OSINT para due diligence de empresas e pessoas: roteiro com fontes brasileiras

Antes de fechar um contrato, admitir um sócio ou contratar um fornecedor, uma pergunta se impõe: com quem estou realmente lidando? A due diligence responde a isso cruzando fontes abertas para construir um retrato factual de uma empresa ou pessoa. No Brasil, há um ecossistema rico de registros públicos que torna esse trabalho viável sem recorrer a dados ilícitos. Este artigo apresenta um roteiro de due diligence com OSINT, usando fontes brasileiras oficiais, e trata com seriedade os limites legais.

O que é due diligence com OSINT

Due diligence é o processo de verificação prévia de um parceiro comercial, candidato ou investimento. Com OSINT, ela se apoia em fontes abertas: registros oficiais, processos judiciais, publicações em redes sociais e portais de transparência. Consultar informação já pública não viola a LGPD nem configura crime, desde que haja finalidade legítima.

O objetivo não é "cavar sujeira", e sim reduzir incerteza: a empresa existe de fato? Está ativa? Quem são os sócios? Há litígios relevantes? Os sócios aparecem em sanções ou em notícias preocupantes?

Fontes brasileiras essenciais

O Brasil oferece dezenas de fontes públicas gratuitas. As principais para due diligence são:

Fonte	O que entrega	Uso na due diligence
Receita Federal (CNPJ)	Razão social, situação cadastral, CNAE, sócios, capital	Confirmar existência e estrutura
Juntas Comerciais	Atos, alterações contratuais, histórico societário	Rastrear mudanças de controle
DataJud (CNJ)	Metadados de processos judiciais	Mapear litígios
TSE	Doações e candidaturas eleitorais	Exposição política
Diários Oficiais	Publicações legais, editais, decisões	Eventos formais
Portais de Transparência	Contratos e repasses públicos	Relação com o setor público
SINTEGRA	Inscrição estadual e situação de ICMS	Atividade fiscal por estado

Segundo dados de 2025, o Brasil tem mais de 55 milhões de CNPJs ativos registrados na Receita Federal e mais de 80 milhões de processos judiciais rastreados no DataJud, o que dá a dimensão do material disponível.

Na prática: roteiro passo a passo

Etapa 1: identificar e confirmar a entidade

Comece pelo CNPJ na Receita Federal. Confirme:

• Situação cadastral: "Ativa" é o esperado. "Baixada", "Inapta" ou "Suspensa" são sinais de alerta.
• Data de abertura: uma empresa aberta há poucas semanas, prometendo grandes negócios, merece cautela.
• CNAE: a atividade declarada bate com o que a empresa diz fazer?
• Quadro societário: anote nome e participação de cada sócio.

Para checar um CPF isolado, lembre que a Receita só valida situação cadastral mediante CPF e data de nascimento; não existe consulta pública que devolva o nome a partir do CPF, e tentar obter isso por vias não oficiais é ilegal.

Etapa 2: mapear a rede societária

Com os nomes dos sócios, repita a consulta: em quais outras empresas eles aparecem? Juntas Comerciais ajudam a reconstruir o histórico de alterações contratuais. O objetivo é desenhar o grafo de relações: sócios em comum, empresas de fachada, endereços repetidos.

Etapa 3: levantar litígios

Use o DataJud e os sistemas de consulta processual dos tribunais para mapear processos envolvendo a empresa e os sócios. Observe:

• Volume e natureza dos processos (trabalhistas, cíveis, tributários).
• A empresa é mais autora ou ré?
• Há execuções fiscais ou pedidos de falência?

Metadados processuais são públicos, mas o conteúdo pode estar em segredo de justiça. Respeite isso.

Etapa 4: exposição pública e reputacional

• TSE: verifique doações eleitorais e candidaturas que indiquem exposição política (relevante para PEP, pessoa exposta politicamente).
• Diários Oficiais e Portais de Transparência: busque contratos com o poder público, sanções e inidoneidade.
• Imprensa e redes sociais: pesquise o nome da empresa e dos sócios com dorks, por exemplo:

"Razao Social LTDA" (processo OR fraude OR golpe OR condenacao)
"Nome do Socio" site:gov.br

Etapa 5: consolidar e documentar

Monte um dossiê com cada achado, a fonte, a data da consulta e um print. A documentação é o que dá credibilidade ao relatório e permite auditoria posterior.

Sinais de alerta (red flags)

• Situação cadastral irregular ou empresa recém-aberta com operação "grande".
• Endereço compartilhado por dezenas de empresas sem relação aparente.
• Sócios com múltiplos processos de mesma natureza (padrão).
• Divergência entre o CNAE e a atividade real anunciada.
• Ausência total de rastro digital para uma empresa que diz ser consolidada.

Armadilhas comuns

• Homônimos: nomes comuns geram falsos positivos. Confirme sempre com um segundo identificador (CNPJ, data, cidade).
• Dados desatualizados: registros públicos têm defasagem. Anote a data da consulta.
• Excesso de coleta: reunir mais dados pessoais do que a finalidade exige é um risco sob a LGPD. Colete o necessário.
• Confundir indício com conclusão: um processo não significa culpa; um alerta pede verificação, não veredito.

Ética e legalidade

Este é o ponto mais sensível. No Brasil, a due diligence com OSINT é legal porque consulta dados já públicos em registros oficiais, processos, portais de transparência e publicações abertas. A linha que não se cruza: a LGPD exige finalidade legítima, proporcionalidade e cuidado com dados pessoais, especialmente os sensíveis. É ilegal comprar bases vazadas, acessar sistemas sem autorização ou obter dados por engenharia social. O Marco Civil da Internet reforça a proteção da privacidade. Faça due diligence para decidir com responsabilidade, não para vigiar ou expor.

Um bom relatório de due diligence é factual, datado e rastreável até a fonte. Tem um roteiro ou uma fonte brasileira que costuma usar e que não citamos aqui? Traga para a comunidade OsintHunters Brasil e vamos aprimorar o checklist juntos.