Dark Web e Fóruns

Nota 06 do capítulo 02 (Fontes de Dados e Coleta), cobrindo a coleta em ambientes criminais e semipúblicos.
Trata o ecossistema de fóruns, marketplaces, Telegram e sites de vazamento, a coleta ética e legal, o OPSEC avançado do analista e os limites de confiabilidade.
Dialoga com a nota 01 (OSINT), a nota 02 (monitoramento comercial de marca), a nota 07 (avaliação de fontes) e com o capítulo 13 (Contra-Inteligência).

1. Contexto e Posicionamento na Biblioteca

O dark web é onde o adversário fala do próprio trabalho, negocia ferramenta, vende acesso e celebra resultado. Para o CTI, é a única fonte em que a intenção aparece antes da ação: a venda de acesso a uma rede precede o ataque, o anúncio de exploit precede a armação em massa, e a discussão de técnicas precede o payload observado em telemetria. A fonte paga com complexidade: acesso técnico ao ecossistema, OPSEC rigoroso do analista, fronteiras legais nítidas e dados de confiabilidade difícil.

Esta nota posiciona o dark web como extensão do OSINT, com regras próprias de segurança e legalidade. A coleta aqui é leitura e registro, nunca participação comercial ou interpessoal que comprometa a organização. O capítulo mantém o foco no que o analista de CTI precisa para operar com segurança, e delega a análise avançada de atores e a postura ofensiva de contra-inteligência ao capítulo 13, que usa exatamente os controles desta nota como alicerce.

2. Ecossistema de Ameaça em Camadas

O ecossistema se organiza em camadas de acesso e de função, e a estruturação mental correta evita tanto a superestimação quanto a negligência. Fóruns de discussão concentram reputação e conteúdo técnico; marketplaces vendem dados e acesso; sites de vazamento de ransomware publicam vítimas; e a messageria moderna, sobretudo o Telegram, abriga tanto canais de divulgação quanto comunidades inteiras que migraram de fóruns fechados. A tabela abaixo organiza as camadas com os usos que interessam ao CTI.

A dinâmica histórica do ecossistema ajuda a ler o presente. Operações policiais desmantelam estruturas e deslocam atividade: a queda de marketplaces de credenciais e a operação contra infraestruturas de infostealer mostram ciclos de migração entre plataformas, e a atividade volta a se concentrar onde a fricção é menor, tipicamente messageria e fóruns por convite. Casos públicos ilustram o padrão e valem como referência de estudo: a operação internacional que derrubou um grande marketplace de logs de infostealer apreendeu dezenas de milhões de credenciais e mostrou a escala do mercado de logs; o desmantelamento da infraestrutura do LockBit em 2024 e a fuga com fundos do grupo ALPHV mostram o fim de ciclo dos sites de vazamento e a migração de marcas para novas plataformas. Para o analista, a consequência é que a cobertura de coleta precisa ser revisada com cadência, porque o mapa do ecossistema muda mais rápido que a ferramenta de coleta.

3. Coleta Ética e Legal

A postura ética da coleta em dark web tem um princípio estruturante: a organização observa, não participa. Observar é indexar conteúdo público, registrar anúncios, preservar evidência; participar é comprar dados, contatar vendedor, entrar em negociação ou adquirir acesso, e cada forma de participação cria risco legal, ético e reputacional que nenhum valor de inteligência compensa. A linha é desenhada em política antes do primeiro acesso, com o jurídico da organização, porque varia com a jurisdição e com o setor regulado.

O tratamento de dados pessoais coletados incidentalmente é o ponto de maior atrito com a LGPD. Vazamentos vendidos contêm dados de indivíduos identificáveis, inclusive funcionários e clientes da própria organização, e o registro desses dados em sistemas internos exige base legal, minimização e retenção controlada. O padrão profissional é armazenar evidência minimizada, manter o dado bruto em ambiente de evidência com acesso restrito e restringir o uso interno do que é dado pessoal a fins de proteção do titular e da organização, documentando cada caso. Dado de funcionário exposto em vazamento pede ainda rota de comunicação e de troca de credencial, que pertence ao processo de identidade e não à mera curiosidade de inteligência.

