Поиск без границ: Продвинутые техники OSINT для работы и расследований

Марк Тьюрин

Поиск без границ: Продвинутые техники OSINT для работы и расследований

Граница между открытым источником и вторжением

В 8:47 Ирина открыла карточку поставщика «Вектор-Регион». Региональная компания, где она работала аналитиком службы комплаенса, собиралась заключить с ним договор. В закупочных документах бросилось в глаза совпадение: у директора поставщика и сотрудника, участвовавшего в оценке заявки, были одинаковые фамилия и инициалы. Повод задать вопрос — был. Оснований делать вывод — пока нет.

Ирина проверила сведения о компании в реестре юридических лиц, а закупочные документы изучила в Единой информационной системе (ЕИС). Там нашлись данные о руководителе и участниках общества, контрактах и сроках их заключения. Затем поисковая выдача привела её на открытую страницу директора: он публиковал фотографии семьи и рассказывал о поездках. Страница была доступна без запроса на вступление. Но ни ребёнок на снимке, ни маршрут поездки не помогали выяснить, связан ли директор с сотрудником закупочной комиссии.

Через час заказчик попросил «собрать всё, что можно найти» о директоре.

Утро в службе комплаенса

Запрос был понятен: до подписания договора нужно исключить риск конфликта интересов. Неясно было другое — что именно считать таким риском и какие сведения помогут его проверить. Одинаковые фамилия и инициалы могли указывать на родство, случайное совпадение или разных людей. Пока не подтвердился ни один из вариантов.

Заказчик, руководитель закупочного направления, положил перед Ириной распечатку с фамилиями.

«Давайте составим полное досье на директора. Соцсети, недвижимость, суды, родственники. Если найдётся что-то важное, никто потом не скажет, что мы недосмотрели».

«Какое решение должно измениться, если мы найдём сведения о его семье?» — спросила Ирина.

«Не знаю. Но если там обнаружится связь, это важно».

Ольга, юрист по комплаенсу, подключилась к разговору по видеосвязи.

«Сначала нужно определить, какую связь мы проверяем и почему она имеет значение для сделки, — сказала она. — Данные о сотруднике комиссии и руководителе поставщика могут относиться к вопросу. Сведения о детях, адресах и повседневной жизни — нет, пока вы не покажете, как они связаны с закупкой».

«А если всё это лежит в открытом доступе?» — спросил заказчик.

«Тогда у вас может быть техническая возможность это увидеть, — ответила Ольга. — Но вопросы о цели, основании и допустимом объёме сбора никуда не исчезают».

Этот ответ не остановил проверку, а обозначил её границы. Ирина записала, что предстоит выяснить: есть ли подтверждённая связь между директором поставщика и сотрудником, участвовавшим в закупке, и может ли она повлиять на решение о договоре. Затем отметила, какие источники способны дать ответ, а какие к задаче не относятся.

Что считать открытым источником

В практической работе открытый источник — это сведения, которые можно получить законным и обычным способом, не обходя ограничения и не прибегая к обману. Это могут быть государственные реестры, опубликованные документы, сайты организаций, публичные сообщения и другие материалы, размещённые для всеобщего доступа или для определённой аудитории.

Проверяя «Вектор-Регион», Ирина могла обратиться к открытым сведениям из реестра юридических лиц, публикациям компании и закупочной документации в ЕИС. В зависимости от вопроса могут пригодиться опубликованные судебные акты или официальные сообщения органов власти. Но сам статус источника ещё не говорит, насколько сведения полны и актуальны и уместно ли использовать их для конкретного вывода.

Важно различать три ситуации.

Первая — сведения официально опубликованы и предназначены для широкого доступа. Например, в реестре отражены предусмотренные законом сведения об организации.

Вторая — материал доступен публично, но размещён частным лицом или компанией. Открытая страница, интервью или публикация могут быть полезны, однако их содержание нужно проверять, а сбор и дальнейшее использование — обосновывать.

