RDS @RDSWEB · OSINT Brasil · Análise de Dados de Fontes Abertas · Atualizado em setembro/2026

Treinamento Avançado de Cyber Security: Plataformas Gratuitas, OPSEC, Navegadores, DNS, E-mail e Lab

Guia único e consolidado: plataformas gratuitas de treinamento com certificado, OPSEC para não deixar rastros de metadados, navegador, DNS, e-mail criptografado, arquitetura de laboratório de treinamento, glossário técnico e uma lista indexada de recursos gratuitos, incluindo o Cybrary.

1. Plataformas gratuitas de treinamento com certificado

Nível avançado / hands-on ofensivo e defensivo

• TryHackMe — tier gratuito robusto, trilhas de SOC, red team, pentest júnior; certificados de conclusão de path grátis; certificações práticas pagas (SAL1, PT1) validadas por hands-on labs.
• Hack The Box Academy — módulos introdutórios gratuitos, forte em ofensiva/defensiva realista.
• OverTheWire — wargames clássicos de Linux, redes e fundamentos de segurança, 100% grátis, sem certificado formal mas essencial para prática.
• Blue Team Labs Online — labs gratuitos de segurança defensiva, detecção e investigação de incidentes.
• CyberDefenders — desafios blue team gratuitos: alertas, logs, cenários de SOC.
• RangeForce — laboratórios gratuitos de análise de malware e simulação defensiva.

OSINT / CTI / threat intelligence

• MITRE ATT&CK — recursos e treinamento gratuitos voltados a defenders, sem certificado mas referência obrigatória.
• Splunk Education — fundamentos gratuitos, com badges de conclusão.
• Elastic Security Labs — pesquisa de ameaças gratuita, conteúdo técnico aplicável a CTI.
• CISA Learning — cursos gratuitos do governo dos EUA, alguns com certificado de conclusão.
• NICCS Training Catalog — catálogo com 1000+ cursos verificados, muitos gratuitos.

Certificações vendor gratuitas (ainda ativas)

Nenhuma é proctorada por terceiro independente, mas seguem genuinamente gratuitas: Fortinet NSE 1-3, Cisco Networking Academy, AttackIQ Academy, Centri BTJA, IBM SkillsBuild, OPSWAT ICIP e Qualys.

Fundamentos / preparação para certificações pagas

• Professor Messer — prepara para CompTIA Security+ 100% grátis no YouTube (o exame em si é pago).
• Cybrary — biblioteca ampla, boa parte paga, mas com trilhas gratuitas de entrada.

Em português

C1b3rWall Academy — programa coordenado pela Universidade de Salamanca e Polícia Nacional da Espanha, 15 módulos gratuitos (cibercrime, criptografia, deep/dark web, pentesting, etc.), conteúdo em espanhol/português.

2. Como não deixar rastros de metadados

Metadados vazam pela combinação de vários sinais pequenos, não por um único ponto de falha. A regra de ouro é compartimentalização: identidade de investigação nunca se mistura com identidade pessoal.

3. Qual navegador usar

A escolha depende do seu modelo de ameaça: pesquisa OSINT do dia a dia é diferente de acesso a fontes de alto risco.

4. Qual DNS usar

O DNS revela cada domínio que você consulta, mesmo com HTTPS. Priorize resolução criptografada (DoH/DoT) e política de retenção de logs auditada.

5. E-mails criptografados

• PGP/GPG independente de provedor: Gpg4win (Windows), GPG Suite (macOS), GnuPG (Linux) — permite criptografia ponta a ponta mesmo em provedores "normais".
• E-mails descartáveis para OSINT (nunca para comunicação sensível real): Guerrilla Mail, Temp-Mail, Mailinator — úteis apenas para testar exposição de contas em pivots, não para receber respostas confidenciais.
• Alias/roteamento: SimpleLogin e AnonAddy geram aliases de e-mail únicos por serviço, reduzindo correlação entre cadastros.

