Sistemas são atacados através de pessoas. A engenharia social (Bloco XIV) — hoje um dos vetores de comprometimento mais eficazes que existem — depende inteiramente de conhecer os alvos humanos: quem trabalha na organização, seus cargos, seus e-mails, seus interesses, seus hábitos. O OSINT de pessoas é a fase de reconhecimento que levanta esse retrato humano. É poderoso e, mais do que qualquer outro tema do curso, eticamente delicado — porque aqui lidamos com indivíduos, privacidade e o risco real de causar dano. Vou ensinar a técnica e, com igual peso, a linha que não se cruza.
Personalização é o que faz o phishing funcionar
Comecemos pelo porquê. Num ataque de phishing direcionado (spear phishing, aula Engenharia social e o SET: hackeando o humano), a diferença entre um e-mail genérico que ninguém abre e um e-mail sob medida que engana até o cauteloso está na personalização — e a personalização vem do OSINT. Saber o nome do gerente da vítima, o projeto em que ela trabalha, o evento que a empresa acabou de patrocinar, permite construir um pretexto crível. Por isso o reconhecimento humano é insumo direto de ataque, e por isso, num pentest autorizado que inclua engenharia social, ele é feito — dentro de limites rígidos que já vou detalhar.
As redes que as próprias pessoas alimentam
As fontes de OSINT de pessoas são, em sua maioria, redes que as próprias pessoas alimentam. O LinkedIn é a mina de ouro corporativa: revela o organograma (quem se reporta a quem), cargos, tecnologias que as pessoas listam como competências (vazando a stack interna), e a rede de contatos. Redes sociais pessoais revelam interesses, rotina, relações, localização. Fontes profissionais e públicas — registros, publicações, apresentações em eventos — adicionam camadas. E há as bases de vazamentos de dados: serviços como o Have I Been Pwned permitem verificar se um e-mail apareceu em vazamentos conhecidos, o que é legítimo e útil defensivamente. Aqui, porém, surge a primeira grande linha ética: verificar se um e-mail foi exposto num vazamento é uma coisa; buscar, comprar ou usar as senhas vazadas associadas é outra completamente diferente — e frequentemente ilegal, além de eticamente inaceitável.
Escopo redobrado quando o alvo é gente
E é neste ponto que preciso ser mais enfático do que em qualquer outro, porque o OSINT de pessoas é a área do curso onde o dano a seres humanos reais é mais direto e onde a fronteira legal é mais sensível. Três princípios inegociáveis:
Primeiro, escopo e autorização, com atenção redobrada a pessoas. Num pentest, o OSINT de funcionários só ocorre se as Regras de Engajamento o autorizarem explicitamente, e mesmo assim com limites — quais indivíduos, quão fundo, para qual finalidade. A organização contratante autoriza testes sobre seus sistemas e, dentro de acordos claros, sobre a suscetibilidade de seus funcionários à engenharia social; ela não pode (nem você deve) autorizar devassa ilimitada da vida privada de ninguém.
LGPD e minimização de dados
Segundo, LGPD e minimização. Dados sobre pessoas são dados pessoais, protegidos por lei. Você coleta o mínimo necessário para o objetivo do teste, protege rigorosamente o que coletou, usa apenas para o fim acordado, e descarta ao final. Acumular dossiês sobre indivíduos "porque pode ser útil" é violação de privacidade, não reconhecimento profissional.
A mesma técnica do stalker, outro propósito
Terceiro, e mais importante que todos: a fronteira entre OSINT profissional e vigilância abusiva. As mesmas técnicas que um pentester usa dentro de um escopo autorizado são as que um stalker, um assediador ou um criminoso usam para perseguir, intimidar ou prejudicar pessoas. A técnica é idêntica; o que a separa é o propósito legítimo, o consentimento organizacional e os limites legais. Rastrear, perfilar, localizar ou construir um caso sobre um indivíduo privado fora de um escopo autorizado não é hacking ético — é uma violação, e frequentemente um crime. Se em algum momento da sua carreira o "reconhecimento" começar a parecer perseguição a uma pessoa específica, você cruzou a linha, e a resposta certa é parar. Guarde isto acima de qualquer técnica desta aula: o poder de descobrir coisas sobre pessoas vem com o dever de não abusar dele.
Pegada digital e conscientização
Do lado defensivo, o OSINT de pessoas fundamenta duas contramedidas essenciais. Para indivíduos: consciência sobre a própria pegada digital — o que se publica, quanto se expõe, como isso pode ser agregado por alguém mal-intencionado. Para organizações: treinamento de conscientização (o funcionário que entende como o spear phishing é construído resiste melhor a ele), políticas sobre o que se compartilha publicamente, e — cada vez mais comum — a contratação de avaliações que incluem justamente medir e reduzir a exposição humana. A defesa contra a engenharia social começa muito antes do e-mail malicioso: começa em controlar o que o atacante consegue descobrir sobre as pessoas.
Fontes e leituras recomendadas
- Have I Been Pwned (haveibeenpwned.com) — verificação legítima de exposição em vazamentos
- OSINT Techniques — Michael Bazzell (referência, com forte ênfase em uso responsável)
- Materiais sobre LGPD aplicada a coleta de dados pessoais (site da ANPD)
- OWASP e SANS — guias de engenharia social ética em pentest
Exercícios
-
Por que o OSINT de pessoas é insumo direto para ataques de spear phishing? O que a personalização acrescenta?
✓ Resposta:Porque a eficácia do spear phishing depende de personalização crível, e a personalização vem do conhecimento sobre o alvo (nome do gerente, projetos, eventos). Isso transforma um e-mail genérico ignorável num pretexto sob medida capaz de enganar até pessoas cautelosas.
-
Que informações o LinkedIn tipicamente revela que são úteis para o reconhecimento de uma organização?
✓ Resposta:Revela o organograma (relações de reporte), cargos, competências técnicas listadas pelas pessoas (que vazam a stack interna) e a rede de contatos da organização.
-
Explique a distinção ética entre verificar se um e-mail apareceu num vazamento e usar as senhas vazadas associadas a ele.
✓ Resposta:Verificar se um e-mail foi exposto num vazamento é legítimo e útil defensivamente. Buscar, comprar ou usar as senhas vazadas associadas é distinto, frequentemente ilegal e eticamente inaceitável, pois constitui uso de credenciais para acesso não autorizado.
-
Enuncie os três princípios inegociáveis do OSINT de pessoas apresentados na aula.
✓ Resposta:(1) Escopo e autorização explícitos, com limites reforçados quando se trata de pessoas; (2) LGPD e minimização — coletar o mínimo necessário, proteger e descartar; (3) respeitar a fronteira entre OSINT profissional e vigilância abusiva, jamais perfilando ou perseguindo indivíduos fora de escopo autorizado.
-
Qual é a fronteira entre OSINT profissional e vigilância abusiva, e o que separa tecnicamente uma da outra?
✓ Resposta:A fronteira é o propósito legítimo, o consentimento organizacional e os limites legais. Tecnicamente as técnicas são idênticas às de um stalker ou criminoso; o que as separa não é o método, mas a autorização, a finalidade e o respeito à lei e à privacidade. Se o reconhecimento vira perseguição a um indivíduo, a linha foi cruzada.
