OSINT-käyttäjänimet: näin vältät väärät osumat

Käyttäjänimi on helppo hakukohde mutta vaarallisen houkutteleva oikotie johtopäätöksiin. Kun sama nimimerkki löytyy kahdesta palvelusta, syntyy nopeasti oletus yhteisestä käyttäjästä. Todellisuudessa nimi voi olla yleinen, kopioitu, organisaation yhteiskäytössä tai myöhemmin toisen käyttäjän rekisteröimä.

OSINT-käyttäjänimitutkimuksessa tavoitteena ei siksi ole kerätä mahdollisimman pitkää profiililistaa. Tavoitteena on arvioida, mitä julkiset havainnot todella tukevat ja mitä ne jättävät avoimeksi. Hyvä tutkimus erottaa tilin olemassaolon, tilien välisen yhteyden ja tilin taustalla olevan henkilöllisyyden toisistaan.

Tässä oppaassa käydään läpi käytännöllinen työnkulku, jolla käyttäjänimiä voi tutkia ilman perusteettomia henkilökytköksiä tai tarpeetonta henkilötietojen keräämistä.

Määrittele kysymys ennen käyttäjänimen hakemista

Tutkimuksen ensimmäinen vaihe on rajaus. Kysymys ”kuka tämän tilin takana on?” on usein tarpeettoman laaja. Monessa tilanteessa riittää selvittää, viittaako tili tiettyyn organisaatioon, kuuluuko se julkisesti ilmoitettuun kanavakokonaisuuteen tai onko se kopioinut toisen tilin sisältöä.

Kirjoita tavoite yhdeksi tarkistettavaksi kysymykseksi. Esimerkiksi: ”Linkittääkö organisaation virallinen verkkosivusto tähän tukitiliksi esittäytyvään profiiliin?” Tähän voi vastata julkisilla lähteillä ilman yksityishenkilön tunnistamista.

Rajaa samalla:

• mitkä palvelut kuuluvat tutkimukseen
• mitä ajanjaksoa tarkastelet
• millaiset havainnot voivat vastata kysymykseen
• mitä tietoja et kerää
• milloin tutkimus lopetetaan.

Lopettamiskriteeri vähentää tarpeetonta laajentamista. Jos tehtävä on varmistaa ilmoitettu asiakaspalvelukanava, saman nimimerkin mahdolliset harrastusprofiilit eivät yleensä auta tehtävän ratkaisemisessa.

Erota kolme erilaista väitettä

Käyttäjänimitutkimuksessa menevät helposti sekaisin kolme eritasoista väitettä. Niiden erottaminen auttaa pitämään johtopäätökset havaintojen tasolla.

Tilin olemassaolo: palvelussa näkyy profiili tietyllä käyttäjänimellä. Tämä ei vielä kerro, kuka tiliä hallinnoi tai onko profiili aito.

Tilien välinen yhteys: kaksi profiilia viittaa toisiinsa tai julkaisee muuten yhteiseen hallintaan sopivaa aineistoa. Yhteys voi koskea organisaatiota, tiimiä tai kampanjaa, ei välttämättä yhtä ihmistä.

Henkilöllisyys: tili yhdistetään tiettyyn luonnolliseen henkilöön. Tämä on erillinen, vahvempaa perustelua vaativa päätelmä, johon pelkkä nimimerkkiosuma ei riitä.

Käytä muistiinpanoissa täsmällisiä lauseita. ”Profiili A linkittää profiiliin B” kuvaa havaintoa. ”Sama henkilö käyttää molempia” on tulkinta, joka vaatii lisää näyttöä. Ero on tärkeä myös silloin, kun raportin lukija ei tunne alkuperäistä aineistoa.

Aloita täsmällisestä hausta, laajenna harkiten

Aloita käyttäjänimen tarkalla kirjoitusasulla. Hakukoneessa lainausmerkit voivat auttaa löytämään täsmällisiä merkkijonoja, mutta hakukoneiden käsittelytavat vaihtelevat. Tarkista tarvittaessa myös palvelun oma haku ja julkinen profiilisivu.

Pidä alkuperäinen nimimerkki erillään sen muunnelmista. Alaviivan poistaminen, numeroiden vaihtaminen tai kirjainten korvaaminen samannäköisillä merkeillä kasvattaa osumajoukkoa, mutta samalla väärien osumien riski kasvaa.

