Monitoramento de Dark Web em Investigações

Em 2024, sites de leak de ransomware publicaram dados de mais de 5.400 vítimas, recorde histórico e alta superior a 10% em relação ao ano anterior (Group-IB, 2025). Cada vazamento despeja credenciais, documentos e bases de clientes em endereços que buscadores comuns não enxergam. Para o investigador, isso é, ao mesmo tempo, um risco e uma fonte.

O monitoramento de dark web em investigações não é entrar em mercados ilegais. É vigiar, de forma legítima e contínua, onde dados de pessoas, empresas e alvos aparecem depois de um vazamento. Este guia mostra a diferença entre surface, deep e dark web, como funciona o Tor, o que de fato existe nesses ambientes, e como montar um monitoramento defensável do ponto de vista legal e operacional.

No espectrosint, operamos um motor de busca em vazamentos que checa e-mail, CPF, telefone e domínio corporativo em bases já expostas. Nossa experiência prática mostra que o ganho real está no monitoramento contínuo, não na visita pontual a um fórum. O artigo organiza esse fluxo do conceito à cadeia de custódia.

Surface, Deep e Dark Web: Qual a Diferença Real?

A surface web representa menos de 5% de todo o conteúdo online; o restante é deep web não indexada por buscadores comuns (CISA, referência setorial). Entender essas três camadas é o primeiro passo para monitorar a dark web sem confundir conceito com mito. A maior parte do que está "oculto" é, na verdade, banal e legítimo.

A surface web é tudo que o Google e o Bing indexam: sites públicos, blogs, lojas, notícias. É a ponta visível. Qualquer pessoa chega lá com um navegador comum e uma busca simples.

A deep web é todo o conteúdo legítimo que existe atrás de autenticação ou que buscadores não rastreiam: seu internet banking, sua caixa de e-mail, prontuários, intranets corporativas e resultados de bancos de dados. Não tem nada de criminoso. É a maior camada da internet e você usa todos os dias.

A dark web é uma fração pequena da deep web, acessível apenas por redes de anonimato como o Tor. Os endereços terminam em .onion e não aparecem em buscadores comuns. O anonimato atrai usos legítimos, como jornalismo e dissidência política, e também usos criminosos. Confundir dark web com "internet do crime" é um erro técnico que prejudica a investigação.

Como Funcionam o Tor e os Endereços .onion?

O Tor é mantido por um projeto sem fins lucrativos e é usado por milhões de pessoas por dia, incluindo jornalistas e órgãos de imprensa (The Tor Project, referência oficial). Tor significa "The Onion Router". Ele anonimiza a navegação roteando o tráfego por uma série de relés voluntários, em camadas, como uma cebola.

Roteamento em camadas

Quando você usa o Tor, sua conexão passa por pelo menos três nós: entrada, intermediário e saída. Cada nó conhece apenas o anterior e o seguinte, nunca a rota inteira. O resultado é que nem o site de destino nem um observador na rede conseguem ligar facilmente sua identidade ao que você acessa. É essa propriedade que permite serviços anônimos.

O que são endereços .onion

Um endereço .onion é um serviço hospedado dentro da rede Tor. Em vez de um domínio comum, ele usa uma string longa derivada de uma chave criptográfica e só é acessível pelo navegador Tor. Esses endereços não aparecem no Google porque não fazem parte da surface web. É por isso que monitorá-los exige ferramentas e indexação específicas, não uma busca comum.

Para o investigador, vale uma distinção importante. Acessar um endereço .onion público, para observar um site de leak de ransomware que está expondo dados, é coleta passiva. Diferente é interagir, autenticar ou transacionar em um ambiente criminoso. A linha entre observar e participar é justamente onde mora o risco legal, tratado mais adiante.

O Que de Fato Existe na Dark Web?

O custo médio global de uma violação de dados chegou a US$ 4,88 milhões em 2024, o maior já registrado (IBM, 2024). Boa parte desse dado roubado termina exposta em ambientes de difícil indexação. Saber o que existe lá separa o monitoramento útil do sensacionalismo.

Sites de leak de ransomware

São páginas onde grupos de ransomware publicam dados de vítimas que se recusaram a pagar, a chamada dupla extorsão. Para o investigador, esses sites são fonte legítima de inteligência: revelam quais empresas foram comprometidas, que tipo de dado vazou e quando. Monitorar esses leaks é prática padrão em resposta a incidentes e due diligence de fornecedores.

Combolists e bases vazadas

Combolists são listas de pares e-mail e senha agregadas de múltiplos vazamentos, usadas em ataques de preenchimento de credenciais. Bases vazadas inteiras, de empresas e órgãos, circulam em fóruns e canais. No Brasil, já houve exposições massivas envolvendo CPFs e dados cadastrais. Verificar se um identificador aparece nessas bases é o núcleo do monitoramento defensivo.

