Weryfikacja informacji w OSINT — od wskazówki do udokumentowanego ustalenia

Autor: Wojciech Grzegorz Wróblewski

Seria: OSINT w pracy prywatnego detektywa — część 2 z 4

Znalezienie informacji nie oznacza jeszcze, że została ona potwierdzona ani że dotyczy właściwej osoby, firmy czy zdarzenia.

Druga część serii koncentruje się na najtrudniejszym etapie pracy analitycznej: przejściu od pojedynczego wyniku do ustalenia, które można odpowiedzialnie opisać. Omawia błędną atrybucję, niezależność źródeł, sprzeczne informacje oraz dokumentowanie materiału, który może zniknąć.

Spis treści

Informacja to jeszcze nie ustalenie

Jednym z najważniejszych problemów w OSINT jest zbyt szybkie przechodzenie od danych do wniosku.

Analityk znajduje rekord.

Potem drugi.

Elementy do siebie pasują.

Pojawia się pokusa, aby powiedzieć: „mamy potwierdzenie”.

W rzeczywistości pomiędzy informacją a potwierdzonym ustaleniem znajduje się kilka etapów. Nie zawsze są one wyraźnie oddzielone, ale ich rozumienie chroni przed jednym z najczęstszych błędów analitycznych: przypisaniem zbyt dużej siły materiałowi, który jeszcze jej nie posiada.

Roboczy model — od informacji do potwierdzonego ustalenia

Na potrzeby tego artykułu można przyjąć następujący model:

1. Informacja — pojedynczy element odnaleziony w źródle.
2. Wskazówka — informacja, która sugeruje kierunek dalszego sprawdzenia.
3. Przesłanka — element, który po ocenie zaczyna wspierać określoną hipotezę.
4. Korelacja — obserwowany związek pomiędzy kilkoma elementami.
5. Wniosek — analityczna ocena znaczenia całego materiału.
6. Ustalenie potwierdzone w przyjętym zakresie — wniosek wsparty materiałem wystarczającym do odpowiedzialnego przedstawienia go jako potwierdzonego w jasno opisanych granicach.

To nie jest formalna klasyfikacja prawna ani uniwersalny standard OSINT. Jest to model edukacyjny pokazujący, że kolejne etapy wymagają coraz silniejszej podstawy.

Przykład — ten sam pseudonim w dwóch miejscach

Załóżmy, że badamy publiczny pseudonim.

Etap pierwszy: ten sam nick występuje w dwóch serwisach.

To informacja.

Etap drugi: oba profile dotyczą podobnej tematyki.

To wskazówka, że mogą być powiązane.

Etap trzeci: profile używają podobnych elementów opisu, publikują w zbliżonym okresie i odwołują się do tych samych miejsc.

Powstaje kilka przesłanek.

Etap czwarty: kolejne niezależne elementy zaczynają łączyć profile z tym samym podmiotem.

Możemy mówić o korelacji.

Etap piąty: po sprawdzeniu alternatyw — na przykład popularności pseudonimu, kopiowania treści i możliwości podszywania się — analityk formułuje wniosek o określonej sile.

Nie każdy proces dochodzi do ostatniego etapu. Czasami prawidłowym wynikiem pozostaje:

Odnaleziono istotne podobieństwa, ale materiał nie pozwala na jednoznaczne przypisanie obu profili jednej osobie.

To nie jest słaby wynik. To wynik, którego siła odpowiada jakości materiału.

Korelacja nie jest automatycznie potwierdzeniem

Wspólny adres, numer, nazwa, domena, zdjęcie albo osoba występująca w dwóch miejscach może być bardzo ważna. Może też mieć banalne wyjaśnienie.

Linia na ekranie pokazuje jakiś związek w danych. Nie zawsze pokazuje znaczenie tego związku w rzeczywistości.

