OSINT Brasil // Guia Técnico
Como Identificar Perfil Falso no Instagram
Metodologia completa de OSINT — análise comportamental, engenharia reversa de imagem, metadados, base legal aplicável (Marco Civil, LGPD, Código Penal) e o passo a passo formal de solicitação de dados à Meta.
Quem não controla a informação, vira alvo dela. Perfis falsos no Instagram são usados para golpes financeiros, assédio, difamação, engenharia social corporativa e fraude sentimental. Este guia reúne, em um único fluxo, todas as técnicas de verificação — do olhar humano à camada jurídica — para você concluir com segurança se um perfil é autêntico ou fabricado.
Aviso de responsabilidade: este conteúdo tem finalidade educativa e de defesa digital (investigação defensiva, due diligence, prevenção a fraude). O uso das técnicas aqui descritas deve respeitar a LGPD (Lei 13.709/2018), o Marco Civil da Internet (Lei 12.965/2014) e os Termos de Uso da Meta. Investigações com finalidade probatória judicial devem preservar cadeia de custódia (hash SHA-256, timestamp, testemunha instrumental).
1. Sinais Comportamentais e Visuais
1.1 Análise da foto de perfil
- Foto excessivamente profissional, estilo banco de imagens ou modelo/influenciador desconhecido.
- Ausência total de fotos "cruas" (sem produção, selfies cotidianas, fotos com outras pessoas nomeáveis).
- Fundo genérico, iluminação de estúdio, mesma "pessoa" aparecendo em ângulos improváveis para fotos amadoras.
1.2 Proporção seguidores / seguindo / publicações
Conta nova (poucos meses) com milhares de seguidores e zero engajamento real → indício forte de compra de seguidores.
Proporção "segue 5.000, é seguido por 300" → padrão típico de conta usada para spam/phishing em massa.
Poucas publicações (menos de 10) mas conta "ativa" há anos → perfil provavelmente reaproveitado ou dormente até uso recente.
1.3 Engajamento e qualidade dos comentários
- Curtidas altas com comentários genéricos ("😍😍", "top", emojis repetidos por contas sem histórico) → fazenda de bots.
- Comentários sempre dos mesmos 5-10 perfis, todos com padrão de conta recém-criada → cluster de contas fantoche (sockpuppets).
- Zero resposta a menções diretas ou perguntas em comentários — comportamento incompatível com pessoa real ativa.
1.4 Consistência narrativa da bio
- Localização, profissão e idioma divergentes entre bio, stories e legendas.
- Bio copiada de influenciador real (procure trecho exato via aspas no Google).
- Link na bio redirecionando para domínio suspeito, encurtador opaco ou WhatsApp com prefixo internacional incompatível com a localização alegada.
2. Engenharia Reversa de Imagem
A técnica mais eficaz para desmascarar perfis falsos: verificar se a foto já existe em outro lugar da internet, associada a outra pessoa ou contexto.
Google Lens / Google Imagens
Faça upload da foto de perfil e das fotos do feed. Busque resultados onde a mesma imagem aparece com nome diferente, ou em bancos de imagens (Shutterstock, Freepik, Pexels).
Yandex Images
Superior ao Google para reconhecimento facial e recorte de fundo — frequentemente encontra a fonte original quando o Google falha.
TinEye
Mostra a data mais antiga de indexação da imagem na web — útil para provar que a foto é anterior à criação do perfil investigado.
PimEyes / FaceCheck.id
Busca por reconhecimento facial em múltiplas fontes. Uso ético apenas em contexto de investigação defensiva ou due diligence legítima — nunca para assédio.
Dica de pivotamento (lógica Maltego): entidade (foto) → transform (busca reversa) → pivot (nome real encontrado) → grafo (redes sociais do titular real). Repita para cada imagem relevante do perfil suspeito e documente cada resultado com URL, data/hora e hash da captura de tela.
3. Metadados e Rastros Técnicos
3.1 Data de criação da conta
O Instagram não exibe publicamente a data de criação, mas é possível estimar por:
- Data da primeira publicação no feed (role até o final do grid).
- Ferramentas de terceiros que estimam idade da conta pelo intervalo de IDs numéricos (uso investigativo, não 100% preciso).
- Ausência de "Selo de conta verificada há X anos" em contas que alegam ser antigas.
3.2 Wayback Machine / Cache
- Consulte web.archive.org para versões arquivadas do perfil — mudanças de nome de usuário, foto e bio ao longo do tempo revelam reaproveitamento de conta.
- Google Cache e ferramentas de metasearch (cache:instagram.com/usuario) para capturas anteriores à possível remoção de conteúdo incriminador.
