2018 januárjában egy húszéves ausztrál egyetemista unalmában nézegetett egy térképes blogot. Rákattintott egy futóalkalmazás nyilvános hőtérképére, ami világszerte mutatta, hol futnak az emberek. Afganisztán és Szíria fölött a térkép szinte teljesen sötét volt, néhány élesen kirajzolódó, világító hurok kivételével. Azok a hurkok katonai bázisok belső útjai voltak. A rajtuk futó katonák órái rajzolták ki őket.
Nathan Ruser saját szavaival: „Ránéztem, és azt gondoltam, jaj, ennek nem kellene itt lennie." A BBC utána név szerint sorolta fel, mi látszott: Bagram Afganisztánban, Tanf Szíriában, a brit Mount Pleasant a Falkland-szigeteken, egy tajvani rakétaparancsnokság.
A hőtérképet a Strava tette közzé 2017 novemberében, egymilliárd edzés adatából. Senki nem tört fel semmit. Minden adat nyilvános volt, hónapokon át. Csak senki nem nézte meg úgy, ahogy kell.
Ezt hívják OSINT-nek.
Mi ez pontosan
Open Source Intelligence, magyarul nyílt forrású felderítés. Annyit jelent, hogy nyilvánosan elérhető adatokból rakod össze a képet. Cégnyilvántartás, hirdetési adatbázisok, álláshirdetések, régi weboldalverziók, műholdképek, fényképek rejtett adatai.
A lényeg nem az adaton van, hanem az összerakáson. Egy fénykép önmagában nem mond semmit. Egy fénykép, plusz a rajta látszó villanyoszlop, plusz a Google Street View, plusz az árnyék hossza, az már koordináta.
Két dolog viszont nem OSINT. Nem hackelés, és nem jelszó. Ha be kell törnöd valahova, az már nem nyílt forrás. Ez a határ éles, és nem tanácsos átlépni.
Amire nem is gondolnánk
Három eset. Mindhárom dokumentált, mindhárom nyilvános adatból.
Egy fényképből egy rakétaindító. 2014 júliusában lelőtték a maláj MH17-es járatot Kelet-Ukrajna fölött. A Bellingcat nevű újságírócsoport egyetlen, közösségi médiában közzétett fotóból határozta meg, hol haladt át a rakétaindító. Kapcsolóházak, reklámtáblák, egy fasor, az árnyékok. Semmilyen titkosszolgálati adathoz nem fértek hozzá. Amit használtak, azt bárki elérte volna.
Parkolók a világűrből. A Berkeley egyetem kutatói 4,8 millió műholdfelvételt néztek végig 67 ezer amerikai üzlet parkolójáról, 44 kiskereskedelmi lánc boltjairól, 2011 és 2017 között. Megszámolták az autókat. Az autószám előre megmondta a negyedéves forgalmat, hetekkel azelőtt, hogy a cégek nyilvánosságra hozták volna. Aki ezt tudta, 4-5 százalékot keresett a gyorsjelentés körüli három napon. A kisbefektető pedig ugyanazon a napon vette azt a részvényt, amit a nagyok éppen shortoltak.
Egy fénykép, ami elárulta a rejtekhelyet. 2012 decemberében John McAfee, a vírusirtó megalkotója menekült a hatóságok elől. Egy újságíró interjút készített vele, és feltöltötte a telefonjával készült képet. A fájlban benne maradt a GPS-koordináta. Órákon belül tudta a fél internet, hogy Guatemalában van. Két nap múlva letartóztatták.
Van egy negyedik is, kevésbé látványos, de üzletileg beszédesebb. Alapkezelők évek óta figyelik nagy cégek magánrepülőinek nyilvános transzponderadatait. Ha egy vállalat gépe kétszer leszáll ott, ahol soha nem járt, az elég gyakran felvásárlási tárgyalás.
Na és neked mire jó?
Műholdad nincs, alapkezelőd sincs. De ugyanaz a gondolkodás négy helyen azonnal használható.
Mielőtt aláírsz valakivel. Beszállító, alvállalkozó, partner. Öt perc a cégnyilvántartásban megmutatja, mióta létezik a cég, ki a tulajdonos, hány másik cégben van benne, és leadta-e a beszámolóit. Az Egyesült Királyságban a Companies House ingyenes és teljes, Németországban a Handelsregister, Magyarországon az e-cégjegyzék, az uniós adószámot pedig a VIES ellenőrzi le. Ez nem bizalmatlanság. Alapmunka.
