Zadzwoń do mnie
501-287-911
Zadzwoń do mnie
501-287-911
Autor: Wojciech Grzegorz Wróblewski
Seria: OSINT w pracy prywatnego detektywa — część 1 z 4
Znaleźć informację to jedna czynność. Ustalić, co ona naprawdę oznacza, to zupełnie inna praca.
W internecie można odnaleźć ogromną liczbę danych o osobach, firmach, domenach, wydarzeniach i relacjach. Wynik wyszukiwania nie jest jednak jeszcze odpowiedzią. Trzeba ustalić, czy informacja jest aktualna, czy dotyczy właściwego podmiotu i jakie znaczenie ma w konkretnej sprawie.
Ta część wyjaśnia podstawy: czym naprawdę jest OSINT, czym różni się od zwykłego wyszukiwania, co można ustalić, gdzie przebiegają granice prawne oraz jak wygląda uporządkowany proces analityczny.
OSINT w skrócie
Spis treści
OSINT to skrót od Open Source Intelligence. Najczęściej tłumaczy się go jako wywiad jawnoźródłowy albo analizę informacji ze źródeł otwartych. Sama nazwa może jednak wprowadzać w błąd, jeżeli sugeruje, że wystarczy znaleźć publiczną informację i wkleić ją do raportu.
Nie wystarczy.
Źródłem otwartym może być strona internetowa, oficjalny rejestr, dokument, archiwalna wersja serwisu, publiczny profil, mapa, materiał wizualny, publicznie dostępna baza albo legalnie dostępna usługa komercyjna. Kluczowe jest nie to, że źródło istnieje, lecz to, że informacja zostaje pozyskana w odpowiedzi na konkretną potrzebę, a następnie poddana ocenie.
Berkeley Protocol on Digital Open Source Investigations opisuje badania źródeł otwartych jako formalny i systematyczny proces. Dokument powstał dla dochodzeń dotyczących praw człowieka i międzynarodowego prawa karnego, więc nie jest regulaminem pracy prywatnego detektywa. Jego znaczenie polega na czymś innym: bardzo dobrze pokazuje trwałą różnicę między przypadkowym odnalezieniem informacji a procesem, który ma być możliwy do wyjaśnienia, zweryfikowania i oceny.
W internecie codziennie korzystamy z informacji publicznie dostępnych. Sprawdzamy adres firmy, czytamy komentarze, oglądamy mapę, wyszukujemy nazwę produktu albo osobę. To jeszcze nie oznacza, że wykonujemy pełną analizę OSINT.
OSINT zaczyna się wtedy, gdy istnieje określony problem informacyjny. Na przykład:
Dopiero wtedy informacja staje się elementem procesu badawczego.
W języku polskim używa się kilku pokrewnych określeń. „Biały wywiad” bywa stosowany szeroko wobec pozyskiwania informacji z legalnie dostępnych źródeł. „Wywiad jawnoźródłowy” jest bliższym tłumaczeniem angielskiego open source intelligence. W praktyce rynkowej sam skrót OSINT stał się na tyle rozpoznawalny, że często obejmuje cały proces wyszukiwania, weryfikacji, korelacji i analizy informacji z otwartych źródeł.
Nie warto jednak spierać się o etykietę bardziej niż o metodę. Dla klienta ważniejsze jest to, czy analityk:
W pracy detektywistycznej OSINT może być samodzielnym procesem albo jednym z elementów większej sprawy. Czasem pozwala odpowiedzieć na pytanie bez prowadzenia innych działań. Czasem dopiero wyznacza kierunek, który wymaga sprawdzenia inną legalną metodą.
Prywatny detektyw może wykorzystywać analizę źródeł otwartych między innymi do budowania chronologii, weryfikowania informacji przekazanych przez klienta, badania powiązań gospodarczych, analizowania publicznej aktywności, pracy z domenami i archiwalnymi wersjami stron, porządkowania informacji związanych z oszustwem czy przygotowania materiału dla kancelarii prawnej.
