Що таке OSINT: розвідка на основі відкритих джерел

Більшість організацій не страждає від браку інформації. Корпоративні реєстри, новини, соцмережі, технічні записи, супутникові знімки та комерційні бази створюють іншу проблему: як відрізнити надійні дані від шуму, поєднати окремі факти й зрозуміти, що вони означають для конкретного рішення.

Саме це завдання вирішує OSINT — розвідка на основі відкритих джерел. Інвестор може використати її для оцінки об’єкта інвестицій, роботодавець — для перевірки кандидата, команда безпеки — для виявлення загроз, а журналіст — для відтворення перебігу події. Робота починається з доступної інформації, але її результатом має бути не набір посилань, а обґрунтований аналітичний висновок.

Що означає OSINT?

OSINT, або Open Source Intelligence, — це розвіддані, отримані виключно з публічно чи комерційно доступної інформації для відповіді на визначений запит. Таке визначення, зокрема, використовує Стратегія OSINT розвідувальної спільноти США на 2024–2026 роки.

Слово «відкриті» описує спосіб доступу до джерела. Воно не стосується програмного забезпечення з відкритим кодом і не означає, що будь-яку знайдену онлайн інформацію можна без обмежень збирати, копіювати чи поширювати. Джерело може вимагати реєстрації або платної підписки й залишатися частиною OSINT, якщо воно доступне на комерційних умовах, а дослідник має право ним користуватися.

Не менш важливий чіткий запит. Формулювання «перевірте цю компанію» надто широке. Натомість запит «встановіть, хто контролює постачальника, чи мають його власники санкційні ризики та чи існують нерозкриті зв’язки із замовником» задає межі й критерії відповіді.

Відкрита інформація ще не є OSINT

Запис у реєстрі, фотографія, допис або технічні дані домену — це вихідна інформація. OSINT-продукт з’являється після того, як аналітик перевірив її походження, відновив контекст, зіставив з іншими джерелами та пояснив значення для поставленого питання.

Наприклад, у професійному профілі засновник зазначає роботу в певній компанії. Це лише зачіпка. Для перевірки аналітик може зіставити твердження з історичними корпоративними записами, архівними версіями сторінки команди, біографіями учасників конференцій і датованими публікаціями медіа. У висновку потрібно вказати, чи досвід підтверджено, лише опосередковано простежено або не встановлено.

Такий підхід не дає плутати кількість із достовірністю. Десять публікацій можуть повторювати одну початкову заяву, а кілька баз — відтворювати той самий застарілий запис. Якщо джерела залежать одне від одного, це не незалежне підтвердження. Подібні помилки входять до поширених помилок бізнесу в роботі з даними.

Які джерела використовує OSINT?

OSINT охоплює онлайн- та офлайн-матеріали, законно доступні в межах завдання. Основні категорії джерел:

• корпоративні реєстри, судові рішення, закупівлі та регуляторні повідомлення;
• санкційні списки, публікації державних органів і відкриті набори даних;
• архіви новин, галузеві медіа, наукові роботи, книги й бібліотеки;
• сайти компаній, професійні профілі, форуми та публічний контент у соцмережах;
• фото, відео, карти, метеорологічні дані та супутникові знімки;
• публічно видимі дані про домени, сертифікати, DNS та IP-адреси;
• комерційні бази, які використовують відповідно до актуальних ліцензійних умов.

В Україні Єдиний державний реєстр судових рішень, Державний реєстр санкцій і Prozorro допомагають перевіряти судові спори, санкції та державні закупівлі. Корпоративні відомості доступні через державні й ліцензовані комерційні сервіси. Під час воєнного стану режим роботи реєстрів та обсяг відкритих даних можуть змінюватися з міркувань безпеки.

Окремі кейси стосуються публічних сторінок даркнету, сайтів витоків та інших ризикових середовищ. Видимість матеріалу не робить законними його отримання, зберігання чи повторне використання. Закриті форуми, викрадені облікові дані, незаконний контент і захищені автентифікацією системи потребують окремої правової оцінки та можуть виходити за межі OSINT.

Покриття джерел відрізняється за країнами: один реєстр показує акціонерів, інший — лише директорів, а доступ до судових матеріалів може бути обмеженим. Порожня видача доводить тільки те, що на момент перевірки запису не знайшли в конкретному джерелі.

Хто і для чого використовує OSINT?