Третья — данные стали видны из-за ошибки, утечки или неверных настроек доступа. Если файл открывается по случайной ссылке, это ещё не доказывает, что его публикация была разрешена. Появление сведений в поисковой выдаче тоже не означает, что их можно свободно использовать. Обнаружив такой материал, аналитик не должен скачивать его «на всякий случай» или пытаться найти продолжение. Следует остановиться и обсудить ситуацию с юристом.

В российской практике правовой режим информации зависит не только от того, где её нашли. Имеют значение правила доступа, цель использования, вид сведений и действия аналитика. Законодательство об информации и персональных данных устанавливает ограничения и обязанности; возможность открыть страницу в браузере их не отменяет.

Особенно осторожно нужно обращаться со сведениями о людях. Если организация собирает, фиксирует, сопоставляет, хранит или использует информацию о конкретном либо определяемом человеке, такие действия могут подпадать под понятие обработки персональных данных. Федеральный закон о персональных данных связывает обработку с конкретной целью, требует соразмерности состава и объёма данных этой цели, а также устанавливает требования к их хранению и защите. Организации важно определить применимое правовое основание и порядок работы с данными, а не считать публичность универсальным разрешением. В неоднозначных случаях следует обратиться за оценкой к юристу.

У открытого источника, таким образом, есть два разных свойства. Первое — доступность: можно ли законно получить сведения обычным способом. Второе — уместность: нужны ли они для конкретного решения и допустимо ли собирать и использовать их именно в этом контексте. Если смешать эти вопросы, проверка легко превращается в накопление чужой личной информации.

Когда лишнее становится вредным

В ходе первичной проверки Ирина заметила, что в открытом профиле директора есть упоминания о семье и фотографии из поездок. Она не стала переносить их в рабочую папку, а вернулась к документам, связанным с закупкой: составу комиссии, заявкам, решениям и сведениям о юридических лицах.

Такой подход может показаться излишне осторожным. Ведь частная связь и правда может иметь значение — например, если человек, принимающий решение о договоре, связан с владельцем компании. Но для проверки нужны не любые подробности о семье, а минимально необходимое подтверждение конкретного обстоятельства. Фотография, совместная поездка или одинаковая фамилия сами по себе редко дают надёжный ответ. Их легко истолковать неверно; они могут устареть или относиться к другим людям.

Минимизация защищает не только частную жизнь. Она снижает риск ложных выводов и утечки, а заодно делает результат понятнее. Если в отчёте собраны сведения о ребёнке, адресе и круге знакомых директора, читателю трудно понять, что именно связано с закупкой. Чем шире досье, тем легче случайной детали занять место факта.

Ирине было полезнее зафиксировать не все найденные страницы, а только то, что можно проверить: какие документы она изучила, когда это сделала и какие обстоятельства они подтверждают или не подтверждают. Если источник не помогает ответить на поставленный вопрос, его содержание не следует автоматически переносить в заметки и отчёт. Иногда достаточно указать, что проверенные открытые источники не подтвердили заявленную связь, не копируя лишние персональные сведения.

Та же логика работает и в бытовых ситуациях. Семья выбирает няню и хочет убедиться, что кандидат подходит для работы с ребёнком. Разумно обсудить опыт, попросить рекомендации и заранее объяснить, какие документы и контакты будут проверяться и как именно. Совсем другое — собирать сведения о родственниках кандидата, её здоровье или маршрутах только потому, что «всё равно нашлось в сети». Чем серьёзнее решение, тем важнее процедура, но его значимость не отменяет требования соразмерности.

В редакции похожий разговор возник вокруг общественного интереса. Марк, редактор делового издания, готовил материал о закупках, в которых участвовал «Вектор-Регион». Он нашёл публичную страницу директора и задумался, помогут ли сведения о семье установить его связь с сотрудником заказчика.

«Нас интересует расходование средств, — сказал Марк. — Если семейная связь объяснит решение комиссии, это может быть существенно».

