Todo arquivo carrega mais informação do que seu conteúdo visível. Escondidos dentro de documentos, fotos e planilhas há metadados — "dados sobre os dados" — que registram quem criou o arquivo, quando, com qual software, em qual computador, e às vezes onde. As organizações publicam documentos o tempo todo (relatórios, manuais, comunicados) sem imaginar que estão vazando, junto, um retrato de sua infraestrutura interna e de seu pessoal. Esta aula fecha as técnicas de coleta do bloco mostrando como extrair esse tesouro invisível — reconhecimento passivo puro, pois você analisa arquivos já públicos.

O que os metadados denunciam

O que exatamente os metadados revelam? Depende do tipo de arquivo, mas o padrão assusta. Documentos de escritório (Word, Excel, PDF) frequentemente registram: o nome de usuário de quem criou e editou (que muitas vezes é o login corporativo da pessoa — insumo direto para ataques de autenticação), o software e a versão usados para criar (vazando a stack: qual suite de escritório, qual versão, o que por sua vez sugere o sistema operacional), caminhos de arquivo internos (revelando estrutura de pastas e nomes de servidores), e datas. Imagens carregam metadados EXIF: modelo da câmera ou celular, data e hora, configurações e — o mais sensível — coordenadas de GPS de onde a foto foi tirada, se a geolocalização estava ativa. Uma única foto publicada pode revelar a localização física exata de onde foi capturada.

Extrair com o exiftool

A extração é simples com as ferramentas certas. A mais universal é o exiftool, que lê metadados de praticamente qualquer tipo de arquivo:

exiftool documento.pdf        # todos os metadados de um PDF
exiftool foto.jpg             # metadados EXIF, incluindo GPS se presente
exiftool *.docx               # em lote, sobre vários arquivos

FOCA e a coleta em escala

O retorno lista dezenas de campos — autor, criador, software, datas, e para imagens, potencialmente latitude e longitude. Para reconhecimento em escala, existe uma ferramenta pensada exatamente para isto: o FOCA (e alternativas como o metagoofil), que automatiza o processo completo: busca documentos públicos de um domínio (usando os dorks da aula Google Dorking: o buscador como ferramenta de invasão), baixa-os e extrai os metadados de todos de uma vez, consolidando num relatório. O resultado é revelador — a partir dos documentos que uma empresa publicou no próprio site, você reconstrói uma lista de nomes de usuário internos, os softwares e versões em uso, nomes de servidores e impressoras, e a estrutura de diretórios. Tudo isso sem tocar na infraestrutura do alvo, apenas analisando o que ele mesmo disponibilizou.

O valor ofensivo agregado

Pense no valor ofensivo agregado. Os nomes de usuário extraídos alimentam ataques de força bruta e password spraying (Bloco VII) — você não está mais adivinhando quem são os usuários, você tem a lista. As versões de software apontam vulnerabilidades conhecidas (aula CVE, CVSS e CWE: a linguagem das vulnerabilidades). Os nomes de servidores e caminhos internos dão pistas da topologia da rede que você vai enfrentar na fase ativa. E as coordenadas GPS de imagens podem ter implicações de segurança física ou de privacidade de indivíduos. É o mesmo princípio recorrente do bloco: fragmentos aparentemente inócuos, agregados, formam inteligência acionável — e os metadados são fragmentos que ninguém sabe que está entregando.

GPS na foto e o padrão de deslocamento

Há um caso particularmente instrutivo que amarra metadados à lição sobre OSINT de pessoas: fotos publicadas por funcionários (ou pela própria organização) com GPS ativo podem revelar localizações sensíveis, e a agregação de metadados de imagens de uma pessoa pode expor padrões de deslocamento. Isso reforça a fronteira ética do OSINT de pessoas — metadados são uma via silenciosa de vazamento de privacidade individual, e o mesmo cuidado e limites de escopo se aplicam.

Higienizar antes de publicar

Do lado defensivo, a contramedida é clara, barata e quase sempre negligenciada: higienização de metadados (metadata scrubbing) antes de publicar qualquer arquivo. Ferramentas e recursos dos próprios softwares de escritório permitem remover propriedades e informações pessoais de documentos antes da divulgação; o próprio exiftool remove metadados (exiftool -all= arquivo). Organizações maduras têm processos automáticos que limpam metadados de tudo que vai para o público, e desativam geolocalização em fotos corporativas. A regra é simples: antes de um arquivo sair para o mundo, pergunte o que ele carrega além do conteúdo. E, como em todo o bloco, a melhor forma de descobrir a própria exposição é fazer o exercício do atacante contra si mesmo — rodar o FOCA/metagoofil sobre o próprio domínio e ver o que se está vazando.

Fontes e leituras recomendadas

  • exiftool (exiftool.org) — a ferramenta canônica de leitura/remoção de metadados
  • FOCA e metagoofil — automação de coleta e extração de metadados de documentos
  • OSINT Techniques — Bazzell (seções sobre documentos e imagens)
  • Document Inspector do Office — como remover metadados e informação oculta antes de publicar um arquivo (uso defensivo)

Exercícios

  1. O que são metadados, e por que uma organização "vaza" informação ao publicar documentos sem perceber?

    ✓ Resposta:

    Metadados são "dados sobre os dados" embutidos nos arquivos (autor, software, datas, localização). A organização vaza informação porque publica documentos considerando apenas o conteúdo visível, sem perceber que os metadados embutidos revelam detalhes internos.

  2. Cite três tipos de informação que documentos de escritório costumam registrar nos metadados, e o valor ofensivo de cada um.

    ✓ Resposta:

    Exemplos: nome de usuário do criador (frequentemente o login corporativo — insumo para ataques de autenticação); software e versão (vazam a stack e sugerem o SO, apontando vulnerabilidades); caminhos de arquivo/nomes de servidores internos (revelam topologia). (Também datas.)

  3. O que são metadados EXIF em imagens, e qual campo tem implicação de privacidade/segurança física mais direta?

    ✓ Resposta:

    São metadados embutidos em imagens (câmera, data/hora, configurações). O campo de coordenadas GPS é o de implicação mais direta, pois revela a localização física exata onde a foto foi tirada.

  4. O que uma ferramenta como o FOCA automatiza, e que retrato da organização ela consegue reconstruir sem tocar na infraestrutura?

    ✓ Resposta:

    Automatiza a busca de documentos públicos de um domínio, o download e a extração de metadados de todos eles, consolidando o resultado. Reconstrói uma lista de nomes de usuário internos, softwares e versões, nomes de servidores/impressoras e estrutura de diretórios — tudo a partir de arquivos que a própria organização publicou.

  5. Qual a contramedida defensiva contra vazamento por metadados, e como uma organização pode descobrir sua própria exposição?

    ✓ Resposta:

    A higienização de metadados (metadata scrubbing) antes de publicar qualquer arquivo, além de desativar geolocalização em fotos corporativas. A organização descobre a própria exposição rodando as mesmas ferramentas de extração (FOCA/metagoofil/exiftool) sobre o próprio domínio.