Etene esimerkiksi näin:

• Hae täsmällinen käyttäjänimi.
• Tarkista mahdollisten osumien palvelu ja osoite.
• Avaa julkinen lähdesivu ja varmista, mitä se näyttää.
• Kirjaa vasta sen jälkeen tarpeelliset nimimuunnelmat.
• Merkitse jokainen muunnelma omaksi hakuehdokseen.

Älä tulkitse hakutuloksen otsikkoa ajantasaiseksi profiilitiedoksi. Hakukone voi näyttää vanhan kuvauksen, poistuneen sivun tai tekstin, jossa nimimerkki vain mainitaan. Hakutulos on reitti lähteeseen, ei itsenäinen vahvistus tilin nykytilasta.

Tunnista käyttäjänimien tavallisimmat ansat

Lyhyet sanat, yleiset harrastusviittaukset ja yksinkertaiset kirjain–numero-yhdistelmät voivat syntyä toisistaan riippumatta. Myös harvinainen nimimerkki voidaan kopioida. Harvinaisuus tekee osumasta kiinnostavan, mutta ei ratkaise yhteyttä.

Näyttönimi ja käyttäjänimi on syytä erottaa. Näyttönimi ei välttämättä ole yksilöllinen edes yhden palvelun sisällä. Lisäksi palvelun osoitteessa näkyvä tunniste voi säilyä ennallaan näyttönimen muuttuessa tai vaihtua käyttäjän muokatessa profiiliaan.

Huomioi myös nämä tilanteet:

• Tili on siirtynyt uudelle ylläpitäjälle.
• Useampi henkilö käyttää organisaation yhteistä tunnusta.
• Jäljittelijä on kopioinut kuvauksen ja profiilikuvan.
• Vanha käyttäjänimi on vapautunut uudelleen rekisteröitäväksi.
• Näennäisesti samassa nimessä on eri Unicode-merkkejä.

Aika on osa jokaista havaintoa. Nykyinen profiili ei yksin osoita, kuka hallitsi samaa tunnusta aikaisemmin. Vastaavasti vanha linkki voi kuvata aiempaa yhteyttä, joka ei enää ole voimassa.

Arvioi näyttöä laadun, ei määrän perusteella

Kymmenen heikkoa yhtäläisyyttä ei automaattisesti muodosta vahvaa yhteyttä. Sama profiilikuva, esittelyteksti ja ulkoinen linkki voivat kaikki olla peräisin yhdestä kopioidusta profiilista. Tällöin havainnot eivät ole toisistaan riippumattomia.

Suora julkinen ristiinlinkitys on yleensä informatiivisempi kuin yhteinen kiinnostuksen kohde. Jos organisaation hallinnoimalta verkkosivulta osoitetaan tiettyyn profiiliin ja profiili viittaa takaisin samaan verkkosivuun, yhteydelle on vahvempi perusta. Sekään ei yksin kerro tilin yksittäisistä käyttäjistä.

Vertaile havaintoja kolmesta näkökulmasta:

• Suoruus: ilmaiseeko lähde yhteyden vai päätteletkö sen samankaltaisuudesta?
• Riippumattomuus: ovatko havainnot erillisiä vai saman tiedon kopioita?
• Ajantasaisuus: kuvaavatko havainnot samaa ajanjaksoa?

Vältä näennäisen tarkkoja luottamusprosentteja, ellei käytössä ole perusteltua ja validoitua arviointimenetelmää. Sanallinen arvio, jonka perusteet ja puutteet avataan, on usein hyödyllisempi kuin numero ilman selitystä.

Etsi aktiivisesti ristiriitoja

Kun alustava yhteys näyttää uskottavalta, tutkimus helposti muuttuu sitä tukevien vihjeiden keräämiseksi. Vastapainoksi kannattaa kirjoittaa vaihtoehtoiset selitykset ennen lisähakuja: sattuma, jäljittely, yhteiskäyttö tai tilin omistajanvaihdos.

Kysy sitten, mikä havainto erottaisi nämä selitykset toisistaan. Jos epäilet kopiointia, pelkkä samanlainen kuva ei auta. Julkinen varoitus jäljittelystä tai virallisella verkkosivulla julkaistu kanavaluettelo voi olla olennaisempi lähde.

Ristiriitojen tulkinnassa tarvitaan malttia. Eri kielet eivät todista eri käyttäjiä. Eri julkaisuajat eivät osoita eri aikavyöhykkeitä, koska sisältöä voi ajastaa. Organisaation yhteiskäyttö selittää joskus keskenään erilaisia kirjoitustyylejä.

