Чому у 2026 році інструменти OSINT на GitHub не знаходять людей за номером телефону та адресою електронної пошти — і що з цим робити юристам

Вступ. Ще три роки тому базовий набір з Holehe, Sherlock, Maigret і PhoneInfoga дозволяв досліднику за десять хвилин зібрати цифровий слід людини за однією адресою електронної пошти або номером телефону. У 2026 році ті самі команди у терміналі повертають повідомлення “перевищено ліміт запитів” і “нічого не знайдено” там, де раніше знаходили десятки облікових записів. Це не тимчасова поломка і не помилка розробників — це системний зсув, який зачіпає щоденну роботу юристів, слідчих, журналістів та документаторів воєнних злочинів. Розбираємо шар за шаром, чому це сталося і як пристосувати до цього робочий процес.

Що саме зламалося

Досвідчений користувач помічає симптоми у певному порядку. Спочатку інструменти починають масово повідомляти про перевищення ліміту запитів уже з першої спроби. Далі з’являються систематичні хибно-негативні результати: людину, чий обліковий запис у Instagram відкрито видно у браузері, скрипт “не знаходить”. Потім ламаються цілі модулі — конкретна платформа зникає з результатів взагалі. Врешті-решт частина інструментів просто перестає оновлюватися, а нові версії операційних систем ламають їхні залежності.

За цими симптомами стоять щонайменше вісім різних процесів, які збіглися у часі. Розберемо кожен.

Перший шар: платформи закрили сам механізм

Класичні інструменти OSINT для пошуку за адресою пошти та номером телефону ніколи не мали “офіційного інтерфейсу для пошуку користувачів”. Вони працювали через побічні канали — і саме ці канали платформи почали системно закривати.

Головний з таких каналів — функція відновлення пароля (“забули пароль?”). Історично її логіка виглядала так: користувач вводить адресу електронної пошти, і система відповідає одним із трьох варіантів. “Ми надіслали лист із інструкціями” — обліковий запис існує. “Такої адреси у нас немає” — не існує. Іноді додатково поверталися замаскований запасний номер телефону (наприклад, +38 0** *** ** 78) або перші символи резервної адреси — і це вже було цінне доказове джерело.

Той самий принцип працював у формах реєстрації: спроба створити новий обліковий запис із зайнятою адресою давала характерну помилку, і навіть цієї помилки було достатньо, щоб підтвердити наявність акаунта.

У кібербезпеці це явище має назву виявлення користувачів через побічні канали (англомовний термін — user enumeration) — і воно завжди вважалося вразливістю. Просто до 2023 року платформи закривали на нього очі, бо виправлення вимагало серйозної переробки. Хвиля атак з перебором викрадених облікових даних у 2022–2023 роках і паралельний тиск з боку регуляторів усе змінили. Тепер відповідь уніфікована: “Якщо цю адресу зареєстровано в нашому сервісі, ми надішлемо інструкції на пошту” — незалежно від того, зареєстрована вона насправді чи ні.

Ця уніфікована відповідь знищує основу, на якій працювали Holehe, Ignorant і десятки схожих інструментів.

Другий шар: платформи по одній

X (колишній Twitter)

Найдраматичніший випадок. Реструктуризація після зміни власника торкнулася трьох речей одночасно.

По-перше, доступ до інтерфейсу програмування став платним і розбитим на рівні. Безкоштовний рівень практично вимкнений для читання. Базовий рівень (100 доларів на місяць) обмежений у ключових точках доступу — вузол /2/dm_events прибрали, звернення на кшталт POST /2/users/:id/likes і POST /2/users/:id/following вирізали з безкоштовного рівня “для боротьби зі зловживаннями та маніпуляціями”. Академічні дослідники та спільнота OSINT, які покладалися на публічний інтерфейс, залишилися без інструменту.

По-друге, механізм скидання пароля переписано. Раніше на X можна було ввести адресу пошти і отримати відповідь, яка непрямо підтверджувала існування облікового запису. Тепер відповідь уніфікована. Модуль X у Holehe фактично не працює.