З відкритими джерелами працюють державні органи, військові, правоохоронці, журналісти, правозахисники, юристи, фахівці з кібербезпеки та розвідувальні компанії. Їхні повноваження й стандарти доказування різняться.

Бізнес застосовує OSINT, коли помилкове припущення може мати фінансові, юридичні, операційні або репутаційні наслідки. Серед типових завдань:

• перевірка власності, пов’язаних осіб, судових спорів і санкцій перед угодою;
• оцінка постачальників, дистриб’юторів, підрядників та інших третіх сторін;
• верифікація тверджень кандидатів на керівні, регульовані або безпеково чутливі посади;
• аналіз конкурентів, ринків, цінових сигналів і ризиків виходу в нову країну;
• управління кіберризиками, зокрема пошук відкритих елементів цифрової інфраструктури та ранніх сигналів загрози;
• відтворення мереж, пов’язаних із шахрайством, активами, репутаційними ризиками або інформаційними операціями.

Для українських компаній особливо актуальні зв’язки з Росією та Білоруссю, санкційні ризики, ланцюги постачання, оборонні закупівлі й партнери у відновленні. Перевірка третіх сторін може поєднувати корпоративні документи, санкційні джерела, судові рішення, закупівлі та локальні медіа. Обсяг перевірки кандидатів перед наймом визначають за посадою, юрисдикцією й рівнем доступу людини: однакові методи не виправдовують однакової глибини кожного кейсу.

Як працює OSINT?

Професійна OSINT-робота спирається на розвідувальний цикл. Назви етапів можуть відрізнятися, але для більшості корпоративних і розслідувальних завдань достатньо п’яти.

1. Постановка завдання та підготовка

Керівник кейсу визначає питання, рішення, строк, юрисдикції та поріг суттєвості. Команда фіксує ідентифікатори, припущення, дозволені джерела, правові межі й умови зупинки або розширення роботи.

2. Збір

Аналітики збирають достатні й різнотипні матеріали, фіксуючи запити, URL, дати доступу та ідентифікатори. Збір має бути цільовим і пропорційним, особливо щодо персональних або чутливих даних.

3. Обробка

Команда структурує записи, уніфікує імена й дати, перекладає матеріали та відділяє можливі збіги від підтверджених ідентичностей. Дублікати об’єднують без втрати шляху до першоджерела, а автоматичне вилучення й переклад перевіряють за оригіналом.

4. Аналіз і підготовка результату

Аналітики перевіряють зв’язки, послідовність подій та альтернативні пояснення за допомогою хронологій, схем власності, карт зв’язків або географічних порівнянь. Звіт відділяє факти від індикаторів і припущень, визначає рівень упевненості та позначає суттєві прогалини.

5. Передавання результату та зворотний зв’язок

Уповноважений отримувач одержує звіт, брифінг, попередження, хронологію або пакет доказів. Зворотний зв’язок може уточнити запит чи запустити моніторинг, але не дає автоматичного дозволу на новий метод або ширший збір.

Докладніше про те, як каталог інструментів відрізняється від відтворюваного процесу розслідування, читайте в нашому гайді про OSINT Framework.

Які методи застосовують в OSINT?

Методи OSINT допомагають знаходити, перевіряти й поєднувати інформацію. До них належать:

• пошукові оператори, варіанти написання імен та запити локальними мовами;
• перевірка офіційних корпоративних, судових, санкційних і закупівельних джерел;
• аналіз публічної активності в соцмережах після підтвердження власника акаунта;
• пошук попередніх версій сайтів у вебархівах;
• зворотний пошук зображень, аналіз метаданих і візуальних ознак;
• зіставлення карт, знімків, погоди й тіней для геолокації або визначення часу;
• аналіз відкритих даних про домени, DNS та цифрові сертифікати;
• побудова зв’язків між людьми, компаніями, адресами, транзакціями й подіями;
• моніторинг визначених джерел із порогами для ескалації змін.

Пошуковики та спеціальні інструменти пришвидшують роботу, але їхні результати не є доказом самі по собі. Пошукова видача неповна, автоматичний аналіз тональності може неправильно описувати аудиторію, а візуалізація — створювати враження міцного зв’язку там, де доказова база слабка.

Практичні сценарії для пошуку, перевірки метаданих, геолокації, вебархівів і публічних реєстрів зібрані в нашому огляді 14 методів OSINT.