Najważniejsze jest jednak to, że nie pytamy wyłącznie: co można znaleźć?
Pytamy przede wszystkim:
Co na podstawie znalezionych informacji można odpowiedzialnie ustalić?
Google jest jednym z najważniejszych narzędzi dostępu do informacji w internecie. Nie jest jednak metodologią analityczną.
Wyszukiwarka pomaga znaleźć dokument, stronę, profil lub wzmiankę. Nie sprawdza za użytkownika, czy:
Można spędzić wiele godzin w wyszukiwarce i nadal nie wykonać analizy. Liczba otwartych kart nie jest miernikiem jakości OSINT.
Wyszukiwanie odpowiada na pytanie: gdzie może znajdować się informacja?
Research poszerza materiał, porządkuje go i pozwala sprawdzać kolejne kierunki.
Analiza próbuje ustalić znaczenie zebranego materiału.
Ta różnica jest fundamentalna. Można odnaleźć dziesiątki informacji i nadal nie wiedzieć, które są istotne. Można też posiadać niewiele danych, ale dzięki właściwej chronologii i niezależnym źródłom dojść do mocnego, wąskiego ustalenia.
Załóżmy, że określona informacja pojawia się na pięciu stronach.
Na pierwszy rzut oka wygląda to jak pięć niezależnych potwierdzeń. Po sprawdzeniu okazuje się jednak, że:
Pięć stron nie oznacza wtedy pięciu źródeł. W praktyce cały łańcuch może prowadzić do jednego pierwotnego twierdzenia.
To jeden z najczęstszych błędów w samodzielnym researchu: liczba wyników zostaje pomylona z siłą potwierdzenia.
To, co widzimy na pierwszej stronie wyników, zależy od wielu elementów: sposobu sformułowania zapytania, języka, lokalizacji, urządzenia, historii wyszukiwania, indeksacji i działania algorytmów. Brak wyniku nie oznacza automatycznie braku informacji, a obecność wyniku wysoko w rankingu nie oznacza, że jest on najważniejszym albo najbardziej wiarygodnym źródłem.
Dlatego dobra analiza nie kończy się na znalezieniu odpowiedzi, która pasuje do pierwszej hipotezy. Trzeba szukać również materiału, który może tę hipotezę osłabić.
Google pomaga znaleźć odpowiedź. OSINT sprawdza, czy mamy podstawy, aby w tę odpowiedź uwierzyć.
Możliwości OSINT są szerokie, ale nie nieograniczone. Zakres zależy od pytania, śladu cyfrowego, dostępności źródeł, okresu, jakości materiału i tego, czy informacje można odpowiedzialnie przypisać właściwemu podmiotowi.
Publiczny ślad cyfrowy może być wartościowym źródłem wskazówek. Nie jest automatyczną biografią człowieka.
Analiza może obejmować publiczne informacje związane z osobą, jej historią zawodową, występowaniem w dokumentach, publiczną aktywnością, pseudonimami, profilami i innymi identyfikatorami.
Największym ryzykiem jest tu błędna atrybucja. Popularne nazwisko, podobny nick albo to samo zdjęcie profilowe nie wystarczają automatycznie do przypisania całego materiału jednej osobie. Im poważniejszy wniosek, tym silniejsza powinna być podstawa identyfikacji.
OSINT może wspierać analizę historii spółek, osób pełniących funkcje, zmian adresowych, publicznych dokumentów, domen, stron, powiązań i chronologii zdarzeń. W sprawach biznesowych może uzupełniać sprawdzenie kontrahenta przed współpracą.
Warto jednak uważać na zbyt szybkie wnioski. Wspólny adres może oznaczać rzeczywistą relację, ale również biuro wirtualne. Ta sama osoba w dwóch dokumentach może świadczyć o aktualnym powiązaniu albo wyłącznie o historycznej funkcji. Analiza powinna zawsze uwzględniać czas.