Preservação de evidência fecha o ciclo legal da coleta. Material coletado pode sustentar denúncia, ação de segurança ou cooperação com autoridades, e a cadeia de custódia começa na captura: horário, origem, ferramenta, hash do artefato e armazenamento imutável. Relatório de incidente que cita dump de credenciais precisa poder reproduzir a obtenção, e relatório analítico que cita fórum precisa preservar o snapshot do conteúdo citado, porque páginas criminais desaparecem com frequência e sem aviso.

Um caso especial completa o quadro legal: a organização aparecendo em site de vazamento. A leitura e o registro são coleta legítima; a negociação direta com o grupo, mesmo que pareça contenção, é decisão de crise com risco legal próprio, incluindo possíveis sanções por pagamento a entidade sancionada, e nunca é decisão de analista de coleta. O fluxo correto passa pela resposta a incidentes, com envolvimento do jurídico e, quando aplicável, comunicação às autoridades, mantendo a coleta como evidência de apoio. O papel do CTI é preservar material, extrair indicadores e apoiar a resposta, não negociar.

4. OPSEC Avançado do Analista

O OPSEC do analista de dark web é mais exigente que o do OSINT comum, porque os ambientes monitoram visitantes com ferramenta dedicada. A base é a separação radical de identidades: nada de conta corporativa, e-mail de empresa ou endereço IP da organização em qualquer interação com o ecossistema. O acesso se dá por infraestrutura dedicada, máquina virtual ou host físico que só existe para essa função, com rede separada, snapshots de retorno e sem credenciais corporativas em cache. O navegador é mínimo, sem extensões, com scripts bloqueados por padrão, porque exploits de navegador são vetor histórico no ecossistema.

A higiene de identidade do analista merece o mesmo rigor do ambiente técnico. Contas de fórum usadas para leitura devem ser criadas e tratadas como ativos de OPSEC, com e-mail dedicado, sem correlação com identidade real, e com histórico de postagem mínimo ou nulo. O analista precisa entender que plataformas correlacionam comportamento: horário de acesso consistente, estilo de escrita e padrão de interesse permitem perfilamento, e o objetivo da coleta passiva é permanecer observador irrelevante. Qualquer decisão de contato humano com ator pertence a outro nível de operação, com aprovação, registro e supervisão, e não é escopo da coleta de rotina.

O comportamento de acesso completa o OPSEC e é onde a automação entra como aliada. Consultas automatizadas com janelas variáveis e saída por infraestrutura intermediária reduzem o padrão reconhecível de visita humana, enquanto o download de qualquer artefato é tratado como evento de alto risco, executado em ambiente descartável e sem abertura no host de coleta. A regra prática é simples de enunciar e dura de manter: nada do que o ecossistema publica é executado, aberto ou confiado, e todo artefato via direto para o laboratório da nota 01 em snapshot isolado.

# Checklist mínimo de ambiente de coleta dark web
[ ] máquina dedicada ou VM isolada, sem credenciais corporativas
[ ] rede separada, sem acesso a recursos internos da organização
[ ] navegador Tor padrão, sem extensões, JavaScript desabilitado por padrão
[ ] identidade de pesquisa dedicada, e-mail e contas correlacionáveis apenas entre si
[ ] coleta por snapshot e hash, com registro de horário e ferramenta
[ ] resposta a incidente própria: desligar, preservar, reportar ao time de segurança

5. Informatores, Marca e Credenciais

O monitoramento de marca no ecossistema criminoso tem produtos muito concretos. Menções ao nome da organização, de domínios e de marcas em fóruns e canais podem revelar venda de acesso, phishing em preparação ou reclamação de cliente atacado; checagem de credenciais da organização em dumps revela exposição de funcionários; e checagem de logs de infostealer por domínio corporativo revela dispositivos pessoais ou corporativos comprometidos que nunca geraram alerta no SOC. Cada produto tem operação própria, e a tabela abaixo resume os quatro principais.