6. Montando um lab de treinamento e pesquisa

Um laboratório isolado é o que separa prática segura de exposição de dados reais.

Camada de virtualização

• VirtualBox / VMware Workstation Player — gratuitos, suficientes para a maioria dos labs.
• Proxmox VE — se quiser um hypervisor bare-metal para várias VMs simultâneas.
• Snapshots antes de cada exercício — sempre volte ao estado limpo após testar algo arriscado.

Distribuições prontas para o lab

• Kali Linux — distro ofensiva padrão da indústria, ferramentas de pentest pré-instaladas.
• Parrot Security OS — alternativa à Kali, mais leve, com foco também em anonimato.
• REMnux — distro dedicada a engenharia reversa e análise de malware.
• SIFT Workstation — forense digital (SANS).
• Security Onion — SOC/blue team: IDS, monitoramento de rede, threat hunting, tudo em uma distro só.
• Whonix Gateway + Workstation — para praticar isolamento de rede/anonimato com segurança.

Ambientes de prática (redes vulneráveis)

• Metasploitable 2/3 — VM intencionalmente vulnerável para praticar exploração em ambiente controlado.
• DVWA (Damn Vulnerable Web Application) — prática de vulnerabilidades web (SQLi, XSS, etc.).
• OWASP Juice Shop — aplicação web moderna, vulnerabilidades OWASP Top 10.
• VulnHub — repositório de VMs vulneráveis para download.
• TryHackMe / Hack The Box — labs hospedados na nuvem, sem precisar montar infraestrutura própria.

Ferramentas de rede/lab

• GNS3 / EVE-NG — simulação de topologias de rede corporativa completas.
• Wireshark — análise de tráfego de rede, essencial em qualquer lab.
• Docker — para subir rapidamente ambientes vulneráveis containerizados (ex: DVWA via Docker).

7. Glossário

8. Lista de URLs indexadas — treinamento gratuito

Recursos de treinamento gratuito, incluindo Cybrary e demais plataformas citadas neste guia.

↑ voltar ao topo

Antes de se proteger, é essencial saber que golpes digitais exploram pressa, distração e confiança. Criminosos usam mensagens falsas, sites clonados e engenharia social para roubar dados e dinheiro.

🔍 Verifique links e remetentes

• Passe o mouse sobre o link antes de clicar — veja se o endereço parece legítimo.

• Desconfie de e-mails com erros de ortografia ou domínios estranhos.

• Nunca baixe anexos de remetentes desconhecidos.

🔐 Ative autenticação em dois fatores

• Habilite o 2FA em redes sociais, bancos e e-mails.

• Prefira aplicativos autenticadores (como Microsoft Authenticator ou Google Authenticator) em vez de SMS.

• Isso bloqueia invasões mesmo que alguém descubra sua senha.

💸 Desconfie de pedidos urgentes de Pix

• Golpistas simulam familiares ou empresas pedindo transferências imediatas.

• Confirme por telefone ou outro canal antes de enviar dinheiro.

• Lembre-se: urgência é sinal de golpe.

🧰 Mantenha antivírus e sistemas atualizados

• Atualizações corrigem falhas que hackers exploram.

• Use antivírus confiável e mantenha o firewall ativo.

• Evite instalar programas de fontes desconhecidas.

🚫 Nunca compartilhe códigos recebidos por SMS

• Códigos de verificação são pessoais e temporários.

• Nenhum suporte técnico legítimo pedirá esse código.

• Compartilhar pode permitir que o golpista acesse sua conta.

🧩 Dica extra: educação digital contínua

• Leia blogs confiáveis como osintbrasil.blogspot.com.

• Participe de cursos gratuitos sobre segurança cibernética.

• Ensine familiares e colegas — proteção é coletiva.