W zależności od sprawy można analizować publiczne profile, nazwy użytkowników, powtarzające się elementy identyfikacyjne, chronologię publikacji czy relacje między otwartymi źródłami. Nie wolno jednak traktować podobieństwa jako automatycznego potwierdzenia tożsamości.
Ten sam pseudonim może być używany przez wiele osób. Konto może być fałszywe. Profil może kopiować czyjeś zdjęcia. Dane mogą być stare. Dlatego każdy kolejny krok powinien wzmacniać albo osłabiać hipotezę, a nie tylko dodawać nowe rekordy.
Strona internetowa jest źródłem zmiennym. Może zostać przebudowana, usunięta, przeniesiona albo przejęta przez inny podmiot. Analiza może obejmować między innymi historię domeny, archiwalne wersje serwisu, publiczne dane techniczne, zmiany treści i powiązania między stronami.
Archiwa są szczególnie cenne, gdy obecna wersja strony pokazuje tylko ostatni stan. Trzeba jednak uważać, aby nie zakładać, że każda archiwalna kopia jest kompletna.
Materiały wizualne mogą dostarczać informacji o miejscu, czasie, otoczeniu, obiektach i chronologii. Czasami znaczenie mają dostępne metadane, czasami porównanie kadru z innymi źródłami, a czasami elementy widoczne w tle.
Nie wolno jednak uznawać jednego szczegółu za pewne rozstrzygnięcie, jeżeli istnieją rozsądne alternatywy. Zdjęcie może być prawdziwe, ale stare. Materiał może zostać ponownie opublikowany w innym kontekście. Brak metadanych nie oznacza automatycznie manipulacji.
W wielu sprawach największą wartością OSINT nie jest znalezienie pojedynczego „mocnego” materiału, lecz prawidłowe ułożenie zdarzeń w czasie.
Chronologia może połączyć:
Po zestawieniu takich elementów może się okazać, że informacje, które osobno wyglądały nieistotnie, tworzą ważną sekwencję.
Trzeba jednak zachować ostrożność. Data publikacji nie zawsze jest datą zdarzenia. Data utworzenia pliku nie zawsze jest datą powstania jego treści. Data aktualizacji strony może wynikać z technicznej przebudowy, a nie ze zmiany opisywanego faktu.
Dobra chronologia powinna więc wskazywać, jaki rodzaj daty przedstawia:
Czasami klient pyta, czy brak informacji o osobie lub firmie ma znaczenie.
Może mieć, ale wymaga bardzo ostrożnej interpretacji.
Brak wyniku może wynikać z:
Dlatego stwierdzenie „osoba nie ma śladu w internecie” jest zwykle zbyt kategoryczne.
Precyzyjniej brzmi:
W analizowanym zakresie źródeł i identyfikatorów nie odnaleziono materiału pozwalającego potwierdzić wskazany element.
To dłuższe zdanie, ale znacznie uczciwsze.
W sprawach związanych z oszustwem analiza może służyć porządkowaniu publicznych identyfikatorów, domen, profili, nazw, treści ogłoszeń i chronologii. Celem nie powinno być „znalezienie wszystkiego o sprawcy”, lecz ustalenie, które elementy mogą należeć do tej samej infrastruktury lub podmiotu i jakie źródła to wspierają.
W zależności od charakteru sprawy OSINT może być częścią analizy publicznych śladów po oszustwie internetowym.
Nie każdą osobę da się jednoznacznie zidentyfikować. Nie każda relacja zostawia publiczny ślad. Nie każdy materiał jest aktualny. Nie każdą hipotezę da się potwierdzić albo obalić.
Brak informacji nie jest dowodem braku zdarzenia. Może oznaczać między innymi:
Najlepszy wynik nie zawsze brzmi „potwierdzono”. Czasami najbardziej rzetelną odpowiedzią jest: dostępny materiał nie pozwala na jednoznaczne ustalenie.
