OSINT आज भी पाषाण युग में अटका हुआ क्यों लगता है

जब भी मैं कोई नई जांच शुरू करता हूँ, ऐसा लगता है जैसे मुझे 1955 में वापस भेज दिया गया हो। OSINT सॉफ़्टवेयर आज भी बेढंगा और पुराने ढर्रे का है, और उसने उस रफ़्तार से क़दम नहीं मिलाया जिसकी जांचकर्ताओं को अब वास्तव में ज़रूरत है। हालाँकि मुझे नहीं लगता कि दोष सिर्फ़ प्लेटफ़ॉर्म का है। हर कोई वही घिसे-पिटे footprint analysis के स्टेप्स दोहरा रहा है, जबकि जिन लोगों और कंपनियों को हमें ट्रैक करना है, वे लगभग सबकी आँखों के सामने ग़ायब होते जा रहे हैं।

साफ़ कह दूँ: आज की OSINT जांचें झल्ला देने वाली हैं।

OSINT Workflows टस से मस नहीं हुए

मेरा मतलब ईमेल पते निकालने, domain की उम्र parse करने या social bios स्क्रेप करने जैसी चीज़ों से नहीं है। उसकी मुझे परवाह नहीं। मैं गहरी चीज़ों की बात कर रहा हूँ — किसी के पूरे सिस्टम की परतें खोलना, यह पता लगाना कि वह वास्तव में किनसे बात करता है, कौन-सी कंपनियाँ उसके नियंत्रण में हैं, वह संपत्तियाँ कैसे छिपाता है, उसके proxies कहाँ बैठे हैं, कौन क्या launder करता है, और मोल्दोवा की कोई अनजान tech consultancy अचानक पाँच अलग-अलग registries में क्यों दिखने लगती है।

जांचकर्ता असल में इन्हीं चीज़ों में अटकते हैं। मुझे याद है, एक कॉर्पोरेट जांच पर मैंने 4 दिन लगाए थे, जबकि जो मैं ढूँढ रहा था वह 2010 की Bengkulu business registry की एक एंट्री में लिखा पड़ा था।

लेकिन बहुत से लोग अब भी जांचों को ऐसे कर रहे हैं जैसे दुर्लभ कार्ड इकट्ठा कर रहे हों। "हमने उनके सारे सोशल अकाउंट ढूँढ लिए!" बहुत बढ़िया। इसी बीच subject अलग-अलग jurisdictions में बेमेल transliteration conventions के साथ सात पहचानें चला रहा है, और किसी ने आर्मेनियाई tax portal तक नहीं देखा क्योंकि "हम आमतौर पर वहाँ नहीं देखते।"

हाल की जांचों के उदाहरण

1. 2024 का वियतनामी laundering नेटवर्क, जो सिंगापुर की shell कंपनियों का दुरुपयोग कर रहा था

Instagram की चकाचौंध पर ध्यान देने के बजाय जांचकर्ताओं ने सिंगापुर के ACRA में दर्ज nominee directors और shell कंपनियों के पतों को सत्यापित करके, और भंग हो चुकी कंपनियों के पतों को regulatory postal code बदलावों से cross-reference करके 80 लाख अमेरिकी डॉलर का laundering ऑपरेशन तोड़ा। इससे वियतनामी syndicate के सदस्यों की पुरानी पहचानें सामने आईं।

1. 2023-2024 का पश्चिमी बाल्कन cocaine तस्करी गिरोह

OSINT का निर्णायक सुराग किसी चमकदार cyber indicator से नहीं, बल्कि सर्बियाई और मोंटेनेग्रिन अदालतों के अभिलेखागार से आया, जिनमें आरोपी तस्करों के रिश्तों का ब्योरा था — डिजिटलीकरण से पहले के सिस्टम में maiden names के तहत अनुक्रमित — जिससे पता चला कि मुख्य किरदार बाल्कन क्षेत्र में रिश्तेदारी के नामों वाली logistics और proxy फ़र्मों के ज़रिए अवैध वित्त को कैसे बचा रहे थे।

1. सिंगापुर का influencer scam ऑपरेशन (2023-2025)

