contravigilancia.org
Deum navegador IP · Anthropic, PBC Postado emColumbus, OH Às…
Para contravigilancia.org

Toque no IP para ver inteiro.

Eu não abri sua carta. Nem precisei.

Isso aí em cima é só o envelope: o que qualquer site recebe quando você abre um link, antes de você clicar em qualquer coisa. Você entrou aqui há alguns segundos. Agora vem o verso, que é pior.

Ver o verso do envelope ou veja a prévia do curso (49 s) Pré-venda até 30/11: de R$ 594 por R$ 267

A cidade sai do seu IP e pode errar, às vezes por centenas de quilômetros. O provedor costuma acertar. E é ele que consegue dizer quem estava usando esse IP agora: o Marco Civil da Internet (Lei 12.965/2014) manda guardar esse registro por um ano.

O verso do envelope.

Nada aqui pediu permissão. Seu próprio navegador entregou, porque é assim que a web funciona.

A Cloudflare, que entrega esta página, vê o seu IP como qualquer provedor vê. É assim que a internet funciona. Por isso este site existe.

Fazer o teste com alguém

Seu plano de 2 minutos.

Se eu estivesse com o seu aparelho na mão, fazia isto hoje:

Fontes: Ajuda do Chrome; Suporte da Apple.

O que eu não vejo, eles veem.

Eu não consigo ler os cookies que outros sites gravaram no seu navegador, nem o seu histórico. O navegador não deixa: cada site só lê o que é dele.

Quem consegue é quem tem código dentro desses sites. É para isso que serve o pixel da Meta: o site conta à Meta o que você fez nele, e o navegador leva junto os cookies que a Meta gravou em você. No Chrome, os cookies de terceiros continuam liberados por padrão. No Safari, estão bloqueados desde 2020.

Fiz o teste em 8 de novembro de 2026, com um Chrome zerado se passando por celular Android, sem tocar em nada. Em três de quatro aberturas, a página inicial de um dos maiores bancos digitais do Brasil carregou o pixel da Meta, mandou à Meta o aviso de que você estava ali e chamou cerca de 45 domínios de outras empresas (Google, TikTok, X, Pinterest, Microsoft, entre outros). Nenhum aviso de cookies na tela.

As próprias empresas mostram parte do que juntaram de você. Olhe o seu:

Fontes: MDN, política de mesma origem; Meta, atividade fora das tecnologias da Meta; MDN, cookies de terceiros; WebKit, 24/03/2020.

Isso é o que um site vê. O resto fica guardado com quem você nem lembra: a operadora, o Google, a Apple, o banco. E há quem possa pedir. São sete cartas, lacradas. Toque para abrir. Cada uma termina com uma coisa para fazer hoje e um recado sobre a próxima.

Carta 1 de 7

A operadora guarda para quem você ligou. Por cinco anos.

Ninguém precisa grampear seu telefone para saber com quem você fala. No Brasil, a operadora é obrigada por lei a guardar, por cinco anos, os números de origem e de destino das suas ligações locais, interurbanas e internacionais. Fica tudo à disposição do delegado de polícia e do Ministério Público.

O que você disse na ligação, não: o conteúdo só sai com ordem de juiz. Mas quem você é sai sem juiz. Nome, filiação e endereço podem ser requisitados direto à operadora, ao banco, ao provedor de internet e à administradora do cartão.

Fontes: Lei 12.850/2013, arts. 15 e 17; Marco Civil da Internet (Lei 12.965/2014), art. 10.

P.S.: na próxima, o pedido que chega sem juiz. E quem usou esse atalho sem ser polícia.

Carta 2 de 7

Golpistas se passaram por polícia. Apple e Meta entregaram os dados.

Existe uma porta lateral. As grandes plataformas aceitam o que chamam de pedido de emergência: quando há risco de morte ou ferimento grave, a polícia pede os dados direto, sem ordem judicial, e a empresa decide se entrega. Faz sentido. Sequestro não espera despacho.

