OPSEC para Investigador OSINT: Sock Puppet, Higiene Operacional e Contaminação do Alvo

OPSEC para investigador OSINT é o conjunto de decisões que impede a sua coleta de revelar quem você é, para quem trabalha e o que procura. Envolve separar identidade, infraestrutura e comportamento, decidir entre observar e interagir, e aceitar que cada camada de proteção cobra tempo e velocidade.

O Que É OPSEC em Investigação de Fonte Aberta?

OPSEC nasceu como disciplina militar: identificar a informação que o adversário quer, descobrir por onde ela escapa e fechar o caminho. Em investigação de fonte aberta, o adversário costuma ser o próprio alvo, e a informação que ele quer é simples: alguém está olhando, e esse alguém veio de onde.

A referência internacional para isso é o Berkeley Protocol on Digital Open Source Investigations (OHCHR/ONU, HR/PUB/20/2), que trata segurança operacional como parte do método, não como preferência do analista. O documento separa três frentes: segurança física, segurança digital e segurança psicossocial, e discute o uso ético de identidades online na coleta.

Essa divisão importa porque o esforço costuma ser gasto no lugar errado. Gente que compra VPN cara e continua entrando na conta de pesquisa pelo mesmo navegador do e-mail pessoal. Gente que monta máquina virtual e depois publica no LinkedIn que está "trabalhando num caso interessante de fraude". OPSEC quebra pelo elo mais fraco, e o elo mais fraco quase nunca é criptografia. Se você está começando agora, vale ler antes o que é OSINT e o guia de como começar em OSINT, porque OPSEC sem método vira paranoia sem produto.

O Erro Que Queima a Maioria das Investigações: Contaminar o Alvo

Contaminação do alvo é qualquer ação sua que altera o comportamento dele. Não precisa ser dramática. Um story visualizado às 2h da manhã, um perfil visto no LinkedIn com sua conta real, um pedido de conexão enviado por engano, e o alvo tranca o perfil, apaga postagem, muda de número e avisa o círculo.

O prejuízo é duplo. Primeiro, você perde acesso ao material que ainda não coletou, e material apagado não volta. Segundo, você entrega ao outro lado a informação mais valiosa que existe num caso: o timing. Se o alvo sabe quando você começou a olhar, ele infere quem contratou, por quê, e o que já foi encontrado.

Na prática, os erros que mais vemos não são técnicos, são de rotina. O analista abre uma aba nova sem trocar de perfil de navegador. Deixa o login pessoal ativo na mesma sessão. Testa um link "só pra ver" a partir do celular. Consulta o alvo no fim do expediente, sempre no mesmo horário, criando um padrão que o próprio alvo consegue notar quando cruza os visualizadores dos stories.

O Que o Alvo Consegue Ver de Você?

Cada plataforma expõe um conjunto diferente de sinais para o dono do perfil. Não é sobre "hackear", é sobre recurso normal de produto. Quem investiga precisa saber de cor o que dispara aviso e o que passa despercebido, porque a diferença entre coleta silenciosa e coleta contaminada está nessa tabela.

Duas leituras saem daí. A primeira é que a maior parte do valor está na coluna da direita: o que é público não exige conta nenhuma. A segunda é que grupo pequeno e canal fechado são o terreno onde a persona é obrigatória e onde ela também é mais fácil de queimar, porque cinco participantes reparam num membro novo que nunca fala.

Sock Puppet: O Que É e Quando Faz Sentido?

Sock puppet é uma conta de pesquisa: um perfil separado, sem vínculo com sua identidade real, usado para acessar conteúdo que exige login. Ele não é disfarce para enganar alguém. É compartimento. A função principal é impedir que o alvo, a plataforma ou um terceiro liguem a coleta ao investigador e ao cliente por trás dela.

A confusão comum é tratar sock puppet como sinônimo de persona elaborada. Na maioria dos casos você precisa de bem menos: uma conta neutra, sem foto de gente, sem histórico fabricado, apenas para ver o que só aparece logado. Persona com biografia, rede de amigos e postagem semanal é outro produto, com outro custo e outro risco.

E aqui vem a parte que quase ninguém diz em português: Meta e LinkedIn exigem identidade real nos termos de uso; o X proíbe impersonação e conta enganosa, mas não exige nome real. Confira o termo vigente antes de montar a persona, porque isso muda o risco de banimento e o argumento que a outra parte terá contra o seu material. A consequência prática tem três camadas: banimento da conta, perda de meses de cultivo, e um argumento pronto para a outra parte contestar o material coletado por um perfil que a própria plataforma reconheceu como irregular.

Matriz de Risco: 5 Níveis de OPSEC por Tipo de Alvo

Quase todo material em português trata OPSEC como binário: ou você é descuidado, ou monta um arsenal. Na prática, o esforço deveria ser proporcional ao alvo. Investigar uma loja que não entregou um produto não pede a mesma infraestrutura de monitorar um fórum de cibercrime. A matriz abaixo dimensiona isso.

