É um centro de comando, físico ou virtual, onde analistas acompanham em tempo real o que acontece dentro da organização e fora dela. Os telões mostram eventos de segurança, ataques no mundo, menções à marca, vazamentos e atividade de perfis em redes sociais, e o time decide o que investigar, bloquear ou comunicar.

Quatro disciplinas se combinam:

• SOC e SIEM: coleta e correlaciona logs de servidores, rede, e-mail e identidade para detectar incidentes dentro do ambiente.
• CTI (inteligência de ameaças): transforma indicadores e relatórios sobre atacantes em contexto útil, como quem ataca o seu setor e com quais técnicas.
• OSINT e SOCMINT: coleta e valida informação pública, inclusive em redes sociais, para identificar fraudes, perfis falsos e riscos a pessoas e à marca.
• DRP (proteção contra riscos digitais): vigia domínios parecidos com o seu, aplicativos falsos, credenciais à venda e vazamentos.

O SIEM enxerga o que já chegou ao seu ambiente; o OSINT e a CTI enxergam o que está sendo preparado do lado de fora. A sala de situação existe para unir as duas visões.

O que se monitora

São sete frentes de monitoramento, cada uma com uma pergunta que a sala precisa responder o tempo todo.

O que não se monitora também importa: a sala trabalha sobre fontes abertas e sobre ativos da própria organização, nunca sobre acesso indevido a contas, dispositivos ou sistemas de terceiros.

Proteção eficaz para empresas

A proteção eficaz combina prevenção, detecção e resposta, com a inteligência da sala alimentando as três camadas. Nenhuma ferramenta isolada resolve; o que funciona é o ciclo contínuo.

Prevenir

• Gestão de ativos e de superfície de ataque: saber o que existe exposto na internet antes que um atacante descubra.
• Autenticação forte (MFA), menor privilégio e gestão de acessos de terceiros.
• Correção priorizada por exploração real, usando a CTI para decidir o que corrigir primeiro.
• Treinamento contra engenharia social e phishing, com simulações periódicas.
• Proteção da marca: registro defensivo de domínios, DMARC/SPF/DKIM e vigilância de domínios parecidos.

Detectar

• SIEM com casos de uso ligados ao MITRE ATT&CK (login impossível, escalada de privilégio, exfiltração).
• Monitoramento contínuo de vazamentos, credenciais expostas e menções à empresa.
• Alertas de fraude e de perfis falsos, com triagem por gravidade.

Responder

• Plano de resposta a incidentes com papéis, contatos e prazos definidos, testado em exercícios.
• Contenção rápida: revogar credenciais, derrubar domínio ou perfil falso, isolar máquinas.
• Preservação de evidências com cadeia de custódia, para uso jurídico e regulatório.
• Comunicação a titulares e à ANPD quando houver incidente com dados pessoais, conforme a LGPD.

As referências mais usadas para estruturar isso são o NIST Cybersecurity Framework, a ISO/IEC 27001 e o MITRE ATT&CK.

Proteção eficaz para pessoas

Para pessoas, a proteção parte de uma pergunta simples: o que um atacante consegue descobrir sobre você e sua família hoje, só com fontes abertas? O trabalho é reduzir essa exposição e vigiar o que aparece.

1. Mapear a pegada digital: perfis, e-mails, telefones, endereços em cadastros públicos, fotos com localização e dados de familiares.
2. Reduzir a exposição: remover dados de corretores e sites de busca, restringir perfis, separar e-mail e telefone pessoais dos profissionais.
3. Blindar contas: MFA em todas, gerenciador de senhas, proteção do chip contra troca (SIM swap) e alertas de login.
4. Vigiar de forma contínua: menções ao nome, perfis falsos usando a identidade, credenciais vazadas e ameaças em redes sociais.
5. Preparar a resposta: roteiro para golpe, clonagem de perfil e ameaça, com contatos jurídicos e coleta de provas desde o primeiro momento.
6. Incluir a família: muitos ataques a executivos começam por cônjuges, filhos e assistentes.

Quando há perfil falso ou golpe, a prova importa tanto quanto a derrubada: capturas com data e URL, preservação do conteúdo e registro da cadeia de custódia permitem ação judicial e pedido de remoção às plataformas.

Como montar a sala de situação

Comece pequeno e em fases: primeiro definir o que proteger, depois escolher as fontes e só então investir em telões e automação. O espaço físico é a última peça; o que importa é o processo.