«Тогда сначала подтвердим саму связь и её отношение к решению, — ответила Ольга. — Публичный интерес к закупке не делает значимыми все сведения о частной жизни её участников. В публикацию должна попасть только информация, необходимая для обоснования общественно важного вывода».

Общественный интерес — это не просто любопытство читателей к частной жизни. Он связан с вопросами, затрагивающими общественно значимые решения: расходование бюджетных средств, безопасность, возможное злоупотребление полномочиями. Деловая необходимость тоже должна быть конкретной — например, оценка риска договора или соблюдения внутренних правил закупки. Ни общественный интерес, ни коммерческая осторожность не дают разрешения собирать всё подряд.

Граница методов

В истории Ирины возникло и другое искушение: заказчик предложил написать директору поставщика с чужого аккаунта и представиться потенциальным партнёром, чтобы тот рассказал о своих связях.

Ольга сразу остановила эту идею.

«Если для получения сведений приходится скрывать свою личность, придумывать легенду или выдавать себя за другого, такой способ не подходит для проверки. Сначала используйте прозрачный запрос через уполномоченный канал или изучите доступные документы. Если получить сведения можно только обманом или через доступ, на который у вас нет разрешения, добиваться их таким путём нельзя».

Обычное чтение публичной страницы — не то же самое, что попытка проникнуть в закрытую группу, подобрать пароль, воспользоваться чужими учётными данными или преодолеть техническое ограничение. То, что ограничение мешает исследованию, не делает его необязательным. Не следует использовать и случайно полученные пароли, а также ссылки или файлы, доступ к которым открылся из-за ошибки. Техническая возможность не равна разрешению.

При этом не всякий вход в систему означает обход ограничений. Организация, например, может предоставлять доступ после регистрации или на основании договора. В таком случае нужно соблюдать установленные правила и не выдавать себя за другого человека. Важно отличать разрешённый способ входа от попытки получить чужие полномочия или преодолеть отказ.

Ирина предложила заказчику два допустимых пути. Первый — проверить документы и публичные сведения, относящиеся к участию компании в закупке. Второй — направить сотруднику комиссии официальный внутренний запрос по установленной процедуре декларирования конфликта интересов. Если для ответа требуются дополнительные сведения, их нужно запрашивать открыто и по делу, а не добывать под чужой личностью.

Когда заказчик снова попросил «просто посмотреть закрытый профиль через знакомого», Ирина ответила:

«Я не буду пользоваться чужой учётной записью или обходить настройки доступа. Продолжу проверку по открытым источникам и предложу официальный путь через процедуру компании. Если этих способов окажется недостаточно, зафиксируем, что вопрос пока остаётся открытым».

Такая формулировка не обвиняет заказчика и не превращает отказ в спор. Она ясно обозначает недопустимое действие и предлагает рабочую альтернативу.

Матрица допустимости

Чтобы не возвращаться к одним и тем же сомнениям при каждой найденной странице, Ирина составила для команды матрицу. Она помогала оценить весь путь — от поручения до хранения результата, — а не только сам источник.

Цель. Какое решение должна поддержать проверка? Сформулируйте конкретный риск или обязательство. Просьба «собрать всё на всякий случай» — стоп-сигнал.

Связь с вопросом. Как найденные сведения помогут подтвердить или опровергнуть риск? Оставляйте данные, относящиеся к решению. Семейные и бытовые подробности, не связанные с закупкой, исключайте.

Законность доступа. Можно ли получить материал обычным разрешённым способом? Используйте официальные и публичные каналы по их правилам. Подбор пароля, чужая учётная запись, обман или обход ограничения — стоп-сигнал.

Необходимый объём. Какого минимума достаточно для ответа? Зафиксируйте факт и источник, не собирая лишних деталей. Полное досье без чётких критериев не нужно.

Срок хранения. Как долго результат нужен для решения или контроля? Определите срок пересмотра и порядок удаления либо ограничения доступа. Бессрочное хранение «на будущее» недопустимо.

