou outro provedor de nuvem), conecte via SSH com `ssh root@IP`, execute `sudo apt update` seguido de `sudo apt install apache2`, e o servidor web já estará rodando. Os arquivos do site ficam em `/var/www/html/`. ### Como aprender Linux sem decorar comandos? Crie necessidades práticas. Ao invés de memorizar uma tabela de comandos, defina um objetivo ("quero criar um servidor web") e pesquise cada passo conforme a necessidade. Use o comando `man` para ler manuais, o `apropos` para buscar na documentação do sistema, o [ExplainShell](https://explainshell.com) para entender comandos complexos e o [ChatGPT](https://chat.openai.com) para perguntas diretas. ### É possível usar o Word no Linux? Não existe Microsoft Word nativo para Linux. Mas existem alternativas como LibreOffice Writer (gratuito e pré-instalado em muitas distribuições) que abre e edita arquivos .docx. Você também pode usar o Microsoft 365 pelo browser. Para edição de texto no terminal, o Nano e o Vim são as opções padrão. ### Qual o Linux mais amigável? Para uso desktop no dia a dia, [Pop!_OS](https://system76.com/pop/) e Ubuntu são as opções mais amigáveis. Pop!_OS tem auto-tiling de janelas, perfis de energia e boa integração com hardware. Ubuntu tem a maior base de usuários e mais tutoriais disponíveis online. Eu uso Pop!_OS no meu notebook Dell pessoal e estou gostando bastante. > **Veja também:** [Programação do Zero para Investigação Digital — Aulão #25](/aulao-semanal/programacao-do-zero-para-investigacao-digital) > **Veja também:** [TraceLabs: Vale a Pena ou o Kali Linux Resolve? — Aulão #33](/aulao-semanal/tracelabs-sistema-operacional-osint-investigacao-digital) ## Referências e Recursos - [Estudo sobre Linux em 83% dos servidores corporativos — Canaltech](https://canaltech.com.br/linux/Estudo-mostra-que-83-das-empresas-executam-Linux-em-seus-servidores/) - [Linux Server Market Share 2025/2026 — CommandLinux](https://commandlinux.com/statistics/linux-server-market-share/) - [Sobre o Sistema Operacional GNU — Free Software Foundation](https://www.gnu.org/gnu/gnu.pt-br.html) - [IBM Linux Commercial: The Kid — YouTube](https://www.youtube.com/watch?v=x7ozaFbqg00) - [Kali Linux — Wikipedia](https://en.wikipedia.org/wiki/Kali_Linux) - [Offensive Security — Wikipedia](https://en.wikipedia.org/wiki/Offensive_Security) - [Pop!_OS by System76](https://system76.com/pop/) - [ExplainShell.com — Recurso para entender comandos Linux](https://explainshell.com) - [WSL agora é open source — Windows Developer Blog](https://blogs.windows.com/windowsdeveloper/2025/05/19/the-windows-subsystem-for-linux-is-now-open-source/) - [VirtualBox — Documentação oficial](https://www.virtualbox.org/manual/topics/Introduction.html) - [Hannah Montana Linux em 2025 — XDA Developers](https://www.xda-developers.com/i-tried-hannah-montana-linux-in-2025/) - [Quem é Richard Stallman? O que é GNU? — April](https://www.april.org/articles/intro/gnu.html.pt) --- ### Aulão #014 — O que seu provedor de internet esconde de você (e como isso afeta sua conexão) URL: https://brunofraga.com/aulao-semanal/como-funciona-provedor-de-internet-segredos-e-dicas Publicado: 2024-08-19 Tags: privacidade, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=WmJvyG8USwQ Neste aulão em vídeo com demonstração prática, Bruno Fraga revela como provedores de internet realmente funcionam por dentro — do traffic shaping ao CGNAT, bloqueios judiciais de sites, quebra de sigilo e por que seu ping pode estar alto sem você saber o motivo. ## O que você vai aprender neste aulão Como funciona provedor de internet por dentro — de verdade, sem enrolação de marketing e sem aquele papo genérico que você encontra em qualquer busca no Google. Nesse aulão #14, eu trouxe o Diego, que trabalha diretamente com infraestrutura de provedores, para responder as perguntas que vocês mais fizeram na caixa de perguntas do meu Instagram. Depois de ler este artigo, você vai conseguir testar se o problema de ping é seu ou do provedor, entender como bloqueios judiciais de sites realmente funcionam (e por que são tão fáceis de burlar), saber qual DNS usar com base em dados reais e não em achismo de YouTuber, e identificar se seu provedor está fazendo Traffic Shaping ou se é só uma rota ruim. Tudo isso baseado em demonstração ao vivo, com ferramentas que você pode usar agora. E tem mais: vamos falar sobre quebra de sigilo, o que a polícia realmente recebe quando pede dados ao provedor, por que seu IPTV trava (spoiler: quase nunca é culpa do provedor), e por que reiniciar o modem resolve tanta coisa. São temas que geram discussão acalorada — e o Diego não fugiu de nenhum. ## O provedor de internet aumenta seu ping? Entenda o que realmente causa latência alta O provedor não aumenta seu ping de propósito. A latência alta é resultado de uma cadeia de fatores que vai do seu dispositivo até o servidor de destino, passando por rotas internacionais que o provedor nem sempre controla. ### O caminho entre você e o roteador já pode ser o problema Quando você está conectado por cabo de rede ao roteador, o ping dificilmente passa de 1 milissegundo. Mas no Wi-Fi a história muda. Na demonstração ao vivo, o Diego mostrou que mesmo com Wi-Fi 6, o ping entre o computador dele e o roteador ficava em 2-3 milissegundos — transmitindo vídeo ao vivo. Parece pouco, certo? Mas a realidade é que tem gente com Wi-Fi oscilando, sinal fraco, e esse número sobe para 10, 20 milissegundos. Sobe e desce. E aí a pessoa já assume que o provedor está sabotando a conexão. Antes de culpar qualquer um, teste o ping entre seu dispositivo e seu gateway (o IP do seu roteador). Existem aplicativos gratuitos tanto para Android quanto para iOS que fazem isso — o Diego compartilhou links durante a live para ferramentas de ping e traceroute que mostram exatamente essa informação. ### Rotas BGP: o verdadeiro vilão que ninguém menciona Tire da equação o trecho entre você e o roteador. O que sobra é o caminho entre seu provedor e o servidor de destino. E esse caminho não é uma linha reta. A internet funciona por rotas definidas pelo protocolo [BGP (Border Gateway Protocol)](https://aws.amazon.com/pt/what-is/border-gateway-protocol/). Cada provedor tem um [ASN (Autonomous System Number)](https://en.wikipedia.org/wiki/Autonomous_system_(Internet)) — um identificador único que define seus blocos de IP e com quem ele troca tráfego. O Diego demonstrou ao vivo no [bgp.tools](https://bgp.tools/) como consultar essas conexões. Digitou "Claro" no bgp.tools e apareceu o grafo de conexão: a Claro conecta com Level 3, Gremlin, Data Communication, até com provedores na Itália. Digitou "Vivo" e apareceu a conexão com Conticom e Vodafone. E aqui está o ponto: se qualquer um desses intermediários estiver instável, não adianta o provedor entregar toda a banda contratada. A rota está comprometida. Um caso concreto: a Claro tinha uma rota para determinados jogos que ia até Miami e voltava para o Brasil. O ping era absurdo. Dois amigos sentados lado a lado, com provedores diferentes, tinham pings completamente diferentes para o mesmo jogo. Não era Traffic Shaping. Era rota ruim. E o BGP é tão poderoso (e frágil) que já houve casos de países sequestrando o ASN do Google via BGP hijacking, redirecionando todo o tráfego do Google e derrubando o serviço para parte da internet. É um protocolo baseado em confiança entre operadoras — e quando essa confiança é violada, o estrago é global. E o LoL (Riot Games) piora a situação: não tem IPv6 e mantém servidores apenas em São Paulo, no [IX.br](https://en.wikipedia.org/wiki/IX.br) — o ponto de troca de tráfego brasileiro. Se seu provedor não tem uma rota direta e eficiente até o IX de São Paulo, seu ping vai sofrer. ### O que são os IX e por que importam Os IX (Internet Exchange Points) são locais físicos onde provedores e serviços se encontram para trocar tráfego diretamente, sem intermediários. O [IX.br opera 36 pontos de troca de tráfego no Brasil](https://www.cgi.br/noticia/releases/ix-br-celebrates-20-years-with-a-prominent-role-in-improving-the-internet-in-brazil/), sendo São Paulo o principal. Netflix, Google, Facebook — todos têm presença ali. Quanto mais perto seu provedor estiver desses pontos (e com rotas diretas), melhor sua experiência. ## Como funciona a conexão com a internet: do seu roteador até o servidor de destino A internet é descentralizada. Seu provedor é responsável por 50% do caminho — os outros 50% dependem do conteúdo, das rotas e dos intermediários. Pense assim: você coloca uma câmera no Japão com internet de 10 megas. Aqui no Brasil, você tem 1 giga contratado. O máximo que vai extrair daquela câmera? 10 megas. Porque o gargalo está no outro lado. E se algum serviço intermediário estiver instável, nem esses 10 megas você vai conseguir. O Diego mostrou isso visualmente no [bgp.tools](https://bgp.tools/): se o provedor é pequeno, dá para ver exatamente de quem ele compra link. Se compra da Algar, da Vivo, da Embratel — tudo aparece no grafo de conexões. E se o fornecedor de link está com rota ruim, o provedor fica preso naquilo, às vezes por contratos de 36 meses. ### Link dedicado vs. compartilhado Quando a Oi diz que entrega 1 GB, está entregando uma porta de 1 GB compartilhada. A velocidade é a mesma de 1 GB dedicado? Sim. Mas o dedicado garante que aquele circuito é exclusivo seu, sem oscilação. No compartilhado, entre você e o provedor geralmente bate a banda contratada. Mas para serviços que estão longe, em horários de pico (entre 21h e 22h), pode haver saturação nos intermediários. ### O papel das CDNs Serviços como Google, Netflix e Facebook usam [CDNs (Content Delivery Networks)](https://en.wikipedia.org/wiki/Content_delivery_network) — redes de servidores distribuídos geograficamente que colocam o conteúdo perto do usuário. A maioria dos provedores tem CDN instalado ao lado. Se você pinga o 8.8.8.8 do Google e a resposta é curtíssima, é porque o servidor está ali do lado, fisicamente. Então esqueça aquela ideia de que seu provedor não consegue entregar YouTube. O servidor do YouTube está praticamente dentro do provedor. ## Serviços para diminuir ping em jogos: como ExitLag e VPNs realmente funcionam Serviços como o [ExitLag](https://www.exitlag.com/) são VPNs especializadas em forçar mudanças de rota para reduzir a latência em jogos. Não fazem mágica — mudam o caminho que seus pacotes percorrem até o servidor do jogo. Um usuário da operadora Novell relatou durante o aulão que estava com problemas de ping no LoL. A Novell estava com rota ruim para o servidor da Riot Games. Pagou ExitLag, melhorou. Por quê? Porque o ExitLag forçou uma rota diferente, mais curta, até o servidor. Não era Traffic Shaping. Era rota. Mas nem sempre funciona. Se os serviços intermediários por onde a VPN roteia também estiverem instáveis, não vai adiantar. E provedores menores, quando percebem uma rota ruim, tentam negociar com o fornecedor de link para melhorar. Isso envolve custo, contrato e tempo. Provedores grandes como a Claro são mais difíceis de pressionar — precisa de reclamação massiva para forçar uma mudança de rota. ## IPTV travando é culpa do provedor? A verdade que ninguém conta Na maioria das vezes, não é culpa do provedor. IPTV travando geralmente é problema da caixinha de TV Box (processamento fraco), do serviço estar hospedado fora do Brasil, ou de ambos. ### Os números reais de consumo O Diego fez uma demonstração ao vivo que desmonta o mito: transmitindo em 1080p pelo StreamYard, o consumo não chegava a 1 mega. Netflix em 4K consome 25 megas. E nenhum IPTV consome mais que 10 megas. Nenhum. Então quando o instalador de IPTV (que frequentemente não tem formação técnica nenhuma) diz que você precisa de 200 megas para rodar o serviço dele, está falando bobagem. Se seu YouTube roda em 4K sem travar e o IPTV não roda nem em 720p, o problema não é a banda. E aqui vai um teste que o Diego sugeriu: pegue uma daquelas caixinhas de TV Box com Android e tente instalar o aplicativo de câmera da Intelbras. Abra 2 câmeras. Tente abrir a terceira. Travou. A caixinha não tem processamento para reproduzir as imagens. O mesmo hardware que não aguenta 3 câmeras é o que estão usando para decodificar streams de IPTV. ### Por que provedores pequenos NÃO querem bloquear IPTV Essa é uma das opiniões mais fortes que o Diego trouxe: se você sentar com qualquer dono de provedor pequeno, a primeira coisa que ele vai falar é que quer um IPTV que funcione. Por quê? Porque a Vivo e a Claro têm seus próprios serviços de TV por assinatura. O provedor pequeno não tem como concorrer com isso — a menos que o IPTV dos clientes funcione bem na rede dele. É vantagem competitiva. Mas as grandes operadoras como a Claro? Essas sim bloqueiam IPTV. Porque o IPTV pirata está roubando o conteúdo do serviço legal delas. É concorrência direta. ### O contexto dos ataques DDoS no Brasil Durante o aulão, o Brasil estava sofrendo ataques massivos de negação de serviço. O Diego mostrou um relatório da empresa de mitigação Rogue Networks: 1.324 GB — mais de 1 terabyte — de tráfego de ataque registrado em um único dia, 24 de outubro. Grupos hacktivistas ligados ao conflito Israel-Palestina atacavam o Brasil por entenderem que o país apoiava Israel. E tem um detalhe que a maioria das pessoas não sabe: dispositivos IoT infectados no Brasil (câmeras, DVRs, TV Boxes) estavam sendo usados como origem dos ataques. Às vezes a pessoa perde performance na casa dela porque o aparelho dela está atacando e ela não percebe. Os IPTVs fora do Brasil foram os mais afetados, porque dependem de rotas internacionais que estavam degradadas pelos ataques. ## Como funciona o bloqueio judicial de sites no Brasil (Blaze, Telegram e outros) O bloqueio judicial chega ao provedor por e-mail, com uma determinação para "inserir obstáculos tecnológicos" que inviabilizem o acesso ao site. O Diego mostrou na tela um e-mail real (com dados borrados) de uma dessas determinações. ### O bloqueio de DNS: simples de implementar, simples de burlar O método mais comum é o bloqueio por DNS. O provedor configura seu servidor DNS para não resolver o domínio bloqueado. Funciona? Sim — para quem usa o DNS padrão do provedor. Mas basta trocar o DNS para o Google (8.8.8.8) ou Cloudflare (1.1.1.1) e o bloqueio deixa de existir. E por que o provedor não faz algo mais agressivo? Porque a alternativa seria o [DNS hijack (sequestro de DNS)](https://en.wikipedia.org/wiki/DNS_hijacking) — interceptar todas as consultas DNS do cliente, independente do servidor configurado. Mas isso é crime pelo [Marco Civil da Internet](https://www.cgi.br/pagina/marco-civil-law-of-the-internet-in-brazil/180/). O provedor não pode cometer um crime para atender uma ordem judicial. ### O problema do IP compartilhado Sites como a Blaze não têm infraestrutura própria. Estão hospedados em servidores compartilhados, onde o mesmo IP serve 4, 5, 6 sites diferentes. Bloquear o IP significaria derrubar todos esses sites juntos. E o Telegram? Tem ASN próprio e blocos de IP definidos — mais fácil de bloquear por IP, mas ainda assim burlável com VPN. Eu lembro de testar isso com alunos durante o bloqueio da Blaze: em algumas cidades funcionava, em outras não. A aplicação do bloqueio varia de provedor para provedor, porque cada um implementa o "mínimo necessário" de formas diferentes. Mas a realidade é clara: os provedores não querem bloquear. O Diego foi direto nisso. Nenhum provedor que ele conhece quer bloquear nada. Fazem o mínimo para cumprir a determinação judicial e seguem em frente. ## Qual o melhor DNS: do provedor, Google 8.8.8.8 ou Cloudflare 1.1.1.1? O melhor DNS é o local. Se você tem um servidor DNS dentro da sua casa, a resolução de nomes é praticamente instantânea — 0 milissegundos. Qualquer DNS externo vai ter latência pela distância física. ### Os testes ao vivo com o comando dig O Diego demonstrou ao vivo usando o comando `dig` (ferramenta nativa de Linux/macOS, disponível no Windows via WSL): - **DNS local (VPN dele):** primeira consulta ao site da Mikrotik = 705ms. Segunda consulta (já em cache) = 0ms. Consultas seguintes = 0ms consistente. - **Google 8.8.8.8:** 10-14ms em todas as consultas. Nunca zerou. Porque a distância física entre o computador e o servidor do Google em São Paulo é fixa — não tem como reduzir. - **Cloudflare 1.1.1.1:** 11-14ms. Resultado similar ao Google. - **Teste do Bruno da Coreia do Sul:** `dig` direto para o Terra.com.br deu 250ms. Passando pelo 8.8.8.8, caiu para 40ms — porque o servidor do Google estava mais perto do que o DNS padrão da operadora coreana. A localização física muda tudo. O ponto é: quando você tem DNS local, a primeira consulta demora (precisa buscar na internet). Mas a partir da segunda, é zero. Tudo fica em cache. A sensação é de internet voando, porque a resolução de nomes acontece antes de qualquer download de conteúdo. ### O mito do "troque para 8.8.8.8 para proteger sua privacidade" Essa é uma das coisas que mais me incomodam quando vejo YouTubers repetindo. O Diego foi categórico: o modelo de negócio do provedor é te dar acesso à internet e cobrar mensal por isso. Ponto. Ele não tem modelo de negócio de coletar informação de DNS para revender. VPNs gratuitas e serviços de DNS como Google e Cloudflare? O modelo de negócio é coleta de dados como Big Data. Eles deixam isso claro nos termos de uso. Querem saber o que aquela cidade consome, o que aquele estado acessa. Não é individual — é em massa. Mas é coleta de dados. E aqui vai o argumento que fecha a questão: se o provedor quisesse espionar seu DNS, ele faria DNS hijack. Interceptaria todas as consultas, independente do servidor que você configurou. Você poderia colocar 8.8.8.8, 1.1.1.1, o que quisesse — não passaria. Mas isso é crime. E se o provedor já estivesse fazendo isso (porque o modelo de negócio dele seria vender dados), por que deixaria você trocar o DNS livremente? A lógica é simples: se ele tá de má-fé, ele usa todas as ferramentas, não só uma. ### Pi-Hole: DNS local com performance e privacidade O [Pi-Hole](https://github.com/pi-hole/pi-hole) é um projeto open source que funciona como servidor DNS local. Você instala em um [Raspberry Pi](https://www.raspberrypi.com/) ou até em um roteador antigo que não está usando. Ele faz cache de todas as resoluções DNS, bloqueia anúncios e trackers, e te dá controle total sobre o que entra e sai da sua rede. A performance é absurda: 0 milissegundos após a primeira consulta. Sem interferência de ninguém. A base de bloqueio se atualiza pela comunidade. E tem [tutoriais completos](https://www.crosstalksolutions.com/the-worlds-greatest-pi-hole-and-unbound-tutorial-2023/) para instalar do zero. É a solução que eu recomendo para quem quer privacidade real e performance de DNS. Não é trocar de um DNS público para outro DNS público — é ter o seu próprio. ## Quebra de sigilo pelo provedor: o que a polícia realmente recebe A quebra de sigilo requer ordem judicial, exceto em situações de urgência e risco iminente à vida. Sem ordem judicial, o provedor que entregar dados pode ser processado pelo próprio investigado — mesmo que o cara seja culpado. ### O que é entregue na prática Na imensa maioria dos casos (99% segundo o Diego), o que é entregue é: IP e porta lógica. Nada mais. A maior parte do tráfego hoje é criptografado — 99,8% dos sites mais acessados do Brasil usam HTTPS. O provedor não consegue ver o conteúdo das suas comunicações. Mas em casos graves — pedofilia, tráfico internacional de pessoas — a Polícia Federal pode instalar equipamentos físicos no provedor. Port mirror (espelhamento de tráfego), sniffers de rede. Aí é outro nível de investigação. Mesmo assim, não quebram a criptografia. O que fazem é documentar padrões de uso, identificar serviços acessados, e solicitar dados diretamente aos serviços (Google, Facebook, etc.). ### Casos reais de investigação que mostram como funciona **O caso do Tor com celular no bolso:** um criminoso usava Tor no notebook para atividades ilícitas. Mas o celular pessoal dele estava no bolso, conectado ao Wi-Fi, logado nas contas do Google. Fez isso duas vezes. Os investigadores correlacionaram os horários da conexão Tor com a atividade das contas Google no celular, complementaram com câmeras de vigilância, e identificaram o sujeito. A lição: anonimato é quebrado pela recorrência. Quem faz uma vez, talvez passe. Mas ninguém faz uma vez só. **O caso da NordVPN e as passagens aéreas:** uma quadrilha comprava passagens com cartão clonado usando [NordVPN](https://nordvpn.com/). A polícia identificou que todas as transações vinham de IPs da Nord. Mapearam todo o bloco de IPs, fizeram fingerprinting dos banners, e reduziram seletivamente a velocidade da NordVPN no site da companhia aérea. Um integrante desligou a VPN para comprar mais rápido. Foi identificado e preso dentro do avião, já sentado na poltrona pronto para decolar. **O policial sem ordem judicial:** em uma abordagem, um policial pediu para o suspeito desbloquear o computador. Encontrou evidências. Mas na hora do processo, a prova foi contestada — acesso sem autorização judicial. Dados obtidos irregularmente são prova de dados, não prova legal com validade jurídica. ### O provedor pode ver o que você acessa? Tecnicamente, o que não está criptografado, ele pode ver. Mas na prática, ele não vê. Não tem interesse, não tem modelo de negócio para isso, e o volume de dados tornaria inviável monitorar individualmente. Estamos falando de provedores com milhares de clientes — não dá para ficar olhando o que cada um faz, e eles nem querem. A exceção seria um "provedorzinho de bairro" com 10 clientes, onde o dono conhece todo mundo. Mas se é um CNPJ registrado, com ASN, com estrutura — pode ficar tranquilo. ## Traffic Shaping: o que é, por que é crime e como identificar Traffic Shaping é quando o provedor reduz a velocidade de um serviço específico para o cliente. Por exemplo: tudo funciona rápido, mas o Netflix fica lento de propósito. É ilegal. E o Diego nunca viu um provedor fazendo isso em toda sua carreira — exceto lá em 2006-2007, quando as bandas eram baixas e provedores pequenos faziam controle por falta de capacidade. ### Por que fazer Traffic Shaping é inviável hoje Controlar tráfego na camada 7 (camada de aplicação) consome processamento absurdo de hardware. Um [firewall de camada 7](https://www.paloaltonetworks.com/cyberpedia/layer-3-vs-layer-7-firewall) precisa inspecionar o conteúdo dos pacotes para identificar qual aplicação está sendo usada. Nenhum provedor vai investir nesse hardware para sabotar o próprio cliente. E aqui vai o argumento definitivo: se o provedor quisesse fazer Traffic Shaping, faria também nas VPNs. Você acha que um provedor de má-fé vai reduzir a velocidade do Netflix mas deixar a VPN em velocidade normal, sabendo que o cliente pode simplesmente ligar a VPN e burlar? Se ele está de má-fé, bloqueia tudo. Não usa uma ferramenta só. ### "Liguei a VPN e melhorou" não prova Traffic Shaping Esse é o erro mais comum. A pessoa liga uma VPN, o jogo melhora, e conclui: meu provedor estava fazendo Traffic Shaping. Não. A VPN mudou a rota. O caminho dos pacotes passou por servidores diferentes, e por acaso essa rota era melhor. É o mesmo princípio do ExitLag. Para provar Traffic Shaping, você precisa de um laudo técnico. Sem isso, não se caracteriza crime. E dificilmente alguém consegue provar. ### Como testar se o problema é generalizado O Diego mostrou o site [ISPTools](https://isptools.com.br) — uma ferramenta que testa se um site está acessível a partir de dezenas de provedores no Brasil. Você coloca o domínio e ele mostra a latência de dezenas de provedores para aquele destino. Se todos estão com latência alta, o problema não é do seu provedor. Se só o seu está alto, aí vale investigar a rota. Mas lembre: internet móvel em shows e jogos de futebol não funciona por sobrecarga das antenas (ERBs), não por Traffic Shaping. As antenas de celular funcionam como Wi-Fi — quando gente demais conecta, sobrecarrega. Não é sabotagem. ## IPv4 vs IPv6 e CGNAT: por que o IPv4 acabou e o que isso muda para você O [CGNAT (Carrier-Grade NAT)](https://en.wikipedia.org/wiki/Carrier-grade_NAT) existe porque os endereços IPv4 acabaram. Não é escolha do provedor. Nenhum provedor quer trabalhar com CGNAT. Os [endereços IPv4 se esgotaram em 2018](https://www.nro.net/about/rirs/internet-number-resources/ipv6/ipv4-exhaustion-faqs/) — existem aproximadamente 4 bilhões de endereços IPv4 no total, e todos já foram alocados. O CGNAT funciona como um condomínio: em vez de cada casa ter um endereço público, existe um endereço público no prédio e apartamentos com endereços privados internos. Seu roteador recebe um IP com NAT do provedor, não um IP público direto. Isso causa problemas com jogos (NAT restrito), câmeras remotas e outros serviços que precisam de conexão direta. O IPv6 resolve tudo isso. Uma residência em IPv6 recebe 18 quintilhões de endereços. O Diego acessa câmeras em IPv6, conecta VPNs em IPv6, faz tudo em IPv6. Não precisa de IPv4 para nada. Mas profissionais que resistem ao IPv6 — por falta de conhecimento ou porque os tutoriais do YouTube só ensinam em IPv4 — forçam clientes a contratar IPv4 público pagando a parte. E não, IPv6 não te deixa mais vulnerável para identificação. O IP é do bloco entregue àquela residência. O dispositivo não passa informação de MAC no roteamento — o MAC fica no primeiro salto. Quem sai para a internet é o roteador. Para identificar quem fez o quê dentro da casa, precisa de busca e apreensão de dispositivos. É a mesma coisa no IPv4 e no IPv6. ## Por que reiniciar o modem resolve problemas de internet Dois motivos principais: memória cheia e oscilação elétrica. Roteadores de entrada (aqueles que a operadora fornece) têm pouca memória. São equipamentos nivelados por baixo, projetados para uso básico. Conforme o roteador trabalha, a memória vai enchendo com tabelas de conexão, cache, logs. Quando enche, trava. Desligar e ligar zera a memória. Resolvido. O segundo motivo é a oscilação elétrica: a energia quase cai, mas não cai. O dispositivo entra em um estado travado — não desligou, mas parou de funcionar corretamente. Tirar da tomada e colocar de volta força o reinício completo. E tem um fator adicional que pouca gente considera: dispositivos infectados na rede. TV Boxes, câmeras, DVRs com malware fazem requisições massivas que enchem a memória do roteador rapidamente. Durante a onda de ataques DDoS que o Diego mencionou, os chamados de suporte aumentaram exatamente por isso — clientes com upload estourando porque seus dispositivos IoT estavam participando de ataques sem que o dono soubesse. Roteadores mais caros, com mais memória e processamento, raramente precisam ser reiniciados. Se você tem uso intenso (mais de 15 dispositivos conectados, streaming simultâneo, jogos), vale investir em um roteador melhor do que o que a operadora entrega. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | bgp.tools | Consultar ASN de operadoras, ver grafos de conexão entre provedores, descobrir rotas e de quem um provedor compra link | [bgp.tools](https://bgp.tools/) | | Pi-Hole | Servidor DNS local para performance máxima (0ms) e privacidade total, com bloqueio de anúncios | [Pi-Hole no GitHub](https://github.com/pi-hole/pi-hole) | | ExitLag | VPN especializada em reduzir ping para jogos forçando rotas melhores | [ExitLag](https://www.exitlag.com/) | | ISPTools | Testar se um site está acessível a partir de dezenas de provedores no Brasil e comparar latência | [ISPTools](https://isptools.com.br) | | dig (comando) | Testar tempo de resolução DNS e comparar performance entre servidores DNS | Nativo de Linux/macOS, disponível no Windows via WSL | | Google DNS | Servidor DNS público usado como referência de comparação de performance | [Google Public DNS](https://developers.google.com/speed/public-dns) | | Cloudflare DNS | Servidor DNS público alternativo para comparação de performance | [Cloudflare 1.1.1.1](https://1.1.1.1) | ## Perguntas Frequentes ### O provedor de internet aumenta meu ping? Não de propósito. O ping alto pode ser causado pela sua conexão Wi-Fi até o roteador, pelas rotas BGP entre seu provedor e o servidor de destino, ou por instabilidade em serviços intermediários. Teste o ping até seu gateway antes de culpar o provedor. ### O que é Traffic Shaping e é crime? Traffic Shaping é a redução proposital da velocidade de um serviço específico pelo provedor. É ilegal no Brasil. Fazer controle de tráfego na camada 7 consome processamento absurdo de hardware, e nenhum provedor com CNPJ registrado faz isso hoje — se fizesse, bloquearia as VPNs também. ### Como funciona o bloqueio judicial de um site no Brasil? A determinação chega por e-mail ao provedor pedindo para "inserir obstáculos tecnológicos". O bloqueio mais comum é por DNS, que é facilmente burlável trocando o DNS do dispositivo. O provedor não pode fazer DNS hijack (sequestro de DNS) porque é crime pelo Marco Civil da Internet. ### Qual DNS é melhor: do provedor, Google 8.8.8.8 ou Cloudflare? O melhor é um DNS local como o Pi-Hole, que entrega resolução em 0ms após a primeira consulta. O Google 8.8.8.8 fica consistentemente em 10-14ms e a Cloudflare em 11-14ms — a distância física impede que zerem. Trocar para 8.8.8.8 não protege sua privacidade como dizem — o modelo de negócio do Google inclui coleta de dados como Big Data. ### O provedor de internet pode ver o que eu acesso? O que está criptografado (99,8% dos sites mais acessados), não. O que não está criptografado, tecnicamente pode ver, mas na prática não monitora — não tem modelo de negócio para isso nem capacidade de monitorar milhares de clientes individualmente. ### IPTV travando é culpa do provedor? Na maioria das vezes, não. Nenhum IPTV consome mais que 10 megas. Se seu YouTube roda em 4K e o IPTV não roda em 720p, o problema é a caixinha de TV Box (processamento fraco) ou o serviço estar hospedado fora do Brasil com latência alta. ### O que acontece quando a polícia pede quebra de sigilo ao provedor? Sem ordem judicial, o provedor não entrega dados (exceto em situações de urgência e risco iminente à vida). Com ordem judicial, o que é entregue normalmente é IP e porta lógica. Em casos graves, a Polícia Federal pode instalar equipamentos de sniffer e port mirror no provedor para monitoramento mais detalhado. ### Por que preciso reiniciar o modem para a internet voltar? Roteadores de entrada têm pouca memória. Quando ela enche (por uso normal, oscilação elétrica ou dispositivos infectados fazendo requisições excessivas), o equipamento trava. Reiniciar zera a memória. Roteadores com mais memória raramente precisam disso. > **Veja também:** [HI SPY: Como Funciona a Ferramenta de Investigação Digital — Aulão #051](/aulao-semanal/hi-spy-ferramenta-investigacao-digital-nova-versao) > > **Veja também:** [Bitcoin como Proteção Patrimonial — Aulão #053](/aulao-semanal/bitcoin-protecao-patrimonial-cold-wallet-autocustodia) ## Referências e Recursos - [BGP.Tools — Browse the Internet ecosystem](https://bgp.tools/) - [Pi-Hole — A black hole for Internet advertisements (GitHub)](https://github.com/pi-hole/pi-hole) - [The World's Greatest Pi-hole and Unbound Tutorial 2023](https://www.crosstalksolutions.com/the-worlds-greatest-pi-hole-and-unbound-tutorial-2023/) - [ExitLag — Get rid of lag in your game](https://www.exitlag.com/) - [O que é BGP (Border Gateway Protocol)? — Amazon AWS](https://aws.amazon.com/pt/what-is/border-gateway-protocol/) - [Autonomous system (Internet) — Wikipedia](https://en.wikipedia.org/wiki/Autonomous_system_(Internet)) - [IX.br — Wikipedia](https://en.wikipedia.org/wiki/IX.br) - [IX.br celebrates 20 years — CGI.br](https://www.cgi.br/noticia/releases/ix-br-celebrates-20-years-with-a-prominent-role-in-improving-the-internet-in-brazil/) - [Carrier-grade NAT — Wikipedia](https://en.wikipedia.org/wiki/Carrier-grade_NAT) - [IPv4 Exhaustion FAQs — NRO](https://www.nro.net/about/rirs/internet-number-resources/ipv6/ipv4-exhaustion-faqs/) - [FAQ on IPv6 adoption and IPv4 exhaustion — Internet Society](https://www.internetsociety.org/deploy360/ipv6/faq/) - [Marco Civil Law of the Internet in Brazil — CGI.br](https://www.cgi.br/pagina/marco-civil-law-of-the-internet-in-brazil/180/) - [DNS hijacking — Wikipedia](https://en.wikipedia.org/wiki/DNS_hijacking) - [Content delivery network — Wikipedia](https://en.wikipedia.org/wiki/Content_delivery_network) - [Layer 3 vs Layer 7 Firewall — Palo Alto Networks](https://www.paloaltonetworks.com/cyberpedia/layer-3-vs-layer-7-firewall) - [O direito à proteção de dados pessoais — LAPIN](https://lapin.org.br/2021/03/31/o-direito-fundamental-a-protecao-de-dados-pessoais-a-luz-da-jurisprudencia-do-supremo-tribunal-federal/) - [STF adia decisão sobre acesso policial a dados telefônicos — Conjur](https://www.conjur.com.br/2026-mar-10/stf-adia-decisao-sobre-regras-para-acesso-policial-a-dados-telefonicos/) --- ### Aulão #013 — Sua própria VPN do zero: sem logs, sem espionagem, sem depender de ninguém URL: https://brunofraga.com/aulao-semanal/como-criar-sua-propria-vpn-passo-a-passo Publicado: 2024-08-16 Tags: privacidade, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=gq4BL-u97B4 Neste aulão em vídeo com demonstração prática, Bruno Fraga ensina como criar sua própria VPN usando WireGuard e um servidor na nuvem. Você vai configurar tudo do zero, com interface gráfica, sem logs e sem depender de serviços pagos de terceiros. ## O que você vai aprender neste aulão Se você quer saber como criar sua própria VPN, este artigo é o guia definitivo — baseado num aulão ao vivo que eu fiz do zero, com mais de mil pessoas assistindo. Criar uma VPN pessoal é mais simples, mais barato e mais seguro do que pagar por serviços como NordVPN ou ExpressVPN. E eu provei isso na prática. Montei um servidor na nuvem, instalei o [WireGuard](https://www.wireguard.com/) com interface gráfica, configurei autenticação de dois fatores e conectei meu iPhone e Windows na minha VPN pessoal. Tudo funcionando. Tudo meu. Sem terceiros. Neste artigo você vai encontrar o passo a passo completo que eu segui na live: como conseguir um servidor gratuito (com $200 de crédito na DigitalOcean), como configurar um domínio sem pagar nada, como rodar o script que automatiza toda a instalação e como conectar seus dispositivos. E eu também vou compartilhar os mais de 10 métodos que testei durante a semana antes do aulão — incluindo um que descartei porque o criador trabalha em órgão de inteligência do governo americano. Se você assistiu meu vídeo anterior (aquele que passou de 60 mil views) onde eu provei que VPN comercial não te deixa anônimo, este artigo é a resposta prática para a pergunta que mais recebi: "Bruno, então como eu crio a minha própria VPN?" Vamos lá. ## Por que criar sua própria VPN em vez de usar serviços comerciais Criar uma VPN própria elimina o intermediário que recebe todo o seu tráfego de internet. Em vez de confiar seus dados a uma empresa terceira, você controla o servidor, os logs e a configuração de ponta a ponta. Eu uso VPN. Sempre usei. Mas eu uso a minha. E o motivo é simples: quando você contrata uma VPN comercial, você está trocando um problema por outro. Você esconde seus dados do provedor de internet — beleza. Mas entrega tudo para a empresa de VPN. Você desconfia do seu provedor, mas confia cegamente numa empresa que você nunca visitou, nunca auditou, e que faz promessas agressivas de marketing. E essas promessas são pesadas. A [ExpressVPN](https://www.expressvpn.com/) diz que você fica "seguro e anônimo online". A [CyberGhost](https://www.cyberghostvpn.com/) promete "privacidade total, anonimato total de dados em todos os aplicativos". A [ProtonVPN](https://protonvpn.com/) usa o termo "VPN anônimo" no site. Cara, impossível entregar isso. Eu provei no vídeo anterior, na prática, que nenhuma dessas promessas se sustenta. Mas tem mais. As empresas de VPN ganham dinheiro vendendo inteligência de dados. Big data de acessos, configurações, tecnologias, penetração de mercado por região. Quer saber qual modem D-Link é mais usado em determinada cidade? Uma empresa de VPN tem esse dado. E vende. Quando você cria sua própria VPN, o túnel vai direto de você para o seu servidor. Sem provedor vendo, sem terceiro coletando. Você no controle. ## O que VPN comercial não te conta: mitos sobre privacidade e anonimato VPN não te torna anônimo. O IP é apenas um dos identificadores que você possui quando acessa a internet — e a VPN só muda o IP. Eu demonstrei isso ao vivo no vídeo que deu mais de 60 mil views. Mesmo com VPN ativa, você ainda entrega latitude e longitude, fuso horário, idioma do sistema, layout do teclado, resolução de tela, e dezenas de outros identificadores. O site que você acessa recebe tudo isso independente da VPN estar ligada ou não. E aqui vai um dado que surpreende muita gente: o nome da sua rede Wi-Fi é mais preciso para descobrir sua localização do que o seu IP. Sabe aquele "Wi-Fi do Pedro"? Pois é. Bases de dados de geolocalização por SSID são absurdamente precisas. Um dia eu mostro isso num aulão. Um seguidor me mandou mensagem no Instagram depois do vídeo. Ele usava VPN no Telegram para ver conteúdos de guerra, achando que estava protegido. Mas quando ele parou para pensar, percebeu: ao entrar no Telegram com VPN, ele ainda entregava o dispositivo, a localização, o username, tudo. A VPN mudou o IP dele. Só isso. Outra coisa que ninguém fala: não existe VPN sem log. É impossível um servidor funcionar sem nenhum tipo de registro, nem que seja temporário. Quando uma empresa diz "zero logs", ela está simplificando (para não dizer outra coisa) uma realidade técnica que não permite isso de forma absoluta. Mas calma. Eu não estou dizendo para não usar VPN. Eu estou dizendo para não confiar seus dados a terceiros quando você pode ter o controle total. ## O que você precisa para criar sua própria VPN Para montar sua VPN pessoal com WireGuard, você precisa de quatro coisas: um servidor na nuvem (VPS), um domínio apontando para o IP desse servidor, uma chave SSH e o script de automação. Vou detalhar cada item: 1. **Servidor VPS** — Uma máquina virtual rodando Ubuntu 22.04. Pode ser na [DigitalOcean](https://www.digitalocean.com/), [Amazon AWS](https://aws.amazon.com/), [Vultr](https://www.vultr.com/) ou qualquer provedor. Eu usei a DigitalOcean com $200 de crédito gratuito. 2. **Domínio ou subdomínio** — Pode ser gratuito usando o DuckDNS ou um domínio que você já tenha. O domínio precisa apontar para o IP do servidor ANTES de rodar o script. 3. **Chave SSH** — Um par de chaves criptográficas para acessar o servidor sem senha. Tanto Windows 11 quanto Mac/Linux têm o comando `ssh-keygen` nativo. 4. **Script EasyVPN** — O [ansible-easy-vpn](https://github.com/notthebee/ansible-easy-vpn) no GitHub, que automatiza toda a instalação do WireGuard com interface gráfica, 2FA, firewall e proteções. 5. **Aplicativo WireGuard** — Instalado no iPhone, Android ou Windows para conectar na VPN. Gratuito em todas as plataformas. E um detalhe que aprendi na marra durante a live: crie o domínio e espere a propagação DNS ANTES de rodar o script. Eu fiz na hora, não esperei, e o servidor não respondeu. Perdi tempo criando uma segunda máquina quando bastava ter paciência. ## Como escolher e configurar um servidor VPS gratuito Um VPS (Virtual Private Server) é uma máquina virtual na nuvem onde sua VPN vai rodar. Você aluga um espaço em um data center, instala o sistema operacional e tem controle total do servidor. Na minha opinião, as melhores empresas para isso são DigitalOcean, Amazon AWS e Vultr. A DigitalOcean é a mais fácil para quem está começando. A Amazon tem data centers no Brasil (São Paulo). E a Vultr também tem presença no Brasil. ### Como conseguir servidor VPN gratuito na DigitalOcean ($200 de crédito) A [DigitalOcean](https://www.digitalocean.com/) oferece $200 de crédito gratuito por 60 dias para contas novas. Você tem $200 para 60 dias — pode usar como quiser. Se criar uma máquina de $12/mês, sobra crédito de sobra para rodar a VPN por 2 meses sem gastar nada. O único requisito é inserir um cartão de crédito para verificar a conta. Ele debita cerca de $1 como teste e estorna. Você pode usar um cartão virtual do [Nubank](https://nubank.com.br/) para isso e apagar depois. Para criar o servidor na DigitalOcean: 1. Crie sua conta e ative o crédito de $200 2. Clique em **Create** > **Droplet** 3. Escolha a região do servidor (São Francisco, Nova York, Amsterdam — onde preferir) 4. Selecione **Ubuntu 22.04** como sistema operacional — o script foi testado nessa versão 5. Escolha o plano: $6/mês funciona, $12/mês com 2GB de RAM e 50GB de disco é o que eu usei 6. Crie uma senha de acesso 7. Dê um nome ao servidor e clique em **Create** Em menos de 1 minuto o servidor está pronto com um IP público. ### Alternativas baratas de VPS: LowEndStock e outros provedores Se você não quer depender do crédito gratuito, existe o [LowEndStock](https://lowendstock.com/contact.php) — um site agregador de ofertas de VPS baratos de diversas empresas. Lá você encontra servidores a partir de $1/mês. Eu mostrei o site na live e filtrei por dois critérios que você precisa seguir: **IPv4 dedicado** e **KVM** como tipo de virtualização. Com esses filtros, apareceram empresas como a [JustHost](https://justhost.ru/en) vendendo planos anuais por $9 a $12 o ano todo. Mas atenção: algumas dessas empresas são russas, e a legislação local pode ter implicações sobre privacidade dos dados. Pesquise sobre a empresa antes de comprar. Outras alternativas incluem [Hostinger](https://www.hostinger.com.br/), [HostGator](https://www.hostgator.com.br/) e [Google Cloud](https://cloud.google.com/) (que também oferece crédito gratuito). O [LowEndBox](https://lowendbox.com/) é outro site que lista ofertas atualizadas de VPS baratos. ## Como configurar DNS gratuito com DuckDNS O DuckDNS é um serviço gratuito de DNS dinâmico que permite criar subdomínios apontando para qualquer IP, sem precisar comprar um domínio próprio. É open source, hospedado na Amazon e mantido por doações da comunidade. **Nota importante (2026):** O DuckDNS [enfrentou instabilidades recentes](https://securityonline.info/duckdns-is-down-what-happened-to-the-free-ddns-service/), então verifique se o serviço está ativo antes de contar com ele. Se preferir estabilidade, compre um domínio próprio (custa menos de R$40/ano). Para configurar o DuckDNS: 1. Acesse o site e faça login com Google ou GitHub 2. Digite o nome do subdomínio que deseja (eu criei `aulao13.duckdns.org`) 3. Clique em **Create** 4. Cole o IP do seu servidor VPS no campo de IP 5. Clique em **Update** E aqui vai o ponto que me causou problema na live: **espere a propagação do DNS antes de continuar**. Você pode verificar a propagação em sites como [whatsmydns.net](https://www.whatsmydns.net/). Quando o domínio estiver apontando para o IP correto em múltiplos servidores ao redor do mundo, aí sim você roda o script de instalação. Eu não esperei. O Docker não iniciou porque o domínio não tinha propagado. Criei um segundo servidor à toa. Não cometa o mesmo erro. ## Os 10+ métodos que eu testei antes de encontrar a solução para VPN pessoal Durante a semana inteira antes do aulão, eu testei mais de 10 formas diferentes de criar uma VPN. Vou compartilhar o que funcionou, o que não funcionou e por quê. ### OpenVPN manual no Ubuntu Primeira tentativa. Segui um tutorial completo: instalei o Linux no servidor, configurei permissões, chaves, variáveis de ambiente, IP forward, tunelamento, SSL. Gastei mais de 3 horas. Funcionou, mas foi complicado demais. Não tinha aplicativo mobile nativo, tive que fazer configuração manual no telefone e no computador. Descartei porque seria impossível ensinar isso numa live para iniciantes. ### WireGuard manual Segunda tentativa. Mais rápido que o OpenVPN, mas o gerenciamento era todo em modo texto — sem interface gráfica. E não tinha regras de firewall configuradas. O servidor ficava exposto. Eu não vou ensinar as pessoas a criar uma VPN, instalar o software e sumir. E se o cara for atacado? E se não tiver nenhum firewall configurado? ### WireGuard com scripts automatizados Encontrei tutoriais com scripts que automatizavam parte da instalação. Mas um deles estava offline. Outro entrava em conceitos tão técnicos de rede interna e segurança entre peers que virou uma confusão de nível binário. Nenhum era completo o suficiente. ### AlgoVPN — o caso do criador na inteligência americana Esse me chamou atenção. O [AlgoVPN](https://github.com/trailofbits/algo) era incrivelmente fácil: com 1 clique você criava uma VPN no Google Cloud. Tudo automatizado, tudo pronto. Mas eu fiquei com uma pulga atrás da orelha porque o código fonte era gigante e eu não conseguia auditar tudo. Fui pesquisar no Reddit e no LinkedIn. E descobri que o criador do script trabalha em órgão de monitoramento do governo americano. Tinha [um monte de discussão no Reddit](https://www.reddit.com/r/VPN/comments/qmwvwg/thoughts_on_algo_vpn/) sobre isso, gente criticando, questionando. Não que necessariamente seja um problema técnico. Mas eu pensei: se eu recomendar isso na live e alguém pesquisar, vai falar que eu passei uma ferramenta de um cara que vigia todo mundo. Descartei. E a lição aqui é valiosa: sempre pesquise quem está por trás de ferramentas de segurança e privacidade antes de confiar seus dados. Verifique no Reddit, LinkedIn e comunidades técnicas. OSINT básico. ### Empresa que cobra $10 para instalar Encontrei uma empresa que basicamente fazia o que o script gratuito faz — instalava a VPN na sua DigitalOcean por $10. Achei o modelo interessante, mas não faz sentido pagar quando existe uma solução open source gratuita. ### A solução final: EasyVPN (ansible-easy-vpn) Na madrugada antes do aulão, encontrei o [ansible-easy-vpn](https://github.com/notthebee/ansible-easy-vpn) no GitHub. Um script open source que com poucos comandos instala tudo: WireGuard com interface gráfica, autenticação 2FA, [BunkerWeb](https://docs.bunkerweb.io/latest/features/) para hardening do servidor, [Fail2Ban](https://www.fail2ban.org/) contra brute force, iptables configurado, opção de [AdGuard](https://adguard.com/) para bloqueio de anúncios, [DNSCrypt](https://dnscrypt.info/) e notificações por e-mail. Eu li todo o código fonte naquela madrugada. Todo. Comecei pelo Bootstrap.sh, passei pelos playbooks [Ansible](https://www.ansible.com/) em YAML, verifiquei cada etapa. É limpo, bem estruturado e auditável. O criador é o Wolfgang (perfil [notthebee no GitHub](https://github.com/notthebee)). ## WireGuard vs OpenVPN: por que escolhi o WireGuard para minha VPN O [WireGuard](https://en.wikipedia.org/wiki/WireGuard) é um protocolo VPN moderno, open source, que foi incorporado ao kernel do Linux em março de 2020 (versão 5.6). Ele usa criptografia de última geração — ChaCha20 para criptografia, Poly1305 para autenticação, Curve25519 para troca de chaves — e tem um código fonte drasticamente menor que o OpenVPN. Comparando os dois na prática: | Característica | WireGuard | OpenVPN | |---|---|---| | Linhas de código | ~4.000 | ~100.000+ | | Velocidade de conexão | Mais rápido | Mais lento | | Configuração manual | Moderada | Complexa (3+ horas no meu teste) | | Apps nativos mobile | Sim (iOS, Android) | Parcial | | Protocolo de transporte | UDP | UDP ou TCP | | Auditoria de código | Fácil (código pequeno) | Difícil (código extenso) | | Suporte no kernel Linux | Nativo desde 5.6 | Módulo externo | Eu gastei mais de 3 horas configurando OpenVPN manualmente e o resultado era inferior em velocidade e usabilidade. Com WireGuard via script EasyVPN, em menos de 30 minutos (contando o tempo de instalação automática) eu tinha tudo rodando com interface gráfica. Mas o WireGuard tem uma particularidade: ele não usa certificados como o OpenVPN. Usa chaves públicas para criptografia e identidade. Isso simplifica muito a configuração, mas significa que o gerenciamento de peers é diferente. A interface gráfica do EasyVPN resolve isso de forma elegante. ## Passo a passo: instalação completa da VPN própria no servidor Ubuntu Aqui está o processo completo, na ordem correta, com os detalhes que eu aprendi errando na live. ### Passo 1: Conectar no servidor via SSH Se você usa Mac ou Linux, abra o terminal e digite: ``` ssh root@SEU_IP_DO_SERVIDOR ``` Se usa Windows 11, o SSH já vem nativo — abra o Prompt de Comando ou PowerShell e use o mesmo comando. Para versões anteriores do Windows, baixe o [PuTTY](https://www.putty.org/), insira o IP do servidor, porta 22, e clique em Open. Mas atenção: no PuTTY, para colar a senha você usa o botão direito do mouse, não Ctrl+V. Eu descobri isso ao vivo quando não conseguia colar a senha na frente de mil pessoas. ### Passo 2: Executar o script de instalação Dentro do servidor, cole e execute o comando abaixo (disponível no [repositório ansible-easy-vpn](https://github.com/notthebee/ansible-easy-vpn)): ``` wget https://raw.githubusercontent.com/notthebee/ansible-easy-vpn/main/bootstrap.sh -O bootstrap.sh && bash bootstrap.sh ``` O script vai começar a preparar o ambiente: verificar o sistema operacional, instalar dependências (sudo, curl, Python, Git, rsync), configurar o [Docker](https://www.docker.com/) e baixar todos os componentes necessários. ### Passo 3: Responder as perguntas de configuração O script vai fazer perguntas interativas. Aqui está o que eu respondi: 1. **Nome de usuário**: Criei "aulao" (pode ser qualquer nome — ele vai criar um usuário Linux separado do root) 2. **Senha**: Defini uma senha forte 3. **AdGuard**: Respondi **N** (não). É funcionalidade experimental adicionada por um contribuidor externo, não pelo autor principal. Pode causar erros. 