Kirjaa sekä yhteyttä tukevat että sitä heikentävät havainnot. Jos ristiriitaa ei voi ratkaista julkisista lähteistä, jätä se näkyviin. ”Yhteys jäi varmistamatta” on pätevä tutkimustulos, ei epäonnistuminen.

Käytä automaattisia hakutyökaluja ehdokkaiden löytämiseen

Käyttäjänimityökalut voivat nopeuttaa julkisten profiiliosoitteiden etsimistä. Niiden tulokset ovat kuitenkin ehdokkaita tarkistettavaksi, eivät valmiita henkilökytköksiä. Työkalu voi tulkita esimerkiksi kirjautumissivun, estoviestin tai yleisen virhesivun olemassa olevaksi profiiliksi.

Myös puuttuva osuma on rajallinen havainto. Palvelu on voinut muuttaa osoiterakennettaan, rajoittaa automaattisia pyyntöjä tai piilottaa profiilin hakukoneilta. ”Työkalu ei löytänyt tiliä” ei tarkoita samaa kuin ”tiliä ei ole”.

Tarkista tärkeät tulokset käsin julkisesta lähteestä. Noudata palvelun ehtoja ja teknisiä rajoituksia. Älä kierrä kirjautumista, käyttörajoituksia tai muita suojauksia saadaksesi lisää aineistoa. Nopeampi keruu ei korvaa rajattua tarkoitusta tai huolellista tulkintaa.

Huomioi GDPR ja tiedon minimointi

Julkinen käyttäjänimi voi olla henkilötieto, jos se liittyy tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Julkisuus ei itsessään poista tietosuojasääntöjen soveltumista. Myös tilien yhdistäminen voi tuottaa uutta henkilötietoa, vaikka lähtötiedot olisivat julkisia.

Kun GDPR soveltuu käsittelyyn, määritä tarkoitus ja asianmukainen käsittelyperuste ennen keruuta. Oikeutettu etu ei ole automaattinen yleislupa: sen käyttäminen edellyttää muun muassa tarpeellisuuden ja rekisteröidyn oikeuksiin kohdistuvien vaikutusten arviointia.

Käytännössä minimointi tarkoittaa, että tallennat vain tutkimuskysymyksen kannalta tarpeellisen aineiston. Älä kerää sivullisten kommentteja, yhteystietoja tai arkaluonteisia päätelmiä varmuuden vuoksi. Rajaa aineiston käyttöoikeudet ja määritä säilytysaika.

Arvioi lisäksi mahdolliset informointivelvoitteet sekä tietojen luovuttamisen ja julkaisemisen perusteet. Erityisiin henkilötietoryhmiin tai rikostietoihin liittyvä käsittely vaatii erillistä huolellisuutta. Epäselvässä tai vaikutuksiltaan merkittävässä tilanteessa pyydä tietosuoja-asiantuntijan arviota.

Raportoi yhteys, älä oletettua henkilöllisyyttä

Hyvä lopputulos vastaa alkuperäiseen kysymykseen mahdollisimman suppeasti. Jos näyttö koskee organisaation ilmoittamaa kanavaa, raportoi se. Älä laajenna päätelmää siihen, kuka henkilö kirjoitti yksittäisen viestin.

Tiivis havaintokortti voi sisältää:

• tarkistetun käyttäjänimen ja palvelun
• julkisen lähdeosoitteen ja havaintoajan
• suoraan havaitun yhteyden
• vaihtoehtoiset selitykset ja ristiriidat
• rajatun johtopäätöksen sekä avoimet kysymykset.

Muotoilu ”sivusto linkitti havaintohetkellä tähän profiiliin” on täsmällisempi kuin ”tili on varmasti aito”. Se kertoo sekä näytön sisällön että sen ajallisen rajan.

Yhteenveto

Vastuullinen OSINT-käyttäjänimitutkimus alkaa rajatusta kysymyksestä ja päättyy näyttöä vastaavaan johtopäätökseen. Sama nimimerkki on hakuvihje, ei henkilöllisyystodistus.

Varmista lähdesivut, erota suorat yhteydet samankaltaisuuksista ja etsi myös ristiriitoja. Kerää vain tarpeellinen tieto ja hyväksy epävarmuus silloin, kun aineisto ei ratkaise kysymystä. Näin vähennät vääriä osumia ja pidät tutkimuksen sekä hyödyllisenä että vastuullisena.