Як побудувати доказово стійкий процес розслідування за відкритими джерелами у 2026 році: методологія для юриста

У попередній статті ми розібрали, чому класичні інструменти розслідування за відкритими джерелами на GitHub перестали давати надійні результати. Логічне наступне питання — а як же тепер працювати юристу, який готує справу, слідчому, який документує злочин, або адвокату, який будує захист. Відповідь коротка: методологією. Технологія стала ненадійною, і надолужити це можна лише дисципліною процесу. Ця стаття — практичний посібник, як таку дисципліну побудувати з нуля або перебудувати наявний робочий процес під нову дійсність.

Чому одиничний результат — це не доказ

Почнемо з засадничого зсуву у мисленні. У 2020 році, якщо Sherlock знаходив обліковий запис у Instagram, слідчий міг з високою ймовірністю вважати, що акаунт існує. Якщо Holehe не знаходив нічого — з такою ж імовірністю акаунта немає. Одиничний результат був самодостатнім доказовим елементом.

У 2026 році це вже не так. Позитивний результат може бути хибним — інструмент видасть існування облікового запису на підставі застарілої тимчасової пам’яті, старого витоку даних або технічної помилки платформи. Негативний результат ще менш надійний — він означає лише те, що інструмент не зміг перевірити, а не те, що акаунта не існує.

Практичний наслідок для юриста один: жоден одиничний результат більше не є доказом. Це вихідна точка, яку треба прийняти. Все, що ви робите далі у своїй методології, має бути системою перевірки, яка перетворює нестійкі одиничні сигнали у стійкий доказовий комплекс.

Правило трикутника: три незалежні джерела

Базовим стандартом достовірності у 2026 році є те, що можна назвати правилом трикутника. Кожен факт, який ви плануєте включити до звіту, повідомлення про підозру чи процесуального документа, має бути підтверджений щонайменше з трьох джерел, які не залежать одне від одного.

Що це означає на практиці. Уявімо, ви встановлюєте, що особа Х має обліковий запис у Telegram із певним ім’ям користувача. Три незалежні джерела в цьому випадку можуть бути такими:

• активна перевірка через сам Telegram (пошук, огляд публічних груп, де ця особа могла коментувати);
• звернення до збірника витоків даних (Dehashed або IntelX — чи є ця адреса пошти або номер у витоках і чи прив’язані вони до облікового запису Telegram);
• прямий візуальний пошук у пошуковій системі із фіксацією через архіватор (Google, Bing, Yandex — і збереження результатів у Archive.today з міткою часу).

Ключове слово тут — незалежність. Якщо всі три ваші джерела — це різні сценарії, які всі йдуть по одному й тому ж механізму скидання пароля Telegram, це насправді одне джерело, замасковане під три. Незалежність вимагає різних технічних шляхів отримання інформації.

Розбіжність між джерелами — це не проблема, це цінна інформація. Якщо активна перевірка каже “акаунт існує”, а витоки даних кажуть “адреса пошти не пов’язана з Telegram”, це не привід відмовитися від висновку. Це привід задокументувати розбіжність і обґрунтувати, який із результатів вагоміший і чому. У 2026 році сам аналіз розбіжностей — це вже кваліфікація дослідника.

Ланцюг зберігання: що документувати з першого запиту

Головна помилка початківців — документувати тільки результат. У 2026 році цього критично недостатньо. Документувати треба весь процес — і робити це паралельно з роботою, а не заднім числом.

Мінімальний обов’язковий набір записів для кожного запиту:

Дата і точний час початку і закінчення роботи над конкретним запитом. Ідеально — з часовим поясом. Це важливо, бо стан платформ у 2026 році змінюється щодня, і те, що ви побачили о 14:00, може виглядати інакше о 16:00.