Tak, OSINT może być prowadzony legalnie. Nie oznacza to jednak, że każda informacja dostępna w internecie może być dowolnie pozyskiwana, łączona i wykorzystywana.
W praktyce trzeba rozdzielić trzy pytania:
Możliwość techniczna i legalność to dwie różne rzeczy.
Fakt, że informacja znajduje się na publicznej stronie, nie rozwiązuje automatycznie wszystkich kwestii prawnych. Znaczenie mogą mieć między innymi przepisy dotyczące prywatności, ochrony danych, dóbr osobistych, tajemnicy przedsiębiorstwa, praw autorskich i regulacji branżowych.
Dlatego w poważnej sprawie nie wystarczy pytanie: „czy da się to znaleźć?”. Trzeba również zapytać: „czy możemy to pozyskać i wykorzystać w taki sposób, w jakim planujemy?”.
Legalny cel nie legalizuje nielegalnej metody.
Zlecenie sprawdzenia osoby, firmy lub zdarzenia nie daje prawa do przełamywania zabezpieczeń, przejmowania kont, wyłudzania danych, podszywania się w celu uzyskania nieuprawnionego dostępu ani stosowania metod zastrzeżonych dla uprawnionych organów.
Ten artykuł dotyczy legalnej analizy źródeł otwartych. Nie opisuje obchodzenia zabezpieczeń, uzyskiwania cudzych poświadczeń ani ukrywania bezprawnych działań.
Ustawa o usługach detektywistycznych przewiduje, że jej przepisów nie stosuje się do działalności gospodarczej polegającej na uzyskiwaniu, przetwarzaniu i przekazywaniu informacji, jeżeli pochodzą one ze zbiorów danych ogólnie dostępnych. Jednocześnie kwalifikacja konkretnego zlecenia zależy od jego rzeczywistego zakresu, a nie od samej etykiety „OSINT”.
Ta sama ustawa nakłada na detektywa między innymi obowiązek działania zgodnie z prawem, zachowania należytej staranności i rzetelności, sprawdzania zgodności uzyskanych informacji z prawdą oraz odmowy wykonania czynności niezgodnej z prawem lub nieetycznej. Zakazuje również stosowania środków, metod i czynności operacyjno-rozpoznawczych zastrzeżonych dla upoważnionych organów.
Więcej o szerszych granicach zawodu opisuję w materiale dotyczącym granic legalnego działania prywatnego detektywa.
Warto przy tym zachować ostrożność wobec zbyt prostego podziału: „publiczne dane = zawsze poza ustawą” albo „każda analiza osoby = automatycznie usługa detektywistyczna”. Rzeczywisty zakres czynności ma znaczenie większe niż nazwa oferty.
Przykładowo, czysta analiza informacji pochodzących ze zbiorów ogólnie dostępnych może mieścić się w ustawowym wyłączeniu. Jeżeli jednak zlecenie obejmuje szerszy zakres czynności, łączy OSINT z innymi działaniami detektywistycznymi albo jest realizowane w ramach regulowanej usługi, nie należy zakładać, że sama nazwa „raport OSINT” automatycznie zmienia kwalifikację całej sprawy.
W praktyce przed rozpoczęciem pracy warto rozdzielić trzy warstwy:
To również dlatego profesjonalna analiza powinna zaczynać się od rozmowy o celu. Ten sam rodzaj informacji może być wykorzystywany w zupełnie innym kontekście przy weryfikacji kontrahenta, sporze cywilnym, przygotowaniu materiału dla kancelarii albo próbie ingerowania w cudzą prywatność.
Nie należy też mylić „publicznie dostępnego” z „dostępnego bez żadnych warunków”. Serwis może wymagać akceptacji regulaminu, ograniczać zakres dostępu albo prezentować dane, których dalsze przetwarzanie wymaga osobnej oceny. Wysokiej jakości OSINT uwzględnia nie tylko to, co technicznie da się pobrać, ale również to, czy sposób pracy jest uzasadniony i proporcjonalny.