1. Definir escopo e riscos: quais ativos, pessoas, marcas e unidades entram, e quais ameaças preocupam mais (fraude, vazamento, ataque à reputação, ransomware).
2. Montar a equipe mínima: um coordenador, analista de SOC, analista de CTI/OSINT e um ponto de contato jurídico ou de compliance. Em operação 24x7, acrescentar turnos.
3. Escolher as fontes e ferramentas: o que será coletado, de onde e com qual frequência (ver a seção de stack).
4. Desenhar os painéis: poucos e acionáveis, cada um respondendo a uma pergunta de negócio.
5. Escrever playbooks: o que fazer, quem aciona quem e em quanto tempo para cada tipo de alerta.
6. Operar, medir e ajustar: reuniões curtas de passagem de turno, relatórios periódicos e revisão após cada incidente.

Para os telões, uma boa composição é: mapa de ataques e ameaças do setor, painel do SIEM com alertas por gravidade, painel de marca e fraude, painel de vazamentos e credenciais, e um painel de redes sociais com termos e perfis monitorados. Mais telas não significam mais segurança; cada painel precisa ter dono e um limite que dispare ação.

A sala pode ser virtual: um canal de comando, painéis compartilhados e rotina de plantão já entregam a maior parte do valor para escritórios e empresas menores.

Stack tecnológico e fontes

O stack se organiza por função, e é possível começar com opções gratuitas ou de código aberto e evoluir para soluções comerciais. Os exemplos abaixo são ilustrativos, não uma recomendação fechada.

Regras de ouro para as fontes: registrar de onde cada informação veio, validar por mais de uma fonte antes de concluir e guardar a evidência no momento da coleta, porque conteúdo público some ou muda.

Processos, playbooks e métricas

Uma sala sem processo vira só um painel bonito. O que a torna eficaz é um ciclo claro do sinal à ação e a medição do que ele entrega.

O ciclo de cada alerta tem cinco passos:

1. Coletar: o sinal chega por SIEM, feed de inteligência, monitoramento de marca ou denúncia.
2. Triar: classificar por gravidade e relevância, descartando falsos positivos.
3. Investigar: correlacionar fontes, validar e preservar a evidência com data, URL e hash.
4. Agir: conter, derrubar, bloquear, notificar ou escalar ao jurídico, conforme o playbook.
5. Aprender: registrar a lição, ajustar regras e atualizar os painéis.

Playbooks mínimos para começar: phishing e golpe de falso advogado ou falso suporte, perfil ou domínio falso, vazamento de credenciais, ransomware, e ameaça a pessoa-chave.

Métricas que mostram se a sala funciona:

• MTTD: tempo médio para detectar um incidente.
• MTTR: tempo médio para responder e conter.
• Taxa de falsos positivos: quanto do esforço é desperdiçado.
• Tempo de derrubada: da detecção de um perfil, domínio ou site falso até a remoção.
• Cobertura: percentual de ativos, marcas e pessoas-chave monitorados.
• Incidentes evitados ou contidos cedo: o indicador que o negócio entende.

Aspectos legais e éticos no Brasil

A atividade só é sustentável se respeitar a lei: OSINT trabalha com informação pública e com ativos da própria organização, dentro de finalidade, necessidade e proporcionalidade. As bases normativas mais relevantes são estas:

Boas práticas éticas:

• Documentar finalidade e escopo de cada monitoramento antes de iniciá-lo.
• Coletar apenas o necessário e proteger o que for coletado, com acesso restrito e prazo de retenção.
• Nunca acessar contas, dispositivos ou áreas protegidas de terceiros, nem usar credenciais vazadas para entrar em sistemas.
• Não perfilar pessoas sem finalidade legítima e proporcional; envolver o jurídico em casos sensíveis.
• Contratos e termos claros com clientes sobre o que será e o que não será feito.

Este é um resumo geral e não substitui parecer jurídico sobre um caso concreto; as leis citadas devem ser conferidas na redação vigente.

Benefícios da atividade

O benefício central é decidir com informação antes do incidente, e não apenas reagir depois dele. Ele aparece de formas diferentes para cada público.

Ganhos transversais: integração entre áreas que normalmente trabalham separadas (TI, jurídico, comunicação, risco), linguagem comum com a diretoria e uma base de conhecimento que cresce a cada caso.

