O urlscan.io é gratuito?

Sim, para uso manual. A busca básica funciona sem conta, e uma conta gratuita libera uma chave de API com cotas maiores do que as do acesso anônimo. Planos pagos oferecem campos de busca extras, como marca imitada e veredito, além de cotas mais altas. Para estudo e triagem ocasional de golpes, a versão gratuita costuma ser suficiente.

Enviar um link ao urlscan.io pode me expor?

O acesso é feito pelos servidores do serviço, então o seu IP não aparece para o site analisado. O risco está em outro ponto: uma varredura pública fica visível para qualquer pessoa, inclusive o operador da página, e pode revelar dados pessoais contidos na URL. Prefira pesquisar primeiro e enviar como não listado ou privado.

O urlscan.io diz se o site é golpe?

Ele mostra evidências, não um veredito definitivo para todos os casos. Captura de tela, idade do domínio, redirecionamentos e recursos compartilhados ajudam a formar a conclusão, que deve ser cruzada com outras fontes, como serviços de reputação de URL e alertas oficiais. Sites que bloqueiam robôs ou exigem login podem nem carregar na varredura.

Posso usar o resultado do urlscan.io em um relatório?

Sim, como registro de apoio. Anote o UUID da varredura, a data, a hora e os hashes dos arquivos relevantes, e salve a captura e o JSON do resultado. Isso permite que outra pessoa reproduza a consulta. Lembre que o serviço pode apagar resultados, então guarde a sua própria cópia com registro de quando foi obtida.

Analisar link suspeito com urlscan.io: guia OSINT

Aprenda a examinar um endereço desconhecido sem abri-lo no seu navegador, pesquisar varreduras antigas e ligar páginas de golpe à mesma infraestrutura.

Para analisar um link suspeito sem correr o risco de abri-lo no próprio computador, uma das ferramentas mais úteis é o urlscan.io. Ele carrega o endereço num navegador automatizado, fora da sua máquina, e devolve uma captura de tela, a lista de domínios e IPs contatados, os arquivos baixados, os cookies e o código da página. Com isso, quem investiga entende o que o link faz, para onde ele leva e com quais outros sites ele se parece, sem clicar e sem se expor.

Este guia mostra o que o urlscan.io é, que problema resolve, como ler um resultado, como pesquisar a base pública de varreduras e quais cuidados de privacidade tomar antes de enviar qualquer endereço.

O que é o urlscan.io e que problema ele resolve?

O urlscan.io é um serviço on-line que visita um endereço em uma sessão automatizada e registra tudo o que acontece durante o carregamento. O Bellingcat descreve a ferramenta, no seu kit de investigação, como uma forma de examinar sites suspeitos sem interagir com eles diretamente e de pesquisar varreduras arquivadas para encontrar infraestrutura compartilhada e montar linhas do tempo.

O problema que ele resolve é antigo: alguém recebe por SMS ou WhatsApp um link encurtado prometendo reembolso, taxa de entrega ou atualização de cadastro. Abrir esse link no celular pessoal pode instalar algo indesejado, revelar o seu IP ao operador do golpe ou simplesmente avisar que a mensagem foi lida. O urlscan.io faz a visita no seu lugar.

Na prática, ele responde a perguntas típicas de uma apuração:

Para onde o encurtador realmente redireciona?
A página imita a identidade visual de qual banco, loja ou órgão público?
Em qual servidor e em qual sistema autônomo (ASN) ela está hospedada?
Outros sites com o mesmo IP, o mesmo script ou o mesmo arquivo já foram vistos antes?

Como ler o resultado de uma varredura no urlscan.io?

Ao enviar um endereço pela página inicial, o serviço gera um relatório com um identificador único (UUID). As partes que mais interessam a quem investiga são estas:

Captura de tela e URL final

A captura mostra a página exatamente como ela apareceu para o navegador automatizado. É o primeiro filtro: uma tela de login com o logotipo de um banco, hospedada num domínio que não pertence ao banco, já indica tentativa de phishing. Compare sempre a URL submetida com a URL efetiva, porque encurtadores e redirecionamentos em cadeia costumam esconder o destino real.

Domínios, IPs e ASN

A aba de requisições lista cada domínio e IP contatado durante o carregamento. Um site de golpe costuma buscar scripts e imagens em servidores diferentes daquele que aparece na barra de endereço. Esses servidores secundários são pistas valiosas, porque às vezes se repetem em dezenas de páginas falsas montadas pelo mesmo grupo.

Idade do domínio

Se a informação estiver disponível, o resultado traz quantos dias tem o domínio e o domínio principal (apex). Um endereço registrado há poucos dias, imitando uma marca conhecida, é sinal de alerta forte, embora não seja prova de fraude por si só.

Hashes dos arquivos

Cada resposta HTTP recebe um hash SHA256. Se o mesmo arquivo de script ou a mesma imagem aparece em outras varreduras, você ganha uma forma objetiva de agrupar páginas que compartilham o mesmo kit.

Como pesquisar varreduras antigas sem enviar nada?

Uma das funções mais subestimadas é a busca. Antes de enviar um link, pesquise se alguém já o examinou. Isso evita alertar o operador da página, ponto destacado pelo kit do Bellingcat, e muitas vezes devolve resultados de quando o site ainda estava no ar.

