Как использовать приложения-телефонные справочники для исследований

Translations:

Популярные приложения, например TrueCaller или GetContact, рекламируются как способ узнать, кто на самом деле вам звонит, даже если номер незнакомый, а также избежать спама или мошеннических звонков. Однако способ, которым эти приложения собирают информацию о неизвестных номерах, рекламируется не так широко.

Большинство таких приложений берут такую информацию из списков контактов собственных пользователей, а затем сопоставляют данные с другими записями с тем же номером и со страницами на Фейсбуке, где указан телефонный номер.

Большинство приложений понимают, что записи вроде «Мама» или «Папа» не очень полезны для неизвестного номера. При этом они часто дословно приводят запись в списке контактов, которая может быть неполной, оскорбительной или мнемонической. Например, как говорится в статье от 2014 года о ныне не работающем приложении NokNok, многие женщины в нем фигурировали под оскорбительными наименованиями. Например, одна женщина нашла в нем себя под именем «Ness booty call 2» («Несс позвонить-перепихнуться №2»).

Другие телефонные справочники дают больше информации об указанных в них лицах. Примером служит расследование New York Times об убийстве Джамаля Кашоджи, где с помощью такого приложения удалось обнаружить важную информацию:

Четвертый подозреваемый путешествовал с паспортом с именем еще одного члена саудовской королевской гвардии Мухаммеда Саада Альзахрани. Поиск этого имени в популярном в Саудовской Аравии приложении Menom3ay, которое показывает пользователям имена, связанные с номерами телефонов, позволил идентифицировать его как члена королевской гвардии. Гвардеец с бейджиком с этим именем присутствует на видео 2017 года рядом с принцем Мохаммедом.

Мы также применяли такие приложения в наших расследованиях, в частности идентифицировав офицера ГРУ Олега Иванникова, связанного со сбитием MH17. По двум номерам, которые, как мы знали, принадлежали этому человеку, мы установили его псевдоним в Украине («Андрей Иванович»), а еще один номер позволил узнать его реальную фамилию «Иванников».

Информация в приложениях-справочниках часто игнорируется онлайн-расследователями, в основном из-за огромного количества таких приложений и сбора ими персональных данных.

Кроме того, подавляющее большинство таких приложений требуют использования телефона, а доступные веб-версии их баз данных отсутствуют, что усложняет процесс расследования. В этом руководстве подробно рассказывается о том, как относительно безопасно использовать эти приложения с помощью виртуального Android-устройства или «одноразового телефона», не связанного с реальными адресами электронной почты или номерами исследователей.

Подготовка устройства для расследования.

Чтобы настроить эмуляцию телефона на Android для вашего ПК (другими словами, программу, которая работает на вашем компьютере и маскируется под телефон) см. это руководство о программе Genymotion. Также можно использовать Bluestacks или другие эмуляторы Android, у некоторых из которых есть версии для iOS. Не все приложения-телефонные справочники работают на эмуляторах Android, однако большинство все же работают. Если вы используете один из этих эмуляторов и не боитесь использовать реальный телефон или телефонный номер, можете пропустить этот раздел.

Я предпочитаю использовать для исследований разлоченный «одноразовый телефон». В моем случае это старый поцарапанный Nexus 5X с разбитым экраном, который я не использовал с тех пор, как в 2016 году купил новый телефон. Я сбросил настройки этого телефона до заводских и связал его с аккаунтом Gmail, который создал специально для расследований. С этим телефоном не связана ни одна SIM-карта или номер. Далее с помощью Wi-Fi я установил различные приложения, полезные для исследований и недоступные на ПК.

Некоторые приложения-справочники требуют реального телефонного номера для SMS-верификации. Многие успешно используют Google Voice или другие сервисы для создания номера специально для этой цели. Это работает для некоторых сайтов, но многие платформы, в частности Фейсбук, не признают номера, созданные через сервисы вроде Google Voice вместо реальной SIM-карты, и не позволяют использовать их для верификации.

Я настоятельно не рекомендую использовать для этой цели реальный номер телефона, а тем более реальный телефон, поэтому я купил SIM-карту через сайт Tractfone и пополнил ее в ближайшем магазине. Мне удалось использовать эту новую SIM-карту/номер телефона с моим Nexus 5X, поскольку этот телефон не связан с конкретным оператором. Если ваш старый телефон не разблокирован, возможно, вам придется купить новый (вы можете сделать это всего за 20 долларов в Tractfone или у другого оператора). В этом руководстве для США с сабреддита NoContract подробно описаны варианты покупки телефонов без договора.

В киосках и автоматах в различных аэропортах часто продаются SIM-карты с оплаченными минутами. Я не тестировал SMS-верификацию с помощью таких карточек, однако этот способ все равно стоит попробовать, если вдруг вы заметите в аэропорту киоск с недорогими SIM-картами.

