Na prática

O TinEye permite ordenar resultados pelas imagens mais antigas, mas a data exibida é a do momento em que o robô do serviço encontrou a imagem, e não a da publicação. Use o resultado mais antigo como pista: abra a página, procure a data da própria postagem ou reportagem e, se houver dúvida, consulte capturas no Wayback Machine. Registre no relatório as duas datas, deixando claro qual é a de indexação e qual é a de publicação.

A falha CVE-2026-124194 do Outlook, já explorada segundo a Microsoft, exige que a vítima abra um arquivo de mensagem preparado e pode expor o hash NTLMv2 do usuário. Confirme com a TI que as atualizações de novembro foram aplicadas no Microsoft 365 Apps e no Office LTSC. Até lá, não abra arquivos de mensagem recebidos como anexo sem confirmar o remetente por outro canal.

Golpes com falsos anúncios de veículos costumam combinar preço muito abaixo do mercado e pedido de sinal antes da visita. Antes de pagar, veja o carro pessoalmente, confira a placa e a situação do veículo nos canais oficiais do Detran do seu Estado e desconfie de quem pede depósito em conta de terceiro. Faça uma busca reversa das fotos do anúncio: imagens copiadas de outro anúncio são sinal de alerta.

Antes de concluir que uma imagem é inédita, refaça a busca com um recorte da parte mais distintiva da cena (uma fachada, uma placa) e com a imagem espelhada na horizontal, truque comum de quem recicla conteúdo. Depois, rode em outro buscador: Google Lens, TinEye, Bing e Yandex indexam partes diferentes da internet. Mesmo assim, ausência de resultado não prova originalidade e deve constar como limitação no relatório.

Vários sites e extensões usam os dados do WhatsMyName, que teve a última atualização em 9 de novembro de 2026. Daqui em diante, detecções quebradas não serão corrigidas. Anote no relatório a ferramenta, a versão e a data da base, trate respostas bloqueadas ou com erro como indeterminadas e confirme os achados com uma segunda ferramenta mantida ativamente, como Sherlock ou Maigret.

Muitas profecias virais usam uma data verdadeira para ganhar credibilidade. No caso do suposto apagão de 17 de novembro, a data é a de um teste de alerta de emergência nos EUA. Ao checar, busque na fonte oficial o que está agendado para o dia, compare com o que o boato afirma e veja se o conteúdo atribuído a uma empresa aparece nos canais oficiais dela.

Usuários que rodam o Plex Media Server em NAS ou servidor com acesso remoto devem atualizar para a versão 1.43.3.10861 ou posterior. Segundo a QNAP, se o servidor vulnerável ficou exposto, a atualização não basta: o recomendado é reinstalar o sistema, trocar as senhas do Plex e do equipamento e, se não precisar de acesso externo, parar de encaminhar a porta 32400. Para acesso remoto, use VPN.

Ferramentas como Sherlock e Maigret só confirmam que um apelido está registrado num site, não que a conta é da pessoa ou empresa pesquisada. Antes de vincular, procure ao menos dois elementos independentes: link cruzado entre perfis, mesma foto confirmada por busca reversa, mesmo contato ou domínio, coerência de tema e período. Sem isso, registre a conta como não vinculada e guarde URL, data e captura da consulta.

Segundo o relatório 2026 da ACFE, 43% das fraudes internas analisadas foram descobertas por denúncias, e os canais mais usados foram formulário na web e e-mail. Se você trabalha com compliance ou investigação corporativa, verifique se o canal de denúncia da organização funciona de fato: se aceita relatos anônimos, se o formulário abre no celular, quem recebe as mensagens e em quanto tempo há resposta. Um canal que ninguém conhece ou em que ninguém confia equivale a não ter canal.

Antes de pagar, consulte a data de criação do domínio .br no RDAP do Registro.br (rdap.registro.br/domain/nome-da-loja.com.br) e veja o campo de registro: um site criado há poucos dias vendendo eletrônicos com grande desconto é sinal de alerta. Depois, confira o CNPJ exibido no rodapé numa base pública, como a BrasilAPI, e compare a data de início de atividade, a situação cadastral e a atividade econômica com o que a loja diz ser. Se o recebedor do Pix for pessoa física ou empresa de outro ramo, não pague e guarde prints do anúncio.

Busque no repositório e no histórico do git os arquivos .claude/settings.local.json e .claude/settings.json, por exemplo com git log --all -- .claude/. Se algum comando aprovado tiver senha, token ou chave, revogue e gere novas credenciais antes de apagar o arquivo, porque o histórico e os forks podem manter a cópia antiga. Depois, pare de rastrear o arquivo local com git rm --cached, inclua-o no .gitignore do projeto e prefira variáveis de ambiente ou um cofre de segredos a digitar a senha no próprio comando. Inclua essas pastas na varredura de segredos do pre-commit e da integração contínua.