W OSINT bardzo łatwo pomylić możliwość zebrania informacji z potrzebą ich zebrania.
Jeżeli analiza dotyczy konkretnego pytania, zakres powinien być do tego pytania dopasowany. Przykładowo, weryfikacja historii zawodowej nie wymaga automatycznie budowania pełnego profilu życia prywatnego. Sprawdzenie wiarygodności kontrahenta nie uzasadnia zbierania każdego publicznego śladu dotyczącego osób z nim związanych.
W praktyce warto stosować zasadę:
Zbieramy to, co jest istotne dla celu, a nie wszystko, co jest technicznie dostępne.
Taka selekcja ma znaczenie prawne, organizacyjne i analityczne. Mniejszy, dobrze zdefiniowany zbiór:
Przed rozpoczęciem analizy znaczenie ma również zrozumienie, po co klient potrzebuje wyniku.
To samo pytanie może mieć zupełnie inny charakter w zależności od tego, czy chodzi o:
Rzetelna firma nie powinna przyjmować zlecenia wyłącznie na podstawie technicznej możliwości wykonania researchu. Zakres i cel są elementami oceny, czy praca powinna zostać podjęta i jakimi metodami.
Rzetelność polega również na tym, aby wiedzieć, czego nie trzeba zbierać.
Jeżeli do odpowiedzi na pytanie wystarczy wąski zestaw danych, gromadzenie wszystkiego „na zapas” może zwiększać ryzyko, chaos i odpowiedzialność bez poprawy jakości analizy.
Dlatego legalność i etyka nie są przeszkodą w OSINT. Są częścią procesu, który odróżnia analizę od nadużycia.
Dobra analiza zaczyna się przed pierwszym wyszukiwaniem.
Najczęstszy błąd polega na tym, że ktoś otrzymuje nazwisko, adres e-mail albo nazwę firmy i natychmiast zaczyna „szukać wszystkiego”. Po kilku godzinach posiada setki informacji, ale nie potrafi odpowiedzieć na pytanie klienta.
Proces powinien działać odwrotnie.
Pierwszym krokiem jest zrozumienie problemu.
Klient może powiedzieć:
Proszę sprawdzić tę osobę.
To nie jest jeszcze wystarczające pytanie badawcze. Trzeba ustalić, czego klient rzeczywiście potrzebuje:
Bez tego research łatwo zamienia się w zbieranie przypadkowych danych.
Dobre pytanie badawcze nie mówi analitykowi, jaką odpowiedź ma znaleźć. Mówi mu, co ma sprawdzić.
Zamiast:
Znajdź dowody, że X współpracuje z Y.
lepiej zapytać:
Czy dostępne, niezależne informacje potwierdzają relację między X i Y w analizowanym okresie? Jakiego rodzaju jest ta relacja i jakie istnieją alternatywne wyjaśnienia?
To drobna zmiana języka, ale ogromna zmiana jakości procesu.
Wstępna hipoteza pomaga uporządkować pracę. Nie powinna być jednak traktowana jak gotowy wynik.
Dobra analiza pyta nie tylko:
Co potwierdza naszą hipotezę?
Pyta również:
Co musiałoby być prawdą, żebyśmy się mylili?
Jeżeli ten sam adres występuje przy dwóch firmach, alternatywą dla bezpośredniego powiązania może być biuro wirtualne, wspólny usługodawca albo różnica czasowa. Jeżeli dwa profile używają podobnej nazwy, alternatywą może być przypadek, kopia lub podszywanie się.
Dopiero po sformułowaniu pytań powstaje plan źródeł i działań.
W zależności od sprawy można określić:
Plan nie musi być wielostronicowym dokumentem. Ma przede wszystkim zapobiegać przypadkowemu rozszerzaniu sprawy bez związku z celem.
Na tym etapie analityk korzysta z odpowiednich źródeł: rejestrów, stron, archiwów, baz, wyszukiwarek, dokumentów i narzędzi specjalistycznych.