Fóruns e stealer logs

Fóruns concentram negociação e troca de dados e ferramentas. Os stealer logs são registros capturados por malwares ladrões de informação, que extraem senhas salvas, cookies de sessão e tokens diretamente de máquinas infectadas. Eles cresceram muito como vetor, porque entregam acesso já autenticado. Um log pode conter o login corporativo de um funcionário com a sessão ativa.

Mercados e o que não fazer

Existem mercados que vendem dados, acessos e itens ilícitos. Aqui vale a regra que organiza este guia inteiro: observar, para fins de inteligência defensiva e com base legal, é uma coisa. Comprar, transacionar ou usar credenciais obtidas ali é outra, e pode configurar crime. O investigador profissional documenta a existência do anúncio; não vira cliente dele.

Quais os Riscos Legais e Operacionais para o Investigador?

A Lei 12.737/2012 criminaliza invadir dispositivo informático alheio mediante violação de mecanismo de segurança, com pena que pode aumentar conforme o caso (Planalto, 2012). Monitorar a dark web sem cruzar linhas legais e operacionais exige método. O risco não está em olhar; está em como você olha e no que faz com o resultado.

Não cometer crime ao acessar

Observar conteúdo público é legal. Autenticar em painel de consulta alimentado por dados roubados, comprar uma base ou usar credencial vazada para entrar em um sistema, não é. Mesmo "só verificando", logar com a senha de outra pessoa é acesso não autorizado. A regra é simples: coleta passiva de conteúdo já exposto, sim; qualquer interação que execute o crime, não.

OPSEC do investigador

OPSEC é segurança operacional: proteger a si e à operação durante a coleta. Use uma persona separada, máquina dedicada ou isolada, e nunca o IP da corporação sem proteção. Não baixe arquivos executáveis de fontes suspeitas. Um stealer log pode incluir o investigador descuidado. A higiene digital aqui não é paranoia, é requisito profissional.

Jurisdição e cooperação

A dark web é transnacional por natureza. Um servidor pode estar em qualquer lugar, e a evidência coletada pode envolver mais de uma jurisdição. Para investigações formais, isso significa atenção a quem tem competência e à necessidade de cooperação internacional. O investigador que documenta bem facilita o trabalho jurídico que vem depois.

Como Funciona o Monitoramento de Vazamentos na Prática?

O Have I Been Pwned cataloga mais de 14 bilhões de contas comprometidas para verificação por e-mail (Have I Been Pwned, 2025). Monitorar vazamentos é checar identificadores contra esse universo de dados já expostos e, principalmente, ser avisado quando algo novo aparece. É a forma mais prática e legal de operar inteligência de dark web.

Por identificador: e-mail, CPF, telefone

O monitoramento começa por um identificador. Um e-mail revela em quais bases aquela pessoa está exposta. Um CPF mostra se um cidadão apareceu em vazamentos cadastrais brasileiros. Um telefone permite busca reversa em bases que ligam número a nome. Cada identificador é uma chave, e a sobreposição entre eles aumenta a confiança da correlação.

Para casos pessoais, esse é o caminho de quem pergunta por que o e-mail apareceu na dark web ou quer monitorar o CPF na dark web. Os guias específicos sobre e-mail vazado e senha vazada detalham o que fazer após a descoberta.

Por domínio corporativo e credenciais expostas

Para empresas e órgãos, o pivô é o domínio. Monitorar @suaempresa.com.br revela quantas contas de funcionários aparecem em vazamentos e se há senhas em texto claro circulando. Credenciais corporativas expostas são porta de entrada para invasão e ransomware. Detectar antes do atacante usar é o objetivo central do monitoramento defensivo B2B.

Menções a marca, pessoa e alvo

Além de identificadores estruturados, o monitoramento cobre menções: o nome de uma marca em um anúncio de venda de dados, o nome de um alvo em um fórum, a citação de um executivo. Esse acompanhamento de menções alimenta tanto proteção de marca quanto investigações de pessoas, conectando o que se vê no vazamento ao restante do trabalho de monitoramento de dados pessoais.

Vasculhar Manualmente ou Monitorar de Forma Automatizada?

Em 2024, mais de 1,7 bilhão de notificações de violação foram enviadas a vítimas, alta de mais de 300% em relação ao ano anterior (ITRC, 2025). Nesse volume, vasculhar manualmente não escala. A distinção entre busca pontual e monitoramento contínuo define a eficácia da operação.

