Фанати теорії змов можуть потирати руки від радощів або ж починати видаляти акаунти в соцмережах. Але факт залишається фактом: сьогодні в інтернеті можна знайти будь-яку інформацію про компанію, людину чи подію. Навіть якщо дані було видалено або профіль користувача в соцмережах — закритий.
Але що як використовувати OSINT — розвідку на основі відкритих джерел — не для сталкінгу за людиною, а з користю для свого бізнесу чи карʼєри? Наприклад, якщо ви:
— рекрутер, то за допомогою OSINT знайдете інформацію про кандидата, якому плануєте дати офер
— бізнес-аналітик, то зможете збирати інформацію про ринок, конкурентів і тенденції сфери
— маркетолог чи PR-менеджер, то з «осінт» ви точно знатимете реакцію ЦА на продукт і зможете передбачати репутаційні ризики
Аліна Собко — співзасновниця проєкту ESPY — OSINT для бізнесу на базі міжнародних практик. Вона вже 8 років працює з відкритими даними та веде в Laba інтенсив «Оперативний OSINT: техніки аналізу відкритої інформації». У цій колонці Аліна зібрала 20+ інструментів для OSINT-ера та розповіла, як етично використовувати такий підхід різним спеціалістам і коли легальне шпигунство переступає межу.
🕵🏻♂️ OSINT — як Шерлок Холмс з інтернетом
OSINT (Open Source Intelligence) звучить наче розвідка для спецслужб. Проте розвідкою в інтернеті насправді займаються всі. Ми гуглимо інформацію про нових колег і компанію, яка пропонує роботу. Моніторимо соцмережі кандидатів, щоб оцінити їхній майндсет і вирішити, чи надсилати їм job offer. Шукаємо, чи не працює бренд у росії, — щоб купити продукт або назавжди покласти в чорний список.
За допомогою OSINT framework можна закривати безліч питань:
Залежно від запиту можна використовувати мануальний або автоматизований OSINT:
#1. Мануальний пошук інформації актуальний, коли потрібно проаналізувати всього кілька джерел і немає сенсу використовувати програми. Наприклад, ви шукаєте роботу й хочете перевірити компанію. Йдете на Facebook, переглядаєте профіль у LinkedIn, дивитеся відгуки на DOU.
#2. Автоматизований пошук інформації в інтернеті використовують, коли потрібно обробляти великі обсяги даних. Наприклад, рекрутер працює в корпорації та щомісяця наймає 50 спеціалістів. Щоб не моніторити десятки джерел по сотнях кандидатів «руками», використовують інструменти автоматизації. Тоді рекрутер за 5 хвилин отримує відфільтрованих кандидатів з досвідом від X років та з іншими заданими параметрами.
Але я не раджу спиратися лише на сервіси автоматизації. Якщо вам важливий cultural fit або match на конкретну посаду, краще додатково вручну помоніторити соцмережі кандидатів, які вам найбільше підходять.
Деякі OSINT-інструменти, такі як IRBIS, MediaSonar, I2 і Maltego, парсять коментарі, лайки та репости в соцмережах. Можна, наприклад, знайти послідовників конспірологічних теорій. Людина лайкає пости про Flat Earth — інструмент це «зчитує» та готує вам звіт. Далі ви вирішуєте, чи надсилати такому кандидату офер, наприклад, на позицію бізнес-аналітика.
🔎 Як використовувати OSINT аналітикам, маркетологам і журналістам
Open Source Intelligence корисний для будь-яких сфер і фахівців, а базові знання OSINT вже навіть вводять у шкільну освіту.
#1. Як використовувати журналістам
Журналісти застосовують OSINT найчастіше, особливо це підсвітило повномасштабне вторгнення росії. Роки протистояння довели, що ця війна стала інформаційно «найпрозорішою» в історії. Завдяки своєму масштабу та розвитку соцмереж події висвітлюються майже в режимі «прямого ефіру».
І хоча інформація про найчутливіші деталі військових подій залишається таємницею, певні відомості все ж можна знайти. Чим і займаються незалежні комʼюніті журналістів та аналітиків, які перевіряють офіційні заяви та звіти, створюють онлайн-мапи бойових дій, а також рахують втрати. Тобто займаються OSINT-дослідженнями — зокрема використовуючи такі інструменти й ресурси:
- IRBIS — інструмент, який надає інформацію про номер телефону, верифікує імейл і шукає людину за фото. Платна версія дає можливість проаналізувати звʼязки та завантажити повноцінний звіт.
Платна версія: розраховується індивідуально. - Maltego — графічний аналіз посилань. Інструмент призначений для пошуку даних про людей та компанії серед записів DNS, пошукових систем, соцмереж. Після збору інформації програма формує звʼязки, які виявляють приховані співвідношення між іменами, адресами e-mail, компаніями, сайтами. Інструмент використовують у 120+ країнах, зокрема в Interpol (ICPO) та Кіберполіції України.