Матрица не заменяет юридическую оценку или внутренние правила организации. Она помогает вовремя заметить, что поиск вышел за пределы поручения. Если хотя бы на один вопрос нельзя ответить конкретно, проверку стоит приостановить и уточнить её рамки.

Для быстрой работы подойдёт простой порядок действий. Сначала оцените доступ: если источник официально опубликован или материал доступен обычным разрешённым способом, переходите к следующему вопросу. Если для доступа нужны обман, чужие учётные данные или обход ограничения, не продолжайте этим путём.

Затем проверьте, связан ли материал с задачей. Если он помогает ответить на поставленный вопрос, определите, какой минимум нужно зафиксировать. Если он просто любопытен или может пригодиться когда-нибудь, не включайте его в материалы проверки.

Если информация затрагивает частную жизнь, выясните, есть ли конкретная цель и применимое основание для её обработки. При сомнениях обратитесь к юристу до копирования и распространения сведений.

Наконец, когда цель достигнута или отпала, завершите проверку и выполните установленный порядок хранения, удаления или ограничения доступа. Не оставляйте собранные данные в общей папке без срока и ответственного.

В случае «Вектор-Региона» матрица помогла сузить задачу. Ирина оставила сведения из реестра юридических лиц и закупочных документов, описывавшие участников и ход процедуры. Семейные фотографии и бытовые публикации в отчёт не вошли. Совпадение фамилии и инициалов осталось поводом для уточнения, но не доказательством конфликта. Следующим шагом стал официальный запрос сотруднику комиссии по внутренней процедуре компании.

Как зафиксировать основание и пределы

Запись о границах проверки нужна не только юристу. Она помогает аналитику не расширять поручение незаметно для себя, объясняет заказчику, почему некоторые материалы исключены, и позволяет коллеге понять, как получен результат.

Короткая форма может включать несколько пунктов.

Поручение и заказчик. Кто инициировал проверку и в рамках какого процесса?

Цель. Какое конкретное решение предстоит принять или какой риск оценить?

Проверяемый вопрос. Какое обстоятельство нужно подтвердить или опровергнуть?

Необходимость и правовое основание. Почему проверка требуется: какое правило, обязательство или деловой риск её обосновывает? Если затрагиваются персональные данные, применимое основание обработки следует определить вместе с юристом.

Объекты и пределы. Какие организации и лица относятся к вопросу? Какие категории сведений заведомо исключены?

Источники и методы. Например, официальные реестры, опубликованные документы и другие материалы, доступные без обхода ограничений.

Запреты. Не пользоваться чужими учётными данными, не выдавать себя за другого, не получать закрытые материалы без разрешения. Сведения о родственниках и частной жизни включать в проверку только при прямой связи с вопросом и наличии правового основания.

Хранение и срок. Где будут находиться материалы, кто получит к ним доступ, когда необходимость хранения пересматривается и кто принимает решение об удалении или дальнейшем ограничении доступа?

Ответственный и согласование. Кто проводит проверку, кому направляет результат и в каких случаях нужно обратиться к юристу?

Форма не должна превращаться в длинный документ, который никто не перечитывает. Достаточно нескольких точных строк до начала сбора и короткого обновления, если обстоятельства изменились. Например, если выяснилось, что вопрос касается не только руководителя поставщика, но и сотрудника заказчика, нужно заново оценить цель, круг собираемых данных и основание. Уточнённое поручение само по себе не разрешает использовать любые методы.

Полезно отдельно фиксировать и отрицательный результат. Формулировка «связь не подтверждена по проверенным источникам» точнее, чем «связи нет». Первая показывает, что именно установлено и где заканчиваются возможности проверки. Вторая звучит как исчерпывающий вывод, хотя изученные документы могут его не позволять.

Перед началом работы

Представьте, что заказчик прислал фамилию человека и написал: «Проверьте, что можно найти». Прежде чем открывать поисковик, попробуйте закончить три предложения.