По-третє, скорочення команди довіри та безпеки парадоксально ускладнило життя і дослідникам, і зловмисникам одночасно — платформа стала менш чуйною до офіційних запитів, але водночас закрила автоматизовані канали витоку інформації.

Для юридичного OSINT це означає одне: зібрати цифровий портрет людини лише на основі її активності в X через звичні інструменти стало практично неможливо без офіційного платного доступу або комерційних агрегаторів.

Meta (Instagram, Facebook, WhatsApp)

Meta почала укріплювати свої платформи ще раніше — після скандалу з Cambridge Analytica у 2018 році, але справжня зачистка припала на 2023–2024 роки.

Instagram прибрав із відкритого інтерфейсу можливість перевірити наявність облікового запису за номером телефону чи адресою пошти. Форма реєстрації більше не показує, чи зайнятий контакт — просто пропонує ввести код підтвердження, і лише всередині авторизованого сеансу можна щось з’ясувати.

Facebook давно закрив пошук за номером телефону як окрему функцію (це було зроблено ще у 2019 році після скандалу зі зливом 533 мільйонів номерів). Але тепер зачищено і побічні шляхи — процедура “знайти акаунт”, яка раніше видавала замаскований email при введенні номера, тепер повертає уніфіковану відповідь.

WhatsApp посилив обмеження частоти запитів на найпоширенішу перевірку — “чи зареєстрований цей номер у WhatsApp”. Раніше скрипти могли обробити тисячі номерів за годину, тепер після п’яти-десяти запитів з однієї адреси спрацьовує блокування, а після кількох підряд блокувань — банається весь номер, з якого йшла авторизація.

Telegram

Найтихіші, але найважливіші для східноєвропейського контексту зміни сталися саме у Telegram. З середини 2023 року платформа поступово перевела приватність номерів телефону у “закриту за замовчуванням” модель.

Раніше стандартним налаштуванням було “видно всім” — тобто будь-хто, хто мав твій номер у контактах, автоматично бачив твій профіль у Telegram. Це давало основу для зворотного пошуку: маючи номер, можна було з’ясувати ім’я користувача, а через нього — увесь публічний слід у каналах, коментарях, публічних чатах.

Нове стандартне налаштування — “не видно нікому” або “лише моїм контактам”. Це не забороняє пошук, але робить його безрезультатним для стороннього дослідника. Інструменти на кшталт TeleSpot і TelespotX ще працюють, але тепер лише для тієї частини користувачів, які самі відкрили свій номер.

Це вплинуло на важливий український контекст: багато російських військових і посадовців мали публічні профілі у Telegram із відкритими номерами. Після 2023 року частина з них закрила видимість — не через технічну грамотність, а тому що Telegram сам підштовхнув до цього масовим повідомленням-нагадуванням.

Google

Пошук за обліковим записом Google (класична схема GHunt) частково зберігся, але тепер спрацьовує рідше і дає менше даних. Google послідовно закриває Maps-профілі, Photos-профілі, канали YouTube від стандартної публічної видимості.

Схема “адреса пошти → ідентифікатор Google → відгуки у Maps → місця, які людина відвідувала” ще працює для облікових записів, зареєстрованих до 2022 року. Для нових акаунтів вона дає нуль результатів.

Третій шар: тиск з боку регуляторів

Платформи не роблять цих змін просто так. За ними стоїть комплекс законодавчих актів, які набрали повну силу саме у 2023–2025 роках.

Загальний регламент про захист персональних даних (GDPR, діє з 2018 року) створив основу, але справжній тиск почався зі штрафів. У 2023 році ірландська комісія оштрафувала Meta на 1,2 мільярда євро за передавання даних до США. Це стало сигналом — регулятори готові стягувати мільярдні штрафи, і платформи почали превентивно обмежувати будь-які механізми, які технічно можуть кваліфікуватися як розкриття персональних даних.

