Rastreador de Perfis: Como Investigar Pessoas Online com OSINT em 2026

Rastreador de perfis é qualquer ferramenta ou método que parte de um identificador — username, e-mail, foto, número — e descobre todas as contas e rastros que essa pessoa deixou online. O bom não é mágico: é OSINT estruturado. Em 30 minutos, com as ferramentas certas, você sai de um nick do Instagram para um mapa de presença digital que revela LinkedIn, e-mails antigos, fóruns esquecidos, vazamentos e — se quiser ir até o fim — CPF, CNPJ e patrimônio.

Esse guia mostra o método. Não a propaganda. Você vai aprender a fazer manualmente (de graça, com Sherlock e Maigret), entender quando isso para de funcionar, e onde uma plataforma profissional faz o trabalho que 8 abas de navegador não conseguem.

O que é um rastreador de perfis?

Rastreador de perfis é o nome popular para ferramentas de username enumeration — varredura de nome de usuário em centenas (ou milhares) de plataformas. Você fornece um nick. A ferramenta consulta cada site da lista e retorna onde aquele username está registrado.

Soa simples. É. A engenharia por trás é só HTTP request + parsing de resposta. O valor não está na ferramenta — está no que você faz depois.

Esse tipo de ferramenta vive dentro de uma disciplina maior: OSINT (Open Source Intelligence). OSINT é a coleta e análise de informações em fontes abertas — qualquer dado disponível publicamente, sem invadir, hackear, ou pagar suborno. Rastrear perfis é uma das aplicações mais comuns de OSINT, ao lado de investigação empresarial e Google Dorking.

A diferença entre um curioso e um investigador profissional não é a ferramenta — é o que ele faz com a lista de URLs que aparece na tela.

Por que rastrear perfis virou habilidade essencial em 2026

Três coisas mudaram nos últimos anos.

Primeiro, fraude online explodiu. O Brasil registrou 12,8 milhões de tentativas de fraude de identidade em 2024, segundo o Indicador Serasa Experian. Boa parte usa perfis falsos como vetor — golpe do falso namorado, falso recrutador, falso advogado, falso chefe. Identificar quem está por trás virou skill defensiva básica.

Segundo, due diligence ficou mais agressiva. Empresas e escritórios de advocacia não confiam mais só em CPF + Receita. Antes de fechar contrato, querem saber: esse fornecedor tem perfil em fórum de fraudadores? Esse executivo tinha conta em site de extremismo? Esse "investidor" deixou rastro em fóruns de pump-and-dump? Username search responde em minutos o que background check tradicional ignora.

Terceiro, a lei amadureceu. A LGPD (Lei 13.709/2018) deu base legal clara para uso de dados públicos com finalidade legítima. A Lei 14.155/2021 endureceu penas para crimes digitais. Rastrear perfil para defesa em processo, compliance ou jornalismo é atividade reconhecida — desde que dentro do limite. (Voltamos ao limite mais à frente.)

Quem busca isso hoje? Advogado preparando contestação. Compliance officer fazendo onboarding. Jornalista checando fonte. Vítima de golpe juntando provas. Pai preocupado com quem o filho fala. RH validando candidato. Cada um chega pelo mesmo guia.

Como rastrear um perfil pelo username (método em 4 passos)

Esse é o caminho que funciona. Sem atalho, sem app que promete milagre.

Passo 1: Pegue o username verdadeiro

Username não é nome. "João Silva" não é username. joaosilva92, js_oficial, joao.silva.atleta — esses são. O username é o handle que aparece na URL: instagram.com/joaosilva92.

Antes de rodar qualquer ferramenta, verifique se o username é realmente único. Pessoas reutilizam o mesmo handle em vários lugares por preguiça (ótimo para investigador). Mas algumas usam handles diferentes em cada plataforma. Comece pelo Instagram ou Twitter/X — provavelmente é onde a pessoa criou primeiro.

Passo 2: Rode Sherlock ou Maigret

Sherlock é a ferramenta clássica. Open source, escrita em Python, mantida há 7 anos. Consulta o username em mais de 400 sites e retorna URL por URL onde a conta existe.

pip install sherlock-project
sherlock joaosilva92

Maigret é a evolução do Sherlock. Mesma ideia, mas vai mais fundo: além de detectar a conta, extrai dados da página de perfil (foto, bio, e-mail às vezes exposto, links). Roda em mais de 3.000 sites.

pip install maigret
maigret joaosilva92 --html

Resultado: relatório com cada plataforma onde o username existe. Em 60 segundos você tem um mapa que levaria 4 horas de cliques manuais.

