OPSEC para investigadores OSINT: proteja sua identidade
Toda investigação OSINT deixa rastros. Cada página que você abre registra um IP, uma impressão digital de navegador e, se você não tomar cuidado, pistas que levam de volta até você. OPSEC (segurança operacional) é o conjunto de práticas que mantém separadas a sua identidade real e a sua identidade de pesquisa. Este guia mostra como montar esse isolamento na prática: navegador, rede, contas e hábitos. A regra de ouro: o elo mais fraco quase nunca é a criptografia, é o comportamento.
As quatro camadas da atribuição controlada
Pense em OPSEC como camadas que se reforçam. Especialistas descrevem quatro:
- Identidade separada: contas de pesquisa (sock puppets) que nunca se cruzam com seu nome real.
- Máquina isolada: uma VM dedicada, um sistema como o Tails ou, no mínimo, um perfil de navegador separado.
- Rede anonimizada: uma VPN confiável e, quando o risco é alto, o Tor.
- Comportamento disciplinado: nunca logar em conta pessoal no ambiente de pesquisa, nunca clicar em link controlado pelo alvo a partir do seu navegador real.
Falha em uma camada compromete as demais. Comprar uma VPN cara e depois abrir o e-mail pessoal no mesmo navegador anula todo o investimento.
Isolamento de navegador
O ponto mais prático para começar. A VPN troca seu IP, mas só isso: a configuração do navegador (resolução de tela, fontes, fuso, idioma) já basta para montar uma impressão digital que identifica um visitante. Por isso você precisa separar ambientes.
Opções, da mais simples à mais robusta:
- Perfis separados no Firefox ou no Brave. Cada perfil tem cookies, cache e histórico isolados. Simples e gratuito.
- Firefox Multi-Account Containers, que isola abas dentro de um mesmo navegador, útil para manter várias personas abertas sem vazamento de sessão entre elas.
- Máquina virtual dedicada (VirtualBox, VMware) com snapshot limpo. Terminou o caso? Reverte o snapshot e não sobra nada.
- Tails, um sistema que roda de pen drive, força todo o tráfego pelo Tor e não deixa rastro no disco.
Uma dica de higiene dentro do navegador de pesquisa: desative plugins desnecessários, não instale extensões identificáveis e evite logar em serviços que criem um perfil consistente ligado a você.
VPN e rede
A VPN cumpre um papel específico e limitado: esconder seu IP real do site-alvo e do seu provedor. Escolha um serviço com política de não-registro (no-logs) auditada e que aceite pagamento discreto. Pontos de atenção:
- DNS leaks: confirme que as consultas DNS passam pela VPN, não pelo seu provedor. Teste em sites de verificação de vazamento.
- Kill switch: ative o recurso que corta a internet se a VPN cair, evitando que seu IP real apareça no meio da sessão.
- Tor para alvos sensíveis: quando investigar atores capazes de analisar logs, o Tor Browser oferece anonimato de rede superior, ao custo de velocidade.
Lembre-se: VPN conserta o IP e nada mais. A impressão digital do navegador continua sendo seu maior risco de exposição.
Contas de pesquisa (sock puppets)
Um sock puppet é uma conta pseudônima mantida completamente separada da sua identidade real. Contas pseudônimas de pesquisa são legais na maioria dos lugares e padrão para jornalistas e investigadores, mas costumam violar os termos de uso das plataformas: avalie esse risco antes.
Boas práticas para construir e manter personas:
- Cada persona tem o próprio e-mail, o próprio perfil de navegador (ou VM) e, quando necessário, o próprio número.
- Nunca logue numa conta pessoal a partir do navegador de pesquisa, nem o contrário.
- Dê consistência à persona: histórico plausível, atividade espaçada no tempo, foto que não seja localizável por busca reversa (evite fotos geradas por IA facilmente detectáveis e, claro, fotos reais de terceiros).
- Mantenha um cofre de credenciais separado (um gerenciador de senhas exclusivo para as personas).
Tabela de separação por ambiente
| Recurso | Identidade real | Identidade de pesquisa |
|---|---|---|
| Navegador / perfil | Pessoal | VM ou perfil dedicado |
| Seu endereço | E-mail da persona | |
| IP | Conexão normal | VPN ou Tor |
| Gerenciador de senhas | Cofre pessoal | Cofre das personas |
| Rede social | Conta real | Sock puppet |
Na prática: montando um ambiente mínimo
Um setup acessível, sem orçamento alto, pode ser montado assim:
- Crie uma VM com Linux e tire um snapshot do estado limpo.
- Instale e configure a VPN dentro da VM, com kill switch e teste de DNS leak.
- Crie um perfil de navegador exclusivo e um gerenciador de senhas só para personas.
- Gere as personas: e-mails novos, nomes plausíveis, sem reutilizar fotos ou usernames que você já usa.
- Defina um ritual de sessão: entra na VM, confirma a VPN ativa, faz a pesquisa, exporta os achados para fora da VM, e ao fim do caso reverte o snapshot.
- Nunca quebre a parede: se bater a tentação de "só dar uma olhada no e-mail pessoal", pare. É assim que a maioria das operações falha.
Armadilhas comuns que derrubam a OPSEC
- Logar em conta pessoal no navegador de pesquisa (o erro número um).
- Comentar o caso em redes sociais reais, revelando que você está investigando algo.
- Clicar em links encurtados ou controlados pelo alvo a partir do ambiente real: eles podem registrar seu IP.
- Reaproveitar usernames, fotos ou estilos de escrita entre persona e vida real.
- Confiar só na VPN e ignorar a impressão digital do navegador.
Ética e legalidade
OPSEC protege o investigador, mas não é licença para agir fora da lei. No Brasil, a LGPD rege o tratamento de dados pessoais e o Marco Civil da Internet define limites de acesso e privacidade. Contas de pesquisa pseudônimas são legítimas para coletar o que é público, mas não autorizam invadir sistemas, enganar pessoas para obter dados protegidos nem monitorar alguém de forma ilegal. O princípio permanece: só fontes abertas, com finalidade legítima e proporcional.
Qual é o seu ritual de OPSEC antes de abrir um caso? Compartilhe o que funciona (e o que já deu errado) com a comunidade OsintHunters Brasil: aprender com os tropeços alheios é a forma mais barata de proteger a própria identidade.