---
source: We Are Bellingcat: An Intelligence Agency for the People (Eliot Higgins)
ocr: PaddleOCR-VL-1.6
extracted_at: 2026-08-22T21:08:01.765Z
---

# Bellingcat 开源调查方法论提取

> 提取目标:调查工作流、验证方法(照片/视频/地理定位/时间线)、工具链、反侦察与安全。
> 全书正文 L199-L2775(Introduction + 5 章 + Afterword),另含 Notes 注记区 L2775-L3780。
> 行号引用 [L####] 基于 OCR 文件实际行号。

## 1. 调查工作流总览(核心原则)

- **核心箴言**:"What people mean to show is not all they are revealing."(人们想展示的并非他们透露的全部)——数字侦查的关键原则 [L447]
- **平台格言**:"Identify, Verify, Amplify"(识别 → 验证 → 放大):识别线上被忽视的可查证议题;验证所有证据、绝不臆测;放大所学并放大整个领域 [L809]
- **入伙原则**:"we care only what you can find, what you can substantiate, what you can lay out for all to see."——只在乎你能找到、能证实、能摊开给大家看的东西 [L807]
- **匿名核实**:对提出惊人新证据的投稿者,先按证据本身质量评估,同时核查其在线上留下的个人数据痕迹,确保无异常 [L807]
- **与 WikiLeaks 划清界限**:WikiLeaks 是泄密(classified),开源调查是分析公开资料;WikiLeaks 数据量巨大、来源不明、难验证,最多视为众多待交叉核实的潜在来源之一 [L785]
- **"Digilantism"警示**:波士顿马拉松爆炸案中 Reddit 用户越界办案、误传无辜者,是"鲁莽版开源调查"(scaremongering masquerading as detective work) [L783]

## 2. 武器 / 装备识别方法论

- **流程图**:暂停 YouTube 视频画面 → 将截图与 Wikipedia 词条、讨论炸弹的论坛、专门收录未爆弹药的网站匹配 [L437]
- **信息核对来源**:Jane's(国防工业出版)、Uxoinfo(未爆弹药网站)等多站交叉验证 [L473]
- **用 Google Search 检索弹药标记**:把弹体上的标记(如"A-IX-2")输入搜索,几乎所有工业弹药都被专业军事网站、军火商网页甚至 Wikipedia 可靠收录 [L463]
- **过程消除法**:每种投放弹药有独特外形与尾翼构型,只装特定 bomblet;从候选列表逐一排除,锁定唯一匹配(RBK-250-275 集束炸弹) [L473]
- **细节辨识**:靠弹体 lug holes(吊耳孔)位置、翼面沟槽、独特尾环等特征做权威识别 [L499]
- **测量法(尺寸反推型号)**:暂停联合国调查员测量弹药的视频帧,复制尺子图像、粘贴并换算,量出 140mm 弹径,对照资料识别为苏联 M14 火箭弹 [L717]
- **排除法归因**:18 个月监控叙利亚视频,从未见反对派拥有涉案两种弹药及其发射系统——若他们有先进火箭就不会用粗制土炮;据此指向政府军 [L729]

## 3. 地理定位(Geolocation)方法论

- **关键技巧**:避免迷失在细节洪流中——挑选一个突出元素(独特宣礼塔、特殊园林),先匹配第一个元素,再找第二个显著细节,逐步拼接 [L707]
- **多图拼接**:用同一地点的 5 张不同视角背景图,把周围环境拼起来,逐一对齐 Google Maps 卫星影像 [L709]
- **阴影定方向**:用照片中的阴影确定火箭倾角,从而估算来向 [L584]
- **Wikimapia 标注回溯**:在可标注地图上沿弹道回溯,判断发射区归属;找到叙利亚军事设施被反叛区包围 [L715]
- **真实案例(Damascus 造假视频)**:用视频中的街道布局反推,与 Google Maps 卫星图比对——背景公寓楼窗型、带顶棚建筑、每棵树都对齐即匹配 [L527]
- **轨迹重建**:地理定位 ANNA 视频(俄语、随军 GoPro),重建政府军对连接孤立基地与政府控制区地带的逐步征服,精确映射其何时何地 [L739]