Heads-up honesto: se você nunca abriu terminal, isso vai parecer hostil. A boa notícia: rodar pip install sherlock-project no Mac ou Linux não é arquitetura de foguete. A má: ferramentas web "Sherlock online" que você acha no Google geralmente são versões mancas, com lista pequena de sites, ou simplesmente isca de phishing.

Passo 3: Valide manualmente

Aqui o investigador separa do amador. Sherlock e Maigret têm falsos positivos. Plataformas mudam HTML, retornam 200 mesmo quando username não existe, ou bloqueiam a varredura.

Para cada URL no relatório, você precisa abrir e confirmar:

• A conta existe mesmo?
• É a mesma pessoa? (Foto, bio, data de criação, padrão de postagem batem?)
• Está ativa?

Atalho útil: Namechk (namechk.com) — site web que faz checagem visual rápida. Não substitui Sherlock, mas ajuda a confirmar.

Passo 4: Cruze e correlacione

Lista de 25 perfis ativos não é investigação. É só dado bruto. O trabalho real começa agora.

Para cada perfil confirmado, extraia:

• E-mail exposto na bio
• Link de site pessoal ou portfólio
• Cidade/empresa mencionada
• Foto de perfil (rode reverse image search no Google Images e no Yandex — Yandex é muito melhor para rosto)
• Datas de criação da conta
• Conexões públicas (quem segue, quem é seguido)

Depois, cruze tudo. Mesmo e-mail aparece em 3 perfis? Você confirmou que é a mesma pessoa. Foto do Instagram bate com perfil do LinkedIn corporativo? Você ligou identidade pessoal a profissional. Site pessoal tem CNPJ no rodapé? Você acabou de pular do mundo digital para o mundo formal — e aí a investigação muda de patamar.

Como investigar um perfil suspeito ou fake

Caso de uso recorrente: você desconfia que o perfil que está te contatando é falso. Namorada virtual que sumiu, recrutador que pede taxa, "advogado" oferecendo acordo milagroso, dona de loja que sumiu com o pagamento.

Cinco verificações que matam 80% dos fakes em 10 minutos:

1. Reverse image search da foto de perfil. Salve a foto. Suba no Google Images, Yandex Images e TinEye. Se a foto aparece em 14 sites diferentes (incluindo banco de imagens, perfil de modelo russa, agência de modelos) — é fake. Yandex pega rostos que o Google ignora.

2. Análise de metadados (EXIF) das fotos postadas. Algumas redes (especialmente Telegram e plataformas menores) deixam EXIF passar. Ferramentas como exiftool extraem coordenadas GPS, modelo do celular, software de edição. Conta diz que está em São Paulo mas a foto foi tirada na Romênia? Bandeira vermelha.

3. Padrão temporal das postagens. Perfis reais têm picos: tarde do trabalho, fim de semana, feriado nacional. Perfis falsos operados por farm de bots postam em horários estranhos (3h da manhã horário BR), no mesmo intervalo todos os dias, e somem em horário de almoço de São Petersburgo.

4. Idade da conta vs. atividade. Conta criada em 2017 com 8 posts? Provavelmente comprada de quem vende perfis envelhecidos para parecer legítima. Conta criada há 2 meses com 4.000 seguidores comprados? Mais óbvio ainda.

5. Vazamentos. Suba o e-mail (se tiver) no HaveIBeenPwned. E-mail real aparece em vazamentos de 2014, 2018, 2021. E-mail recém-criado para o golpe não aparece em lugar nenhum. Um e-mail "limpo demais" é suspeito.

Para casos sérios — golpe de valor alto, ameaça, calúnia em processo — a investigação OSINT serve para construir indício suficiente para fundamentar um pedido judicial à plataforma. O IP, dispositivo e localização real só saem com ordem do juiz. Quem promete entregar isso em 1 clique está cometendo crime (ou enganando você).

Vale lembrar: perfis falsos são frequentemente parte de operações maiores de fraude de identidade sintética. O perfil fake é a fachada. Por trás, costuma ter CPF de laranja, CNPJ aberto em nome de testa-de-ferro, conta-laranja para receber.

