--- id: CP-234 slug: tor-deep-web-dark-web lang: pt title: Tor, Deep Web e Dark Web description: Como funciona o Tor, o encaminhamento em cebola, e porque é que um colaborador não o instala num posto de trabalho sem o acordo da DSI. canonical_url: https://startbrain.io/cyberpedia/pt/articles/tor-deep-web-dark-web/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/tor-deep-web-dark-web.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Tor, Deep Web e Dark Web», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/tor-deep-web-dark-web/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-077 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/tor-deep-web-dark-web/ fr: https://startbrain.io/cyberpedia/fr/articles/tor-deep-web-dark-web/ en: https://startbrain.io/cyberpedia/en/articles/tor-deep-web-vs-dark-web/ de: https://startbrain.io/cyberpedia/de/articles/tor-deep-web-dark-web/ es: https://startbrain.io/cyberpedia/es/articles/tor-deep-web-dark-web/ it: https://startbrain.io/cyberpedia/it/articles/tor-deep-web-dark-web/ nl: https://startbrain.io/cyberpedia/nl/articles/tor-deep-web-dark-web/ sources: - "n": 1 title: Tor publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0183/ accessed: "2026-11-03" - "n": 2 title: "Proxy: Multi-hop Proxy" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/003/ accessed: "2026-11-03" - "n": 3 title: Encrypted Channel publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1573/ accessed: "2026-11-03" - "n": 4 title: Proxy publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1090/ accessed: "2026-11-03" - "n": 5 title: "Application Layer Protocol: Web Protocols" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/001/ accessed: "2026-11-03" --- # Tor, Deep Web e Dark Web O Tor é um software e uma rede que servem para tornar a navegação mais anónima. O seu nome aparece muitas vezes ao lado de «Deep Web» e «Dark Web», duas expressões que se confundem com facilidade. Esta ficha explica como o Tor funciona e o que muda para uma empresa. As fontes reunidas aqui vêm da base MITRE ATT&CK, que descreve as técnicas dos atacantes. Dizem sobretudo como o Tor é desviado do seu fim e pouco sobre a sua utilização habitual. A ficha limita-se ao que elas estabelecem. ## Em 30 segundos - Onde acontece: grupos maliciosos servem-se do Tor para o seu tráfego [1]. - O que quer o atacante: esconder a origem do seu tráfego, para que a empresa não consiga chegar até ele [2]. - O reflexo: não instalar o Tor num posto de trabalho sem o acordo da DSI e não descarregar nenhum «navegador Tor» de uma fonte que ela não tenha confirmado. - Se já o fez: avisar a DSI sem demora, sem apagar nada por iniciativa própria. ## Perguntas diretas ### O que é o Tor? O MITRE ATT&CK descreve-o como um conjunto de software e uma rede que oferecem maior anonimato na Internet. Cria uma rede de retransmissores em cadeia (um «multi-hop proxy») e usa cifragem em várias camadas para proteger a mensagem e as informações de encaminhamento [1]. Existe para Linux, Windows e macOS [1]. ### O que quer dizer «encaminhamento em cebola»? As mensagens são cifradas com várias camadas. Em cada etapa da rede de retransmissores, a camada exterior é decifrada e o conteúdo é transmitido ao nó seguinte, até ao destino [1]. A imagem é a de uma cebola a que cada retransmissor retira uma pele. ### Por quantos retransmissores passa o tráfego? A fonte diz que o tráfego é transmitido a vários nós antes de sair da rede Tor e seguir para o destino [1]. Não indica um número. O valor de três retransmissores, muitas vezes citado, não consta de nenhuma das fontes aqui citadas. ### A Dark Web é ilegal? Nenhuma das fontes aqui citadas trata do estatuto jurídico da Dark Web nem do Tor. A ficha não se pronuncia, portanto, sobre este ponto. As fontes estabelecem outro facto: grupos maliciosos servem-se do Tor [1]. ### Qual é a diferença entre Deep Web e Dark Web? As fontes aqui citadas não definem nenhum destes dois termos. Descrevem apenas o Tor, uma rede de anonimização. Para a distinção entre conteúdos não indexados e serviços acessíveis por uma rede de anonimização, a DSI da empresa continua a ser o interlocutor. ## Como funciona O Tor combina dois mecanismos. O primeiro é o salto