PimEyes, GHunt e SpiderFoot conseguem localizar e cruzar informações disponíveis publicamente; ferramentas mostram como pequenos rastros digitais podem revelar muito mais do que o usuário imagina
Uma fotografia do rosto. Um endereço de e-mail. Um nome de usuário. Informações aparentemente comuns podem ser suficientes para iniciar uma investigação capaz de revelar uma parte considerável da presença digital de uma pessoa.
Ferramentas como PimEyes, GHunt e SpiderFoot mostram até que ponto informações publicadas em diferentes lugares da internet podem ser localizadas e relacionadas umas às outras.
A técnica é conhecida como OSINT, sigla em inglês para Open Source Intelligence, ou inteligência de fontes abertas. Na prática, significa investigar informações disponíveis publicamente, sem necessariamente invadir uma conta, quebrar uma senha ou acessar um banco de dados privado.
O alerta está justamente aí: muitas vezes, o problema não é uma invasão. É o volume de informações que já está do lado de fora.
PimEyes transforma o rosto em uma busca
Uma das ferramentas mais impressionantes é o PimEyes, mecanismo de busca que permite enviar a fotografia de um rosto e procurar imagens visualmente semelhantes publicadas em páginas acessíveis na internet.
Diferentemente de uma pesquisa tradicional, o ponto de partida não precisa ser o nome da pessoa. É o próprio rosto.
Segundo a empresa, o sistema compara características faciais com um índice formado por bilhões de imagens e apresenta páginas nas quais encontrou possíveis correspondências. O PimEyes afirma que não identifica nominalmente as pessoas e que não pesquisa bancos de dados privados. A empresa também informa que redes sociais e redes profissionais são excluídas da indexação.
Isso não elimina o risco.
Uma fotografia aparentemente anônima pode levar a outra imagem publicada em um site, evento, associação, empresa ou página antiga que contenha informações suficientes para chegar à identidade da pessoa.
Reportagens internacionais já demonstraram como mecanismos desse tipo podem localizar fotografias que nem mesmo as próprias pessoas lembravam que estavam disponíveis publicamente, levantando preocupações sobre perseguição, exposição indevida e identificação de desconhecidos.
O próprio PimEyes proíbe em seus termos usos como perseguição, criação de perfis de desconhecidos, doxxing, chantagem e coleta de informações para assédio.
Para quem encontra o próprio rosto no sistema, existe um procedimento de opt-out, destinado a excluir as correspondências futuras do índice. O processo exige uma fotografia e verificação de identidade. A exclusão no PimEyes, porém, não apaga a imagem do site original: para isso, é necessário solicitar a remoção diretamente ao responsável pela página na qual a fotografia foi publicada.
GHunt mostra o que um e-mail do Google pode revelar
Outra ferramenta conhecida no universo OSINT é o GHunt, projeto de código aberto voltado para a investigação de informações relacionadas ao ecossistema Google.
O próprio desenvolvedor define o GHunt como um “framework ofensivo do Google” focado atualmente em OSINT. Entre seus módulos estão pesquisas relacionadas a endereço de e-mail, identificador Gaia das contas Google, arquivos públicos do Drive e outros elementos relacionados aos serviços da empresa.
A ferramenta pode correlacionar informações públicas vinculadas a uma conta e consultar elementos relacionados ao Google Maps e a calendários públicos. A quantidade efetivamente encontrada varia conforme as configurações de privacidade da pessoa, os serviços utilizados e mudanças realizadas pelo próprio Google.
Esse último detalhe é importante. Diferentemente do que alguns vídeos publicados nas redes sociais sugerem, não basta fornecer qualquer Gmail para obter automaticamente um histórico completo da vida de alguém. O projeto sofre alterações frequentes conforme o Google modifica seus sistemas e, em 2026, o próprio repositório registrou correções e problemas relacionados à obtenção de informações do Maps.
Mas existe um problema maior que independe do GHunt.
O próprio Google informa que avaliações, fotografias e notas publicadas no Google Maps são públicas e não podem ser postadas anonimamente. Nome, foto, avaliações, imagens e outras contribuições podem aparecer associadas ao perfil público do usuário.
Imagine alguém que avaliou a academia que frequenta, o restaurante perto de casa, uma escola, um hotel visitado durante as férias e estabelecimentos próximos ao trabalho.
Isoladamente, cada avaliação parece inofensiva.
Juntas, elas podem contar uma história.
Isso não significa necessariamente que alguém consiga determinar onde a pessoa está naquele momento ou que uma avaliação revele sua rotina exata. Mas informações acumuladas podem indicar cidades frequentadas, interesses e possíveis relações geográficas que se tornam úteis em tentativas de engenharia social.
SpiderFoot automatiza a investigação
O terceiro exemplo é o SpiderFoot, uma das ferramentas mais conhecidas para automação de OSINT.
O projeto é de código aberto e possui mais de 200 módulos capazes de consultar diferentes fontes de informação. Uma investigação pode partir de elementos como domínio, endereço IP, e-mail, número de telefone, nome de usuário ou nome de uma pessoa.
