Metodologia OSINT

A pesquisa de fontes abertas muitas vezes fornece o elo que a análise on-chain não consegue: uma publicação em que um suspeito divulgou um endereço, o histórico de registro de um site fraudulento ou os termos de uso arquivados de um serviço. Mas uma captura de tela feita às pressas, sem URL, horário nem registro de como foi encontrada, é um elemento probatório fraco e um alvo fácil de contestação. Esta aula aborda como planejar o trabalho com fontes abertas, realizá-lo sem expor a investigação, coletar itens com proveniência e documentar os resultados para que um tribunal possa utilizá-los.

Informações, inteligência e evidências de fontes abertas

O Protocolo de Berkeley sobre Investigações Digitais de Fontes Abertas, publicado em dezembro de 2020 pelo Human Rights Center da UC Berkeley School of Law em conjunto com o Escritório do Alto Comissariado das Nações Unidas para os Direitos Humanos, é a principal referência internacional para o trabalho com fontes abertas destinado a processos judiciais. O documento estabelece distinções que vale a pena adotar:

• Informações de fontes abertas são informações que qualquer pessoa pode observar, comprar ou solicitar, sem status jurídico especial nem acesso não autorizado.
• Inteligência de fontes abertas (OSINT) são informações de fontes abertas usadas principalmente para apoiar decisões, como onde concentrar os esforços ou o que solicitar.
• Evidências de fontes abertas são informações de fontes abertas com valor probatório, que podem ser utilizadas para estabelecer fatos em processos.

A maior parte da OSINT em um caso de criptoativos continua sendo inteligência: ela indica qual serviço abordar ou qual objeto investigar. Apenas os itens coletados e preservados segundo um padrão probatório podem se tornar evidências. Planeje isso desde a primeira busca, pois uma página que desaparece não pode ser coletada novamente.

Quanto à localização dos dados, a Convenção de Budapeste permite que uma Parte acesse dados de computador armazenados e publicamente disponíveis (fontes abertas), independentemente da localização geográfica desses dados (Artigo 32(a)). As regras nacionais sobre pesquisas on-line feitas por investigadores ainda se aplicam e variam entre os países; os assessores jurídicos da unidade definem essas regras.

Planejamento: o ciclo de inteligência

O trabalho com fontes abertas segue o ciclo de inteligência clássico: direcionamento (o que precisamos saber?), coleta, processamento, análise, disseminação e retorno às novas orientações. O Protocolo de Berkeley descreve as etapas investigativas como consultas on-line, avaliação preliminar, coleta, preservação, verificação e análise investigativa.

Antes de pesquisar, redija um breve plano de coleta no arquivo do caso:

O plano mantém a pesquisa concentrada no que a pergunta exige, em conformidade com a minimização de dados, que o Protocolo de Berkeley inclui entre seus princípios metodológicos, juntamente com a precisão, a preservação e a segurança desde a concepção. Também permite que o examinador explique por que uma fonte foi ou não pesquisada.

Postura de pesquisa: atribuível, não atribuível e encoberta

A forma como o investigador aparece on-line é importante para a segurança e para o caso.

O Protocolo de Berkeley recomenda que os investigadores minimizem seus rastros digitais e que as organizações forneçam uma infraestrutura devidamente anonimizada e não atribuível para pesquisas on-line. Também recomenda que os investigadores evitem a representação enganosa, como entrar em grupos fechados sob falsos pretextos, o que pode violar direitos de privacidade e comprometer uma investigação; esse tipo de trabalho exige autorização própria. Até mesmo uma consulta a um endereço suspeito em um explorador público informa ao operador do explorador que alguém está interessado; executar consultas sensíveis no próprio nó evita isso (veja a aula IDFE-BA APIs de nós e acesso a dados e a aula Ética, privacidade e segurança do investigador).

Técnicas de busca

Os mecanismos de busca oferecem operadores que restringem os resultados. A sintaxe e o suporte variam entre os mecanismos e mudam com o tempo, por isso registre a sequência exata da consulta com cada resultado.

Pontos práticos para casos de criptoativos:

• Pesquise endereços completos, com e sem aspas, em vários mecanismos de busca e dentro de repositórios de código e sites de publicação de texto. Os endereços são sequências longas e exclusivas, então um resultado raramente é uma coincidência, embora possa ser uma cópia (veja a aula Vinculação de identificadores on-chain e off-chain).
• Pesquise identificadores e suas variantes: sublinhados, dígitos e substituições comuns.
• Consulte arquivos da web. A Wayback Machine do Internet Archive e outros arquivos guardam versões anteriores de páginas, muitas vezes de antes de um site fraudulento remover seus endereços de depósito ou de um usuário de fórum editar uma publicação. As cópias de arquivos são, por sua vez, capturas de terceiros; cite a URL do arquivo e o horário da captura conforme registrado pelo arquivo.
• Capture primeiro, analise depois. As páginas ativas mudam e desaparecem, às vezes porque o investigado percebeu que há interesse.

