Geolocalizar um endereço MAC precisa do mecanismo, não do identificador

O artigo da Ciberpatrulla «Geolocalizar uma direção MAC: quando se pode e como» abre com uma resposta do Google AI que diz que não se pode geolocalizar um endereço MAC, e depois explica por que essa resposta está errada de uma forma concreta e instrutiva (Ciberpatrulla, «Geolocalizar uma direção MAC: quando se pode e como», 11 ago. 2026, https://ciberpatrulla.com/geolocalizar-direccion-mac/). A resposta da IA confunde dois claims distintos. Um: a MAC não contém coordenadas. Isso é verdade. Dois: não se pode descobrir onde ela está. Isso é falso, porque bases de dados públicas associam identificadores WiFi a observações georreferenciadas há mais de vinte anos. A propriedade (geolocalizabilidade) não vem do identificador; vem do mecanismo — uma base de dados de wardriving mais uma fusão de centroide ponderada por sinal. Theorem 3: uma propriedade é garantida exatamente quando seu mecanismo está implementado e medindo. A MAC é a chave; a base de dados e a fusão são o mecanismo.

Conclusões-chave

• Um endereço MAC não contém coordenadas GPS (verdadeiro), mas um ponto de acesso WiFi observado por colaboradores de wardriving pode ser geolocalizado via bases públicas como WiGLE, que funciona desde 2001 e associa identificadores BSSID a observações georreferenciadas (Ciberpatrulla, 11 ago. 2026).
• A propriedade vem do mecanismo, não do identificador. O BSSID é a chave de busca; a base de wardriving mais a fusão de centroide ponderada por sinal são o mecanismo que deriva a localização. Sem o mecanismo, o identificador só dá o fabricante.
• As coordenadas que o WiGLE devolve são uma estimativa, não uma medição. A própria documentação do WiGLE descreve o cálculo como trilateração por centroide ponderado — observações médias com a intensidade de sinal como peso. Tratar o resultado como um endereço postal é o erro mais comum e mais caro.
• A fronteira de scope é explícita: o artigo cita a Ley 5/2014 da Espanha, que exige que a investigação seja necessária, idônea e proporcional, e exclui a vida íntima que ocorre dentro do domicílio. Everythink mantém o mesmo scope civil-e-defensivo.

O identificador não contém a propriedade; o mecanismo a deriva

O artigo da Ciberpatrulla traça a linha que a resposta do Google AI difumina. Um endereço MAC é um identificador de interface de rede — a matrícula que um aparelho usa para falar dentro de uma rede local. Não carrega coordenadas. Os primeiros três octetos de uma MAC atribuída de fábrica apontam para o fabricante (o IEEE atribui esses blocos), e «olha o fabricante» é o conselho onde a resposta da IA para. Mas o fabricante não é a localização, e o artigo é honesto sobre por que «olha o fabricante» é uma resposta parcial: o IEEE agora distribui blocos grandes, médios e pequenos, e as MACs aleatorizadas não carregam informação de fabricante. «Olha o fabricante» é um mecanismo que às vezes devolve um sinal fraco e às vezes nada — Partial ⚠️ como mecanismo de geolocalização.

O mecanismo de geolocalização é diferente e o artigo o nomeia: WiGLE, o Wireless Geographic Logging Engine, funcionando desde 2001, recolhe observações de wardriving — voluntários caminhando ou dirigindo com escaneamento WiFi e GPS ativo, registrando cada ponto de acesso que detectam com as coordenadas onde o detectaram. Um ponto de acesso observado por qualquer colaborador está na base, e uma busca por BSSID devolve as coordenadas estimadas, o nome de rede e as datas de primeira e última observação. O mecanismo é: um cache colaborativo de observações georreferenciadas, indexado por BSSID, fundido por um centroide ponderado por sinal. O identificador é a chave; o mecanismo é o cache mais a fusão. Etiquetamos o mecanismo do WiGLE Production ✅ como um sistema real, em marcha, documentado. Etiquetamos a geolocalização de um BSSID concreto Partial ⚠️ — a propriedade vale para esse BSSID só se o mecanismo o observou, e uma rede não observada não devolve nada.