Enquanto não houver firmware corrigido para as falhas anunciadas no DGS-3130-30TS, a própria D-Link orienta desativar o D-Link Discovery Protocol, apontado como principal vetor. Também vale remover strings SNMP padrão ou desnecessárias, limitar SSH, interface web e SNMP a hosts de administração em rede isolada, guardar cópia off-line da configuração e monitorar registros em busca de mudanças inesperadas, reinícios ou restauração de fábrica. Se você investiga um incidente em rede com esse modelo, registre a versão de firmware e exporte os logs antes de qualquer intervenção.

Pesquisas em fontes abertas podem, por acaso, levar a conteúdo de abuso sexual infantil. A conduta correta é não baixar, não fazer captura de tela, não reenviar e não tentar investigar sozinho. Anote apenas o endereço (URL), a data e a hora, e faça a denúncia pelo canal da SaferNet Brasil, que recebe denúncias anônimas em parceria com o Ministério Público Federal, ou procure a polícia. Guardar ou repassar esse material é crime, mesmo com a intenção de ajudar.

A campanha Trace an Object, da Europol, pede ao público informações sobre a origem de objetos recortados de imagens de investigações. Se você reconhecer uma marca, embalagem ou lugar, use o formulário da própria página, que aceita envio anônimo, e descreva a base da sua pista: onde o produto é vendido, desde quando e com link de catálogo ou registro. Não publique hipóteses em redes sociais, não marque pessoas e não tente investigar endereços por conta própria. A triagem e o repasse às polícias nacionais são feitos pela equipe de identificação de vítimas.

No phishing por código de dispositivo, a página falsa mostra um código e manda a vítima digitá-lo na página verdadeira de login de dispositivos da Microsoft. Ao fazer isso, a pessoa autoriza o aparelho do atacante a usar a conta. Regra prática: só digite um código de dispositivo se foi você quem iniciou o login em uma TV, console ou terminal naquele instante. Se a solicitação veio de um e-mail, convite ou página de brinde, trate como golpe. Em organizações, vale avaliar com a equipe de TI o bloqueio desse tipo de fluxo para usuários que não precisam dele.

O módulo urllib.robotparser, da biblioteca padrão do Python, lê o arquivo robots.txt de um domínio e responde se um endereço pode ser visitado pelo seu robô (método can_fetch) e qual intervalo o site pede entre acessos (crawl_delay), quando informado. Rode essa checagem antes de cada coleta, identifique o robô com um User-Agent que tenha contato e registre o resultado com data. A RFC 9309 orienta não reaproveitar a cópia do arquivo por mais de 24 horas. Se o site oferece API ou dados abertos, use essa via.

Golpes que imitam sócios, diretores ou advogados apostam na urgência e no sigilo. Combine com a área financeira uma regra simples: nenhum pagamento fora do fluxo é feito com base apenas em mensagem, áudio ou videochamada, por mais convincente que seja. A confirmação deve ocorrer por telefone ou contato salvo previamente, nunca pelo número ou link enviado na própria conversa. Uma palavra de verificação combinada internamente ajuda a desmontar imitações por voz e imagem geradas com IA. Se o pagamento já foi feito, acione o banco imediatamente e registre ocorrência com prints completos e dados da transação.

Kits de golpe podem exibir página de conta suspensa a quem volta pelo mesmo IP, ou mostrar o login falso só a quem chega por um buscador. Para confirmar se um endereço denunciado continua ativo, verifique a partir de outra rede ou de um serviço de varredura independente, como o urlscan.io, e registre data, hora, IP de saída e origem do acesso em cada tentativa. Guarde a captura e o código-fonte da versão maliciosa assim que a encontrar, porque ela pode não aparecer de novo para o mesmo visitante. Não interaja com formulários nem digite dados reais.

Repositórios que imitam utilitários de segurança e de análise de logs foram usados para instalar backdoor e ladrão de credenciais. Antes de rodar uma ferramenta nova, confira a idade do repositório, o histórico de commits e quem contribui; abra os arquivos de projeto procurando eventos de pré-compilação e linhas com longos trechos de espaços em branco, onde o código malicioso costuma ficar escondido; e execute pela primeira vez em máquina virtual sem credenciais nem carteiras de criptomoedas. Se a ferramenta for de uma organização conhecida, baixe pelo endereço indicado no site oficial dela, não pelo resultado de busca.

Ao abrir um caso com suspeita de crime digital, calcule logo as datas: o Marco Civil prevê guarda mínima de 6 meses para registros de acesso a aplicações e de 1 ano para registros de conexão. Anote o horário de cada fato com fuso, a fonte e a data-limite. Se o prazo estiver perto, informe a polícia, o Ministério Público ou o advogado do caso. Só a autoridade pode requerer a guarda ampliada, e o acesso aos dados depende de ordem judicial.