Coleta com proveniência

Cada item coletado precisa conter informações suficientes para mostrar posteriormente o que era, de onde veio, quando e como foi capturado, e que não foi alterado. As Best Practices for Acquiring Online Content da SWGDE (documento 21-F-001) recomendam capturar a sequência completa de URLs, registrar as datas, os horários e o fuso horário do acesso, preservar os metadados, calcular o hash de cada arquivo adquirido usando algoritmos aprovados pelo NIST e documentar o examinador, o navegador e o IP de acesso. O Protocolo de Berkeley acrescenta que os investigadores devem registrar as ferramentas e os softwares utilizados.

Uma entrada do registro de coleta:

{
  "item_id": "OS-0007",
  "case_id": "CF-2026-0142",
  "url": "https://forum.example/t/48213?page=3#post-912",
  "query": "\"bc1q…7k3f\" site:forum.example",
  "captured_utc": "2026-03-06T10:41:12Z",
  "method": "captura de página completa + código-fonte HTML + WARC",
  "tool": "ferramenta de captura de código aberto v3.2, navegador 128",
  "files": [
    {"name": "OS-0007.warc.gz", "sha256": "5b0e…11d4"},
    {"name": "OS-0007.png", "sha256": "c3a9…7e20"}
  ],
  "archive_copy": "cópia solicitada ao arquivo da web em 2026-03-06T10:44Z",
  "posture": "não atribuível, estação de pesquisa RH-2",
  "collector": "EX-07",
  "note": "publicação datada de 2023-11-14 mostra o endereço na assinatura do usuário"
}

A entrada registra a URL completa, incluindo a âncora da publicação, a consulta exata que a encontrou, o horário da captura em UTC e o método usado para capturá-la. Ela preserva três formatos da página: um arquivo WARC (formato de arquivo da web padronizado como ISO 28500), que preserva a comunicação HTTP e é difícil de contestar; uma captura de tela que o leitor consegue compreender; e o código-fonte HTML. Cada arquivo tem um hash SHA-256 calculado no momento da captura. Solicitar uma cópia independente ao arquivo ao mesmo tempo gera um registro de terceiros da página. A observação distingue a data exibida na publicação, que é uma alegação da plataforma, do horário da captura, que é uma observação do próprio examinador.

Verificação e análise

Os itens coletados são alegações até serem verificados. O Protocolo de Berkeley recomenda que os investigadores estabeleçam se as informações são autênticas e avaliem cada item quanto à confiabilidade, relevância e valor probatório. Uma estrutura prática consiste em examinar a fonte (quem publicou e a conta é autêntica e estabelecida?), o conteúdo (é internamente consistente e coerente com outras informações?) e os rastros técnicos (metadados, estrutura da página, histórico do arquivo). Na OSINT de criptoativos, a blockchain oferece uma verificação independente robusta: se uma publicação datada de novembro de 2023 mostra um endereço, esse endereço já existia e se comportava de forma coerente com a publicação naquele momento? Uma publicação que divulga um endereço antes de ele receber fundos pela primeira vez é mais reveladora do que uma que aparece após um alerta público, quando qualquer pessoa poderia copiá-lo.

A análise então avalia explicações concorrentes: quem publicou controla o endereço; quem publicou copiou o endereço; a conta foi alvo de falsificação de identidade ou comprometida. Registre cada hipótese e as evidências a favor e contra ela, e classifique a força do vínculo resultante (veja a aula Do endereço à entidade e à pessoa).

Documentação de OSINT para o tribunal

Um elemento probatório de fonte aberta é defensável quando outro examinador consegue seguir o mesmo percurso e verificar cada item. O arquivo do caso deve conter:

1. O plano de coleta e quaisquer alterações feitas nele, com as respectivas justificativas.
2. O registro de coleta, com os hashes, e os arquivos capturados em armazenamento protegido, sob cadeia de custódia (veja as aulas Preservação de evidências on-chain e Hashing, registro e cadeia de custódia).
3. Anotações feitas no momento da pesquisa, incluindo buscas sem resultados, importantes quando a defesa perguntar o que mais foi consultado.
4. As etapas de verificação e seus resultados para cada item utilizado.
5. Uma declaração da postura adotada e de qualquer interação, confirmando que não houve acesso não autorizado nem representação enganosa.

No relatório, cite cada item pelo identificador, transcreva apenas o necessário e oculte a identidade de pessoas não envolvidas. Mantenha materiais de identificação de pessoas físicas em um anexo de acesso restrito, conforme descrito na aula IDFE-BA Proteção de dados, ética e divulgação responsável.

Foco no exame: informações, inteligência e evidências de fontes abertas conforme as definições do Protocolo de Berkeley (2020) e suas etapas investigativas; Artigo 32(a) da Convenção de Budapeste sobre dados publicamente disponíveis; o ciclo de inteligência e um plano de coleta por escrito com regras de encerramento; posturas atribuível, não atribuível e encoberta e por que o trabalho encoberto exige autorização específica; operadores de busca e registro da consulta exata; arquivos da web e captura antes da análise; registros de coleta com URL completa, horário UTC, método, versão da ferramenta, hashes SHA-256 e WARC (ISO 28500), de acordo com SWGDE 21-F-001; verificação da fonte, do conteúdo e dos aspectos técnicos, e uso da blockchain para testar alegações datadas; o que deve constar em um arquivo OSINT preparado para o tribunal.