Пристрій і мережеве середовище — з якого комп’ютера робився запит, чи використовувалась мережа Tor, чи використовувався захищений тунель до віддаленої мережі, посередницький сервер, з якої країни виходила мережева адреса. Це впливає на те, що бачить платформа, і в теорії може вплинути на юридичну оцінку правомірності доступу.

Інструмент і його версія — не просто “використав Sherlock”, а “Sherlock 0.15.0, встановлений через pipx 22.04.2026, з файлом модулів від 15.04.2026”. Версія має значення, бо старі версії дають хибні результати, і опонент у процесі може обґрунтовано поставити питання про надійність конкретного випуску.

Точний запит — команда, введена в термінал, або посилання, яке відкривалося, або пошуковий запит. Дослівно, без узагальнень.

Повний вивід — не тільки той рядок, який виявився цікавим, але весь текст, який повернув інструмент. Це важливо, бо інші рядки часто містять сигнали про обмеження частоти запитів, помилки, недоступні модулі, які пізніше можуть змінити тлумачення результату.

Знімок екрана або збережена сторінка — з міткою часу і, за можливості, з видимим посиланням у адресному рядку. Знімок без адреси юридично слабший.

Контрольна сума файлів, які ви зберегли (текстових виводів, знімків екрана, збережених сторінок). Стандартний алгоритм — SHA-256. Це той елемент, який робить документацію придатною до подання в Міжнародному кримінальному суді або Європейському суді з прав людини.

Технічне рішення для цього — не окрема робота, а автоматизація. Реалістично — це або спеціалізований інструмент для тих, хто документує (наприклад, eyeWitness to Atrocities), або власний робочий процес на базі, скажімо, сценарію, який автоматично зберігає весь термінальний вивід у файл з міткою часу і одразу обчислює контрольну суму. Якщо ви робите розслідування за відкритими джерелами для юридичних цілей регулярно — це вкладення, яке окупається на першій же серйозній справі.

Робочий процес: п’ять фаз

Тепер практична частина. Робочий процес такого розслідування у 2026 році має п’ять чітко розмежованих фаз, і плутати їх не можна.

Фаза 1. Планування

Перш ніж відкрити будь-який інструмент, треба на папері (або в захищеному документі) записати:

• питання розслідування — що саме ви хочете з’ясувати, дослівно;
• правові підстави — на якій підставі ви проводите розслідування: адвокатський запит, слідча дія, журналістський імунітет, документування за міжнародним правом, приватне розслідування за згодою клієнта. Це критично для дотримання законодавства про захист персональних даних і для оцінки допустимості доказів у майбутньому;
• обмеження — що ви не будете робити (не буде злому, не буде соціальної інженерії, не буде використання чужих облікових даних, не буде запитів до платформ, які прямо заборонено умовами користування у вашій юрисдикції);
• стандарт доведення — який рівень достовірності потрібен: “обґрунтовані підстави” для повідомлення про підозру, “суттєві підстави” для підтвердження обвинувачень, “поза розумним сумнівом” для вироку. Це визначає, скільки і якої якості доказів вам потрібно.

Ця фаза виглядає теоретично, але саме вона потім рятує в суді. Опонент неминуче поставить питання “а на якій підставі ви взагалі це шукали”, і ви маєте мати готову відповідь, зафіксовану до початку роботи.

Фаза 2. Пасивний збір

Спочатку — те, що не залишає жодних слідів у платформах-цілях. Пошук у Google, Bing, Yandex, DuckDuckGo. Перевірка Wayback Machine і Archive.today. Пошук у публічних базах — судові реєстри, реєстри компаній, санкційні списки. Огляд відкритих Telegram-каналів через індексатори (Lyzem, Telegago).

Правило пасивної фази: не робити нічого, що може попередити ціль розслідування. Не заходити в акаунт, не робити запитів на скидання пароля, не додаватися в друзі, не переглядати сторінок особи через власний обліковий запис у соціальній мережі.

На цьому етапі вже документується все за схемою, яку ми описали. Знімки екрана, контрольні суми, мітки часу.