Ważne jest zachowanie proweniencji informacji, czyli możliwości odpowiedzi:
Najważniejsze informacje powinny zostać porównane z innymi, możliwie niezależnymi źródłami.
Nie zawsze chodzi o znalezienie drugiej strony, która powtarza ten sam tekst. Czasami mocniejsze potwierdzenie powstaje z różnych rodzajów materiału, które prowadzą do tego samego wniosku:
Sprzeczna informacja nie jest problemem, który trzeba usunąć z raportu. Jest materiałem analitycznym.
Może oznaczać:
Jeżeli sprzeczności nie udało się wyjaśnić, powinna pozostać widoczna w wyniku.
Nawet jeżeli analiza nie wymaga formalnego planu, warto na początku zapisać kilka elementów.
Taka krótka notatka ma jeszcze jedną zaletę: pozwala po kilku dniach sprawdzić, czy analiza nadal odpowiada na pierwotny problem, czy może niepostrzeżenie zamieniła się w zbieranie ciekawostek.
Klient często przekazuje wiele ważnych informacji na początku sprawy.
Mogą to być:
Te dane są niezwykle cenne, ale powinny być odpowiednio oznaczone.
Informacja przekazana przez klienta nie staje się automatycznie ustaleniem analityka. Może być:
To rozróżnienie chroni przed sytuacją, w której założenie wejściowe po kilku etapach zaczyna być cytowane w raporcie jak niezależnie potwierdzony fakt.
Nie każdy odnaleziony element powinien od razu trafiać do głównego zbioru ustaleń.
W praktyce przydatny jest etap wstępnej oceny. Analityk sprawdza wtedy:
To ważne, ponieważ duża część pracy OSINT polega nie tylko na znajdowaniu, ale również na odrzucaniu informacji pozornie interesujących, które nie pomagają odpowiedzieć na pytanie.
Bez takiego filtrowania analiza łatwo rośnie objętościowo, ale nie rośnie jakościowo.
Na schemacie OSINT wygląda często jak prosta linia:
W rzeczywistości proces jest cykliczny.
Nowa informacja może wymusić zmianę pytania badawczego.
Sprzeczność może spowodować powrót do źródeł.
Nieudana atrybucja może unieważnić cały kierunek.
Nowa chronologia może pokazać, że wcześniej używane źródło dotyczyło innego okresu.
Dlatego dobra analiza nie boi się cofania. Nie chodzi o mechaniczne przejście przez checklistę, lecz o kontrolowany proces, w którym kolejne ustalenia zmieniają sposób patrzenia na wcześniejszy materiał.
W długiej sprawie znaczenie ma nie tylko to, co znaleziono, ale także dlaczego określony kierunek został uznany za ważny albo odrzucony.
Nie trzeba zapisywać każdej myśli. Warto jednak zachować ślad najważniejszych decyzji:
Taka dokumentacja zmniejsza ryzyko, że po kilku tygodniach analityk sam nie będzie pamiętał, skąd wzięła się określona decyzja.
Końcowy wniosek powinien mieć taką siłę, na jaką pozwala materiał.
Najgorszym wynikiem nie jest brak jednoznacznej odpowiedzi. Najgorszym wynikiem jest wniosek bardziej stanowczy niż podstawa, na której został oparty.
Dlatego raport powinien rozróżniać:
W praktyce właśnie taki uporządkowany proces odróżnia zwykły research od profesjonalnej analizy informacji na zlecenie.
Wojciech Grzegorz Wróblewski — Specjalista OSINT związany z Pomorskim Biurem Detektywistycznym. Zajmuje się praktycznym wykorzystaniem analizy informacji, OSINT i narzędzi cyfrowych w praktyce.
Następna część: Weryfikacja informacji w OSINT — od wskazówki do udokumentowanego ustalenia →
Potrzebujesz pomocy detektywa na Pomorzu?
Zadzwoń: 501-287-911 — pierwsza konsultacja jest bezpłatna i w pełni dyskretna.