Em 2022, a Bloomberg revelou o outro lado. Em meados de 2021, Apple e Meta entregaram endereço, telefone e IP de clientes em resposta a pedidos de emergência falsos. Acredita-se que os pedidos saíram de e-mails invadidos de órgãos policiais de vários países. Segundo uma fonte ouvida pela reportagem, os dados serviram para campanhas de assédio; outra apontou fraudes financeiras.

Em novembro de 2024, o FBI publicou um alerta sobre a mesma tendência: e-mails de governo invadidos, americanos e estrangeiros, usados em pedidos de emergência fraudulentos.

O atalho foi feito para salvar vidas. Quem tem a senha certa também passa por ele.

Fontes: Bloomberg, 30/03/2022, republicada pelo The National; FBI, alerta de 04/11/2024.

P.S.: na próxima, o mandado que não procura um suspeito. Procura um lugar. E todo mundo que estava nele.

Carta 3 de 7

Ele só passou de bicicleta. O Google avisou que a polícia queria os dados dele.

Janeiro de 2020, Gainesville, Flórida. Zachary McCoy recebe um e-mail do Google: a polícia local pediu informações da conta dele, e os dados seriam entregues se ele não fosse à Justiça em sete dias.

O motivo: o histórico de localização do celular Android, alimentado por um aplicativo de pedal, o colocava perto da casa de uma senhora de 97 anos, de onde tinham levado joias em março de 2019. Ele costumava pedalar por ali.

Isso se chama mandado de geofence. Em vez de partir de um suspeito, parte de um lugar e de um horário, e pede todos os aparelhos que estavam ali. Quem tinha o histórico ligado entrava na lista. A polícia depois retirou o pedido e disse que ele não era mais suspeito.

Em junho de 2026, a Suprema Corte dos Estados Unidos decidiu que obter esse histórico é uma busca, sujeita às garantias da Constituição de lá. Se o mandado do caso valeu, ela não decidiu. A decisão registra que mais de 500 milhões de usuários no mundo tinham ligado o histórico. E anota o que o Google informou ao tribunal: desde julho de 2025, o histórico fica no próprio aparelho, e a empresa diz que não consegue mais responder a esses mandados com ele.

Fontes: NBC News, 07/03/2020; Chatrie v. United States (2026).

P.S.: antes da próxima carta, um teste rápido. Sete frases que você já ouviu.

Ir para o teste

Mito ou verdade?

Sete frases que você já ouviu. Algumas são verdade. Responda sem pensar muito.

O teste precisa de JavaScript ligado.

Carta 4 de 7

Seu WhatsApp é criptografado. A cópia dele, talvez não.

A criptografia de ponta a ponta protege a mensagem no caminho, de um aparelho ao outro. O backup é outra coisa: uma cópia guardada no Google Drive, no Android, ou no iCloud, no iPhone. Nessa cópia, a criptografia de ponta a ponta é opcional. Quem não ligou não tem.

No iPhone há mais uma camada. Na proteção padrão do iCloud, que é como a conta vem, o backup do aparelho é cifrado, mas a chave fica com a Apple. Quem tem a chave consegue abrir a cópia quando recebe um pedido válido.

Em 2016, no caso do atirador de San Bernardino, a Apple recusou a ordem de criar um programa para destravar o iPhone dele, e virou símbolo de privacidade. Na mesma época, escreveu: “entregamos todos os dados que temos, inclusive um backup do iPhone em questão”.

O cofre estava fechado. A cópia do cofre, não.

Fontes: WhatsApp, backups criptografados; Apple, segurança dos dados do iCloud; Apple, respostas sobre o caso, 2016.

P.S.: na próxima, o cronômetro que o seu iPhone liga sozinho quando você para de usar.

Carta 5 de 7

Seu iPhone tem um cronômetro. Ele dispara em três dias.

Novembro de 2024. Um documento que circulou entre agentes da lei de Detroit, nos Estados Unidos, alertava: iPhones guardados para exame estavam reiniciando sozinhos e trancando o acesso.

