OSINT: с чего начать, что изучить и как практиковаться

Распространённое заблуждение — считать OSINT умением «найти всё о человеке» с помощью ботов и купленных баз. Хорошее исследование устроено наоборот: оно начинается с узкого вопроса («существует ли склад, который нам показали?») и заканчивается, когда на него получен проверенный ответ. Лишнее увеличивает риск, а утёкшие базы к открытым источникам не относятся вовсе.

Кому и для чего нужен навык

Закупщик и юрист выясняют, существует ли компания, кто ею управляет, есть ли у неё долги и судебные споры. Журналист проверяет, где и когда снято фото, не публиковалось ли оно раньше по другому поводу, кто стоит за сайтом или каналом. Специалист по информационной безопасности ищет, какие сведения о компании и её сотрудниках открыты и полезны злоумышленнику.

Другой путь нужен, когда ответ лежит в закрытых данных: банковские выписки, переписку и сведения из служебных баз законно получают только через суд, адвокатский запрос или правоохранительные органы. О служебных расследованиях и анализе изъятых компьютеров рассказывают наши статьи о специалисте по экономической безопасности и о цифровой криминалистике.

Цикл исследования: от вопроса до отчёта

Самое подробное описание этой работы — Берклийский протокол о расследованиях с использованием цифровых открытых источников, изданный в 2022 году Управлением Верховного комиссара ООН по правам человека вместе с Центром по правам человека юридической школы Калифорнийского университета в Беркли (текст протокола на сайте УВКПЧ). Он написан для расследований нарушений международного права, но годится для любой проверки.

Открытой протокол называет информацию, которую любой человек может увидеть, купить или запросить, не имея особого правового статуса и не получая несанкционированного доступа (п. 1). Платная выписка или ответ на официальный запрос под это определение подходят. Утёкшая база, закрытый чат, куда вы вошли под чужим именем, или «пробив» через знакомого с доступом к служебной системе — нет.

Глава VI делит процесс на шесть этапов: поиск в сети, предварительная оценка найденного, сбор, сохранение, проверка достоверности и аналитическая обработка.

Два методологических принципа тянут в разные стороны. Минимизация данных (п. 31) разрешает собирать информацию, только если это обосновано понятной целью, необходимо для неё и соразмерно ей. Принцип сохранения (п. 32) требует не недобрать, чтобы значимое доказательство не пропало. На практике нужный пост сохраняют сразу, с адресом, датой и снимком страницы, потому что завтра его могут удалить, но не выгружают целиком страницу автора и профили его родственников «на всякий случай». А среди профессиональных принципов названа осведомлённость о безопасности: исследователь должен сокращать свой цифровой след (п. 29).

Учебный пример: поставщик со складом на фото

Ситуация условная. Закупщик мебельной фабрики находит в Telegram поставщика фанеры: цена на 15 % ниже рынка, предоплата 50 %, в подтверждение — фото «нашего склада» и ссылка на сайт. Вопрос: существует ли компания, её ли это склад и можно ли рискнуть авансом.

По ИНН из счёта закупщик получает выписку из ЕГРЮЛ на сайте ФНС, ищет споры в картотеке арбитражных дел, долги — в банке данных исполнительных производств ФССП, сообщения о банкротстве — на Федресурсе. Компании полтора года, споров и долгов нет.

Обратный поиск по изображению в Яндексе и Google Lens находит тот же снимок на сайте аренды складов в другом городе, опубликованный тремя годами раньше. Метаданных в файле нет, но это ничего не доказывает: мессенджеры и соцсети обычно их удаляют. В архиве Wayback Machine видно, что три месяца назад сайт под другим названием продавал стройматериалы.

В отчёте установленное (компания зарегистрирована, долгов нет, фото заимствовано, сайт сменил назначение) отделено от предположения (поставщик, возможно, перепродаёт чужой товар). Рекомендация — работать без аванса или после осмотра склада.

Основные приёмы

Реестры дают официальную основу, но каждый отвечает только на свой вопрос: отсутствие долгов в ФССП не значит, что компания платит поставщикам. Изображения проверяют в три шага: ищут ранние публикации через обратный поиск в нескольких системах, читают метаданные, если они сохранились (подойдёт бесплатная ExifTool), и определяют место по вывескам, рельефу, разметке, сверяя их с картами и уличными панорамами. Фейковое фото чаще оказывается не смонтированным, а старым или снятым в другом месте. Архивы интернета показывают, как страница выглядела раньше, а отправленная вами в архив копия получает дату, которую увидит и проверяющий.

Где проходят правовые и этические границы

Открытость сведений не делает любую их обработку законной. Если человек сам выложил свои данные в общий доступ без согласия на распространение, доказывать законность дальнейшего распространения или иной обработки обязан каждый, кто этим занимается (ч. 2 ст. 10.1 закона № 152-ФЗ). Исключение для обработки исключительно в личных и семейных целях (п. 1 ч. 2 ст. 1) на проверку по заданию работодателя не распространяется.