«Проверка нужна, чтобы принять решение о…»

«Подозрение можно подтвердить или опровергнуть сведениями о…»

«Я не буду получать сведения способом, который требует…»

Если не получается закончить первое предложение, запрос пока слишком расплывчатый. Если для второго нужно изучать данные, не связанные с решением, сузьте вопрос. Если ответ требует обойти авторизацию или скрыть свою личность, ищите законную альтернативу либо сообщите, что проверка не может продолжаться таким способом.

Ирина внесла границы в рабочую запись и отправила её заказчику и Ольге. Проверка пока не дала окончательного ответа. Зато стало ясно, что именно подтверждено, чего команда не знает и какие действия исключены. Это не недостаток расследования, а условие надёжного результата: нехватку данных нельзя компенсировать вторжением в частную жизнь.

Прежде чем искать, важно знать, где остановиться. Когда цель и границы определены, следующий шаг — превратить размытый сигнал в исследовательский вопрос, на который можно ответить проверяемыми сведениями.

От подозрения к исследовательскому вопросу

В 9:12 Марку, редактору делового издания, пришло сообщение: «Вектор-Регион заранее провёл своего поставщика. Они связаны, закупка была под него». Автор утверждал, что речь идёт о конкретной публичной закупке, где ООО «Вектор-Регион» выступало заказчиком, а ООО «Промконтур» стало поставщиком-победителем. К сообщению приложили снимок страницы из справочника: рядом с названиями двух организаций стоял один и тот же номер телефона. Автор уверенно обещал: «Если покопать, там всё всплывёт».

Это был новый сигнал по той же закупке, которую ранее проверяла Ирина, а не отдельная процедура. В её материалах уже отмечалось совпадение фамилии и инициалов директора ООО «Промконтур» с фамилией и инициалами одного из членов комиссии, оценивавшей заявки. Это совпадение ещё не устанавливало, что речь об одном человеке. Сообщение Марку добавило другое наблюдение — общий телефон в справочнике. Одно не подтверждало другое: оба сигнала требовали самостоятельной проверки.

Ирина проверяла ООО «Вектор-Регион» как возможного поставщика для своего работодателя. В публичной закупке та же организация выступала заказчиком. Это разные деловые отношения и разные роли компании. Ирина отвечала за внутреннюю оценку контрагента, а не за редакционную проверку или публикацию. Марк по поручению редакции проверял сообщение для возможного журналистского материала. Ольга была юристом редакции и консультировала Марка по вопросам проверки и публикации.

Они не составляли общую команду и не объединяли рабочие дела. Работодатель Ирины письменно разрешил ей участвовать в ограниченной консультации по открытым документам этой закупки. Ирина могла передать ссылки и заметки только о публичных материалах, не раскрывая внутренние сведения о своей компании или контрагенте. Марк не раскрывал Ирине личность автора сообщения и передал лишь обезличенную формулировку утверждения и снимок справочника. Ольга не получала доступа к внутренним материалам службы комплаенса. Редакция проверяла опубликованные сведения самостоятельно, а Ирина готовила внутренний вывод для руководителя; ни одна сторона не использовала закрытые материалы другой как доказательство.

На согласованной консультации Марк, Ирина и Ольга обсуждали не установленный факт, а сигнал, который предстояло проверить. Открытая доступность сведений сама по себе не определяет ни цель их сбора, ни допустимый объём поиска. Сначала нужно было понять, на какой именно вопрос они хотят получить ответ.

«Что мы знаем?» — спросил Марк.

«Что нам пришло такое сообщение, — сказала Ирина. — И что на снимке действительно виден один и тот же номер. Но пока мы не знаем, кому он принадлежал, когда использовался и что именно может подтвердить».

«Всё очевидно, — перебил автор сообщения по телефону. — Они давно работают вместе. Это же их фирма».

