Golpes, páginas falsas e e-mails suspeitos deixam rastros técnicos que qualquer pessoa pode consultar em fonte aberta. Saber lê-los responde perguntas úteis, como quem registrou este site, onde ele está hospedado e se este e-mail veio mesmo de quem diz. Também é preciso saber o que eles não respondem.
Domínio
- Registro: no Brasil, o Registro.br mostra a data de criação e vencimento de domínios
.br, o titular quando é pessoa jurídica e o contato técnico. Para domínios internacionais, a consulta é o WHOIS ou o RDAP do registro. Muitos dados de pessoa física são ocultados por privacidade, e isso é normal. - DNS: os registros mostram o que o domínio faz. O tipo A e AAAA apontam o servidor, MX indica quem recebe e-mail, NS diz quem responde pelo domínio e TXT guarda, entre outras coisas, regras de autenticação de e-mail.
- Idade e histórico: domínio criado há poucos dias que imita uma marca conhecida é sinal clássico de golpe. O histórico de páginas anteriores pode estar em serviços de arquivo web.
- Certificados: os registros públicos de certificados TLS mostram outros nomes de site emitidos para o mesmo titular.
Endereço IP
- Um IP público identifica o ponto de saída de uma rede na internet, em geral de um provedor. Um IP privado (como os que começam com 10, 172.16 a 31 ou 192.168) só existe dentro de uma rede local e não diz nada na internet.
- Consultas de IP mostram o provedor e o bloco de endereços a que ele pertence, e uma localização aproximada.
- Uma página pode estar atrás de uma CDN ou de um serviço de proteção, e então o IP que você vê é do serviço, não do servidor de origem.
Cabeçalho de e-mail
Todo e-mail carrega um cabeçalho técnico, escondido por padrão, que registra o caminho que a mensagem fez. Nele você confere:
- a sequência de servidores por onde passou (leia de baixo para cima);
- o remetente real e o de resposta, que podem ser diferentes do nome mostrado;
- o resultado de SPF, DKIM e DMARC, as verificações que indicam se o domínio autorizou aquele envio. Falha nelas é indício de falsificação.
Limites que importam
- IP não é endereço de pessoa. A localização de um IP costuma apontar para a cidade do provedor, não para a casa. Descobrir quem usava um IP num dado momento depende do provedor e exige requisição legal ou ordem judicial.
- Domínio e e-mail não provam autoria. Quem pratica golpe usa dados de terceiros, serviços de privacidade e intermediários.
- Ferramentas de busca por e-mail ou usuário devolvem pistas, não certezas. Confirme em mais de uma fonte antes de ligar um e-mail a uma pessoa.
- Não acompanhe pessoas em tempo real. Este artigo trata de infraestrutura. Localizar alguém por IP ou por rede sem fim legítimo e amparo legal não é investigação, é risco para ela e para você.
- Não interaja com o alvo. Abrir a página suspeita ou clicar no link do e-mail pode avisar quem montou o golpe e expor seu ambiente. Use ambiente separado e consulte por serviços externos.
Um roteiro curto
- Anote o domínio, o IP ou o cabeçalho exatamente como recebeu, com data e hora.
- Consulte o registro e o DNS, e salve a resposta.
- Veja o provedor e se há CDN ou proteção na frente.
- Procure outros domínios com o mesmo titular, contato ou servidor.
- Registre fonte e grau de confiança de cada ligação, como no artigo sobre avaliar fontes.
- Encaminhe o que for crime ao órgão competente, com o material preservado.
Texto elaborado pela comunidade OSINT Rio a partir do conteúdo do curso de pós-graduação em OSINT da WB Educação (professor Wagner Lucena), com autorização.