OSINT для начинающих: поиск по нику, фото и email

На прошлогоднем студенческом CTF одна из OSINT-задач выглядела до смешного просто: организаторы дали ник d4rk_ph0enix, скриншот профиля из неизвестной соцсети и email вида *****@proton.me. За 40 минут нужно было восстановить город и учебное заведение «владельца». Половина участников бросилась хаотично перебирать инструменты — Sherlock, Maltego, какие-то рандомные OSINT-агрегаторы. Время кончилось, флага нет. А решение нашлось через три последовательных шага: проверка ника на платформах, reverse image search аватарки и сопоставление данных из утечки. Эта статья — разбор именно такой цепочки: от стартовой точки до флага, с конкретными командами и граблями на каждом этапе.

Разведка по открытым источникам и CTF: что ищем и зачем

Разведка по открытым источникам (OSINT) — сбор и анализ информации из публично доступных данных. В CTF это отдельная категория задач, где вместо эксплуатации уязвимостей нужно раскопать цифровой след через профили в соцсетях, метаданные файлов, кэшированные страницы и записи из утечек. Подробнее — в нашем руководстве по osint для специалиста по информационной безопасности.

В реальной кибербезопасности OSINT — этап разведки (Reconnaissance) по классификации MITRE ATT&CK. Техники, которые отрабатываются на CTF, напрямую маппятся на фреймворк:

• Поиск по нику в соцсетях — Search Open Websites/Domains: Social Media (T1593.001, Reconnaissance)
• Google Dorks для сбора данных — Search Engines (T1593.002, Reconnaissance)
• Сбор email-адресов и связанных данных — Gather Victim Identity Information: Email Addresses (T1589.002, Reconnaissance)
• Анализ профилей на сайтах цели — Search Victim-Owned Websites (T1594, Reconnaissance)

Зачем это всё за пределами CTF? По данным CrowdStrike Global Threat Report 2025, 75% реальных вторжений используют действительные учётные данные. IBM X-Force Threat Intelligence Index 2025 фиксирует рост атак с валидными credentials на 71% за год, а ежедневно в даркнете всплывает более 6000 свежих учёток. Прежде чем использовать украденные данные, атакующий собирает информацию о жертве через те же OSINT-техники, которые разбираются на CTF. Так что навык — не абстрактный.

В CTF OSINT-таски обычно начинаются с одной из трёх стартовых точек: ник (username), email или фото. Разберём каждую цепочку.

Поиск по нику: от username до полного профиля

Задание типа «дан ник — найди, кто за ним стоит» — самая частая категория CTF OSINT-тасков. Логика опирается на одну человеческую привычку: люди повторно используют одни и те же никнеймы на разных платформах. Задача — обнаружить все аккаунты, связанные с ником, и вытянуть из них максимум данных.

Sherlock и Maigret: автоматизация поиска по нику

Два основных инструмента для автоматической проверки ника — Sherlock и Maigret. Оба работают по одному принципу: берут username и последовательно проверяют, существует ли аккаунт с таким именем на каждом сайте из своей базы.

Sherlock проверяет ник примерно на 400 сайтах:

sherlock d4rk_ph0enix --timeout 10 --print-found

Ключ --timeout 10 — без него инструмент зависает на медленных сайтах. --print-found выводит только реальные находки, убирая шум.

Maigret — форк Sherlock с расширенной базой (~3000 сайтов) и парсингом найденных профилей. Он пытается вытащить имя, био, аватарку и другие данные с каждого обнаруженного аккаунта:

maigret d4rk_ph0enix --timeout 10 --html

Флаг --html создаёт отчёт с визуализацией — удобно, когда нужно показать ход решения жюри или разобрать задачу после CTF.

Ещё один полезный ресурс — WhatsMyName (whatsmyname.app). Веб-сервис с открытой базой из 500+ сайтов. Ничего ставить не нужно — работает прямо в браузере. Выручает, когда нет доступа к терминалу или нужно быстро пробить один ник.