Nível 4 merece um aviso direto: se o ambiente exige contrainteligência ativa, você provavelmente está diante de um caso que pertence à autoridade policial, não ao investigador privado. Se o assunto é monitoramento de ambiente fechado, veja antes o guia de monitoramento de dark web em investigação.

O que fazer quando a persona queima muda por nível, e vale decidir isso antes, não no susto:

• Níveis 0 e 1: descarte e recrie. O custo é uma tarde. Não tente recuperar a conta pelo suporte, porque recuperação pede documento.
• Nível 2: descarte, troque número virtual e e-mail, e espere antes de reaparecer no mesmo espaço. Reentrada rápida denuncia a ligação.
• Nível 3: pare a coleta, registre o que já tem e avalie o que a persona expôs. Recriar no mesmo dispositivo ou IP liga a conta nova à antiga.
• Nível 4: trate como incidente de segurança, com aviso ao cliente e revisão de exposição pessoal. Nesse patamar, queimar a persona pode significar risco físico.

Qual É a Infraestrutura Mínima de Cada Nível?

Infraestrutura aqui significa separação, não sofisticação. O objetivo é que nenhuma peça seja compartilhada entre a sua vida pessoal, o caso A e o caso B. Cada componente abaixo existe para cortar um vetor específico de correlação, e adicionar componente sem entender o vetor só gasta tempo.

Repare no detalhe da VPN: o problema não é só esconder o IP, é manter o mesmo IP. Persona que aparece do Brasil na segunda, da Holanda na terça e do Japão na quarta levanta suspeita automática de sistema antifraude. Coerência vale mais que anonimato máximo, e essa é a inversão que quase todo tutorial erra.

Passivo x Ativo: Onde Está a Linha Jurídica no Brasil?

Existe uma fronteira nítida entre observar e interagir, e ela organiza tanto o risco jurídico quanto a qualidade da prova. Coleta passiva é ler o que está disponível. Coleta ativa é provocar o alvo a produzir algo que não existiria sem você. A segunda muda a natureza do que você tem em mãos.

No enquadramento brasileiro, usar identidade fictícia para obter vantagem ou enganar alguém pode tocar falsa identidade (art. 307) e falsidade ideológica (art. 299) do Código Penal. Não é o mesmo que abrir uma conta sem publicar dado pessoal real e apenas ler conteúdo público, mas a diferença mora exatamente no ato de enganar alguém para conseguir algo.

Há também um limite institucional que costuma ser ignorado. Infiltração de agente em ambiente criminal é prevista na Lei 12.850/2013 e depende de autorização judicial, com a atribuição reservada à autoridade policial. Investigador privado que constrói persona para se infiltrar num grupo criminoso não está fazendo OSINT avançado, está ocupando um lugar que a lei não lhe dá.

Some a isso a LGPD (Lei 13.709/2018): finalidade legítima, necessidade e minimização valem também na coleta de fonte aberta. Coletar tudo "porque pode ser útil" é o oposto do princípio da necessidade. Para o recorte completo do que é permitido, veja OSINT é legal no Brasil e o panorama de OSINT para investigadores no Brasil.

O Que Vaza Mesmo com VPN Ligada?

A VPN resolve um problema: o endereço IP que o servidor vê. Ela não toca em nenhum dos outros sinais que a sua sessão emite. É por isso que analista com VPN paga continua sendo correlacionado, e é por isso que "use VPN" é onde a maioria dos guias em português termina, justamente onde o assunto começa.

• Fingerprint de navegador: resolução, fontes instaladas, versão, extensões e renderização compõem uma assinatura que atravessa VPN sem esforço.
• WebRTC e DNS: configuração descuidada entrega o IP local ou o resolvedor do provedor mesmo com o túnel ativo.
• Fuso e idioma do sistema: persona que diz morar em Lisboa com relógio em America/Sao_Paulo e teclado pt-BR se desmente sozinha.
• Horário de atividade: postagem sempre em horário comercial brasileiro é o dado mais fácil de observar e o mais difícil de disfarçar.
• Reuso de foto e de padrão de username: a mesma variação de apelido em três personas liga as três, e busca reversa de imagem faz o resto.
• Mesmo dispositivo entre personas: app móvel e identificador de aparelho costuram contas que você acredita separadas.

Existe um teste barato que poucos fazem: rodar contra si mesmo a mesma busca de username que você rodaria contra o alvo. Se o apelido que você pensa em usar na persona já aparece em algum lugar ligado a você, ele nasceu queimado. O raciocínio inverso está detalhado em OSINT defensivo e privacidade.

Como Cultivar e Como Aposentar uma Persona?

Persona não se cria, se envelhece. Conta nova tem três marcas visíveis que qualquer moderador experiente lê em segundos: data de criação recente, grafo social vazio e ausência de histórico de publicação. Essas três coisas só se resolvem com tempo, e nenhuma delas se compra sem aumentar o risco.