Пасивний та активний OSINT

Пасивним OSINT зазвичай називають збір без навмисної комунікації із суб’єктом або спонукання його до дії: читання реєстру, пошук в архіві чи перегляд публічної вебсторінки. Однак пасивний не означає невидимий. Сайти можуть записувати запити, IP-адреси й акаунти, платформи — повідомляти про перегляди профілю, а сторонні інструменти — зберігати завантажені файли. Отже, правила потрібні навіть для роботи без взаємодії.

«Активний OSINT» — робочий термін, а не універсальна правова категорія. Він охоплює підписку, реакцію, заявку до закритої групи, надсилання форми або повідомлення. Такі дії можуть попередити суб’єкта та змінити докази. Інтерв’ю, перевірка рекомендацій, контрольоване тестування безпеки й звернення до свідків потребують окремих повноважень і процедур.

Під час санкціонованого активного дослідження фахівці можуть використовувати дослідницькі персони — research- або sock-puppet-акаунти — замість особистих профілів. Кілька пов’язаних акаунтів на релевантних платформах створюють послідовну цифрову присутність. Їх ведуть за стандартними операційними процедурами (SOP) та правилами платформ, відокремлюють від особистості аналітика й маскують під відповідне онлайн-середовище. Персона не повинна видавати себе за реальну людину або використовувати чужі фото чи ідентифікатори. Порожній профіль, створений перед контактом, може викрити дослідника.

Доступ до закритої групи потребує визначеної класифікації. Одні організації вважають членство лише для читання пасивним, якщо аналітик не комунікує. Інші розглядають запит на вступ як активну дію або роботу під прикриттям. Це слід закріпити в SOP до початку кейсу.

Розмір групи впливає на ризик: новому акаунту легше загубитися серед 500 учасників, ніж у спільноті з 20 людей, де новачка швидше помітять. Кількість учасників не замінює дозволу, але змінює ймовірність викриття.

До будь-якої взаємодії команда визначає дозволену ідентичність, межі контакту, правила збереження доказів та умови зупинки. Персона діє лише в межах погодженого мандата й не використовується для обходу технічного контролю доступу.

Чотири запитання: чи справді це OSINT?

Короткий тест допомагає відрізнити OSINT від звичайного пошуку та від методів, які потребують інших повноважень.

1. Доступ. Інформація є публічною, комерційно доступною або отримана через погоджену процедуру використання дослідницького акаунта чи вступу до групи без обходу технічного захисту?
2. Метод. Збір дозволений законом, політиками організації, умовами доступу до джерела й чинними договорами?
3. Мета. Робота відповідає на конкретний законний розвідувальний запит, а не накопичує інформацію без визначених меж?
4. Результат. Матеріал оцінено, підтверджено іншими джерелами й проаналізовано, а джерела, рівень упевненості та обмеження чітко зазначено?

Якщо вимоги до доступу або методу не виконані, діяльність не є звичайним OSINT. Без визначеної мети чи аналізу результат залишається інформацією з відкритих джерел, а не готовим OSINT-продуктом.

Правові та етичні межі OSINT в Україні

Публічна доступність не скасовує правил щодо персональних даних, приватності, авторського права, конфіденційності та втручання в інформаційні системи. Додаткові обмеження можуть встановлювати платформи й ліцензії баз. Вимоги залежать від джерела, мети, суб’єкта, юрисдикції та використання результату.

В Україні Закон «Про захист персональних даних» вимагає визначеної законної мети й підстави обробки, відповідності дій цій меті та пропорційності даних. Доступність відомостей онлайн цих вимог не скасовує. Закон «Про доступ до публічної інформації» дозволяє повторне використання відкритих даних із посиланням на джерело, але також визначає інформацію з обмеженим доступом.

Під час воєнного стану окремої уваги потребують відомості оборонного значення. Стаття 114-2 Кримінального кодексу України встановлює відповідальність за несанкціоноване поширення під час воєнного або надзвичайного стану: даних про направлення чи переміщення зброї в Україну, не оприлюднених визначеними органами або офіційними джерелами країн-партнерів; даних, що дають змогу ідентифікувати на місцевості рух, переміщення чи розташування ЗСУ та інших утворених відповідно до законів України військових формувань і не оприлюднені уповноваженими органами. OSINT як метод не заборонений, але збір і поширення — різні дії. Перед передаванням чутливих знахідок перевіряють офіційне оприлюднення, шкоду та належний канал.