Если вы находитесь в США, то можете купить SIM-карту Tracfone за один доллар с бесплатной доставкой (на момент публикации этой статьи). Если вы находитесь за пределами США и не можете купить дешевую SIM-карту с оплаченными минутами или же очень сильно беспокоитесь за ваши персональные данные, этот метод не для вас. В этом случае вам следует изучить другие онлайн-ресурсы для анонимной покупки номеров телефонов, которые нельзя связать с вами через карту или телекоммуникационные данные. Как видно на скриншоте ниже, я купил SIM-карту Tracfone с помощью личной кредитной карты и точно так же купил минуты Tracfone. Меня не особо беспокоит защита персональных данных в связи с этим телефоном, но если бы она беспокоила меня сильнее, я бы точно не пошел по этому пути.

Мне не очень удобно использовать телефон с разбитым экраном, и я предпочитаю проводить исследования на ПК, так что я использую программу-зеркало телефона для управления этим телефоном с компьютера. Имеются различные варианты таких программ, как платные, так и бесплатные. Лично я использую Apowermirror (платную и бесплатную версии).

Я также успешно использовал Airdroid (платную и бесплатную версии) и бесплатную Microsoft Remote Desktop. Если вы хотите управлять телефоном с помощью клавиатуры и мыши с ПК или Mac, лучше всего подключить устройство через USB. Настройки устройств отличаются в зависимости от приложения, однако в большинстве случаев вам потребуется включить режим отладки USB (если вы не знаете, как сделать это, добавьте модель вашего телефона в этот поисковый запрос). Когда вы завершите настройки, ваше приложение (если это Apowermirror) будет выглядеть следующим образом: дисплей вашего телефона, еще несколько опций в интерфейсе приложения и возможность использовать мышь и клавиатуру вашего ПК как устройства ввода (с помощью приложения-зеркала).

 

Приложения-телефонные справочники

Для iOS и Android доступны десятки приложений-телефонных справочников. Некоторые из них, такие как GetContact и TrueCaller, популярны по всему миру, а другие — только в отдельных странах или регионах. В этом руководстве не приводится полный список таких приложений. Я рассмотрю десяток наиболее популярных в Google Play и подробнее расскажу о требованиях, плюсах/минусах и возможностях каждого из них. Если вам известны популярные приложения-телефонные справочники, которые не попали в это руководство, просим рассказать о них в комментариях, чтобы мы могли добавить информацию о них.

В каждом описании для поиска используются примеры номеров: мой собственный номер, номер моего коллеги в Лондоне, номер техподдержки провайдера Verizon Wireless, опубликованный в открытом доступе телефонный номер Дональда Трампа и телефонный номер бывшего лидера пророссийских сепаратистов на востоке Украины россиянина Александра Бородая. Для приложений, основной аудиторией которых не являются американцы, я нашел публично доступные номера, которые должны присутствовать в телефонных справочниках, например номера горячих линий государственных служб, чтобы изучить, как эти приложения собирают и публикуют информацию. Разумеется, масштаб исследования крайне небольшой, поэтому в поисках наиболее эффективного приложения лучше проверять номера, соответствующие вашей области исследований.

Большая часть приложений требуют дать им очень широкий доступ к личным данным. Поскольку мы используем либо фейковый (виртуальный) телефон, либо «одноразовый» телефон, не связанный с нашими реальными данными, не бойтесь принимать эти разрешения, тем более что, если приложения будут представлять проблемы, всегда можно сбросить настройки устройства до заводских. Если вы установите хотя бы половину этих приложений, то более полудюжины их будут занимать память телефона, работая на заднем плане, а если вы когда-нибудь совершите реальный звонок или же вам позвонят на этот телефон, то все приложения мгновенно оживут, чтобы рассказать вам об этом телефонном номере. Поэтому, разумеется, это устройство лучше не использовать для реальных звонков.

В этом руководстве рассматриваются следующие приложения-телефонные справочники: GetContact, TrueCaller, CallApp, Hiya, Dalily, Tellows, Eyecon, Viewcaller, Showcaller, Whoscall. В этот пост не попали десятки других подобных приложений, однако они работают примерно так же, как те, что описаны ниже.

 

GetContact

Требования: Верификация через SMS, адрес электронной почты

Бесплатно? Бесплатно!

Подробности о контактах: указано одно возможное имя, комментарии пользователей недоступны

Коэффициент успеха: 1/5 (найден номер Бородая и другие российские и украинские номера, которые я искал, но поиск номеров с кодом +1 или +44 оказался невозможен)

GetContact — одно из лучших, если не самое лучшее приложение-телефонный справочник, несмотря на то, что оно не работает или заблокировано во многих странах. В частности, поиск большинства российских и украинских номеров выдает соответствующие имена. Однако GetContact не позволяяет выполнять поиск американских или британских номеров (а также номеров других стран), наверняка из-за юридических ограничений.

