OSINT para Due Diligence: O Checklist do Investigador (2026)

O risco de terceiros está crescendo mais rápido do que a maioria das organizações consegue acompanhar. Em 2025, 73% das organizações sofreram pelo menos uma interrupção significativa causada por um terceiro (Gartner, 2025). A due diligence tradicional, construída sobre documentos autodeclarados e referências selecionadas, não consegue acompanhar esse risco.

Para mais detalhes, veja verificações de antecedentes.

Jornalistas usam nosso checklist de due diligence para due diligence jornalística.

A inteligência de fontes abertas preenche essas lacunas. A due diligence com OSINT usa dados disponíveis publicamente para verificar de forma independente identidades, reputações, registros de litígios e conexões ocultas. Ela não depende daquilo que o investigado escolhe revelar. Ela depende do que já é público.

Construímos fluxos de OSINT que cruzam mais de 200 fontes abertas para investigações. Esse trabalho prático com empresas de fachada, parcerias ocultas e credenciais fabricadas moldou cada item deste checklist de 20 pontos. Este guia conduz você pela investigação de pessoas, investigação de empresas, sinais de alerta, conformidade legal e as ferramentas que tornam tudo isso prático.

O Que É Due Diligence com OSINT?

A due diligence com OSINT é a prática de usar informações disponíveis publicamente para verificar a identidade, reputação e perfil de risco de pessoas ou empresas antes de uma decisão de negócio. O mercado global de OSINT atingiu US$ 12,7 bilhões em 2025, com projeção de crescimento de 26,7% ao ano até 2035 (Global Market Insights, 2025). Esse crescimento reflete o quanto a verificação por fontes abertas se tornou central.

A due diligence tradicional depende de documentos que o investigado fornece: demonstrações financeiras, cartas de referência, certificações. O problema? Um agente mal-intencionado competente entrega exatamente o que você espera ver. Balanços impecáveis. Referências imaculadas. Um site bem polido.

O OSINT inverte o modelo de verificação. Em vez de revisar materiais selecionados, você coleta dados de forma independente a partir de fontes públicas: registros governamentais, bases de dados judiciais, registros de domínio, perfis de redes sociais, bases de dados de vazamentos e arquivos de notícias. O investigado não controla o que essas fontes dizem sobre ele.

Pense desta forma. Você contrataria alguém com base apenas em um currículo que a própria pessoa escreveu? Claro que não. Você verificaria as datas de emprego, checaria referências de forma independente e buscaria registros públicos. A due diligence com OSINT aplica essa mesma lógica a cada relação de negócio, de contratos com fornecedores a aquisições.

Quando Você Deve Realizar Due Diligence com OSINT?

O custo médio de uma violação de dados atingiu US$ 4,88 milhões globalmente em 2024, com as violações nos EUA atingindo uma média de US$ 9,36 milhões (IBM Cost of a Data Breach Report, 2024). Muitas dessas violações se originaram por meio de relações com terceiros. A due diligence com OSINT deve acontecer antes de cada compromisso de negócio significativo.

Contratação e recrutamento

A verificação de antecedentes com OSINT vai além das bases de dados de registros criminais. Você pode verificar credenciais alegadas, checar conflitos de interesse não declarados e avaliar como um candidato se representa publicamente. Para contratações de executivos, isso é especialmente crítico. Uma contratação de alto escalão com histórico de litígios não declarado ou cargos em conselhos fabricados cria um risco existencial.

Triagem de fornecedores e parceiros

A due diligence de fornecedor protege sua cadeia de suprimentos. Antes de integrar um novo fornecedor, verifique seu histórico operacional real, sinais de estabilidade financeira e reputação em plataformas de avaliação. Um fornecedor que alega ter dez anos de experiência, mas registrou seu domínio há oito semanas, merece escrutínio.

Fusões e aquisições

A due diligence de fusões e aquisições tradicionalmente foca em finanças e documentos legais. O OSINT adiciona uma camada digital: subsidiárias ocultas, transações não declaradas com partes relacionadas e riscos reputacionais que não aparecem nas demonstrações financeiras auditadas. Você já se perguntou o que os funcionários da empresa-alvo dizem no Glassdoor?

Decisões de investimento

Seja você uma firma de venture capital ou um investidor-anjo, o OSINT ajuda a verificar as alegações dos fundadores. Cheque se o perfil do fundador no LinkedIn corresponde aos registros públicos. Busque empreendimentos anteriores e seus resultados. Cruze parcerias alegadas com as próprias comunicações públicas do parceiro.