As melhores ferramentas de rastreamento de perfis

Tabela honesta. Inclui o que é gratuito, o que é profissional, e o que é teatro.

Quando você parte do e-mail ou do telefone, não do username

Sherlock e Maigret são ótimos quando você já tem o username. E quando você tem só um e-mail vazado, ou um número de telefone que alguém te passou? Aí o fluxo vira.

O Rastro, ferramenta nativa do Sherlocker, resolve exatamente isso. Você joga o e-mail ou o telefone e ele varre centenas de plataformas em tempo real, retornando:

• Redes sociais — Instagram, LinkedIn, Facebook, Twitter/X, TikTok, GitHub, Strava, Duolingo, dezenas de outras
• Vazamentos — credenciais expostas e incidentes de segurança ligados àquele contato
• Fotos de perfil — avatares públicos recuperados automaticamente (pula a etapa manual de reverse image)
• Domínios e DNS — WHOIS e infraestrutura digital associada ao e-mail
• Aplicativos — cadastros em apps de estilo de vida, compras, serviços
• Geolocalização — check-ins e dados públicos de localização extraídos

É o caminho inverso do Sherlock: em vez de username → perfis, é e-mail/telefone → perfis + infra digital + vazamentos. Útil em três cenários que aparecem toda semana:

• Golpe: vítima só tem o telefone (ou e-mail) do golpista. Username, nem sinal.
• Diligência: você tem só o e-mail corporativo do sócio ou fornecedor e quer mapear a presença real dele.
• OSINT de lead: tem o e-mail comercial do decisor e quer saber onde ele vive no digital antes da call.

Testar o Rastro — 25 tokens por consulta, sem contrato, primeira investigação em 2 minutos.

Verdade desconfortável: nenhuma dessas ferramentas faz tudo sozinha. Sherlock encontra os perfis. Maigret extrai dados. Maltego conecta. PimEyes faz facial. Cada uma resolve um pedaço.

O motivo do Sherlocker existir é exatamente esse — a maior parte do tempo numa investigação séria não é encontrar perfil, é conectar o perfil ao mundo offline: CPF, CNPJ, processos, sócios, patrimônio, grupo econômico. Aí ferramenta gringa não ajuda. Receita Federal, JUCESP, TJ-SP, Diário Oficial, registros de imóveis — tudo brasileiro, tudo fragmentado.

Quem investiga pessoa física no Brasil termina em algum momento usando uma plataforma BR. A pergunta é se vai pagar caro pela enterprise (Neoway, upLexis) ou usar um self-service que custa o equivalente a duas pizzas e meia por mês. Veja o Sherlocker.

O limite legal: o que LGPD permite e o que vira crime

Aqui é onde o guia separa OSINT de crime. Leia com atenção.

Permitido:

• Coletar e analisar dados públicos disponíveis (perfis abertos, posts públicos, registros públicos)
• Usar resultados para finalidade legítima: compliance, due diligence, jornalismo, defesa em processo, segurança própria
• Documentar evidências para uso judicial
• Cruzar dados públicos com bases legais (Receita, Junta Comercial, Diário Oficial)

Proibido — crime:

• Acessar conta protegida por senha, mesmo que a senha seja fraca: invasão de dispositivo (Art. 154-A do Código Penal, Lei 12.737/2012, conhecida como Lei Carolina Dieckmann). Pena: 1 a 4 anos.
• Obter IP, dispositivo, localização real sem ordem judicial à plataforma
• Vigilância obsessiva e persistente contra pessoa identificada com intenção de intimidar: stalking (Art. 147-A do CP, incluído pela Lei 14.132/2021). Pena: 6 meses a 2 anos.
• Usar dados coletados para chantagem, extorsão, fraude — agora caem na Lei 14.155/2021, com pena agravada
• Tratar dado pessoal sem base legal da LGPD — multa pode chegar a R$ 50 milhões para empresas

A linha é clara, embora pareça borrada: OSINT é olhar o que está público com finalidade legítima. Se você precisaria de senha, ordem judicial ou má-fé para chegar até o dado, parou de fazer OSINT — começou a cometer crime.

Para investigador profissional, o ponto crítico é finalidade legítima documentável. Compliance, due diligence, ação judicial em curso, segurança patrimonial, jornalismo de interesse público — todos cobertos. Curiosidade pessoal sobre ex-parceiro? Não. Vingança contra colega? Definitivamente não. Vendendo dossiê para terceiro sem consentimento? Crime.

