O OSINT Framework completa mais de uma década como ponto de partida gratuito para investigação em fontes abertas; sua manutenção contínua no GitHub e a adoção crescente por peritos, jornalistas e equipes de investigação renovam a pergunta sobre o valor probatório do que dele resulta.
O que é?
O OSINT Framework é um diretório web gratuito, estruturado em árvore navegável, que organiza e indexa ferramentas e recursos de OSINT (Open Source Intelligence, inteligência de fontes abertas). O projeto foi criado por Justin Nordine e é mantido no repositório lockfale/osint-framework, sob licença MIT, com o código construído majoritariamente em JavaScript, CSS, Python e HTML. O framework não coleta, processa ou armazena dado algum; sua função é indexar, por categoria, centenas de ferramentas de terceiros (buscadores, plataformas de redes sociais, bancos de registros públicos, serviços de geolocalização, recursos de dark web, entre outros), com marcação visual para indicar quando um recurso exige cadastro ou oferece camada paga além do acesso gratuito.
O OSINT Framework não é uma ferramenta de coleta, não é um agregador de dados proprietário e não substitui perícia técnica; é curadoria de links organizada por finalidade investigativa, originalmente pensada sob a ótica de segurança da informação e hoje estendida a outras disciplinas, por sugestão explícita do próprio mantenedor.
Para que serve?
A função do framework é orientar quem investiga a partir de fonte aberta sobre qual ferramenta gratuita existe para cada tipo de dado que se pretende localizar, evitando dispersão de busca e redundância de esforço. Serve a públicos distintos, cada um com finalidade própria:
Investigação policial e persecução penal — localização de perfis, endereços de e-mail, domínios, números de telefone e vestígios digitais associados a um investigado, vítima ou testemunha, como etapa preliminar à instauração de medida invasiva.
Due diligence e compliance — verificação de antecedentes, vínculos societários e exposição pública de uma pessoa física ou jurídica antes de uma relação contratual ou societária.
Segurança da informação e pentest — mapeamento de superfície de ataque de uma organização a partir de dado publicamente exposto (reconhecimento passivo).
Jornalismo investigativo e defesa técnica — verificação de fato, checagem de autoria de conteúdo e produção de contraprova a partir de fonte aberta, inclusive para a defesa técnica que pretende contestar narrativa acusatória.
Como funciona?
Tecnicamente, o framework é uma árvore de nós renderizada em página estática: cada categoria de topo (username, e-mail, domínio, endereço IP, redes sociais, imagem/vídeo, metadado, registro público, dark web, entre outras) se ramifica em subcategorias e, na folha, em links individuais para ferramentas de terceiros. O usuário navega clicando nos nós; ícones indicam quando o recurso subjacente exige registro (T) ou possui componente pago (M), conforme convenção mantida no próprio JSON de dados do projeto (arf.json). Não há automação, não há API de consulta agregada, não há alerta em tempo real: cada ferramenta listada é acessada individualmente, no site do terceiro, com a interface e as condições de uso daquele terceiro.
Essa arquitetura implica dependência total da atualização voluntária da comunidade: um recurso pode mudar de endereço, encerrar operação ou alterar política de acesso sem que o framework reflita a mudança de imediato. Não há verificação centralizada de que cada ferramenta listada preserve integridade do dado coletado, gere hash de evidência ou documente proveniência; essa responsabilidade recai inteiramente sobre quem investiga, ferramenta a ferramenta.
Como aplicar na prática do Direito Penal e Processo Penal?
A questão central não é o framework em si — que é apenas índice — mas o regime jurídico aplicável ao dado obtido através das ferramentas nele listadas. Fonte aberta não equivale a prova lícita por definição; a licitude depende de como o dado foi acessado, de sua natureza (público em sentido amplo ou dado pessoal protegido) e da cadeia de custódia observada a partir da coleta.
Sobre a preservação de integridade do vestígio digital assim coletado, incide o regime dos arts. 158-A a 158-F do Código de Processo Penal, incluídos pela Lei 13.964/2019 (Pacote Anticrime):
Art. 158-A, caput, do Código de Processo Penal (Lei 13.964/2019). "Considera-se cadeia de custódia o conjunto de todos os procedimentos utilizados para manter e documentar a história cronológica do vestígio coletado em locais ou em vítimas de crimes, para rastrear sua posse e manuseio a partir de seu reconhecimento até o descarte."
O Superior Tribunal de Justiça já assentou, em precedente amplamente noticiado, que a ausência de integralidade e de documentação da cadeia de custódia da prova digital pode levar à anulação da condenação nela fundada; a exigência de rastreabilidade cronológica e de registro de cada etapa (reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte, conforme o art. 158-B) aplica-se, por identidade de razão, ao vestígio obtido por OSINT sempre que ele instrua investigação ou seja incorporado a processo penal, ainda que a fonte original seja pública. Colher um dado de rede social ou de registro público sem documentar data, hora, método e responsável pela coleta, sem gerar hash de integridade do arquivo capturado e sem viabilizar reprodução posterior compromete a idoneidade probatória do achado, independentemente da licitude do acesso original.
