Ferramentas OSINT open source: as que valem, com licença

Toda semana circula um post com a mesma promessa: três ferramentas OSINT que vão mudar a sua forma de investigar. O carrossel tem capa de mapa vermelho, engajamento alto, e em nenhum slide aparece o nome das ferramentas. Para receber, comente uma palavra.

Essa é a versão que funciona como isca. A versão útil é chata: nome, link, licença e o que a ferramenta não faz.

O trabalho difícil em OSINT nunca foi rodar o comando. É saber que pergunta você está respondendo e conseguir provar depois de onde veio cada achado.

Antes das ferramentas: a pergunta

Ferramenta de OSINT produz volume com facilidade. Em uma hora você tem milhares de linhas e nenhuma conclusão.

A diferença entre coleta e investigação é uma frase escrita antes de começar: o que eu quero saber e o que eu vou fazer com a resposta. "Mapear o que da nossa empresa está exposto para priorizar correção" é uma pergunta. "Ver o que aparece sobre a empresa X" não é, e o resultado dela é uma pasta que ninguém abre de novo.

Se o conceito ainda for novo, o blog tem a base em o que é OSINT. O que vem abaixo é a camada de ferramenta.

As três ferramentas OSINT consolidadas

Três observações que costumam faltar nas listas:

• Amass e theHarvester se sobrepõem menos do que parece. O primeiro é mais fundo em infraestrutura, o segundo mais amplo em fontes. Quem usa os dois no mesmo alvo costuma encontrar coisas diferentes.
• SpiderFoot é o mais fácil de começar e o mais fácil de usar mal. Ligar todos os módulos contra um alvo gera muito ruído e algumas consultas ativas que você talvez não queira fazer sem autorização.
• A licença importa se você for revender. SpiderFoot sob MIT permite construir produto fechado em cima. theHarvester sob GPL v2 não, e essa distinção é o assunto de licenças open source.

Investigação em grafo: a categoria que mudou

Lista é um formato ruim para investigação, porque o que interessa quase sempre é a relação entre duas coisas, não cada coisa isolada. A ferramenta que consagrou essa forma de trabalhar é comercial e cara, o que sempre deixou uma lacuna do lado aberto.

O Flowsint entra aí: plataforma de investigação em grafo, com instalação própria via Docker e licença Apache 2.0, verificada no arquivo de licença do repositório. A proposta é a mesma do modelo clássico, partir de uma entidade e expandir para as relacionadas.

Duas ressalvas honestas, porque o projeto é novo:

• Existem vários forks quase idênticos circulando. O repositório de origem é reconurge/flowsint, e vale conferir antes de clonar.
• Confirme a maturidade antes de recomendar para cliente: quais expansões já vêm prontas, se há autenticação para múltiplos usuários e qual o histórico de commits além do pico recente.

O detalhe que chama atenção para uso corporativo é a presença de um documento de ética no repositório. Parece secundário e não é: em trabalho profissional, ter o limite de uso escrito pelo próprio projeto é algo que se cita quando alguém pergunta até onde a ferramenta vai.

O que está em toda lista e não é open source

Duas correções que evitam constrangimento:

• Shodan não é open source. É um serviço comercial de busca de dispositivos e serviços expostos na internet, com API paga. Continua sendo uma das fontes mais úteis que existem, e entra na lista como serviço, com custo, não como projeto aberto.
• Have I Been Pwned é um serviço, não um projeto que você instala. Consulta gratuita de endereços em vazamentos conhecidos. Em 22 de setembro de 2026, a home do serviço exibia 1.038 sites e cerca de 17,8 bilhões de endereços comprometidos. São contadores vivos, então cite sempre com a data da leitura.

O Have I Been Pwned merece um parágrafo a mais porque é a melhor ferramenta de conscientização que existe: qualquer pessoa entende o que aconteceu ao digitar o próprio e-mail. E ele vem com uma regra de higiene que vale repetir em treinamento: site que pede a sua senha para verificar se ela vazou é golpe. Verificação legítima nunca pede a senha.

Onde isso encosta na LGPD

Coletar informação pública é legal. Tratar dado pessoal, mesmo público, tem regra.

A consequência prática para quem faz OSINT profissionalmente:

1. Finalidade declarada antes da coleta. Anote para quê, no início do trabalho.
2. Base legal identificada. Em trabalho contratado, costuma ser execução de contrato ou legítimo interesse, e legítimo interesse exige avaliação registrada.
3. Retenção com prazo. Material de investigação guardado para sempre é passivo.
4. Segurança do que você coletou. A pasta da investigação concentra dado pessoal de várias pessoas e costuma ficar no notebook de alguém.
5. Separação entre o que é relevante e o que é curiosidade. Coletar tudo que a ferramenta traz e guardar por precaução é exatamente o oposto do princípio de minimização.

O enquadramento completo está em LGPD para PMEs, e o ponto específico de OSINT é que a origem pública não desobriga de nada.

O uso mais barato: apontar para dentro

A aplicação com melhor retorno é a mais simples e a menos comentada. Rode o levantamento contra a sua própria empresa.

• Quantos subdomínios existem, e quantos você lembrava que existiam.
• Que serviços estão alcançáveis da internet, incluindo painéis administrativos que deveriam estar restritos.
• Que e-mails corporativos aparecem em vazamentos públicos, e o que isso implica em MFA e em troca de senha.
• Que documentos indexados contêm informação que deveria ser interna.

O resultado costuma ser a lista de correções mais concreta que a equipe de TI recebe no ano, e ela custa uma tarde. É também a preparação para a conversa que vem depois, sobre priorizar o que corrigir primeiro, tratada em gestão de vulnerabilidades.

O ponto que fica

Lista de ferramenta é a parte fácil, e é por isso que ela vira isca de engajamento com tanta frequência.

O que separa coleta de investigação continua sendo o que ninguém consegue empacotar em carrossel: uma pergunta escrita antes de começar, autorização quando a coleta deixa de ser passiva, e o registro de fonte, data e captura em cada achado. Sem isso, o que você tem é um diretório grande e nenhuma conclusão que se sustente.