यह नेटवर्क "cyber indicators" से उजागर नहीं हुआ। यह इसलिए खुला क्योंकि आख़िरकार किसी ने 2016 की स्कैन की हुई सर्बियाई अदालती फ़ाइलिंग्स को खंगालने की ज़हमत उठाई, जिनमें एक चचेरे भाई की पत्नी का maiden name एक road haulage कंपनी से जुड़ा दर्ज था। डिजिटलीकरण से पहले के अभिलेखागार देखने का ख़याल किसी को नहीं आया। पूरा नेटवर्क ऐसे PDF के ढेर में बैठा था जो देखने में ऐसे लगते थे मानो उन्हें मीट ग्राइंडर से गुज़ारकर फ़ैक्स किया गया हो।

1. बल्गेरियाई-यूनानी प्राचीन वस्तुओं की तस्करी, 2024

2007 के एक बल्गेरियाई excavation permit में हुई एक टाइपो ने कला-तस्करी गिरोह के सरगना के alias के इस्तेमाल को उजागर कर दिया। इसे मौजूदा shipping manifests, कला बिक्री की OSINT social छानबीन और trade data से cross-reference किया गया, जिसने यूनानी कलाकृतियों की बाल्कन तस्करी पर 2024 की नई कार्रवाई में पहचानों को जोड़ने में मदद की।

और यह सिलसिला चलता ही रहता है। लगातार। यक़ीन मानिए, आप मेरे नोट्स नहीं देखना चाहेंगे।

जांचें इसलिए विफल हो रही हैं क्योंकि वे एक बासी ढाँचे पर चलती हैं

सच कहूँ तो, किसी साधारण POI जांच का workflow आप पहले से बता सकते हैं:

1. Subject की पहचान करें।
2. उसके अकाउंट इकट्ठा करें।
3. उसके domains निकालें।
4. सार्वजनिक रिकॉर्ड स्क्रेप करें।
5. थोड़ा दोहराएँ।
6. रिपोर्ट लिखें।

यह प्रक्रियागत और सुव्यवस्थित है, लेकिन 2025 के लिए ग़लत है।

आधुनिक OSINT जांचों के लिए कुछ ऐसा चाहिए जो पुरातत्व और forensic linguistics का मिश्रण हो। आपको विचित्र, बेतरतीब घटनाओं के बारे में सहज-बोध चाहिए — जैसे विभिन्न संस्कृतियों में नामकरण की परंपराएँ और धुंधली offshore finance। जांचकर्ताओं को पता होना चाहिए कि, मान लीजिए, फ़िलीपींस में काग़ज़ात वास्तव में कैसे दर्ज होते हैं, जहाँ कभी-कभी middle initials पूरे नामों की जगह ले लेते हैं, या उज़्बेक कंपनियाँ कभी-कभी विदेशी directors को ऐसे date formats के साथ दर्ज करती हैं जो टाइप करने वाले के हिसाब से उलट जाते हैं।

हम ये चीज़ें सिखाते नहीं हैं। सिखानी चाहिए। मेरा मानना है कि यह उन सबसे बड़े क्षेत्रों में से एक है जहाँ AI domain-specific ज्ञान का एक corpus जुटाकर जांचकर्ताओं की मदद कर सकता है, जब वे ऐसी चीज़ों से टकराते हैं।

OSINT जांचों को तुरंत कहाँ विकसित होना चाहिए

1. Cross-jurisdiction पहचान की परिवर्तनशीलता

लोग भूल जाते हैं कि एक ही व्यक्ति का नाम इस आधार पर अलग-अलग रूप ले लेता है कि किस registry clerk ने उसे टाइप किया। जांचों में ध्वन्यात्मक, भाषाई और transliteration के बहाव को शामिल करना होगा: सर्बियाई Cyrillic, आर्मेनियाई patronymics, इंडोनेशियाई नामकरण परंपराएँ, आदि। Threat actors और अपराधी इसका फ़ायदा पहले से उठा रहे हैं; जांचकर्ताओं को बराबरी पर आना होगा।

1. Long-tail registries

हर कोई Delaware LLCs या UK Companies House पर ध्यान देता है, लेकिन उत्तर मैसेडोनिया की municipal registries, जापानी gazette listings, या राजस्थान के भूमि रिकॉर्ड — जो आज भी दस्तावेज़ों को पारिवारिक वंशावली के हिसाब से रखते हैं — को खंगालना मुश्किल है। कभी-कभी बहुत अहम टुकड़े वहीं छिपे होते हैं।