Фаза 3. Активна перевірка

Тепер починаються запити, які теоретично можуть залишити слід у платформі — використання сценаріїв, звернення до збірників витоків, перегляд публічних профілів у авторизованому режимі.

Для цієї фази обов’язково використовується окреме робоче середовище — окремий пристрій або, як мінімум, окремий оглядач із чистим профілем і без прив’язки до особистих даних дослідника. Не тому, що ви робите щось незаконне, а тому, що змішування особистого і робочого простору руйнує доказову цінність усього, що ви знайшли.

Це та фаза, де застосовуються всі поради з першої статті: використання платних збірників замість зламаних сценаріїв, ротація через професійних посередників, розуміння, що негативний результат — це не доказ відсутності.

Фаза 4. Перехресна перевірка

Це та частина, яку більшість пропускає — і саме тому їхні звіти не витримують перевірки в суді. Кожен факт, який ви плануєте внести до звіту, треба свідомо перевірити щонайменше з двох додаткових незалежних джерел (правило трикутника).

Приклад. Пасивна фаза дала вам номер телефону. Активна перевірка через збірник витоків підтвердила прив’язку до конкретної особи. Перехресна перевірка має дати ще два підтвердження — наприклад, через реєстр юридичних осіб, де цей номер фігурує як контактний, і через архівований варіант сайту компанії, де цей же номер вказаний у розділі “керівництво”.

Перехресну перевірку треба документувати окремо, зі своєю папкою і своїми контрольними сумами. Це фактично міні-розслідування всередині основного.

Фаза 5. Оформлення і зберігання

Підсумковий звіт має бути структурованим документом, який:

• починається з опису питання розслідування і правових підстав (з фази 1);
• містить методологічний розділ з переліком використаних інструментів і їх версій;
• викладає факти в хронологічному порядку їх встановлення;
• окремо позначає розбіжності між джерелами і пояснює, як ви їх витлумачили;
• окремо позначає негативні результати — те, що ви шукали, але не знайшли, з поясненням, чому це не є доказом відсутності;
• завершується оцінкою достовірності кожного встановленого факту (умовно: “підтверджено з високою певністю”, “підтверджено з обмеженнями”, “суперечливі дані”).

Разом зі звітом зберігається доказова папка з усіма знімками екрана, виводами, контрольними сумами і супровідними даними. Ця папка має власну контрольну суму, яка фіксується в самому звіті — щоб потім можна було довести цілісність.

Що робити з негативними результатами

Це той аспект, який відрізняє юриста від технічного фахівця. Технічно “нічого не знайдено” — це просто відсутність результату. Юридично — це часто ключовий елемент, який потребує ретельного документування.

Уявімо ситуацію: ви як адвокат захисту доводите, що ваш клієнт не мав облікового запису у певному сервісі, і на цьому ґрунтується його алібі. У 2020 році достатньо було звіту з Holehe. У 2026 році цього недостатньо, бо Holehe не працює, і будь-який кваліфікований опонент це доведе.

Що замість цього. По-перше, ви документуєте, що ви шукали — де саме, якими методами, скільки різних інструментів використали. По-друге, ви документуєте, що інструменти працюють — тобто перевіряли їх на заздалегідь відомих облікових записах і вони повертали правильний позитивний результат. По-третє, ви документуєте, чому “не знайшли” в цьому конкретному випадку означає саме “не існує”, а не “не змогли перевірити” — із посиланням на обмеження методології.

Це вимагає більше роботи, ніж просто прикріпити знімок екрана з написом “облікових записів не знайдено”. Але це і є той стандарт, який приймає суд у 2026 році.

Червоні прапорці, які знецінюють ваш звіт у суді

Речі, після яких у Міжнародному кримінальному суді або в українського слідчого судді ваш звіт швидко втрачає вагу:

Один інструмент — один висновок. Якщо весь ваш звіт побудований на виводі одного сценарію і немає перехресної перевірки, це негайно ставить під сумнів усе.