A documentação oficial da busca segue a sintaxe de consulta do Elasticsearch, com alguns cuidados: os nomes de campo diferenciam maiúsculas de minúsculas, tudo é indexado em minúsculas e os termos se combinam com AND, OR e NOT. Exemplos práticos, com domínios e IPs fictícios:

page.domain:entrega-taxa-exemplo.com
domain:exemplo-banco-seguro.com AND date:>now-30d
page.ip:203.0.113.10
page.asn:AS64500
hash:<sha256 de um script encontrado>
date:[2026-10-01 TO 2026-10-27] AND page.domain:exemplo.com

O campo page.domain busca o domínio principal da página (e também os subdomínios dele). Já domain encontra qualquer domínio contatado durante o carregamento, o que ajuda a achar páginas que carregam um mesmo recurso externo. O campo hash exige o valor exato.

A mesma consulta pode ser feita pela API, útil para registrar o resultado em JSON e anexar ao relatório:

curl -s "https://urlscan.io/api/v1/search/?q=page.domain:exemplo.com&size=10"

Usuários sem conta têm cotas pequenas de API. Para uso recorrente, crie uma conta gratuita e gere uma chave.

Como enviar um link pela API com a visibilidade certa?

Se a busca não trouxer nada, você pode submeter o endereço. Pelo guia de início rápido do serviço, a chamada é um POST com a chave no cabeçalho API-Key:

curl -X POST https://urlscan.io/api/v1/scan \
  -H "Content-Type: application/json" \
  -H "API-Key: SUA_CHAVE" \
  -d '{"url": "https://exemplo.com", "visibility": "unlisted"}'

O resultado leva pelo menos 30 segundos para ficar pronto. Enquanto a resposta for 404, a varredura ainda não terminou. Depois, os dados ficam em https://urlscan.io/api/v1/result/<uuid>/, a captura em https://urlscan.io/screenshots/<uuid>.png e o código da página em https://urlscan.io/dom/<uuid>/.

Público, não listado ou privado?

A escolha da visibilidade é a decisão mais importante do processo. Segundo o blog do próprio urlscan.io:

Público: aparece na página inicial, na busca pública e para buscadores. Use só quando o endereço não contém dado pessoal nem informação proprietária.
Não listado (unlisted): fica fora da busca pública, mas visível para clientes do plano profissional, descritos como pesquisadores e empresas verificados. É a opção indicada quando o link pode conter dados pessoais, mas ainda vale compartilhá-lo para derrubada da página ou pesquisa.
Privado: visível só para você (e para o seu time, se configurado). Protege mais, porém a ameaça pode passar despercebida pela comunidade.

Que cuidados de privacidade e ética tomar?

A cautela tem histórico. Em 2022, a Positive Security mostrou que a base pública do urlscan.io expunha links de redefinição de senha, documentos compartilhados, convites e faturas, enviados como públicos por integrações de segurança mal configuradas. O serviço reagiu com regras de exclusão e controles de visibilidade, mas o risco continua para quem automatiza sem revisar.

Por isso, algumas regras valem para qualquer Hunter:

Nunca envie como público um link que contenha e-mail, token, número de pedido ou qualquer dado de uma pessoa. Links recebidos por vítimas costumam carregar identificadores dela na própria URL.
Remova parâmetros de rastreio quando eles não forem necessários para reproduzir o golpe.
Lembre que o envio pode alertar quem opera o site. Pesquise primeiro, envie depois.
Mesmo IP ou mesmo script não prova que dois sites pertencem ao mesmo grupo. Servidores compartilhados hospedam milhares de páginas sem relação entre si.
Se encontrar uma varredura sua com dado sensível, use o botão de denúncia (Report) da página para pedir a remoção.

Dados pessoais eventualmente visíveis numa captura continuam protegidos pela LGPD. Use-os apenas no limite da finalidade da apuração, sem republicar nem expor ninguém.

Exemplo hipotético: o falso aviso de entrega

Imagine que uma leitora recebe um SMS dizendo que a encomenda dela está retida e que é preciso pagar uma taxa por um link encurtado. Um roteiro seguro seria:

Expandir o encurtador sem visitar o destino, ou pesquisar o encurtador no urlscan.io.
Buscar page.domain: com o domínio final. Supondo que surjam três varreduras dos últimos dias, todas com a mesma captura de uma página de pagamento com logotipo dos Correios.
Abrir uma delas e anotar IP, ASN, idade do domínio e o hash do script que monta o formulário.
Pesquisar hash: com esse valor. Supondo que apareçam outros vinte domínios com o mesmo script, imitando lojas diferentes, há um indício de kit de phishing reutilizado.
Registrar tudo, com data, hora e UUID de cada varredura, e encaminhar as URLs aos canais de denúncia do órgão ou da empresa imitada.

Note a linguagem: há indícios de reutilização, não prova de autoria. A identificação de responsáveis cabe às autoridades.

Na prática

Pesquise o domínio no urlscan.io antes de enviar qualquer link, para não alertar quem opera a página.
Use page.domain para o domínio principal e domain para qualquer recurso carregado.
Envie como não listado (unlisted) ou privado sempre que a URL puder conter dado pessoal.
Anote o UUID, a data e o hash dos arquivos relevantes de cada varredura que entrar no relatório.
Trate IP, ASN e scripts compartilhados como indícios a confirmar, nunca como prova de autoria.
Para golpes que atingem o público, consulte também as orientações da Cartilha de Segurança do CERT.br.

Conclusão

O urlscan.io transforma um link desconhecido em evidência legível: imagem, infraestrutura, arquivos e histórico. Bem usado, ele economiza tempo na triagem de golpes, ajuda a ligar páginas falsas ao mesmo kit e gera material reprodutível para um relatório. O cuidado central é a visibilidade: o que você envia como público passa a ser de todos. Pesquise antes, escolha o nível certo de exposição e registre cada passo.

Analisar link suspeito com urlscan.io: guia prático para OSINT

Em resumo