Ferramentas OSINT: 12 opções gratuitas que os pros usam

O que são ferramentas OSINT?

Ferramentas OSINT são softwares que coletam e correlacionam informações de fontes públicas: registros DNS, logs de transparência de certificados, perfis de redes sociais, bases de vazamentos, repositórios de código e índices de buscadores. Elas automatizam consultas que uma pessoa poderia fazer à mão e depois ligam os resultados para que os padrões fiquem visíveis.

A palavra "abertas" faz trabalho real aí. Uma ferramenta OSINT consulta fontes que qualquer um tem direito de consultar. No momento em que ela ataca uma tela de login por força bruta ou varre portas de um host que você não tem autorização para tocar, deixou de ser OSINT e virou teste ativo, com base legal diferente.

A MITRE acompanha essa atividade formalmente. A tática Reconnaissance (TA0043) do framework ATT&CK contém 12 técnicas, e a maioria descreve coleta puramente passiva: consultar bases técnicas abertas, reunir informações de identidade, explorar sites do próprio alvo. Adversários reais gastam bastante tempo aqui, o que é um bom argumento para defensores e pentesters fazerem o mesmo.

OSINT também não é uma varredura de vulnerabilidades. Um scanner diz que um host roda um OpenSSH desatualizado. OSINT diz que o host existe, quem o administra e como ele é chamado internamente.

Como escolher uma ferramenta OSINT

Escolha a ferramenta pela pergunta que você está respondendo, não pela contagem de estrelas no GitHub. Quase toda investigação se reduz a uma de quatro perguntas, cada uma com um conjunto pequeno de ferramentas que a responde bem.

Siga essa ordem. A infraestrutura define a fronteira de todo o resto, nomes de funcionários alimentam o formato de e-mail, endereços de e-mail alimentam as buscas por vazamentos, e a mídia normalmente confirma uma hipótese em vez de gerar uma.

Na prática, você vai usar talvez cinco ferramentas em 90% dos trabalhos. As outras trinta existem para aquela investigação anual em que o alvo só aparece numa plataforma regional obscura.

Ferramentas OSINT de infraestrutura: mapeando a superfície de ataque

Todo trabalho começa aqui. O objetivo é uma lista de hostnames, faixas de IP e serviços que pertencem ao alvo, montada sem enviar tráfego para o alvo em si.

OWASP Amass

Amass é um projeto OWASP Flagship e o mais próximo de um padrão que o OSINT tem para descoberta de ativos. Ele consulta dezenas de fontes de dados, correlaciona os resultados e monta um grafo da pegada externa do alvo. O modo passivo nunca toca o alvo:

amass enum -passive -d example.com

Numa empresa de porte médio, espere algumas centenas de subdomínios em poucos minutos. O Amass 5.x adicionou um banco de ativos, então os resultados persistem entre execuções em vez de exigir nova enumeração. Adicione chaves de API do SecurityTrails, Shodan e VirusTotal no arquivo de configuração e o retorno sobe bastante. Sem chaves ainda funciona, só mais magro.

Logs de transparência de certificados (crt.sh)

Todo certificado TLS publicamente confiável emitido desde 2018 é registrado num log de transparência de certificados público e somente-adição. Ou seja, o certificado que um administrador emitiu discretamente para staging-internal.example.com é registro público. O serviço crt.sh pesquisa esses logs e não exige conta:

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

Esse único comando tem a melhor relação sinal/esforço de todo o OSINT. Ele traz rotineiramente hosts de desenvolvimento, homologação e administração que nunca aparecem em wordlists de força bruta de DNS, porque ninguém adivinha jenkins-prod-eu-west-1. Quando só tenho cinco minutos num alvo novo, é este o comando que rodo.

theHarvester

O theHarvester extrai e-mails, subdomínios, hostnames e nomes de funcionários de mais de 50 fontes passivas, incluindo transparência de certificados, DuckDuckGo, HackerTarget e Shodan. Ele vem no Kali, então não há nada para instalar:

theHarvester -d example.com -b crtsh,hackertarget,duckduckgo

A coleta de e-mails é o verdadeiro atrativo. Dois ou três endereços confirmados revelam a convenção de nomes (nome.sobrenome@, nsobrenome@, nome@), e essa convenção somada a uma lista de funcionários do LinkedIn vira uma lista de contas num trabalho de red team autorizado.

Shodan

O Shodan indexa banners de serviço de hosts conectados à internet em vez de páginas web, o que faz dele um buscador de infraestrutura. O valor está nos filtros:

ssl.cert.subject.CN:"example.com" 200
org:"Example Inc" port:22

A primeira consulta encontra todo host que apresenta um certificado para o domínio, inclusive os sem registro DNS apontando para eles. A segunda lista SSH exposto em hosts atribuídos à organização. Os filtros exigem conta gratuita, o que é uma troca justa.

Confirme os resultados com uma varredura ativa quando estiver autorizado, porque os dados do Shodan podem ter semanas. Nosso guia rápido de Nmap cobre as combinações de flags para isso.