3.3 Correlação entre plataformas (cross-platform OSINT)
- Busque o mesmo @username em outras redes (Twitter/X, TikTok, Facebook, LinkedIn) — perfis falsos raramente mantêm consistência multi-plataforma.
- Ferramentas de metasearch de username: Namechk, WhatsMyName, Sherlock (uso técnico).
- Verifique se o número de WhatsApp vinculado (quando exposto) aparece em bases de vazamento público — CPF/telefone associado a identidade divergente é forte indício de fraude.
4. Checklist Rápido de Verificação
| Critério | Perfil autêntico | Perfil suspeito |
|---|
| Fotos "cruas" do cotidiano | Presentes | Ausentes |
| Engajamento nos comentários | Diversificado e coerente | Genérico / bots repetidos |
| Presença cross-platform | Consistente | Inexistente ou contraditória |
| Data de criação x volume de conteúdo | Compatível | Conta nova com histórico "antigo demais" |
| Busca reversa de imagem | Sem correspondência externa | Foto associada a outra pessoa/banco de imagens |
| Link na bio | Domínio verificável | Encurtador opaco / phishing |
5. Base Legal Aplicável no Brasil
Código Penal
Art. 307 (Falsa identidade): atribuir-se ou atribuir a terceiro falsa identidade para obter vantagem, em proveito próprio ou alheio, ou para causar dano a outrem.
Art. 171 (Estelionato): quando o perfil falso é usado para induzir a vítima a erro visando vantagem patrimonial ilícita.
Art. 138-140 (Calúnia, difamação, injúria): quando o perfil falso é usado para atacar a honra de terceiros.
Marco Civil da Internet (Lei 12.965/2014)
Art. 22: a parte interessada pode requerer ao juiz que ordene ao provedor o fornecimento de registros de conexão ou de acesso a aplicações, mediante fundados indícios de ilícito e justificativa da utilidade dos registros para instrução processual.
Art. 15: provedores de aplicação devem manter registros de acesso por 6 meses.
LGPD (Lei 13.709/2018)
Rege o tratamento de dados pessoais na coleta e uso de informações durante a investigação — mesmo em contexto de OSINT defensivo, dados sensíveis de terceiros não envolvidos devem ser minimizados e tratados com finalidade legítima documentada.
6. Como Solicitar Dados Diretamente à Meta
A Meta (empresa controladora do Instagram) possui um canal formal para autoridades e, em casos específicos, para vítimas diretas de violação de direitos.
6.1 Canal oficial — Law Enforcement Online Requests System
2 O requerente deve ser autoridade policial, Ministério Público ou parte com ordem judicial — pessoas físicas não conseguem requisitar dados de identificação diretamente, apenas denunciar conteúdo.
3 Anexe a ordem judicial (ou ofício de investigação) especificando o @username, URL do perfil e os dados requeridos (IP de registro, e-mail e telefone de cadastro, logs de acesso).
4 Solicite, paralelamente, a preservação de dados (data preservation request) — evita que o conteúdo seja apagado durante o trâmite da ordem judicial definitiva.
6.2 Denúncia direta pelo app (qualquer usuário)
- Acesse o perfil suspeito → toque nos três pontos (⋮) → "Denunciar".
- Selecione "Está fingindo ser outra pessoa" → escolha entre "eu", "alguém que conheço" ou "uma celebridade/figura pública".
- Anexe documento de identidade (quando a denúncia for de personificação de si mesmo) via formulário específico de "Conta de Personificação".
- Acompanhe o status em Configurações → Central de Denúncias.
6.3 Base pública de transparência
Consulte o Lumen Database para pesquisar solicitações legais e remoções de conteúdo já processadas pela Meta e outras plataformas — útil para benchmarking de casos similares e jurisprudência de fato.
Importante: a Meta não fornece nome real, CPF ou documentos de identidade sem ordem judicial válida, mesmo mediante boletim de ocorrência isolado. O fluxo mais eficaz para vítimas é: (1) B.O. na delegacia de crimes cibernéticos, (2) requerimento ao Ministério Público ou petição judicial com base no art. 22 do Marco Civil, (3) protocolo formal no canal de autoridades da Meta.
7. Documentação e Cadeia de Custódia
Se a investigação puder se tornar prova judicial, siga rigor forense desde o primeiro print:
- Capture cada evidência com timestamp visível (ferramenta de captura com data/hora do sistema).
- Gere hash SHA-256 de cada arquivo de evidência imediatamente após a captura.
- Registre URL completa, data e hora (fuso horário) de cada verificação.
- Preserve o conteúdo em ata notarial quando houver risco de exclusão pelo autor do perfil falso.
- Centralize tudo em um dossiê com metodologia declarada (HUMINT + SIGINT + GEOINT) para dar peso probatório e replicabilidade.
Comentários
Postar um comentário