Немає міток часу. Знімок екрана без видимого часу і без окремого файлу з супровідними даними — це просто зображення, яке не має доказової сили.

Знімки екрана без адреси сторінки. Опонент запитає — а звідки саме взято цей знімок. Якщо в кадрі не видно адресний рядок, це слабке місце.

Змішування особистого і робочого простору. Якщо на знімку видно вкладки оглядача з особистими даними дослідника, вкладки його Facebook, його поштової скриньки — це ставить під сумнів чистоту всього процесу.

Відсутність контрольних сум. У 2026 році це вже базова вимога. Якщо ви подаєте цифрові докази без контрольних сум, вважається, що ви не забезпечили цілісність.

Тлумачення без фактичної бази. Формулювання типу “з високою ймовірністю це той самий обліковий запис” без пояснення, звідки взялася ця ймовірність, — червоний прапорець. Або ви наводите об’єктивні критерії, за якими зробили висновок, або ви не робите висновку взагалі.

Тільки позитивні результати. Якщо у звіті немає жодного негативного результату, жодної розбіжності, жодного обмеження методології — це виглядає ненатурально і викликає обґрунтовану підозру. Реальне розслідування завжди має обмеження, і чесно їх зазначити — це ознака професійності, а не слабкості.

Методологія як внутрішній документ організації

Якщо ви працюєте не сам, а в команді (адвокатське бюро, слідчий підрозділ, громадська організація з документування), вся ця методологія має бути зафіксована у внутрішньому документі. Це може бути “Стандарт проведення розслідувань за відкритими джерелами” на 10–15 сторінок, який кожен новий співробітник підписує при прийнятті на роботу.

Такий документ виконує три функції одночасно. Він забезпечує єдиний якісний рівень усіх розслідувань в організації. Він захищає організацію в разі, якщо конкретний працівник помилиться — процес був правильний, помилка є винятком. І він показує суду або регулятору, що організація серйозно ставиться до якості своєї роботи.

Мінімальні розділи такого документа:

• принципи (правило трикутника, обов’язковість документування, обмеження на певні методи);
• процедура (п’ять фаз з деталями);
• інструменти, які використовуються, і їх версії;
• зразок звіту;
• порядок зберігання доказової папки;
• порядок доступу до цієї папки третіх осіб;
• порядок знищення даних після завершення справи (важливо з погляду захисту персональних даних).

Публікувати такий документ назовні не обов’язково, але мати його на випадок запитання суду — критично.

Замість висновку

Методологія розслідування за відкритими джерелами у 2026 році — це не про інструменти. Інструменти зламані, будуть ламатися далі, і це нормально. Методологія — це про дисципліну процесу, яка надолужує ненадійність технології.

Правило трикутника, чесне документування негативних результатів, окреме робоче середовище, контрольні суми, п’ять фаз розслідування — все це разом перетворює нестійкі одиничні сигнали з різних інструментів у доказовий комплекс, який витримує критику опонента.

Ця методологія може здатися надмірно формалізованою, і на перших кількох справах вона забиратиме до 30% часу порівняно з тим, як ви працювали раніше. Але вже на третій-четвертій справі це стає звичною роботою, і у момент, коли ваш звіт потрапить під перехресний допит у суді, ви будете вдячні за кожну хвилину, витрачену на фіксацію процесу.

Юристи і документатори, які перебудують свою роботу під новий стандарт зараз, отримають перевагу перед колегами, які продовжать працювати за схемою 2020 року. Різниця стане очевидною в момент, коли перший же їхній звіт зіткнеться з кваліфікованим опонентом у суді.

Пов’язані матеріали

• Попередня стаття: “Чому у 2026 році інструменти OSINT на GitHub гірше знаходять людей за номером телефону та адресою електронної пошти — і що з цим робити юристам”
• Berkeley Protocol on Digital Open Source Investigations (доступний на ohchr.org)