Quem trabalha com OSINT e SOCMINT aplicados a investigação defensiva conhece a importância de ferramentas de arquivamento estruturado de conversas em plataformas de mensageria. O Telepathy, criado por Jordan Wildon e hoje sob a organização Prose Intelligence, é uma das referências mais citadas para essa tarefa dentro do ecossistema Telegram. Este artigo resume o que a ferramenta faz, como usá-la, e — o ponto que a maioria dos tutoriais por aí ignora — em que estado real de manutenção o projeto se encontra hoje.

$ pip3 install telepathy
$ telepathy -t durov -c -f -m
  [+] Varredura abrangente iniciada
  [+] Histórico de mensagens arquivado
  [+] Edgelist de encaminhamentos gerada (Gephi-ready)
  [+] Mídia baixada em ./telepathy_files/durov/media
$ cd ./telepathy_files/durov/media && exiftool * > metadata.txt

O que o Telepathy faz

O toolkit permite, a partir da linha de comando, arquivar conversas do Telegram — incluindo respostas, mídia, comentários e reações — coletar listas de membros, pesquisar usuários por localização geográfica, mapear encaminhamentos entre chats e exportar tudo em formatos utilizáveis para análise posterior. Os principais recursos são:

Como o Telegram organiza os chats (contexto necessário)

Para interpretar os resultados do Telepathy é preciso entender a estrutura do Telegram: Canais têm inscritos ilimitados e servem para transmissão de um administrador a um público; Megagrupos/Supergrupos comportam até 200.000 membros participantes; Gigagrupos ficam numa posição intermediária entre os dois modelos.

Instalação: dois caminhos, dois resultados diferentes

Antes de rodar qualquer comando em uma investigação real, vale entender que os dois caminhos de instalação documentados pelo próprio projeto não são equivalentes.

$ # Caminho 1 — via PyPI (recomendado pelo projeto)
pip3 install telepathy

$ # Caminho 2 — via código-fonte
git clone https://github.com/jordanwildon/Telepathy.git
cd Telepathy
pip install -r requirements.txt

Na prática: a versão instalada via pip3 install telepathy corresponde ao pacote publicado em julho de 2024 e é anterior a todos os relatos de bug ainda em aberto — o que não significa isenção de falhas, apenas que ela não recebeu nenhuma das correções pendentes. Recomenda-se sempre testar em ambiente isolado (venv ou container) antes de qualquer uso em investigação real, e documentar a versão exata utilizada no seu relatório de cadeia de custódia.

Dicas extras de investigação

Duas técnicas complementares potencializam o uso do Telepathy em uma investigação defensiva:

• Exiftool sobre a mídia arquivada — o Telegram atualmente não remove metadados de arquivos PDF, DOCX, XLSX, MP4 e MOV, que podem conter data/hora de criação, fuso horário e, em alguns casos, autoria.
• Cruzamento de nomes de usuário com o Maigret — as listas de membros inferidas pelo Telepathy oferecem um ponto de partida para verificar reuso de nome de usuário em outras plataformas, sempre validando cada achado para evitar falsos positivos.

Aspectos éticos e legais

Ferramentas de arquivamento de chats em massa lidam com dados de terceiros, muitas vezes sensíveis. No contexto da investigação defensiva conduzida pela RDS Intelligence Group, o uso de toolkits como o Telepathy segue sempre o mesmo princípio: produção de conhecimento, inteligência e evidência digital de forma ética, restrita a fontes abertas e em estrita conformidade com a legislação brasileira — LGPD, Marco Civil da Internet e Código de Processo Penal.

Perguntas frequentes

O que é o Telepathy no contexto de OSINT para Telegram?

Um toolkit em Python para coletar e analisar chats públicos do Telegram: arquivamento de mensagens, listas de membros, mapeamento de encaminhamentos e busca de usuários por localização.

O Telepathy ainda está ativo e recebendo atualizações?

Não de forma ativa. A última alteração funcional foi em julho de 2024; desde então há apenas manutenção de infraestrutura, com 41 issues abertas sem resposta e a instalação via código-fonte quebrada no branch padrão.

É seguro instalar o Telepathy via pip hoje?

A instalação via pip traz a versão de julho de 2024, anterior aos relatos de erro mais recentes. Teste sempre em ambiente isolado antes de qualquer uso investigativo.

O uso do Telepathy é legal no Brasil?

Sim, quando restrito a dados públicos, com propósito legítimo e documentado, em conformidade com LGPD, Marco Civil da Internet e CPP.