Em um cenário cada vez mais vulnerável a ataques digitais, proteger dados e sistemas deixou de ser opcional — é uma necessidade estratégica. Contratar um profissional de segurança da informação garante que sua empresa esteja preparada para prevenir, detectar e responder a ameaças cibernéticas com eficiência. Esse especialista implementa políticas de proteção, monitora vulnerabilidades e assegura conformidade com normas como LGPD e ISO 27001. Investir em segurança é investir na continuidade e credibilidade do seu negócio.

47988618255

 

CCTV: a ferramenta de código aberto que transformou o Telegram em um mapa de rastreamento em tempo real

Como o recurso "Pessoas Próximas" virou vetor de geolocalização, o que a repercussão global do caso ensina sobre exposição digital, e o que diz a lei brasileira sobre esse tipo de monitoramento.

O que foi o caso CCTV

Em 2024, um projeto de código aberto batizado Close-Circuit Telegram Vision (CCTV) ganhou notoriedade internacional por demonstrar, na prática, uma fragilidade conceitual em um recurso que milhões de pessoas usam sem pensar duas vezes: o "Pessoas Próximas" do Telegram, criado originalmente para sugerir contatos e canais locais.

A ferramenta automatizava um processo que, isoladamente, qualquer usuário do Telegram poderia repetir manualmente: consultar a distância aproximada informada pelo aplicativo entre a conta que faz a busca e outras contas próximas. Ao repetir essa consulta a partir de múltiplos pontos simulados, era possível aplicar um raciocínio de trilateração — a mesma lógica geométrica usada por GPS e por técnicas clássicas de GEOINT — para convergir sobre a localização real de um alvo, com precisão relatada na faixa de 50 a 100 metros.

Por que o caso repercutiu tanto

A cobertura do caso não ficou restrita a um nicho técnico. Veículos e comunidades de segurança em pelo menos quatro idiomas noticiaram o tema — da imprensa especializada em tecnologia à imprensa investigativa russa, passando por publicações de segurança na Itália e na Espanha. O padrão de repercussão é um indicador clássico de que a ferramenta tocou em uma preocupação real e generalizada: a sensação de que aplicativos de mensageria, mesmo os que se posicionam como focados em privacidade, podem carregar funcionalidades cujo risco não é comunicado com clareza ao usuário final.

Do ponto de vista de quem trabalha com Threat Intelligence e investigação digital defensiva, o episódio é um estudo de caso relevante sobre três frentes que se cruzam:

• Superfície de exposição por design — recursos pensados para conveniência (encontrar pessoas/canais perto de você) podem ser reaproveitados como primitivas de rastreamento quando automatizados em escala.
• Assimetria entre usuário comum e agente malicioso — a maioria dos usuários não tem ideia de que uma funcionalidade de "descoberta local" pode ser convertida em ferramenta de perseguição (stalking) por qualquer pessoa com conhecimento básico de scripting.
• Velocidade de resposta da plataforma — o desligamento do recurso, embora tardio em relação à circulação pública da ferramenta, mostra que pressão pública e cobertura de imprensa continuam sendo um dos poucos mecanismos efetivos de correção rápida quando não há regulação específica em tempo real.

A lógica técnica, em nível conceitual

Sem reproduzir instruções operacionais — o que não é o objetivo deste artigo nem de qualquer conteúdo produzido pela OSINT Brasil —, vale entender a lógica subjacente para fins de conscientização defensiva:

1. O aplicativo informa uma distância aproximada entre duas contas quando ambas têm o recurso de descoberta local ativo.
2. Repetindo essa consulta a partir de coordenadas de referência diferentes (um processo de deslocamento simulado), obtêm-se múltiplos "raios" de distância até o mesmo alvo.
3. A interseção geométrica desses raios — o mesmo princípio usado por sistemas de posicionamento por satélite — converge para uma área cada vez menor, até aproximar a localização real com margem de dezenas de metros.