Акт про цифрові послуги (Digital Services Act, повністю діє з лютого 2024 року) додав нові вимоги: дуже великі онлайн-платформи мають проводити оцінку системних ризиків, серед яких — ризик використання платформи для стеження за особою. Виявлення користувачів через побічні канали прямо потрапляє під цю категорію.

Акт про цифрові ринки (Digital Markets Act) вимагає взаємодії — здавалося б, це має відкривати доступ. Насправді ж він відкриває доступ авторизованим третім сторонам через офіційні інтерфейси програмування, а неофіційні канали ще щільніше закривають.

Оновлення українського Закону про захист персональних даних (гармонізація з європейським правом у рамках євроінтеграції) впливає на українських документаторів у зворотний бік: тепер уже українські організації не можуть просто зберігати результати OSINT у вільному вигляді без оцінки впливу на захист даних і правових підстав для обробки.

Каліфорнійський акт про приватність споживачів та подібні закони про торгівців даними у понад двадцяти штатах США створили окремий клас проблем — послуги, які раніше вільно віддавали дані за номером телефону, тепер вимагають доведення правомірного інтересу.

Разом ці режими створюють ситуацію, коли платформи мають регуляторний стимул закривати канали витоку інформації, а користувачі інструментів OSINT опиняються “не в тій частині рівняння”.

Четвертий шар: система захисту від автоматизації

Навіть якщо технічно механізм існує, дістатися до нього стало значно складніше. Три інфраструктурні гравці змінили правила гри.

Cloudflare розгорнув систему Turnstile — заміну reCAPTCHA, яка працює непомітно і використовує поведінкові ознаки. Стандартний запит з Python через бібліотеки requests або httpx тепер отримує перевірку, яку не може пройти. Обходиться це автоматизацією повноцінного браузера (Playwright, Puppeteer), але вимагає повного браузерного середовища з відображенням сторінок — це на порядок дорожче за ресурсами.

HUMAN Security (колишній PerimeterX) і Datadome займаються тим самим для великих торгових майданчиків і соціальних мереж. Їхні системи виявляють ознаки автоматизованих запитів навіть на рівні мережевого протоколу і процедури встановлення захищеного з’єднання.

Адреси серверних центрів проти домашніх адрес. Раніше досліднику достатньо було орендувати віртуальний сервер за п’ять доларів на місяць і робити з нього запити. Тепер адреси провайдерів серверних центрів (AWS, DigitalOcean, Hetzner, OVH) блокуються за замовчуванням багатьма платформами. Робочі рішення — це або мобільні проксі (від 50 до 500 доларів на місяць), або проксі-мережі на базі побутових адрес, які самі по собі мають етично-правові питання.

Це особливо болісно для інструментів, які не переписані під автоматизацію браузера і продовжують використовувати старі синхронні запити.

П’ятий шар: покинуті розробники

Технічний борг Holehe є ілюстративним. Автор інструменту (розробник із псевдонімом megadose) також створив Toutatis, Ignorant, форки PhoneInfoga і низку інших культових інструментів. Приблизно з 2023 року активність на всіх його сховищах впала майже до нуля.

Причини публічно не оголошуються, але картина типова: студент або ентузіаст, який створив популярний інструмент у 2019–2020 роках, вирос, отримав повноцінну роботу і більше не має ресурсу підтримувати проєкт, який вимагає щотижневого виправлення під зміни у платформах. Спільнота відгалужень розсіяна, узгодженої заміни довго не було.

Це не проблема одного автора. Це системна вразливість екосистеми OSINT: критична інфраструктура тримається на кількох людях без комерційної моделі і без інституційної підтримки. Порівняйте це зі зворотною моделлю пропрієтарних інструментів на кшталт Maltego або Skopenow — там за кожним модулем стоїть команда, і зміна у платформі виправляється за тиждень.

Спроби замін з’являються — User-Scanner позиціонується як спадкоємець Holehe з активною підтримкою, DIGI-NETRA і GhostIntel об’єднують кілька функцій. Але жодна з цих спроб поки не досягла рівня стабільності і покриття, який мав Holehe у свої найкращі роки.