Właśnie dlatego analiza korelacji wymaga pytań:

• z jakiego okresu pochodzi każdy element,
• czy źródła są niezależne,
• czy istnieje typowe, alternatywne wyjaśnienie,
• czy związek jest bezpośredni czy pośredni,
• czy nie rozpoczęliśmy całego procesu od błędnej identyfikacji.

Błąd nie zawsze powstaje na etapie zbierania informacji. Czasami wszystkie znalezione dane są prawdziwe. Błąd powstaje dopiero wtedy, gdy wyciągamy z nich zbyt daleko idący wniosek.

Rzetelność polega również na tym, aby wiedzieć, kiedy materiał jeszcze na wniosek nie pozwala.

Błędna atrybucja — gdy analiza dotyczy niewłaściwej osoby

Można znaleźć prawdziwe informacje.

Można je prawidłowo zapisać.

Można zbudować logiczną chronologię.

I nadal dojść do całkowicie błędnego wyniku.

Wystarczy, że cały materiał dotyczy niewłaściwej osoby.

Błędna atrybucja jest jednym z najpoważniejszych ryzyk w OSINT, ponieważ często nie wygląda jak błąd. Przeciwnie: im więcej informacji zostanie zebranych wokół niewłaściwego podmiotu, tym bardziej przekonująca może stać się fałszywa historia.

Te same dane nie zawsze oznaczają tę samą osobę

Ludzie mają te same imiona i nazwiska.

Korzystają z podobnych pseudonimów.

Pracują w tych samych branżach.

Mieszkają w tych samych miastach.

To oznacza, że pojedyncza zbieżność rzadko powinna wystarczać do ważnego przypisania.

Ryzyko rośnie szczególnie wtedy, gdy:

• nazwisko jest popularne,
• identyfikator jest krótki lub typowy,
• materiał pochodzi z różnych okresów,
• źródła automatycznie agregują dane,
• analityk od początku zakłada, że wszystkie wyniki dotyczą jednego podmiotu.

Fałszywe profile i podszywanie się

Profil może wyglądać wiarygodnie i nadal nie należeć do osoby, którą przedstawia.

Może korzystać z:

• cudzych zdjęć,
• skopiowanego opisu,
• nazwy podobnej do prawdziwego konta,
• treści publikowanych wcześniej gdzie indziej.

Dlatego zdjęcie, nazwa i opis powinny być traktowane jako elementy do weryfikacji, a nie automatyczne potwierdzenie tożsamości.

Prawdziwe informacje dotyczące innej osoby

To najbardziej zdradliwy scenariusz.

Analityk nie trafia na fałszywe dane. Trafia na prawdziwe dane dotyczące kogoś innego.

Wtedy kolejne źródła mogą się wzajemnie potwierdzać. Chronologia może być spójna. Firma może istnieć. Profile mogą być prawdziwe.

A mimo to wynik pozostanie błędny, ponieważ źle wskazano osobę na samym początku.

Prawdziwa informacja przypisana niewłaściwej osobie nadal prowadzi do błędnego ustalenia.

Stare dane i zmiana kontekstu

Atrybucja może być prawidłowa w jednym okresie i błędna w innym.

Numer telefonu może zmienić właściciela.

Domena może zostać sprzedana.

Firma może zmienić zarząd.

Adres może przestać być aktualny.

Profil może zostać przejęty albo zmienić charakter.

Dlatego pytanie „czy element był powiązany z osobą?” często jest mniej precyzyjne niż:

Czy był powiązany z tą osobą w okresie istotnym dla sprawy?

Confirmation bias

Jeżeli klient przychodzi z konkretną teorią, analityk łatwo zaczyna szukać elementów, które ją potwierdzają.

Każdy podobny rekord wygląda wtedy ważniej.

Sprzeczność zostaje uznana za wyjątek.

Brak danych zaczyna być tłumaczony ukrywaniem śladów.

To niebezpieczny kierunek.

Jednym ze sposobów ograniczania biasu jest świadome formułowanie alternatyw:

• co może wyjaśniać te same dane bez przyjmowania głównej hipotezy,
• jaki wynik osłabiłby naszą teorię,
• czy badamy także scenariusz, w którym klient się myli.