Dois cuidados específicos de operação merecem menção porque são recorrentes. O primeiro é a checagem de credenciais: serviços que pedem que a própria organização submeta e-mail e senha para verificar exposição devem ser evitados, porque entregam credencial válida a terceiro; o padrão seguro é checagem por domínio, usuário ou hash, sem envio de credencial viva. O segundo é o monitoramento de site de vazamento de grupo de extorsão, que vale mais como vigília do que como notícia: a lista de vítimas de um grupo é amostra operacional do que ele realmente faz, e a leitura sistemática por setor, tamanho e região sustenta briefing executivo com dado próprio e não com manchete.

A decisão entre construir coleta própria e comprar serviço comercial de monitoramento é a mesma contabilidade da nota 02, com um fator extra de OPSEC. O serviço comercial faz a coleta com infraestrutura dedicada e reputação própria, o que transfere o risco de exposição do analista, mas cria dependência e delimita a visibilidade ao que o fornecedor cobre; a coleta própria dá controle e profundidade, ao custo de manter o ambiente de OPSEC desta nota. O padrão comum em grandes programas é híbrido: serviço comercial para cobertura ampla de credenciais e logs, e coleta própria dirigida para as comunidades que importam especificamente ao setor e à geografia da organização.

O registro estruturado do achado é o que permite que a coleta vire processo e não coleção de screenshots. O modelo abaixo documenta o mínimo que cada achado de marca deve carregar, e campos em branco são sinal de triagem incompleta, porque a ausência de data declarada ou de amostra mínima muda a confiança do item e o encaminhamento.

achado_id: DW-2025-0142
plataforma: forum-criminoso.example
tipo: venda_de_acesso
entidade_citada: "organização própria (nome preservado)"
alegacao: "acesso RDP a ambiente financeiro, 500 máquinas"
data_declarada: 2025-04-02
captura: {hash_sha256: "...", snapshot: evidencia/DW-2025-0142.html}
avaliacao_disponivel: "1 de 3 entidades citadas confirmadas em telemetria"
confianca: media
rota: IR_preventivo
prazo: 24h
dono: analista-cti-01

Informatores humanos merecem menção separada porque concentram valor e risco. Relacionamento com fonte dentro do ecossistema entrega acesso que nenhuma ferramenta coleta, mas exige gestão formal: contrato claro, limites de conduta, pagamento somente por serviços legítimos de informação, controle de exposição da fonte e registro da cadeia de decisão. Informal demais, o informante vira risco de reputação e de segurança; sem contrato, vira risco jurídico. A nota registra o caminho, e o capítulo 13 aprofunda a operação.

6. Fluxo de Triagem de Achados

O fluxo de triagem transforma material bruto de ecossistema criminoso em itens acionáveis sem que o analista precise decidir sob pressão a cada achado. O fluxo em quatro etapas abaixo assume coleta passiva e se aplica tanto a achados manuais quanto automatizados, e cada etapa tem registro, porque a trilha alimentará a avaliação de fonte da nota 07 e a cadeia de evidência.

1. Captura e preservação: snapshot do anúncio ou da página, com hash, horário e ferramenta, antes de qualquer análise.
2. Extração estruturada: entidades citadas, nomes de empresas, domínios, credenciais em amostra mínima, preços e data declarada.
3. Verificação técnica: cruzar o que for verificável com inventário de ativos, telemetria da nota 04 e fontes abertas da nota 01, sem contato com o ecossistema.
4. Decisão de rota: caso de IR, tarefa de identidade, tarefa de perímetro ou registro analítico, cada rota com dono e prazo.

A tabela de rotas é o contrato entre coleta e resposta, e sem ela os achados de dark web viram o pior dos dois mundos: alarme sem dono, ou achado valioso esquecido em planilha. O relatório mensal de coleta resume os achados por rota, a taxa de verificação e o tempo médio de resposta, e esses números sustentam o orçamento da fonte na contabilidade da nota 02.