múltiplo: o tráfego atravessa vários nós antes de chegar ao destino [1]. O segundo é a cifragem: o Tor encapsula o tráfego em várias camadas de cifragem e usa TLS por predefinição [1]. Para uma equipa de segurança, o efeito é este. Normalmente, quem defende uma rede consegue identificar o último proxy que o tráfego atravessou antes de entrar na rede. Pode ou não identificar os proxies anteriores [2]. Encadear vários proxies obriga a seguir o tráfego de retransmissor em retransmissor para encontrar a origem [2]. O MITRE cita a rede Tor, de acesso público, como exemplo de rede de encaminhamento em cebola [2]. Quanto às comunicações de comando e controlo do software malicioso, o MITRE observa que, apesar de um algoritmo seguro, uma implementação pode ser vulnerável à engenharia inversa se chaves secretas estiverem codificadas ou forem geradas nas amostras de software malicioso ou nos respetivos ficheiros de configuração [3]. Os atacantes também empregam proxies para evitar ligações diretas à sua infraestrutura, gerir as suas comunicações de comando e controlo ou aproveitar caminhos de comunicação já considerados fiáveis, a fim de evitar suspeitas [4]. ## O que faz - Não instale o Tor, nem qualquer software de anonimização, num posto de trabalho sem o acordo da DSI. - Se uma informação parecer só estar acessível por esse meio, pergunte à DSI em vez de a procurar por si. - Se uma mensagem lhe propuser comprar, consultar ou verificar dados da empresa num site deste tipo, não clique e comunique-o à DSI. - Se já instalou um software deste tipo, diga-o à DSI, mesmo que nada pareça anormal. ## As armadilhas Acreditar num anonimato absoluto é a primeira. A cifragem e os retransmissores complicam o trabalho de quem defende: o MITRE fala de dificuldade em identificar a origem, não de impossibilidade [2]. O Tor também serve os atacantes. O MITRE menciona redes em cebola usadas para transportar tráfego de comando e controlo cifrado através de um conjunto de máquinas comprometidas [2]. O tráfego de um atacante pode ainda diluir-se no tráfego web comum: HTTP/S e WebSocket são muito frequentes nos ambientes empresariais, e um atacante pode desviá-los para imitar um tráfego normal [5]. A rede aloja sites de grupos criminosos. O Water Galura mantém um site de fugas de dados alojado no Tor para o ransomware Qilin e os seus afiliados [1]. O grupo ShinyHunters usou o Tor para o seu próprio site de fugas [1]. Ver o nome de uma empresa num site destes não prova, por si só, um ataque: a verificação cabe à DSI. As fontes não tratam de falsos navegadores Tor, de descargas armadilhadas nem de ofertas de dados roubados. A prudência pedida sobre estes pontos decorre da instrução da DSI, não de um facto estabelecido aqui. Um caso ilustra, no entanto, o risco de um software instalado sem controlo: o software malicioso Dok descarrega e instala o Tor através do Homebrew [2]. ## Casos reais ### 2025 Poland Wiper Attacks Nos ataques com software destrutivo de 2025 na Polónia, os atacantes usaram nós Tor para o seu comando e controlo [1][2]. Na campanha CostaRicto, os atacantes geriram servidores de comando através do Tor [1]. ### Scattered Spider e a extração de dados da Salesforce Segundo o MITRE, o grupo Scattered Spider usou o Tor para comunicar com as organizações visadas [1]. Na campanha Salesforce Data Exfiltration, os atacantes usaram endereços IP do Tor para chamadas de voz e recolha de dados [1]. ### Operation Wocao Durante a operação Wocao, os atacantes empregaram nós de saída do Tor para executar comandos [1]. ## Fontes 1. MITRE ATT&CK, «Tor». https://attack.mitre.org/software/S0183/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Proxy: Multi-hop Proxy». https://attack.mitre.org/techniques/T1090/003/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Encrypted Channel». https://attack.mitre.org/techniques/T1573/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Proxy». https://attack.mitre.org/techniques/T1090/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Application Layer Protocol: Web Protocols». https://attack.mitre.org/techniques/T1071/001/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/tor-deep-web-dark-web/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.