Shodan: o motor de busca que enxerga tudo o que está conectado à internet

Introdução

Shodan é o primeiro motor de busca do mundo para dispositivos conectados à internet: enquanto o Google indexa páginas da web, o Shodan indexa máquinas — servidores, roteadores, câmeras IP, sistemas de controle industrial (ICS) e dispositivos de IoT (Internet of Things, a internet das coisas) — catalogando as portas abertas e os banners (cabeçalhos de resposta que os serviços enviam quando alguém se conecta a uma porta, revelando software, versão e sistema operacional) de cada host. Criado por John Matherly em 2009, o serviço conta hoje com mais de 3 milhões de usuários registrados, incluindo 89% das empresas da Fortune 100, e foi citado na cobertura do Zero Day Security sobre o grupo BREEZE COMET, que usa malware assistido por IA contra bancos brasileiros.

Principais características

O Shodan funciona com banner grabbing em escala planetária: uma rede distribuída de scanners percorre continuamente todo o espaço IPv4 (pouco mais de 4 bilhões de endereços) e parte do IPv6, conecta-se às portas mais comuns, lê o banner que cada serviço devolve espontaneamente e arquiva o resultado com metadados como geolocalização, provedor e domínio. Ao fazer uma busca, você não consulta a internet ao vivo: consulta o arquivo de banners que o Shodan já coletou — o que também explica por que a ferramenta não é, por si só, um vetor de ataque, já que lê apenas informações que os dispositivos oferecem a qualquer cliente que se conecte.

Característica	Descrição
Varredura global	Escaneia todo o IPv4 e parte do IPv6, atualizando o índice continuamente
Banners e metadados	Software, versão, sistema operacional, portas abertas, geolocalização, ASN e ISP de cada host
Filtros avançados	port, country, org, product, http.title, ssl, net, hostname, vuln e dezenas de outros
Informações de vulnerabilidade	Associação de CVEs conhecidas a hosts e softwares identificados
API REST e Streaming	Consultas programáticas, dados em tempo real e download em lote
Shodan CLI	Ferramenta de linha de comando oficial para busca, estatísticas e monitoramento
Shodan Monitor	Monitoramento contínuo da exposição da própria rede com alertas em tempo real
Visualizações	Maps (mapa geográfico dos resultados) e Images (navegação por screenshots dos serviços)

Os filtros seguem a sintaxe filtro:valor e podem ser combinados. Exemplos diretos da documentação oficial: product:Apache encontra servidores Apache; port:22,3333 ssh localiza SSH em portas alternativas; vuln:CVE-2019-19781 country:DE,CH,FR busca dispositivos Citrix vulneráveis na Alemanha, Suíça e França; e ssl.version:tlsv1.3 HTTP lista sites que suportam TLS 1.3. O filtro has_screenshot:true restringe resultados a serviços com captura de tela disponível.

Casos de uso práticos

Reconhecimento de superfície de ataque em pentest. O primeiro passo de qualquer teste de intrusão é mapear os ativos expostos do alvo, e o Shodan faz isso sem disparar um único pacote da sua máquina. O comando shodan host do CLI mostra tudo o que o índice conhece sobre um IP, como no exemplo de 8.8.8.8 documentado no guia da StationX:

$ shodan host 8.8.8.8
8.8.8.8
Hostnames: dns.google
City: Mountain View
Country: United States
Organization: Google LLC
Number of open ports: 2
 
Ports:
53/tcp
53/udp
443/tcp
|-- HTTP title: Google Public DNS
|-- Cert Issuer: C=US, CN=GTS CA 1C3, O=Google Trust Services LLC
|-- Cert Subject: CN=dns.google
|-- SSL Versions: -SSLv2, -SSLv3, -TLSv1, -TLSv1.1, TLSv1.2, TLSv1.3

Descoberta de serviços expostos por região e tecnologia. A combinação de filtros permite censos rápidos de exposição: country:BR port:3389 lista servidores com RDP (Remote Desktop Protocol, protocolo de acesso remoto) aberto no Brasil; product:"MongoDB" port:27017 -authentication encontra bancos de dados sem autenticação; webcam has_screenshot:true revela câmeras IP com interface acessível publicamente. No CLI, shodan stats port:3389 produz estatísticas por país e organização, mostrando onde o RDP está mais exposto no mundo — informações valiosas tanto para quem testa quanto para quem defende.