O que é OSINT militar, em linguagem direta

OSINT é a sigla para inteligência de fontes abertas: o processo disciplinado de coletar, verificar e correlacionar informação publicamente disponível até que ela se torne uma avaliação confiável o bastante para sustentar uma decisão. Não é "pesquisar no Google". É método, corroboração e registro.

Quando esse método é aplicado a cenários de conflito e defesa, ele recebe o nome de OSINT militar. O analista trabalha com vídeos publicados por civis e combatentes, imagens de satélite comerciais, registros públicos de navegação marítima e aérea, documentos oficiais, editais de compras e o rastro digital de unidades e fornecedores. A matéria-prima é aberta; o valor está no rigor com que ela é tratada.

Esse mesmo rigor é o que sustenta a inteligência cibernética e as boas práticas de cyber security no ambiente corporativo. Mudam os alvos, permanece a disciplina: verificar antes de afirmar, registrar a origem de cada peça, separar o que é fato do que é inferência e declarar o nível de confiança de cada conclusão.

O Front Digital

Auditoria da Guerra

O que você leva no ebook

• Método de verificação em camadas — como transformar um vídeo anônimo em evidência corroborada, com escala de confiança declarada.
• Geolocalização prática — leitura de terreno, elementos fixos, sombra, vegetação e infraestrutura para fixar coordenadas.
• Leitura de imagens de satélite e SAR — o que cada sensor entrega, o que ele esconde e quando confiar no resultado.
• Rastreamento marítimo e aéreo — sinais públicos, lacunas de transponder e correlação com registros abertos.
• Detecção de desinformação e mídia sintética — checagem de proveniência, reciclagem de conteúdo e artefatos de geração por IA.
• OPSEC do analista — ambiente isolado, segregação de identidades de pesquisa e redução da própria superfície de exposição.
• Documentação e cadeia de custódia — como registrar a coleta de modo que a conclusão sobreviva a contestação.

Perguntas frequentes

O que é OSINT militar?

É a aplicação da inteligência de fontes abertas a cenários de conflito e defesa: coletar, verificar e correlacionar dados públicos — vídeos, imagens de satélite comerciais, registros de navegação, publicações em redes sociais e documentos oficiais — para produzir avaliações verificáveis sobre movimentações, capacidades e narrativas, sem qualquer fonte classificada ou acesso não autorizado.

Qual a diferença entre OSINT, fontes abertas e inteligência cibernética?

Fontes abertas são os dados publicamente disponíveis. OSINT é o processo que os converte em inteligência, com verificação, corroboração e avaliação de confiança. Inteligência cibernética é a especialização desse processo para ameaças digitais, atores e infraestrutura, sustentando decisões de cyber security.

OSINT militar é legal no Brasil?

Sim, quando restrita a dados efetivamente públicos e conduzida em conformidade com a LGPD, o Marco Civil da Internet e o CPP. O que torna a atividade lícita é a origem aberta do dado, a finalidade legítima e a ausência de invasão, interceptação ou burla de controle de acesso.

Para quem serve o ebook OSINT Militar?

Analistas de inteligência e de cyber security, profissionais de defesa, pesquisadores, jornalistas investigativos, advogados que atuam com investigação defensiva e estudantes de OSINT que queiram uma metodologia estruturada de verificação — aplicável também ao ambiente corporativo.

Preciso de ferramentas pagas para aplicar OSINT militar?

Não. O peso do trabalho está no método: corroboração de múltiplas fontes, leitura de terreno, análise de sombras, comparação de imagens e disciplina de registro. Ferramenta paga acelera, mas não substitui raciocínio analítico nem cadeia de custódia.

Outros materiais do autor

Se o tema for investigação digital aplicada ao dia a dia corporativo e jurídico, estes complementam a leitura:

Curso Completo Avançado de OSINT Redes Ocultas Investigação Digital Investigação Digital com IA

Sobre o autor

Rogério Souza — RDS @RDSWEB — analista de segurança da informação e especialista em OSINT, com mais de 20 anos de atuação em inteligência de ameaças cibernéticas, investigação defensiva, SOCMINT e forense digital. Levo clareza a cenários complexos: transformo dados públicos e digitais em inteligência acionável para apoiar conselheiros e CEOs na tomada de decisão. Atendimento 100% virtual, via WhatsApp e LinkedIn.

☕ Apoie o blog via PayPal