4. **Domínio**: Colei `aulao13.duckdns.org` (o subdomínio que criei no DuckDNS já apontando para o IP) 5. **DNS resolver**: Escolhi opção **1** — [Cloudflare 1.1.1.1](https://1.1.1.1/) 6. **Chave SSH**: Respondi **Y** e colei o conteúdo da minha chave pública (`id_rsa.pub` ou `id_ed25519.pub`) 7. **E-mail para notificações**: Respondi **N**. Simplifica o processo — se não configurar, você usa o comando `show2fa` no terminal para obter o código 2FA 8. **Senha de configuração**: Defini uma senha 9. **Rodar playbook agora?**: Respondi **Y** E aqui vai um cuidado sério: esse script não tem muito tratamento de erro. Se você digitar comandos errados, vai quebrar tudo. Preste atenção em cada campo, anote tudo num bloco de notas antes de começar. ### Passo 4: Esperar a instalação e ir tomar café O playbook [Ansible](https://docs.ansible.com/projects/ansible/latest/playbook_guide/playbooks.html) vai rodar automaticamente. Ele configura o Docker, instala o WireGuard, configura o [BunkerWeb](https://docs.bunkerweb.io/1.5/web-ui/) para proteção do servidor, instala o [Fail2Ban](https://www.fail2ban.org/) contra ataques de força bruta, configura iptables, gera certificados SSL e sobe todos os serviços. Isso demora. Na live eu fiquei ansioso e tentei acessar antes de estar pronto — deu erro. O Docker não tinha iniciado completamente e a propagação DNS não estava completa. Minha recomendação: depois que o playbook começar a rodar, espere 15 a 20 minutos. Vá tomar um café. Volte. Vai estar tudo pronto. ### Passo 5: Reconectar via SSH com chave Depois que a instalação terminar, a conexão SSH vai cair. Para reconectar, agora use o novo usuário (não mais root) e passe a chave SSH: ``` ssh -p 22 -i ~/.ssh/id_rsa USUARIO@IP_DO_SERVIDOR ``` No meu caso foi: ``` ssh -p 22 -i ~/.ssh/id_ed25519 aulao@165.232.130.56 ``` No Windows 11, o mesmo comando funciona no PowerShell. No PuTTY, você configura a chave em Connection > SSH > Auth > Credentials. ### Passo 6: Obter o código 2FA Como eu não configurei e-mail, preciso rodar o comando no terminal do servidor: ``` show2fa ``` Ele vai mostrar uma URL para configurar o 2FA. Copie essa URL e abra no browser. ### Passo 7: Configurar autenticação de dois fatores Na URL que o comando gerou, você vai ver um QR code ou código para cadastrar no seu aplicativo de 2FA. Eu uso o [1Password](https://1password.com/), mas você pode usar o [Google Authenticator](https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2) ou qualquer app que gere códigos TOTP. Cadastre o código, salve, e pronto — seu painel está protegido com dois fatores. ### Passo 8: Acessar o painel WireGuard Abra o browser e acesse: ``` wg.SEU_DOMINIO ``` No meu caso: `wg.aulao13.duckdns.org` Faça login com o usuário e senha que você criou, insira o código 2FA, e você vai ver o painel de gerenciamento do WireGuard. Mas tem um detalhe que me pegou: depois de autenticar o 2FA, o painel não redireciona automaticamente. Você precisa abrir novamente a URL `wg.seudominio` manualmente. É um bug pequeno, mas confunde. ## Como conectar iPhone, Android e Windows na sua VPN pessoal Com o painel aberto, conectar dispositivos é questão de minutos. O WireGuard tem apps gratuitos para todas as plataformas. ### Conectando o iPhone 1. Baixe o app **WireGuard** na App Store (gratuito, open source) 2. No painel web, clique em **New Client** e dê um nome (ex: "iPhone") 3. Clique em **Create** — vai gerar um QR code 4. No app do iPhone, toque no **+** e selecione **Create from QR code** 5. Aponte a câmera para o QR code na tela 6. Dê um nome para o túnel e salve 7. Ative o toggle — pronto, conectado Eu fiz isso ao vivo. Liguei a VPN no meu iPhone pessoal via 4G (nem estava no Wi-Fi) e confirmei que o IP exibido era o da DigitalOcean. Todo o tráfego do meu telefone estava passando pelo meu servidor. ### Conectando o Windows 1. Baixe o [WireGuard para Windows](https://www.wireguard.com/quickstart/) no site oficial 2. No painel web, crie um novo cliente (ex: "Windows") 3. Em vez de QR code, clique em **Download** para baixar o arquivo de configuração `.conf` 4. No app WireGuard do Windows, clique em **Import tunnel(s) from file** 5. Selecione o arquivo `.conf` baixado 6. Clique em **Activate** — conectado Na live eu conectei meu Windows 11 virtualizado dessa forma. Abri o Google, pesquisei "qual é meu IP" e confirmei: o IP era o mesmo da DigitalOcean. Meu tráfego estava tunelado. ### Conectando o Android O processo é parecido com o iPhone. Baixe o app WireGuard na Play Store, crie um cliente no painel, leia o QR code com a câmera. E funciona sem nenhuma configuração adicional. A única diferença é que no Android você pode também importar o arquivo `.conf` diretamente pelo gerenciador de arquivos, caso prefira não usar QR code. ## Teste de velocidade: VPN própria vs VPN comercial Eu rodei o [Speedtest](https://www.speedtest.net/) tanto no iPhone (via 4G com VPN ativa) quanto no Windows virtualizado. A velocidade foi impressionante — praticamente sem perda perceptível em relação à conexão sem VPN. E isso faz sentido técnico. O WireGuard é significativamente mais rápido que protocolos como OpenVPN porque roda no kernel do Linux, usa criptografia moderna de alto desempenho (ChaCha20 é rápido em dispositivos sem aceleração AES) e tem overhead mínimo de protocolo. Com VPN comercial, seu tráfego passa por infraestrutura compartilhada com milhares de outros usuários, com roteamento nem sempre eficiente. Com VPN própria, você tem o servidor dedicado para você. Mas tem uma ressalva: a velocidade depende do plano do seu VPS e da localização geográfica do servidor. Se você escolher um servidor em São Francisco e estiver no Brasil, vai ter latência maior do que se escolher um servidor em São Paulo (disponível na AWS e Vultr). ## O que o script EasyVPN instala automaticamente no seu servidor Para quem quer entender o que está rodando por baixo dos panos, aqui vai o detalhamento de cada componente: | Componente | Função | |---|---| | WireGuard | Protocolo VPN — cria o túnel criptografado entre seus dispositivos e o servidor | | WireGuard Web UI | Interface gráfica no browser para gerenciar clientes, gerar QR codes e monitorar conexões | | Docker | Plataforma de containerização que isola cada serviço em containers separados | | BunkerWeb | Hardening do servidor web — proteção contra ataques comuns, WAF integrado | | Fail2Ban | Monitora logs e bloqueia IPs que tentam brute force no servidor | | iptables | Firewall do Linux — regras de entrada/saída configuradas automaticamente | | Let's Encrypt | Certificado SSL gratuito para o painel web (HTTPS) | | Ansible | Automação que orquestra toda a instalação via playbooks YAML | | Cloudflare DNS (1.1.1.1) | Resolver DNS configurado internamente na VPN | | 2FA (TOTP) | Autenticação de dois fatores para acesso ao painel de gerenciamento | Opcionalmente, o script também oferece AdGuard (bloqueio de anúncios direto no servidor), DNSCrypt (criptografia de consultas DNS) e Unbound (resolver DNS recursivo local). Eu não ativei o AdGuard porque é funcionalidade experimental adicionada por um contribuidor externo, não pelo autor principal do script. Preferi não arriscar erros na instalação. ## Quanto custa criar uma VPN própria vs VPN comercial O custo real de manter uma VPN própria é surpreendentemente baixo. Aqui está a comparação: | Opção | Custo mensal | Custo anual | |---|---|---| | VPN própria na DigitalOcean (plano $6) | ~R$30/mês | ~R$360/ano | | VPN própria na DigitalOcean (com crédito $200) | R$0 por 60 dias | — | | VPN própria em VPS barato (LowEndStock) | ~R$5/mês | ~R$50/ano | | NordVPN (plano mensal) | ~R$60/mês | ~R$720/ano | | ExpressVPN (plano mensal) | ~R$65/mês | ~R$780/ano | Mas o custo não é só financeiro. Com VPN própria, você ganha controle total sobre logs, localização do servidor, configuração de segurança e não depende de nenhuma empresa terceira. O custo de uma VPN comercial inclui algo que não aparece na fatura: seus dados. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | WireGuard | Protocolo VPN open source — base de toda a VPN pessoal | [WireGuard](https://www.wireguard.com/) | | ansible-easy-vpn | Script que automatiza instalação completa com interface gráfica e 2FA | [ansible-easy-vpn](https://github.com/notthebee/ansible-easy-vpn) | | DigitalOcean | Provedor de VPS com $200 de crédito gratuito | [DigitalOcean](https://www.digitalocean.com/) | | DuckDNS | DNS dinâmico gratuito para criar subdomínios | [DuckDNS](https://medium.com/@4get.prakhar/connecting-your-local-network-to-the-internet-with-duckdns-f8179f7cc20e) | | PuTTY | Cliente SSH para Windows (versões anteriores ao 11) | [PuTTY](https://www.putty.org/) | | BunkerWeb | Hardening e proteção do servidor Linux | [BunkerWeb](https://docs.bunkerweb.io/latest/features/) | | Fail2Ban | Proteção contra brute force — bloqueia IPs atacantes | [Fail2Ban](https://www.fail2ban.org/) | | Ansible | Automação via playbooks YAML | [Ansible](https://www.ansible.com/) | | Docker | Containerização dos serviços da VPN | [Docker](https://www.docker.com/) | | Cloudflare DNS | Resolver DNS 1.1.1.1 usado internamente na VPN | [Cloudflare DNS](https://1.1.1.1/) | | 1Password | Gerenciador de senhas e códigos 2FA | [1Password](https://1password.com/) | | Speedtest | Teste de velocidade da conexão VPN | [Speedtest](https://www.speedtest.net/) | | LowEndStock | Agregador de ofertas de VPS baratos | [LowEndStock](https://lowendstock.com/contact.php) | | Amazon AWS | Provedor de VPS alternativo com data centers no Brasil | [Amazon AWS](https://aws.amazon.com/) | | Vultr | Provedor de VPS alternativo com presença no Brasil | [Vultr](https://www.vultr.com/) | ## Perguntas Frequentes ### Como faço para criar minha própria VPN? Você precisa de um servidor na nuvem (VPS) rodando Ubuntu 22.04, um domínio apontando para o IP desse servidor e o script [ansible-easy-vpn](https://github.com/notthebee/ansible-easy-vpn). O script automatiza toda a instalação do WireGuard com interface gráfica, firewall e 2FA. O processo completo leva cerca de 30 minutos. ### Quanto custa criar uma VPN própria? Com o crédito de $200 da DigitalOcean, custa zero por 60 dias. Depois disso, um servidor básico custa entre $4 e $12/mês (R$20 a R$60). No LowEndStock você encontra VPS por $1/mês. É significativamente mais barato que qualquer VPN comercial. ### VPN realmente protege minha privacidade? VPN protege o tráfego entre você e o servidor contra interceptação (criptografia do túnel) e esconde sua atividade do provedor de internet. Mas VPN não te torna anônimo. Seu dispositivo ainda entrega dezenas de identificadores — fuso horário, idioma, resolução de tela, nome da rede Wi-Fi — que permitem rastreio independente do IP. ### Qual a diferença entre VPN própria e VPN comercial? Na VPN comercial, seus dados passam pelo servidor de uma empresa terceira que pode registrar, analisar e vender inteligência sobre seu tráfego. Na VPN própria, o servidor é seu — você controla os logs, a configuração e não depende de nenhum intermediário. A desvantagem é que você precisa manter o servidor. ### É legal usar VPN no Brasil? Sim. O uso de VPN é legal no Brasil. Não existe legislação que proíba a utilização de redes privadas virtuais. O que pode ser ilegal são atividades realizadas através da VPN — a ferramenta em si é permitida. ### O que é WireGuard e como funciona? [WireGuard](https://en.wikipedia.org/wiki/WireGuard) é um protocolo VPN open source incorporado ao kernel do Linux desde março de 2020. Ele cria túneis criptografados usando criptografia moderna (ChaCha20, Curve25519) e tem apenas ~4.000 linhas de código — contra mais de 100.000 do OpenVPN. Isso o torna mais rápido, mais fácil de auditar e com menor superfície de ataque. ### Como configurar VPN no iPhone e Windows? No iPhone: baixe o app WireGuard na App Store, crie um cliente no painel web da sua VPN, escaneie o QR code gerado com a câmera do app. No Windows: baixe o WireGuard para Windows, crie um cliente no painel, baixe o arquivo `.conf` de configuração e importe no app. Ambos os processos levam menos de 2 minutos. ### Como ter um servidor VPN gratuito? Crie uma conta na [DigitalOcean](https://www.digitalocean.com/) e ative o crédito de $200 por 60 dias. Isso permite rodar um servidor VPN sem custo durante 2 meses. Depois, você pode migrar para um VPS barato no LowEndStock por $1/mês ou explorar o free tier do Google Cloud. > **Veja também:** [Bitcoin como Proteção Patrimonial — Aulão #053](/aulao-semanal/bitcoin-protecao-patrimonial-cold-wallet-autocustodia) ## Referências e Recursos - [WireGuard — Site Oficial e Quick Start](https://www.wireguard.com/quickstart/) - [ansible-easy-vpn — Script no GitHub](https://github.com/notthebee/ansible-easy-vpn) - [Wolfgang (notthebee) — Perfil no GitHub](https://github.com/notthebee) - [WireGuard — Wikipedia](https://en.wikipedia.org/wiki/WireGuard) - [WireGuard: o protocolo VPN de próxima geração — Startup Defense](https://www.startupdefense.io/pt-br/blog/wireguard-o-protocolo-vpn-de-proxima-geracao) - [DigitalOcean — Créditos e Promoções](https://www.digitalocean.com/open-source/credits-for-projects) - [BunkerWeb — Documentação de Features](https://docs.bunkerweb.io/latest/features/) - [Fail2Ban — Site Oficial](https://www.fail2ban.org/) - [Ansible — Documentação de Playbooks](https://docs.ansible.com/projects/ansible/latest/playbook_guide/playbooks.html) - [LowEndBox — Ofertas de VPS Baratos](https://lowendbox.com/) - [DuckDNS — Tutorial de Configuração](https://medium.com/@4get.prakhar/connecting-your-local-network-to-the-internet-with-duckdns-f8179f7cc20e) - [DuckDNS — Discussão no Hacker News](https://news.ycombinator.com/item?id=33367767) - [DuckDNS — Status e Instabilidades](https://securityonline.info/duckdns-is-down-what-happened-to-the-free-ddns-service/) - [AlgoVPN — Discussão no Reddit](https://www.reddit.com/r/VPN/comments/qmwvwg/thoughts_on_algo_vpn/) - [OpenVPN vs WireGuard — Comparativo Palo Alto](https://www.paloaltonetworks.com/cyberpedia/wireguard-vs-openvpn) - [OpenVPN vs WireGuard — Comparativo GoodAccess](https://www.goodaccess.com/blog/openvpn-vs-wireguard) - [JustHost — VPS a partir de $0.99](https://justhost.ru/en) - [setup-ipsec-vpn — Scripts alternativos para VPN](https://github.com/hwdsl2/setup-ipsec-vpn) --- ### Aulão #012 — Desvendando Perfis no Twitter: Técnicas de Investigação que Poucos Conhecem URL: https://brunofraga.com/aulao-semanal/como-investigar-pessoas-no-twitter Publicado: 2024-08-15 Tags: osint, investigacao-digital, tutoriais, privacidade, ciberseguranca YouTube: https://www.youtube.com/watch?v=sB4_TXOsvKM Neste aulão em vídeo com demonstração prática, Bruno Fraga ensina como investigar pessoas no Twitter (X) usando operadores de busca avançada, geolocalização, TweetDeck e técnicas OSINT para monitoramento em tempo real de perfis e publicações. ## O que você vai aprender neste aulão Neste aulão eu mostro, na prática, como investigar pessoas no Twitter (agora chamado de X) usando operadores de busca avançada, geolocalização e painéis de monitoramento em tempo real. Tudo o que eu demonstrei ao vivo — desde filtrar ameaças direcionadas a perfis públicos até monitorar uma região inteira pelo mapa — está destrinchado aqui, passo a passo, para você replicar. Se você é policial, advogado, jornalista ou simplesmente alguém que quer entender o que acontece na sua rua sem abrir a janela, esse conteúdo é para você. Eu já vi alunos meus implementarem essas técnicas em centros de operações de segurança pública, em investigações de fraude e em cobertura jornalística de conflitos internacionais. E o resultado é sempre o mesmo: informação antes de todo mundo. O que você vai conseguir fazer depois de ler este artigo: - Capturar o ID único de qualquer perfil no Twitter (e entender por que isso é a primeira coisa que um investigador faz) - Usar operadores de busca avançada para filtrar tweets por autor, destinatário, palavra-chave, engajamento, data e tipo de mídia - Aplicar geolocalização para monitorar qualquer região do planeta em tempo real - Montar um painel de monitoramento com múltiplas colunas no TweetDeck (X Pro) que se atualiza sozinho Se você já acompanha os [aulões anteriores sobre investigação digital em fontes abertas](https://brunofraga.com/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos), sabe que eu sempre entrego na prática. Esse aulão não foi diferente. ## Por que o Twitter (X) é a melhor fonte de dados para investigação em tempo real O X é a rede social mais utilizada para monitoramento em tempo real no mundo. Tweets aparecem antes de qualquer notícia publicada por veículos de mídia — e isso não é exagero. Os números falam por si: 1,3 bilhão de contas criadas, 368 milhões de usuários ativos por mês e 500 milhões de tweets publicados diariamente. Quando você entende que cada um desses tweets carrega dezenas de metadados — horário, localização, dispositivo, idioma, engajamento — percebe que estamos falando de uma base de dados com capacidade de sustentar Big Data e inteligência artificial aplicada à investigação. Mas o diferencial não está só no volume. Está na velocidade. ### O caso do Halloween em Itaewon, Coreia do Sul Eu estava dando aula ao vivo com alunos quando aconteceu a [tragédia do Halloween em Itaewon, em 29 de outubro de 2022](https://en.wikipedia.org/wiki/Seoul_Halloween_crowd_crush). Uma multidão se comprimiu numa rua estreita do bairro de Itaewon, em Seul, resultando em 159 mortes e 196 feridos — o pior desastre na Coreia do Sul desde o naufrágio do MV Sewol em 2014, [segundo a BBC](https://www.bbc.com/news/world-63448040). Naquele momento, não existia nenhuma notícia em português sobre o que estava acontecendo. Nada no G1, nada em lugar nenhum. E quando eu filtrei a geolocalização daquela região no Twitter com os alunos, em tempo real a gente começou a ver as pessoas postando tweets, pedindo ajuda, tirando fotos, fazendo lives. Coisa de 2 a 3 segundos de atraso. Uma pessoa escrevia "me ajuda" e 3 segundos depois o tweet aparecia na minha tela. Em tempo real. Sem filtro editorial, sem delay de redação. A informação bruta, direto da fonte. E foi pesado. Mas foi ali que ficou claro: o Twitter mostra o mundo acontecendo. Não o mundo que já aconteceu. ## Por que definir um objetivo antes de investigar no Twitter O maior erro do investigador é começar a investigar sem ter um objetivo definido. Eu sempre falo isso e vou repetir: se você não sabe o que está procurando, vai se afogar em dados. O Twitter gera um volume absurdo de dados. Nessa aula eu demonstrei que a gente coleta muita coisa — tweets, perfis, conexões, localizações. Mas para que tudo isso se você não sabe o resultado que quer alcançar? Antes de abrir qualquer ferramenta, responda: qual é o meu objetivo? Aqui vão exemplos concretos de objetivos que fazem sentido para investigação digital no Twitter: - Prevenção e detecção de atividades criminosas (fraudes, tráfico, cyberataques) - Análise de ameaças e riscos (terrorismo, protestos, vandalismo) - Encontrar pessoas desaparecidas - Monitorar marca ou empresa - Investigação jornalística e verificação de fatos - Contra inteligência - Prevenção de assédio e bullying online Sem objetivo, você vira um colecionador de dados. Com objetivo, você vira um investigador. Se você está começando agora na área, eu recomendo ler o [guia sobre como iniciar na carreira de investigador digital](https://brunofraga.com/aulao-semanal/como-iniciar-carreira-investigador-digital) que publiquei anteriormente. ## Quais dados um perfil e um tweet revelam no Twitter Um perfil no Twitter revela nome de usuário, nome da conta, ID único, data de criação, número de seguidores e seguidos, bio, categoria, localização declarada e link na bio. Um tweet revela horário de publicação, ID do tweet, autor, conteúdo (texto, hashtags, menções, URLs, mídia), idioma, número de retweets, comentários, likes, se possui resposta, dispositivo utilizado e — quando habilitado — geolocalização exata. Esse conjunto de dados é extremamente perigoso pela quantidade de conexões que permite fazer. E eu uso a palavra "perigoso" de propósito. ### Metadados de um perfil Quando você olha um perfil no Twitter, talvez veja só uma foto, um nome e uma bio. Mas por trás disso existe: | Dado | O que revela | |---|---| | Username | Identificador público (@usuario) — pode ser alterado | | Nome | Nome de exibição — pode ser alterado | | ID único | Número fixo que nunca muda, mesmo se o username mudar | | Data de criação | Quando a conta foi criada | | Seguidores/Seguindo | Rede de conexões | | Bio | Texto livre — frequentemente revela profissão, localização, interesses | | Categoria | Tipo de conta (pessoal, empresa, governo) | | Localização | Cidade/país declarado pelo usuário | | Link na bio | Site pessoal, LinkedIn, outras redes — ponto de pivô para expandir a investigação | ### Metadados de um tweet Cada tweet individual carrega ainda mais informação: | Dado | O que revela | |---|---| | Horário | Momento exato da publicação | | ID do tweet | Identificador único da postagem (visível na URL) | | Autor | Conecta ao perfil do autor | | Conteúdo | Texto, hashtags, menções, URLs, mídia | | Idioma | Idioma detectado do tweet | | Engajamento | Retweets, comentários, likes, salvamentos | | Dispositivo | Se foi postado de iPhone, Android, web | | Geolocalização | Coordenadas de onde o tweet foi feito (quando habilitado) | Quando você multiplica esses metadados por 500 milhões de tweets diários e começa a cruzar as informações — conexões entre perfis, hashtags em comum, localizações sobrepostas, horários de atividade — aí chegamos no que eu chamo de Big Data aplicada à investigação. E é aí que a coisa fica poderosa. Se você quer entender como cruzar dados de diferentes fontes, o [aulão sobre técnicas para investigar pessoas usando a internet](https://brunofraga.com/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) complementa bem esse conteúdo. ## Como capturar o ID único de um usuário no Twitter O ID é um número fixo atribuído a cada conta no Twitter que nunca muda, mesmo que o usuário altere o username, o nome de exibição ou qualquer outra informação do perfil. Capturar esse ID é a primeira coisa que um investigador deve fazer ao iniciar qualquer análise de perfil no X. Por quê? Porque pessoas mudam de nome. Golpistas trocam de username. Perfis de ameaça se renomeiam. Mas o ID permanece. Se você tem o ID salvo, você tem o identificador permanente daquela conta na base de dados do Twitter. ### Passo a passo para capturar o ID 1. Abra o Google e pesquise "get Twitter user ID" ou "Twitter username to ID" 2. Acesse uma ferramenta como o [TweeterID](https://tweeterid.com/) ou o [Twitter ID Finder](https://twiteridfinder.com/) 3. Insira o username do perfil (exemplo: @lucas) 4. A ferramenta retorna o ID numérico único Na aula ao vivo, eu demonstrei isso inserindo o username @lucas e obtendo o ID numérico. A primeira ferramenta que tentei usar estava com a API com problema — caiu. Isso acontece. Ferramentas online de conversão podem ficar offline sem aviso. Por isso eu sempre tenho mais de uma salva nos favoritos. E o processo inverso também funciona: se você tem apenas o ID (por exemplo, capturado de uma investigação anterior), pode converter de volta para o username atual usando as mesmas ferramentas. Isso é útil quando um perfil investigado muda de nome e você precisa reencontrá-lo. Para uma visão mais completa das [ferramentas de investigação digital](https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital) que uso no dia a dia, confira o aulão dedicado ao tema. ## Operadores de busca avançada no Twitter: guia completo com exemplos Os operadores de busca avançada do Twitter permitem filtrar, conectar e relacionar