Conformidade com KYC e AML

Instituições financeiras usam o KYC com OSINT para verificar identidades de clientes, fazer triagem de Pessoas Politicamente Expostas (PEPs) e monitorar listas de sanções. Os reguladores esperam cada vez mais a verificação por fontes abertas como parte dos programas de conformidade. Cobriremos isso em detalhes na seção de conformidade legal.

O Checklist de Due Diligence com OSINT de 20 Pontos

Em 2025, mais de 3.300 comprometimentos de dados foram registrados apenas nos EUA, um aumento de 79% em cinco anos (Identity Theft Resource Center, 2026). A superfície para investigação nunca foi tão grande. Este checklist imprimível organiza 20 pontos de verificação em quatro categorias.

Imprima este checklist ou salve-o como referência. Nem todo item se aplica a toda investigação. Para uma triagem de fornecedor, você pode priorizar os itens 8 a 14 e 15 a 18. Para a contratação de um executivo, os itens 1 a 7 são seu ponto de partida. A chave é a cobertura sistemática.

Como Investigar uma Pessoa com OSINT?

Há 5,24 bilhões de usuários de redes sociais no mundo no início de 2025, representando 63,9% da população global (DataReportal, 2025). As pessoas deixam rastros digitais extensos. A investigação de pessoas com OSINT segue esses rastros de forma sistemática.

Investigação de e-mail

Comece pelo endereço de e-mail do investigado. Uma busca reversa de e-mail pode revelar contas de redes sociais vinculadas, exposição em vazamentos, histórico de registro e, às vezes, nomes reais por trás de endereços anônimos. Cheque se o e-mail aparece em vazamentos de dados conhecidos. Um executivo cujo e-mail corporativo aparece em 12 bases de dados de vazamentos diferentes indica higiene de segurança fraca.

Não pare no e-mail principal. Busque variações: nome.sobrenome, inicial do primeiro nome + sobrenome, apelidos. As pessoas costumam manter contas separadas para propósitos diferentes. O e-mail profissional do LinkedIn pode estar limpo, mas um Gmail pessoal usado para cadastros em fóruns pode revelar muito mais.

Análise de número de telefone

Números de telefone se conectam a registros de operadora, aplicativos de mensagens e serviços de verificação de identidade. Uma busca reversa de telefone pode confirmar o nome do titular, identificar contas vinculadas (WhatsApp, Telegram, Signal) e revelar se o número é um descartável, uma linha VoIP ou uma conta legítima de operadora. Números VoIP usados como contatos comerciais principais podem sinalizar operações transitórias.

Rastreamento de nome de usuário

A maioria das pessoas reutiliza nomes de usuário entre plataformas. Se você encontrar o nome de usuário do investigado no GitHub, esse mesmo identificador pode existir no Reddit, no Twitter, em plataformas de jogos e em fóruns de nicho. O rastreamento de nome de usuário em mais de 200 plataformas pode construir uma imagem abrangente dos interesses, opiniões e associações de alguém que um currículo jamais menciona.

Revisão aprofundada de redes sociais

Vá além do resumo do perfil. Cheque o histórico de publicações, as conexões, as participações em grupos e as interações. A expertise alegada pelo investigado corresponde ao que ele discute publicamente? Ele está conectado a pessoas ou organizações que geram preocupações de conflito de interesse? A consistência nas redes sociais é um forte sinal de credibilidade.

Como Investigar uma Empresa com OSINT?

As perdas com fraude corporativa atingiram US$ 3,1 bilhões nos casos analisados em 2024, com uma perda mediana de US$ 145.000 por caso (Association of Certified Fraud Examiners, 2024). A investigação de empresas por meio de OSINT capta riscos que auditorias financeiras e documentos autodeclarados deixam passar.

Domínio e infraestrutura web

O domínio é sua primeira parada. Cheque os registros WHOIS quanto à data de registro, detalhes do registrante e configuração de servidores de nomes. Compare a idade do domínio com a data de fundação alegada pela empresa. Uma suposta empresa de 15 anos operando em um domínio registrado há três meses é um sinal de alerta que você não pode se dar ao luxo de ignorar.

Use o Wayback Machine para revisar capturas históricas do site da empresa. O site existiu continuamente ou apareceu de repente? Grandes mudanças inexplicadas na marca, nos serviços oferecidos ou na descrição da empresa podem indicar mudanças de propriedade ou pivôs que merecem investigação.