7. Limitações de Confiabilidade

Confiabilidade é o calcanhar da fonte, e a nota 07 se aplica aqui com peso máximo. Anúncios de venda exageram escopo e frescor, vendedores com reputação construída vendem dados reciclados, dados roubados circulam meses depois de queimados, e há fraude direta, com material fabricado. A prática de validação segue três vetores: técnico, com amostra mínima verificada contra telemetria própria antes de qualquer decisão; temporal, comparando a data declarada do vazamento com a primeira aparição em outras fontes; e de histórico, com o track record do vendedor e do canal. Nenhum dado comprado, e nada que a organização não possa verificar, entra em detecção sem revisão humana.

A sobreposição entre fontes agrega mais um viés: o mesmo vazamento é republicado por dezenas de canais, e a percepção de amplitude de campanha pode ser eco de um único dump. O analista deve separar evento primário de redistribuição, registrando proveniência em cada coleta, porque a diferença muda a leitura de escala e de urgência. O relatório interno que conta quantas fontes citam um vazamento sem contar quantas copiam o mesmo material engana a gestão.

8. Erros Comuns e Pontos de Atenção

• Acessar ecossistema a partir da rede corporativa; efeito: exposição de interesse da organização e risco de ataque dirigido; correção: infraestrutura dedicada conforme o checklist desta nota.
• Comprar dados para validar; efeito: financiamento de crime, risco legal e reputacional, e incentivo a falsificação; correção: validação por amostra técnica e por telemetria própria, sem aquisição.
• Tratar anúncio de venda de acesso como incidente confirmado; efeito: alarme falso ou subestimação por descuido; correção: protocolo de verificação da alegação contra inventário e telemetria antes de escalar.
• Deixar dado pessoal de vazamento circulando em repositórios internos; efeito: risco de conformidade LGPD dentro da própria casa; correção: minimização, base legal e retenção controlada.
• Usar conta pessoal ou corporativa em fórum para leitura; efeito: correlação de identidade do analista e da organização; correção: identidade dedicada, tratada como ativo de OPSEC.
• Ignorar o histórico de redistribuição de dumps; efeito: duplicação de alerta e leitura equivocada de escala; correção: registro de proveniência e deduplicação por evento primário.
• Manter ferramenta de coleta sem revisão de cobertura; efeito: fonte coletando onde o ecossistema já não está; correção: revisão semestral do mapa de plataformas e migração da coleta.
• Abrir artefato capturado no host de coleta por conveniência; efeito: infecção do ambiente de coleta e possível correlação; correção: todo artefato vai ao laboratório isolado da nota 01.
• Registrar achado sem captura preservada; efeito: material desaparece e a evidência não pode ser reconstruída; correção: snapshot com hash antes da análise, sem exceção.
• Escalar achado de credencial sem registrar a rota seguida; efeito: identidade troca senha mas o caso perde a ligação com o vazamento de origem; correção: achado e rota em registro único, com dono e fechamento.

9. Integração com o Restante da Biblioteca

O material de dark web entra no mesmo pipeline das demais fontes, com a avaliação de fonte da nota 07 e a normalização do capítulo 03, e seus produtos dialogam com várias frentes da biblioteca. O monitoramento de credenciais conecta-se ao capítulo 04 por meio da telemetria de identidade, porque credencial exposta só vira incidente quando é usada, e o rastreamento de log de infostealer conecta-se ao inventário de ativos e ao processo de IR. O rastreamento de venda de acesso alimenta o EASM do capítulo 21, na verificação do perímetro real da organização.

A fronteira com o capítulo 13 é a mais importante e a mais delicada. Tudo o que esta nota desenha, o capítulo 13 usa em outro patamar, quando a organização decide não apenas observar o ecossistema, mas interagir com ele de forma controlada, com informantes, operações de contrainteligência e manipulação de informação. O rigor desta nota é o pré-requisito dessa evolução: OPSEC que não se sustenta para coleta não se sustenta para nada além dela, e a política de coleta ética escrita aqui é a base legal da operação avançada.