Шостий шар: сам GitHub

У 2024–2025 роках GitHub посилив дотримання правил користування щодо сховищ, які можуть використовуватися для переслідування, розкриття персональних даних чи порушення приватності. Кілька практичних наслідків:

• Більше сховищ переводяться до архіву або приховуються з пошуку без формального видалення
• Механізм видалення на підставі скарг за законом про авторське право у цифрову епоху частіше застосовується до інструментів, що збирають дані з приватних платформ (збирачі Instagram, збирачі LinkedIn)
• Система рекомендацій GitHub Trending менше висвітлює інструменти з ключовими словами “зворотний пошук за номером телефону”, “OSINT за поштою” тощо
• Автоматичне сканування коду виявляє використання жорстко зашитих ключів доступу і сигналізує про підозрілі шаблони

Формально жоден інструмент “не заборонений”, але зменшення видимості призвело до того, що менше нових учасників приходить у ці проєкти — і замкнене коло стає ще щільнішим.

Що прийшло на заміну

Екосистема OSINT пристосовується, але не одноразово, а в декількох паралельних напрямах.

Комерційні агрегатори даних із витоків. Snusbase, Dehashed, IntelX, Have I Been Pwned — вони не працюють через виявлення користувачів на живих платформах, а через індексацію витоків даних. Їх не зачіпають зміни у X чи Instagram, бо вони спираються на статичні набори даних. Недоліки: платні (від 30 доларів на місяць), не завжди мають український контекст, дані можуть бути застарілі. Переваги: доказовий ланцюжок стабільний, результати можна відтворити.

Спеціалізовані інструменти для Telegram. TeleSpot, TelespotX, Telegago, Lyzem — індексують публічну частину Telegram (канали, публічні групи, публічні профілі) і не залежать від виявлення користувачів. Для східноєвропейського контексту вони особливо цінні.

Комерційні платформи OSINT. Maltego з платними джерелами даних, Skopenow, ShadowDragon, Babel Street — беруть на себе весь регуляторний комплаєнс, регулярно оновлюють з’єднання. Дорого (від 2000 доларів на рік і вище), але стабільно і з чітким документальним слідом.

Інструменти-оболонки на основі штучного інтелекту. OpenOSINT, DIGI-NETRA, GhostIntel — це не нові дані, а розумніше об’єднання існуючих. Вони не рятують від зламаних каналів доступу, але кращі за старі скрипти в тому, що вміють помічати частковий сигнал і поєднувати його з іншими джерелами.

Офіційні платні рівні доступу. X API Basic, LinkedIn Partner API, Meta Graph API з розширеним доступом — потребують реєстрації, іноді перевірки особи, але дають законний і стабільний доступ. Для юридичних розслідувань із доказовою вагою це вже майже безальтернативний варіант.

Що це означає для юридичної практики

Тепер найважливіше — практичні наслідки для тих, хто використовує OSINT у юридичному контексті: адвокатів, слідчих прокуратури, документаторів воєнних злочинів, приватних дослідників.

По-перше, негативний результат більше не є доказом відсутності. У 2020 році, якщо Holehe не знаходив облікового запису особи в Instagram, це з високою імовірністю означало, що акаунта немає. У 2026 році це означає лише, що інструмент не зміг перевірити. Для суду це принципова різниця: аргумент “мій підзахисний не має облікового запису в X, ось звіт з OSINT-інструменту” не витримує критики. Сторона обвинувачення може вимагати обґрунтувати, чому дослідник обрав саме цей інструмент і чому не використав інші методи перевірки.

По-друге, методологія на базі одного інструменту вбиває доказову вагу. Кожен результат тепер має бути отриманий щонайменше з трьох незалежних джерел: перевірка на самій платформі; звернення до агрегатора витоків; прямий візуальний пошук у браузері з фіксацією через архіватор (Archive.today, Wayback Machine або спеціалізовані інструменти з міткою часу). Розбіжність між джерелами — сама по собі корисна інформація, яку слід задокументувати.