Registro corporativo e diretores

Verifique a situação legal da empresa no registro corporativo pertinente. Nos EUA, isso é a Secretaria de Estado do estado de incorporação. No Brasil, é a Receita Federal para registros de CNPJ. No Reino Unido, a Companies House oferece acesso gratuito. Cheque se a entidade está ativa, quando foi constituída e quem são os diretores atuais.

Cruze diretores e administradores com outras declarações corporativas. Um diretor que aparece em 40 registros de empresas diferentes em cinco jurisdições não é necessariamente fraudulento, mas exige explicação. Ele é um diretor nomeado profissional? Um empreendedor serial? Ou alguém que empresta seu nome a empresas de fachada?

Indicadores financeiros e declarações públicas

Registros financeiros publicamente declarados, registros de ônus e registros de falência fornecem sinais objetivos de saúde financeira. Busque registros UCC, ônus fiscais e registros de sentenças. Para empresas de capital aberto, as declarações da SEC (10-K, 10-Q) estão disponíveis pelo EDGAR. Para empresas privadas, agências de crédito e buscas em registros públicos oferecem visibilidade parcial.

Análise de reputação e avaliações

As plataformas voltadas ao consumidor mostram o que os clientes reais da empresa vivenciam. Cheque o Better Business Bureau, o Trustpilot, o Google Reviews e plataformas específicas do setor. Uma avaliação negativa é ruído. Um padrão de reclamações sobre não entrega, quebras de contrato ou disputas de cobrança é um sinal que vale a pena investigar mais a fundo.

As avaliações de funcionários no Glassdoor e no Indeed oferecem uma perspectiva interna. Sinais de alta rotatividade, reclamações sobre a ética da gestão ou relatos de salários não pagos podem indicar instabilidade operacional que os documentos financeiros não revelam. O que as pessoas que trabalham lá realmente dizem sobre trabalhar lá?

Quais Sinais de Alerta Você Deve Observar?

A fraude ocupacional leva, em média, 12 meses para ser detectada, segundo o Report to the Nations de 2024 da ACFE (ACFE, 2024). A due diligence com OSINT pode comprimir drasticamente essa janela de detecção. Aqui estão os sinais de alerta que investigadores experientes priorizam.

Sinais de alerta de identidade e registro

• Incompatibilidade de idade do domínio: A empresa alega mais de 10 anos de operação, mas o domínio foi registrado nos últimos 90 dias.
• Endereços de registro compartilhados: O endereço da empresa é compartilhado por dezenas de outras entidades, sugerindo um escritório virtual ou caixa postal.
• Diretores nomeados: Diretores aparecem em declarações de mais de 30 empresas não relacionadas, típico de serviços de diretores nomeados profissionais usados para ocultar a verdadeira propriedade.
• Mudanças corporativas frequentes: Sucessão rápida de mudanças de diretores, alterações de endereço registrado e mudanças de razão social em um curto período.

Sinais de alerta digitais e reputacionais

• Exposição a vazamentos: Endereços de e-mail corporativos aparecem em múltiplos vazamentos de dados, indicando práticas de segurança ruins.
• Inconsistência nas redes sociais: Uma empresa que alega ter 500 funcionários tem 15 seguidores no LinkedIn e nenhum perfil de funcionário.
• Manipulação de avaliações: Aglomerados de avaliações cinco estrelas publicadas com poucos dias de diferença, muitas vezes com padrões de linguagem genéricos.
• Lacunas no histórico do site: O Wayback Machine mostra que o domínio anteriormente hospedava um negócio completamente diferente ou estava estacionado.

Sinais de alerta legais e financeiros

• Padrões de litígio: Múltiplos processos envolvendo fraude, quebra de contrato ou violações regulatórias em diferentes jurisdições.
• Proximidade com listas de sanções: Diretores ou beneficiários finais conectados a entidades nas listas de sanções da OFAC, UE ou ONU.
• Acúmulo de ônus fiscais: Ônus fiscais federais ou estaduais não resolvidos, indicando dificuldade financeira ou não conformidade.
• Ações regulatórias: Ações de execução da FTC, violações da SEC ou penalidades regulatórias específicas do setor.

Quais Ferramentas Apoiam a Due Diligence com OSINT?

Nenhuma ferramenta isolada cobre todos os aspectos de uma investigação de due diligence. Com mais de 14,6 bilhões de registros expostos em vazamentos de dados durante 2024 (IT Governance, 2025), você precisa de um ecossistema de ferramentas de verificação. Veja como organizar seu conjunto de ferramentas por função.

O desafio não é encontrar ferramentas. É a eficiência. Verificar manualmente 15 plataformas diferentes para uma única entidade leva horas. É aqui que as plataformas consolidadas agregam mais valor, ao automatizar a fase de coleta para que os analistas possam se concentrar na interpretação e no julgamento.