Відповідальна OSINT-робота передбачає такі правила:

• визначити законну мету й збирати лише потрібні для неї дані;
• мінімізувати чутливу та нерелевантну персональну інформацію;
• не обходити автентифікацію, не використовувати вразливості чи викрадені облікові дані;
• оцінювати безпеку людей і зберігати походження та контекст суттєвих матеріалів;
• перевіряти альтернативні пояснення та відділяти факти від висновків;
• обмежувати доступ, строки зберігання та поширення визначеною метою;
• зупиняти роботу й ескалювати питання, якщо наступний крок потребує нового дозволу.

Berkeley Protocol on Digital Open Source Investigations створено для міжнародних кримінальних і правозахисних розслідувань. Його принципи підзвітності, об’єктивності, документування та безпеки корисні й для корпоративної практики. Цей матеріал не є юридичною консультацією або дозволом на розслідування.

Переваги та обмеження OSINT

OSINT дає доступ до різних типів джерел без опори лише на конфіденційний збір. Він може швидко виявляти події, підтримувати порівняння між країнами та залишати аудиторський слід для незалежної перевірки. Публічні й комерційні джерела також можна моніторити, коли змінюються власники, санкції, судові ризики або загрози.

Водночас метод не є автоматично дешевим, миттєвим чи прозорим. Професійні бази, мовна експертиза, захищена інфраструктура та досвідчені аналітики коштують грошей. Записи можуть запізнюватися, зникати або містити помилки. У соцмережах поширені фальшиві особи, координована активність і синтетичний контент. Пошукові алгоритми ранжують видимість, а не достовірність.

Саме тому перевірка залишається критичною. ШІ в OSINT допомагає з перекладом, транскрибуванням, вилученням даних і первинним сортуванням. Але алгоритм може об’єднати різних людей, втратити контекст або вигадати посилання. Кожен суттєвий висновок потребує перевірки людиною за першоджерелами.

OSINT у роботі на користь суспільства

OSINT використовують у гуманітарних і правозахисних проєктах. Trace Labs координує пасивні дослідження зниклих безвісти та передає зачіпки правоохоронцям. Правила забороняють контактувати з рідними й друзями зниклої людини, позначати їх або підписуватися на них.

Ініціатива Європолу Stop Child Abuse — Trace an Object публікує ізольовані предмети з фону матеріалів про сексуальне насильство над дітьми. Через офіційну форму можна повідомити про походження предмета. Європол просить не поширювати впізнавані зображення, імена чи інші персональні дані.

В обох випадках збір має визначену мету, контрольований канал передавання та відповідальний орган. Такі проєкти не закликають самостійно контактувати із суб’єктами або публічно будувати припущення щодо конкретних людей.

Яким має бути результат OSINT-дослідження?

Корисний звіт відповідає на початкове питання. Він показує джерела суттєвих знахідок і розділяє те, що докази підтверджують, від того, на що вони лише вказують. У документі фіксують рівень упевненості, суперечності, недоступні джерела та інші обмеження.

Якщо матеріал може знадобитися в суді, одного скриншота недостатньо. Варто зберегти URL, дату, час і часовий пояс, контекст сторінки, оригінальний файл та метадані, а також вести журнал отримання й передавання. Порядок подання та допустимість залежать від виду провадження.

Далі звіт пояснює наслідки для рішення: продовжити угоду, призупинити її для додаткової перевірки, змінити договірний контроль, відхилити непідтверджене твердження або почати моніторинг конкретного ризику. Великий список джерел без такого аналітичного судження залишається дослідженням, а не готовою розвідкою для ухвалення рішень.

Роль OSINT в управлінських рішеннях

OSINT посилює розслідування, оцінку безпеки, аналіз ринку, due diligence та перевірку кандидатів, якщо питання й повноваження сформульовані чітко. Він допомагає встановлювати зв’язки, відтворювати події, перевіряти заяви та знаходити прогалини, яких не показують стандартні бази.

Однак метод не замінює професійного судження. Його цінність залежить від вибору джерел, перевірки фактів і чесного позначення того, що залишилося невідомим. Саме такий підхід Molfar Intelligence застосовує у бізнес-розвідці та консалтингу: публічну й комерційну інформацію оцінюють у контексті рішення, яке має ухвалити клієнт.