По-третє, ланцюг зберігання доказів критичніший, ніж будь-коли. Протокол Berkeley щодо цифрових розслідувань прямо вимагає документувати не тільки що знайдено, але й як шукали, коли, з якого пристрою, з якої мережевої адреси, які інструменти використано, які їхні версії. Раніше цим нехтували — тепер, якщо інструменти дають приблизно половину колишньої ефективності, упередженість вибірки стає юридично значущою.

По-четверте, ціна помилки виросла. Сфабрикований звіт з хибно-позитивним результатом, який раніше просто відкидався колегою на перевірці, тепер може закінчитися дисциплінарним провадженням проти адвоката або кримінальним провадженням за неналежне повідомлення про підозру. Європейські прокурорські органи вже виробляють внутрішні стандарти прийнятності OSINT-доказів — і українські органи неминуче підуть тим самим шляхом після повної інтеграції з ICPA та Eurojust.

Практичний перелік дій для пристосування

Для юриста або документатора, який планує роботу у 2026 році і далі, розумний робочий процес виглядає так.

Перше — переглянути свій набір інструментів. Якщо в ньому досі є Holehe у чистому вигляді, Ignorant, старі версії Sherlock без активної підтримки — це червона зона. Замінити на активно підтримувані аналоги (User-Scanner, актуальний Sherlock через pipx, Maigret) або перейти на комбіновані рішення.

Друге — вкластися у платний доступ до одного агрегатора витоків (щонайменше Dehashed або IntelX) і одного офіційного інтерфейсу програмування (X Basic, якщо роботи з X багато). Це від 150 до 300 доларів на місяць, але єдиний спосіб мати стабільно відтворюваний результат.

Третє — прописати внутрішню методологію перевірки, у якій жоден одиничний результат не приймається без перехресної перевірки. Це має бути письмовий документ, який можна показати судді.

Четверте — навчитися працювати з автоматизацією браузера. Playwright з проксі на базі побутових адрес — не завжди зручно, але для критичних справ це необхідний навик.

П’яте — тримати актуальну підписку на розсилки Bellingcat, OSINT Curious, Berkeley Human Rights Center — там першими з’являються повідомлення про поломки та обхідні шляхи.

Шосте — документувати негативні результати з такою ж ретельністю, як і позитивні. У 2026 році “не знайшли” — це також дані.

Замість висновку

Ера, коли одна команда у терміналі давала повний цифровий портрет людини, закінчилася. Це не тимчасова технічна проблема — це наслідок фундаментальної зміни балансу між прозорістю платформ і приватністю користувачів, посиленого регуляторним тиском і комерційною раціоналізацією великих ІТ-компаній.

Для юридичного OSINT це водночас погана і хороша новина. Погана — робота стала складнішою, дорожчою і повільнішою. Хороша — стандарт доказовості виріс, і той, хто перебудує методологію під нову реальність, отримає перевагу над конкурентами, які продовжують працювати за схемою 2020 року.

Наступні дванадцять місяців будуть переломними: Україна остаточно інтегрується в європейську систему електронних доказів, Міжнародний кримінальний суд розширює використання Протоколу Berkeley у нових справах, українські прокурорські органи виробляють внутрішні стандарти документування OSINT. Юристи і документатори, які не пристосують свій робочий процес до нової реальності зараз, залишаться позаду не через кваліфікацію, а через застарілий інструментарій.

Джерела та подальше читання

• ohchr.org, berkeley.edu — Протокол Berkeley щодо цифрових розслідувань за відкритими джерелами (перша редакція 2020; друга редакція у розробці)
• github.com/megadose/holehe — обговорення на сторінках issues #215 та #237 (документація поточного стану)
• dev.to — публікація “RIP Holehe: Why User-Scanner is the New King” (лютий 2026)
• docs.x.com/changelog — офіційна документація змін в інтерфейсі програмування X
• eur-lex.europa.eu — тексти GDPR, DSA, DMA
• bellingcat.com — регулярні публікації про пристосування методології OSINT