Macierz atrybucji — które elementy są naprawdę niezależne?

Przy trudniejszej identyfikacji pomocne może być proste zestawienie elementów wspierających i osłabiających przypisanie.

Element	Wspiera przypisanie	Alternatywne wyjaśnienie
ten sam pseudonim	tak	może być popularny
ten sam nietypowy adres e-mail	silnie	trzeba sprawdzić okres i źródło
podobna tematyka profili	umiarkowanie	popularna nisza
zgodna chronologia	tak	nie rozstrzyga samodzielnie
sprzeczna lokalizacja	osłabia	może wynikać z błędnego lub starego źródła

Tabela nie „oblicza prawdy”. Pomaga jednak zobaczyć, czy kilka pozornie różnych punktów nie jest w rzeczywistości jednym powtarzającym się sygnałem.

Kiedy zatrzymać rozwijanie kierunku?

OSINT łatwo prowadzi do nieskończonego researchu.

Zawsze można sprawdzić jeszcze jedno źródło, jeszcze jeden profil albo kolejną archiwalną wersję strony.

Dlatego warto określić warunki zatrzymania, na przykład:

• osiągnięto wystarczającą podstawę do odpowiedzi na pytanie,
• kolejne źródła przestały wnosić nową wartość,
• pozostałe luki nie mogą zostać uzupełnione legalnie dostępnymi metodami,
• koszt dalszej pracy jest nieproporcjonalny do potencjalnego znaczenia wyniku.

Zatrzymanie analizy nie oznacza, że „wiemy wszystko”. Oznacza, że dalsza praca nie zmieni już odpowiedzi w sposób proporcjonalny do kosztu i ryzyka.

Jak ograniczać ryzyko błędnej atrybucji?

Nie istnieje jedna uniwersalna liczba punktów identyfikacyjnych, która zawsze wystarcza. Znaczenie zależy od charakteru źródła i wniosku.

W praktyce warto:

• oddzielać pewne identyfikatory od przypuszczalnych,
• kontrolować zgodność czasową,
• sprawdzać, czy źródła nie kopiują siebie nawzajem,
• szukać elementów sprzecznych z przypisaniem,
• nie rozwijać szerokiej analizy, dopóki podstawa identyfikacji pozostaje słaba.

Najgorszy scenariusz nie zawsze polega na tym, że niczego nie znaleziono.

Może polegać na tym, że znaleziono wszystko.

Tylko o niewłaściwej osobie.

Jak weryfikuje się informacje i źródła?

Weryfikacja nie polega na zadaniu jednego pytania: „czy to jest prawda?”.

Znacznie użyteczniejsze jest rozdzielenie trzech elementów:

1. źródła,
2. materiału,
3. treści.

To rozróżnienie jest zgodne z logiką Berkeley Protocol, który traktuje weryfikację jako odrębny etap oceny dokładności i ważności zebranej informacji.

Źródło, materiał i treść

Źródło odpowiada na pytanie: kto lub co przekazuje informację?

Materiał to konkretny dokument, plik, strona, zdjęcie albo inny obiekt, z którym pracujemy.

Treść to twierdzenie, które z materiału wynika.

Możliwe są sytuacje, w których:

• źródło jest autentyczne, ale się myli,
• materiał jest prawdziwy, ale został wyrwany z kontekstu,
• treść jest prawdziwa, mimo że źródło zwykle nie jest wiarygodne,
• źródło i materiał są autentyczne, ale wniosek odbiorcy jest błędny.

Źródło pierwotne i wtórne

Źródło pierwotne jest często najlepszym miejscem do ustalenia, co ktoś powiedział albo opublikował. Nie musi być najlepszym źródłem do ustalenia, czy to, co powiedział, jest prawdą.

Przykładowo oficjalny komunikat firmy dobrze potwierdza, że firma złożyła określoną deklarację. Nie zawsze jest niezależnym potwierdzeniem faktycznego stanu, którego ta deklaracja dotyczy.

