O que é a dark web?

A dark web abriga páginas web, canais de mensagens, redes de compartilhamento de arquivos e outros serviços semelhantes à web comum, ou “aberta.” A diferença é que o conteúdo da dark web reside em darknets, subseções anônimas da internet com requisitos específicos de acesso. Algumas darknets podem ser acessadas apenas por convite. Outras podem ser acessadas com as configurações de rede ou o software adequados, como o navegador Tor. 

O anonimato é o principal atrativo da dark web. As redes da dark web utilizam métodos como criptografia em múltiplas camadas e roteamento indireto para ocultar as identidades dos usuários. Tanto as pessoas que visitam sites da dark web quanto aquelas que os hospedam não podem ser facilmente identificadas.

Cibercriminosos se aproveitam desse anonimato para ocultar suas atividades ilegais. Jornalistas, denunciantes e usuários comuns da internet podem usar a dark web para evitar o rastreamento por governos hostis, grandes empresas, redes de publicidade, algoritmos preditivos e outros olhares indiscretos.

Profissionais de cibersegurança também monitoram a dark web como uma importante fonte de inteligência de ameaças. Eles podem ver o que os hackers estão fazendo, acompanhar alvos e técnicas de ataques cibernéticos e rastrear novas e contínuas violações de dados.  

Apesar de sua associação com atividades ilícitas e conteúdo ilegal, simplesmente acessar a dark web não é necessariamente ilegal em muitas jurisdições.

A darknet é a infraestrutura de rede — os computadores interconectados e outros dispositivos — que viabiliza o acesso ao conteúdo da dark web.

Os termos “darknet” e “dark web” são frequentemente usados como sinônimos, de forma semelhante a como “internet” e “web” são usados de maneira intercambiável. Mas, tecnicamente, a internet é uma rede de dispositivos conectados, e a web é uma camada de informação (sites, aplicativos e outros serviços) que as pessoas podem acessar pela internet. 

A mesma distinção se aplica à darknet e à dark web. A darknet é a infraestrutura, e a dark web é o conteúdo que é acessível por meio dessa infraestrutura.

Existem muitas darknets diferentes, sendo a rede Tor a mais famosa. (Para mais informações, consulte “O que é o Tor?”) Outras darknets incluem o Invisible Internet Project (I2P) e Hyphanet. 

A maioria das darknets são redes de sobreposição, sub-redes distintas que existem dentro de uma rede maior. Essa rede maior é, normalmente, a própria internet. 

Mas as darknets são isoladas da internet pública, e os usuários não conseguem acessá-las facilmente por meio de navegadores comuns, como Google Chrome, Mozilla Firefox ou Microsoft Edge. Os usuários precisam de software especial, permissões ou configurações para acessar uma darknet.

Muitas darknets, como o Tor, são operadas por voluntários e organizações sem fins lucrativos, com pessoas doando livremente suas próprias máquinas para atuar como nós de rede. Outras são redes ponto a ponto descentralizadas ou redes privadas apenas por convite.

Uma outra coisa torna as darknets diferentes da internet mais ampla e de outras redes de sobreposição. As darknets ocultam intencionalmente as identidades dos usuários por meio de criptografia em múltiplas camadas, roteamento de cebola e outros métodos. 

Tor, abreviação de “The Onion Router”, pode se referir a uma rede, a um navegador e a uma organização.

O navegador Tor é talvez o navegador de dark web mais popular, mas ele não é a única forma de acessar a dark web. A rede Tor também não é a única rede para conteúdo da dark web. Às vezes, as pessoas tratam o Tor e a dark web como se fossem a mesma coisa, mas o Tor é apenas uma darknet entre muitas.

Dito isso, entender como o Tor funciona pode ajudar a esclarecer como a dark web funciona em geral.

O princípio central da rede Tor é o roteamento de cebola, que é como o Tor oculta endereços IP e mantém os usuários anônimos. Desenvolvido pela primeira vez pelo Laboratório de Pesquisa Naval dos EUA na década de 1990, o roteamento de cebola aplica várias camadas de criptografia ao tráfego. Essas camadas dão à técnica o nome de “cebola”. 

Em vez de encaminhar os usuários diretamente ao destino, o roteamento em cebola os envia primeiro por uma série de nós intermediários. Cada nó pode descriptografar apenas uma única camada da criptografia do tráfego, de modo que nenhum nó individual conhece todo o percurso do tráfego do início ao fim.  

Nem mesmo os proprietários de sites da darknet sabem de onde vêm seus visitantes, nem os visitantes sabem onde esses sites estão hospedados. 

A dark web, a deep web e a surface web são três partes diferentes da web. A surface web é o que os usuários podem encontrar em qualquer mecanismo de busca. A deep web fica oculta dos mecanismos de busca, mas grande parte dela pode ser acessada por meio de qualquer navegador com a autenticação adequada. O conteúdo da dark web requer uma configuração especial. 

