CSI и OSINT: чему криминалистика может научить интернет- расследователя

OSINT бывает разным: кто-то составляет досьехи работая в службе безопасности, кто-то использует OSINT как дополнительный инструмент в работе над контентом, а кто-то просто хочет знать стоимость часов у знаменитостей. Но чем принципиально отличается высокоранговый OSINT от профессионального гугления? Короткий ответ — отношением к вдохновению. В фильмах и сериалах про детективов главного героя озаряет и только после этого он распутывает очередное дело, но в реальности профессионалы полагаются на пошаговый процесс, а не на озарение. Чтобы разобраться, почему так, мы пройдёмся по истории одного из главных расследовательских процессов — по истории появления CSI.

Из статьи вы узнаете, почему в расследованиях давно не полагаются на вдохновение, почему у криминалистов и интернет-расследователей больше общего, чем они думают, а также мы поделимся новым файлом для вашей расследовательской базы знаний ✨

• Как CSI работает в наше время
• Как велись расследования до появления криминалистики
• Кто это поменял
• Что поменялось
• Что общего между CSI и OSINT
• Применяем подход Гросса в OSINT
• Что внутри MD-файла

КОГДА СТАНДАРТЫ ВАЖНЕЕ ВДОХНОВЕНИЯ

В этом видео мы расскажем как работает CSI в наше время и как вели расследования в те времена, когда даже не было слова «криминалистика»

Смотреть на YouTube

Как CSI работает в наше время

Представьте, что ночью произошло убийство и первыми на место приезжают патрульные.

1. Подготовка
   Патрульные проверяют, нет ли на месте угрозы, вызывают медиков, оцепляют периметр и пускают внутрь только по спецпропускам и под запись в журнале. Патрульные «замораживают» место происшествия и передают её CSI-команде.
2. Общий обзор
   Руководитель группы обходит периметр и фиксирует границы сцены, возможные точки входа-выхода и траектории движения внутри сцены, гильзы, следы обуви, следы крови и другие пятна, а также расположение камер и их слепые зоны
3. Фиксация
   Команда выставляет маркеры и флажки, затем документирует предметы: фотографируют общие планы места происшествия, потом средние и крупные планы каждой значимой детали, часто с масштабной линейкой в кадре. Видеосъёмка опциональна и проводится в том случае, когда важно показать, как объекты связаны между собой в пространстве. Параллельно со съемкой делают набросок схемы происшествия. Чаще всего это простая схема на утверждённом бланке или бумаге: стены, двери, тело, ключевые объекты, расстояния и стрелка указания на Север (или Юг — Север). Если вы были участником ДТП, то помните схематичные прямоугольники, которые рисовали инспекторы в схеме ДТП. В CSI то же самое, только немного сложнее.
4. Плановый поиск
   Системный поиск следов ведут по заранее выбранному паттерну — по секторам, полосам, сетке или спирали (улитке). Конкретную схему выбирают исходя из размера и формы сцены, числа людей в группе и того, какой тип улик ожидают найти. Например, небольшую комнату удобно делить на зоны, а длинный участок местности — прочёсывать полосами, спираль часто используют, когда есть очевидный центр (тело) и нужно двигаться от него или к нему. Если во время планового поиска обнаруживаются другие предметы, то повторяется третий пункт: маркировать >> сфотографировать >> обновить схему.
5. Изъятие и упаковка
   Каждую найденную улику сначала помечают маркером или флажком, заносят на схему и в рабочие формы: номер происшествия, точное место, время обнаружения, кем найдена и что это за объект. Эти записи связывают фото, схему и реальный предмет и становятся основой цепочки хранения — по ним можно понять, где именно лежала вещь и кто её поднимал. Затем улику помещают в отдельный пакет или коробку, подписывают, опечатывают пломбами или спецскотчем. Так формируется цепочка доказательств (Chain of Custody) — история перемещений предмета от пола на месте происшествия до лаборатории и суда, чтобы в любой момент можно было доказать, что с ним не манипулировали и его не подменяли.
6. Анализ и реконструкция
   Каждый специалист готовит выводы в пределах своей компетенции: баллистик говорит, из какого оружия и под каким углом была выпущена пуля, трасолог описывает характер и направление следов обуви, судмедэксперт отчитывается о повреждениях и возможном типе орудия. Каждый специалист отвечает только за свой участок и не строит общей картины произошедшего.Следователь собирает все эти выводы вместе, добавляет к ним показания свидетелей, оперативную информацию и другие материалы дела и уже на их основе выстраивает версию событий и хронологию. Если в ходе этой работы у него возникают вопросы, например, реально ли нанести такую рану тупым ножом или совместим ли угол вхождения пули с ростом подозреваемого — он возвращается к конкретному специалисту и задаёт вопрос в его профессиональном поле. Специалист отвечает в рамках своей экспертизы, следователь использует этот ответ как ещё один кирпичик в реконструкции события, а затем интерпретирует.