A Chainalysis informou que o incidente em apuração expôs nomes, usuários, hashes de senha e tokens ativos de todos os usuários, segundo o The Hacker News. A empresa diz não ter evidência de acesso a dados de investigação. Os usuários da plataforma devem trocar a senha em outros serviços em que a tenha reaproveitado, seguir as orientações da empresa para redefinição e rotação de chaves de API e registrar, no relatório, se alguma análise dependeu do serviço enquanto ele estava fora do ar.

Uma falha crítica no OpenSSH pode permitir login em contas sem senha em certos servidores Alpine, segundo o The Hacker News, quando o sshd valida senhas sem PAM e o login por senha está ativo. A versão 10.6p2 corrige o problema, e o Alpine publicou pacotes desde a versão 3.16. Até atualizar, o projeto recomenda definir PasswordAuthentication como no ou desligar o SSH. Sistemas com glibc e os que usam PAM não seriam afetados, e não havia relato de exploração.

A Lupa classificou como golpe uma mensagem de WhatsApp que cita CPF, ameaça com cobrança e restrição de crédito e dá prazo curto para clicar em um link. Se receber algo assim, não clique: consulte a situação direto no site do órgão, digitando o endereço. Para verificar o link sem acessá-lo pelo próprio aparelho, pesquise o domínio em bases públicas de análise e guarde a mensagem com data e número de origem antes de denunciar.

Debian, Ubuntu e os desenvolvedores do APT publicaram avisos sobre a CVE-2026-109518: um atacante capaz de modificar downloads de pacotes poderia trocar um pacote verificado e executar código como root, segundo o The Hacker News. O ataque depende das novas tentativas de download, ativas por padrão a partir de Debian 12 e Ubuntu 22.04. Aplique as versões corrigidas da sua distribuição e verifique se scripts antigos ativaram Acquire::Retries em sistemas mais velhos. Em estações de análise, inclua a verificação na rotina antes de novas coletas.

Marcadores de mapas colaborativos podem estar errados ou desatualizados. No levantamento sobre bases militares, a Bellingcat não aceitou o rótulo por si só: comparou mastros e layout de uma foto oficial com a imagem de satélite para confirmar o prédio. Repita a lógica em qualquer geolocalização: anote quem publicou o rótulo, busque ao menos uma fonte independente com data, registre as coordenadas e descreva no relatório o que confirma e o que segue como hipótese. Antes de publicar, avalie se o detalhe expõe pessoas sem necessidade.

No caso GhostMap, a Bitdefender afirma que a única chance de impedir o ataque é na instalação, e a recuperação pode exigir restauração de fábrica. Em aparelhos usados para investigar, isso significa dois hábitos simples: instalar apps só por canais confiáveis e manter cópia atualizada de anotações, capturas e arquivos de caso fora do aparelho. Se precisar analisar um APK suspeito, use um emulador ou dispositivo isolado e sem credenciais, nunca o celular em que estão suas contas.

O exercício da profissão de leiloeiro depende de matrícula na Junta Comercial, conforme o Decreto nº 21.981/1932. Procure o nome na lista da Junta do Estado, acessando o site por conta própria e não pelo anúncio. Depois compare endereço eletrônico e telefone com o cadastro: a Juceal relatou denúncias de uso indevido de dados de leiloeiros reais. Confirme também o leilão no portal do banco ou órgão citado e guarde capturas do que encontrar. Um nome localizado sem coincidência de canais ainda não valida a oferta.

A entrega de atualizações do Android depende do fabricante e da operadora, e o aparelho pode estar atrasado sem aviso. No aplicativo Configurações, abra Sobre o telefone e depois Versão do Android, e veja a data da atualização de segurança. O boletim de novembro define 2026-11-01 e 2026-11-05 como níveis de referência. Em aparelho usado para investigação ou contas sensíveis, anote essa data no inventário. Se o fabricante parou de enviar correções, considere trocar o aparelho dedicado a esse uso.

A OPSSHIELD indica atualizar para a versão 5.88.25 ou superior e conferir o histórico com o comando grep 'Successfully updated' /opt/cpguard/logs/install_log, procurando as versões 5.88.12 a 5.88.19. Uma entrada ali confirma a instalação, não a execução do script, mas o servidor deve ser tratado como potencialmente comprometido. Credenciais copiadas podem continuar válidas depois da correção, então troque senhas e chaves. Preserve os registros antes de limpar o servidor, caso seja preciso apurar o incidente.

Golpes recentes usam ofertas de emprego e exercícios técnicos para fazer o candidato rodar código malicioso. Se receber um repositório ou arquivo para resolver, abra em máquina virtual descartável, sem sessões logadas, chaves SSH, carteiras ou acessos da empresa. Confira a empresa por um canal independente, como o site oficial e um contato conhecido do setor, antes de instalar qualquer aplicativo de videoconferência indicado pelo recrutador. Para quem atua com OSINT, a própria checagem do domínio e do perfil do recrutador é um bom exercício prático.