A surface web, também chamada de web aberta, é a parte da internet que é indexada por mecanismos de busca comuns, como Google e Bing. Sites de mídias sociais, vídeos do YouTube, blogs públicos e listagens da Amazon: todas essas coisas são exemplos de conteúdo da surface web.

A surface web é uma das menores partes da web, representando uma estimativa de 5% do conteúdo da internet. 

A deep web é a parte da internet que os mecanismos de busca não indexam — o que engloba a maior parte do conteúdo da web. A deep web inclui a dark web, mas a maior parte da deep web é acessível por meio de um navegador web comum com configurações padrão: sites protegidos por senha, artigos de notícias com paywall e bancos de dados privados.

Embora a dark web faça parte da deep web, elas são distintas em aspectos importantes.

A dark web é a parte da deep web que existe em darknets. Como tal, ela só pode ser acessada por meio de navegadores da dark web, proxies configurados adequadamente ou outros meios. A maior parte do conteúdo da deep web pode ser acessada a partir da internet aberta com as credenciais corretas. A dark web anonimiza intencionalmente os usuários, enquanto a deep web não. 

A dark web se parece muito com a web aberta: fóruns de discussão, sites de notícias, mercados e muito mais. Alguns sites da surface web — como o Facebook — inclusive têm versões oficiais na dark web.

Sites da dark web frequentemente têm menos recursos e funcionalidades do que sites da web aberta, em parte porque o desempenho das darknets tende a ser menos confiável. Técnicas como o roteamento em cebola preservam o anonimato, mas ao custo de tornar as conexões mais lentas. 

“Você pode pensar na dark web como um ecossistema web alternativo caótico”, diz Robert Gates, analista sênior de inteligência de ameaças do X-Force na IBM. “É uma versão reduzida dos sites de e-commerce comumente encontrados na internet, com páginas de produtos, vendedores e avaliações. Existem até mesmo alguns serviços de custódia e sistemas de avaliação, mas esses sistemas são frequentemente manipulados pelos vendedores.”

Sites da dark web geralmente têm URLs longas, complexas, o que pode torná-las difíceis de lembrar. Para navegar pela dark web, os usuários normalmente recorrem a mecanismos de busca da dark web ou listas de links, como a Hidden Wiki. 

Tipos comuns de sites da dark web incluem:

Mercados da dark web vendem muitas coisas.

• Malware, como infostealers, loaders, cavalos de Troia e ransomware. Muitos cibercriminosos utilizam arranjos de malware como serviço (MaaS). Gangues de MaaS desenvolvem e mantêm ferramentas de malware e infraestrutura, que vendem a outros hackers, conhecidos como “afiliados”. Os afiliados usam o malware para atacar vítimas, frequentemente dividindo os ganhos com a gangue MaaS.  O ransomware como serviço (RaaS) é especialmente popular. 

• Outras ferramentas e técnicas de ataque cibernético, como aluguel de botnets para ataques DDoS e kits de phishing. 

• Acesso. Corretores de acesso invadem redes, geralmente explorando vulnerabilidades e implantando backdoors, e depois vendem esses pontos de acesso a outros cibercriminosos.

• Dados, como contas bancárias roubadas, detalhes de cartões de crédito, credenciais de login e outras informações sensíveis que cibercriminosos podem usar para cometer roubo de identidade.  

• Itens ilegais, incluindo documentos falsificados e drogas.

A maioria das transações em mercados da dark web usa criptomoedas como bitcoin para preservar o anonimato de compradores e vendedores.

Lançado em 2011, o Silk Road é amplamente considerado o primeiro e mais conhecido mercado da darknet. Em 2013, a FBI apreendeu o site e o encerrou.

Cibercriminosos profissionais e hackers amadores se reúnem em fóruns da dark web, onde compartilham dicas, novas vulnerabilidades e informações sobre possíveis alvos — e se gabam de seus sucessos.

Profissionais de cibersegurança monitoram esses fóruns para acompanhar o cenário de ameaças cibernéticas.

Sites de vazamento são onde hackers exibem os dados que roubaram em violações. Cibercriminosos publicam amostras do que têm e exigem que as vítimas paguem um resgate — ou então liberarão o restante.

Algumas gangues mantêm seus próprios sites de vazamento. Outras adotaram um modelo chamado “extorsão como serviço”, no qual gangues maiores permitem que afiliados e aliados hospedem dados roubados em seus sites. Usar o site de vazamento de maior visibilidade de uma gangue maior pode colocar mais pressão sobre as vítimas para que paguem. Como em outros modelos de serviço, a gangue maior geralmente fica com uma parte do resgate.

