Rastreador de Perfis: Como Investigar Pessoas Online com OSINT em 2026

Rastreador de perfis é qualquer ferramenta ou método que parte de um identificador — username, e-mail, foto, número — e descobre todas as contas e rastros que essa pessoa deixou online. O bom não é mágico: é OSINT estruturado. Em 30 minutos, com as ferramentas certas, você sai de um nick do Instagram para um mapa de presença digital que revela LinkedIn, e-mails antigos, fóruns esquecidos, vazamentos e — se quiser ir até o fim — CPF, CNPJ e patrimônio.

Esse guia mostra o método. Não a propaganda. Você vai aprender a fazer manualmente (de graça, com Sherlock e Maigret), entender quando isso para de funcionar, e onde uma plataforma profissional faz o trabalho que 8 abas de navegador não conseguem.

O que é um rastreador de perfis?

Rastreador de perfis é o nome popular para ferramentas de username enumeration — varredura de nome de usuário em centenas (ou milhares) de plataformas. Você fornece um nick. A ferramenta consulta cada site da lista e retorna onde aquele username está registrado.

Soa simples. É. A engenharia por trás é só HTTP request + parsing de resposta. O valor não está na ferramenta — está no que você faz depois.

Esse tipo de ferramenta vive dentro de uma disciplina maior: OSINT (Open Source Intelligence). OSINT é a coleta e análise de informações em fontes abertas — qualquer dado disponível publicamente, sem invadir, hackear, ou pagar suborno. Rastrear perfis é uma das aplicações mais comuns de OSINT, ao lado de investigação empresarial e Google Dorking.

A diferença entre um curioso e um investigador profissional não é a ferramenta — é o que ele faz com a lista de URLs que aparece na tela.

Por que rastrear perfis virou habilidade essencial em 2026

Três coisas mudaram nos últimos anos.

Primeiro, fraude online explodiu. O Brasil registrou 12,8 milhões de tentativas de fraude de identidade em 2024, segundo o Indicador Serasa Experian. Boa parte usa perfis falsos como vetor — golpe do falso namorado, falso recrutador, falso advogado, falso chefe. Identificar quem está por trás virou skill defensiva básica.

Segundo, due diligence ficou mais agressiva. Empresas e escritórios de advocacia não confiam mais só em CPF + Receita. Antes de fechar contrato, querem saber: esse fornecedor tem perfil em fórum de fraudadores? Esse executivo tinha conta em site de extremismo? Esse "investidor" deixou rastro em fóruns de pump-and-dump? Username search responde em minutos o que background check tradicional ignora.

Terceiro, a lei amadureceu. A LGPD (Lei 13.709/2018) deu base legal clara para uso de dados públicos com finalidade legítima. A Lei 14.155/2021 endureceu penas para crimes digitais. Rastrear perfil para defesa em processo, compliance ou jornalismo é atividade reconhecida — desde que dentro do limite. (Voltamos ao limite mais à frente.)

Quem busca isso hoje? Advogado preparando contestação. Compliance officer fazendo onboarding. Jornalista checando fonte. Vítima de golpe juntando provas. Pai preocupado com quem o filho fala. RH validando candidato. Cada um chega pelo mesmo guia.

Como rastrear um perfil pelo username (método em 4 passos)

Esse é o caminho que funciona. Sem atalho, sem app que promete milagre.

Passo 1: Pegue o username verdadeiro

Username não é nome. "João Silva" não é username. joaosilva92, js_oficial, joao.silva.atleta — esses são. O username é o handle que aparece na URL: instagram.com/joaosilva92.

Antes de rodar qualquer ferramenta, verifique se o username é realmente único. Pessoas reutilizam o mesmo handle em vários lugares por preguiça (ótimo para investigador). Mas algumas usam handles diferentes em cada plataforma. Comece pelo Instagram ou Twitter/X — provavelmente é onde a pessoa criou primeiro.

Passo 2: Rode Sherlock ou Maigret

Sherlock é a ferramenta clássica. Open source, escrita em Python, mantida há 7 anos. Consulta o username em mais de 400 sites e retorna URL por URL onde a conta existe.

pip install sherlock-project
sherlock joaosilva92

Maigret é a evolução do Sherlock. Mesma ideia, mas vai mais fundo: além de detectar a conta, extrai dados da página de perfil (foto, bio, e-mail às vezes exposto, links). Roda em mais de 3.000 sites.

pip install maigret
maigret joaosilva92 --html

Resultado: relatório com cada plataforma onde o username existe. Em 60 segundos você tem um mapa que levaria 4 horas de cliques manuais.