## 4. 时间线 / 反信息验证

- **时区陷阱**:俄罗斯称袭击后视频时间戳是袭击前一日(20 号),但 YouTube 时间戳按服务器所在地(加州,比叙利亚晚 10 小时)标记 [L749]
- **水印追溯**:RT/Prison Planet 用被裁剪掉水印的 Lens Young Homsi 摄影作品造假;监控原始 YouTube 频道可还原真相 [L529]
- **交叉对照既往监控**:InfoWars 多项指控被逐一证伪,靠作者平日监控过的原视频(如女子痛骂"Bashar"的早前片段、视频实为突尼斯等) [L551]
- **爆料者自我反驳**:伪造"反对派发射 UMLACA"的视频中,摄像师全程清晰说话、未戴防毒面具,还发射了与袭击无关的 D-30 榴弹炮 [L747]


## 5. 地理定位进阶(MH17 案例,章节 2)

- **地标法 + Google Earth**:找两车道+中央分隔带+树木的独特路型;共享给 Twitter 粉丝众包("Gold star sticker to the first person who geolocates") [L859-861]
- **Google Earth 核心功能**:拼接卫星/航拍、测量距离、时间滑块(对比不同时期卫星图,追踪冲突变化)、3D 视角倾斜到地面视角复现视频机位 [L861]
- **复制机位法**:在 Google Earth 复现视频中的高机位视角,挑出 3 棵特定树、路口、红屋顶等标志物逐一对齐 [L869]
- **多源拼图定位**:读被遮挡招牌字母 → 普通网页搜索 → 俄语 wiki 站点得到街道名 → 检索"店名+城市+街道"命中法院文书地址 → 键入 Yandex 地图 → 找到卫星图上疑似加油站;再用当地人上传的 dashcam YouTube 视频逐帧比对地标确认机位 [L905][L913]
- **SunCalc 测时**:用照片阴影估时间(摄影app,用 SunCalc 量阴影);作者先用自己花园不同时刻快照验证该 app 有效再用于案例 [L923][L1005][L1017]
- **语言工具解码**:把含 Cyrillic 的推文贴进 Google Translate,结合自身语言能力从乱译中提取"50 Years of October"街名、识别 'yronek' 等被误译词;在 Wikimapia 上定位"Coal buffet"餐厅,卫星图旁空地+独树与照片吻合 [L925][L933]
- **在线虚拟开车**:用路线规划器规划 Donetsk→Snizhne 全程,在 Google Street View 沿路点选比对照片背景,免于亲赴战区 [L1015]
- **独立验证原则**:投稿者身份不明("Chris Postal")无关紧要,关键是能否复现研究——"an online claim is nothing more than a hypothesis"(线上说法只是假设),须用他人也能自行佐证的证据验证,相当于把科学方法用于新闻 [L1015]
- **多线索聚类**:冒烟照、麦田车辙/烧焦地表、Zello 录音、美国低分辨率卫星图——四者单独都不够,但当证据簇指向同一答案时,假设愈发可信 [L1243-1245]
- **戳穿伪造卫星图**:用 Google Earth 对比 5 月/7 月初/7 月末影像,发现俄罗斯所谓 7 月图里树木仍在而实际早已被砍伐(红土可见),证明图是 6 月拍的且被篡改(移除一辆发射车) [L1253]

## 6. 主动式"草堆找针"搜索(前瞻式侦查)

- **方法论转向**:被动分析热门视频 → 主动深入海量数据找没人知道的证据(搜俄语通用缩写"防空",而非特定型号名) [L1103][L1111]
- **多平台串查**:Instagram → VKontakte → Pixifly(按地点+时间搜 Instagram)→ dashcam 视频 [L1115][L1125]
- **牌照→单位识别链**:dashcam 高清抄下车牌尾号"50"→ Wikipedia 查俄罗斯登记代码 = 莫斯科军区 → 军事爱好者论坛查该军区唯一拥有 Buk 的单位 = 第 53 旅(库尔斯克) [L1127]
- **图像形态比对**:用高级修图软件拉平透视、求消失点/地平线,让两张图"变形融合",证明是同一辆车 [L1149]