Всё это хорошо отрепетированная производственная процедура где каждый знает свою роль, каждое действие продиктовано протоколами, а главная цель в этом всём — не упустить и не испортить ни один потенциальный кусочек информации, который потом можно будет проверить в лаборатории и предоставить суду. Но так было не всегда.

Как велись расследования до появления криминалистики?

До конца XIX века расследование было более предвзятым: важнее было признание, удачный допрос и расположение начальства, а предметы с места происшествия, — вещдоки, были нужны не для понимания реальной картины происшествия, а для иллюстрации версии следователя. Да, всё держалось на доверии к следователю, а не на немых свидетелях вещдоках. А почему бы и нет? Никто же не знал про «эффект гало», ведь понятие «когнитивные искажения» ввели в оборот только в 1972 году (Tversky & Kahneman)

Если следователю были не интересны отдельные вещдоки, то они не имели значения и для расследования: кровавую одежду могли отдать на память семье убитого, орудие убийства могли убрать со стола, чтобы не пугало, пол вымыли бы до приезда врача, а мелкие объекты, вроде окурков, волос, кусков краски или земли из под ботинок — для всего этого был веник.

Никакой обязательной фотофиксации, нумерации, упаковки и цепочки хранения не было: предметы переходили из рук в руки без записей, терялись в кабинетах, возвращались владельцам или пропадали совсем, и это никого особо не волновало. Просто потому, что никто ещё не относился к следам и обстановке как к главному, самостоятельному языку, на котором говорит преступление.

Кто это поменял

Никто ещё не относился к следам и обстановке как к главному, самостоятельному языку, на котором говорит преступление. И это очень бесило будущего основателя криминалистики — Ганса Гросса. В последствии он станет знаменитостью, профессором университетов и другом королей, но до этого момента пройдут ещё десятки лет практики работы прокурором, судебным и военным следователем, так что он вдоволь насмотрелся на расследование места происшествия со всех сторон.

Каждый раз он видел одни и те же проблемы: вещи с места происшествия теряются по дороге, их подшивают в дело без описания, а в суде оказывается, что ключевой предмет где‑то валяется в участке или его уже отдали родственникам.

В роли судебного и военного следователя он видел процесс снизу: как наспех осматривают комнату, как улики катаются по столам без маркировки, как следы затирают для порядка, причем ещё до того, как их кто‑то успеет зафиксировать.

Обратную сторону этой медали он видел, работая на стороне обвинения: в деле лежат красивые протоколы, но за ними пустота — вещдоки не выдерживают вопросов защиты, часть следов не оформлена и суду приходится либо отпускать очевидно опасных людей, либо выносить приговоры на шатком основании.

Именно этот двухсторонний опыт человека, который сначала сам собирает доказательства, а потом видит, как суд их принимает или отвергает и подтолкнул Гросса к написанию «Руководства для судебных следователей, чинов общей и жандармской полиции», от этого руководства и начинается осознанная история CSI и криминалистики в целом. Кстати, термин «криминалистика» впервые появляется на страницах этого руководства

Термин «криминалистика» впервые упомянул Ганс Гросс на страницах своего «Руководства для судебных следователей, чинов общей и жандармской полиции»

Что поменялось

Гросс не просто научил следователей смотреть под ноги, он поменял саму иерархию расследования. Если до него место происшествия было фоном для допросов, то в его системе становится центральным объектом: сначала место, потом люди. Ведь люди ненадёжны: свидетели путают детали, дорисовывают в воображении то, чего не видели, подстраиваются под ожидания, следователь слышит не всё и не так, судьям и присяжным тоже не чуждо всё человеческое.

Совсем другое дело предметы: кровь не меняет цвет, потому что так удобнее для версии, след обуви не забывает, в какую сторону шёл, а пуля не путает, из какого ствола вылетела.

Отсюда его ставка на процедуру: нужно выстраивать такие правила осмотра, фиксации и проверки, которые сводят к минимуму все те проблемы, которые свойственны человеку из-за характера, усталости, когнитивных искажений и других факторов.

🧸 Объясняем для самых маленьких: представьте, что разбито окно, приходят взрослые и видят вас рядом со стеклом...