Ferramentas OSINT de pessoas e contas

A infraestrutura diz o que atacar. As pessoas dizem como você vai entrar, porque phishing e reuso de credenciais superam exploits na maioria dos trabalhos reais.

Sherlock

O Sherlock recebe um nome de usuário e o verifica em mais de 400 redes sociais, informando quais têm conta com aquele handle. A versão 0.16.0 roda as verificações em paralelo, então uma varredura completa leva menos de um minuto:

sherlock target_username

A saída exige filtragem humana. Handles comuns produzem dezenas de acertos sem relação, e alguns sites retornam 200 para qualquer nome. O Sherlock dá pistas, não conclusões. Trate um acerto como algo que vale abrir no navegador, nunca como prova de identidade.

WhatsMyName

O WhatsMyName é a base de dados sobre a qual a maioria das ferramentas de busca de usuários realmente é construída. Micah Hoffman começou o projeto em 2015, e hoje ele cobre mais de 700 sites num único arquivo JSON mantido pela comunidade, que especifica exatamente como é uma resposta positiva e negativa em cada site. Esse detalhe de detecção é o motivo de ele gerar menos falsos positivos que ferramentas que só checam HTTP 200.

A versão de navegador em whatsmyname.app não exige instalação e filtra por categoria, o que importa quando só interessam plataformas de desenvolvedores em vez dos 700 sites.

holehe

O holehe inverte a pergunta: dê a ele um endereço de e-mail e ele diz quais, entre mais de 120 serviços, têm conta registrada com aquele endereço. Funciona observando como os fluxos de recuperação de senha e cadastro respondem a um endereço conhecido versus desconhecido.

holehe [email protected]

Esta é a ferramenta mais barulhenta da lista. Algumas verificações disparam um e-mail de recuperação de senha para o alvo, o que pode ser aceitável numa avaliação autorizada de engenharia social e é um jeito rápido de alertar seu investigado numa etapa de reconhecimento discreta. Leia o que cada módulo faz antes de rodá-lo em massa.

Ferramentas de e-mail e dados de vazamentos

Um endereço de e-mail não é só um meio de contato. É uma chave de junção que liga uma pessoa entre bases de vazamentos, commits de código e cadastros em fóruns.

Have I Been Pwned é a fonte de referência. Em agosto de 2026 ele indexa 1.022 sites comprometidos cobrindo 17.765.749.944 contas, e oferece uma busca por domínio que permite ao dono verificado ver todo endereço da organização que aparece em algum vazamento. Para um defensor escrevendo uma política de troca de senhas, esse único relatório vale mais que a maioria dos feeds pagos de inteligência.

O Hunter mapeia domínios para formatos de e-mail a partir de fontes públicas na web, respondendo "como é um endereço nesta empresa" mais rápido que reconstruir isso a partir de releases de imprensa. O plano gratuito limita as buscas mensais: suficiente para um trabalho, não para volume.

Repositórios de código também entram nesta etapa, porque desenvolvedores sobem segredos para eles o tempo todo. Uma busca no GitHub pelo domínio do alvo junto de password, api_key ou BEGIN RSA PRIVATE KEY encontra credenciais válidas com mais frequência do que alguém gostaria. O histórico do Git é a armadilha específica: um segredo removido num commit posterior continua no histórico do repositório, perfeitamente legível.

Ferramentas de imagem, documento e metadados

Arquivos carregam mais do que seu conteúdo. Uma foto pode guardar coordenadas GPS, número de série da câmera e data de criação. Um PDF pode nomear o autor, a versão do software e o caminho interno de onde foi salvo.

O ExifTool, de Phil Harvey, lê metadados de praticamente todo formato que tenha algum:

exiftool photo.jpg

Procure GPSLatitude, GPSLongitude, CreateDate e Model. Em documentos, Author e Creator costumam vazar um nome de usuário interno que combina com o formato de conta corporativa, uma ponte limpa entre um PDF público e um usuário válido.

Ajuste as expectativas sobre dados de GPS, porém. Instagram, Facebook, X e a maioria das plataformas modernas removem o EXIF no upload. Coordenadas GPS sobrevivem em arquivos baixados do próprio site da empresa, enviados como anexo de e-mail ou hospedados em plataformas menores que nunca implementaram a limpeza. Na prática, PDFs corporativos vazam muito mais metadado útil que fotos de redes sociais.

Quando os metadados somem, a própria imagem vira a pista. A busca reversa no Google Imagens, Yandex e TinEye cobre índices diferentes, e o Yandex é nitidamente mais forte em rostos e conteúdo não ocidental. Depois disso é trabalho manual: placas, letreiros, tomadas elétricas, vegetação, a direção das sombras.

Google dorking: a ferramenta OSINT que você já tem

Nenhuma ferramenta instalada supera uma consulta de busca bem construída. Google dorking é usar operadores de busca para encontrar conteúdo que o dono do site nunca quis ver indexado, e não custa nada.

• site:example.com -www lista subdomínios indexados além do site principal.
• site:example.com filetype:pdf traz todo PDF indexado, cada um carregando metadados.
• intitle:"index of" site:example.com encontra listagens de diretório deixadas abertas.
• site:pastebin.com "example.com" pega arquivos de configuração e dumps de credenciais vazados.
• site:linkedin.com/in "Example Inc" "engineer" monta uma lista de funcionários sem conta no LinkedIn.