## 7. 社交媒体验证 / 人物画像(OSINT 子领域)

- **Instagram 公开账户自曝**:俄特种兵在过境点/车内晒枪、定位设为 DNR、加 emoji 和 hashtag("Little Green Men"、"Alpha Group")——公开账户是金矿 [L1081-1083]
- **VKontakte 参数化检索**:按 a) 驻在城市 b) 俄军服役 c) 单位与服役年限过滤,瞬间弹出数十名士兵;看军衔认人、比对牌照 [L1267][L1273]
- **家属侧面情报**:第 53 旅军属论坛(母亲/妻子)抱怨 6 月联系不上儿子;Odnoklassniki(前同学社交网)上父亲晒儿子"2014–border"照片、路牌 MILLEROVO [L1275]
- **Henk van Ess 横向搜索技巧**:①危机目击者推文别只搜 hashtag(惊惶者顾不上打标签),要设身处地想人们慌乱中会打的词;②Facebook 点"love"而非"like"的用户个性开放、多半未锁隐私,可挖出地点/职业/好友——即使目标本人谨慎,其朋友/伴侣/亲属可能泄底 [L1277-1283]
- **指挥链溯源**:Buk 需 4 人车组(中尉指挥/中士/操作手/驾驶员)+旅长/营长/连长逐级;逐层核实士兵档案与家属线索,2016 年 2 月发布自下而上的指挥链图,直达普京 [L1285-1287]
- **反向图片搜索(reverse image search)**:输入图片查它在网上还出现在哪;巴尔的摩"打砸 KFC"图实为 3 年前巴基斯坦旧图;也用于核验可疑账号头像(常盗图伪造身份) [L1321]
- **元数据(metadata)**:相机/手机拍照时文件内保存时间、可能的地点等附加数据点——验证照片真实性/机位 [L1311]

## 8. 调查伦理(反侦察 / 发布前安全)

- **受害者优先**:若调查发布可能可预见地伤害受害者,发布前先采取保护措施;对不承担责任的涉案低阶士兵,隐去其身份 [L1331]
- **司法配合优先**:掌握证人信息时,先交由 Joint Investigation Team(联合调查组)收集证据,而非抢发独家 [L1331]
- **无法联系当地执法时的路径**:与联合国叙利亚战争罪调查机构、人权组织、国际律师合作 [L1331]

## 9. 反侦察 / 攻击与防御(章节 3:Firewall of Facts)

- **针对调查者的钓鱼攻击**:Bellingcat 团队收到伪装成 Google 的"change password"钓鱼邮件(spear-phishing),伪造登录页盗取密码;邮件语法拙劣是破绽;转发给 ThreatConnect 判定为俄罗斯军事情报网络间谍单位 Fancy Bear 所为 [L1365-1377]
- **元数据核实来源**:俄罗斯外交部被黑的邮箱文档,元数据表明作者经 Facebook 识别确为俄外交部工作人员 [L1395]
- **财务独立性=抗压能力**:Bellingcat 资金来源多元化(基金会+全球讲习班+Patreon 众筹),避免被任何一方控制;每年审计公开、独立监事委员会 [L1473]

## 10. 反信息(Disinformation)作战方法论

- **"防火墙"概念**:用可验证的公开证据对抗虚假叙事;当声誉良好的记者看到传播某理论的人正是常年否认 MH17 证据、否认叙利亚化武、编造 Skripal 阴谋论者时,自然会避开该理论 [L1605][L1515]
- **戳穿"片场造假"照片**:俄罗斯称拍到白头盔伪造化武攻击的"片场"照片,实为从叙利亚电影《Revolution Man》(亲阿萨德宣传片)的 Facebook 页面盗用 [L1443]
- **网络图分析(Starbird)**:绘制分享网络图,显示白头盔谣言的最大节点是 21stCenturyWire.com、MintPressNews.com、GlobalResearch.ca、SputnikNews.com、RT.com 等替代媒体,而非主流媒体 [L1455]
- **反方对照**:Bellingcat 格言"Identify, Verify, Amplify";反事实社区是"Believe, Insist, Ignore"(信、坚持、无视)——先有结论、跳过验证、压过矛盾事实;我们搜证据,他们搜确认 [L1421]
- **克制与伦理边界**:识别夏洛茨维尔暴力嫌疑人时,能识别所有极右抗议者但无意为之;只在涉及严重犯罪或掌握公权力者时调查;绝不放上无辜者(如 GRU 探员上司女儿的婚礼照仅作关系证据,不公开图片) [L1643]
- **去匿名(doxxing)警示**:被点名的抗议者是否该被曝光引发争议;Bellingcat 以"是否涉嫌严重犯罪/是否威胁实施犯罪"为核心判断 [L1643]

