A forma mais fácil de escolher ferramentas de OSINT é pela tarefa que elas cumprem: um conjunto para domínios e infraestrutura, um para redes sociais, um para imagens e vídeos, um para dados vazados e algumas para registros, arquivamento e conexão dos pontos. Este guia lista as ferramentas que os investigadores realmente usam em cada categoria, para que servem e quais são seus limites. Ele também cobre a parte que a maioria das listas de ferramentas ignora: o que cada consulta revela sobre você e como as equipes lidam com essa camada de rede, que é o tema da nossa página sobre proxies para OSINT e jornalismo investigativo.
Se você é novo na área, comece pela nossa introdução sobre o que é OSINT, que aborda as fontes, o método e os limites legais. Este artigo parte do princípio de que você já conhece o básico e quer o kit de ferramentas.
Domínios e infraestrutura
As perguntas aqui são quem opera um domínio ou servidor, o que mais está conectado a ele e como ele mudou.
- ICANN Lookup consulta dados de registro via RDAP, o substituto moderno do WHOIS. Desde o GDPR, a maioria dos dados pessoais aparece ocultada, mas o registrador, a data de criação e os servidores de nomes ainda são úteis.
- crt.sh pesquisa os logs de certificate transparency. Todo certificado TLS publicamente confiável é registrado, então uma busca por um domínio costuma revelar subdomínios e hostnames relacionados que o dono nunca divulgou em lugar nenhum.
- SecurityTrails mostra registros DNS históricos, o que ajuda a descobrir onde um site estava hospedado antes de passar para trás de uma CDN.
- Shodan e Censys indexam dispositivos e serviços conectados à internet. Eles respondem a perguntas como quais outros hosts compartilham este certificado ou exibem exatamente este banner de servidor.
- urlscan.io carrega uma URL em um sandbox e registra o que ela requisitou, com quais domínios se comunicou e como ela era.
- VirusTotal reúne os veredictos de vários mecanismos antivírus e scanners de URL, e mostra as relações entre domínios, endereços IP e arquivos.
Duas dessas ferramentas têm configurações de visibilidade que você precisa conhecer. As análises do urlscan.io podem ser públicas, não listadas ou privadas, e as públicas podem ser vistas por outras pessoas, inclusive por quem está por trás do site que você está investigando. Arquivos e URLs enviados ao VirusTotal podem ser vistos pelos usuários pagantes do serviço. Nunca envie um documento confidencial para lá e parta do princípio de que um envio pode alertar um adversário cuidadoso.
Redes sociais e nomes de usuário
As perguntas aqui são onde uma pessoa ou conta aparece, o que ela publicou e quando.
- Sherlock é uma ferramenta de linha de comando de código aberto que verifica um nome de usuário em centenas de sites.
- WhatsMyName faz o mesmo a partir de uma lista de sites mantida pela comunidade, com uma interface web para quem prefere não usar a linha de comando.
- A busca das próprias plataformas, com operadores avançados e filtros de data, continua sendo a fonte mais confiável, porque as ferramentas de terceiros quebram sempre que uma plataforma muda suas páginas ou sua API.
Esse último ponto pesa mais a cada ano. As plataformas mudam o acesso para pesquisadores com frequência: a Meta encerrou o CrowdTangle em agosto de 2024 e transferiu os pesquisadores aprovados para a Meta Content Library. Construa seu método em torno do que a plataforma permite hoje e espere que as ferramentas desta categoria parem de funcionar sem aviso.
Imagens e vídeos
As perguntas aqui são onde uma imagem apareceu pela primeira vez, onde e quando foi feita e se foi editada.
- Busca reversa de imagens com Google Lens, TinEye, Bing Visual Search e Yandex Images. Elas indexam partes diferentes da web, então use todas. O TinEye permite ordenar os resultados do mais antigo para o mais recente, o que ajuda a encontrar o original.
- O plugin InVID-WeVerify é uma extensão de navegador criada para checadores de fatos. Ele divide vídeos em quadros-chave para busca reversa e reúne vários filtros de perícia de imagem.
- ExifTool lê os metadados de arquivos de imagem e vídeo: modelo da câmera, data e hora e, às vezes, coordenadas de GPS. A maioria das redes sociais remove esses dados no upload, então ele é mais útil com arquivos originais.
- SunCalc mostra a posição do sol para qualquer lugar e horário, o que permite confrontar o horário alegado com as sombras de uma foto.
- Google Earth Pro tem imagens históricas, e o Copernicus Browser dá acesso gratuito a imagens recentes dos satélites Sentinel, para confirmar um local e ver como ele mudou.
Dados de vazamentos
A pergunta aqui é se uma conta, um endereço de e-mail ou uma organização aparece em um vazamento conhecido. Esta é a categoria com os limites legais mais delicados.
- Have I Been Pwned informa se um endereço de e-mail aparece em vazamentos conhecidos. A busca por domínio cobre todos os endereços de um domínio, mas só depois que você comprova que controla esse domínio, o que a torna uma boa opção para verificar a exposição da sua própria organização.