Dias depois, a pesquisadora Jiska Classen mostrou o que tinha mudado: desde o iOS 18.1, o iPhone reinicia sozinho se ficar 72 horas sem ser desbloqueado. A Magnet Forensics, empresa de perícia digital, confirmou o prazo. Ninguém confirmou que foi isso que reiniciou os aparelhos de Detroit. Mas a função existe.

Por que isso importa: num iPhone recém-ligado, que ainda não recebeu o código nenhuma vez, as chaves da maior parte dos dados ficam trancadas no chip de segurança. Depois do primeiro desbloqueio, elas ficam disponíveis na memória. Celular apreendido ligado e celular apreendido desligado são, na prática, dois celulares diferentes.

Fontes: Jiska Classen, 2024; TechCrunch, 14/11/2024; 404 Media, 07/11/2024.

P.S.: na próxima, o que quem te paga no Pix vê de você. Mesmo com chave aleatória.

Carta 6 de 7

Chave aleatória no Pix não esconde quem você é.

A chave aleatória é uma sequência de letras e números sem significado, gerada pelo próprio sistema do Banco Central. Serve para você não espalhar seu CPF, seu telefone ou seu e-mail. Serve só para isso.

Pelas regras do Banco Central, quando alguém consulta uma chave Pix para pagar, o aplicativo pode mostrar o nome completo de quem registrou a chave e parte do CPF, assim:

três asteriscos, ponto, sete sete sete, ponto, oito oito oito, traço, dois asteriscos

Os seis dígitos do meio aparecem. Vale para qualquer tipo de chave, inclusive a aleatória.

É para quem paga conferir antes de pagar. Faz sentido. Só não é anonimato. Guarde esse número: nome completo mais seis dígitos do CPF. Ele volta na próxima carta.

Fonte: Banco Central, Manual Operacional do DICT, seção 8.1.

P.S.: na próxima, a ficha completa de brasileiros à venda. Em plano semanal. Paga no Pix.

Carta 7 de 7

A sua ficha pode estar à venda. Plano semanal, a partir de US$ 1.

Janeiro de 2021. A PSafe identificou um vazamento com cerca de 223 milhões de CPFs de brasileiros, inclusive de pessoas já mortas. No vazamento havia também nome, endereço, telefone, parentes, dados do carro, foto do rosto, benefício do INSS, score de crédito e renda. Para comparar: o Censo de 2022 contou cerca de 203 milhões de habitantes.

Dado vazado não some. Vira produto. Um relatório da ONG Derechos Digitales, publicado em março de 2026, encontrou no Telegram dez grupos brasileiros vendendo dados pessoais, todos com robôs na administração. Algumas consultas básicas, com nome e CPF, saíam de graça. Endereço, data de nascimento, emprego e dados financeiros eram pagos, em planos que começavam em 1 dólar por semana. Todos recebiam por Pix.

É o modelo do aplicativo de música: a amostra é grátis, o disco inteiro é por assinatura.

Fontes: Ministério Público de Minas Gerais, cartilha sobre o vazamento (2021); IBGE, Censo 2022; Derechos Digitales, “Identidades à venda” (2026).

P.S.: isso é o que cabe numa página. O resto leva um curso.

Me avise quando o curso abrir

Veja a prévia do curso.

Menos de um minuto de aula de verdade: a porta lateral que se abre sem juiz, o livro de Orwell comprado com o cartão salvo e o metadado. Tem legenda, dá para ver sem som.

Trechos de duas aulas do curso.

Quero o link da pré-venda

Quem escreve isto

Trabalhei muitos anos para o Estado, em mais de um órgão. Uma parte desse tempo, na polícia.

Do lado de quem pede. Eu pedi dados a operadoras, bancos e plataformas. Mandei ofício. Li o que voltava.

Não vou dizer onde, nem em que cargo. Pode perguntar. Eu não respondo, é de propósito, e confesso que me divirto.