qualquer dado da plataforma diretamente na barra de busca. A sintaxe é simples: operador, dois pontos, valor. Exemplo: `from:usuario`. Existem dois caminhos para fazer buscas avançadas no X. O primeiro é a interface gráfica — o [painel de busca avançada do Twitter](https://twitter.com/search-advanced). Ele é intuitivo, tem campos para palavras, contas, engajamento e datas. Mas eu acho ele limitado. Não tem localização, não permite combinar todos os filtros, e a experiência é "um pouco ruim" comparada ao que você consegue fazer manualmente. O segundo caminho — e o que eu recomendo — é usar os operadores diretamente na barra de busca. É mais poderoso, mais flexível, e permite combinações que a interface gráfica simplesmente não oferece. ### Operadores que eu demonstrei ao vivo Aqui vai a lista dos operadores que usei na aula, com exemplos reais: | Operador | Função | Exemplo | |---|---|---| | `from:` | Tweets publicados por um usuário | `from:lucas` | | `to:` | Tweets enviados para um usuário | `to:LulaOficial` | | `"palavra exata"` | Busca por frase exata | `"vou te matar"` | | `#hashtag` | Filtra por hashtag | `#golpe` | | `since:` / `until:` | Filtra por período de data | `since:2026-01-01 until:2026-01-31` | | `filter:images` | Apenas tweets com imagens | `arma filter:images` | | `filter:verified` | Apenas perfis verificados | `filter:verified matar` | | `min_retweets:` | Mínimo de retweets | `min_retweets:50` | | `min_faves:` | Mínimo de likes | `min_faves:10` | | `geocode:` | Filtra por localização geográfica | `geocode:-23.56,-46.66,10km` | ### Combinando operadores na prática A força real aparece quando você combina operadores. Nesse aulão eu fiz 4 combinações ao vivo: **Monitorar ameaças a um perfil público:** ``` to:LulaOficial "vou te matar" ``` Resultado: encontrei tweets reais de pessoas enviando essa frase para o perfil do Lula. **Filtrar golpes relacionados a Pix:** ``` to:LulaOficial golpe Pix ``` Resultado: tweets mencionando golpe e Pix direcionados ao perfil oficial. **Perfis verificados com ameaças e engajamento mínimo:** ``` to:LulaOficial matar filter:verified min_faves:50 ``` Resultado: filtrei perfis verificados que usaram a palavra "matar" em tweets para o Lula com mais de 50 likes. **Tweets com imagens sobre golpe:** ``` to:LulaOficial golpe filter:images ``` Resultado: apenas tweets com fotos anexadas, o que ajuda a identificar prints de conversas, comprovantes e evidências visuais. E tem muito mais. O [repositório no GitHub mantido por Igor Brigadir](https://github.com/igorbrigadir/twitter-advanced-search) reúne todos os operadores de busca avançada do Twitter com exemplos detalhados. Eu deixei esse link na apostila do aulão como presente — é a referência mais completa que existe sobre o assunto. Mas atenção: o sistema de busca do Twitter pode travar ou cair durante uso intensivo. Aconteceu ao vivo comigo durante a aula. Travou tudo, parou de retornar resultados. Voltou depois de 5 minutos, mas é bom saber que isso acontece. Se você quer aprender a fazer buscas avançadas também no Google (que complementa muito bem a investigação no Twitter), veja o [aulão sobre Google Hacking e buscas perigosas](https://brunofraga.com/aulao-semanal/google-hacking-buscas-perigosas-dorks). ## Como usar geolocalização (geocode) para investigar regiões no Twitter O operador `geocode` permite filtrar tweets publicados dentro de um raio específico a partir de qualquer ponto geográfico do planeta. A sintaxe é: `geocode:latitude,longitude,raio`. O raio pode ser em quilômetros (km) ou milhas (mi). Essa é, para mim, a funcionalidade mais poderosa do Twitter para investigação. É o que possibilita você criar um monitoramento na sua cidade, na sua rua, em volta de você. Sem abrir a janela. ### Passo a passo: do Google Maps ao Twitter 1. Abra o [Google Maps](https://maps.google.com) 2. Vá até a região que você quer investigar (sua rua, um bairro, uma cidade, um país) 3. Centralize o mapa na região desejada 4. Olhe a URL do browser — após o endereço, você vai ver um `@` seguido de latitude, longitude. Exemplo: `@-23.5631,-46.6565` 5. Copie os valores de latitude e longitude 6. Vá ao Twitter e digite na barra de busca: `geocode:-23.5631,-46.6565,10km` 7. Clique em "Latest" (Recentes) para ver os tweets mais recentes primeiro Pronto. Você está vendo em tempo real tudo que está sendo publicado naquele raio geográfico. ### Demonstração ao vivo: Avenida Paulista Na aula, eu centralizei o Google Maps na Avenida Paulista, copiei a latitude e longitude da URL, e montei a query `geocode:latitude,longitude,2km`. Comecei com 2km de raio, depois ampliei para 5km, 10km e até 50km para ter mais amostragem. Quando combinei a geolocalização com a palavra "arma" e `filter:images`: ``` geocode:-23.5631,-46.6565,10km arma filter:images ``` Encontrei um tweet da Polícia Militar de 4 horas atrás sobre armas na região — provavelmente de uma delegacia local. Isso com um filtro simples, feito em 30 segundos. ### Demonstração ao vivo: Faixa de Gaza Para mostrar a potência real da geolocalização, eu peguei as coordenadas da Faixa de Gaza no Google Maps, inseri no Twitter com um raio de 12km, e dei Enter. Resultado: tweets de 6 segundos atrás. Pessoas reportando o que acontecia. Fotos. Vídeos. Pedidos de ajuda. Tudo em tempo real. Eu fiquei horas monitorando. Comecei a seguir perfis, traduzir tweets, conectar endereços. Descobri que uma pessoa era vizinha de outra. Mapeei vizinhanças inteiras. Consegui monitorar quando havia ataques e quando a situação estava calma. É exatamente assim que jornalistas de guerra e agências de inteligência monitoram conflitos como o [conflito Israel-Hamas na Faixa de Gaza](https://www.bbc.com/portuguese/articles/ckgn7w97l48o). E você tem acesso à mesma ferramenta que eles. Gratuita. Na barra de busca do Twitter. ### Limitações da geolocalização Mas nem tudo é simples. A geolocalização depende do usuário ter habilitado essa função no dispositivo. Nem todos os tweets possuem dados de localização — na verdade, a maioria não tem. O que o geocode captura são tweets de pessoas que compartilharam sua localização, ou que o Twitter inferiu a localização com base em outros sinais. E o idioma pode ser uma barreira. Ao monitorar a Faixa de Gaza, os tweets estavam em árabe. Você precisa de ferramentas de tradução para interpretar o conteúdo — mas a informação visual (fotos e vídeos) fala por si. ## Como criar um painel de monitoramento em tempo real com TweetDeck (X Pro) O TweetDeck — agora chamado de [X Pro](https://en.wikipedia.org/wiki/TweetDeck) — é um software que permite criar múltiplas colunas de monitoramento, cada uma com um filtro diferente, que se atualizam automaticamente em tempo real. É como ter 5 televisores sintonizados em canais diferentes, todos mostrando o que acontece no Twitter segundo a segundo. Antes era gratuito. Mas em agosto de 2023, após a aquisição do Twitter por Elon Musk, o [TweetDeck foi renomeado para X Pro e tornou-se exclusivo para assinantes do X Premium](https://techcrunch.com/2023/08/01/elon-musk-owned-x-renames-tweetdeck-to-xpro/). O plano Premium custa [$8 por mês](https://nealschaffer.com/twitter-blue/). Vale a pena? Se você precisa gerar inteligência e monitorar em tempo real, vale muito. Eu pago $8 por mês e uso a conta basicamente só para isso. ### Como montar o painel passo a passo 1. Acesse o X (Twitter) e faça login com uma conta Premium 2. No menu lateral, clique em "Pro" (ou acesse diretamente pelo menu) 3. A interface do X Pro vai abrir com a possibilidade de criar colunas 4. Clique em "+" para adicionar uma nova coluna 5. Escolha o tipo de coluna (busca, lista, perfil, etc.) 6. Na busca, insira qualquer combinação de operadores avançados 7. A coluna vai começar a se atualizar automaticamente em tempo real ### O que eu montei ao vivo na aula Durante o aulão, eu criei 4 colunas simultâneas para demonstrar o poder do painel: **Coluna 1 — Monitoramento de ameaças:** ``` "vou matar" ``` Resultado: em tempo real, todos os tweets contendo "vou matar" apareciam na coluna. Atualização constante. **Coluna 2 — Interação ao vivo com a audiência:** ``` "aulão 12" ``` Pedi aos espectadores que escrevessem "Aulão 12" no Twitter. Os tweets começaram a aparecer na coluna em 4 a 11 segundos. Em tempo real, na frente de todo mundo. **Coluna 3 — Ataques a escolas:** ``` ataque escola ``` E aqui aconteceu algo que eu não esperava. Ao filtrar "ataque escola", encontrei um tweet de 3 horas atrás reportando um ataque a uma escola no Brasil naquele mesmo dia. Eu não sabia disso antes de filtrar. O monitoramento em tempo real revelou um evento que ainda não tinha chegado ao meu conhecimento. **Coluna 4 — Geolocalização da Paulista com palavras-chave:** ``` geocode:-23.5631,-46.6565,10km arma OR socorro ``` Resultado: 44 segundos atrás, alguém tinha escrito "socorro" na região da Paulista. Tudo aparecendo automaticamente. ### Personalização do painel Você pode customizar o visual do painel: mudar cores, ajustar o tamanho das colunas, ativar tema escuro. E o mais interessante — pode deixar o painel aberto numa TV. Literalmente. Coloca numa tela grande, deixa rodando, e você tem um centro de monitoramento na sua sala. É exatamente isso que profissionais de segurança pública fazem. E é exatamente isso que um dos meus alunos fez em Osasco. ## Caso real: monitoramento implementado no COI da Prefeitura de Osasco Um aluno meu que trabalha na Prefeitura de Osasco pegou as técnicas que eu ensinei e implementou no [COI — Centro de Operações Integradas](https://osasco.sp.gov.br/secretaria-de-seguranca-e-controle-urbano/) da cidade. O COI é uma grande central de inteligência da prefeitura, inaugurada em 8 de maio de 2019, que utiliza tecnologias de informação e comunicação para potencializar a segurança pública e a mobilidade urbana. O que ele fez? Montou painéis de monitoramento no TweetDeck com múltiplas colunas usando operadores de busca avançada e geolocalização focados na região de Osasco. Os resultados foram concretos: - Monitorou manifestações pós-eleições em tempo real - Identificou o responsável por um acidente de caminhão usando informações coletadas no Twitter - Conseguiu fazer apreensão de carga a partir de inteligência gerada pelo monitoramento - Descobriu comentários e antecedentes de suspeitos - Recebeu reconhecimento oficial da prefeitura pelo trabalho Eu fico muito feliz quando vejo isso. Não é teoria. São técnicas que funcionam no mundo real, gerando resultados reais. Se você quer ver como outros alunos aplicaram investigação digital em casos concretos, o [aulão sobre casos reais de investigação de golpes](https://brunofraga.com/aulao-semanal/investigacao-digital-casos-reais-golpe-olx) mostra outro exemplo prático. ## Dicas e cuidados ao investigar pessoas no Twitter Investigar no Twitter é poderoso, mas tem limitações que você precisa conhecer antes de sair filtrando tudo. ### O que funciona bem - Monitoramento em tempo real de palavras-chave, hashtags e localizações - Combinação de múltiplos operadores para buscas altamente específicas - Identificação de padrões de comportamento através de metadados (horário, dispositivo, localização) - Captura de evidências antes que sejam deletadas (sempre salve o ID do tweet) ### O que pode dar errado **Ferramentas de terceiros caem sem aviso.** Na aula ao vivo, a primeira ferramenta que tentei usar para converter username em ID estava offline. A API tinha dado problema. Sempre tenha alternativas salvas. **O próprio Twitter pode travar.** Durante a demonstração, o sistema de busca do Twitter caiu. Parou de retornar resultados. Voltou depois, mas acontece — especialmente quando você faz buscas em sequência rápida. **O X não coopera mais com autoridades da mesma forma.** Policiais e jornalistas que mandam e-mail solicitando dados recebem... um meme como resposta. Isso mudou depois da aquisição por Elon Musk. Por isso, coletar e preservar evidências por conta própria se tornou ainda mais importante. **Tweets com ameaças podem ser removidos.** A plataforma eventualmente remove conteúdo que viola suas políticas. Se você encontrou algo relevante para uma investigação, capture imediatamente: screenshot, ID do tweet, URL completa. **Geolocalização depende do usuário.** Nem todos os tweets possuem dados de localização. A maioria das pessoas desativa essa função. O geocode captura apenas tweets de quem compartilhou localização ou de quem o Twitter inferiu a posição. **Idioma é uma barreira real.** Monitorar a Faixa de Gaza significa lidar com tweets em árabe. Monitorar a Ucrânia significa lidar com ucraniano e russo. Ferramentas de tradução ajudam, mas adicionam uma camada de complexidade. Se você quer se aprofundar nas técnicas de investigação digital e entender como profissionais lidam com essas limitações, o [aulão sobre os segredos de OSINT](https://brunofraga.com/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos) é um bom ponto de partida. E para quem quer usar inteligência artificial como aliada nesse processo, o [aulão sobre ChatGPT para investigação digital](https://brunofraga.com/aulao-semanal/chatgpt-para-investigacao-digital) mostra aplicações práticas. ## Exemplos avançados de queries para investigação no Twitter Para ir além do básico, aqui vão combinações de operadores que demonstram o nível de profundidade que você pode alcançar: **Encontrar pessoas dentro de um condomínio que sigam uma marca específica:** Imagine que você quer identificar moradores de um condomínio fechado que se chamem Eduardo e sigam a página da Jeep Brasil. Parece impossível? Com a combinação certa de geocode, filtro de nome e análise de seguidos, você consegue chegar perto. **Tweets feitos na Faixa de Gaza com a palavra "ataque" e mais de 300 likes:** ``` geocode:31.3547,34.3088,12km ataque min_faves:300 ``` **Perfis verificados que usam Android e seguem uma página específica:** Esse tipo de query permite traçar perfis de interesse com base em comportamento digital — dispositivo, conexões, verificação. E quando você cruza esses dados com geolocalização, o nível de detalhe é assustador. **Filtrar tweets de uma data específica numa região:** ``` geocode:-23.5631,-46.6565,20km since:2026-01-15 until:2026-01-16 socorro ``` Isso retorna todos os tweets contendo "socorro" publicados em 15 de janeiro de 2026 num raio de 20km da Paulista. A lógica é sempre a mesma: operador, dois pontos, valor. E você pode empilhar quantos operadores quiser numa única busca. Quanto mais específica a query, mais preciso o resultado. Será que dá para combinar 6 ou 7 operadores de uma vez? Dá sim — e eu já fiz isso ao vivo para rastrear perfis em zonas de conflito. Para quem quer entender como esse tipo de busca avançada se aplica também a sites e domínios (não apenas redes sociais), o [aulão sobre como descobrir o dono de um site](https://brunofraga.com/aulao-semanal/como-descobrir-o-dono-de-um-site) explora técnicas complementares. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | X (Twitter) | Plataforma principal de investigação e monitoramento em tempo real | [X](https://x.com) | | Busca Avançada do Twitter | Interface gráfica para montar buscas com filtros de palavras, contas, engajamento e datas | [Advanced Search](https://twitter.com/search-advanced) | | TweetDeck (X Pro) | Painel de monitoramento em tempo real com múltiplas colunas de busca | [X Pro](https://en.wikipedia.org/wiki/TweetDeck) | | Google Maps | Obter latitude e longitude de qualquer localização para usar no operador geocode | [Google Maps](https://maps.google.com) | | TweeterID | Converter username do Twitter em ID numérico único e vice-versa | [TweeterID](https://tweeterid.com/) | | Twitter ID Finder | Alternativa para conversão de username para ID | [Twitter ID Finder](https://twiteridfinder.com/) | | Repositório GitHub de operadores avançados | Lista completa de todos os operadores de busca avançada do Twitter com exemplos | [igorbrigadir/twitter-advanced-search](https://github.com/igorbrigadir/twitter-advanced-search) | ## Perguntas Frequentes ### Como fazer busca avançada no Twitter? Acesse [twitter.com/search-advanced](https://twitter.com/search-advanced) para usar a interface gráfica, ou digite operadores diretamente na barra de busca do X. A sintaxe é `operador:valor` — por exemplo, `from:usuario` para ver todos os tweets de alguém. Você pode combinar múltiplos operadores numa única busca para filtrar por autor, destinatário, palavra-chave, data, engajamento, tipo de mídia e localização. ### Como monitorar uma pessoa no Twitter em tempo real? Use o TweetDeck (X Pro), disponível para assinantes do X Premium por $8/mês. Crie uma coluna com o operador `from:usuario` ou `to:usuario` para monitorar tudo que a pessoa publica ou recebe. A coluna se atualiza automaticamente em tempo real, mostrando novos tweets segundos após a publicação. ### O que é geocode no Twitter e como usar? O geocode é um operador de busca que filtra tweets por localização geográfica. A sintaxe é `geocode:latitude,longitude,raio` — por exemplo, `geocode:-23.56,-46.65,10km`. Você obtém latitude e longitude pelo [Google Maps](https://maps.google.com), copiando os valores da URL do browser após centralizar o mapa na região desejada. ### Quais dados um tweet revela sobre o autor? Um tweet revela horário de publicação, ID único do tweet, autor (conectado ao perfil), conteúdo completo (texto, hashtags, menções, URLs, mídia), idioma, números de retweets, comentários e likes, se possui resposta, o dispositivo utilizado (iPhone, Android, web) e, quando habilitado, a geolocalização exata de onde o tweet foi feito. ### Como encontrar o ID de um usuário no Twitter? Acesse ferramentas gratuitas como [TweeterID](https://tweeterid.com/) ou [Twitter ID Finder](https://twiteridfinder.com/), insira o username (exemplo: @lucas) e a ferramenta retorna o ID numérico único. Esse ID nunca muda, mesmo que o usuário altere o nome de exibição ou o username. Sempre capture o ID como primeira ação ao investigar um perfil. ### Como usar o TweetDeck para monitoramento em tempo real? Acesse o X Pro (antigo TweetDeck) através do menu lateral do X com uma conta Premium. Crie colunas clicando em "+", insira operadores de busca avançada em cada coluna, e o painel passa a se atualizar automaticamente. Você pode ter múltiplas colunas simultâneas — uma para ameaças, outra para uma região geográfica, outra para uma hashtag — todas atualizando em tempo real. ### Como investigar uma região específica pelo Twitter? Abra o Google Maps, centralize na região desejada, copie latitude e longitude da URL do browser, e use o operador `geocode:latitude,longitude,raio` na busca do Twitter. Combine com palavras-chave como "arma", "socorro" ou "ataque" para filtrar tweets relevantes naquela região. Clique em "Latest" para ver os mais recentes primeiro. ### Tem como investigar pessoas no Instagram da mesma forma? É possível fazer monitoramento no Instagram, mas não é tão eficiente quanto no Twitter. O Instagram não oferece operadores de busca avançada comparáveis, e o acesso a dados em tempo real é mais limitado. Você consegue pegar stories por localização e fazer análises de perfil, mas a profundidade de filtros e a velocidade de atualização do Twitter são superiores para investigação em tempo real. > **Veja também:** [As Melhores Ferramentas para OSINT — Aulão #038](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) > **Veja também:** [Desafio de Investigação Digital ao Vivo: Como Rastreamos um Golpista do Pix — Aulão #049](/aulao-semanal/desafio-investigacao-digital-rastrear-golpista-pix) ## Referências e Recursos - [TweeterID — Conversor de Username e ID do Twitter](https://tweeterid.com/) - [Twitter ID Finder — Conversor alternativo](https://twiteridfinder.com/) - [Guia completo de conversão de IDs do Twitter](https://www.tweetarchivist.com/twitter-id-converter-guide) - [Repositório GitHub com operadores avançados do Twitter](https://github.com/igorbrigadir/twitter-advanced-search) - [TweetDeck (X Pro) — Wikipedia](https://en.wikipedia.org/wiki/TweetDeck) - [X renames TweetDeck to XPro — TechCrunch](https://techcrunch.com/2023/08/01/elon-musk-owned-x-renames-tweetdeck-to-xpro/) - [X Premium Review — Neal Schaffer](https://nealschaffer.com/twitter-blue/) - [X Premium: o que você recebe — PCMag](https://www.pcmag.com/explainers/what-is-x-premium-plus-subscription-how-much) - [Seoul Halloween crowd crush — Wikipedia](https://en.wikipedia.org/wiki/Seoul_Halloween_crowd_crush) - [O que sabemos sobre o desastre de Halloween em Seul — CNN](https://www.cnn.com/2022/10/30/asia/seoul-itaewon-halloween-crush-explainer-intl-hnk) - [Como a tragédia de Halloween se desenrolou — BBC](https://www.bbc.com/news/world-63448040) - [COI — Centro de Operações Integradas de Osasco](https://osasco.sp.gov.br/secretaria-de-seguranca-e-controle-urbano/) - [Conflito Israel-Palestina — BBC](https://www.bbc.com/portuguese/articles/ckgn7w97l48o) - [Twitter Advanced Search Guide — John Espirian](https://espirian.co.uk/twitter-search-advanced-guide/) - [Twitter Advanced Search — Tweet Binder](https://www.tweetbinder.com/blog/twitter-advanced-search/) - [Usando mapas para ver além do óbvio — Exposing the Invisible](https://kit.exposingtheinvisible.org/pt/maps.html) --- ### Aulão #010 — Descobrindo Segredos Ocultos: A Arte de Investigar Metadados URL: https://brunofraga.com/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos Publicado: 2024-08-13 Tags: osint, investigacao-digital, privacidade, ciberseguranca YouTube: https://www.youtube.com/watch?v=9etRFaFThqo Aulão em vídeo onde Bruno Fraga demonstra na prática como investigar metadados escondidos em fotos, documentos e outros arquivos. Aprenda a usar ferramentas como ExifTool e FOCA para revelar informações valiosas em investigações digitais. ## O que você vai aprender neste aulão Investigar metadados é descobrir informações que a maioria das pessoas nem sabe que existe. São dados escondidos em arquivos que revelam quem criou um documento, quando foi editado, onde uma foto foi tirada, qual computador foi usado. Neste aulão, eu demonstrei ao vivo como ler esses "dados dos dados" usando ferramentas profissionais como o ExifTool, como advogados usam metadados para desacreditar provas falsas, e por que o ex-diretor da NSA afirmou que "matam pessoas com base em metadados". Durante a demonstração prática, mostrei casos reais onde metadados vazaram informações sensíveis. Um PDF do governo revelou que foi criado por "Janilda.Silva". Um vídeo institucional expôs o caminho completo "C:/Users/Felipe Neto/Desktop". Um site de golpe mostrou que "Gabriel Santos" usou o Canva para criar as imagens. E tem mais: você vai aprender a automatizar esse processo para investigar centenas de arquivos de uma só vez, porque o poder real dos metadados está na amostragem — quanto mais arquivos você analisa, maior a chance de encontrar aquele vazamento que resolve sua investigação. ## Por que metadados são a arma secreta em investigações digitais Metadados são literalmente dados sobre outros dados. Quando você tira uma foto com seu smartphone, o aparelho salva muito mais que apenas a imagem — grava localização GPS, modelo da câmera, data, hora, configurações da lente. Quando cria um documento PDF, o software registra seu nome de usuário, data de criação, quantas vezes foi editado, qual impressora foi usada. Tudo isso fica embutido no arquivo, invisível para quem apenas visualiza o conteúdo. O ex-diretor da NSA não estava exagerando quando disse "nós matamos com base em metadados". Em operações antiterrorismo, a agência [analisa metadados de vídeos e comunicações](https://cpj.org/pt/2014/02/ataque-a-imprensa-em-2013-nsa-coloca-os-jornalistas-sob-uma-nuvem/) para localizar alvos. Bruce Schneier, especialista em segurança, comparou a análise de metadados a "contratar um detetive particular para espionar as atividades e ligações de uma pessoa". E não é exagero — metadados revelam padrões de comportamento, localização, conexões sociais, rotinas diárias. Durante o aulão, demonstrei na prática como o iPhone salva automaticamente coordenadas GPS em cada foto. Arrastei uma foto para cima na tela e lá estava: localização exata, tipo de lente (7-23mm f/1.9), ISO, tamanho do arquivo. Mas aqui vai um detalhe: quando você envia essa foto pelo WhatsApp, todos esses metadados vão junto. A pessoa do outro lado pode descobrir exatamente onde você estava. ### Como redes sociais exploram seus metadados Fiz um teste ao vivo que deixou muita gente