Co o Tobie wie internet? OSINT pokaże brutalną prawdę

Otwórz nową kartę przeglądarki. Wpisz swoje imię i nazwisko. Dodaj miasto zamieszkania. Naciśnij Enter. Teraz zrób to samo w Google Grafika, w Bing Images, w Yandex. Zrób jeszcze raz na nazwie użytkownika, którą kiedyś miałeś na Gadu-Gadu, NK czy wczesnym Facebooku. Masz przed sobą pierwszą, amatorską warstwę tego, co internet o tobie wie. Profesjonalny OSINT wchodzi dużo głębiej, i to, co zobaczysz, zmieni to, jak zarządzasz swoją obecnością cyfrową.

OSINT, czyli Open Source Intelligence, to dziedzina, którą dawniej stosowały wyłącznie służby i agencje specjalne. Dzisiaj wiele narzędzi jest tanich lub darmowych, kursy są na YouTubie, a praktykować może każdy, kto poświęci na to weekend. Ten artykuł jest trzema rzeczami jednocześnie: instrukcją zrobienia OSINT-u o samym sobie, listą tego, co prawdopodobnie znajdziesz, i planem ograniczenia tej ekspozycji.

Pierwszy poziom: publiczne wyszukiwarki

Zacznij od Google. Wpisz w cudzysłowie swoje pełne imię i nazwisko. Potem z operatorami: "Jan Kowalski" site:facebook.com, "Jan Kowalski" filetype:pdf, "Jan Kowalski" inurl:cv. Następnie zrób to samo w Bingu, Bing w 2026 pokazuje zdjęcia, których nie widać w Google. Potem w Yandexie, którego reverse image search jest najlepszy na świecie i pokaże zdjęcia, o których zapomniałeś w 2009.

To, co typowo wyjdzie w ciągu 30 minut: twoje stare zdjęcia w social mediach, o których zapomniałeś. Artykuły, w których jesteś cytowany. Referencje biznesowe, CV-ki wrzucone na publiczne strony. Stare konta na forach. Zdjęcia ze spotkań, na których byłeś w tle. Często adresy, pod którymi byłeś zameldowany w przeszłości.

Drugi poziom: agregatory i rejestry

Publiczne rejestry w Polsce są szerzej dostępne, niż się powszechnie sądzi.

KRS i CEIDG pokażą, w jakich spółkach figurowałeś i figurujesz, jako wspólnik, zarząd, prokurent. Dla osoby publicznej to żadna tajemnica, ale dla osób, które nie sądziły, że są „publiczne", bywa zaskoczeniem.

Monitor Sądowy i Gospodarczy zawiera ogłoszenia o postępowaniach egzekucyjnych, upadłościowych, likwidacyjnych, także historyczne. Czasem wyskoczy coś o rodzicu albo krewnym, co rzuca światło na historię rodzinną.

Księgi wieczyste są jawne i w wielu przypadkach da się je przeszukać elektronicznie po numerze, jeśli ten jest znany. Z księgi można odczytać historię własności i obciążenia, takie jak hipoteki.

Biuletyny Informacji Publicznej (BIP) i portale samorządów często zawierają ogłoszenia związane z pozwoleniami na budowę, decyzjami administracyjnymi, protestami mieszkańców. Nazwiska osób składających dokumenty bywają publikowane.

Trzeci poziom: social media scraping

Narzędzia typu Maltego, SpiderFoot, Recon-ng potrafią w automatycznym trybie przeszukać dziesiątki platform i złożyć profil z danych, które na każdej z osobna wyglądają nieszkodliwie. Kluczowe dane, które są agregowane:

Geolokalizacja, zdjęcia wrzucane z włączonym GPS-em, publiczne check-in-y, geotagi w komentarzach. Pozwala zrekonstruować mapę typowych miejsc, w których bywasz: dom, praca, siłownia, restauracje, rodzina.

Rodzina i znajomi, łączenie profili na podstawie wzajemnych komentarzy, tagów, reakcji. Można zbudować graf osób z bliskiego otoczenia w ciągu kilku godzin.

Rutynowe zachowania, analiza czasów postów, godzin aktywności, wzorców komunikacji. To pozwala przewidzieć, kiedy jesteś w domu, kiedy w drodze, kiedy śpisz, kiedy jesteś w pracy.