Ручная верификация и ложные срабатывания

Главная ошибка новичков в OSINT — слепо доверять результатам Sherlock или Maigret. Оба инструмента генерируют ложные срабатывания (false positives). Вот почему:

Общий ник. Если username — что-то вроде alex2003, на Reddit, GitHub и Steam найдутся десятки разных людей с таким ником. Инструмент покажет «найдено», но это может быть совершенно другой человек.

Изменение вёрстки сайта. Инструменты проверяют HTTP-статус код и наличие определённых элементов на странице. Сайт обновился — проверка сломалась. Результат бывает как ложноположительным, так и ложноотрицательным.

Геоблокировки. Часть сайтов недоступна из определённых регионов — инструмент получит ошибку соединения и пропустит реальный аккаунт. VPN помогает, но не всегда.

Каждый результат из автоматического поиска нужно открыть руками в браузере. На что смотреть:

• Аватарка — одинаковая аватарка на двух платформах почти наверняка указывает на одного владельца
• Био и описание — совпадение фраз, интересов, города
• Дата регистрации — аккаунты одного человека обычно создаются в близкие периоды
• Кросс-ссылки — если в профиле на GitHub указана ссылка на Twitter с тем же ником, это прямое подтверждение связи

На CTF именно ручная верификация приводит к флагу. Автоматика находит кандидатов, а аналитик — связи между ними.

Поиск по email: от адреса до цифрового следа

Вторая частая стартовая точка в CTF OSINT — email-адрес. Задача: по известному email восстановить максимум информации о владельце — связанные аккаунты, историю регистраций, данные из утечек.

Holehe: проверка регистраций по email

Holehe — Python-утилита, которая проверяет, зарегистрирован ли email на ~120 популярных сервисах (Twitter, Instagram, Spotify, Adobe и др.). Ничего не ломает — использует публичные формы восстановления пароля и регистрации, которые сами сообщают, занят ли адрес.

Запуск: holehe target@example.com в терминале. На выходе — список сервисов, где этот email зарегистрирован. Каждый найденный сервис — потенциальный источник дополнительных данных: имя пользователя, аватарка, публичный профиль.

Нюанс: некоторые сервисы (например, Twitter/X) закрыли эндпоинты, которые использовала Holehe. Инструмент обновляется, но не все модули работают стабильно. Если Holehe не нашла ни одного результата — это не значит, что email «чистый». Значит, нужно копать другими методами.

Утечки данных и Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) — бесплатный сервис, показывающий, фигурировал ли email в известных утечках данных. Для CTF это один из ключевых ресурсов: утечки содержат не только адрес, но и связанные данные — имена, пароли, IP-адреса, геолокацию.

Масштабы утечек, с которыми вы столкнётесь в реальных заданиях:

Утечка	Год	Записей	Какие данные утекли
LinkedIn	2012	164 611 595	Email, пароли
START (кинотеатр)	2021	7 455 386	Email, геолокация, имена, пароли
Appen	2020	5 888 405	Email, IP-адреса, имена, работодатели
Udemy	2026	1 401 259	Email, имена, должности, способы оплаты
Yandex Dump	2014	1 186 564	Email, пароли

По оценке IBM X-Force (2025), ежедневно в даркнете всплывает более 6000 свежих учёток. Вероятность найти данные по email через HIBP — высокая.

На CTF: получили email — первым делом пробиваете через HIBP. Результат покажет, в каких утечках адрес засветился. Дальше вы знаете, какие сервисы использовал владелец, и можете искать его профили на этих платформах — а это уже работа по нику, описанная выше.