Чтобы использовать GetContact, вам придется пройти верификацию по SMS, поэтому для активации аккаунта следует использовать телефонный номер, предназначенный исключительно для исследований. Я не пробовал использовать Google Voice или другие сервисы для авторизации в GetContact.

 

Хотя количество стран, по которым GetContact предоставляет информацию, крайне ограниченно, по номерам, доступным для поиска, имеется огромное количество информации. Например, я пытался искать все номера из логов телефонных переговоров, опубликованных родителями американца, который пропал, отправившись на восток Украины. Почти все номера с российскими или украинскими кодами дали результаты при поиске в GetContact, что демонстрирует, насколько широка база пользователей приложения в этом регионе.

У GetContact имеется и web-версия, однако мне не удалось заставить ее работать на моем телефоне.

 

TrueCaller

Требования: Аккаунт Google (Gmail) или Microsoft Live

Бесплатно? Бесплатно!

Подробности о контактах: Указано только одно возможное имя. Предоставляет теги для описания номера (деловой, личный, спам и т.п.)

Коэффициент успеха: 4/5 (не распознал лондонского коллегу)

Это — одно из немногих приложений, которые не требуют мобильного устройства для доступа к базе данных номеров. Перейдите на truecaller.com в режиме инкогнито в браузере и оттуда войдите в ваш исследовательский аккаунт Gmail или Microsoft Live, и вы сможете выполнять поиск по номерам в браузере. В большинстве стран можно создать аккаунт в Gmail за 30 секунд, для чего требуется только имя пользователя, пароль, имя/фамилия, дата рождения и пол (указывать номер телефона или почту для восстановления не обязательно).

Войдя в аккаунт, просто выполните поиск номера — оплата или верификация по SMS не требуется.

CallApp

Требования: Аккаунт Google/Gmail, аккаунт в Фейсбуке или верификация по SMS

Бесплатно? Бесплатно!

Подробности о контактах: Список комментариев пользователей о номере, рейтинг надежности номера, частота поиска номера

Коэффициент успеха: 3,5/5 (Verizon, Трамп, лондонский коллега, возможная ошибка с Бородаем)

Это приложение позволяет выполнить вход различными способами — через аккаунт в Фейсбуке, аккаунт в Google/Gmail или через верификацию по SMS. База данных пользователей наполняется в том числе за счет Фейсбука.

В CallApp есть различные социальные функции, в том числе дополнительный список контактов, и подробности, которых нет во многих других приложениях (например, адрес электронной почты). При этом из трех попаданий из пяти проверенных нами по номеру поддержки Verizon была показана неверная информация из списка контактов какого-то пользователя, а для номера Трампа был указан адрес в Новой Зеландии. Результат для лондонского коллеги оказался верным. Кроме того, поиск Бородая выдал ложную находку — человека по имени «Александр Фирсов». Впрочем, возможно, что номер Бородая сейчас использует кто-то другой.

Hiya / Mr Number

Требования: $$$

Бесплатно? Требуется подписка

Подробности о контактах: не тестировались

Коэффициент успеха: не тестировался

Программа Hiya принадлежит той же компании, что и Mr Number. При это Hiya более посвящено обратному поиску по номеру телефона, а Mr Number — уведомлениям о спаме и блокировке звонков. Однако эти сервисы требуют платной подписки ($1,25 в месяц) для доступа к базе данных, поэтому мы не стали тестировать это приложение.

 

Dalily

Требования: Нет

Бесплатно? Бесплатно!

Подробности о контактах: Поиск по имени или номеру, а также вся информация из списка контактов (электронная почта и т.п.), а не только имя и номер

Коэффициент успеха: не тестировался

В отличие от других приложений, которые описаны в этом руководстве, Dalily используется только в арабских странах, поэтому это приложение бесполезно за пределами Ближнего Востока и Северной Африки. Все страны, доступные в этом приложении, приведены ниже. Кроме того, там есть и Йемен (последний пункт).

Пример информации Dalily приведен ниже: запись в списке контактов для Саудовской национальной компании водоснабжения.

 

Tellows

Требования: Нет

Бесплатно? Бесплатно!

Подробности о контактах: Дает оценку номеру, касается спама/мошенников. Также приводятся пользовательские комментарии по каждому номеру. Показывает количество поисковых запросов по этому номеру

Коэффициент успеха: 1/5 (только Verizon)

Поскольку для Tellows не нужен аккаунт или номер телефона, эту программу очень легко использовать. В ней есть большинство важных функций приложений-телефонных справочников. Как видно ниже, Tellows позволяет пользователям оставлять комментарии к номеру, а также показывает, сколько раз этот номер искали в Tellows.