Como a espectrosint se Encaixa nos Fluxos de Due Diligence?

Organizações que usam IA extensivamente em segurança economizaram US$ 2,22 milhões por violação em comparação com aquelas que não usaram (IBM, 2024). A automação não substitui o julgamento do analista. Ela elimina as horas gastas na coleta manual de dados, liberando os investigadores para focar no que importa: interpretar achados e tomar decisões.

A espectrosint busca em mais de 200 fontes abertas com uma única consulta. Insira um e-mail, número de telefone, nome de usuário, domínio ou identificador de empresa. A plataforma retorna resultados estruturados organizados por fonte, com registros de data e hora e links diretos para os dados originais. Os itens 1 a 5, 8 a 10 e 15 a 17 do checklist acima rodam automaticamente.

Os itens restantes, particularmente a interpretação de sinais de alerta (itens 15-18) e a documentação de conformidade (itens 19-20), exigem análise humana. A espectrosint fornece os dados brutos. Você fornece o julgamento. Essa divisão de trabalho é intencional. A coleta automatizada com análise humana produz os resultados mais confiáveis.

A Due Diligence com OSINT é Legal sob o GDPR e a LGPD?

As multas do GDPR totalizaram mais de 2,1 bilhões de euros de 2018 a 2024 (GDPR Enforcement Tracker, 2025). A conformidade legal não é opcional. A due diligence com OSINT é legal quando conduzida corretamente, mas "disponível publicamente" não significa "vale tudo".

Considerações sobre o GDPR

Sob o GDPR, o Artigo 6(1)(f) permite o tratamento de dados com base no legítimo interesse. A due diligence para proteção do negócio se qualifica. No entanto, você deve realizar uma avaliação de legítimo interesse, aplicar o princípio da proporcionalidade (não colete mais dados do que o necessário) e estar preparado para responder a solicitações de acesso do titular dos dados.

Os dados de categoria especial sob o Artigo 9, que incluem informações de saúde, opiniões políticas e dados biométricos, exigem base legal adicional mesmo quando disponíveis publicamente. Se as redes sociais públicas de alguém revelarem condições de saúde ou afiliações políticas, você precisa avaliar se o tratamento desses dados é proporcional ao seu propósito de due diligence.

Considerações sobre a LGPD

A LGPD do Brasil, sob o Artigo 7(IX), permite explicitamente o tratamento de dados tornados manifestamente públicos pelo titular. Isso fornece uma base legal relativamente clara para a due diligence com OSINT usando informações publicadas publicamente. A restrição-chave: o tratamento ainda deve respeitar as legítimas expectativas do titular dos dados e o contexto original da publicação.

Boas práticas para defensabilidade legal

• Documente tudo: Registre sua metodologia, as fontes consultadas, os registros de data e hora, e a justificativa de legítimo interesse para cada investigação.
• Aplique a proporcionalidade: Colete apenas o que é relevante ao seu propósito de due diligence. Não construa dossiês abrangentes quando uma verificação direcionada for suficiente.
• Proteja seus achados: Armazene os resultados da investigação com controles de acesso e prazos de retenção apropriados.
• Conheça as regras jurisdicionais: A localização do investigado determina quais leis de privacidade se aplicam, não a sua. Investigar um titular europeu a partir dos EUA ainda aciona o GDPR.
• Consulte assessoria jurídica: Para investigações de alto risco, especialmente as que envolvem dados de categoria especial ou titulares transfronteiriços, obtenha revisão jurídica antes de prosseguir.

Perguntas Frequentes

Conclusão

A due diligence que depende apenas de documentos fornecidos pelo investigado é incompleta por concepção. Em um cenário em que o crime cibernético global custa US$ 10,5 trilhões anualmente (Statista, 2025) e as violações de terceiros afetam 73% das organizações, a verificação independente não é opcional. É uma habilidade de sobrevivência empresarial.

Os 20 itens deste checklist cobrem quatro dimensões críticas: quem a pessoa é (identidade), o que a empresa mostra ao mundo (presença digital), o que os registros públicos revelam (legal e financeiro) e o que está faltando (sinais de alerta). Nenhum item isolado decide uma investigação. É o cruzamento entre eles que constrói o quadro completo.

Pronto para aplicar este checklist? Comece com uma conta gratuita da espectrosint e busque pessoas e empresas em mais de 200 fontes abertas. A coleta automatizada cuida da reunião de dados que consome tempo. Você foca em interpretar os resultados e tomar decisões.