Automação de OSINT com a API e o Python. O OSINT (Open Source Intelligence, inteligência de fontes abertas) usa o Shodan como fonte de enriquecimento: o pacote shodan-python permite consultar o índice programaticamente e integrar os resultados em pipelines de threat intelligence (coleta e análise de informações sobre ameaças). O fluxo começa instalando e inicializando o CLI:

$ pip install shodan
$ shodan init &lt;sua_api_key&gt;

A partir daí, um script curto em Python extrai todos os IPs que rodam um software específico, como no exemplo do blog da Query.ai:

import shodan
 
api = shodan.Shodan("SUA_API_KEY")
try:
    results = api.search("nginx")
    for res in results["matches"]:
        print(res["ip_str"])
except shodan.APIError as e:
    print("Error:", e)

Monitoramento contínuo da exposição. O Shodan Monitor permite cadastrar faixas de IP próprias e receber alertas quando um serviço novo aparece ou uma porta inesperada é aberta — uma forma de saber, em poucos minutos, o que a sua organização está expondo à internet sem querer.

Como se defender e riscos

O Shodan expõe um fato incômodo: ele só indexa o que os dispositivos oferecem espontaneamente a qualquer um que se conecte. O problema não é o Shodan ler o banner — é o dispositivo estar lá, acessível e sem autenticação. A defesa, portanto, começa por eliminar a exposição desnecessária.

Gestão de superfície de ataque. Antes de defender, é preciso saber o que existe: consulte o Shodan (e serviços similares como Censys, ZoomEye e BinaryEdge, que escaneiam com frequências e coberturas diferentes) para mapear a exposição real da sua organização, procurando o próprio nome em org: e net:. O que aparecer sem justificativa deve ser tratado como incidente de configuração.

Redução de exposição. Serviços administrativos como SSH, RDP e painéis de gerenciamento não deveriam estar na internet: restringir o acesso por firewall (dispositivo ou software que filtra o tráfego de rede) e allowlist de IPs, ou colocá-los atrás de VPN (Virtual Private Network, rede privada virtual), remove o banner do índice. Bancos de dados e filas de mensageria devem escutar apenas em interfaces internas.

Autenticação e configuração segura. Trocar senhas padrão, desabilitar contas e serviços desnecessários e ativar autenticação em todos os serviços de rede elimina a classe mais comum de exposição encontrada no Shodan — câmeras, roteadores e bancos acessíveis com credenciais de fábrica. Atualizar firmware e software corrige as versões vulneráveis que o filtro vuln: associa a CVEs conhecidas.

Monitoramento e resposta. Usar o Shodan Monitor ou serviços equivalentes para acompanhar a própria faixa de IP, com alertas automáticos para novas portas e serviços, transforma a ferramenta em aliada: ela passa a detectar shadow IT (infraestrutura criada sem o conhecimento da área de TI) e serviços esquecidos antes que um atacante os explore.

Conclusão

O Shodan é a prova de que a internet é um lugar pequeno: em poucos segundos, qualquer pessoa com uma conta gratuita pode descobrir quais serviços sua organização expõe, quais versões de software rodam neles e quais vulnerabilidades conhecidas os afetam. Para o profissional de segurança, isso é uma vantagem dupla — a mesma base de dados que permite mapear alvos em um pentest permite auditar a própria exposição e monitorá-la continuamente. A lição central é que o Shodan não cria o risco: ele apenas o documenta, e a defesa eficaz começa exatamente aí, sabendo o que o mundo inteiro consegue ver.

Fontes e leituras adicionais

Shodan — Shodan Search Engine — site oficial — 04/09/2026
Shodan — Filter Reference — referência de filtros — 04/09/2026
Shodan — Search Query Examples — exemplos de busca — 04/09/2026
Shodan — Help Center — central de ajuda — 04/09/2026
StationX — How to Use Shodan for Pentesting: A Step-By-Step Guide — 17/12/2025
Query.ai — Leveraging Shodan for Security Research — 02/04/2024
Zero Day Security — Grupo hacker BREEZE COMET usa malware assistido por IA para atacar bancos brasileiros — 04/09/2026