Do username ao patrimônio: por que perfil é só o início

Agora a parte que ninguém no top do Google diz com clareza.

Encontrar o perfil é o passo 1 de 10. O que importa em investigação séria é o que aquela pessoa controla no mundo real. Bens, empresas, sócios, processos. É aí que a investigação digital encontra a investigação patrimonial — e onde ferramenta gringa para de ajudar.

Caso real do dia a dia: cliente chega ao escritório de advocacia. Perdeu R$ 380 mil num "investimento" via DM no Instagram. O perfil sumiu. Quer saber se vale a pena processar.

Investigação OSINT clássica encontra:

• Username @xxxinvest_br em 12 outras plataformas
• Foto de perfil é de modelo americana (Yandex confirmou)
• E-mail exposto na bio do Telegram
• E-mail aparece em vazamento de 2019, ligado a um nome real
• Nome real tem LinkedIn ativo, mora em Curitiba

Boa notícia? O sujeito existe. Investigação termina aí?

Não. Próxima pergunta do advogado: vale a pena processar? Tem patrimônio para penhorar? Tem CNPJ aberto? Tem outros processos? Tem bens em nome de sócios ocultos ou laranjas? Tem empresas no mesmo grupo econômico? Esse é o terreno em que entra o rastreador de perfil corporativo — DD, KYC, M&A e recuperação de ativos, com cruzamento societário e relatório auditável.

Para responder, você sai do mundo do username e entra no mundo do CPF, CNPJ, JUCESP, Receita, processos, registros de imóveis, veículos. Aí o OSINT internacional não serve mais. Você precisa de fonte BR cruzada — ou volta para 15 abas abertas, planilha de Excel, e dois dias de trabalho manual.

O Sherlocker existe por causa desse buraco. A gente cruza fonte BR com inteligência investigativa: você digita o nome, ou CPF, ou CNPJ, e em segundos tem o grafo de conexões — pessoas vinculadas, empresas, processos, bens visíveis. O perfil que você encontrou no Instagram vira o nó inicial. O resto do mapa aparece sozinho.

Teste o Sherlocker grátis — sem contrato, sem reunião comercial. Faça a primeira investigação em 5 minutos.

Perguntas frequentes

Existe rastreador de perfil gratuito que funciona de verdade?

Sim. Sherlock e Maigret são open source, rastreiam um username em centenas ou milhares de sites e funcionam no terminal. Ferramentas web prontas (sem instalar) costumam ser bem mais limitadas — a maioria é só fachada de venda.

Posso rastrear o IP de um perfil do Instagram?

Não pelo aplicativo. O IP fica no servidor da Meta e só sai com ordem judicial. Quem promete "descobrir IP do Instagram" em 1 clique está vendendo golpe ou phishing.

O que é OSINT e por que importa para rastrear perfis?

OSINT (Open Source Intelligence) é a coleta e análise de informações em fontes abertas — redes sociais, registros públicos, vazamentos, arquivos web. Para rastrear perfis, OSINT é o método; ferramenta é só execução.

Qual a diferença entre stalking e investigação OSINT?

Stalking é vigilância obsessiva contra pessoa identificada, com intenção de controle ou intimidação — crime previsto no Art. 147-A do Código Penal. Investigação OSINT tem finalidade legítima (compliance, due diligence, jornalismo, defesa em processo) e respeita LGPD e limites legais.

Como rastrear quem está por trás de um perfil fake?

Combinação de username search (Sherlock/Maigret), reverse image search das fotos (Google Images, Yandex, PimEyes), análise de horários de postagem, cruzamento com vazamentos de e-mail (HaveIBeenPwned). Para uso em processo, precisa de ordem judicial para a plataforma.

Rastrear perfil é skill que paga em qualquer profissão hoje — advogado, compliance, jornalista, RH, segurança patrimonial. O método não é segredo. Sherlock + Maigret + reverse image search + verificação manual te leva longe, de graça, em qualquer lugar do mundo.

A linha onde a ferramenta gratuita para é a mesma onde a investigação séria começa: cruzar o digital com o formal brasileiro. Aí você precisa de plataforma com fontes BR integradas e grafo de conexões. Conheça o Sherlocker — é a ferramenta que faltava entre 15 abas abertas e os R$ 5 mil/mês de uma enterprise.