Essa lógica não é exclusiva do Telegram. Qualquer serviço que exponha "distância até outro usuário" sem limitar a granularidade, a frequência de consulta ou o comportamento automatizado (via API) está sujeito ao mesmo tipo de abuso. É por isso que, em auditorias de exposição digital, um dos pontos de verificação padrão da metodologia OSINT Brasil é justamente mapear quais aplicativos do cliente expõem, mesmo que de forma aproximada, sinais de proximidade geográfica.

Enquadramento jurídico no Brasil

Ferramentas com essa finalidade — rastrear a localização de uma pessoa sem consentimento, para fins de monitoramento, controle ou vigilância — esbarram em pelo menos três frentes do ordenamento jurídico brasileiro:

Lei do Stalking (Lei nº 14.132/2021)

Incluiu no Código Penal o crime de perseguição (art. 147-A), que criminaliza perseguir alguém reiteradamente, por qualquer meio, ameaçando sua integridade física ou psicológica, restringindo sua capacidade de locomoção ou, de qualquer forma, invadindo ou perturbando sua esfera de liberdade ou privacidade. O uso de uma ferramenta de geolocalização não consentida para monitorar deslocamentos de uma pessoa se encaixa diretamente nesse tipo penal quando há reiteração e finalidade de vigilância.

LGPD (Lei nº 13.709/2018)

Dados de geolocalização são dados pessoais e, dependendo do contexto (por exemplo, quando revelam rotina, endereço residencial ou deslocamentos que permitem inferir características sensíveis), podem se aproximar do regime mais rigoroso do art. 11. O tratamento sem base legal — e monitoramento oculto de terceiros certamente não se enquadra nas hipóteses do art. 7º — configura ilícito civil, sujeito a indenização por danos morais e, no caso de agentes de tratamento formais, a sanções administrativas da ANPD.

Marco Civil da Internet (Lei nº 12.965/2014)

Reforça a proteção à privacidade e à intimidade como princípios da disciplina do uso da internet no Brasil (art. 3º, incisos II e III), servindo de base complementar em ações que discutam responsabilidade de provedores de aplicação diante de vazamentos de funcionalidade que facilitem rastreamento não consentido.

Lições defensivas: como reduzir sua superfície de exposição

Cenários prospectivos

O desligamento do recurso pelo Telegram resolve o vetor específico do CCTV, mas não elimina o problema estrutural. Alguns cenários prováveis para os próximos ciclos:

• Migração do vetor para outras plataformas — qualquer aplicativo que ainda exponha distância aproximada entre usuários (redes de namoro, apps de encontros, redes sociais de nicho) permanece candidato a réplicas conceituais da mesma técnica.
• Pressão regulatória crescente — a tendência, tanto na União Europeia (DSA/GDPR) quanto no Brasil (agenda da ANPD), é de exigir de plataformas testes de "privacy by design" mais rigorosos antes do lançamento de recursos sociais baseados em proximidade.
• Judicialização de casos concretos — é razoável esperar um aumento de ações envolvendo a Lei do Stalking combinadas a pedidos de indenização sob a LGPD, à medida que vítimas de monitoramento digital não consentido buscam reparação civil e criminal simultaneamente.
• Uso em due diligence e investigação defensiva — o caso já se consolidou como referência didática em treinamentos de OSINT e threat intelligence, justamente pelo caráter reproduzível do princípio geométrico por trás da técnica.

Conclusão

O caso CCTV não foi apenas sobre uma ferramenta específica — foi sobre como um detalhe aparentemente inofensivo de design de produto pode se transformar em vetor de vigilância em escala quando cai nas mãos certas (ou erradas). Para profissionais de segurança da informação, investigação digital e compliance, o episódio reforça uma regra permanente: toda funcionalidade que revela proximidade, distância ou presença de um usuário é, por definição, uma funcionalidade de geolocalização — e deve ser tratada com o mesmo rigor jurídico e técnico que qualquer outro dado sensível.