Emocje i bieżące stany, analiza sentymentu publikacji z ostatnich 90 dni. Dla profesjonalnego OSINT-u to cenne dane, bo pokazuje, kiedy osoba jest najbardziej podatna na manipulację (rozstanie, stres w pracy, problem zdrowotny).

Czwarty poziom: archiwa i historyczna obecność

To jest warstwa, której większość ludzi nie zna, a która najbardziej zaskakuje.

Wayback Machine (archive.org) przechowuje historyczne wersje stron. Twoja firmowa strona sprzed pięciu lat, kiedy pisałeś o rzeczach, których dziś już byś nie powiedział. Twoje profile na LinkedInie z trzech lat wstecz, z informacjami, których potem nie ma. Dawne blogi, dawne komentarze, dawne zdjęcia profilowe.

Pastebin, GitHub Gist, archiwa forów, miejsca, gdzie przypadkiem wyciekały twoje dane. Nazwy użytkowników z dawnych forów często są skojarzone z mailami, a maile z hasłami w wyciekach. Have I Been Pwned pokaże, w ilu wyciekach pojawił się twój adres e-mail. Jeśli jeszcze tego nie sprawdziłeś, zrób to teraz. Wiele osób zaskakuje liczba wycieków, w których pojawiły się ich dane.

Co o tobie wiedzą algorytmy, to jest już inna liga

Dotąd była mowa o tym, co wie człowiek prowadzący OSINT ręcznie. Ale nad tym wszystkim jest warstwa profilingu algorytmicznego, którą prowadzą brokerzy danych, tacy jak Acxiom czy Experian. Podobne podmioty działają także w Polsce.

Ci brokerzy łączą dane z wielu źródeł, takich jak zakupy online, nawyki w aplikacjach mobilnych, historia przeglądania, pliki cookies i dane z programów lojalnościowych, w profil z wieloma atrybutami. Kupuje go potem każdy, kto zapłaci, na przykład firmy marketingowe, a w niektórych przypadkach także inne podmioty.

Profile tego rodzaju mogą wpływać na oferty i ceny usług. W Polsce przetwarzanie danych osobowych podlega RODO, a administrator musi mieć do niego podstawę prawną.

Co z tym zrobić, plan pięciu kroków

Krok 1: Zrób pełen OSINT o samym sobie w weekend. Dokumentuj, co znajdujesz. Zdziwisz się.

Krok 2: Opt-out z brokerów danych. W USA lista jest długa, a część opt-outów działa. W Polsce możesz napisać do administratorów danych z żądaniem usunięcia danych na podstawie art. 17 RODO. Skuteczność zależy od konkretnego podmiotu.

Krok 3: Archiwa. Ustaw wykluczenie w Wayback Machine i zażądaj usunięcia konkretnych adresów URL. Skuteczność bywa różna.

Krok 4: Social hygiene. Usuń posty starsze niż 2 lata z profili publicznych. Wyłącz geolokalizację. Przejrzyj tagi i usuń te, które pokazują miejsca zwyczajowego przebywania.

Krok 5: Monitoruj ciągle. Raz na kwartał zrób ten sam OSINT. Zobaczysz, jak wraca obecność, którą zmniejszyłeś, i jak pojawiają się nowe wycieki. To praca niekończąca się.

Dlaczego warto

Nie dlatego, że masz coś do ukrycia. Dlatego, że ekspozycja cyfrowa dawno przestała być zabawą i stała się wektorem poważnych ryzyk, socjotechniki, szantażu, stalkingu, włamań domowych planowanych z analizy social mediów, ataków na firmę przez pracownika, oszustw bankowych z wykorzystaniem twojej mapy relacyjnej.

OSINT o samym sobie jest jak badanie lekarskie, nie robisz go, bo jesteś chory. Robisz, żeby nie zachorować później. I tak samo jak tam, lepiej wiedzieć i działać, niż nie wiedzieć i się dziwić.

Uwaga: sprawdzaj w ten sposób wyłącznie siebie albo osoby, które wyraziły na to zgodę. Zbieranie i łączenie informacji o innych osobach może naruszać prawo. Firmom, które chcą sprawdzić swoją ekspozycję w sieci, pomaga Tarcza Archaios.