1. Secondary ecosystem की मैपिंग

Target को देखने के बजाय उस दोस्त को देखिए जिसका कुत्ता हर background photo में दिखता है। साली की अचानक अंतरराष्ट्रीय हो गई Etsy shop को देखिए। Procurement clerk के भाई के fishing license की जांच कीजिए।

जी हाँ, ये असली उदाहरण हैं। मुझे कॉकेशस का एक मामला याद आ रहा है जहाँ जांचकर्ताओं ने 2024 के एक procurement sanctions evasion मामले के संदर्भ में secondary actors को मैप किया और अनजान सार्वजनिक रिकॉर्डों तथा ग़ैर-स्पष्ट रिश्तों के ज़रिए licensing को cross-check किया।

1. सार्वजनिक infrastructure के footprints

Cyber exposure के अर्थ में नहीं, बल्कि कुछ इस तरह:

• उनकी आख़िरी ज्ञात लोकेशन को किस cell tower ने serve किया?
• कौन से shipping manifests उनकी यात्रा से मेल खाते हैं?
• Municipal repair logs क्या बताते हैं कि उनकी गली आख़िरी बार कब खोदी गई, जो नई fiber installation का संकेत देती है?

छोटी-छोटी चीज़ें। लेकिन जांच का सोना यहीं दबा होता है।

1. Temporal patterns

कोई भी चीज़ों पर ठीक से timestamp नहीं लगाता। बस इकट्ठा करते जाते हैं। लेकिन जांचें क्रम पर टिकी होती हैं। यदि कोई director उसी हफ़्ते इस्तीफ़ा देता है जिस हफ़्ते कोई shipment किसी संदिग्ध बंदरगाह से होकर मुड़ती है, तो यह मायने रखता है। यदि कोई domain अपने DNS records उसी दिन अपडेट करता है जिस दिन कोई पासपोर्ट renew होता है? यह भी मायने रखता है।

1. ग़ैर-डिजिटल सुराग

अख़बारों की कतरनें। NGO के newsletters। शोक-सूचनाएँ। एक बार कला-तस्करी गिरोह के सरगना की पहचान स्कैन किए गए excavation permits में मिले एक पुराने shipping alias से हुई, जिसे ग़लती से प्रकाशित हो गए exhibition catalogues से मिलाया गया।

यह बात मुझे ज़रूरत से ज़्यादा क्यों खलती है

क्योंकि यह खाई funding की नहीं है। संसाधनों की नहीं है। ज़्यादातर मामलों में कौशल की भी नहीं।

यह mindset और technology की है।

OSINT को search engine की तरह बर्ताव करना बंद करके उस लाइब्रेरियन की तरह बर्ताव करना शुरू करना होगा जिसे याद है कि 2005 में कौन-सा चचेरा भाई किस परिवार में ब्याहा गया था।

जब तक OSINT जांचकर्ता वह सहज-प्रवृत्ति — उलझी हुई, nonlinear, जुनूनी, forensic — विकसित नहीं करते, लोग नई पहचानों, नई shell कंपनियों और नए आवरणों के पीछे यूँ ही फिसलते रहेंगे। और हम उन्हीं dashboards को घूरते रहेंगे, यह दिखावा करते हुए कि तस्वीर पूरी है।

पूरी नहीं है। कभी थी भी नहीं (सचमुच!)।

लेकिन मान लीजिए हम उन जगहों पर देखना शुरू करें जिन्हें हमने नज़रअंदाज़ किया है। उस स्थिति में — धूल-भरी registries, अजीबोग़रीब सांस्कृतिक नामकरण की आदतें, इधर-उधर पड़ी real-estate listings, ग़लती से अपलोड हो गए भूले-बिसरे PDF — ये सब वास्तव में जांचों में सामने आने लगते हैं।

तब शायद हम जांचों को ऐसे चलाना बंद कर देंगे जैसे 2016 चल रहा हो।

और उन्हें उस दुनिया के हिसाब से चलाने लगेंगे जिसमें हम वाकई अब रहते हैं।