Os denunciantes, seja ao reportar sobre corporações, agências governamentais ou outras instituições, frequentemente usam fóruns e serviços de mensagens da dark web para divulgar informações anonimamente ao público. 

Da mesma forma, jornalistas frequentemente usam serviços da dark web para se conectar com fontes que precisam de anonimato. Ativistas podem usar a dark web para evitar censura e vigilância governamentais.

Outros sites da dark web são muito mais mundanos. Eles são redes sociais, sites de notícias e outros serviços típicos que usam a dark web para ajudar seus proprietários e usuários a evitar ser rastreados.

Na ausência de qualquer supervisão legal ou regulatória, em uma rede onde todos são anônimos, a dark web opera no que Gates chama de “economia da reputação.” Hackers e vendedores usam suas atividades passadas para construir credibilidade. Muitos mercados contam com sistemas de avaliação, e alguns oferecem serviços de custódia para ajudar a garantir que as pessoas sejam pagas.

No entanto, essa economia da reputação também dá aos cibercriminosos incentivo para mentir tanto para suas vítimas quanto uns para os outros. Por exemplo, eles podem alegar ter roubado conjuntos de dados mais impressionantes do que realmente possuem, em uma tentativa de inflar negócios, pressionar vítimas ou parecer mais bem-sucedidos. 

E com o advento da IA generativa, eles podem tornar suas mentiras ainda mais convincentes, criando dados falsos para fazer com que violações pareçam maiores do que realmente são. 

“Eles podem alimentar uma IA com os documentos e dados que têm e dizer: ‘Expanda este conjunto e faça parecer uma coleção maior’”, explica Gates. “Muitos dos dados acabam sendo falsos, mas você realmente não consegue perceber a diferença.” 

E cibercriminosos não hesitam em aplicar golpes uns aos outros. 

“Já vimos casos em que os administradores de um determinado fórum fazem algum tipo de esquema de saída, no qual arrecadam dinheiro suficiente e simplesmente vão embora”, diz Gates. “O mercado fecha, e todo mundo fica sem saber o que aconteceu.”

O resultado de todas essas negociações sujas e traições é que a dark web passa por uma quantidade significativa de rotatividade. Sites e gangues de cibercrime surgem e desaparecem o tempo todo. Em parte porque agências de aplicação da lei os derrubam, mas muitas vezes porque eles acabam apunhalando uns aos outros pelas costas.

“O equilíbrio de poder está sempre mudando na dark web”, diz Gates. “Afiliados descartados se separam para formar seus próprios empreendimentos.” “O ego de alguém se impõe, ou algum tipo de conflito interpessoal acontece entre eles.”  

Embora o anonimato seja o principal atrativo da dark web, existem maneiras de descobrir a identidade de um usuário. Por exemplo, ao correlacionar o tráfego que alguém envia à rede Tor com o tráfego de um site específico com base em carimbos de data/hora, agências de aplicação da lei e profissionais de segurança podem, hipoteticamente, determinar o que esse usuário está fazendo. 

Nós envenenados — nós comprometidos em uma rede que secretamente monitoram o tráfego — também podem abrir uma brecha no anonimato. Os usuários também podem trair suas próprias identidades ao configurar incorretamente ou usar de forma inadequada um navegador ou rede da dark web. 

O monitoramento da dark web é um componente central de muitos esforços de inteligência de ameaças. Ao manter um olhar atento sobre fóruns da dark web e redes sociais, analistas de inteligência de ameaças conseguem se manter tualizados sobre os malwares mais recentes, vulnerabilidades que estão sendo exploradas na prática e outras tendências. 

Profissionais de cibersegurança também podem se beneficiar das consequências de rivalidades entre gangues, que frequentemente levam hackers a desfigurar os sites uns dos outros, denunciar uns aos outros ou vazar código-fonte. Por exemplo, em fevereiro de 2025, uma gangue rival vazou o código da versão mais recente do infame ransomware do grupo Lockbit.

“Isso cria oportunidades para os defensores”, diz Gates. “De repente você tem muitos softwares imitadores, mas talvez a OPSEC deles ou a compreensão de como o malware funciona em si não seja tão proficiente quanto a das pessoas que o desenvolveram. Então talvez eles não o usem corretamente.” 

Os defensores podem então ter acesso ao código-fonte — ou a outras informações vazadas — e estudá-lo por conta própria. 

Manter um olhar atento sobre a dark web também pode ajudar equipes de cibersegurança a identificar ataques mais cedo. Quanto mais cedo as organizações souberem que uma violação ocorreu, mais cedo elas podem agir para conter o incidente. Cada segundo conta, pois leva, em média 241 dias para identificar e conter uma violação, de acordo com o relatório do custo das violações de dados da IBM.