OSINT para investigação: fontes, limites e custódia

Um analista encontra o nome de um alvo num vazamento, tira um print e anexa ao relatório. Meses depois, na audiência, a defesa pergunta de onde veio aquele dado, quando foi coletado e se alguém o alterou no caminho. Sem resposta precisa, a peça inteira racha. É aqui que OSINT para investigação deixa de ser sinônimo de "pesquisar no Google" e passa a ser uma disciplina com método, atribuição e responsabilidade sobre a evidência.

OSINT para investigação não é busca, é procedimento

Inteligência de fontes abertas é a coleta e análise de informação publicamente disponível para produzir conhecimento acionável. A diferença entre uma pesquisa casual e uma investigação séria está no rigor. O investigador profissional — em uma força de lei, em um núcleo de inteligência, em uma perícia — não coleta o que confirma sua hipótese; ele coleta o que resiste à contestação. Isso significa registrar cada achado com origem, data e hora, contexto de captura e, quando aplicável, o hash do artefato coletado, para que qualquer terceiro consiga refazer o caminho e chegar ao mesmo ponto.

O valor de um dado aberto não está no dado em si, e sim na sua proveniência. Um perfil em rede social, um registro de domínio, uma menção em fórum: qualquer um desses só sustenta uma decisão operacional ou processual se vier acompanhado da trilha que prova que era aquilo, naquele momento, sem edição posterior. Um print de tela solto não prova nada — é uma imagem que qualquer pessoa poderia ter fabricado. O que confere peso é o procedimento em volta dele.

O mapa das fontes: superfície, deep e dark web

A informação aberta vive em camadas com naturezas distintas. A web de superfície é o que os buscadores indexam — sites, notícias, perfis públicos, registros de empresas, dados abertos de governo. É o ponto de partida da maioria das investigações e, mesmo aqui, o desafio já é de curadoria: separar sinal de ruído, correlacionar identidades e datar corretamente cada peça.

A deep web é a parte não indexada, mas legítima e acessível: bases atrás de formulários, portais de transparência que exigem consulta, repositórios técnicos, sistemas de registro. Não há nada de clandestino nela — é onde mora boa parte da informação estruturada que sustenta atribuição de identidade e vínculo entre entidades.

A dark web é outra história. Fóruns de cibercrime, mercados de dados roubados, canais fechados onde credenciais vazadas, acessos iniciais e serviços criminosos são negociados. Para investigação de fraude, de crime organizado digital e de ameaças a infraestrutura crítica, é uma fonte incontornável — e a mais perigosa de operar sem preparo. Navegar por conta própria nesses espaços expõe o investigador, contamina a coleta e, com frequência, esbarra em limites legais. É nesse terreno que a inteligência de cibercrime entra com peso: em vez de mandar um analista se infiltrar manualmente, plataformas especializadas monitoram o submundo digital de forma contínua e estruturada. A KELA, operada no Brasil pela Certus, atua exatamente aí — rastreando threat actors, validando credenciais comprometidas e transformando o ruído do submundo em inteligência datada e rastreável.

Os limites: legais, éticos e operacionais

Fonte aberta não é sinônimo de coleta livre. O fato de um dado estar acessível não autoriza qualquer uso. No Brasil, a LGPD alcança o tratamento de dados pessoais mesmo quando eles vêm de fontes públicas, e há um regime próprio para atividades de segurança pública e persecução penal — que não é um passe livre, e sim um conjunto de condições. Uma investigação que ignora esses limites produz prova frágil ou ilícita, e uma prova ilícita não só cai como pode arrastar consigo tudo que dela derivou.

Há também o limite operacional, menos discutido e igualmente crítico: o risco de contaminar a própria investigação. Logar em um sistema com a conta pessoal, interagir com um alvo, baixar um artefato sem isolamento, alertar sem querer quem está sendo observado — cada ação descuidada altera o objeto investigado ou queima a fonte. OSINT séria trabalha com separação entre o investigador e a coleta, com ambientes controlados e com a premissa de que observar sem perturbar é parte do método, não um detalhe.

E há o limite da atribuição. Ligar um apelido a uma pessoa, um endereço a um responsável, um artefato a um autor exige cadeia de inferência, não salto. Cada elo precisa ser explicitável. Atribuição apressada é como uma investigação morre por dentro: parece sólida no relatório e desmorona quando alguém pede para ver o raciocínio.

Cadeia de custódia: por que a evidência precisa sobreviver ao processo

A cadeia de custódia é o registro documentado de tudo que acontece com uma evidência desde a coleta até a apresentação — quem coletou, quando, como, onde ficou guardada, quem teve acesso e como se garante que não foi alterada. Em perícia digital tradicional isso é rotina; em OSINT, ainda é tratado como opcional por muita gente, e é aí que investigações desabam.

O princípio é simples de enunciar e difícil de manter: a evidência tem que resistir ao processo. Isso pede coleta com registro automático de metadados — data, hora, URL, versão da página —, cálculo de hash para provar integridade, armazenamento que não permita edição silenciosa e uma trilha de auditoria de quem tocou no quê. Quando o material de fonte aberta chega ao tribunal, ao órgão de controle ou à mesa de decisão com essa disciplina, ele sustenta a acusação, a operação ou a resposta a incidente. Sem ela, o mesmo material vira palavra contra palavra.

Vale a mesma lógica no setor privado regulado. Um banco que rastreia uma fraude, uma operadora de saúde que investiga um vazamento, uma empresa de infraestrutura crítica que precisa provar a origem de um ataque a um regulador: todos dependem de que a evidência de fonte aberta tenha sido coletada com o mesmo cuidado que se exige de uma prova pericial. O padrão não muda porque o dado era público.

Onde isso se organiza no Brasil

Boa parte da maturidade em OSINT no país vem circulando em espaços de troca entre quem faz o trabalho de verdade — o Osintomático, evento de referência do setor, é um desses pontos de encontro entre forças de lei, inteligência e perícia. Ferramenta sozinha não faz investigação; método, treino e comunidade fazem.

A Certus trabalha nesse cruzamento entre inteligência de fontes abertas, monitoramento de cibercrime e preservação de evidência, com engenharia local, suporte em português e apoio à contratação pública — atendendo justamente quem não pode falhar. Se a sua operação precisa transformar fonte aberta em inteligência que sustenta o processo, fale com um especialista da Certus e desenhe o caminho com quem opera essas tecnologias no Brasil.