Sobre a natureza do dado, aplica-se a Lei 13.709/2018 (Lei Geral de Proteção de Dados Pessoais, LGPD) sempre que a informação coletada for dado pessoal, ainda que publicamente acessível: a circunstância de um dado estar disponível em rede social ou registro público não o retira do regime de proteção nem autoriza tratamento irrestrito, devendo a coleta observar finalidade, necessidade e, no âmbito da persecução penal, as hipóteses específicas de tratamento de dados para fins de investigação e repressão de infrações penais.
Há divergência relevante, ainda não pacificada de modo uniforme na doutrina processual penal brasileira, sobre dois pontos que a prática de OSINT expõe com frequência: primeiro, se a coleta de dado de perfil de rede social configurado como público prescinde de autorização judicial ou se, a depender do grau de exposição e da expectativa de privacidade do titular, a medida se aproxima de quebra de sigilo que reclamaria ordem judicial; segundo, se a mera indexação, pelo framework, de ferramenta de terceiro que oferece dado obtido por scraping ou por vazamento presumido contamina, por si, o uso investigativo do resultado. Nenhuma das duas questões comporta resposta uniforme sem exame do caso concreto e da ferramenta especificamente utilizada; a afirmação de que "dado público não precisa de autorização" é insuficiente como regra geral e deve ser evitada em fundamentação.
Em termos simples
O OSINT Framework funciona como um índice de biblioteca pública: ele não contém os livros, apenas indica em qual estante e em qual seção cada assunto está guardado. Quem usa o índice ainda precisa ir até a estante, retirar o livro certo e, se pretender usá-lo como prova de algo, anotar de onde tirou, quando tirou e manter o livro intacto até apresentá-lo; o índice não faz nada disso por quem o consulta.
POP — Procedimento Operacional Padrão
Nível 1 — Operação básica
Acessar o site osintframework.com, sem necessidade de cadastro ou instalação.
Selecionar a categoria de topo correspondente ao dado buscado (por exemplo, username, e-mail, domínio, imagem).
Navegar pelos nós filhos até a ferramenta específica listada na folha da árvore.
Observar os ícones de marcação (registro exigido ou componente pago) antes de abrir o link de terceiro.
Acessar a ferramenta indicada no site do próprio terceiro e executar ali a consulta.
Registrar o resultado obtido (captura de tela, exportação ou anotação) fora do framework, que não armazena histórico de consulta.
Nível 2 — Uso no Processo Penal
Verificar a legitimidade e a necessidade da diligência: se o dado buscado for público em sentido estrito, documentar o fundamento da coleta espontânea; se houver dúvida sobre expectativa de privacidade do titular, avaliar previamente a necessidade de autorização judicial.
Preservar a fonte original antes da coleta, evitando alteração do estado do dado (por exemplo, curtidas, comentários ou interações que modifiquem o conteúdo observado).
Documentar cada coleta com data, hora, método, ferramenta utilizada (dentre as indexadas pelo framework) e identificação do responsável pelo ato.
Gerar hash de integridade do arquivo capturado (captura de tela, PDF, exportação de dado) no momento da coleta, e não posteriormente.
Constituir cadeia de custódia documentada desde o reconhecimento até o eventual descarte, na forma dos arts. 158-A a 158-F do Código de Processo Penal, com rastreamento de cada etapa (reconhecimento, isolamento, fixação, coleta, acondicionamento, transporte, recebimento, processamento, armazenamento e descarte).
Elaborar registro apto ao contraditório: relatório com método replicável, indicação de cada ferramenta de terceiro efetivamente usada e viabilidade de nova consulta por perito da parte contrária, tanto quanto o estado dinâmico da fonte original permitir.
Sinalizar, no relatório, pontos de risco: possibilidade de a ferramenta de terceiro indexada pelo framework operar com dado obtido por scraping ou vazamento presumido, tratamento de dado pessoal sensível eventualmente presente no resultado (à luz da Lei 13.709/2018), e risco de viés de automação quando a ferramenta de terceiro aplicar reconhecimento facial, geolocalização inferida ou correlação automatizada de identidade.
Glossário
OSINT (Open Source Intelligence) — inteligência produzida a partir de dado disponível em fonte aberta, isto é, acessível sem burla de mecanismo de proteção ou autenticação restrita.
Reconhecimento passivo — coleta de informação sobre um alvo sem interação direta que o alerte da observação, típica de OSINT e de fase preliminar de segurança da informação.
Scraping — extração automatizada de dado de página web, usualmente sem autorização expressa da plataforma de origem, o que pode violar termos de uso mesmo quando o dado subjacente é público.
Cadeia de custódia — conjunto de procedimentos que documenta a história cronológica do vestígio, do reconhecimento ao descarte, para preservar sua idoneidade como prova (art. 158-A do CPP).
Hash de integridade — valor gerado por função criptográfica a partir do conteúdo de um arquivo, usado para comprovar que o arquivo não foi alterado entre a coleta e a apresentação como prova.
Dado pessoal — informação relacionada a pessoa natural identificada ou identificável, sujeita ao regime da Lei 13.709/2018 (LGPD) ainda que publicamente acessível.