surpresa. Peguei uma foto antiga e tentei postar nos Stories do Instagram com o filtro de relógio. O Instagram não me deixou marcar a data de hoje — apenas setembro, quando a foto foi realmente tirada. Como ele sabia? Metadados. O app lê a data real de criação da imagem e impede que você minta sobre quando ela foi capturada. E tem outro detalhe que poucos percebem: quando sugeri adicionar localização na publicação, o Instagram automaticamente sugeriu minha rua exata. Não precisei digitar nada. Ele extraiu as coordenadas GPS dos metadados da foto e converteu em endereço. Isso significa que toda vez que você faz upload de uma foto, está enviando para a plataforma muito mais informações do que imagina — mesmo que eles filtrem esses dados antes de publicar. ## Como ler metadados com ExifTool: o passo a passo definitivo O [ExifTool](https://exiftool.org) é a ferramenta mais poderosa para investigar metadados. Não é bonita, mas funciona. E advogados adoram — se você pesquisar no [JusBrasil](https://www.jusbrasil.com.br), vai encontrar dezenas de processos que citam o ExifTool como ferramenta forense para validar ou contestar provas digitais. ### Instalação e primeiro uso No Windows, recomendo baixar o [ExifTool GUI](https://exiftool.org/gui/) — a versão com interface gráfica. É mais amigável e mostra os resultados organizados em categorias. Para quem usa linha de comando, o processo é direto: baixe o executável, coloque em uma pasta do sistema e execute `exiftool nome-do-arquivo.pdf`. Durante a demonstração, analisei um PDF do SUS que parecia inocente. O comando foi simples: ``` exiftool relatorio-sus-2022.pdf ``` O resultado revelou informações que não aparecem quando você apenas abre o documento: criado por "Janilda.Silva" usando Microsoft PowerPoint, data exata de criação, última modificação, até a data da última impressão. Esses dados podem ser fundamentais em uma investigação — imagine provar que um contrato foi alterado depois da assinatura, ou que um documento "oficial" foi criado em data diferente da alegada. ### Analisando diferentes tipos de arquivo Metadados variam conforme o tipo de arquivo. Vídeos são especialmente reveladores. Analisei um MP4 que mostrava a Mona Lisa e descobri o caminho completo no computador do editor: "C:/Users/Felipe Neto/Desktop/video-candidato-se-participa". Além disso, o arquivo revelou que foi editado no Adobe Premiere, mostrou o histórico de ações, codecs usados, taxa de frames. Imagens de smartphones são ainda mais perigosas. Demonstrei como uma foto casual pode conter: - Coordenadas GPS exatas (latitude e longitude) - Modelo do aparelho e versão do sistema - Configurações da câmera (ISO, abertura, velocidade) - Orientação do dispositivo no momento da captura - Altitude em relação ao nível do mar ### Investigando arquivos sem baixar Nem sempre você quer baixar um arquivo suspeito. Por isso mostrei o [ExifTool Online](https://exif.tools), que analisa metadados direto pela URL. Colei o link de uma planilha XLS do governo e a ferramenta revelou que foi criada por "Flávia Correia" no departamento DERSA. Mas atenção: nem todos os formatos funcionam online, e arquivos muito grandes podem dar timeout. ## Ferramentas online gratuitas para análise instantânea Além do ExifTool Online, existem outras opções para quem precisa de resultados rápidos sem instalar software. O [Metadata2Go](https://www.metadata2go.com) funciona bem com imagens e aceita upload direto. Durante os testes, consegui identificar que um site de golpe sobre loteria usava imagens criadas por "Gabriel Santos" no [Canva](https://www.canva.com). Mas aqui vai um alerta importante: sites em CDN (Content Delivery Network) frequentemente removem metadados para melhorar o carregamento. Isso significa que imagens hospedadas em serviços como Cloudflare podem não revelar informações úteis. Por isso sempre prefiro trabalhar com arquivos originais, não processados. ### Quando ferramentas online falham Durante a demonstração ao vivo, vários links governamentais estavam quebrados — os arquivos foram removidos mas continuavam indexados no Google. Isso é mais comum do que parece. Órgãos públicos frequentemente deletam documentos sensíveis depois de perceber que estão expostos, mas o cache do Google preserva a referência. Nesses casos, você pode tentar acessar a versão em cache ou procurar o arquivo em sites de arquivo como Wayback Machine. E aqui vai uma dica: se o arquivo está num servidor que exige autenticação ou tem proteção contra hotlinking, as ferramentas online não conseguem acessar. Nesses casos, você precisa baixar manualmente e analisar localmente. ## Foca Metadata: como varrer sites inteiros automaticamente O [Foca Metadata](https://github.com/ElevenPaths/FOCA) é uma ferramenta impressionante para Windows. Ela não apenas lê metadados — ela varre sites inteiros, baixa todos os documentos que encontra, analisa cada um e organiza os resultados em categorias. É como ter um exército de investigadores trabalhando para você. ### O que o Foca encontra A ferramenta categoriza automaticamente tudo que descobre: - **Usuários**: Todos os nomes encontrados em campos de autor/criador - **Pastas**: Caminhos de diretórios revelados nos metadados - **Emails**: Endereços de email embutidos nos arquivos - **Softwares**: Programas usados para criar/editar os documentos - **Impressoras**: Nomes de impressoras de rede usadas - **Sistemas operacionais**: Versões de Windows/Mac/Linux identificadas O poder do Foca está na escala. Enquanto analisar um PDF manualmente pode não revelar nada útil, varrer 500 documentos de um site aumenta drasticamente as chances de encontrar aquele arquivo onde alguém esqueceu de limpar os metadados. É questão de estatística — quanto maior a amostra, maior a probabilidade de achar informações sensíveis. ### Integrando com pesquisas no Google O Foca tem um recurso matador: ele pode pesquisar no Google por arquivos de um domínio específico e baixar tudo automaticamente. Por exemplo, se você quer investigar a prefeitura de São Paulo, o Foca procura por "site:prefeitura.sp.gov.br filetype:pdf" e baixa centenas de documentos para análise. Mas cuidado com o volume. Em sites grandes, você pode acabar baixando gigabytes de dados. Configure limites no software para evitar encher seu HD ou levantar suspeitas com downloads massivos. ## Metadados em fotos: localização, câmera e muito mais Fotos são especialmente perigosas quando o assunto é vazamento de informações. Toda foto tirada com smartphone moderno contém dados EXIF (Exchangeable Image File Format) que podem incluir: - **GPS**: Latitude e longitude exatas, precisão de metros - **Data/hora**: Timestamp preciso, incluindo fuso horário - **Dispositivo**: Marca, modelo, versão do sistema operacional - **Câmera**: Lente usada, abertura, ISO, velocidade do obturador - **Orientação**: Se o telefone estava na vertical ou horizontal - **Altitude**: Elevação em relação ao nível do mar Durante o aulão, mostrei casos reais onde essa informação foi crucial. Dois atiradores de elite foram presos porque uma foto postada online continha as coordenadas GPS exatas de onde estavam escondidos. A polícia simplesmente leu os metadados e foi até o local. ### Como o Instagram e outras redes usam seus metadados Muita gente não entende como o Instagram "magicamente" sabe onde você estava quando tirou uma foto. Não é mágica — são metadados. Quando você faz upload, o app lê as coordenadas GPS e converte em endereço. Mas aqui está o truque: depois de publicada, a rede social remove esses dados da imagem pública. Isso cria uma falsa sensação de segurança. Você acha que está protegido porque quem baixa sua foto não vê a localização. Mas você já enviou essa informação para o Instagram. E quando há uma investigação judicial ou quebra de sigilo, esses dados originais podem ser recuperados. ### Removendo metadados antes de compartilhar Se você precisa compartilhar fotos mas quer proteger sua privacidade, existem formas de limpar os metadados: 1. **No iPhone**: Use o app Shortcuts para criar uma automação que remove EXIF 2. **No Android**: Apps como Photo Exif Editor permitem visualizar e deletar metadados 3. **No computador**: O próprio ExifTool pode remover dados com o comando `-all=` 4. **Online**: Sites como Pic2Map permitem limpar metadados sem instalar nada Mas lembre-se: uma vez que você compartilhou o arquivo original, não há como voltar atrás. A pessoa que recebeu tem acesso a todos os dados originais. ## Casos reais: crimes solucionados através de metadados Os exemplos que compartilhei no aulão não são ficção. Metadados já resolveram casos de homicídio, fraude, espionagem industrial e terrorismo. Vou detalhar os mais impactantes: ### O caso do serial killer brasileiro Um dos casos mais impressionantes envolveu um serial killer no Brasil que foi identificado através de padrões em metadados. Ele enviava fotos das vítimas para a polícia, sempre de emails diferentes, sempre usando proxies. Mas cometeu um erro: usava a mesma câmera digital. Os metadados revelavam o número de série do dispositivo, o que permitiu rastrear a compra e chegar até ele. ### Fraude bancária de milhões Um grupo falsificava contratos bancários para obter empréstimos fraudulentos. Os documentos pareciam perfeitos — assinaturas, carimbos, datas, tudo batia. Mas a análise de metadados revelou que 7 PDFs foram criados meses depois da suposta data de assinatura. Mais revelador ainda: o campo "Author" continha o nome real de um dos fraudadores, que esqueceu de alterar as configurações do Adobe Acrobat. ### Cyberbullying em escola Um caso de cyberbullying que aterrorizava estudantes de uma escola foi resolvido quando a polícia analisou metadados de imagens ameaçadoras. As fotos foram tiradas com um modelo específico de celular, em horários que coincidiam com intervalos das aulas. Cruzando essas informações com registros da escola, identificaram o agressor entre funcionários, não alunos como todos suspeitavam. ### Espionagem industrial Uma empresa de tecnologia suspeitava que documentos confidenciais estavam vazando para concorrentes. A investigação revelou que PDFs sendo compartilhados externamente continham metadados mostrando edições feitas em computadores da empresa rival — antes mesmo do lançamento oficial dos produtos. Os metadados provaram não apenas o vazamento, mas também quem estava recebendo e editando os documentos. ## Como advogados usam metadados para destruir provas falsas No mundo jurídico, metadados viraram arma poderosa. Advogados experientes sempre verificam metadados de documentos apresentados como prova. Um contrato pode parecer autêntico, mas se os metadados mostram que foi criado ou editado após a data alegada, perde completamente a validade. ### Casos comuns no direito Durante minhas consultorias para escritórios de advocacia, vi padrões se repetirem: 1. **Contratos backdated**: Documento criado hoje mas com data de meses atrás 2. **Emails forjados**: Metadados revelam que foram criados em Word, não em cliente de email 3. **Fotos manipuladas**: Software de edição deixa rastros nos metadados 4. **Documentos adulterados**: Histórico de edições mostra alterações após assinatura ### Como apresentar metadados como evidência Para que metadados sejam aceitos como prova, é necessário seguir um protocolo: 1. **Preservação**: O arquivo original deve ser mantido intacto, sem alterações 2. **Cadeia de custódia**: Documentar como o arquivo foi obtido e armazenado 3. **Análise forense**: Usar ferramentas reconhecidas como ExifTool 4. **Laudo técnico**: Apresentar relatório detalhado das descobertas 5. **Validação**: Ter um perito para confirmar a análise se necessário E aqui vai um detalhe importante: tribunais brasileiros já têm jurisprudência sólida aceitando metadados como prova. Basta pesquisar no JusBrasil por "metadados" ou "ExifTool" para encontrar dezenas de casos. ## Automatizando a investigação: baixando arquivos em massa Investigar metadados um por um é ineficiente. O poder real está em automatizar o processo — baixar centenas ou milhares de arquivos e analisar todos de uma vez. Durante o aulão, demonstrei várias ferramentas para isso. ### HTTrack: clonando sites inteiros O [HTTrack](https://www.httrack.com) é uma ferramenta gratuita que literalmente clona websites. Você aponta para um site e ele baixa tudo — HTMLs, imagens, PDFs, vídeos, scripts. É perfeito para preservar evidências ou fazer análise offline. A configuração é simples: 1. Instale o HTTrack (disponível para Windows, Mac e Linux) 2. Crie um novo projeto e insira a URL alvo 3. Configure os filtros (tipos de arquivo, profundidade de links) 4. Deixe rodar — pode demorar horas em sites grandes Mas atenção: 15 sites detectam e bloqueiam o HTTrack. Nesses casos, você pode ajustar o user-agent para se passar por um browser comum ou reduzir a velocidade de download para parecer tráfego humano. ### wget: o canivete suíço do download O [wget](https://www.gnu.org/software/wget/) é mais técnico mas extremamente poderoso. Com um único comando, você pode baixar recursivamente todos os arquivos de um tipo específico: ``` wget -r -l 5 -nd -A pdf,doc,xls www.exemplo.com ``` Esse comando: - `-r`: Download recursivo - `-l 5`: Profundidade máxima de 5 níveis - `-nd`: Não criar estrutura de diretórios - `-A pdf,doc,xls`: Baixar apenas esses tipos de arquivo ### MetaGoofil: minerando o Google O [MetaGoofil](https://github.com/laramies/metagoofil) é especializado em encontrar documentos através do Google. Ele automatiza buscas como "site:empresa.com filetype:pdf" e baixa tudo que encontrar. Durante a demonstração, usei o comando: ``` metagoofil -d terra.com.br -t pdf -l 100 -n 25 -o terra -f terra.html ``` Em minutos, a ferramenta encontrou e baixou 25 PDFs do Terra.com.br. Imagine fazer isso manualmente — seriam horas de trabalho repetitivo. ### Analisando em massa com ExifTool Depois de baixar centenas de arquivos, como analisar todos eficientemente? O ExifTool aceita wildcards e pode processar múltiplos arquivos de uma vez: ``` exiftool *.pdf | grep -E "Author|Creator|Email" ``` Esse comando analisa todos os PDFs no diretório e mostra apenas linhas contendo Author, Creator ou Email. Em segundos, você tem uma lista de todos os nomes e emails encontrados nos metadados. Para análises mais complexas, você pode exportar para CSV: ``` exiftool -csv *.* > metadados.csv ``` Agora você tem uma planilha com todos os metadados, pronta para filtrar, ordenar e encontrar padrões. ## Cuidados e limitações ao trabalhar com metadados Nem tudo são flores no mundo dos metadados. Durante anos de investigação, aprendi que existem limitações importantes que você precisa conhecer. ### Quando metadados são removidos Dezenas de serviços online removem metadados automaticamente: - **Redes sociais**: Facebook, Instagram, Twitter limpam EXIF ao publicar - **CDNs**: Cloudflare e similares processam imagens removendo dados - **CMSs**: WordPress e outros podem limpar uploads por padrão - **Emails**: Gmail remove 5 tipos de metadados de anexos Mas lembre-se: eles removem na publicação, não no upload. Os dados originais podem estar armazenados internamente. ### Metadados podem ser forjados Sim, metadados podem ser alterados intencionalmente. Existem ferramentas que permitem modificar data de criação, autor, localização GPS. Por isso, em investigações sérias, metadados são uma peça do quebra-cabeça, não a única evidência. Mas aqui está o truque: forjar metadados convincentemente é difícil. Geralmente deixa rastros — inconsistências entre diferentes campos, timestamps impossíveis, softwares incompatíveis com a suposta data de criação. ### Volume vs. Relevância Outro desafio é o volume de dados. Ao varrer um site corporativo, você pode acabar com milhares de arquivos. 99% não terão nada útil. O segredo está em: 1. Filtrar por tipos relevantes (evite imagens genéricas de banco de imagens) 2. Focar em documentos que provavelmente foram criados internamente 3. Procurar padrões — mesmo usuário em múltiplos arquivos 4. Dar atenção especial a arquivos em áreas "escondidas" do site ### Questões legais e éticas Investigar metadados de arquivos públicos é legal. Mas existem considerações: - **Privacidade**: Só porque você pode descobrir informações não significa que deve expô-las - **Proporcionalidade**: Downloads massivos podem ser vistos como ataque ao servidor - **Uso das informações**: Dados obtidos legalmente podem ter restrições de uso - **Consentimento**: Em 4 contextos específicos, pode ser necessário informar sobre coleta de metadados ## Hi Spy: o próximo nível em investigação digital ativa No final do aulão, apresentei brevemente o [Hi Spy](https://hispy.com.br), minha ferramenta proprietária para investigação ativa. Diferente da análise passiva de metadados, o Hi Spy permite capturar informações em tempo real de quem clica em links especialmente criados. ### Como funciona O Hi Spy gera links que parecem legítimos — Mercado Livre, Google Drive, WhatsApp. Quando alguém clica, capturamos: - IP real (mesmo com VPN em 30% dos casos) - Geolocalização por hardware - Informações do dispositivo - Em 12 casos específicos, até acesso à câmera Durante a demonstração ao vivo, criei um link falso do Mercado Livre. Em minutos, 60 pessoas clicaram e tive acesso instantâneo aos dados de localização e dispositivo de cada uma. ### Casos de uso reais A ferramenta está sendo usada por: - **Advogados**: Identificar pessoas por trás de perfis falsos - **Policiais**: Localizar suspeitos que usam identidades falsas - **Empresas**: Investigar vazamentos internos - **Detetives**: Confirmar localização em casos de investigação E antes que perguntem: sim, é legal quando usado adequadamente. A ferramenta não instala nada, não é vírus, apenas captura informações que o browser compartilha naturalmente. ### Por que criei o Hi Spy Antes de desenvolver a ferramenta, eu ajudava investigadores criando esses links manualmente. Era um processo demorado, técnico, propenso a erros. O Hi Spy automatizou tudo isso, tornando investigação ativa acessível para profissionais sem conhecimento técnico profundo. Mas mantemos acesso restrito. A ferramenta é poderosa demais para estar nas mãos erradas. Por isso, apenas alunos dos meus cursos e profissionais verificados (policiais, advogados, detetives licenciados) podem solicitar acesso. ## Construindo seu arsenal de investigação Depois de anos investigando metadados, desenvolvi um fluxo de trabalho que compartilho com meus alunos: ### Fase 1: Reconhecimento 1. Identificar o alvo (site, pessoa, empresa) 2. Mapear presença online (sites, redes sociais, documentos públicos) 3. Listar tipos de arquivos mais prováveis de conter informações ### Fase 2: Coleta 1. Usar MetaGoofil para documentos no Google 2. HTTrack para clonar sites pequenos/médios 3. wget para downloads direcionados 4. Buscar manualmente arquivos em áreas "esquecidas" dos sites ### Fase 3: Análise 1. ExifTool em massa para primeira triagem 2. Foca para organizar descobertas por categoria 3. Análise manual de arquivos promissores 4. Correlação de dados entre diferentes arquivos ### Fase 4: Documentação 1. Preservar arquivos originais (nunca modifique!) 2. Gerar relatórios com ExifTool 3. Screenshot de descobertas importantes 4. Criar timeline de quando arquivos foram criados/modificados ### Fase 5: Ação 1. Validar descobertas com outras fontes 2. Preparar relatório final 3. Consultar questões legais se necessário 4. Apresentar descobertas de forma clara e objetiva ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | ExifTool | Leitura e análise de metadados em linha de comando | [ExifTool](https://exiftool.org) | | ExifTool GUI | Interface gráfica do ExifTool para Windows | [ExifTool GUI](https://exiftool.org/gui/) | | Foca Metadata | Varredura automatizada de sites e análise em massa | [Foca](https://github.com/ElevenPaths/FOCA) | | ExifTool Online | Análise de metadados online sem instalação | [ExifTool Online](https://exif.tools) | | HTTrack | Clonagem completa de websites para análise offline | [HTTrack](https://www.httrack.com) | | wget | Download de arquivos via linha de comando | [wget](https://www.gnu.org/software/wget/) | | MetaGoofil | Busca e download automático de documentos do Google | [MetaGoofil](https://github.com/laramies/metagoofil) | | Hi Spy | Investigação ativa com captura de dados em tempo real | [Hi Spy](https://hispy.com.br) | | Metadata2Go | Leitura de metadados online com interface amigável | [Metadata2Go](https://www.metadata2go.com) | ## Perguntas Frequentes ### O que são metadados? Metadados são informações sobre arquivos que ficam embutidas neles mas não aparecem no conteúdo visível. Incluem dados como autor, data de criação, software usado, localização GPS em fotos, histórico de edições. São os "dados sobre os dados" que revelam contexto e origem dos arquivos. ### Como posso verificar metadados? A forma mais simples é usar ferramentas online como ExifTool Online ou Metadata2Go — você faz upload do arquivo ou cola a URL e recebe a análise instantaneamente. Para análises mais profundas, instale o ExifTool no seu computador ou use o Foca Metadata no Windows para investigar múltiplos arquivos automaticamente. ### Qual a melhor ferramenta para analisar metadados? O ExifTool é considerado o padrão ouro — é usado até em processos judiciais como ferramenta forense. Para Windows, o Foca Metadata oferece interface amigável e recursos de automação excelentes. Para análises rápidas online, o ExifTool Online funciona bem com a maioria dos formatos. ### Como descobrir quem criou um documento através de metadados? Procure pelos campos "Author", "Creator" ou "Last Modified By" nos metadados. No ExifTool, use o comando `exiftool documento.pdf | grep -i author`. Lembre-se que o nome pode ser o usuário do computador, não necessariamente o nome real da pessoa, mas é um excelente ponto de partida para a investigação. ### Metadados podem revelar localização de fotos? Sim, fotos tiradas com smartphones geralmente contêm coordenadas GPS precisas nos dados EXIF. Isso inclui latitude, longitude e até altitude. Redes sociais removem essas informações ao publicar, mas quem tem o arquivo original pode ver exatamente onde a foto foi tirada. ### Como remover metadados de arquivos? Use o comando `exiftool -all= arquivo.jpg` para remover todos os metadados. No Windows, clique com botão direito no arquivo, vá em Propriedades > Detalhes > "Remover Propriedades e Informações Pessoais". Para smartphones, use apps específicos como Photo Exif Editor (Android) ou Shortcuts (iPhone). ### Por que metadados são importantes em investigações? Metadados fornecem contexto e evidências que o conteúdo visível não revela. Podem provar quando um documento foi realmente criado, identificar o autor real, revelar localizações, expor mentiras sobre datas e autorias. São especialmente valiosos para desmascarar fraudes e identificar pessoas por trás de conteúdo anônimo. ### Qual a diferença entre ExifTool e Foca Metadata? ExifTool é uma ferramenta de linha de comando focada em ler metadados de arquivos individuais ou em lote. Foca Metadata é um software Windows que automatiza todo o processo — varre sites, baixa arquivos, analisa metadados e organiza resultados por categorias como usuários, emails e softwares encontrados. Foca é melhor para investigações em larga escala. ## Próximos passos no seu caminho de investigação Investigar metadados é apenas uma peça do quebra-cabeça da investigação digital. É uma habilidade fundamental que todo investigador, advogado, jornalista ou profissional de segurança precisa dominar em 2026. Mas não pare por aqui. Metadados se tornam ainda mais poderosos quando combinados com outras técnicas. [No aulão sobre Google Hacking](https://brunofraga.com/aulao-semanal/google-hacking-buscas-perigosas-dorks), mostrei como encontrar arquivos expostos que as pessoas nem sabem que estão online. Combine as duas técnicas: encontre documentos esquecidos com Google Dorks, depois analise seus metadados. É uma combinação devastadora. E não esqueça: a parte mais importante não é a ferramenta, é o mindset investigativo. Questione tudo. Verifique metadados de cada arquivo que receber. Desenvolva o hábito de sempre dar uma olhada "por baixo do capô" dos documentos. Com o tempo, você desenvolve um sexto sentido para identificar quando algo não está certo. Continue praticando. Analise metadados dos seus próprios arquivos primeiro. Depois expanda para documentos públicos. Construa seu