OSINT: co obcy mogą znaleźć o Tobie w sieci

Czym jest OSINT?

Biały wywiad (OSINT, Open-Source Intelligence) to zbieranie i analizowanie informacji z publicznie dostępnych źródeł — mediów społecznościowych, stron internetowych, rejestrów publicznych, rejestracji domen i baz brokerów danych. Te same techniki stosują służby wywiadowcze, dziennikarze, prywatni detektywi — i niestety stalkerzy oraz przestępcy.

Do OSINT-u nie potrzeba umiejętności hakerskich. Większość narzędzi jest darmowa, a większość danych udostępniłeś sam — albo zebrały je bez Twojej wiedzy firmy, które na tym zarabiają.

Co obcy może znaleźć już teraz

Twój adres domowy i numer telefonu

Brokerzy danych, tacy jak Spokeo, BeenVerified, Whitepages i Intelius (działający głównie w USA), zbierają dane z rejestrów publicznych — list wyborców, rejestrów nieruchomości, akt sądowych i książek telefonicznych — i sprzedają dostęp każdemu, kto zapłaci kilka dolarów. Wiele z nich oferuje darmowy podgląd. Wpisz swoje imię, nazwisko i miasto w którymkolwiek z tych serwisów, by zobaczyć, co jest widoczne.

W większości stanów USA rejestry podatku od nieruchomości są publiczne — strona lokalnego urzędu wycen często podaje adres, cenę zakupu i powierzchnię domu, wyszukiwalne po nazwisku. W Polsce publiczne są księgi wieczyste (dostępne po numerze księgi), a dane przedsiębiorców — w CEIDG i KRS, często łącznie z adresem.

Twoje miejsce pracy i historia zawodowa

LinkedIn to kopalnia złota dla OSINT-u. Nawet przy prywatnym profilu Twój pracodawca, stanowisko i historia kariery mogą być widoczne dla niezalogowanych użytkowników przez indeks Google. Hunter.io potrafi odgadnąć Twój służbowy e-mail na podstawie imienia, nazwiska i domeny firmy. Clearbit i podobne narzędzia robią to samo.

Członkowie rodziny i sieć kontaktów

Profile u brokerów danych rutynowo wymieniają „powiązane osoby” — członków rodziny, byłych współlokatorów, każdego, kto mieszkał pod tym samym adresem. Sieć powiązań na Facebooku, nawet przy włączonych ustawieniach prywatności, zdradza relacje przez wspólnych znajomych, udział w wydarzeniach i oznaczenia na zdjęciach.

Twoja codzienna rutyna

Trasy w aplikacji Strava są domyślnie publiczne. Jeśli codziennie rano biegasz tą samą pętlą, dane te — łącznie z okolicą Twojego domu — można wyszukać. Geotagi na Instagramie, zameldowania w Foursquare i szczegóły w tle zdjęć (tablice z nazwami ulic, numery rejestracyjne, charakterystyczne budynki) składają się na mapę Twoich ruchów.

Dane logowania z wycieków

Haveibeenpwned.com zbiera bazy danych z wycieków. Jeśli Twój e-mail pojawia się w wycieku, Twoje stare hasła — a często także adres, numer telefonu i odpowiedzi na pytania bezpieczeństwa — krążą po przestępczych forach.

Jak ograniczyć swoją ekspozycję

Wypisz się z baz brokerów danych

To żmudne, ale skuteczne. Duzi brokerzy oferują procedury wypisania — część zautomatyzowanych, większość wymaga formularza lub e-maila. Usługi takie jak DeleteMe (płatna) czy Privacy Bee automatyzują wnioski o usunięcie u dziesiątek brokerów. Brokerzy, od których warto zacząć:

• Spokeo
• BeenVerified
• Whitepages
• Intelius
• PeopleFinder
• MyLife
• Radaris

Pamiętaj, że usunięcie nie jest trwałe. Brokerzy okresowo ponownie dodają dane z rejestrów publicznych. Trzeba powtarzać proces co kilka miesięcy lub korzystać ze stałej usługi. W UE masz dodatkowo „prawo do bycia zapomnianym” z RODO — możesz zażądać od firm i wyszukiwarek usunięcia Twoich danych osobowych.

Zabezpiecz media społecznościowe

• Ustaw wszystkie profile społecznościowe jako prywatne
• Usuń numer telefonu i adres z kont Facebook i Google
• Przed publikacją wyłącz geotagowanie zdjęć (usuń dane EXIF narzędziem takim jak ExifTool lub wbudowaną opcją w telefonie)
• Sprawdź, które aplikacje mają dostęp do Twojej lokalizacji, i odbierz zbędne uprawnienia
• Na Instagramie i Twitterze/X używaj nazwy użytkownika, która nie zawiera Twojego prawdziwego imienia i nazwiska

Ogranicz swój ślad w rejestrach publicznych

• Do dostaw, zamówień internetowych i formularzy używaj skrytki pocztowej, paczkomatu lub usługi przekierowania poczty zamiast adresu domowego
• Rejestrując się w spisach wyborców, korzystaj z adresu alternatywnego tam, gdzie prawo na to pozwala (niektóre stany USA mają programy poufności adresu dla osób zagrożonych)
• Przy rejestracji działalności gospodarczej używaj adresu wirtualnego biura, pełnomocnika lub kancelarii, jeśli to możliwe

Zabezpiecz rejestracje domen

Jeśli masz domenę, Twoje dane kontaktowe (imię i nazwisko, adres, telefon, e-mail) są publikowane w bazie WHOIS, chyba że włączysz ochronę prywatności. Włącz ją u swojego rejestratora — u większości dostawców jest bezpłatna lub bardzo tania.

Używaj osobnych adresów e-mail

Jeden adres e-mail wiąże ze sobą wszystkie Twoje konta. Używaj różnych adresów dla różnych poziomów ryzyka: jednego do kont finansowych, drugiego do mediów społecznościowych, trzeciego do newsletterów i rejestracji. Usługi takie jak SimpleLogin czy Ukryj mój e-mail od Apple generują aliasy przekierowujące do prawdziwej skrzynki.

Najpierw sprawdź samego siebie

Zanim zaczniesz ograniczać ekspozycję, przeprowadź audyt OSINT na sobie:

1. Wyszukaj w Google swoje imię i nazwisko w cudzysłowie, z miastem i bez niego
2. Wyszukaj obrazem swoje zdjęcia profilowe (Google Grafika, TinEye)
3. Wyszukaj w Google swój numer telefonu
4. Sprawdź swój e-mail na haveibeenpwned.com
5. Sprawdź swoje imię i nazwisko w trzech–czterech serwisach brokerów danych

Udokumentuj, co znajdziesz. To da Ci punkt wyjścia i listę rzeczy do usunięcia.

Realistyczny cel

Pełna anonimowość jest dla większości ludzi nieosiągalna. Celem jest podniesienie kosztu znalezienia Cię. Przypadkowy złoczyńca czy natrętny były partner zrezygnuje, jeśli pierwsze wyszukiwania nic nie dadzą. Zdeterminowany przeciwnik z zasobami to inny problem, wymagający profesjonalnej pomocy.

Dla większości ludzi wypisanie się z głównych baz brokerów, zabezpieczenie mediów społecznościowych i używanie osobnych danych kontaktowych w różnych kontekstach zapewnia realną ochronę bez drastycznych zmian w stylu życia.