- Serviços comerciais de busca em vazamentos permitem que os investigadores pesquisem diretamente nos registros vazados. Eles são usados em trabalhos de fraude e threat intelligence, mas colocam grandes volumes de dados pessoais diante de você.
As regras aqui são mais rígidas do que nas outras categorias. Registros vazados são dados pessoais e, pelo GDPR e por leis semelhantes, como a LGPD, pesquisá-los e armazená-los é um tratamento de dados que exige uma base legal e uma finalidade clara. Usar uma senha vazada para entrar em uma conta é acesso não autorizado, seja qual for o objetivo da investigação. Equipes que monitoram vazamentos da própria organização costumam fazer isso dentro de uma política escrita, como descreve nosso artigo sobre monitorar a dark web e sites de paste em busca de credenciais vazadas. Trata-se de informação geral, não de aconselhamento jurídico.
Registros, arquivamento e análise de vínculos
Três categorias de apoio tornam as outras utilizáveis.
Empresas e registros públicos. O OpenCorporates reúne registros empresariais de vários países, e os registros nacionais, como a Companies House do Reino Unido ou a base EDGAR da SEC, são as fontes primárias a citar.
Arquivamento e captura. O Wayback Machine e o archive.today mostram versões antigas de páginas e permitem salvar novas. O Hunchly registra cada página que você visita durante uma investigação, com data e hora, e é isso que transforma uma descoberta em evidência.
Automação e análise de vínculos. O theHarvester coleta e-mails, subdomínios e hosts de um domínio a partir de fontes públicas. O SpiderFoot executa dezenas de consultas sobre um alvo automaticamente. O Maltego desenha os resultados como um grafo, para que você veja quais domínios, pessoas e organizações estão conectados. O site OSINT Framework é um grande diretório caso você precise de algo mais específico.
| Categoria | Comece por | Opções gratuitas |
|---|---|---|
| Domínios e infraestrutura | crt.sh, ICANN Lookup, urlscan.io | crt.sh, ICANN Lookup, planos gratuitos das demais |
| Redes sociais e nomes de usuário | Busca da plataforma, Sherlock, WhatsMyName | Sherlock, WhatsMyName |
| Imagens e vídeos | Busca reversa de imagens, InVID-WeVerify, ExifTool | Todas |
| Dados de vazamentos | Have I Been Pwned | Have I Been Pwned para endereços individuais |
| Registros e arquivamento | OpenCorporates, Wayback Machine, Hunchly | Busca do OpenCorporates, Wayback Machine |
| Análise de vínculos | SpiderFoot, Maltego | SpiderFoot (código aberto) |
A camada que nenhuma ferramenta cobre: o que o alvo vê
Todas as ferramentas acima ou consultam um serviço em seu nome ou levam você diretamente ao alvo. O segundo caso é onde as investigações vazam.
Quando você abre um domínio suspeito, um kit de phishing ou uma loja falsificada a partir da rede do seu escritório, o site registra o endereço IP da sua organização. Operadores cuidadosos acompanham seus logs e reagem: bloqueiam sua faixa de IPs, mostram uma página inofensiva ou tiram o site do ar antes que você o capture. Muitos sites também mostram conteúdos diferentes conforme o país do visitante, então uma página verificada do seu escritório pode não ser o que as vítimas locais veem.
As equipes de investigação lidam com isso com alguns hábitos:
- Mantenha o tráfego de coleta fora da sua própria rede. Um proxy residencial faz a requisição sair de uma conexão residencial no país ou na cidade que importa, então o alvo vê um visitante local comum, e não a sua empresa.
- Isole o navegador. Use um perfil de navegador separado, ou uma máquina virtual para qualquer coisa que possa ser maliciosa, para que cookies e sessões do seu trabalho normal nunca cheguem ao alvo. As equipes de segurança que fazem isso em escala são descritas na nossa página de caso de uso de cibersegurança.
- Trate as contas de pesquisa com cuidado. Alguns investigadores usam contas de pesquisa separadas, muitas vezes chamadas de sock puppets, para ver conteúdos que exigem login. Muitas plataformas proíbem contas falsas em seus termos, então verifique os termos e a política da sua organização, registre por que a conta existe e nunca a use para enganar ou contatar as pessoas que você investiga.
- Conheça os limites. Um proxy muda o endereço IP que um site vê. Ele não esconde a impressão digital do seu navegador, suas contas logadas nem o seu comportamento. Nosso artigo explicativo um proxy não é uma ferramenta de anonimato cobre o que mais pode denunciar um investigador.
Conclusão
Escolha as ferramentas de OSINT pela pergunta que você está respondendo: consultas de certificados e DNS para infraestrutura, busca por nome de usuário e busca nas plataformas para redes sociais, busca reversa e metadados para imagens, serviços de notificação para exposição em vazamentos, e arquivamento e análise de vínculos para manter tudo conectado. Verifique o que cada ferramenta compartilha sobre as suas buscas, mantenha a coleta fora da sua própria rede e trate dados vazados e contas de pesquisa como os riscos legais e éticos que eles são.
Se a sua equipe precisa ver sites como um visitante local em outro país, você pode testar com um teste gratuito: 100 MB de Residential Proxies por 3 dias, ou 1 dia de ISP Proxies com até 10 IPs.