Платна версія: $463/міс. з користувача. - Bihus.Info — антикорупційні журналістські розслідування. Широкопрофільна OSINT-аналітика: людей, локацій, обʼєктів нерухомості, фінансового стану чиновників.
Ресурс доступний безплатно, але ви можете задонатити авторам за їхню роботу. - Palantir — збір даних із конфіденційних джерел. Рішення використовують Австралійська кримінально-розвідувальна комісія (ACIC), Міністерство оборони Сполученого Королівства та інші комерційні й урядові організації.
Платна версія: $141 тис. з користувача за безстрокову ліцензію.
- PimEyes — пошук людини за обличчям.
Платна версія: від $39/міс до $3889/міс. з користувача. - Опендатабот — сервіс моніторингу реєстраційних даних українських компаній та судового реєстру. Можна перевірити людину (за кодом ІПН, витяг з ЄДР, витяг з реєстру нерухомого майна, кримінальне минуле, штрафи від ТЦК) чи компанію.
Платна версія: від $10/міс. до $448/міс. з користувача. - NameCheckup — пошук користувача, наприклад, за username.
Сервіс доступний безплатно.
Також головна зброя розвідки на основі відкритих джерел для журналіста — пошук у Google.
💡 Ось кілька лайфхаків:
— Через оператора ext: або filetype: можна шукати файли обраного формату — наприклад, ext: pdf «звіт».
— Оператор site: шукає результати на певному сайті.
— Оператори також можна комбінувати в запиті. Наприклад, запит «благодійність» у site:facebook.com filetype:pdf шукатиме на Facebook pdf-файли, де буде слово «благодійність».
#2. Як використовувати маркетологам та PR-менеджерам
На маркетологах і PR-менеджерах лежить багато обовʼязків: від моніторингу трендів — до перевірки інфлюенсерів перед початком співпраці, згадок про бренд у соцмережах та аналізу даних щодо лідів.
OSINT-інструменти допомагають автоматизувати рутину та отримувати кращі бізнес-результати:
- Ahrefs — сервіс для аналізу конкурентів та їхніх SEO-стратегій.
Платна версія: від $129/міс. до $14,990/міс. з користувача. - Google Trends — інструмент для моніторингу популярності пошукових запитів у різних регіонах та різними мовами. Може бути корисним для планування маркетингових кампаній та адаптації SEO-стратегії під поточні тренди та інтереси клієнтів.
Сервіс доступний безплатно. - Hotjar — теплові карти для аналізу поведінки користувачів. Сервіс дозволяє побачити, куди дивляться відвідувачі сайту, як далеко вони прокручують сторінку та на які елементи звертають увагу.
Платна версія: від $43/міс. з користувача до $237/міс. з користувача. Доступна безплатна версія. - Modash — сервіс для аналізу понад 205 млн інфлюенсерів в Instagram, YouTube і TikTok. Альтернативи — Upfluence та Grin.
Платна версія: від $99/міс. з користувача до $800/міс. з користувача.
- Muck Rack — інструмент для автоматизації пошуку журналістів, моніторингу новин, аналізу PR-кампаній.
Платна версія: розраховується індивідуально. - Determ — керування репутацією бренду. Завдяки сервісу ви будете в курсі, що про вас говорять клієнти в інтернеті, а також зможете мінімізувати репутаційні ризики. Determ надсилає сповіщення про згадки бренду в реальному часі на електронну пошту, в Slack або в мобільному додатку.
Платна версія: розраховується індивідуально.
Збирає, структурує та візуалізує згадки про бренд і конкурентів у медіа та соцмережах також сервіс LOOQME. Його використовують Meest Express, McDonald's і SoftServe. Діє безоплатний доступ на 7 днів.
#3. Як використовувати Brand Security фахівцям, Risk Compliance менеджерам та аналітикам з кібербезпеки
Аналітики, які працюють із ризиками (репутаційними, кібербезпекою та комплаєнсом) та інвестиційними фондами, також активно використовують OSINT. Вони:
- Аналізують стартапи, які хоче викупити їхня організація (працівників, власників, директорів). Визначають, чи мають стартапи потенціал і чи є в них публічні ризики, повʼязані зі співробітниками.
- Перевіряють відповідність бізнесу або програмного продукту законам.
- Аналізують кіберзагрози та посягання на конфіденційні дані.
Для цього можуть використовувати Determ (аналіз репутації компаній), NameCheckup (пошук користувача), Maltego (графічний аналіз посилань), Bihus.Info (антикорупційні журналістські розслідування).