Źródło wtórne może natomiast:

• dodać kontekst,
• zweryfikować twierdzenie,
• albo tylko bezrefleksyjnie je powtórzyć.

Dlatego samo określenie „pierwotne” albo „wtórne” nie rozstrzyga jakości. Trzeba pytać, do jakiego konkretnego twierdzenia oceniamy dane źródło.

Niezależność źródeł

Siła potwierdzenia nie zależy tylko od liczby źródeł. Zależy od tego, ile naprawdę niezależnych dróg prowadzi do tego samego wniosku.

Dwa źródła nie są niezależne, jeżeli jedno korzysta z drugiego.

Trzy artykuły nie tworzą trzech potwierdzeń, jeśli wszystkie opierają się na tym samym komunikacie.

Dziesięć baz nie daje dziesięciu potwierdzeń, jeżeli pobierają dane od jednego dostawcy.

Wiarygodność źródła a prawdziwość informacji

Źródło może być ogólnie wiarygodne i nadal opublikować błędną informację.

Źródło o słabej reputacji może czasami przekazać prawdziwy fakt.

Dlatego ocena powinna obejmować między innymi:

• relację źródła do opisywanego zdarzenia,
• motywację,
• historię wcześniejszych publikacji,
• precyzję konkretnego twierdzenia,
• czas pomiędzy zdarzeniem i publikacją.

Czas i chronologia

Dwie pozornie sprzeczne informacje mogą być prawdziwe, jeżeli dotyczą różnych okresów.

Osoba mogła pełnić funkcję, a następnie ją zakończyć.

Domena mogła należeć do jednego podmiotu, a później do innego.

Adres mógł być aktualny tylko w określonym roku.

Dlatego daty nie są dodatkiem do analizy. Często są warunkiem jej prawidłowej interpretacji.

Autentyczność materiału nie rozstrzyga prawdziwości twierdzenia

To rozróżnienie bywa trudne, ponieważ autentyczny materiał wygląda bardzo przekonująco.

Załóżmy, że odnajdujemy prawdziwy post opublikowany na autentycznym koncie konkretnej firmy.

Możemy stosunkowo dobrze potwierdzić:

• że post istniał,
• że pojawił się na tym koncie,
• że zawierał określoną deklarację.

To nadal nie rozstrzyga, czy treść deklaracji była zgodna z rzeczywistością.

Podobnie oficjalny dokument może być autentyczny, a jednocześnie zawierać dane później skorygowane, nieaktualne albo prawdziwe wyłącznie w określonym dniu.

Weryfikacja powinna więc stale oddzielać:

• autentyczność obiektu,
• prawdziwość zawartego twierdzenia,
• znaczenie tego twierdzenia dla sprawy.

Dekontekstualizacja i nadinterpretacja

Informacja może być prawdziwa, lecz przedstawiona w taki sposób, że odbiorca wyciągnie z niej niewłaściwy wniosek.

Typowe przykłady to:

• cytat bez wcześniejszej części wypowiedzi,
• zdjęcie bez daty,
• wykres bez informacji o zakresie danych,
• fragment dokumentu bez strony tytułowej lub definicji pojęć,
• wpis pokazany bez dyskusji, do której się odnosił.

Dlatego pytanie „czy materiał jest prawdziwy?” często jest zbyt wąskie.

Trzeba również zapytać:

Czy materiał został zachowany i zinterpretowany w takim kontekście, w jakim rzeczywiście występował?

Dane techniczne i metadane

W niektórych sprawach dodatkową warstwę weryfikacji mogą stanowić dostępne dane techniczne i metadane.

Mogą pomóc ocenić między innymi:

• czas powstania lub modyfikacji pliku,
• format i właściwości dokumentu,
• relację między kilkoma wersjami materiału,
• zgodność danych technicznych z deklarowanym kontekstem.