A partir daí, diferentes módulos podem procurar informações relacionadas em serviços públicos e bases especializadas.
Entre as integrações estão ferramentas conhecidas no setor de segurança, como Shodan, Have I Been Pwned, AlienVault e SecurityTrails. O SpiderFoot também pode pesquisar subdomínios, contas associadas a nomes de usuário, endereços de e-mail publicados, metadados de arquivos e outras informações encontradas na web.
É como substituir dezenas de pesquisas manuais por uma investigação automatizada.
Mas também existe exagero em dizer que basta digitar um nome e receber imediatamente um “dossiê completo”. Alguns módulos dependem de APIs, configurações específicas ou serviços externos. Os resultados também precisam ser interpretados e podem conter associações equivocadas.
A capacidade mais importante do SpiderFoot não é descobrir um grande segredo escondido. É relacionar pequenas informações dispersas em grande escala.
O perigo está no cruzamento das informações
É comum imaginar segurança digital apenas como proteção contra vírus, invasão de contas ou roubo de senhas.
OSINT mostra outra dimensão do problema.
Considere informações que uma pessoa pode ter deixado publicamente ao longo de dez ou quinze anos:
nome completo, fotografia, e-mail, profissão, empresa, cidade, avaliações de estabelecimentos, fotos de viagens, nomes de familiares, antigos usuários de redes sociais, participação em eventos e documentos publicados em sites.
Nenhum desses dados isoladamente precisa representar uma ameaça.
O problema surge quando eles são correlacionados.
Um criminoso pode utilizar informações verdadeiras para tornar um golpe muito mais convincente. Em vez de uma mensagem genérica, a tentativa de fraude pode mencionar uma empresa conhecida, uma viagem realizada, um familiar ou um estabelecimento frequentado.
É a diferença entre receber um golpe aleatório e receber uma história construída especialmente para você.
Informação pública também é protegida pela LGPD
Outro erro comum é imaginar que uma informação deixa de ter proteção legal simplesmente porque pode ser encontrada na internet.
Não é assim.
A Lei Geral de Proteção de Dados estabelece que o tratamento de dados pessoais cujo acesso seja público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização. A própria Autoridade Nacional de Proteção de Dados destaca que a LGPD também se aplica a dados publicamente acessíveis.
A legislação brasileira também classifica dados biométricos vinculados a uma pessoa como dados pessoais sensíveis, sujeitos a proteção especial.
Portanto, possibilidade técnica de encontrar uma informação e autorização legal para utilizá-la são coisas diferentes.
Como reduzir sua exposição
O primeiro passo é fazer periodicamente uma auditoria da própria presença digital. Pesquise seu nome, e-mails, nomes de usuário antigos e fotografias para entender o que uma pessoa desconhecida conseguiria descobrir sobre você.
No Google Maps, vale revisar avaliações, fotografias e outras contribuições antigas. O Google permite restringir a visibilidade do perfil público, embora as avaliações publicadas continuem públicas nos estabelecimentos aos quais estão associadas. Também é possível apagar avaliações e fotografias que já não façam sentido manter na internet.
Outra medida importante é evitar utilizar o mesmo endereço de e-mail para tudo. Um endereço destinado a cadastros e contatos públicos não precisa ser o mesmo utilizado para bancos, recuperação de senhas ou serviços considerados sensíveis.
Também merece atenção o que aparece ao fundo das fotografias: placas de veículos, fachadas, uniformes escolares, crachás, documentos, números de apartamentos e outros elementos aparentemente irrelevantes podem fornecer pistas adicionais.
Autenticação em dois fatores, senhas exclusivas e, quando disponíveis, passkeys continuam fundamentais. OSINT não fornece automaticamente acesso a uma conta, mas informações públicas podem tornar golpes de engenharia social muito mais convincentes.
O CERT.br alerta que a exposição excessiva de dados facilita a ação de pessoas mal-intencionadas e recomenda que usuários conheçam e reduzam as informações pessoais que mantêm públicas na internet.
O melhor teste é descobrir o que a internet sabe sobre você
PimEyes, GHunt e SpiderFoot não são iguais. O primeiro funciona como mecanismo de busca facial; os outros dois são ferramentas especializadas de investigação e automação OSINT, sendo que GHunt e SpiderFoot exigem um grau maior de conhecimento técnico.
Mas os três ajudam a demonstrar a mesma realidade.
Sua identidade digital não está concentrada em um único perfil. Ela está fragmentada em centenas de pequenos rastros.
O endereço de e-mail usado anos atrás, uma fotografia esquecida, uma avaliação no Google Maps ou um nome de usuário abandonado podem parecer irrelevantes.
Até que uma ferramenta os reúna.
Privacidade na internet talvez não signifique desaparecer. Significa decidir, na medida do possível, quais peças do seu quebra-cabeça continuarão disponíveis para quem resolver procurá-las.
Fale com a redação
Ajude a aprimorar esta matéria
Tem alguma correção ou informação complementar que gostaria de enviar sobre esta matéria? Fale agora com a redação pelo WhatsApp (37) 99124-9006.
Enviar informação pelo WhatsAppApenas mensagens via WhatsApp.