Heads-up honesto: se você nunca abriu terminal, isso vai parecer hostil. A boa notícia: rodar pip install sherlock-project no Mac ou Linux não é arquitetura de foguete. A má: ferramentas web "Sherlock online" que você acha no Google geralmente são versões mancas, com lista pequena de sites, ou simplesmente isca de phishing.

Passo 3: Valide manualmente

Aqui o investigador separa do amador. Sherlock e Maigret têm falsos positivos. Plataformas mudam HTML, retornam 200 mesmo quando username não existe, ou bloqueiam a varredura.

Para cada URL no relatório, você precisa abrir e confirmar:

• A conta existe mesmo?
• É a mesma pessoa? (Foto, bio, data de criação, padrão de postagem batem?)
• Está ativa?

Atalho útil: Namechk (namechk.com) — site web que faz checagem visual rápida. Não substitui Sherlock, mas ajuda a confirmar.

Passo 4: Cruze e correlacione

Lista de 25 perfis ativos não é investigação. É só dado bruto. O trabalho real começa agora.

Para cada perfil confirmado, extraia:

• E-mail exposto na bio
• Link de site pessoal ou portfólio
• Cidade/empresa mencionada
• Foto de perfil (rode reverse image search no Google Images e no Yandex — Yandex é muito melhor para rosto)
• Datas de criação da conta
• Conexões públicas (quem segue, quem é seguido)

Depois, cruze tudo. Mesmo e-mail aparece em 3 perfis? Você confirmou que é a mesma pessoa. Foto do Instagram bate com perfil do LinkedIn corporativo? Você ligou identidade pessoal a profissional. Site pessoal tem CNPJ no rodapé? Você acabou de pular do mundo digital para o mundo formal — e aí a investigação muda de patamar.

Como investigar um perfil suspeito ou fake

Caso de uso recorrente: você desconfia que o perfil que está te contatando é falso. Namorada virtual que sumiu, recrutador que pede taxa, "advogado" oferecendo acordo milagroso, dona de loja que sumiu com o pagamento.

Cinco verificações que matam 80% dos fakes em 10 minutos:

1. Reverse image search da foto de perfil. Salve a foto. Suba no Google Images, Yandex Images e TinEye. Se a foto aparece em 14 sites diferentes (incluindo banco de imagens, perfil de modelo russa, agência de modelos) — é fake. Yandex pega rostos que o Google ignora.

2. Análise de metadados (EXIF) das fotos postadas. Algumas redes (especialmente Telegram e plataformas menores) deixam EXIF passar. Ferramentas como exiftool extraem coordenadas GPS, modelo do celular, software de edição. Conta diz que está em São Paulo mas a foto foi tirada na Romênia? Bandeira vermelha.

3. Padrão temporal das postagens. Perfis reais têm picos: tarde do trabalho, fim de semana, feriado nacional. Perfis falsos operados por farm de bots postam em horários estranhos (3h da manhã horário BR), no mesmo intervalo todos os dias, e somem em horário de almoço de São Petersburgo.

4. Idade da conta vs. atividade. Conta criada em 2017 com 8 posts? Provavelmente comprada de quem vende perfis envelhecidos para parecer legítima. Conta criada há 2 meses com 4.000 seguidores comprados? Mais óbvio ainda.

5. Vazamentos. Suba o e-mail (se tiver) no HaveIBeenPwned. E-mail real aparece em vazamentos de 2014, 2018, 2021. E-mail recém-criado para o golpe não aparece em lugar nenhum. Um e-mail "limpo demais" é suspeito.

Para casos sérios — golpe de valor alto, ameaça, calúnia em processo — a investigação OSINT serve para construir indício suficiente para fundamentar um pedido judicial à plataforma. O IP, dispositivo e localização real só saem com ordem do juiz. Quem promete entregar isso em 1 clique está cometendo crime (ou enganando você).

Vale lembrar: perfis falsos são frequentemente parte de operações maiores de fraude de identidade sintética. O perfil fake é a fachada. Por trás, costuma ter CPF de laranja, CNPJ aberto em nome de testa-de-ferro, conta-laranja para receber.