Metadane również nie są automatycznym dowodem. Mogą być usunięte, zmienione, błędnie zapisane albo wynikać z procesu eksportu. Ich wartość rośnie, gdy współgrają z innymi niezależnymi elementami.

Co zrobić, gdy źródła nie pozwalają rozstrzygnąć sporu?

Nie każda sprzeczność musi zostać rozwiązana.

Czasami po szerokim sprawdzeniu nadal pozostają dwie wersje, z których żadna nie ma wystarczającej przewagi.

Wtedy profesjonalny wynik nie powinien sztucznie wybierać jednej z nich.

Można opisać:

• które elementy wspierają każdą wersję,
• które źródła są mocniejsze,
• jakie luki uniemożliwiają rozstrzygnięcie,
• jakiego typu materiał mógłby zmienić ocenę.

To ważne zwłaszcza w sprawach, w których klient z góry oczekuje konkretnej odpowiedzi. Zadaniem analityka nie jest dopasowanie materiału do oczekiwań, lecz uczciwe opisanie tego, co źródła rzeczywiście pozwalają powiedzieć.

Weryfikacja powinna być dopasowana do twierdzenia

Nie istnieje jedno źródło, które jest „najbardziej wiarygodne” do każdego rodzaju informacji.

Oficjalny rejestr może być bardzo mocnym źródłem dla stanu formalnego. Nie zawsze opisuje faktyczny sposób działania firmy.

Strona przedsiębiorstwa dobrze pokazuje, co firma komunikuje o sobie. Nie jest niezależnym źródłem oceny własnej wiarygodności.

Archiwalna strona może potwierdzić, że określona treść była publicznie prezentowana. Nie zawsze potwierdzi, że opisane zdarzenie rzeczywiście miało miejsce.

Dlatego przed oceną źródła warto dokończyć zdanie:

To źródło jest mocne do potwierdzenia...

i nazwać dokładnie, czego.

Takie podejście ogranicza błąd polegający na przenoszeniu autorytetu źródła z jednego rodzaju twierdzenia na zupełnie inne.

Czy brak oczekiwanego śladu jest informacją?

Czasami tak, ale tylko wtedy, gdy mamy uzasadnione podstawy oczekiwać, że taki ślad powinien istnieć.

Przykładowo brak nazwiska w konkretnym rejestrze może mieć znaczenie, jeżeli:

• rejestr obejmuje właściwy okres,
• dany typ funkcji rzeczywiście podlega ujawnieniu,
• nie występują alternatywne sposoby reprezentacji osoby.

W przeciwnym razie „nie znaleziono” może jedynie opisywać ograniczenie wyszukiwania.

Negatywna informacja wymaga więc tego samego rygoru co informacja pozytywna. Nie można powiedzieć „tego nie ma”, gdy w rzeczywistości wiemy tylko, że „nie odnaleziono tego w sprawdzonym zakresie”.

Sprzeczne informacje i brak możliwości potwierdzenia

Nieusunięta sprzeczność jest informacją o jakości materiału.

Może wskazywać, że:

• źródła mają różną aktualność,
• istnieją dwa różne podmioty,
• jedno źródło zawiera błąd,
• sprawy nie da się rozstrzygnąć na podstawie dostępnych danych.

Brak potwierdzenia nie oznacza braku zdarzenia.

Oznacza tylko, że w sprawdzonym zakresie nie uzyskano wystarczającej podstawy do potwierdzenia konkretnego twierdzenia.

Jak dokumentuje się materiał, który może zniknąć?

Informację znalezioną w internecie można stracić szybciej, niż mogłoby się wydawać.

Post może zostać usunięty. Profil może zmienić nazwę. Strona może zostać zaktualizowana. Dokument może zostać zastąpiony innym plikiem pod tym samym adresem. Konto może przestać istnieć.

Dlatego znalezienie ważnej informacji nie kończy pracy.

Pojawia się kolejne pytanie:

Co trzeba zachować, aby później było wiadomo, co znaleziono, gdzie, kiedy i w jakim kontekście?