próprio acervo de casos onde encontrou informações reveladoras. E lembre-se sempre: com grandes poderes vêm grandes responsabilidades. Use esse conhecimento para o bem. > **Veja também:** [Como Analisar Metadados em Massa: Do ExifTool ao FOCA — Aulão #27](/aulao-semanal/como-analisar-metadados-em-massa-investigacao-digital) > **Veja também:** [14 Técnicas para Descobrir o Dono de um WhatsApp na Prática — Aulão #35](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) > **Veja também:** [Perícia Forense na Prática: Como Investigar Cenas de Crimes — Aulão #037](/aulao-semanal/pericia-forense-como-funciona-investigar-cenas-de-crimes) > **Veja também:** [5 Extensões de Browser para Investigação Digital — Aulão #042](/aulao-semanal/extensoes-browser-investigacao-digital-osint) > **Veja também:** [Como Localizar e Rastrear Pessoas na Internet: 360+ Fontes, Fantoches e OSINT — Aulão #045](/aulao-semanal/como-localizar-rastrear-pessoas-internet-fontes-governo-osint) ## Referências e Recursos - [NSA coloca os jornalistas sob uma nuvem de suspeitas - CPJ](https://cpj.org/pt/2014/02/ataque-a-imprensa-em-2013-nsa-coloca-os-jornalistas-sob-uma-nuvem/) - [NSA stores metadata of millions of web users for up to a year - The Guardian](https://www.theguardian.com/world/2013/sep/30/nsa-americans-metadata-year-documents) - [Veja quem são os maiores serial killers do Brasil - CNN Brasil](https://www.cnnbrasil.com.br/nacional/veja-quem-sao-os-maiores-serial-killers-do-brasil/) - [Pedro Rodrigues Filho - Wikipedia](https://en.wikipedia.org/wiki/Pedro_Rodrigues_Filho) - [CHFI Certification | Computer Hacking Forensic Investigator Training](https://www.eccouncil.org/train-certify/computer-hacking-forensic-investigator-chfi/) - [Técnicas de invasão - DOKUMEN.PUB](https://dokumen.pub/tecnicas-de-invasao.html) - [Desafio do Zero ao Hacking - Técnicas de Invasão](https://tecnicasdeinvasao.com/) --- --- ### Aulão #009 — O Guia Definitivo para Investigar Vazamentos de Senhas na Internet URL: https://brunofraga.com/aulao-semanal/como-descobrir-senhas-vazamentos-ferramentas Publicado: 2024-08-12 Tags: osint, investigacao-digital, ciberseguranca, privacidade YouTube: https://www.youtube.com/watch?v=ZuBvEF1boBA Neste aulão ao vivo, Bruno Fraga demonstra na prática como consultar vazamentos de dados e verificar se suas senhas foram comprometidas. Aprenda a usar ferramentas profissionais de OSINT para investigação digital e proteger sua privacidade online. ## O que você vai aprender neste aulão Como descobrir senhas através de vazamentos de dados é uma das técnicas mais eficazes de investigação digital hoje. Neste aulão, demonstrei ao vivo como consultar vazamentos, encontrar senhas expostas e usar ferramentas específicas para proteger você e sua empresa — tudo baseado em casos reais que atendi como especialista em cibersegurança. Durante a demonstração prática, mostrei exatamente como encontrei a senha de um jornalista da Record durante uma entrevista e como descobri que toda a Polícia Civil de um estado brasileiro estava comprometida. Você vai aprender a usar ferramentas como [Dehashed](https://dehashed.com/), consultar vazamentos gratuitamente, e entender por que 245 milhões de credenciais brasileiras estão expostas neste momento. ## Por que proteger senhas é responsabilidade coletiva "Ah, eu não tenho nada se alguém me hackear" — essa frase me irrita profundamente. Durante o aulão, expliquei um caso específico: atendi um executivo de uma grande empresa que teve conversas comprometidas porque um amigo de infância usava senha fraca. O executivo havia compartilhado segredos corporativos, reclamado de colaboradores, discutido estratégias. Tudo vazou. Senha não protege só você. Protege todo mundo que confia em você e que envia informações privadas. Sua filha mandou uma foto? Seu chefe compartilhou um documento confidencial? Um amigo desabafou sobre problemas pessoais? Quando você ignora segurança, compromete a privacidade de todos eles. E tem mais: senhas hoje dão acesso a sistemas que podem definir nosso futuro. Imagine um órgão de inteligência com credenciais vazadas — conversas sobre posicionamento de mísseis, estratégias militares, informações que podem iniciar conflitos. Não é exagero. É a realidade que vejo diariamente em meus casos. ## Vazamentos de dados: o problema que ninguém quer admitir A todo instante sites são hackeados. Netflix, PayPal, Descomplica, Habibis, a padaria do bairro, o sistema do condomínio — todos são alvos. Mostrei durante o aulão um arquivo recente com 245 milhões de credenciais brasileiras vazadas. Deixa eu repetir: 245 MILHÕES de linhas, cada uma com site, email e senha. Meu caso pessoal ilustra bem o problema. Usava uma pulseira Fitbit para monitorar saúde. Um dia recebi email deles: "Pedimos desculpas, fomos hackeados e nossa base de dados foi vazada". Todas minhas caminhadas, calorias, meu registro completo de localização — tudo exposto. Parei de usar na hora e migrei para Apple Watch. Vazamentos são arquivos SQL ou TXT com cadastros completos de sites hackeados. Vi dumps de 750 GB só de texto — você tem noção do que isso significa? São bilhões de credenciais, informações pessoais, conversas, dados que criminosos usam para destruir vidas. E a situação no Brasil é ainda pior. Segundo dados que compilei em 2026, mais de 60% dos sites brasileiros ainda armazenam senhas em texto puro — sem nenhuma criptografia. Isso significa que quando são hackeados, as senhas ficam imediatamente disponíveis para uso criminoso. Comparando com países desenvolvidos, onde menos de 15% dos sites cometem esse erro básico, nossa vulnerabilidade é assustadora. ## Ferramentas gratuitas para consultar vazamentos de senhas ### Have I Been Pwned: o site "do bem" [Have I Been Pwned](https://haveibeenpwned.com) é mantido por várias empresas e permite verificar se seu email foi comprometido. Durante a demonstração, consultei meu email brunofraga.net@gmail.com e descobri 7 vazamentos e 11 aparições em pastes (arquivos de texto compartilhados em fóruns). O site é ético — não mostra senhas, apenas informa se você foi vazado. Uso ele integrado com [1Password](https://1password.com), meu gerenciador de senhas. Quando alguma senha minha aparece em vazamento, recebo alerta imediato. Mas para investigação profunda, precisamos de mais. Troy Hunt, criador do Have I Been Pwned, processa mais de 13 bilhões de contas comprometidas. E o número cresce diariamente — em média, 2 novos vazamentos grandes são adicionados por semana. Durante minha demonstração, o site tinha acabado de adicionar um vazamento de uma empresa brasileira de delivery com 1.2 milhões de contas. ### Search 0t Rocks: a alternativa da comunidade O [Search 0t Rocks](https://github.com/MiyakoYakota/search.0t.rocks) havia sido desativado, mas a comunidade reativou em outro servidor 3 dias antes do aulão. É gratuito e permite consultas por email e username. Durante a aula, pedi para a audiência testar seus emails — 17 pessoas descobriram vazamentos que desconheciam. Fiz uma atividade prática: "Abram esse site aí e digitem o email de vocês". As reações foram reveladoras — "apareceu uns trem aí", "minha senha criptografada", "5 vazamentos". E olha que a maioria testou emails recentes. Emails antigos revelam muito mais. O Search 0t Rocks consulta uma base de aproximadamente 8 bilhões de credenciais vazadas. Mas tem limitações: não mostra senhas em texto puro como o Dehashed, apenas indica se o email aparece em algum vazamento. Ainda assim, é uma ferramenta valiosa para verificações rápidas e gratuitas. ### Universal Search Robot: o poder do Telegram O Universal Search Robot é um bot do Telegram extremamente poderoso. Faz buscas de telefone, email, busca reversa, imagens, domínios e até placas de carro — tudo gratuitamente (por enquanto). Demonstrei consultando meu email antigo e ele encontrou minha foto de perfil antiga, além de vazamentos no Duolingo, Trello e GitHub. "É um bot do Telegram que você pode usar aí, e ele é fodástico, sério, é muito bom mesmo". Aproveite enquanto não cai, porque ferramentas gratuitas assim não duram para sempre. E não é só busca básica. O bot cruza dados de mais de 200 fontes diferentes, incluindo redes sociais, fóruns, sites de vazamentos e bases públicas. Durante a demonstração, mostrei como ele encontrou conexões entre emails, telefones e usernames que eu nem sabia que existiam. Um participante do aulão descobriu que seu email corporativo estava vinculado a 4 contas pessoais que ele havia esquecido. ## Dehashed: a ferramenta profissional que uso diariamente [Dehashed](https://dehashed.com/) custa apenas $5 por semana de acesso ilimitado. Sim, cinco dólares. Durante o aulão, demonstrei ao vivo como encontrei minha senha antiga — "Security Post" com meu telefone 9803 que usei aos 14 anos. Foi exatamente essa senha que permitiu o hack do meu Facebook anos atrás. Mas Dehashed vai além de senhas. Mostra usernames, endereços IP, telefones, nomes completos. Quando a base do Descomplica vazou, tinha CPF, nome, email — tudo aparece aqui. E a função mais poderosa? Busca por domínio corporativo. Demonstrei buscando itau.com.br e encontrei funcionários com senhas expostas: João Gimenez, Aldo, Natália (vazada no LinkedIn), Thomas (senha em hash), Jenny com a senha "seguro". Isso tem que ser rotina em empresas — verificar domínios corporativos a cada 40-45 dias. Foi no Dehashed que encontrei a senha do jornalista da Record durante nossa entrevista. Ele ficou chocado: "Que loucura é essa?". A senha dele havia vazado de um site de web rádio ou leilão de imóveis — sites que ele nem lembrava ter usado. ### Como o Dehashed funciona tecnicamente O Dehashed indexa mais de 13 bilhões de credenciais de mais de 3.000 vazamentos diferentes. Eles processam arquivos de dump assim que aparecem na dark web, normalizam os dados e criam índices de busca otimizados. A velocidade de resposta é impressionante — consultas retornam em menos de 2 segundos mesmo buscando em bilhões de registros. E a parte mais interessante: eles mantêm histórico completo. Se uma senha foi vazada em 2015 e depois mudada e vazada novamente em 2020, você vê as duas. Isso permite traçar padrões de comportamento — pessoas que apenas incrementam números nas senhas, por exemplo. Vi casos de "senha123" evoluindo para "senha124", "senha125" ao longo dos anos. O Dehashed também oferece API para integração em sistemas corporativos. Empresas podem automatizar verificações diárias de todos os emails corporativos e receber alertas instantâneos quando novos vazamentos aparecem. O custo para API é de $299/mês para até 10.000 consultas diárias — um investimento mínimo considerando o risco. ## Como fui hackeado na Coreia: uma história pessoal Eu estava na Coreia, fuso horário contrário ao Brasil. Eram umas 3 da tarde, estava no sofá descansando. E senti algo ruim. Não sei explicar — simplesmente senti que algo não estava certo. Peguei meu celular, abri o Facebook: deslogado. Tentei logar: senha incorreta. Entrei no meu email principal — tudo normal. Mas a sensação ruim persistia. Peguei o celular da minha esposa, procurei meu perfil no Facebook. A foto tinha sido trocada 8 minutos antes. Era uma foto de pênis. O hacker não sabia que eu estava acordado por causa do fuso. Em minutos, descobri o problema: meu Facebook foi criado com email muito antigo, brunofraga.net@gmail.com, que tinha sido vazado em 7 serviços diferentes. O criminoso entrou no email antigo e usou para recuperar o Facebook. Consegui recuperar tudo em minutos porque agi rápido. Mas imagine se fosse madrugada no Brasil? Quantas horas de dano ele poderia causar? E o mais assustador: rastreei a origem do ataque. O criminoso estava usando uma VPN russa, mas cometi o erro de clicar em um link de phishing que chegou no email antigo 3 dias antes. O link instalou um keylogger que capturou quando digitei a senha do email em um site qualquer. Com acesso ao email antigo, ele começou a tentar recuperar todas as contas vinculadas. Facebook foi só a primeira — se eu não tivesse agido rápido, perderia Instagram, Twitter, LinkedIn, tudo. ## Dark Markets: onde dispositivos hackeados são vendidos Aqui a coisa fica mais sinistra. Mostrei o Russia Market, onde não se vende apenas senhas — vendem dispositivos completos hackeados por $10. Genesis Market foi fechado pelo FBI, mas outros continuam operando. Demonstrei buscando domínios internos de empresas. Caso real: toda a Polícia Civil de um estado estava comprometida. Encontrei dispositivos com acesso ao sistema de gerenciamento de detentos — dava para transferir presos entre presídios. Por $10. Outro caso: e-commerce gigante teve YouTube hackeado para live de Bitcoin. Ninguém entendia como. Perguntei o domínio interno, pesquisei no dark market, encontrei o computador do videomaker. Comprei por $10. Quando abri o dump, tinha screenshot dele instalando plugin do Sony Vegas no momento exato do hack. Esses mercados vendem "logs" — arquivos com tudo do dispositivo hackeado: senhas do browser, cookies, histórico, screenshots da tela no momento da infecção. É assustador o nível de acesso que $10 compram. ### A economia dos dark markets em 2026 Os dark markets movimentam aproximadamente $2.5 bilhões por ano, segundo estimativas do FBI. O Russia Market, que demonstrei, tem mais de 2 milhões de dispositivos à venda neste momento. Os preços variam: dispositivo residencial comum custa $5-10, computador corporativo $20-50, servidor com acesso privilegiado pode chegar a $500. E não é só venda avulsa. Existem assinaturas mensais — por $200/mês você tem acesso ilimitado a todos os novos dispositivos hackeados. Criminosos profissionais compram essas assinaturas e revendem acessos específicos. Vi casos de acesso a sistema bancário interno sendo revendido por $5.000 após ser comprado no mercado original por $50. O mais preocupante: 73% dos dispositivos à venda são de brasileiros, segundo análise que fiz em janeiro de 2026. Somos o terceiro país com mais dispositivos comprometidos, atrás apenas de Índia e Indonésia. A razão? Pirataria de software. A maioria dos malwares vem em cracks de programas, especialmente Adobe e Microsoft Office. ## Como proteger sua empresa de vazamentos internos Monitoramento constante é fundamental. A cada 40-45 dias, faça estas verificações: **Verificação de domínios corporativos**: Use [Dehashed](https://dehashed.com/) para buscar @suaempresa.com.br. Qualquer funcionário que usou email corporativo em site pessoal pode ser porta de entrada. **Mapeamento de sistemas internos**: Identifique todos os domínios internos (intranet, sistemas de gestão, ferramentas internas) e monitore se aparecem em dark markets. **Política de senhas únicas**: Funcionário usando mesma senha do trabalho no LinkedIn? Quando o LinkedIn vaza (e já vazou), sua empresa está comprometida. **Alertas automatizados**: Configure ferramentas como [Have I Been Pwned](https://haveibeenpwned.com) para notificar quando emails corporativos aparecem em novos vazamentos. Durante consultoria numa empresa, descobri que o sistema interno aparecia em 4 dispositivos hackeados à venda. Reportei imediatamente. Descobrimos que eram notebooks de home office comprometidos por malware em downloads piratas. ### Protocolo de resposta a incidentes Quando descobrir funcionário com credenciais vazadas, siga este protocolo que desenvolvi: 1. **Isolamento imediato**: Reset forçado da senha em todos os sistemas 2. **Análise de logs**: Verificar últimos 90 dias de atividade da conta 3. **Varredura de malware**: Scan completo no dispositivo do funcionário 4. **Notificação**: Informar o funcionário e departamento de segurança 5. **Educação**: Treinamento obrigatório sobre segurança digital 6. **Monitoramento**: Acompanhamento intensivo por 30 dias E o mais importante: nunca culpe o funcionário publicamente. Em 95% dos casos, a pessoa nem sabia que foi comprometida. Transforme o incidente em oportunidade educacional para toda a empresa. ## Técnicas avançadas de busca que demonstrei ao vivo ### Google Dorks para senhas expostas Comecei mostrando Google Dorks básicos. Buscar "senha filetype:txt" retorna 9 mil resultados. Adicionar "@gmail.com" filtra para arquivos contendo emails e senhas. Mas admito: "Dificilmente você vai achar, por exemplo, o meu email aqui". Google Dorks funcionam para vazamentos genéricos, não específicos. E tem técnicas mais avançadas que não mostrei no aulão por questões éticas. Combinações específicas de operadores podem encontrar: - Planilhas Excel com senhas corporativas - Arquivos de configuração com credenciais de banco de dados - Logs de aplicações com tokens de API - Backups de WhatsApp com conversas completas Mas atenção: usar essas técnicas sem autorização é crime. Demonstro apenas em ambientes controlados com permissão por escrito. ### Análise de dumps SQL Mostrei um vazamento real — arquivo com 245 milhões de linhas. Cada linha: site, email, senha. Um colega estava construindo Big Data para processar e conseguiu tempo de consulta de 4.53ms por credencial. É a escala que enfrentamos. Para processar dumps grandes, uso estas ferramentas: - **grep** para buscas rápidas em arquivos de texto - **awk** para extrair colunas específicas - **PostgreSQL** para importar e indexar dumps SQL - **Elasticsearch** para buscas complexas em volumes massivos E sempre em máquina isolada, sem conexão com internet. Dumps podem conter malware disfarçado. ### Identificação de hashes vs texto puro Nem todo vazamento mostra senha em texto puro. Cerca de 40% são hashes MD5, SHA-1, bcrypt. Durante a demonstração, expliquei a diferença: senha em texto puro você lê diretamente, hash precisa ser quebrado. Programadores responsáveis sempre armazenam hashes, mas aproximadamente 70% dos sites brasileiros ainda guardam senhas em texto puro. Tipos de hash mais comuns em vazamentos: - **MD5**: Quebra em segundos com rainbow tables - **SHA-1**: Alguns minutos para senhas simples - **SHA-256**: Horas ou dias dependendo da complexidade - **bcrypt**: Praticamente impossível para senhas fortes - **Argon2**: Padrão moderno, extremamente seguro ### Busca reversa para encontrar emails antigos Pessoa não tem vazamento no email atual? Use busca reversa, painéis clandestinos, encontre emails antigos. Já investiguei pessoa com 2 emails de trabalho conhecidos — encontrei mais 5. Total: 7 emails. O vazamento estava num email de 2008 que ela nem lembrava. ## Casos reais que marcaram minha carreira **E-commerce gigante**: YouTube hackeado para live de Bitcoin. Solução em 10 minutos via dark market. Encontrei videomaker instalando Sony Vegas quando foi infectado. O malware veio no crack do software — ironia: empresa bilionária comprometida porque funcionário não queria pagar $20/mês pela licença. **Polícia Civil estadual**: Sistema de detentos comprometido. Qualquer um poderia transferir presos entre presídios por $10. Descobri que 47 policiais usavam senha "policia123" ou variações. Pior: o sistema não tinha logs de auditoria — impossível saber se criminosos já haviam explorado. **Executivo e amigo de infância**: Conversas estratégicas vazadas porque amigo usava "123456" como senha. O vazamento expôs planos de aquisição de R$ 200 milhões, avaliações confidenciais de executivos, estratégias de mercado. A empresa perdeu a oportunidade de compra porque concorrente teve acesso aos planos. **Jornalista da Record**: Senha descoberta ao vivo durante entrevista. Estava vazada de site de web rádio. Mas o pior: a mesma senha dava acesso ao email corporativo, sistemas internos da emissora, e arquivo de fontes confidenciais. Tiveram que fazer reset geral de segurança. **Meu próprio hack na Coreia**: Email antigo comprometido, Facebook invadido, recuperado em minutos por estar acordado. Mas descobri depois que o hacker tinha acessado meus backups do Google Photos — 8 anos de fotos pessoais. Só não vazou porque interrompi o ataque rapidamente. **Fitbit e dados de saúde**: Todos meus dados biométricos e localização vazados. Abandonei o serviço imediatamente. Mas o vazamento incluía: frequência cardíaca minuto a minuto, padrões de sono, rotas de corrida com GPS preciso, peso diário. Informações que podem ser usadas para chantagem ou stalking. Cada caso ensina algo diferente. Mas todos têm um ponto em comum: vazamentos são o maior risco de segurança hoje. ## O que fazer quando descobrir que foi vazado Descobriu que seu email está em vazamento? Ações imediatas: **Mude todas as senhas**: Não só a vazada. Se você reutiliza senhas (e 70% das pessoas reutilizam), todas estão comprometidas. **Ative autenticação de dois fatores**: Email, redes sociais, bancos — tudo precisa de 2FA agora. **Monitore outros emails**: Emails antigos podem ser portas de entrada. Verifique todos que você já usou. **Avise seus contatos**: Se o vazamento inclui conversas, avise pessoas afetadas. Transparência minimiza danos. **Use gerenciador de senhas**: [1Password](https://1password.com), Bitwarden, LastPass — escolha um e use. Senha única para cada serviço é inegociável. Mas calma: ser vazado não é fim do mundo. "Todo mundo já foi vazado — você é vítima, eu sou vítima". O importante é agir rápido e aprender com o erro. ### Checklist completo pós-vazamento Desenvolvi este checklist após atender centenas de casos: **Primeiras 24 horas**: - [ ] Mudar senha do email principal - [ ] Ativar 2FA em todas as contas críticas - [ ] Verificar extratos bancários - [ ] Notificar contatos próximos - [ ] Fazer backup de dados importantes **Primeira semana**: - [ ] Auditar todas as contas online - [ ] Cancelar cartões se necessário - [ ] Monitorar score de crédito - [ ] Configurar alertas de segurança - [ ] Revisar configurações de privacidade **Primeiro mês**: - [ ] Implementar gerenciador de senhas - [ ] Educar família sobre segurança - [ ] Considerar monitoramento profissional - [ ] Documentar o incidente - [ ] Avaliar necessidade de ações legais ## Por que mostro essas técnicas publicamente Durante o aulão, algumas pessoas questionaram no chat: "Como pode mostrar isso?". Minha resposta é simples e direta. Se eu não mostro para você ou para meu cliente como consultar vazamentos, criminosos vão fazer isso e explorar. Quando reporto uma senha vazada antes do criminoso encontrar, evito invasão. Esse é o trabalho — pentest, auditoria, blindagem digital, relatório de inteligência. E não, não acredito que conhecimento deve ser pago. "Não é o ato de pagar que classifica se alguém vai usar conhecimento para o bem ou mal". Já me ofereceram quantias absurdas para ensinar técnicas maliciosas. Recuso sempre. Não é sobre dinheiro — é sobre ética. Meu canal forma hackers éticos e investigadores digitais. Se você usa esse conhecimento para o mal, o problema não é o conhecimento — é seu caráter. E tem um dado importante: segundo pesquisa do CERT.br, 89% dos ataques bem-sucedidos no Brasil exploram vulnerabilidades conhecidas há mais de 1 ano. Ou seja, o problema não é falta de conhecimento sobre as vulnerabilidades — é falta de ação para corrigi-las. Por isso compartilho abertamente: quanto mais pessoas souberem se proteger, mais seguro fica nosso ecossistema digital. ## Limitações importantes das ferramentas apresentadas Preciso ser transparente sobre as limitações: **Google Dorks raramente encontra vazamentos específicos**: Útil para dumps genéricos, não para investigações direcionadas. **Sites gratuitos caem constantemente**: Search 0t Rocks havia caído e voltou 3 dias antes. Amanhã pode cair novamente. **Nem todos vazamentos têm senha em texto puro**: Cerca de 40% são hashes que precisam ser quebrados — processo demorado e nem sempre possível. **Dark markets são extremamente perigosos**: "Dezenas de criminosos tentando hackear quem acessa". Não recomendo para iniciantes. **Ferramentas podem desaparecer**: Genesis Market foi fechado pelo FBI. Qualquer ferramenta pode sumir amanhã. **YouTube bloqueia emails no chat**: Durante a live, tive que pedir para substituírem @ por # porque YouTube apaga automaticamente. E a limitação mais importante: ferramentas não substituem bom senso. Vi pessoas encontrando próprias senhas vazadas e continuando a usar a mesma senha "porque é mais fácil de lembrar". Tecnologia sem mudança de comportamento é inútil. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Have I Been Pwned | Verificar se email foi comprometido em vazamentos de forma ética | [haveibeenpwned.com](https://haveibeenpwned.com) | | Dehashed | Consulta paga de vazamentos com senhas em texto puro e hashes | [dehashed.com](https://dehashed.com/) | | Search 0t Rocks | Alternativa gratuita para consultar vazamentos | [github.com/MiyakoYakota](https://github.com/MiyakoYakota/search.0t.rocks) | | Universal Search Robot | Bot do Telegram para buscas OSINT diversas | Bot no Telegram | | IntelX.io | Maior agregador de vazamentos (3000 euros/ano) | [intelx.io](https://intelx.io/product) | | 1Password | Gerenciador de senhas com alertas de vazamentos | [1password.com](https://1password.com) | ## Perguntas Frequentes ### Como descobrir se minha senha foi vazada? Use [Have I Been Pwned](https://haveibeenpwned.com) para verificação básica gratuita. Para detalhes completos incluindo senhas em texto puro, o [Dehashed](https://dehashed.com/) por $5/semana oferece buscas ilimitadas. Sempre verifique emails antigos também — são portas de entrada comuns para hackers. ### O que é vazamento de dados? Vazamento de dados ocorre quando hackers invadem sites e roubam bases de dados completas com emails, senhas, CPFs e outras informações. Demonstrei um arquivo com 245 milhões de credenciais brasileiras — cada linha contendo site, email e senha. Esses arquivos são vendidos ou distribuídos em fóruns criminosos. ### Qual a melhor ferramenta para consultar vazamentos? Para uso profissional, [Dehashed](https://dehashed.com/) é imbatível pelo custo-benefício de $5/semana. Para consultas gratuitas ocasionais, Universal Search Robot no Telegram oferece resultados completos. [IntelX.io](https://intelx.io/product) é o mais completo mas custa 3000 euros/ano. ### Como proteger minhas senhas de vazamentos? Use senha única para cada serviço — fundamental. Ative autenticação de dois fatores sempre que possível. Monitore seus emails regularmente em serviços como [Have I Been Pwned](https://haveibeenpwned.com). Use gerenciador de senhas como [1Password](https://1password.com) que alerta sobre vazamentos automaticamente. ### O que fazer quando minha senha é vazada? Mude imediatamente não só a senha vazada, mas todas se você reutiliza senhas. Ative 2FA em todas as contas importantes. Verifique emails de recuperação — podem estar comprometidos também. Avise contatos se conversas privadas foram expostas. Considere o vazamento uma oportunidade para melhorar sua segurança digital completamente. ### Por que sites são hackeados constantemente? "A todo instante o site da imobiliária, da padaria, da academia, do seu condomínio, a Netflix, o PayPal, o Google Descomplica, o Habibis" são invadidos. Aproximadamente 70% dos sites brasileiros ainda armazenam senhas em texto puro, usam sistemas desatualizados, não fazem auditorias de segurança. Funcionários com senhas fracas também são vetores comuns de ataque. ### Como funciona o Dehashed? Após pagar $5 via PayPal ou cartão, você tem acesso ilimitado por uma semana. Busque por email, domínio, username, telefone ou IP. Resultados mostram senha em texto puro (quando disponível), hash, data do vazamento, site origem e outras informações como nome completo e endereço. Empresas devem usar para monitorar domínios corporativos mensalmente. ### Qual a diferença entre senha em texto puro e hash? Senha em texto puro aparece exatamente como você digitou — "minhasenha123". Hash é a senha criptografada — algo como "5f4dcc3b5aa765d61d8327deb882cf99". Senhas em texto puro são imediatamente utilizáveis. Hashes precisam ser quebrados, processo que pode levar de segundos (MD5 fraco) a anos (bcrypt forte) dependendo do algoritmo. > **Veja também:** [4 Técnicas para Investigar Qualquer Pessoa Usando Apenas a Internet — Aulão #005](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) > **Veja também:** [Programação do Zero para Investigação Digital — Aulão #25](/aulao-semanal/programacao-do-zero-para-investigacao-digital) > **Veja também:** [Primeiro Aulão Presencial no Brasil: Bug Bounty, Flipper Zero e os Bastidores da Equipe — Aulão #30](/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil) > **Veja também:** [Inteligência de Mercado com OSINT: Vantagem Desleal Ética para Empresários — Aulão #046](/aulao-semanal/inteligencia-de-mercado-osint-empresarial-google-dorks) ## Referências e Recursos - [DeHashed — Plataforma profissional de consulta de vazamentos](https://dehashed.com/) - [Have I Been Pwned — Verificação ética de vazamentos](https://haveibeenpwned.com) - [Intelligence X — Maior agregador de vazamentos (premium)](https://intelx.io/product) - [Search 0t Rocks — Alternativa gratuita da comunidade](https://github.com/MiyakoYakota/search.0t.rocks) - [1Password — Gerenciador com integração HIBP](https://1password.com) - [Análise de algoritmos de hash e segurança](https://h41stur.github.io/posts/hashes/) - [Ferramentas OSINT para investigação digital](https://www.talkwalker.com/blog/best-osint-tools) - [Documentação sobre o fechamento do Genesis Market pelo FBI](https://en.wikipedia.org/wiki/Genesis_Market) - [História e impacto do Silk Road nos dark markets](https://en.wikipedia.org/wiki/Silk_Road_(marketplace)) --- --- ### Aulão #008 — 7 Buscas Perigosas que Revelam Informações Sensíveis no Google URL: https://brunofraga.com/aulao-semanal/google-hacking-buscas-perigosas-dorks Publicado: 2024-08-09 Tags: hacking, osint, investigacao-digital, ciberseguranca, tutoriais YouTube: https://www.youtube.com/watch?v=MiRXQ6TtZgE Aulão em vídeo onde Bruno Fraga demonstra na prática 7 técnicas avançadas de Google Hacking usando dorks e operadores especiais. Aprenda como hackers encontram vulnerabilidades e informações sensíveis através de simples pesquisas no Google. ## O que você vai aprender neste aulão Google Hacking é a arte de usar operadores avançados do Google para encontrar informações que não deveriam estar públicas — senhas, documentos confidenciais, sistemas vulneráveis. Neste aulão, eu demonstrei ao vivo 7 técnicas perigosas que revelam o poder real dessas buscas avançadas, indo muito além das pesquisas básicas que você faz no dia a dia. Depois de ler este artigo, você vai conseguir criar suas próprias dorks (pesquisas avançadas) para encontrar arquivos .env com credenciais vazadas, acessar buckets S3 expostos, localizar documentos com CPFs e RGs, e até mesmo encontrar painéis de impressoras e roteadores acessíveis pela internet. Mais importante: você vai entender a lógica por trás de cada técnica para adaptar e criar suas próprias buscas investigativas. ## Como o Google Hacking transforma pesquisas simples em investigação profissional Google Hacking não é invasão — é usar os próprios recursos do Google de forma inteligente. Quando você pesquisa "Bruno Fraga" sem aspas, o Google retorna milhões de resultados misturados. Mas quando uso aspas duplas, filtro apenas 68 mil resultados exatos. E quando adiciono operadores como site:.com.br e filetype:pdf, reduzo para resultados ultra-específicos. A diferença entre uma busca normal e Google Hacking está nos operadores. Aspas duplas forçam busca exata. O operador site: limita a domínios específicos. O filetype: filtra por extensão de arquivo. E isso é só o começo. Durante o aulão, mostrei como combinar esses operadores para criar buscas que revelam vulnerabilidades reais. Não é teoria — são técnicas que uso diariamente em [investigações digitais profissionais](https://brunofraga.com/aulao-semanal/investigacao-digital-em-fontes-abertas-osint-segredos). E o mais impressionante: tudo isso é público, indexado pelo próprio Google. ### Por que empresas e pessoas vazam dados sem saber O problema começa com a falta de conhecimento sobre como o Google indexa conteúdo. Programadores sobem arquivos de configuração para servidores. Funcionários compartilham links do OneDrive achando que só quem tem o link pode acessar. Administradores deixam painéis de dispositivos com senhas padrão. E tem mais: mesmo quando percebem o erro e removem o arquivo, o cache do Google mantém uma cópia. Durante a demonstração, encontrei um arquivo .env que já tinha sido apagado do servidor, mas ainda estava disponível no cache com DB_PASSWORD e credenciais da AWS totalmente expostas. ## Dork 1: Como encontrar arquivos .env com senhas vazadas Arquivos .env são o cofre de senhas dos programadores. Eles guardam credenciais de banco de dados, chaves de API, senhas de email — tudo que a aplicação precisa para funcionar. E 494 deles estão públicos no Google. A dork que criei é simples mas devastadora: `filetype:env "DB_PASSWORD" OR "AWS_SECRET_ACCESS_KEY" OR "API_SECRET"`. Em segundos, encontrei 494 arquivos .env expostos. Cada um é uma porta aberta para sistemas inteiros. ### O perigo do cache do Google Um caso específico me chamou atenção durante o aulão. Um arquivo já havia sido removido (retornava erro 403), mas o cache ainda mostrava tudo: ``` DB_USERNAME=admin_prod DB_PASSWORD=SenhaSuper$ecreta2026 AWS_SECRET_ACCESS_KEY=wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY ``` Isso significa que remover o arquivo não é suficiente. O cache pode manter informações sensíveis por meses. E qualquer pessoa com conhecimento básico de Google Hacking pode acessar. ### Como proteger arquivos .env Nunca, em hipótese alguma, deixe arquivos .env em diretórios públicos. Use sempre .gitignore para evitar commits acidentais. Configure seu servidor web para bloquear acesso a arquivos que começam com ponto. E teste regularmente se seus arquivos sensíveis estão indexados. Mas a proteção vai além. Monitore regularmente o Google por vazamentos usando a própria dork com seu domínio: `site:seusite.com filetype:env`. Se encontrar algo, use o [Google Outdated Content Removal Tool](https://www.blueoceanglobaltech.com/blog/google-outdated-content-removal-tool) para solicitar remoção do cache. ## Dork 2: Buckets S3 e OneDrive — o vazamento em massa que ninguém percebe A segunda técnica que demonstrei explora serviços de armazenamento em nuvem mal configurados. Comecei com buckets S3 da Amazon: `site:s3.amazonaws.com "index of"`. O "index of" indica diretórios abertos, listando todos os arquivos disponíveis. Encontrei contratos, código-fonte, documentos internos de empresas brasileiras. Tudo público, indexado pelo Google. Mas o que mais me impressionou foi adaptar a mesma lógica para o OneDrive. ### 7 mil pastas do OneDrive expostas Mudei a dork para `site:onedrive.live.com "shared by"` e o resultado foi assustador: mais de 7 mil pastas compartilhadas publicamente. Álbuns de fotos pessoais, documentos financeiros, arquivos de trabalho. Durante a demonstração ao vivo, encontrei um álbum completo de uma viagem para Pirenópolis. Fotos de família, momentos íntimos, tudo exposto porque a pessoa compartilhou o link achando que só quem recebesse poderia ver. Mas não — o Google indexou tudo. ### A mesma vulnerabilidade em outros serviços A lógica se aplica a qualquer serviço de compartilhamento. Google Docs, Dropbox, até mesmo [ferramentas de investigação digital](https://brunofraga.com/aulao-semanal/ferramentas-de-investigacao-digital) podem ter dados expostos se mal configuradas. Durante o aulão, fiz uma demonstração rápida com o [Lightshot](https://prnt.sc), aquele serviço de compartilhar prints. As URLs são sequenciais, então você pode acessar mudando os números e encontrar prints de outras pessoas. Encontrei até um comprovante de transferência de Bitcoin durante a aula. ### Melhores práticas para armazenamento em nuvem Para se proteger, siga estas regras de [segurança em buckets S3](https://www.wiz.io/academy/cloud-security/amazon-s3-security-best-practices): 1. Nunca use permissões públicas a menos que absolutamente necessário 2. Revise regularmente as [configurações de compartilhamento do OneDrive](https://learn.microsoft.com/en-us/sharepoint/turn-external-sharing-on-or-off) 3. Use links com expiração automática 4. Monitore logs de acesso para detectar acessos não autorizados 5. Configure alertas para mudanças nas permissões 6. Faça auditorias mensais dos seus compartilhamentos E sempre teste: use as dorks que ensinei com seu próprio domínio ou serviço para ver o que está exposto. ## Dork 3: A combinação mortal — senhas e emails em documentos A terceira técnica combina elementos que nunca deveriam estar juntos em um documento público: `filetype:doc "senha" "@gmail.com" OR "@hotmail.com"`. Simples assim. O resultado? Documentos Word com listas de usuários e senhas. Durante a demonstração, refinei ainda mais para sites brasileiros: `site:.terra.com.br filetype:doc "senha" "@"`. Foram 409 resultados só nesse domínio. ### O caso do programador descuidado Um dos achados mais preocupantes foi um programador que fez upload de código SQL no GitHub com inserções reais: ```sql INSERT INTO users (email, senha) VALUES ('usuario@gmail.com', 'senha123'), ('admin@empresa.com', 'senhaforte2026'); ``` Dados de produção, expostos publicamente. E o pior: mesmo que ele apague agora, o código já foi forkado, já está em arquivos de internet, já foi indexado. ### Expandindo para outros formatos A mesma lógica funciona com CSV, TXT, SQL. Cada formato tem suas particularidades: - **CSV**: Planilhas com milhares de registros - **TXT**: Arquivos de configuração e logs - **SQL**: Dumps de banco de dados completos E aqui vai um detalhe importante: 73% das empresas usam planilhas Excel para gerenciar senhas. A dork `filetype:xls "senha" "usuario"` revela exatamente isso. ## Dork 4: Validação matemática — encontrando CPFs e RGs reais Esta foi a dork mais técnica que demonstrei. O Google consegue fazer validações matemáticas nas buscas, então criei ranges numéricos para encontrar CPFs e RGs válidos. A dork ficou assim: `filetype:pdf "CPF" "RG" "000.000.000-00".."999.999.999-99"`. O resultado? 4,5 milhões de documentos PDFs com dados pessoais de brasileiros. ### 6 mil planilhas com dados completos Quando mudei para Excel, a situação ficou ainda pior: `filetype:xls "CPF" "RG" "telefone"`. Foram 6 mil planilhas com dados pessoais completos — CPF, RG, telefone, endereço, às vezes até senha. Durante o aulão, mostrei um "inventário de dados pessoais" que uma empresa deixou público. Milhares de linhas com informações que poderiam ser usadas para fraudes, golpes, roubo de identidade. ### Por que isso acontece Empresas e órgãos públicos frequentemente: - Sobem planilhas para servidores web sem proteção - Compartilham arquivos por email que acabam indexados - Fazem backup de dados em locais públicos - Esquecem de remover arquivos temporários E tem um agravante: 82% das empresas nem sabem que estão expostas. Já [investiguei casos reais](https://brunofraga.com/aulao-semanal/investigacao-digital-casos-reais-golpe-olx) onde a empresa descobriu o vazamento meses depois, quando já era tarde demais. ### Como verificar se seus dados estão expostos Use variações da dork com seu próprio CPF (com aspas): `"123.456.789-00" filetype:pdf OR filetype:xls`. Se encontrar algo, entre em contato imediatamente com o site para solicitar remoção. Mas cuidado: não saia procurando dados de outras pessoas. O uso dessas técnicas deve ser estritamente para proteção e educação. [A legalidade do OSINT no Brasil](https://www.palermo.edu/Archivos_content/2023/cele/reporte-osint/ai57.pdf) tem limites claros sobre coleta e uso de dados pessoais. ## Dork 5: Dispositivos IoT expostos — impressoras, câmeras e roteadores A quinta técnica explora padrões de URL de dispositivos. Quando você acessa uma impressora HP pela rede, aparece uma página específica: "HP Device Internal Page". Esse padrão é indexado pelo Google. A dork `"HP Device Internal Page" inurl:index` me levou direto a painéis de impressoras. Mas o mais interessante foi quando refinei para um modelo específico: `"printermain.html" "Brother"`. Encontrei 141 impressoras Brother acessíveis pela internet. ### Impressora mostrando status em tempo real Durante a demonstração ao vivo, acessei uma Brother HL-5250DN que mostrava: - Status: "No paper" - Nível de toner - Contador de páginas - Configurações de rede E aqui vem a pergunta que fiz durante o aulão: "Será que esse modelo de impressora, se eu pegar o manual e pegar a senha padrão, será que foi alterada?" ### A vulnerabilidade das senhas padrão Consultando o [manual da Brother HL-5250DN](https://download.brother.com/welcome/doc002003/HL-5250_5270_NUG_Ver1_EN.pdf), descobri que a senha padrão é "access". E 67% dos administradores nunca mudam essas senhas. O mesmo acontece com roteadores Intelbras. A dork `intitle:"Intelbras" inurl:cgi` encontra painéis de administração. E segundo a [documentação oficial da Intelbras](https://backend.intelbras.com/sites/default/files/integration/nao_acessa_interface_-_senha_fora_do_padrao.pdf), a senha padrão é "admin". ### Outros dispositivos vulneráveis Durante o aulão, mencionei que a mesma técnica funciona para: - Câmeras IP (89% com acesso direto ao vídeo) - Sistemas de alarme - Controladores industriais - Pontos de acesso Wi-Fi E o mais preocupante: 2-3 dispositivos que testei estavam em ambientes corporativos ou governamentais. Não são apenas impressoras domésticas — são equipamentos de empresas, hospitais, órgãos públicos. ## Dork 6: Combinação de palavras-chave — o poder dos padrões A sexta técnica que demonstrei usa combinações específicas de palavras para encontrar tipos específicos de sistemas. É diferente de buscar na URL — aqui focamos no conteúdo da página. Por exemplo: `"system" "toner" "input" "output" "tray" inurl:cgi`. Essa combinação específica aparece em páginas de gerenciamento de impressoras. Cada sistema tem suas palavras-chave características. ### Identificando painéis de administração Todo painel tem padrões. WordPress sempre tem wp-admin. Roteadores têm combinações como "username" + "password" + modelo. Durante o aulão, demonstrei como identificar esses padrões e criar dorks específicas. E aqui vai uma sacada: você pode combinar isso com outros operadores. Por exemplo: `intitle:"login" "username" "password" site:.gov.br` encontra painéis de login em sites governamentais. Não vou demonstrar os resultados por questões óbvias, mas o número é assustador. ### Expandindo para outros sistemas A mesma lógica se aplica para: - Sistemas de monitoramento (`"CPU usage" "memory" "disk"`) - Painéis de controle de hosting (`"cPanel" "WHM" "login"`) - Sistemas SCADA industriais (não vou dar a dork exata por segurança) - Interfaces de automação residencial Mas lembre-se: encontrar não significa invadir. Essas técnicas servem para você testar seus próprios sistemas, identificar vulnerabilidades na sua empresa, proteger sua infraestrutura. ## Dork 7: O poder do operador intitle — documentos confidenciais à vista A última dork que demonstrei usa uma abordagem diferente. Em vez de buscar no conteúdo, foca no título do documento: `intitle:"confidencial" filetype:pdf site:.gov.br`. A diferença é significativa. Quando você busca "confidencial" no texto, encontra documentos que mencionam a palavra. Quando busca no título, encontra documentos que foram classificados como confidenciais por quem os criou. ### O caso do relatório de OVNI Durante uma demonstração anterior, encontrei um relatório da Aeronáutica sobre avistamentos de OVNIs marcado como confidencial. O documento estava em um site .gov.br, público, indexado pelo Google. E não é caso isolado. A dork `intitle:"crime" "relatório" filetype:pdf site:.gov.br` revela relatórios policiais. `intitle:"interno" "uso" filetype:doc` encontra documentos marcados para uso interno que acabaram públicos. ### Por que isso é diferente e mais poderoso O operador intitle é poderoso porque: 1. Foca na intenção de quem criou o documento 2. Encontra arquivos que foram classificados mas mal protegidos 3. Revela a desconexão entre classificação e proteção real 4. Permite buscas muito mais precisas E tem mais: você pode combinar com outros operadores. `intitle:"senha" filetype:txt site:.com.br` encontra arquivos de texto cujo título contém "senha". Geralmente são listas de senhas que alguém salvou com nome óbvio. ### A importância da classificação correta Se você trabalha com documentos sensíveis: - Nunca use palavras como "confidencial" ou "senha" no nome do arquivo - Configure seu servidor para não indexar diretórios sensíveis - Use criptografia para arquivos importantes - Implemente políticas claras de nomenclatura E sempre, sempre teste. Use as dorks que ensinei no seu próprio domínio para ver o que está exposto. ## Como criar suas próprias dorks avançadas Depois de demonstrar as 7 técnicas, quero compartilhar meu processo mental para criar novas dorks. Não é aleatório — tem método. Primeiro, identifique padrões. Todo sistema, serviço ou tecnologia tem características únicas. URLs específicas, palavras-chave, estruturas de arquivo. Anote esses padrões. Segundo, pense em combinações perigosas. Senha + email. CPF + telefone. "Confidencial" + empresa. Quanto mais específica a combinação, mais preciso o resultado. Terceiro, use operadores avançados. O Google suporta muito mais do que site: e filetype:. Tem inurl:, intitle:, intext:, cache:, related:, e até operadores matemáticos como demonstrei. ### Exemplos práticos de criação Vou dar exemplos de como penso: **Para encontrar backups expostos:** 1. Sei que backups geralmente têm "backup" no nome 2. Costumam ser .zip, .rar, .tar.gz 3. Combino: `intitle:"backup" filetype:zip OR filetype:rar` 4. Refino: adiciono `site:.com.br` para focar no Brasil **Para encontrar logs com informações sensíveis:** 1. Logs geralmente são .log ou .txt 2. Contêm timestamps e IPs 3. Podem ter senhas em texto claro 4. Crio: `filetype:log "password" "username" "IP"` ### Testando e refinando Nenhuma dork nasce perfeita. Teste, analise os resultados, refine. Se está trazendo muito lixo, adicione mais operadores. Se está muito específica, remova alguns. E sempre documente suas dorks. Mantenho um arquivo com centenas de dorks categorizadas por objetivo. Isso acelera futuras investigações. ## Ferramentas Utilizadas Neste Aulão | Ferramenta | Finalidade | Link | |---|---|---| | Google | Motor de busca principal para todas as demonstrações de dorks | [Google](https://www.google.com) | | Amazon S3 | Demonstração de buckets expostos com documentos sensíveis | [Amazon S3](https://s3.amazonaws.com) | | OneDrive | Exemplo de pastas compartilhadas publicamente com dados pessoais | [OneDrive](https://onedrive.live.com) | | Lightshot | Serviço de screenshots com URLs sequenciais exploráveis | [Lightshot](https://prnt.sc) | | HI SPY | Ferramenta avançada de investigação digital mencionada | [HI SPY](https://hispy.io/) | ## Aspectos legais e éticos do Google Hacking Preciso ser claro sobre isso: Google Hacking é uma faca de dois gumes. As mesmas técnicas que protegem podem ser usadas para atacar. A diferença está na intenção e na autorização. No Brasil, acessar dados sem autorização é crime, mesmo que estejam publicamente disponíveis. A [legislação sobre OSINT no Brasil](https://www.osint.industries/project/the-go1ano-case-osint-in-brazils-malware-ground-zero) é complexa e está em evolução. ### Quando é legal usar Google Hacking 1. **Testar seus próprios sistemas**: Sempre permitido e recomendado 2. **Investigação autorizada**: Com mandado judicial ou contrato 3. **Pesquisa acadêmica**: Sem coletar dados pessoais 4. **Proteção corporativa**: Monitorar vazamentos da sua empresa 5. **Educação**: Demonstrações sem explorar vulnerabilidades ### Quando NÃO usar - Coletar dados pessoais sem autorização - Acessar sistemas mesmo com senha padrão - Baixar documentos confidenciais de terceiros - Vender ou distribuir informações encontradas - Qualquer atividade que viole privacidade E lembre-se: só porque algo está no Google não significa que é público para qualquer uso. Respeite a privacidade e use o conhecimento para proteger, não para prejudicar. ## Como proteger sua empresa contra Google Hacking Agora que você viu o poder dessas técnicas, deve estar se perguntando: como me proteger? Vou compartilhar um protocolo que uso com clientes. ### Auditoria regular com suas próprias dorks Crie um conjunto de dorks específicas para sua empresa: - `site:suaempresa.com filetype:env OR filetype:config` - `site:suaempresa.com "senha" OR "password"` - `site:suaempresa.com filetype:sql OR filetype:bak` - `"suaempresa" filetype:xls "CPF" OR "RG"` Execute essas buscas semanalmente. Documente os resultados. Se encontrar algo novo, investigue imediatamente. ### Configuração adequada de servidores Implemente estas proteções: 1. **Bloqueie indexação de diretórios sensíveis** via robots.txt 2. **Configure o .htaccess** para negar acesso a arquivos de configuração 3. **Use autenticação** em todas as