 

Eyecon

Требования: Действующий номер телефона для верификации по SMS

Бесплатно? Бесплатно!

Подробности о контактах: Фотография и одно имя контакта

Коэффициент успеха: 2/5 (только Трамп и Verizon)

Вам понадобится действующий номер телефона, наи который можно получить SMS. При этом электронная почта или аккаунты в социальных сетях не нужны. После этого приложение попросит имя, но, разумеется, настоящее имя вводить не обязательно.

Чтобы выполнить поиск номера, необходимо выбрать опцию «Unknown» в правой верхней части основной страницы поиска. Далее введите номер, который хотите найти, и нажмите «Search». Обе опции выделены желтым ниже.

Приложение не сумело найти ни один неамериканский номер, что я искал. Это показывает, что его результаты достаточно ограничены географически.

 

Viewcaller

Требования: Нет

Бесплатно? Бесплатно!

Подробности о контактах: Только одно имя, только базовая информация

Коэффициент успеха: 2/5 (Verizon, Трамп)

ViewCaller — одно из простейших приложений в этом посте. Оно не требует авторизации или входа и выдает по каждому номеру только одно имя. Других подробностей приложение не показывает.

 

Showcaller

Требования: Нет

Бесплатно? Бесплатно!

Подробности о контактах: Только одно имя, пользовательские комментарии

Коэффициент успеха: 1/5 (только Verizon)

Это приложение очень легко использовать, у него нет особых требований (т.е. не требуется верификация по SMS, электронная почта и т.п.). При этом база данных номеров очень маленькая. Единственный номер телефона из пяти проверенных, который узнала программа, был номер поддержки Verizon Wireless. При этом программа неверно указал его страну происхождения — Россия. Впоследствии в поиске отобразилось местоположение в штате Кентукки, что показывает, как отображение только одной подробности о номере перекрывается с записями различных пользователей.

 

Whoscall

Требования: Аккаунт в Фейсбуке или Google (Gmail)

Бесплатно? Бесплатно!

Подробности о контактах: Выдает основное имя и несколько альтернативных имен из контакт-листов пользователей, иногда выдает адрес и другие подробности из контакт-листов.

Коэффициент успеха: 1,5/5 (Verizon, шуточная запись о Трампе)

Whoscall требует аккаунт в Фейсбук или Gmail, однако можно использовать фейковые аккаунты, созданные только для этого приложения. Поиск номеров в этом приложении менее интуитивный, чем можно ожидать — нужно выбрать вкладку Keypad (вторая слева в нижней строке в приложении), ввести номер, который вы хотите найти, а затем нажать на автоматически заполненную запись, которая появится. Интерсная функция Whoscall — в дополнение к основному имени для номера выдаются и другие варианты из списков контактов пользователей в разделе «Community Report».

 

Вывод

Приложения-телефонные справочники используются исследователями неоправданно редко, однако тому есть причины — обычно для этого необходим дополнительный номер телефона, фейковый аккаунт в Gmail и Фейсбуке, а также очень много терпения.

Эти приложения вызывают критику исследователей вопросов безопасности из-за крайней широкой и обманчивой практики сбора информации. В прошлом году Леонид Грустный из «Лаборатории Касперского» привел краткий обзор бизнес-модели GetContact и связанных с этим приложением опасностей. Этот обзор будет интересен для тех, кто обеспокоен угрозой безопасности со стороны таких приложений. В посте в блоге «Лаборатории Касперского» приводится скриншот разрешений для приложения GetContact, который выглядит совершенно абсурдно.

Часто исследования открытых источников представляют собой поиск информации, опубликованной самими объектами исследования, например документов о регистрации компаний и профилей в социальных сетях. Однако пока мобильные приложения продолжают собирать личные данные пользователей, эту информацию будет возможно найти с помощью исследования открытых источников, поскольку информация часто либо публикуется самими пользователями (через подобные приложения), либо попадает в утечки.

Эта тенденция приводит к этическим дилеммам о том, какую информацию допустимо собирать для исследований, а также к случаям, когда даже осторожные и подкованные в вопросах безопасности пользователи находят личную информацию о себе в сети. Эта опасность особо очевидна для тех, кто находит личные телефонные номера, привязанные к имени в TrueCaller или GetContact, даже при том, что никогда не использовали эти приложения.

 

Дополнение: @RanLocar отметил, что некоторые приложения-телефонные справочники могут быть уязвимы к утечке GPS-данных пользователей. Поэтому, если вас особо заботят вопросы безопасности, возможно, стоит задуматься о применении VPN или GPS-спуферов при работе с такими приложениями посредством телефона (виртуального или физического).

Related articles