[UNIQUE INSIGHT] O movimento mais forte do artigo é a distinção entre um BSSID de ponto de acesso fixo e uma MAC de cliente aleatorizada. Um ponto de acesso fixo vem emitindo beacon frames do mesmo local há anos — o mesmo identificador, as mesmas coordenadas, observado por múltiplas passagens de wardriving. Uma MAC de cliente (um telemóvel, um portátil) viaja com seu dono e os sistemas operativos modernos a aleatorizam para dificultar o rastreamento. O artigo é explícito: não trates uma MAC de cliente como um identificador estável e geolocalizável. É a mesma distinção que um contrato estável vs. um volátil — a propriedade (geolocalizabilidade) vale quando o identificador é estável (BSSID fixo), não quando é volátil (MAC de cliente aleatorizada).

O centroide ponderado é a mesma fusão que o ensemble do Oracle

O cálculo de coordenadas do WiGLE está documentado em seu próprio FAQ, e o artigo da Ciberpatrulla cita-o: WiGLE faz a média das coordenadas de todas as observações de uma rede usando a intensidade de sinal como peso, de modo que uma observação com sinal forte conta mais do que uma com sinal fraco. O próprio WiGLE chama-lhe trilateração por centroide ponderado. Isso é um mecanismo de fusão — múltiplas observações combinadas numa única estimativa, ponderadas por um sinal de qualidade. É a mesma forma que a fusão do ensemble do Oracle no HAI Engine.

[PERSONAL EXPERIENCE] Cada Sister no HAI Engine é uma personalidade tipada (analyst, contrarian, disruptor, historian, institutionalist) que produz um draft de forecast. O forecast de uma só Sister é uma observação única — um sinal fraco, como uma só passagem de wardriving que ouviu a rede tenuemente de uma rua. O Oracle funde as Sisters num ensemble calibrado, e a fusão pondera as Sisters por qualidade de calibração — uma Sister bem calibrada conta mais do que uma mal calibrada, do mesmo modo que uma observação de sinal forte conta mais do que uma de sinal fraco no WiGLE. A fusão do Oracle é um centroide ponderado de forecasts; a do WiGLE é um centroide ponderado de coordenadas. A forma é partilhada; os domínios são separados; o claim cross-domain é Partial ⚠️. O que é Production ✅ do lado da Everythink é o mecanismo de fusão do Oracle — implementado e medindo, com entropia calculada em cada fusão.

O problema de viés é o mesmo em ambos. O FAQ do WiGLE avisa que a estimativa se mantém razoavelmente salvo se a rede foi observada sempre do mesmo lado — se o colaborador de wardriving caminhou uma só rua e nunca deu a volta ao quarteirão, o ponto desvia-se para essa rua. O Oracle tem o mesmo modo de falha: se todas as Sisters partilham o mesmo framing, a fusão produz uma estimativa confiada enviesada pelo framing partilhado, e a entropia é baixa. Entropia baixa é o «todas as observações da mesma rua» do Oracle — um ensemble concentrado não acrescenta diversificação. Etiquetamos a medição de entropia do Oracle Production ✅ porque corre em cada fusão e sinalizaria um ensemble de baixa entropia como sinal fraco. O WiGLE não expõe uma métrica de entropia equivalente — o utilizador tem de inferir o viés da contagem de observações e das datas. Isso é Partial ⚠️ do lado do WiGLE: a fusão está implementada, mas a medição de deteção de viés fica a cargo do analista.

Três vizinhos, uma janela — coerência vs. independência

O artigo da Ciberpatrulla faz um ponto fácil de perder e que importa para além do OSINT: vários BSSID agrupados na mesma zona não estreitam matematicamente o erro, mas reforçam a coerência espacial da hipótese — com uma nuance. Reforçam mais quando está claro que pertencem a pontos de acesso distintos. Se são vários BSSID do mesmo aparelho, estás a olhar para o mesmo dado três vezes.