Vasculhar manualmente é aprofundar um alvo específico em um momento específico. Tem valor quando a investigação exige contexto humano: ler um anúncio, entender uma negociação, avaliar a credibilidade de uma fonte. É trabalho de analista, insubstituível em casos complexos, mas caro e lento.

Monitorar de forma automatizada é vigilância contínua. Você cadastra identificadores, e o sistema avisa quando algo novo aparece. Não depende de você lembrar de checar. Cobre a janela crítica entre o vazamento e a descoberta, que é onde o dano acontece. A automação não substitui o analista; libera o analista para o que exige julgamento.

Na prática, os dois se combinam. O monitoramento automatizado dispara o alerta; o analista investiga manualmente o que o alerta revelou. É assim que a espectrosint trata o tema: o motor de busca em vazamentos checa identificadores em escala, e o recon em fontes .onion entra como sub-módulo dentro das buscas, para aprofundar um achado, não como uma aba isolada de "dark web".

Como Registrar Evidências e Manter a Cadeia de Custódia?

Uma evidência digital sem integridade comprovável tem valor probatório reduzido, independentemente de o conteúdo ser verdadeiro (CNJ, referência institucional). Na dark web, onde conteúdo some e muda rápido, registrar bem é o que transforma um achado em prova utilizável. Sem método, o trabalho não sustenta um processo.

O que registrar em cada coleta

Para cada achado, documente: data e hora com fuso horário, a fonte exata (endereço e contexto), capturas de tela do estado encontrado e o conteúdo bruto quando aplicável. Registre também quem coletou e com qual ferramenta. Esses metadados são o esqueleto da credibilidade da evidência.

Hash e integridade

Gere o hash criptográfico de cada arquivo coletado, como o SHA-256. O hash é uma impressão digital: se um único bit mudar, o hash muda. Registrar o hash no momento da coleta prova depois que o arquivo não foi alterado. É a técnica padrão para garantir integridade em perícia digital.

Cadeia de custódia e relatório

Cadeia de custódia é o histórico documentado de quem teve acesso à evidência, quando e por quê, do momento da coleta até a apresentação. Cada passo precisa ser rastreável. O relatório final deve separar fatos de inferências e citar a fonte de cada afirmação. Esse rigor é o que liga o monitoramento ao dossiê de investigação entregável.

O Que a LGPD Permite no Monitoramento de Dark Web?

A LGPD (Lei 13.709/2018) prevê multas de até 2% do faturamento, com teto de R$ 50 milhões por infração (Planalto, 2018). O fato de um dado já estar vazado não suspende a LGPD. O investigador continua responsável por como trata o que coleta, mesmo que a origem seja um vazamento público.

A coleta para fins legítimos costuma se apoiar em bases legais como o legítimo interesse (Art. 10) e o exercício regular de direitos em processo (Art. 7, VI). Em contextos de segurança, há ainda a finalidade de prevenção a fraude e à própria segurança do titular. A escolha da base legal precisa ser documentada antes da coleta, não inventada depois.

A proporcionalidade é o princípio central. Colete apenas o necessário para o objetivo declarado, restrinja o acesso interno ao dado sensível e descarte quando a finalidade se exaurir. Guardar um dump inteiro "por precaução" é exatamente o que a lei desincentiva. Minimização não é só conformidade; reduz o risco de quem custodia.

E sobre usar dados de vazamento? Usá-los para notificar a vítima, fechar uma vulnerabilidade ou instruir um processo legítimo tende a ser defensável. Usá-los para vantagem comercial, perseguição ou exposição não é. A LGPD não isenta o investigador só porque o dado já estava na rua. A finalidade legítima e a base legal continuam sendo o que sustenta a operação.

Perguntas Frequentes

Conclusão

Monitoramento de dark web em investigações não é heroísmo de filme nem acesso a mercado ilegal. É disciplina. É observar onde dados aparecem depois de um vazamento, com base legal, OPSEC e registro rigoroso. O investigador que entende as três camadas da web e respeita a linha entre observar e participar opera com segurança e produz evidência que sustenta um processo.

Os pontos essenciais: a dark web é uma fração pequena e específica, acessível por redes como o Tor. O que importa para a investigação são os vazamentos, combolists, leak de ransomware e credenciais expostas. Monitorar de forma automatizada cobre a escala e a velocidade que a busca manual não alcança. E a cadeia de custódia, com hash e documentação, é o que transforma achado em prova.

A LGPD não some quando o dado já vazou. A finalidade legítima, a base legal e a proporcionalidade continuam definindo o que é defensável. Esse rigor não atrapalha a investigação; protege quem a conduz.

Pronto para começar? Crie sua conta gratuita na espectrosint e monitore e-mail, CPF, telefone ou domínio corporativo em bases já expostas. Para os fundamentos, leia nosso guia sobre o que é OSINT.