Марк уточнил: «Вы лично видели документы, подтверждающие связь, или делаете вывод по номеру?»

«Я знаю, как тут всё устроено».

«Это не ответ на вопрос».

Автор назвался бывшим участником закупки. Он действительно подал заявку, но не получил контракт. Это не означало, что его сообщение было ложным. Однако его интерес к исходу процедуры требовал особенно внимательной проверки. Уверенность источника, его опыт и даже правдоподобный снимок — вещи разные. Ни одна из них сама по себе не превращает предположение в установленный факт.

Заблуждения, которые раздувают сигнал

Первое заблуждение: если сообщение тревожное, прежде всего нужно проверять самую громкую версию. Слова «связаны», «подставной поставщик» и «закупка под него» быстро складываются в готовый сюжет. Но за ними могут стоять совершенно разные вещи: общий адрес регистрации, договор на оказание услуг, знакомство руководителей или сговор. Пока эти значения не разделены, сюжет нельзя проверить.

Второе заблуждение: одного совпадения достаточно, чтобы подтвердить связь. Общий телефон, адрес или фамилия могут иметь значение, но сами по себе редко объясняют характер отношений. Номер мог принадлежать бизнес-центру, услугами которого пользовались десятки арендаторов. Адрес мог быть адресом массовой регистрации. Совпадение фамилий и инициалов не доказывает, что речь идёт об одном человеке; даже подтверждённое родство не доказывает участие в конкретном решении.

Третье заблуждение: если в открытом реестре нет записи, значит, связи не было. На самом деле это доказывает лишь то, что в проверенных источниках не обнаружен определённый вид сведений. Публичные записи не охватывают все частные договорённости и могут быть неактуальны. Поэтому «не нашли» и «опровергли» — разные результаты.

Четвёртое заблуждение: широкий вопрос поможет увидеть картину целиком. «Кто стоит за закупкой?» звучит амбициозно, но в нём нет ни периода, ни признаков, ни критериев ответа. Он подталкивает собирать любые совпадения, пока не сложится убедительная версия. Такой поиск может длиться бесконечно, а накопленный материал — создавать впечатление доказательности, которой на самом деле нет.

От сигнала к вопросу

Сигнал — это сообщение или наблюдение, которое даёт повод начать проверку. Оно может быть точным, ошибочным, неполным или продиктованным интересом автора. На этом этапе сигнал не подтверждает вывод, а лишь указывает, где может скрываться проверяемое утверждение.

Факт в исследовании — конкретное утверждение, привязанное к источнику и времени. Например: «В опубликованной карточке закупки заказчиком указано ООО „Вектор-Регион“». Это можно сверить с самой карточкой. Но такое утверждение не равнозначно более широкому: «Вектор-Регион нечестно провёл закупку». Наличие документа подтверждает лишь то, что документ существует; изложенные в нём сведения требуют отдельной оценки, а вывод о поведении — отдельного обоснования.

Гипотеза — возможное объяснение наблюдений, которое можно сопоставить с альтернативами. «Общий телефон означает, что организации связаны» — гипотеза, и пока неясно даже, что именно здесь значит «связаны». Вывод — результат сопоставления источников и конкурирующих объяснений. Он должен быть уже гипотезы, если материалы подтверждают лишь её часть.

Для рабочего исследования полезно держать в уме последовательность: сигнал, утверждения, признаки, источники, альтернативы, вывод. Если перескочить от сигнала сразу к выводу, дальнейший поиск обычно превращается в подбор подтверждений.

Первый вопрос должен быть достаточно узким, чтобы на него можно было ответить, и достаточно полезным, чтобы результат имел значение. В случае «Вектор-Региона» можно спросить: «Есть ли в официальных открытых источниках документы о формальной связи заказчика ООО „Вектор-Регион“ с поставщиком-победителем ООО „Промконтур“ до даты этой закупки?» Но этот вопрос пока не затрагивает ни совпадение фамилии и инициалов, ни саму процедуру.