Dlaczego zakładka i screenshot mają ograniczenia?

Zakładka zapisuje drogę do treści. Nie zapisuje treści.

Adres może nadal istnieć, ale prowadzić do innego materiału. Strona może zostać zmieniona bez widocznego śladu poprzedniej wersji. Sam URL nie odpowiada wtedy na pytanie: „co znajdowało się tam w chwili analizy?”.

Screenshot jest przydatny, ale również ma ograniczenia. Pokazuje to, co znalazło się w kadrze. Nie zawsze pokazuje pełny adres, czas pozyskania, otaczającą treść, elementy poza ekranem, metadane albo sposób dotarcia do materiału.

To nie oznacza, że screenshot jest bezwartościowy. Metoda dokumentowania powinna być proporcjonalna do znaczenia materiału. Inaczej dokumentuje się pomocniczą notatkę roboczą, a inaczej materiał, na którym opiera się jeden z głównych wniosków raportu.

Co właściwie należy dokumentować?

Dobra dokumentacja powinna pozwalać odpowiedzieć przynajmniej na kilka pytań:

• co zostało znalezione,
• gdzie się znajdowało,
• kiedy zostało pozyskane,
• w jakim kontekście występowało,
• w jaki sposób zostało zachowane,
• czy zachowany materiał jest nadal tym samym materiałem.

W zależności od sprawy znaczenie mogą mieć:

• pełny URL,
• data i czas,
• pełny widok strony,
• istotne elementy otoczenia informacji,
• pliki osadzone,
• dostępne metadane,
• notatka wyjaśniająca znaczenie materiału.

Nie każdy element jest potrzebny zawsze. Zakres dokumentacji powinien wynikać z celu analizy.

Kontekst, URL, data i czas

Wyobraźmy sobie komentarz:

To wydarzyło się wczoraj.

Bez kontekstu prawie nic nie znaczy.

Trzeba wiedzieć:

• kiedy został opublikowany,
• pod jaką treścią,
• kto go opublikował,
• do czego odnosiło się słowo „to”.

Czasami wycięcie informacji ze strony zachowuje treść, ale niszczy jej znaczenie.

Podobnie działa czas. Informacja dostępna przed określonym zdarzeniem może mieć inne znaczenie niż informacja opublikowana po nim. Dlatego w ważniejszych sprawach samo stwierdzenie „znaleziono na stronie” jest zbyt słabe.

Hash i integralność materiału

Przy ważniejszych materiałach cyfrowych może pojawić się pojęcie hasha, czyli skrótu kryptograficznego obliczonego na podstawie zawartości pliku.

Jeżeli zawartość się zmieni, zmieni się również wynik obliczenia. Dzięki temu można później sprawdzić, czy badany plik jest taki sam jak plik, dla którego wcześniej zapisano określony skrót.

Hash nie udowadnia jednak, że:

• informacja jest prawdziwa,
• plik pochodzi od wskazanej osoby,
• zdjęcie przedstawia deklarowane zdarzenie,
• wniosek analityka jest poprawny.

Hash jest narzędziem kontroli integralności. Nie maszyną do potwierdzania prawdy.

Oryginał, kopia robocza i przetwarzanie materiału

W bardziej rozbudowanej analizie warto rozróżnić materiał zachowany od wersji roboczej.

Przykładowo analityk może:

• zachować pierwotnie pozyskany plik,
• utworzyć kopię do dalszej pracy,
• na kopii wykonać konwersję, przycięcie lub pomocnicze oznaczenia,
• opisać, jakie zmiany zostały wykonane.

Dzięki temu przetwarzanie nie zaciera informacji o tym, jak wyglądał materiał w chwili pozyskania.

Ma to znaczenie również przy prostych czynnościach. Zmiana nazwy pliku, zapis do innego formatu albo wykonanie zrzutu wybranego fragmentu może ułatwić pracę, ale nie powinna niszczyć możliwości powrotu do materiału źródłowego.