Google Dorks для email-разведки

Google Dorks — продвинутые поисковые операторы для точечного сбора информации. По MITRE ATT&CK — техника Search Engines (T1593.002, Reconnaissance). Для email-разведки полезны такие запросы:

• "target@example.com" — точное вхождение email в проиндексированных страницах
• "target@example.com" site:github.com — email на GitHub (коммиты, issues, gists)
• "target@example.com" filetype:pdf — email в PDF-документах (резюме, публикации)
• "target@example.com" site:pastebin.com — email в публичных вставках

Частая CTF-ловушка: организаторы прячут флаг в кэшированной версии страницы, которая уже удалена с оригинального сайта. Используйте оператор cache:URL в Google или проверяйте Wayback Machine (web.archive.org) для поиска удалённого контента. Один из самых недооценённых приёмов в OSINT для начинающих — а срабатывает регулярно.

Поиск по фото: reverse image search и EXIF-метаданные

Третья категория CTF OSINT — задачи с изображениями. Обычно это аватарка из соцсети, фотография места или скриншот с частично скрытой информацией. Два направления работы: обратный поиск по изображению и анализ метаданных.

Yandex Images vs Google Images: осознанный выбор

Reverse image search — загружаете фото, поисковик ищет визуально похожие изображения в своём индексе. Два основных поисковика работают по-разному, и выбор зависит от типа задачи:

Критерий	Yandex Images	Google Images
Распознавание лиц	Сильнее — находит того же человека с другого ракурса	Слабее — чувствителен к изменению позы и освещения
Геолокация зданий	Сильнее для СНГ-региона	Сильнее для западного контента
Кропнутые/изменённые фото	Часто находит оригинал	Чувствителен к обрезке и фильтрам
Мемы и интернет-графика	Средне	Сильнее — больший индекс западных платформ

Проверяйте фото в обоих поисковиках. На CTF часто бывает, что Google молчит, а Yandex находит оригинальный профиль с нужными данными. Или наоборот — аватарка с западной платформы лучше индексируется Google. Я обычно начинаю с Яндекса, если задача связана с СНГ-контекстом, и с Google — если нет.

Ещё один инструмент — TinEye (tineye.com). Специализируется на определении, где и когда изображение впервые появилось в интернете. Если фото впервые всплыло на конкретном блоге три года назад — скорее всего, именно этот блог принадлежит автору фото.

ExifTool: извлекаем метаданные из изображений

EXIF (Exchangeable Image File Format) — метаданные, которые камера или телефон записывают в файл. Могут содержать GPS-координаты, модель устройства, дату съёмки, программу обработки и даже имя автора. ExifTool — стандартный инструмент для их извлечения.

Запуск: exiftool photo.jpg. На что смотреть в CTF:

GPS-координаты. Поля GPS Latitude и GPS Longitude — прямая геолокация. Подставляете значения в Google Maps — получаете адрес. На CTF координаты иногда оставляют специально, иногда в изменённом виде (сдвинутые значения, нестандартный формат записи).

Дата и время. Поле DateTimeOriginal — когда снято фото. Поле ModifyDate — когда файл последний раз редактировали. Расхождение между ними — признак обработки. На CTF разница между оригинальной датой и датой модификации бывает подсказкой: год в ModifyDate может оказаться частью флага.

Часовые пояса. Классическая ловушка. EXIF хранит время съёмки, но не всегда указывает часовой пояс. Если нужно определить город по фото — ищите поле OffsetTimeOriginal (смещение UTC). Если его нет — сопоставляйте время из EXIF с тем, что видно на снимке: утро, день, закат. Фото «сделано в 14:00», а на снимке закат? Значит, часовой пояс камеры не совпадает с местом съёмки. На этом ловятся многие.

Программа обработки. Поле Software показывает, чем редактировали изображение. Adobe Photoshop, GIMP, Snapseed — следы обработки. На CTF название программы иногда оказывается частью флага или указывает на платформу, с которой скачано фото.

