Что такое OSINT и с чего начать

Кто и зачем использует OSINT

• журналисты и фактчекеры проверяют фото, видео и заявления, находят первоисточник и место съёмки;
• специалисты по кибербезопасности изучают внешнюю инфраструктуру компании, домены, утёкшие сервисы и фишинговые сайты;
• службы безопасности и комплаенс проверяют контрагентов, бенефициаров и репутацию компаний;
• исследователи конфликтов и расследователи по картам, спутниковым снимкам и публикациям очевидцев восстанавливают ход событий;
• обычные пользователи проверяют продавца, объявление или сомнительный сайт перед сделкой.

Основные источники информации

• поисковые системы: Google, Yandex, DuckDuckGo и специализированные движки. Результаты у них заметно отличаются, поэтому проверять стоит в нескольких;
• социальные сети и мессенджеры: профили, публикации, подписки, упоминания (см. поиск по нику и OSINT в соцсетях);
• публичные реестры и госданные: компании, суды, собственность, тендеры (раздел публичные реестры);
• карты и спутниковые снимки: Google Earth, Sentinel Hub и другие (геолокация и карты);
• веб-архивы: Wayback Machine и archive.today хранят удалённые страницы и старые версии сайтов;
• техническая инфраструктура: домены, IP-адреса, сертификаты, открытые сервисы (Whois, Shodan, раздел домены и IP);
• изображения и метаданные: обратный поиск по картинке, EXIF, анализ редактирования (поиск по фото).

Как устроено исследование

Профессиональный OSINT почти всегда проходит один и тот же цикл. Новичку полезно держать его в голове, чтобы не превращать работу в хаотичное блуждание по сайтам.

1. Постановка задачи. Что именно нужно выяснить и по какому результату вы поймёте, что задача решена. Чем точнее вопрос, тем меньше лишнего вы соберёте.
2. Сбор. Поиск по разным источникам с самого начала с записью, откуда взят каждый факт.
3. Обработка. Приведение данных к удобному виду: перевод, расшифровка, сопоставление имён, дат и мест.
4. Анализ. Проверка достоверности, поиск связей и противоречий, оценка того, насколько можно доверять каждому источнику.
5. Отчёт. Выводы с указанием источников и уровня уверенности: что установлено точно, что вероятно, а что только предположение.

С чего начать на практике

1. Начните с обычного поиска, но грамотного. Операторы Google (site:, filetype:, intitle:, кавычки для точной фразы) решают огромную часть задач, подробнее в гайде Google-дорки.
2. Если есть никнейм, прогоните его через специализированные сервисы. Подробный разбор: как найти аккаунты по нику.
3. Если есть фото, проверьте его обратным поиском: Google Lens, Yandex Images, TinEye. Для разных типов снимков лучше работают разные движки. Подробности: поиск по фото.
4. Если исследуете сайт, посмотрите регистрационные данные (Whois), историю в Wayback Machine и технические сведения о хосте: см. разведка по домену.
5. Поищите готовую подборку под вашу тему: OSINT Framework и IntelTechniques собирают ссылки по задачам.

Базовый набор инструментов

Закон и этика

Открытый источник не означает, что любое использование данных допустимо. Законы о персональных данных, о слежке и о доступе к информации различаются по странам, и ответственность несёт исследователь, а не инструмент.

• собирайте только то, что опубликовано публично, и не обходите ограничения доступа, пароли и платные барьеры;
• не вступайте в контакт с объектом исследования под вымышленным предлогом, если это нарушает закон или правила площадки;
• собирайте минимум данных, необходимых для задачи, и не храните лишнего о частных лицах;
• не публикуйте чужие персональные данные: адреса, телефоны, документы, фотографии детей;
• помните, что найденное совпадение по имени или нику ещё не доказывает, что это тот самый человек.

Как защитить себя во время работы

• используйте отдельный браузерный профиль или отдельную систему для исследований, чтобы личные аккаунты и cookie не смешивались с рабочими;
• не заходите в профили через личный аккаунт: некоторые площадки показывают владельцу, кто смотрел его страницу;
• учитывайте, что VPN скрывает IP-адрес, но не отпечаток браузера и не ваши действия внутри аккаунта;
• не открывайте подозрительные ссылки и файлы на основной машине, особенно при исследовании мошенников и вредоносных сайтов;
• подробнее про приватность и безопасность: раздел приватность и OPSEC.

Как фиксировать результаты

Страницы удаляют и меняют, поэтому важно сохранить доказательство в момент находки. Сделайте скриншот с видимой датой и адресом, сохраните страницу в архив (archive.today, Wayback Machine) и запишите ссылку, время и способ получения. Для систематической работы подойдут ArchiveBox и Hunchly, заметки удобно вести в Obsidian.

Типичные ошибки новичков

• опора на один источник. Факт, найденный в одном месте, остаётся гипотезой, пока не подтверждён независимо;
• подгонка под ожидаемый результат. Ищите и то, что опровергает вашу версию;
• путаница с тёзками. Совпавшее имя, ник или фото ещё не значит, что это один человек;
• устаревшие данные. Проверяйте дату публикации и дату последнего обновления;
• слепое доверие автоматическим инструментам. Любое совпадение нужно проверить вручную.