Весь бізнес-контент у зручному форматі
Для аналітиків з кібербезпеки можуть бути корисними:
- Shodan — моніторинг мережі. Відстежуйте всі свої пристрої, доступ до яких можна отримати через інтернет. Інструмент використовують 89% компаній зі списку Fortune 100, 5 із 6 топових хмарних провайдерів, 1000+ університетів світу.
Платна версія: від $69/міс. з користувача до $1,099/міс. з користувача. - Singularity Signal — аналітика загроз на базі штучного інтелекту. Інструмент визначає поточні небезпеки та допомагає спрогнозувати, що може статися. Про загрози користувачів інформують сповіщення та звіти.
Платна версія: розраховується індивідуально. - Metasploit — інструмент для тестування вразливостей сайтів та систем для Linux, MacOS і Windows.
Платна версія: розраховується індивідуально.
🚩 Коли OSINT стає незаконним
Хоча збір інформації як такий не є нелегальним, він має залишатися на боці закону та моралі.
Ось декілька випадків, коли розвідка з відкритих джерел перетворюється на шпіонаж (у деяких країнах за це можна нарватися на великий штраф):
- Зламування систем (серверів, пошти, CRM-системи компанії) конкурентів або вихід на дзвінок/зустріч з конкурентом із метою дізнатися інформацію, яка ніде не опублікована, щоби потім використовувати її для шантажу або «зливати» в онлайн.
- Розголошення інформації, яка перебуває під NDA. За допомогою OSINT-розвідки можливо вкрасти персональні дані користувачів або конфіденційну інформацію про діяльність людини/компанії та використовувати її для шантажу.
- Викуп конфіденційної інформації. Сумна правда: в Україні викуповують медичні дані людей. Компанії можуть звернутися до приватної клініки та купити інформацію про клієнтів, які там обслуговуються.
📌 Легальною є та інформація, яка відкрита й зібрана в реальному часі, не використовується на шкоду іншим людям, компанії чи країні.
Також не варто збирати інформацію, яку людина/компанія вже видалила, але вона залишається на серверах. Наприклад, у людини був акаунт «Вконтакте», який вона деактивувала. Проте сайт не усунув профіль зі своєї бази та продублював інформацію з нього на інші російські сервери. Ви знайшли дані про акаунт і використали їх.
За кордоном поважають GDPR (і аналогічні закони) та Privacy Policy. У Туреччини та Узбекистані, які не входять до ЄС, є свої закони, подібні до GDPR. Не кажучи вже про те, як прискіпливо борються з нелегальним збором, зберіганням і використанням даних у таких країнах, як Німеччина.
В Україні ж наразі немає законодавчої бази, яка б захищала приватні дані, а також загалом панує низька культура стосовно інформації, яку не можна розголошувати чи продавати. Ваш паспорт може бути продубльований на 15 різних серверах, прибрати ці дані ви не можете — і держава ніяк не захищає таку інформацію.
Чек-лист для OSINT-ера (бо знайти інформацію — це лише пів справи)
- Перевіряйте джерела та аналізуйте інформацію. Перед використанням даних завжди верифікуйте, наскільки надійними та авторитетними є джерела. Зараз дуже багато сайтів використовують AI для генерації текстів. А він часто «галюцинує» — подає неправдиву інформацію як факт. Будьте прискіпливим розслідувачем!
Після того як зробили припущення на основі доступних вам даних, спробуйте знайти пробіли у власній логіці. Знайдіть докази, які підтверджують або спростовують гіпотезу, і поставте такі запитання:
Чи можу я це підтвердити?
Чи можу я поручитися за достовірність цих даних?
Що я можу зробити, щоб уникнути упередженостей? - Оновлюйте знання та джерела. Інтернет і ресурси, які в ньому доступні, постійно змінюються.
- Забезпечте анонімність і безпеку. За потреби приховуйте свою ідентичність під час збору інформації. Для цього можна використовувати VPN і проксі-сервери. Ось кілька додаткових інструментів, які допоможуть вам захистити власну приватність:
🔒 Tempmail: тимчасова фейкова адреса пошти.
Платна версія: $10/міс. з користувача.
🔒 Google Voice: безплатне створення фейкового номера, який перенаправлятиме дзвінки на ваш телефон.
І наостанок: зараз є дуже багато роботи для OSINT-ерів. Їх шукають медіа, інвестиційні фонди, банки, страхові, маркетингові агенції. Можна працювати OSINT-фахівцем full-time, а можна надавати послуги на фрилансі — наприклад, робити background check із погодинним рейтом.
Можна працювати в Україні або за кордоном. Іноземні компанії часто наймають українців для роботи з українським ринком. Можна надавати послуги background check українців та українських компаній закордонним замовникам — зараз у країну багато інвестують, і українцям готові платити за перевірку подібної інформації.