A Google Hacking Database no Exploit-DB cataloga milhares desses padrões por categoria, de painéis administrativos expostos a diretórios sensíveis. Passe os olhos uma vez e você vai começar a reconhecer os formatos em vez de copiar consultas.

Duas observações práticas. Rode a mesma consulta no Bing e no DuckDuckGo, já que os índices diferem e o Bing costuma manter páginas que o Google descartou. E espere um CAPTCHA depois de uma rajada de buscas cheias de operadores: isso é limitação de taxa, não bloqueio, e desacelerar resolve.

Frameworks de automação: SpiderFoot, Recon-ng e Maltego

Depois que você sabe o que cada ferramenta faz, os frameworks as encadeiam e correlacionam a saída. Eles economizam tempo, não substituem o entendimento das consultas por trás.

O SpiderFoot (versão 4.0) roda mais de 200 módulos contra um alvo e apresenta os resultados numa interface web. A maioria dos módulos não precisa de chave de API. Suba o servidor localmente e conduza tudo pelo navegador:

spiderfoot -l 127.0.0.1:5001

Uma varredura completa de domínio devolve um volume enorme de resultados, boa parte ruído. A visão de correlação é o que faz valer a pena, agrupando achados em categorias como credenciais expostas e certificados prestes a vencer em vez de despejar registros brutos.

O Recon-ng usa um sistema de módulos familiar para quem já usou Metasploit, com um banco de workspace que persiste entre sessões. Escolha-o quando quiser coleta scriptada e repetível, consultável em SQL depois.

O Maltego é a ferramenta de grafo. Ele desenha relacionamentos visualmente, o que se paga quando a investigação envolve pessoas ligadas a empresas ligadas a domínios ligados a mais pessoas. A Community Edition é gratuita e inclui 200 créditos mensais para consultar o Maltego Data: o bastante para aprender a interface e conduzir uma investigação pequena, não o bastante para trabalho profissional contínuo.

Uma opinião firme, já que sempre perguntam. O mapa mental OSINT Framework em osintframework.com é o recurso de OSINT mais linkado da internet e um dos menos úteis para conduzir uma investigação de verdade. É um diretório de links, e boa parte deles aponta para serviços que fecharam anos atrás. Use-o para descobrir uma categoria de ferramenta que você não conhecia, não como método de trabalho.

Montando um fluxo OSINT que não desperdiça tempo

As ferramentas são a parte fácil. O modo de falha em OSINT é acumular uma montanha de dados e não transformar nada disso em achado.

1. Escreva a pergunta primeiro. "Mapear a superfície de ataque externa de example.com" é uma pergunta. "Achar coisas sobre example.com" não é, e produz uma saída que ninguém consegue usar.
2. Colete a infraestrutura passivamente. crt.sh, depois Amass em modo passivo, depois Shodan. Salve a saída bruta em arquivos com a data no nome.
3. Construa a camada humana. Nomes de funcionários, formato de e-mail, depois nomes de usuário. Cada etapa alimenta a seguinte.
4. Correlacione antes de expandir. Procure a sobreposição entre as duas camadas: o desenvolvedor cujo handle no GitHub combina com o padrão dos subdomínios, o host de homologação com nome de funcionário embutido.
5. Registre a fonte de cada achado. Uma afirmação sem fonte num relatório OSINT não vale nada, porque o cliente não consegue verificar e você não consegue reproduzir daqui a seis meses.

A etapa cinco é a que as pessoas pulam e depois lamentam. Mantenha um arquivo de notas com a URL, o horário e uma captura de tela de tudo que possa sumir. Posts apagados e repositórios removidos são exatamente os achados que valem a pena, e exatamente os que evaporam antes de o relatório sair.

Defina também um orçamento de tempo por etapa. OSINT se expande para ocupar todo o tempo que você der, e um pentester que gasta dois dias em reconhecimento num trabalho de cinco dias cometeu um erro de escopo, não um feito de rigor.

Considerações legais e éticas

Ler um perfil público do LinkedIn é inequivocamente legal. Agregar centenas deles num dossiê sobre pessoas nomeadas entra no direito de proteção de dados, e sob o GDPR esse tratamento exige base legal, independentemente de cada fonte ter sido pública.

• Nunca crie perfis falsos para acessar conteúdo não público, a menos que o contrato do trabalho permita isso explicitamente.
• Fique passivo salvo autorização. No momento em que uma ferramenta dispara um e-mail de recuperação de senha ou varre uma porta, você saiu do OSINT.
• Guarde os dados pessoais coletados com o mesmo cuidado que os sistemas do cliente teriam, e apague-os quando o trabalho encerrar.
• Investigar um particular por curiosidade não é pesquisa. É perseguição, e as ferramentas não se importam com a sua intenção.

Para um framework formal, o NIST SP 800-115 trata a coleta de informações como parte de uma avaliação técnica com escopo definido e é uma referência razoável para citar num documento de regras de engajamento.