Sobre foto: a saída fácil de gerar um rosto por IA já não passa como passava. Detectores melhoraram, a comunidade aprendeu a reconhecer os padrões, e o próprio "rosto perfeito sem histórico em lugar nenhum" virou sinal. Em boa parte dos casos, avatar neutro sustenta melhor a conta do que um rosto que convida à busca reversa. É o mesmo raciocínio, do outro lado da mesa, do guia sobre como descobrir quem está por trás de um perfil fake.

Cultivo, na prática, é rotina chata: usar a conta em horários variados, seguir assuntos coerentes com a persona, deixar rastro de leitura antes de qualquer interação, e nunca cruzar a persona com sua rede real, nem por curtida acidental. Nada disso é interessante, e é exatamente por isso que a maioria pula e queima a conta na primeira vez que precisa dela.

A aposentadoria tem uma armadilha própria: abandonar não é aposentar. O Telegram apaga contas inativas automaticamente, com prazo padrão de 18 meses e configurável pelo usuário, e leva junto todo o conteúdo daquela conta. Se você deixou material de coleta parado ali, ele desaparece sem aviso. Antes de encerrar qualquer persona, exporte o que precisa preservar, registre data e origem, e desligue as amarras de recuperação que apontam para você.

Vale lembrar do caminho oposto, que quase sempre é o melhor: boa parte do que se busca dentro de uma rede social pode ser obtida fora dela, sem conta nenhuma. Operador de busca bem construído alcança conteúdo indexado sem tocar no alvo, como mostra o guia de Google dorking para investigação, e o mesmo raciocínio vale para grupos e canais no Telegram, onde o link público é acessível sem entrar na conversa.

Quando Não Usar Sock Puppet

Tem caso em que a persona custa mais do que entrega. O critério é simples: se o material vai ser questionado por alguém com bom advogado, cada camada de identidade fictícia vira um ponto de ataque. Melhor coletar menos e coletar limpo.

• Coleta que vai virar ata notarial: o tabelião registra o que aparece na tela. Sessão logada em conta fictícia enfraquece o que deveria ser simples e público.
• Caso que vai a perícia: o perito examina origem, integridade e reprodutibilidade. Conteúdo obtido por conta banida depois é material contestável.
• Investigação com autorização judicial: se existe medida judicial em curso, a coleta paralela por persona pode contaminar o procedimento inteiro.
• Alvo com contrainteligência ativa: quando o outro lado sabe caçar persona, a conta vira canal de desinformação contra você.
• Quando o dado é público: se o mesmo conteúdo sai por buscador, cópia arquivada ou registro oficial, criar conta é risco sem retorno.

Nesses cenários, a prioridade passa a ser rastreabilidade, não sigilo. Como preservar origem, data e integridade está detalhado no guia de prova digital e cadeia de custódia, e a montagem do material final em dossiê de investigação OSINT.

Como Reduzir a Necessidade de Persona na espectrosint

Boa parte do que se tenta obter com sock puppet é, no fundo, cruzamento de identificador. E cruzamento de identificador não passa pela conta do alvo: não abre story, não visita perfil, não dispara notificação. Quanto mais você resolve por identificador, menos superfície de contato sobra para contaminar a investigação.

Vale ser direta sobre o escopo: a espectrosint não fornece VPN, proxy, navegador nem persona, e não substitui a sua higiene operacional. O que ela faz é concentrar a consulta por identificador em um lugar só.

1. Rode o username do alvo para mapear presença cruzada entre plataformas, sem abrir os perfis um a um.
2. Consulte e-mail e telefone para localizar contas vinculadas e exposição em vazamento, incluindo a camada de infostealer logs.
3. Use nome, CPF, CNPJ, domínio ou IP quando o caso é corporativo e o vínculo societário importa mais que a rede social.
4. Monte o grafo de conexões e a timeline para ver o que ainda falta antes de decidir se alguma etapa exige mesmo login.
5. Exporte em PDF, CSV ou JSON com data, para anexar ao dossiê e manter a rastreabilidade da coleta.
6. Só depois disso decida o nível de OPSEC da matriz. Muitas vezes o que sobra não justifica criar conta nenhuma.

Conclusão

OPSEC bom é proporcional. Boa parte dos casos que chegam à mesa de um investigador brasileiro se resolve no nível 0, e o nível 4 quase sempre indica que o caso pertence a outra instituição. Entre os dois extremos, o que separa a coleta silenciosa da investigação queimada não é ferramenta: é saber qual clique gera notificação, qual sinal atravessa a VPN e onde termina a observação e começa a interação.

Antes do próximo caso, faça duas coisas: rode contra si mesma a checagem de exposição descrita aqui e defina o nível da matriz por escrito, com o plano de queima já decidido. Para o enquadramento legal completo, siga em OSINT é legal no Brasil. Para transformar a coleta em material que aguenta contestação, siga em prova digital e cadeia de custódia.