Essa é a distinção de independência. Três vizinhos que apontam para o mesmo quarteirão são três observações independentes só se olharam de três janelas diferentes. Se os três olharam da mesma janela, viram a mesma coisa do mesmo sítio — isso é uma observação contada três vezes, não três. A imagem do artigo é exata: é mais como perguntar por um bairro. Se três vizinhos não relacionados, sem terem falado entre si, apontam para o mesmo quarteirão, tens mais razões para ir ver aí do que se to disse um só. Mas se todos se debruçaram da mesma janela, não são três opiniões — são uma.

A entropia do Oracle mede exatamente isto. Uma fusão de alta entropia é três vizinhos de três janelas — as Sisters carregam evidência não correlacionada, e a fusão reduz a variância. Uma fusão de baixa entropia é três vizinhos de uma janela — as Sisters dizem a mesma coisa, e a fusão não acrescenta diversificação. A regra do artigo («um investigador com critério não procura a rede que lhe interessa; procura o bairro que a rodeia») é a mesma regra que o Oracle segue: não confies na Sister única, confia na coerência do ensemble, e mede a entropia para saber se a coerência veio de evidência independente ou de um framing partilhado.

Os limites honestos: estimativa, não medição

O artigo da Ciberpatrulla é honesto sobre o que o WiGLE não te dá, e a honestidade é a parte que sustenta tudo. O WiGLE não identifica ninguém — devolve a posição estimada de um aparelho, não um nome, não um titular de linha, não um domicílio. O salto de «aqui há um router» para «esta pessoa mora aqui» não é dado pela ferramenta; é dado pelo investigador que cruza com outras fontes, e é um salto que tem de ser justificado. O WiGLE não garante nada — o acordo de licença exclui expressamente qualquer garantia sobre os dados. A cobertura do WiGLE é desigual — depende de onde alguém caminhou com a app aberta. Os centros urbanos estão bem cobertos; um polígono industrial ou uma pequena vila podem estar vazios. Que uma rede não apareça não significa que não exista; significa que ninguém a viu.

O artigo etiqueta a restrição de licença separadamente e ela merece atenção: o acordo do WiGLE chama-se literalmente Individual, Non-Commercial Data License Agreement. Concede uso para fins pessoais, de investigação ou educativos, não comerciais. Se os resultados vão acabar dentro de um serviço profissional remunerado, a licença individual não o cobre — o WiGLE oferece licenças comerciais negociadas por email. A leitura do artigo: não é uma proibição do uso profissional, é uma condição para ele. A disciplina do Honest Architect é a mesma — cita a fonte real, respeita a licença, e se o caso de uso muda a obrigação de licença, obtém a licença certa antes de entregar o relatório.

A distinção estimativa-vs-medição é a que separa um relatório sério de uma chapuza. O WiGLE não mediu fisicamente onde está o router. As coordenadas são uma estimativa calculada a partir de observações recolhidas, e a estimativa pode estar enviesada. Escrever «o investigado estava em Alicante» cai em contrainterrogatório. Escrever «três redes sem fios observadas pelo equipamento corporativo figuram numa base de dados pública de acesso aberto, com última observação em março de 2025, e a sua localização estimada converge na localidade de Y» é outra coisa. Isso não cai; tem de ser discutido, e a discussão ocorre no terreno onde tu tens o método documentado e eles não. Etiquetamos essa disciplina Production ✅ — é o movimento do Honest Architect, e é o mesmo que a Everythink faz quando etiqueta um forecast Partial ⚠️ em vez de asserir uma certeza que o mecanismo não suporta.