Importa o que o sistema entrega. Isso eu conto inteiro, sem paranoia e sem chapéu de alumínio.

quem estava do outro lado do balcão

O curso

Estou terminando um curso inteiro sobre isso: o que o Estado, as empresas e os criminosos conseguem ver de você, como funciona por dentro e o que fazer, na medida do seu risco, sem virar paranoico. São catorze módulos:

  1. Você já está sendo observadoComece por aqui (a primeira aula é de graça): a prova de que você já está no radar, e o que isso significa na prática
  2. Seu celular nas mãos erradasCelular bloqueado não é celular protegido: o que a polícia consegue tirar dele, com ou sem a sua senha
  3. O que protege de verdadeiPhone ou Android? O computador ligado, o laudo que ninguém confere: o que protege de verdade e o que é só aparência
  4. A antena sabe onde você dormiuO rastro que o seu celular deixa na operadora, e o que dá para fazer a respeito
  5. O backup que entrega tudoO que a nuvem guarda de você e o botão que muda isso
  6. O ofício que chega no GoogleComo o pedido de dados funciona por dentro, inclusive o de emergência, sem juiz e sem aviso
  7. O WhatsApp não é tão fechado quanto pareceO que fica exposto mesmo com a criptografia
  8. O mito da VPNO que ela esconde, o que ela nunca escondeu, e quando vale pagar
  9. Tem alguém dentro do seu celularComo funciona a espionagem de verdade e os sinais de que ela chegou
  10. A cidade é uma câmeraPlacas, câmeras e reconhecimento facial: o que registra você na rua
  11. Dinheiro que falaPix, cartão e Bitcoin: o rastro que cada um deixa (e por que Bitcoin não é anônimo). E o Drex, a moeda do governo que não veio
  12. As paredes ouvemTV, assistente de voz e o celular que entrega a sua casa
  13. Quem já tem um dossiê sobre vocêAs empresas que você nunca ouviu falar e como mandar apagar os seus dados
  14. Investigue a si mesmoO que um investigador descobre de você em uma hora, e como ficar um passo à frente

Pré-venda aberta. O curso abre em 22 de novembro, e até 30 de novembro sai por menos da metade: R$ 267 à vista, em vez de R$ 594. A primeira aula é de graça para quem estiver na lista.

Quero os 14 módulos por R$ 267

Menos da metade do preço. Só até 30 de novembro.

de R$ 594 por

R$ 267

À vista no cartão, numa cobrança só. Sem mensalidade e sem assinatura.

Quero o link da pré-venda

Risco zero: até 7 dias depois de receber o acesso, você pede e o dinheiro volta inteiro.

O curso abre em 22 de novembro, e o acesso chega nesse dia. Em 30 de novembro, às 23h59, o preço passa a ser R$ 594, sem prorrogação.

Prefere decidir depois? Deixe o e-mail: eu mando o link na abertura, em 22 de novembro. O preço de pré-venda vale até 30 de novembro, às 23h59, para todo mundo.

Ainda não decidiu? Deixe o e-mail.

Eu mando o link do preço de pré-venda na abertura, em 22 de novembro. Ele vale até 30 de novembro, às 23h59, como aqui na página. Você recebe primeiro a aula de abertura, de graça, o aviso de abertura, as ofertas do curso e, de vez em quando, uma carta como estas. Não vendo seu e-mail. Hoje ele fica guardado na Cloudflare, que hospeda o site, e serve para avisar da abertura e mandar as ofertas (detalhes na Privacidade). Você sai quando quiser, com um clique no fim de qualquer e-mail.

Como seu e-mail é tratado: Privacidade.

R$ 267 à vista · 55% off

Antes de ir embora.

Você viu o envelope. As cartas mostram quem pode pedir o resto. E a pré-venda com 55% de desconto acaba em 30 de novembro.

Ou deixe o e-mail e eu aviso quando o curso abrir:

Tudo bem. Só leve isto com você.

Em alguns segundos, sem você clicar em nada, esta página descobriu:

Pense nos sites que guardam tudo isso. E em quem pode pedir o resto com um ofício.

Até 30 de novembro, o curso inteiro sai por R$ 267 à vista, em vez de R$ 594. A primeira aula é de graça, e quem está na lista recebe primeiro.