As melhores ferramentas de rastreamento de perfis

Tabela honesta. Inclui o que é gratuito, o que é profissional, e o que é teatro.

Quando você parte do e-mail ou do telefone, não do username

Sherlock e Maigret são ótimos quando você já tem o username. E quando você tem só um e-mail vazado, ou um número de telefone que alguém te passou? Aí o fluxo vira.

O Rastro, ferramenta nativa do Sherlocker, resolve exatamente isso. Você joga o e-mail ou o telefone e ele varre centenas de plataformas em tempo real, retornando:

• Redes sociais — Instagram, LinkedIn, Facebook, Twitter/X, TikTok, GitHub, Strava, Duolingo, dezenas de outras
• Vazamentos — credenciais expostas e incidentes de segurança ligados àquele contato
• Fotos de perfil — avatares públicos recuperados automaticamente (pula a etapa manual de reverse image)
• Domínios e DNS — WHOIS e infraestrutura digital associada ao e-mail
• Aplicativos — cadastros em apps de estilo de vida, compras, serviços
• Geolocalização — check-ins e dados públicos de localização extraídos

É o caminho inverso do Sherlock: em vez de username → perfis, é e-mail/telefone → perfis + infra digital + vazamentos. Útil em três cenários que aparecem toda semana:

• Golpe: vítima só tem o telefone (ou e-mail) do golpista. Username, nem sinal.
• Diligência: você tem só o e-mail corporativo do sócio ou fornecedor e quer mapear a presença real dele.
• OSINT de lead: tem o e-mail comercial do decisor e quer saber onde ele vive no digital antes da call.

Testar o Rastro — 25 tokens por consulta, sem contrato, primeira investigação em 2 minutos.

Verdade desconfortável: nenhuma dessas ferramentas faz tudo sozinha. Sherlock encontra os perfis. Maigret extrai dados. Maltego conecta. PimEyes faz facial. Cada uma resolve um pedaço.

O motivo do Sherlocker existir é exatamente esse — a maior parte do tempo numa investigação séria não é encontrar perfil, é conectar o perfil ao mundo offline: CPF, CNPJ, processos, sócios, patrimônio, grupo econômico. Aí ferramenta gringa não ajuda. Receita Federal, JUCESP, TJ-SP, Diário Oficial, registros de imóveis — tudo brasileiro, tudo fragmentado.

Quem investiga pessoa física no Brasil termina em algum momento usando uma plataforma BR. A pergunta é se vai pagar caro pela enterprise (Neoway, upLexis) ou usar um self-service que custa o equivalente a duas pizzas e meia por mês. Veja o Sherlocker.

O limite legal: o que LGPD permite e o que vira crime

Aqui é onde o guia separa OSINT de crime. Leia com atenção.

Permitido:

• Coletar e analisar dados públicos disponíveis (perfis abertos, posts públicos, registros públicos)
• Usar resultados para finalidade legítima: compliance, due diligence, jornalismo, defesa em processo, segurança própria
• Documentar evidências para uso judicial
• Cruzar dados públicos com bases legais (Receita, Junta Comercial, Diário Oficial)

Proibido — crime:

• Acessar conta protegida por senha, mesmo que a senha seja fraca: invasão de dispositivo (Art. 154-A do Código Penal, Lei 12.737/2012, conhecida como Lei Carolina Dieckmann). Pena: 1 a 4 anos.
• Obter IP, dispositivo, localização real sem ordem judicial à plataforma
• Vigilância obsessiva e persistente contra pessoa identificada com intenção de intimidar: stalking (Art. 147-A do CP, incluído pela Lei 14.132/2021). Pena: 6 meses a 2 anos.
• Usar dados coletados para chantagem, extorsão, fraude — agora caem na Lei 14.155/2021, com pena agravada
• Tratar dado pessoal sem base legal da LGPD — multa pode chegar a R$ 50 milhões para empresas

A linha é clara, embora pareça borrada: OSINT é olhar o que está público com finalidade legítima. Se você precisaria de senha, ordem judicial ou má-fé para chegar até o dado, parou de fazer OSINT — começou a cometer crime.