A fronteira de scope: civil-e-defensivo, não vigilância doméstica

O caso prático do artigo é um teletrabalhador que dizia estar em Madrid e ligava de uma cidade costeira a 600 km. A disciplina de scope é explícita e coincide com a da Everythink. Antes de tocar num só dado, o cliente tem de documentar o seu interesse legítimo — a Ley 5/2014 exige-o antes de aceitar o encargo. O objeto do contrato delimita-se com precisão: verificar o lugar habitual de prestação do serviço. Não a vida privada do empregado, não com quem vive, não o que faz aos fins de semana. O artigo 48.3 exclui a vida íntima do domicílio da investigação privada, e o 48.6 exige que a atuação seja proporcional, idônea e necessária. O segundo adjetivo — necessária, havia uma forma menos invasiva — é o que derruba mais relatórios.

Everythink mantém o mesmo scope. A plataforma é civil-e-defensiva: forecasta cenários para atores do mundo real, não investiga a vida íntima de um domicílio, e não promete um resultado de token, wallet ou community-credit (esses são Roadmap 🔵, sujeitos a revisão Howey). O claim cross-domain é Partial ⚠️ — a disciplina de scope partilha-se, os domínios (investigação privada vs. forecasting) são separados. O que é Production ✅ é a fronteira mesma: o artigo documenta-a, Everythink documenta-a, e nenhuma a expande silenciosamente.

Perguntas frequentes

Pode-se geolocalizar qualquer endereço MAC?

Não. O método funciona para BSSIDs de pontos de acesso relativamente estacionários que foram observados por colaboradores de wardriving. Uma MAC de cliente (um telemóvel, um portátil) viaja com o seu dono e os sistemas operativos modernos aleatorizam-na — não é um identificador estável que essas bases indexam.

O endereço MAC contém a localização?

Não. A MAC é um identificador; a localização vem do mecanismo — uma base de wardriving que associa o identificador a observações georreferenciadas, fundidas por um centroide ponderado por sinal. Theorem 3: a propriedade é garantida pelo mecanismo, não pelo identificador. Confundir «os dados não contêm a propriedade» com «a propriedade não pode ser derivada» é o erro da resposta do Google AI.

Um resultado do WiGLE é medição ou estimativa?

Uma estimativa. O FAQ do WiGLE descreve o cálculo como trilateração por centroide ponderado — observações médias com a intensidade de sinal como peso. A estimativa pode estar enviesada se a rede foi observada sempre do mesmo lado. Tratar o resultado como um endereço postal é o erro mais comum; um relatório sério apresenta as coordenadas como uma estimativa com data de última observação e limitações declaradas.

Como é o centroide ponderado o mesmo que a fusão do ensemble do Oracle?

Ambos fundem múltiplas observações numa única estimativa, ponderadas por um sinal de qualidade. O WiGLE pondera observações por intensidade de sinal; o Oracle pondera Sisters por calibração. O problema de viés é o mesmo: se todas as observações vêm do mesmo lado (WiGLE) ou todas as Sisters partilham o mesmo framing (Oracle), a fusão está enviesada. A entropia do Oracle mede isto em cada fusão; o WiGLE deixa a deteção de viés ao analista.

A Everythink usa o WiGLE ou faz investigação OSINT?

Não. A Everythink é uma plataforma de forecasting, não uma firma de investigação privada. A lição cross-domain é a forma do mecanismo — a propriedade vem da fusão, não do identificador; o scope é civil-e-defensivo, não vigilância doméstica. Não se promete nenhum resultado de token, wallet ou community-credit; esses são Roadmap 🔵, sujeitos a revisão Howey.

Fontes

• Ciberpatrulla, "Geolocalizar uma direção MAC: quando se pode e como", 11 ago. 2026, recuperado 2026-08-23, https://ciberpatrulla.com/geolocalizar-direccion-mac/
• WiGLE, Wireless Geographic Logging Engine, https://wigle.net/ (referenciado via Ciberpatrulla)
• WiGLE FAQ, trilateração por centroide ponderado, https://wigle.net/faq (referenciado via Ciberpatrulla)

Se a tua equipa está pronta para confiar no mecanismo, não no identificador, cria a tua network — a topologia encaminha, as Sisters fundem, o Oracle mede a entropia em cada fusão.