Типичные CTF-ловушки с изображениями

Стеганография вместо OSINT. Не все задачи с картинками — OSINT. Если reverse image search и EXIF ничего не дали, возможно, флаг спрятан стеганографически. Попробуйте strings photo.jpg для поиска текста в бинарных данных или binwalk photo.jpg для обнаружения встроенных файлов. Но это уже категория Forensics/Stego, не OSINT.

Обрезанный скриншот. Организаторы убирают URL или ключевые элементы интерфейса. По оставшимся визуальным деталям (иконки, цветовая схема, шрифт) нужно определить платформу и найти полную версию через reverse image search.

Фото без EXIF. Соцсети (Twitter, Instagram, VK) удаляют EXIF при загрузке. Если организатор взял фото оттуда — метаданных не будет. Но если фото загружено на форум, в блог или на файлообменник — EXIF может сохраниться полностью.

Собираем цепочку: разбор CTF-таска от начала до флага

Покажу, как три направления работают вместе на типичном задании. Легенда: дан ник c0d3_wanderer, задача — найти город проживания.

Шаг 1: поиск по нику. Запускаете sherlock c0d3_wanderer --print-found. Инструмент находит аккаунты на GitHub, Steam и Reddit. Открываете каждый руками:

• GitHub: профиль почти пустой, но в bio написано «photography enthusiast». Зацепка.
• Steam: аватарка — фото городского пейзажа. Скачиваете аватарку для reverse image search.
• Reddit: посты в r/photography и r/cityporn. В одном комментарии — фраза «my local coffee shop on Nevsky».

Шаг 2: reverse image search. Загружаете аватарку со Steam в Yandex Images. Поисковик находит визуально похожие фото. Одно из них опубликовано на Flickr с подписью «View from my window» и GPS-координатами в EXIF.

Шаг 3: перекрёстная верификация. Координаты из Flickr указывают на Санкт-Петербург. Упоминание «Nevsky» в Reddit-комментарии подтверждает — речь о Невском проспекте. Флаг: Санкт-Петербург.

Ни один шаг сам по себе не давал ответа. Ник привёл к трём платформам, аватарка — к Flickr через OSINT поиск по изображению, комментарий — к перекрёстной проверке. Вместе — цепочка.

Это и есть OSINT методология: данные (ник) → сбор (Sherlock / ручная проверка) → анализ (связи между платформами) → верификация (совпадение GPS и текстовой информации). По MITRE ATT&CK — комбинация техник Search Open Websites/Domains (T1593) и Gather Victim Identity Information (T1589).

OSINT инструменты для начинающих: минимальный набор

Не нужно ставить 50 утилит. Для решения подавляющего большинства CTF OSINT-тасков хватит этого набора:

Задача	Инструмент	Тип	Примечание
Поиск по нику	Sherlock	CLI, Python	~400 сайтов
Поиск по нику (расширенный)	Maigret	CLI, Python	~3000 сайтов, парсит профили
Поиск по нику (без установки)	WhatsMyName	Веб	whatsmyname.app
Проверка email на сервисах	Holehe	CLI, Python	~120 сервисов
Проверка email в утечках	Have I Been Pwned	Веб	haveibeenpwned.com
Reverse image search (лица)	Yandex Images	Веб	Сильнее по лицам и СНГ
Reverse image search (общий)	Google Images	Веб	Больший индекс западных платформ
Первое появление фото	TinEye	Веб	tineye.com
Метаданные изображений	ExifTool	CLI	GPS, дата, камера, софт
Продвинутый поиск	Google Dorks	Веб	site:, filetype:, inurl:
Кэш удалённых страниц	Wayback Machine	Веб	web.archive.org

CLI-инструменты (Sherlock, Maigret, Holehe) ставятся через pip install. ExifTool — через пакетный менеджер ОС. Kali Linux содержит большинство из них из коробки.

CTF OSINT таски: типичные ошибки новичков

Шесть граблей, на которые наступают регулярно.