Что было дальше

Эдмон Локар: «каждый контакт оставляет след»

Эдмон Локар aka «французский Шерлок Холмс» — открыл первую полицейскую лабораторию в 1910 и сформировал принцип обмена: «каждый контакт оставляет след». Суть принципа в том, что преступник неизбежно оставляет свои следы на месте преступления и одновременно уносит с собой микроследы окружения: волосы, волокна, частицы пыли, следы почвы или краски образуют двусторонний обмен, который делает контакт доказуемым.

Преступление перестало рассматриваться как событие, которое можно «скрыть» полностью — оказалось, что даже минимальное взаимодействие с пространством оставляет материальные следы. Задача криминалиста обнаружить эти следы, зафиксировать и интерпретировать их с помощью лабораторных методов, связывая человека, место и действие в единую доказательную цепочку.

Локар начинал с того, что выпросил у полиции родного Лиона две коморки на чердаке и двух ассистентов, но в итоге возглавлял Институт криминалистики Лиона с 15 сотрудниками и международным признанием, а модель его лаборатории стала стандартом для FBI и Интерпола.

Началась эра пионеров криминалистики — Эдмон Локар, Кэлвин Годдард, он же «отец баллистики», создатель АБК-экспертизы Пол Кирк, и ДНК-дактилоскопия в лице Алека Джеффриза: мы не упомянем здесь всех, для этого нужно писать отдельную статью.

На момент написания этого материала, Международная Ассоциация по Стандартизации дорабатывает ISO 21043 — стандарт работы криминалистов, включающий в себя и пункт 21043-2: Распознавание, запись, сбор, транспортировка и хранение (Recognition, recording, collecting, transport and storage), который можно считать наследием Ганса Гросса. То есть его метод принципиально не менялся в течении ста с лишним лет, он дорабатывался и распространялся благодаря работе других ученых-криминалистов. Каждый из них внёс свой вклад в методы криминалистики и отдельные дисциплины, но тактика проведения CSI осталась той же.

Что общего между CSI и OSINT

Криминалистика развивалась в трех плоскостях:

1. Следственная логика
2. Научно-технический прогресс
3. Социальное устройство общества

Следственная логика ставит в центр CSI материальные доказательства, научно-технический прогресс позволяет добавить новые методы, вроде ДНК-профилирования, а правительства большинства стран запрещают искать преступников через ДНК их родственников, потому что такой социальный строй.

Именно в тех же рамках живёт и OSINT: Следственная логика? Назовём это тактикой расследования. Научно-технический прогресс? Разумеется, — например, ИИ меняет правила игры и в поле интернет-разведки. Социальное устройство? И это совпадает — OSINT регулируется тем, что конкретное государство считает открытой информацией и как наказывает за сливы и другие манипуляции с данными. Но кое что есть в OSINT, чего не было отродясь в криминалистике — доступность.

В аббревиатуре OSINT есть словосочетание Open Source: кто угодно может заниматься интернет-разведкой и интернет-расследованиями, потому что OSINT это инструмент для всех, а криминалистика — инструмент государственного следствия: вы не можете просто проснуться однажды и пойти заниматься криминалистикой, так же как вы не сможете просто пойти поработать полицейским на выходных, если у вас нет на то полномочий.

Расследования с применением OSINT проходят тот же путь, что и криминалистика: от доверия к фигуре следователя и до фокуса на чистоте доказательств, только в случае с OSINT это происходит быстрее из-за доступности самой дисциплины. Условно, десять лет назад скрин из твиттера мог сойти за доказательство. В двадцатых годах этого уже не достаточно: нужно подтвердить личность автора учетной записи, проверить оригинальность файла и выяснить контекст содержательной части твита, чтобы кого-то в чем-то убедить.

Иными словами, порог входа в OSINT гораздо ниже, чем в криминалистику. Такая доступность ускоряет эволюцию OSINT. Что мы видим сейчас? OSINT применяется точечно, но широко.

Это относится как к сервисам, вроде Maltego, так и к применению специальных навыков для решения рабочих задач. То есть логика OSINT-расследования тоже движется в сторону подтверждения факта независимыми деталями и связана с техническим прогрессом, который позволяет делать вещи, о которых даже во время Ганса Гросса не задумывались.

