Quem investiga também é alvo. A pessoa que você procura, a plataforma onde você procura e até um curioso podem enxergar o que você faz. OPSEC, de operations security, é o hábito de pensar nisso antes, e não depois do susto.
A ferramenta ajuda, mas não resolve sozinha. Na prática, o comportamento do investigador costuma ser o elo mais fraco: a conta pessoal logada na mesma janela, a foto postada com a localização aberta, o Wi-Fi do café usado para abrir um perfil sensível.
De onde vem o termo
OPSEC nasceu no meio militar, na guerra do Vietnã, como um processo para descobrir que informações o adversário poderia juntar a partir das nossas ações e como impedir isso. Hoje vale para qualquer pessoa que trabalha com informação sensível, de jornalista a perito.
Os cinco passos
- Identifique a informação crítica. O que, se vazar, derruba a sua investigação ou expõe você? Seu nome, seu endereço de rede, o alvo, o caso.
- Analise a ameaça. Quem poderia querer essa informação? O investigado, uma organização criminosa, uma empresa, um curioso.
- Analise a vulnerabilidade. Por onde essa informação escapa? Metadados, histórico de navegação, redes sociais, e-mail institucional.
- Avalie o risco. Qual a chance de dar errado e o que se perde se der? Isso decide quanto esforço vale a pena.
- Aplique a contramedida. Só agora entram navegador separado, VPN, máquina virtual e afins, na medida do risco que você mediu.
Perguntas antes de começar
Responda por escrito, em cinco minutos:
- Qual é a minha missão neste caso?
- Contra quem estou me protegendo: um indivíduo, um grupo, uma empresa, o Estado?
- Quanto essa pessoa ou esse grupo entende de tecnologia?
- Se me identificarem, o que pode se voltar contra mim ou contra quem trabalha comigo?
- O que existe sobre mim na internet hoje? (Veja o artigo sobre fazer OSINT sobre você mesmo.)
O que quase sempre denuncia o investigador
- Conta pessoal aberta no mesmo navegador da investigação.
- Origem de conexão exposta: o IP de casa ou da empresa aparecendo em registros de acesso.
- Metadados e geolocalização que acompanham arquivos e fotos.
- Histórico, cookies e a chamada impressão digital do navegador, que identifica o seu aparelho mesmo sem login.
- Falar do caso em lugar público, em grupo de mensagem ou em rede social.
Por onde começar
Comece pelo básico, que custa pouco: um navegador ou perfil só para investigar, conta pessoal fora dele, atualizações em dia, senha forte com autenticação em dois fatores e atenção redobrada com Wi-Fi público. Só depois pense em máquina virtual e outras camadas. Vale conferir também as Dicas de Campo.
OPSEC não é paranoia nem é anonimato perfeito. É decidir, com antecedência e com base em risco, o que você aceita expor.
Texto elaborado pela comunidade OSINT Rio a partir do conteúdo do curso de pós-graduação em OSINT da WB Educação (professor Wagner Lucena), com autorização.