Mielőtt hirdetni kezdesz. Ez a kedvencem, és szinte senki nem használja. A Meta hirdetési adattára nyilvános. Minden hirdetés benne van, amit egy oldal éppen futtat, bárki megnézheti, ingyen. Vagyis a versenytársadé is. És nemcsak azt látod, mit ír, hanem azt is, mióta futtatja. Ami három hónapja megy változatlanul, az működik neki. Amit két hete lecserélt, az nem működött. Ennél olcsóbb piackutatás nincs.
Mielőtt időt adsz egy érdeklődőnek. Egy 30 perces hívás a legdrágább dolgod. Ha megvan a cégnév, két perc alatt kiderül, hogy egyszemélyes vállalkozás vagy tizenöt fős csapat, hogy mit hirdet, és mikor frissült utoljára a honlapja. Ettől nem lesz más a hívás hangneme. Attól lesz más, hogy tudod, mit kérdezz.
Mielőtt más néz utána neked. Ez a kellemetlen része. Amit te megtalálsz másról, azt más is megtalálja rólad.
Húsz perc, mielőtt leülsz valakivel
Ez az, amit én is csinálok. Húsz percnél nem tovább, és ha a hívás előtt nincs meg, akkor nem történt meg.
- Létezik-e (3 perc). Cégnyilvántartás az adott országban. Alapítás éve, tulajdonos, székhely, utolsó beszámoló. Uniós adószám a VIES-ben. Ha a cég két hónapos, az nem kizáró ok, de tudni jó.
- Mit hirdet, mióta (5 perc). Meta hirdetési adattár a cég nevére. Hány hirdetés fut, mióta, milyen üzenettel. Ha nulla, az is válasz: nem hirdetésből él, hanem ajánlásból.
- Mit ígért egy éve (4 perc). A web.archive.org eltárolja a régi weboldalakat. Beírod a címét, és megnézed egy évvel korábbról. Ha közben eltűnt egy szolgáltatás vagy megváltozott az ár, az a legőszintébb üzleti információ, amit ingyen kaphatsz.
- Kit vesz fel (3 perc). Álláshirdetések. Egy cég azt hirdeti meg, ami hiányzik neki. Ha három értékesítőt keres, terjeszkedik. Ha könyvelőt keres harmadszor egy évben, ott valami nem stimmel.
- Mit mondanak róla (3 perc). Google-értékelések, de nem a csillagok átlagát nézed, hanem az ütemet. Húsz értékelés négy év alatt normális. Húsz értékelés két hét alatt vásárolt.
- Írd le (2 perc). Öt sor egy oldalon. Amit tudsz, és amit nem. A hívás elején az fog számítani, hogy melyik kérdést nem kell feltenned, mert már tudod a választ.
Fordítsd meg magadon
Csináld végig ugyanezt a saját cégeden, egyszer. Nézd meg a weboldaladat a web.archive.org tárolt változatában. Töltsd fel egy metaadat-nézőbe azt a fényképet, amit a honlapodra tettél. Nézd meg, mit ír ki a domained nyilvános regisztrációs adata. És keress rá a saját e-mail címedre a haveibeenpwned.com oldalon, ott az látszik, melyik szolgáltatás adatszivárgásában szerepelt a címed.
Amit ott találsz, azt egy versenytárs is megtalálja. Annyi a különbség, hogy te ki tudod javítani.
Hol a határ
Ez nem ízlés kérdése, hanem jogi. A GDPR nem tesz kivételt azzal, hogy az adat nyilvános volt. Attól, hogy egy személyes adatot meg lehet találni, még nem lehet összegyűjteni, eltárolni és bármire felhasználni.
Ahol én meghúzom a vonalat: cégekre igen, magánszemélyekre nem. Üzleti döntés előtti ellenőrzés igen, kíváncsiskodás nem. Ami cégként nyilvános, tehát cégjegyzék, beszámoló, hirdetés, sajtó, az szabad. Ami valakinek a magánélete, az nem, akkor sem, ha három kattintással elérhető.
Egy gyakorlati mérce: ha valamit nem mondanál el annak az embernek a szemébe, akiről megtudtad, akkor nem is kellett volna megnézned.
Amiért ezt megírtam
Tíz évig gépsorok vezérlését programoztam. Ott minden hibakeresés azzal kezdődött, hogy milyen adat áll rendelkezésre, és mit nem néztünk meg belőle. Az üzletben ugyanez a helyzet, csak itt még olcsóbb is: az adat kint van, nyilvános, ingyenes, és a legtöbben egyszerűen nem néznek rá.
Nem kell hozzá szoftver. Egy böngésző kell, húsz perc, és annyi türelem, hogy ne az első találatnál állj meg.