Если мысленно перемотать время вперёд лет на десять, то мы можем увидеть следующую картину:

Чтобы сделать это реальностью, OSINT должен масштабироваться и стать частью привычных институтов, а для этого в аргументах и доказательствах OSINT-расследования должна содержаться возможность независимой проверки на каждом этапе цепочки хранения доказательств, так же как это делают ребята из криминалистики с их принципом «Chain of Custody»

Но как именно это сделать — этот вопрос остаётся открытым: стандартизировать использование хэш-сумм и логгирование меты всё ещё хорошее решение, но что ещё? Мы рекомендуем присмотреться к процессу CSI и взять его на вооружение, если ещё не сделали этого:

1. Подготовка
2. Общий обзор
3. Фиксация
4. Плановый поиск
5. Изъятие и упаковка
6. Анализ и реконструкция

Применяем подход Гросса в OSINT

Представьте, что сотруднику компании несколько дней подряд приходят угрозы с анонимных аккаунтов в Telegram, X и почте. У части сообщений одинаковый тон и похожие формулировки, но сами аккаунты оформлены по-разному и на первый взгляд никак не связаны. И тут этапы Гроссовской криминалистики элегантно трансформируются в этапы работы OSINT-расследователя:

1. Подготовка.
   На этом этапе расследователь формулирует задачу: узнать сколько было аккаунтов, на каких платформах они появлялись, кому именно писали, в какой период, есть ли вложения, ссылки или повторяющиеся элементы текста (N-граммы). Дальше он очерчивает границы цифровой сцены: какие источники будет проверять, какие детали считать релевантными, а какие просто цифровым шумом.
2. Общий обзор.
   Сначала быстрый проход по сцене: посмотреть профили, даты регистрации, ники, аватарки, тон сообщений, время публикаций, круг контактов и площадки с упоминаниями. Здесь же исследователь замечает первые ориентиры для дальнейшего поиска — например, одинаковые опечатки, повторяющийся формат имени пользователя, одну и ту же картинку профиля или общее окно активности по времени. Логгировать и помечать.
3. Фиксация.
   Хорошая фиксация в OSINT — это не просто сделать скрин, это в первую очередь зафиксировать контекст: сохранить URL, сделать захват экрана и по возможности архив страницы, сделать снэп в wayback maschine, потому что контент могут удалить, изменить или скрыть. Если ограничиться только скриншотом без сохранённой меты, такая находка быстро теряет ценность и для отчёта и для возможной проверки.
4. Плановый поиск.
   Когда обстановка зафиксирована, начинается системный поиск с углублением в каждую отдельную зацепку. Например, отдельно проверяются никнеймы, отдельно аватарки через обратный поиск по изображениям, адреса почт, совпадения текста, пересечения с другими площадками и старыми профилями — всё это тоже проверяется отдельно. Так же, как руководитель группы SCI выбирает схему поиска (по секторам, полосам, сетке или улитке), руководитель расследования в OSINT подбирает подход и разделяет задачи внутри команды.
5. Изъятие и упаковка.
   В OSINT «изъятие» — это про сохранение объекта так, чтобы он не затерялся в хаосе данных и его можно было перепроверить: отдельно складываются скриншоты, отдельно оригинальные файлы, отдельно экспорт переписок, отдельно заметки по каждому источнику. Для каждого элемента полезно фиксировать, кто его сохранил, когда, откуда, каким способом, а для файлов — ещё и хэш, чтобы потом можно было подтвердить целостность и отсутствие изменений. Это и есть цифровой аналог цепочки хранения: полный, хронологический и проверяемый след всех действий с доказательством — от момента захвата до отчёта и передачи юристу, редактору, заказчику или следователю.
6. Анализ и реконструкция.
   Только после выполнения предыдущих этапов, расследователь приступает к синтезу всей информации: разрозненные профили, сообщения, изображения, временные метки и связи между аккаунтами складываются в версии. Исследователь проверяет, что в этой картине подтверждается несколькими независимыми источниками, что остаётся только гипотезой, где есть противоречия и не подгоняется ли вывод под удобного подозреваемого. Итогом работы становится реконструкция: как возникли аккаунты, в какой последовательности они использовались, какие цифровые следы выдают одного и того же автора, и как цепочка «артефакт → аккаунт → паттерн → человек» собирается в проверяемое расследование.

Что внутри MD-файла

Спасибо что дочитали эту статью до конца. Если вы занимаетесь OSINT’ом или просто интересуетесь расследованиями, мы предлагаем вам создать личную расследовательскую базу знаний. В чём её фишка и как ей пользоваться — можете прочитать здесь

Файл ниже добавит в вашу расследовательскую базу следующую информацию:

1. Дополнительная информация о материале
2. Страницы руководства Ганса Гросса
3. Содержание «чемоданчика Гросса»
4. Протоколы CSI от ФБР и других ведомств
5. Статистика раскрытия преступлений до и после Ганса Гросса
6. Биографии криминалистов