Para investigador profissional, o ponto crítico é finalidade legítima documentável. Compliance, due diligence, ação judicial em curso, segurança patrimonial, jornalismo de interesse público — todos cobertos. Curiosidade pessoal sobre ex-parceiro? Não. Vingança contra colega? Definitivamente não. Vendendo dossiê para terceiro sem consentimento? Crime.

Do username ao patrimônio: por que perfil é só o início

Agora a parte que ninguém no top do Google diz com clareza.

Encontrar o perfil é o passo 1 de 10. O que importa em investigação séria é o que aquela pessoa controla no mundo real. Bens, empresas, sócios, processos. É aí que a investigação digital encontra a investigação patrimonial — e onde ferramenta gringa para de ajudar.

Caso real do dia a dia: cliente chega ao escritório de advocacia. Perdeu R$ 380 mil num "investimento" via DM no Instagram. O perfil sumiu. Quer saber se vale a pena processar.

Investigação OSINT clássica encontra:

• Username @xxxinvest_br em 12 outras plataformas
• Foto de perfil é de modelo americana (Yandex confirmou)
• E-mail exposto na bio do Telegram
• E-mail aparece em vazamento de 2019, ligado a um nome real
• Nome real tem LinkedIn ativo, mora em Curitiba

Boa notícia? O sujeito existe. Investigação termina aí?

Não. Próxima pergunta do advogado: vale a pena processar? Tem patrimônio para penhorar? Tem CNPJ aberto? Tem outros processos? Tem bens em nome de sócios ocultos ou laranjas? Tem empresas no mesmo grupo econômico?

Para responder, você sai do mundo do username e entra no mundo do CPF, CNPJ, JUCESP, Receita, processos, registros de imóveis, veículos. Aí o OSINT internacional não serve mais. Você precisa de fonte BR cruzada — ou volta para 15 abas abertas, planilha de Excel, e dois dias de trabalho manual.

O Sherlocker existe por causa desse buraco. A gente cruza fonte BR com inteligência investigativa: você digita o nome, ou CPF, ou CNPJ, e em segundos tem o grafo de conexões — pessoas vinculadas, empresas, processos, bens visíveis. O perfil que você encontrou no Instagram vira o nó inicial. O resto do mapa aparece sozinho.

Teste o Sherlocker grátis — sem contrato, sem reunião comercial. Faça a primeira investigação em 5 minutos.

Perguntas frequentes

Existe rastreador de perfil gratuito que funciona de verdade?

Sim. Sherlock e Maigret são open source, rastreiam um username em centenas ou milhares de sites e funcionam no terminal. Ferramentas web prontas (sem instalar) costumam ser bem mais limitadas — a maioria é só fachada de venda.

Posso rastrear o IP de um perfil do Instagram?

Não pelo aplicativo. O IP fica no servidor da Meta e só sai com ordem judicial. Quem promete "descobrir IP do Instagram" em 1 clique está vendendo golpe ou phishing.

O que é OSINT e por que importa para rastrear perfis?

OSINT (Open Source Intelligence) é a coleta e análise de informações em fontes abertas — redes sociais, registros públicos, vazamentos, arquivos web. Para rastrear perfis, OSINT é o método; ferramenta é só execução.

Qual a diferença entre stalking e investigação OSINT?

Stalking é vigilância obsessiva contra pessoa identificada, com intenção de controle ou intimidação — crime previsto no Art. 147-A do Código Penal. Investigação OSINT tem finalidade legítima (compliance, due diligence, jornalismo, defesa em processo) e respeita LGPD e limites legais.

Como rastrear quem está por trás de um perfil fake?

Combinação de username search (Sherlock/Maigret), reverse image search das fotos (Google Images, Yandex, PimEyes), análise de horários de postagem, cruzamento com vazamentos de e-mail (HaveIBeenPwned). Para uso em processo, precisa de ordem judicial para a plataforma.

Rastrear perfil é skill que paga em qualquer profissão hoje — advogado, compliance, jornalista, RH, segurança patrimonial. O método não é segredo. Sherlock + Maigret + reverse image search + verificação manual te leva longe, de graça, em qualquer lugar do mundo.

A linha onde a ferramenta gratuita para é a mesma onde a investigação séria começa: cruzar o digital com o formal brasileiro. Aí você precisa de plataforma com fontes BR integradas e grafo de conexões. Conheça o Sherlocker — é a ferramenta que faltava entre 15 abas abertas e os R$ 5 mil/mês de uma enterprise.