Ошибка 1: хаотичный перебор инструментов. Новичок получает ник, запускает Sherlock, не видит ничего интересного, переключается на Google Dorks, потом открывает Maltego — и теряет 30 минут без результата. Работайте последовательно. Сначала соберите все данные по нику (все платформы). Потом анализируйте находки. Затем переходите к следующему вектору. Не прыгайте между этапами, пока текущий не отработан.

Ошибка 2: игнорирование кэша и архивов. Удалённый профиль — не тупик. Google Cache и Wayback Machine часто хранят копии удалённых страниц. Организаторы CTF специально удаляют страницы после создания задания, зная, что кэш останется доступным.

Ошибка 3: отсутствие фиксации находок. OSINT — работа с десятками вкладок и фрагментами информации. Без заметок вы забудете, где нашли конкретный факт, и не сможете восстановить цепочку. Текстовый файл, CherryTree, Obsidian — записывайте каждую находку с источником и временной меткой. Через час будете себе благодарны.

Ошибка 4: забытые часовые пояса в EXIF. Фото «сделано в 14:00», на снимке закат. Часовой пояс камеры не совпадает с реальным местом. Или камера просто не была настроена. Всегда сопоставляйте время из EXIF с визуальными признаками освещения.

Ошибка 5: доверие автоматике без проверки. Sherlock нашёл аккаунт c0d3_wanderer на Pinterest. Открываете — там человек с абсолютно другим контекстом. Это не ваш target. Верифицируйте через кросс-ссылки, аватарки и содержание профиля.

Ошибка 6: разведка с личного аккаунта. При просмотре профилей в соцсетях ваш визит может быть виден целевому пользователю (LinkedIn показывает, кто смотрел профиль). На CTF это некритично, но формирует плохую привычку. Отдельный браузер, отдельные аккаунты для OSINT — базовая операционная безопасность (OPSEC), которую стоит выработать сразу.

Правовые границы OSINT

Разведка по открытым источникам работает исключительно с публичной информацией. ФЗ-152 «О персональных данных» определяет ПДн и устанавливает правила их обработки. Статья 7 ФЗ-152 прямо указывает: оператор и третьи лица не вправе раскрывать ПДн без согласия субъекта, за исключением случаев, предусмотренных законом.

Граница на практике: искать публичные профили, проверять email через HIBP, анализировать EXIF из открытых источников, использовать Google Dorks — можно. Взламывать аккаунты, обходить авторизацию, собирать и публиковать чужие персональные данные, использовать социальную инженерию для получения закрытой информации — нельзя.

В CTF все данные подготовлены организаторами специально для задания, правовых рисков нет. Но навыки переносятся в реальный мир, где грань между OSINT и деанонимизацией без согласия — тонкая. Простое правило: если для получения данных нужно авторизоваться под чужой учёткой, обойти защиту или обмануть человека — это уже не OSINT.

Большинство гайдов по OSINT для начинающих сводятся к перечню инструментов: ставьте Sherlock, Maltego, вот 50 ссылок — разбирайтесь. На практике 80% результата в CTF OSINT приносит не конкретная утилита, а умение выстроить цепочку от одного фрагмента к другому через перекрёстную верификацию. Sherlock без ручной проверки — генератор шума с десятками false positives. ExifTool без понимания часовых поясов — бессмысленный вывод, который не приближает к флагу. Самое ценное, что даёт CTF OSINT — не навык работы с конкретной утилитой (они устаревают за пару лет), а привычка мыслить связями: «этот ник на GitHub связан с этим email, этот email засветился в утечке LinkedIn с 164 миллионами записей, значит, у владельца есть профиль с реальным именем». Инструменты — рычаг, но точка опоры — аналитическое мышление и системный сбор информации. Если тема зацепила и хочется закрыть базу системно — на IB Basics разбирают этот фундамент от первых шагов до реальных задач.

🚀 Хочешь закрепить на практике? Реши задачи по теме на HackerLab — категория «pentest-machines».