Nie każda sprawa wymaga rozbudowanego systemu kontroli wersji. Zasada pozostaje jednak prosta:

Pracuj na kopii wtedy, gdy dalsze operacje mogą zmienić materiał, który chcesz później odtworzyć.

Materiał ulotny wymaga priorytetu

Nie wszystkie źródła są równie stabilne.

Oficjalny akt prawny, publiczny rejestr i profil społecznościowy mają zupełnie inny poziom trwałości.

Jeżeli analityk widzi treść, która:

• może zostać szybko usunięta,
• jest kluczowa dla pytania,
• ma znaczenie dla chronologii,

jej prawidłowe zachowanie może mieć wyższy priorytet niż natychmiastowe rozwijanie kolejnych kierunków.

Materiał może zniknąć szybciej, niż zakończy się analiza.

Narzędzia do dokumentowania procesu

Część pracy można wykonywać ręcznie: zapisywać materiały, rejestrować adresy, prowadzić notatki i budować własny system organizacji. Przy dużej liczbie źródeł pojawia się jednak problem skali.

Jednym z przykładów wyspecjalizowanego narzędzia jest Hunchly. System wspiera automatyczne przechwytywanie odwiedzanych stron, rejestrowanie adresów i czasu, organizowanie materiału oraz późniejsze przeszukiwanie zachowanej dokumentacji.

To dobry przykład ważnej różnicy między narzędziami. Jedno pomaga znaleźć informację. Drugie pomaga analizować relacje. Jeszcze inne odpowiada na pytanie:

Czy za trzy miesiące będziemy potrafili odtworzyć, skąd właściwie wzięło się to ustalenie?

Narzędzie nie zwalnia jednak z selekcji. Automatyczne zapisywanie wszystkiego może zwiększyć chaos i prowadzić do niepotrzebnego przetwarzania danych. Technologia może zachować stronę. Nie zdecyduje, czy strona ma znaczenie dla pytania badawczego.

Organizacja materiału ma wpływ na możliwość jego wykorzystania

Można posiadać wszystkie potrzebne pliki i nadal nie potrafić szybko odpowiedzieć, skąd pochodzą.

Typowy problem pojawia się wtedy, gdy folder zawiera setki elementów o nazwach:

screen1.png, final2.pdf, nowy dokument.pdf, image003.jpg.

Pliki istnieją, ale po kilku tygodniach trzeba ponownie ustalać:

• z jakiej strony pochodzą,
• z jakim pytaniem były związane,
• czy są materiałem źródłowym czy kopią roboczą,
• dlaczego zostały zachowane.

Prosty system nazw, katalogów, identyfikatorów i notatek może mieć większą wartość niż kolejne skomplikowane narzędzie.

Dobra dokumentacja nie powinna zmuszać późniejszego odbiorcy do odtwarzania pracy analityka z przypadkowych plików.

Zachowany materiał a końcowy raport

Zachowany materiał to dokumentacja tego, co odnaleziono i pozyskano.

Raport to wynik pracy analitycznej.

Raport nie powinien być folderem screenshotów. Powinien odpowiadać:

• co ustalono,
• na jakiej podstawie,
• jak mocny jest wniosek,
• co mu przeczy,
• czego nadal nie wiadomo.

Dlatego profesjonalny raport OSINT nie powinien być listą linków. Jego wartość powstaje wtedy, gdy udokumentowany materiał zostaje przeanalizowany i powiązany z konkretnym pytaniem.

O autorze

Wojciech Grzegorz Wróblewski — ekspert OSINT i specjalista w zakresie białego wywiadu oraz analizy informacji, związany z Pomorskim Biurem Detektywistycznym. Absolwent Wydziału Prawa i Administracji Uniwersytetu Gdańskiego.

← Poprzednia część: OSINT w pracy prywatnego detektywa — czym jest, co można ustalić i jak wygląda proces | Następna część: Narzędzia i środowisko pracy OSINT — VM, OPSEC, automatyzacja i AI →