Статья 137 Уголовного кодекса наказывает незаконное собирание или распространение сведений о частной жизни лица, составляющих его личную или семейную тайну, без его согласия (текст статьи). Разумное правило — исследовать компании, события, публичные заявления и роли людей в бизнесе, а не выяснять, где живёт и с кем встречается частный человек. Отслеживание чьих-то перемещений по фотографиям — уже слежка.

Операционная безопасность исследователя

Исследование оставляет следы: некоторые соцсети показывают владельцу, кто смотрел страницу, вступление в чат видно участникам, переход по ссылке из письма сообщает отправителю ваш адрес и время. Для рабочих проверок заводят отдельный профиль браузера без личных аккаунтов, не вступают в контакт с проверяемыми и не открывают их файлы на рабочем компьютере. Цель — не раскрыть ход проверки раньше времени.

С чего начать и в каком порядке осваивать

Порядок повторяет цикл исследования. Без чёткого вопроса поиск расползается, реестры дают основу, к которой привязываются остальные факты, проверка изображений и архивов строится поверх них, а отчёт собирает всё вместе:

1. Записывайте одним предложением, что должно быть установлено и что будет считаться ответом.
2. Освойте поисковые операторы: точную фразу, поиск по сайту и типу файла, исключение слов.
3. Проверьте пять знакомых компаний по ЕГРЮЛ, арбитражу, ФССП и Федресурсу.
4. Для десяти вирусных фото найдите первую публикацию и место съёмки.
5. Научитесь сохранять страницу с адресом, датой и архивной копией.
6. Пишите отчёт, где у каждого утверждения есть источник и степень уверенности.

Тем, кто применяет навык в безопасности, нужно понимать, как устроены сети, серверы и веб-приложения, которые видно снаружи. Эту базу даёт онлайн-курс ProductStar «Профессия: Белый хакер»: девять месяцев, 11 модулей и 81 урок — Linux, Python, SQL, основы защиты сетей, затем тестирование на проникновение и дипломная работа. OSINT отдельным модулем в опубликованном плане не назван, а учебные стенды не описаны, поэтому уточните у школы, где проходит практика.

Как практиковаться и проверять себя

Полезнее всего упражнения с известным ответом. Геолоцируйте собственные старые фотографии, повторяйте проверки из разборов фактчекеров, не заглядывая в результат, проверяйте компании, с которыми уже работали. Типичные ошибки — доверять одному источнику, считать отсутствие сведений доказательством, путать дату публикации с датой съёмки и не сохранить страницу до удаления.

Когда материала много, нейросети помогают сортировать тексты и сводить упоминания в таблицу. Этому посвящён онлайн-курс Eduson Academy «Нейросети для анализа и исследований»: четыре месяца в своём темпе с куратором, сбор и очистка данных, обработка текстов, исследования, визуализация и итоговый проект. Методику OSINT программа не обещает, а любой вывод нейросети нужно сверять с первоисточником.

Как навык влияет на доход

OSINT чаще стоит пунктом в требованиях, чем отдельной должностью, и статистики по нему нет — только единичные предложения работодателей в Москве. В апреле 2026 года компания HR ME искала аналитика OSINT в департамент безопасности с опытом от года до трёх лет за 160–180 тысяч рублей на руки (вакансия на hh.ru, в архиве с 20 мая 2026 года). В июне 2026 года HR Prime предлагала OSINT-аналитику уровня middle 150 тысяч рублей на руки при английском C1 (вакансия на getmatch).

Чаще навык повышает ценность смежной работы. «МТС Безопасность» в вакансии аналитика конкурентной разведки (апрель 2026 года, без зарплаты) требовала экспертного владения поисковыми операторами и Excel (hh.ru), Wildberries в августе 2026 года искала аналитика по проверке кандидатов по реестрам ФССП и банкротств (hh.ru). Закупщику или журналисту навык редко даёт надбавку, зато позволяет брать проверки, которые иначе уходят службе безопасности. Свежие вилки ищите по словам «OSINT», «проверка контрагентов», «конкурентная разведка» с фильтром по городу и опыту.

Что проверить при выборе обучения

Хорошая программа даёт задания с проверкой: найти место съёмки, подготовить отчёт о компании, сохранить доказательства, — и разбирает правовые ограничения.

Тем, кто хочет связать OSINT с карьерой в защите информации и готов к долгой учёбе, подойдёт онлайн-магистратура МИФИ «Информационная безопасность» от Skillfactory: два года, государственный диплом, приём при наличии бакалавриата или специалитета. OSINT указан в специализации по комплаенсу рядом с оценкой рисков и ISO 27000, семестр стоит 225 000 рублей.

Короткие программы с модным названием проверяйте особенно тщательно: перечень инструментов без заданий на проверку фактов не научит отличать установленное от вероятного.

Сравнить онлайн-школы поможет рейтинг онлайн-школ с обучением информационной безопасности: он охватывает всё направление, от пентеста до защиты данных, а курсов именно по OSINT в нём немного. Прежде чем платить, проверьте три знакомые компании и найдите место съёмки трёх фотографий: если захотелось продолжать, вложение будет осознанным.