áreas administrativas 4. **Implemente HTTPS** em todo o site 5. **Desabilite listagem de diretórios** no servidor web ### Treinamento da equipe O fator humano é sempre o elo mais fraco. Treine sua equipe sobre: - Nunca subir arquivos com senhas para repositórios públicos - Configurar corretamente permissões em serviços de nuvem - Usar senhas fortes e únicas para cada serviço - Revisar configurações de compartilhamento antes de enviar links - Entender como o Google indexa conteúdo ### Monitoramento contínuo Configure alertas do Google para sua empresa. Use ferramentas de monitoramento. Faça testes de penetração regulares incluindo técnicas de OSINT. E considere contratar um especialista. As técnicas que mostrei são apenas a superfície. Profissionais experientes conhecem dorks muito mais sofisticadas e específicas para cada setor. ## O futuro do Google Hacking e tendências para 2026 O Google Hacking está evoluindo rapidamente. Em 2026, vemos novas tendências que tornam essas técnicas ainda mais poderosas — e perigosas. ### Integração com IA Ferramentas como [ChatGPT estão sendo usadas para investigação](https://brunofraga.com/aulao-semanal/chatgpt-para-investigacao-digital). A IA pode: - Gerar variações de dorks automaticamente - Analisar grandes volumes de resultados - Identificar padrões em dados expostos - Criar relatórios de vulnerabilidades Mas também cria novos riscos. Atacantes podem automatizar buscas em escala massiva, encontrando vulnerabilidades mais rapidamente. ### Novos tipos de vazamentos Com mais dispositivos IoT, novos tipos de dados estão sendo expostos: - Dados de carros conectados - Informações de dispositivos médicos - Sistemas de casa inteligente - Wearables e dados de saúde Cada nova tecnologia cria novos vetores de exposição. E o Google indexa tudo. ### Mudanças nas políticas do Google O Google está ficando mais restritivo com certos tipos de busca. E 12 dorks que funcionavam em 2024 já não funcionam em 2026. Mas sempre surgem novas técnicas. A tendência é um jogo de gato e rato: Google tenta proteger usuários, pesquisadores encontram novos métodos. Por isso a importância de se manter atualizado. ## Conclusão: o poder e a responsabilidade do conhecimento Demonstrei 7 técnicas perigosas de Google Hacking neste aulão. Mas o real valor não está nas dorks específicas — está em entender a lógica por trás delas. Você aprendeu que arquivos .env expostos são portas abertas para sistemas inteiros. Que buckets S3 e pastas do OneDrive mal configuradas vazam dados de milhares de pessoas. Que documentos com CPFs e senhas estão a uma busca de distância. E mais importante: aprendeu a pensar como um investigador digital. A identificar padrões, criar combinações, refinar buscas. Esse conhecimento é poderoso. Use-o com sabedoria. Proteja seus sistemas. Eduque sua equipe. Teste suas defesas. Mas sempre, sempre com ética e dentro da lei. O Google Hacking não vai desaparecer. Pelo contrário, está se tornando mais sofisticado. Quem domina essas técnicas tem uma vantagem competitiva enorme — seja para proteger ou para investigar. Continue estudando. Pratique com seus próprios sistemas. Acompanhe as novidades. E lembre-se: no mundo digital de 2026, conhecimento é a melhor defesa. ## Perguntas Frequentes ### O que é Google Hacking? Google Hacking é o uso de operadores avançados de busca do Google para encontrar informações específicas que geralmente não aparecem em pesquisas normais. Inclui técnicas como usar aspas duplas para busca exata, filetype: para tipos específicos de arquivo, site: para domínios específicos, e combinações desses operadores para encontrar dados expostos, vulnerabilidades e informações sensíveis. ### Como fazer pesquisas avançadas no Google? Para fazer pesquisas avançadas, use operadores como: aspas duplas ("termo exato") para busca precisa, site:dominio.com para buscar em sites específicos, filetype:pdf para tipos de arquivo, intitle: para buscar no título das páginas, inurl: para termos na URL, e o sinal de menos (-) para excluir termos. Combine múltiplos operadores para refinar ainda mais os resultados. ### O que são dorks do Google? Dorks são strings de busca avançadas que combinam operadores do Google para encontrar informações específicas. Por exemplo, `filetype:env "DB_PASSWORD"` é uma dork que busca arquivos de ambiente com senhas de banco de dados. Dorks podem ser simples ou complexas, dependendo do objetivo da busca. ### Como encontrar arquivos vazados no Google? Use combinações de operadores como `filetype:` com extensões sensíveis (.env, .config, .sql), adicione palavras-chave como "password", "senha", "confidential". Por exemplo: `filetype:sql "password" site:.com.br`. Sempre verifique primeiro seu próprio domínio para identificar possíveis vazamentos antes que outros encontrem. ### Qual a diferença entre pesquisa normal e Google Hacking? Uma pesquisa normal usa palavras-chave simples e retorna resultados genéricos. Google Hacking usa operadores avançados para filtrar resultados específicos — você pode buscar apenas em títulos de páginas, em URLs específicas, em tipos exatos de arquivo, em domínios determinados. É a diferença entre procurar uma agulha no palheiro e usar um ímã potente. ### É legal usar Google Hacking? Usar Google Hacking para encontrar informações públicas é legal. Mas acessar sistemas (mesmo com senha padrão), baixar dados pessoais sem autorização, ou usar informações encontradas para fins ilícitos é crime. No Brasil, a legislação sobre crimes digitais é clara: acesso não autorizado é crime, mesmo que a porta esteja aberta. ### Como proteger meus dados do Google Hacking? Configure corretamente robots.txt para bloquear indexação de diretórios sensíveis, nunca deixe arquivos de configuração em pastas públicas, use autenticação em áreas administrativas, revise permissões de arquivos compartilhados, monitore regularmente o que está indexado sobre sua empresa usando as próprias técnicas de Google Hacking, e treine sua equipe sobre segurança digital. ### Quais operadores de busca do Google são mais poderosos? Os operadores mais poderosos são: filetype: (busca tipos específicos de arquivo), site: (limita a domínios), intitle: (busca no título), inurl: (busca na URL), cache: (acessa versões em cache), e as aspas duplas para busca exata. Mas o verdadeiro poder está em combinar múltiplos operadores em uma única busca, criando dorks precisas para objetivos específicos. > **Veja também:** [Descobrindo Segredos Ocultos: A Arte de Investigar Metadados — Aulão #010](/aulao-semanal/investigar-metadados-informacoes-escondidas-arquivos) > **Veja também:** [4 Técnicas para Investigar Qualquer Pessoa Usando Apenas a Internet — Aulão #005](/aulao-semanal/como-investigar-pessoas-na-internet-tecnicas-osint) > **Veja também:** [Desvendando Perfis no Twitter: Técnicas de Investigação que Poucos Conhecem — Aulão #012](/aulao-semanal/como-investigar-pessoas-no-twitter) > **Veja também:** [Pare de Só Estudar Teoria: Desafios Práticos Para Treinar Investigação Digital — Aulão #017](/aulao-semanal/desafios-praticos-de-investigacao-digital-como-praticar-osint) > **Veja também:** [Transforme seu Android em um laboratório de investigação digital — Aulão #018](/aulao-semanal/ferramentas-de-investigacao-digital-para-celular-android) > **Veja também:** [A Nova Era dos Crimes Digitais: Como se Proteger e Investigar Golpes na Internet — Aulão #019](/aulao-semanal/crimes-digitais-golpes-internet-como-se-proteger-investigar) > **Veja também:** [Por que este é o melhor ano para começar na investigação digital em fontes abertas — Aulão #022](/aulao-semanal/melhor-ano-para-comecar-investigacao-digital-fontes-abertas) > **Veja também:** [Hunchly: O Robô que Grava Tudo Enquanto Você Investiga na Internet — Aulão #24](/aulao-semanal/hunchly-como-usar-investigacao-digital) > **Veja também:** [Como Remover Conteúdo da Internet: Do Mapeamento à Notificação Extrajudicial — Aulão #26](/aulao-semanal/como-remover-conteudo-da-internet-guia-pratico) > **Veja também:** [Como Analisar Metadados em Massa: Do ExifTool ao FOCA — Aulão #27](/aulao-semanal/como-analisar-metadados-em-massa-investigacao-digital) > **Veja também:** [Como Encontrar Subdomínios Escondidos: Do DNSDumpster ao Brute Force — Aulão #28](/aulao-semanal/como-encontrar-subdominios-escondidos-ferramentas-tecnicas) > **Veja também:** [Primeiro Aulão Presencial no Brasil: Bug Bounty, Flipper Zero e os Bastidores da Equipe — Aulão #30](/aulao-semanal/bug-bounty-flipper-zero-primeiro-aulao-presencial-brasil) > **Veja também:** [14 Técnicas para Descobrir o Dono de um WhatsApp na Prática — Aulão #35](/aulao-semanal/como-descobrir-dono-whatsapp-tecnicas-investigacao) > **Veja também:** [As Melhores Ferramentas para OSINT — Aulão #038](/aulao-semanal/melhores-ferramentas-osint-investigacao-digital) > **Veja também:** [Desafio OSINT ao Vivo — Aulão #039](/aulao-semanal/ferramentas-osint-na-pratica-desafio-tryhackme) > **Veja também:** [Como Remover Conteúdo da Internet na Prática — Aulão #040](/aulao-semanal/como-remover-conteudo-online-servico-remocao) > **Veja também:** [Inteligência de Mercado com OSINT: Vantagem Desleal Ética para Empresários — Aulão #046](/aulao-semanal/inteligencia-de-mercado-osint-empresarial-google-dorks) > **Veja também:** [Como Remover Conteúdo da Internet: Blindagem Digital em 2 Níveis — Aulão #048](/aulao-semanal/blindagem-digital-remover-conteudo-internet-niveis) > **Veja também:** [Google PSE: Como Criar Seu Próprio Google para OSINT — Aulão #055](/aulao-semanal/google-programmable-search-engine-pse-osint-investigacao) ## Referências e Recursos - [Google](https://www.google.com) - [Amazon S3 Security Best Practices](https://www.wiz.io/academy/cloud-security/amazon-s3-security-best-practices) - [OneDrive Sharing Settings Guide](https://learn.microsoft.com/en-us/sharepoint/turn-external-sharing-on-or-off) - [Brother HL-5250DN Manual](https://download.brother.com/welcome/doc002003/HL-5250_5270_NUG_Ver1_EN.pdf) - [Intelbras Router Configuration](https://backend.intelbras.com/sites/default/files/integration/nao_acessa_interface_-_senha_fora_do_padrao.pdf) - [OSINT Legality in Brazil Report](https://www.palermo.edu/Archivos_content/2023/cele/reporte-osint/ai57.pdf) - [Google Cache Removal Process](https://developers.google.com/search/blog/2007/04/requesting-removal-of-content-from-our) - [HI SPY - Advanced Digital Investigation](https://hispy.io/) - [Lightshot Screenshot Service](https://prnt.sc) --- --- ### Aulão #007 — O Guia Definitivo para Descobrir Quem Está Por Trás de Qualquer Site URL: https://brunofraga.com/aulao-semanal/como-descobrir-o-dono-de-um-site Publicado: 2024-08-08 Tags: osint, investigacao-digital, privacidade, ciberseguranca YouTube: https://www.youtube.com/watch?v=A-hLkN2AEpg Aulão completo em vídeo onde Bruno Fraga demonstra na prática como usar ferramentas OSINT e consultas WHOIS para identificar os responsáveis por qualquer domínio na internet. Aprenda técnicas profissionais de investigação digital para se proteger de golpes e fraudes online. ## O que você vai aprender neste aulão Como descobrir o dono de um site é uma das perguntas que mais recebo de advogados, policiais e investigadores. Neste aulão, demonstrei ao vivo 4 métodos comprovados que uso diariamente em minhas investigações — desde a consulta Whois básica até técnicas avançadas de enumeração que revelam informações ocultas. Você vai aprender a investigar sites de golpe, identificar responsáveis por domínios protegidos com privacidade, e usar ferramentas profissionais de OSINT para rastrear proprietários mesmo quando eles tentam se esconder. Internet não é terra sem lei — todo site tem uma pessoa por trás. E eu vou mostrar exatamente como encontrar essa pessoa, usando casos reais que investiguei, incluindo o famoso caso da Blaze e sites de phishing que mudavam de identidade constantemente. ## Por que você precisa saber investigar proprietários de sites A demanda para descobrir donos de sites já existe em quantidade absurda. Toda nossa vida hoje gira em sites — desde redes sociais até lojas online. Casos de ameaças no Facebook, Instagram e TikTok precisam de notificação aos responsáveis. Golpes e fraudes acontecem diariamente em sites falsos. Casos de sextorsão e revenge porn usam plataformas online para disseminar conteúdo. Eu recebo semanalmente pedidos de investigação envolvendo sites. Advogados precisam notificar empresas. Delegacias recebem boletins de ocorrência sobre golpes online. Vítimas de difamação querem processar responsáveis. E a maioria não sabe nem por onde começar. Durante o aulão, perguntei no chat quantos já precisaram descobrir o dono de um site. Praticamente todos responderam que sim. Mas mais de 90% sabiam apenas técnicas básicas. Por isso compilei neste artigo os 4 métodos que uso profissionalmente, com exemplos práticos de cada um. ## Método 1: Consulta Whois — Como perguntar diretamente ao site quem é o dono Você pode literalmente perguntar para um site quem é o dono dele. Parece loucura? É exatamente isso que fazemos com o protocolo Whois. O site responde com nome, telefone, e-mail e endereço do responsável. ### Domínios .br: O paraíso dos investigadores Sites que terminam em .br são os mais fáceis de investigar. O [Registro.br](https://registro.br) obriga que todo domínio brasileiro tenha dados completos do responsável. Isso inclui CPF ou CNPJ, endereço completo, telefone e e-mail. Para consultar, acesse o [Registro.br](https://registro.br), clique em Tecnologia > Ferramentas > Serviço de Diretório Whois. Digite o domínio e pronto. Durante a demonstração ao vivo, consultei o site companhiamaritima.com.br e apareceram todos os dados do titular. Um detalhe importante: se você estiver fora do Brasil, pode precisar resolver um captcha e algumas informações podem ficar ocultas. Mas acessando do Brasil, você vê tudo — CPF, CNPJ, endereço completo, telefone, e-mail. E aqui vai uma dica que poucos conhecem: o Registro.br mantém histórico de alterações. Se o proprietário mudou recentemente, você consegue ver quem era o dono anterior através da consulta avançada. Já resolvi casos onde o golpista transferiu o domínio, mas o histórico ainda mostrava o proprietário original. ### Domínios internacionais e o problema do Whois Guard Para domínios .com, .net, .org e outros internacionais, use o site [whois.com](https://whois.com). Mas aqui começa o problema: 85% dos golpistas usam Whois Guard — um serviço de privacidade que esconde os dados reais. Por apenas $1 por ano, qualquer pessoa pode contratar esse serviço. Em vez dos dados reais, aparece uma empresa de proxy. Meu próprio site brunofraga.com usa essa proteção. E a Blaze? Também usava Whois Guard para esconder os proprietários. O Whois Guard funciona como um intermediário. Quando você consulta o domínio, vê apenas: - Nome: WhoisGuard Protected - Endereço: P.O. Box no Panamá - E-mail: um endereço genérico que encaminha mensagens Mas nem sempre foi assim. Antes de 2018, era mais difícil conseguir essa proteção. Por isso sempre vale verificar o histórico do domínio — às vezes ele foi registrado sem proteção inicialmente. ### O vazamento de 280GB que expôs sites protegidos Mas nem o Whois Guard é 100% seguro. Uma vez vazou toda a base de domínios protegidos — 280GB de dados incluindo sites que pagavam por privacidade. Esse vazamento está disponível no [Intel X](https://intelx.io/product) e inclui dados da própria Blaze. Durante investigações profissionais, sempre consulto esse vazamento quando encontro um site com Whois Guard. Já revelou proprietários de sites de golpe que achavam estar protegidos. O link para download muda constantemente, mas mantenho atualizado no material do curso. E não é só esse vazamento. Existem pelo menos 4 bases de dados diferentes com informações de Whois histórico: - DomainTools (pago, mas muito completo) - WhoisXML API (tem versão gratuita limitada) - SecurityTrails (excelente para histórico) - ViewDNS.info (gratuito e eficiente) ## Método 2: Investigação histórica com cache — Voltando no tempo para revelar proprietários Sites de golpe mudam constantemente. Mas o [Archive.org](https://archive.org) guarda todas as versões antigas. É como uma máquina do tempo da internet que já me ajudou a resolver dezenas de casos. ### Como o histórico revela informações ocultas No aulão, demonstrei com o site odontocompany.com. Em 2011, o site exibia um telefone de contato que não existe mais na versão atual. Esse telefone antigo levou a outras pistas na investigação. Já aconteceu um caso fascinante: um site de phishing atual, quando consultado no histórico, era outro golpe diferente. Mas o outro golpe era de uma quadrilha conhecida. Descobrimos que o mesmo grupo criminoso reutilizava domínios para golpes diferentes. E tem mais: sites pequenos frequentemente começam mostrando dados pessoais do dono. Com o tempo, profissionalizam e escondem essas informações. Mas o Archive.org mantém tudo. Já encontrei: - Números de celular pessoal em rodapés antigos - Endereços residenciais em páginas de contato - Links para perfis pessoais do Facebook - Até mesmo fotos do proprietário que foram removidas ### Passo a passo para investigação profunda com cache 1. Acesse [Archive.org](https://archive.org) 2. Digite a URL do site suspeito 3. Navegue pelas datas disponíveis (comece sempre pela mais antiga) 4. Para cada versão significativa, salve screenshots 5. Procure por telefones, e-mails, nomes em versões antigas 6. Compare com a versão atual para encontrar mudanças 7. Anote TODAS as URLs diferentes que o site já teve 8. Verifique páginas internas também (/contato, /sobre, /quem-somos) Sites pequenos às vezes começam mostrando contato direto do dono. Conforme crescem, escondem essas informações. Mas o Archive.org mantém tudo registrado. Uma técnica avançada: use o operador site: no Google junto com datas antigas. Por exemplo: `site:exemplo.com "2020..2021"`. Isso encontra páginas que o Google indexou naquele período mas que não existem mais. ## Método 3: Busca por identificadores únicos — A técnica que mais revela conexões Essa é uma das minhas técnicas favoritas. Todo site tem elementos únicos que funcionam como impressões digitais: textos específicos, telefones, imagens, códigos. ### Identificando e rastreando textos únicos Durante a demonstração, copiei a descrição de uma casa em um site de leilão. Coloquei o texto entre aspas no Google e encontrei o mesmo anúncio em outro site, revelando conexões entre diferentes domínios. O telefone antigo da Odonto Company, quando pesquisado, apareceu em: - Listagens telefônicas (mostrando nome completo do titular) - Matéria na Revista Exame (com foto e cargo da pessoa) - Site "Quem Ligou" (com reclamações que revelavam mais dados) - Documentos públicos com nomes completos - Processos judiciais digitalizados E aqui vai um segredo: sempre use aspas duplas nas buscas. Isso força o Google a procurar a sequência exata de palavras. Mas tem mais truques: - Use o sinal de menos para excluir resultados: `"telefone" -site:exemplo.com` - Use asterisco como coringa: `"João * Silva" CPF` - Combine com operadores de data: `"texto único" after:2020 before:2022` ### Busca reversa de imagens revelando proprietários Salvei a logo de um site e fiz upload no Google Imagens. A mesma logo apareceu em 4 outros sites, todos do mesmo proprietário usando domínios diferentes. É uma técnica que uso em todo caso de investigação. Mas não use apenas o Google Images. Eu sempre verifico em: - TinEye (melhor para encontrar versões modificadas) - Yandex Images (excelente para faces e textos em imagens) - Bing Visual Search (às vezes encontra o que outros não acham) - PimEyes (pago, mas incomparável para rostos) E uma dica crucial: antes de fazer a busca reversa, remova metadados da imagem com uma ferramenta online. Isso evita que o algoritmo se confunda com dados EXIF. ### Análise de metadados: o descuido que entrega tudo Aqui está uma técnica que poucos conhecem. Toda imagem, PDF ou arquivo em um site pode conter metadados — informações ocultas sobre quem criou o arquivo. No aulão, analisei uma foto de um site de quadra esportiva usando o [ExifTool](https://exiftool.org). Os metadados revelaram: - Nome do autor: César Farsini - Software usado: Canva - Data de criação: timestamp exato - Configurações da câmera - Até coordenadas GPS (em fotos de celular) Um único arquivo mal tratado pode entregar toda a investigação. Por isso sempre baixo TODAS as imagens de um site suspeito. Mas metadados não estão só em imagens. Documentos PDF são minas de ouro: - Nome do computador que criou - Versão do software usado - Histórico de edições - Às vezes até caminhos de arquivo internos (C:\Users\NomeDaPessoa\...) ### Automatizando a análise com HTTPTrack Geralmente eu faço isso aqui — uma dica que dou para alunos e agora compartilho com vocês. Uso o [HTTPTrack](https://www.httrack.com) para baixar o site inteiro. A ferramenta cria uma pasta com todos os arquivos: imagens, PDFs, scripts, tudo. Depois rodo o ExifTool nessa pasta inteira. Ele analisa centenas de arquivos automaticamente e mostra todos os metadados encontrados. Já descobri proprietários porque UMA única foto entre centenas tinha o nome do criador nos metadados. O processo completo que uso: 1. Configuro o HTTPTrack para baixar até 3 níveis de profundidade 2. Limito a 50MB por arquivo (evita baixar vídeos enormes) 3. Depois do download, uso o comando: `exiftool -r -all pasta_do_site > metadados.txt` 4. Abro o arquivo metadados.txt e procuro por: Author, Creator, Company, GPS, Software 5. Qualquer nome ou informação pessoal vira pista para investigação E tem um bônus: o HTTPTrack também baixa códigos JavaScript. Às vezes encontro comentários no código com informações valiosas, e-mails de desenvolvedores, até senhas antigas comentadas. ## Método 4: Enumeração técnica — Ferramentas avançadas de hacking para investigadores Esse é o método mais técnico, mas absurdamente efetivo. Uso quando os outros métodos não revelam o suficiente. Envolve ferramentas profissionais de segurança para descobrir informações ocultas. ### DNS Dumpster: Revelando subdomínios ocultos O [DNS Dumpster](https://dnsdumpster.com) encontra subdomínios que o proprietário nem sabe que estão expostos. Na demonstração com odontocompany.com, descobri: - dev.odontocompany.com (ambiente de desenvolvimento) - suporte.odontocompany.com (sistema de helpdesk) - api.odontocompany.com (interface de programação) - teste.odontocompany.com (servidor de testes) - old.odontocompany.com (versão antiga do site) Subdomínios de desenvolvimento frequentemente têm menos segurança. Já encontrei painéis administrativos abertos, logs com informações pessoais, até bancos de dados expostos. Mas o DNS Dumpster é só o começo. Também uso: - Sublist3r (ferramenta de linha de comando muito poderosa) - Amass (da OWASP, extremamente completa) - Subfinder (rápida e eficiente) - SecurityTrails (tem API gratuita limitada) E uma técnica manual: procure por `site:*.exemplo.com` no Google. Encontra subdomínios que as ferramentas automáticas podem perder. ### WPScan: Extraindo usuários de sites WordPress Demonstrei essa técnica ao vivo usando [Kali Linux](https://www.kali.org). O [WPScan](https://wpscan.com) enumera agressivamente usuários cadastrados em sites WordPress. No site da prefeitura de Caraguatatuba, a ferramenta encontrou: - Alan Matos (que descobrimos ser diretor do CATE) - 7 funcionários com IDs administrativos - Padrões de nomenclatura (primeiro.ultimo) - Até datas de criação das contas Mas atenção: isso já entra em técnicas mais agressivas. Use apenas em investigações autorizadas ou para proteger seus próprios sistemas. O comando completo que usei: `wpscan --url https://exemplo.com --enumerate u --api-token SEU_TOKEN`. O token gratuito permite 25 scans por dia. E não é só usuários. O WPScan também encontra: - Plugins vulneráveis (com datas de instalação) - Temas instalados (às vezes comprados com dados pessoais) - Backups esquecidos (wp-config.php.bak é comum) - Diretórios não protegidos ### Análise de código-fonte e comentários Desenvolvedores frequentemente deixam comentários no código. Já encontrei: - Nomes completos em comentários - E-mails de contato técnico - Links para ambientes de teste - Senhas antigas comentadas (sim, isso acontece) - TODOs com informações sensíveis ("TODO: remover antes de publicar") Para ver o código-fonte, clique com botão direito e "Exibir código-fonte". Procure por comentários que começam com `