## 11. 人物 / 面部验证(像验证地点一样验证人脸)

- **"身体上的地标"**:验证人脸与验证地点同理,地理就是人的身体——寻找地标(狗牌链、右耳轮廓、喉部独特痣群)在多张图中对齐 [L1635-1651]
- **链条式视觉证据**:嫌疑人的照片 → 火炬游行的照片 → 停车场施暴照,靠同一特征(喉部痣群)串成一条证据链 [L1651]
- **好友网络侧写**:假设抗议者结伴而行,顺着嫌疑人身边的两人在 Facebook 搜("jacob dix centerville"),利用不注重隐私的友人公开好友列表挖出第三人(Borden),再用其点赞页(极右内容)佐证 [L1649]

## 12. 众包验证与公共参与

- **ISIS 地理定位挑战**:公开"挑衅"推文让公众解谜;利用广告柱(营销公司网站已地图化)、公交站字母码+桥梁字样("bus stop k grove london"→149 路, Bruce Grove 站)、店铺商标(Suzuki 红色 S)→ Google Street View 逐个核对定位 [L1791-1803]
- **Europol Trace an Object**:欧盟刑警 4000 万张虐童图无法公开展示,便裁掉受害者只留背景,向公众求助;Bellingcat 用 Check app(Checkdesk 的继任者)众包,两周 1 万条贡献,首年 119 个物体中 79 个被识别,识别出至少 10 名儿童并起诉 2 名罪犯 [L1811-1817]
- **无人机预警网络**:叙利亚志愿者用智能手机 app("Sentry")记录军用机场起飞/飞行方向以预警;据此追踪 Khan Sheikhoun 化武袭击的 Su-22 战机(标记"Quds 1",指认负责指挥员) [L1525]

## 13. 事实核查生态 / 平台

- **平台工具与风险**:Google 为 YouTube 创建添加元数据的工具;但 2017 年 YouTube 上线暴力内容标记算法后数十万叙利亚视频消失,抹掉大量潜在证据——平台既是工具也是威胁 [L1497]
- **事实核查项目增长**:全球核查项目 2014 年不到 50 个,2020 年中至少 290 个(Reporters' Lab/杜克大学);如 Le Monde 的 Les Décodeurs、ARD 的 Faktenfinder、Pagella Politica、Newtral、Snopes(1994)、First Draft News(Bellingcat 为创始伙伴) [L1831-1837]

## 14. 身份识别方法论(章节 4:Mice Catch Cat / Skripal 案)

- **语音取证识别身份**:为比对截获音频中的"Delfin",从线上找到俄军将领 Tkachev 的董事会联系方式,以官方刊物采访为由套取语音样本,交两家机构独立分析;立陶宛法证中心判定"高度可能"、科罗拉多大学媒体法证中心给出似然比 428(同一说话者的概率是另一人的 428 倍) [L1912-1920]
- **电话号分享 app 反查**:将截获的嫌疑人手机号输入俄人常用的号码分享 app(TrueCaller / GetContact),这些 app 汇总所有用户的通讯录形成众包来电显示;号码显示的是"别人怎么存他的联系人名",故有奇怪拼写(如"Oreon""Andrey Ivanovich GRU – from Husky") [L1932][L2125]
- **泄露数据库仓库**:20 年来数百个俄语数据库流入俄语 torrent 站点(护照、住址、车辆所有权、航班乘机清单,多按城市);原本合法出售供企业背调,过期后流入 torrent;Bellingcat 下载约 100GB、约 1000 个数据库 [L1964]
- **手机元数据关联分析**:在无关项目中获得乌克兰手机使用元数据,将"Orion"的通话号码代入号码分享 app 找名字,再做相互关联分析,找出谁被所有人拨打过(枢纽人物 Averyanov) [L1932][L2151]
- **数据缺口时的黑市采购**:无 2018 年 3 月航班清单时,付费约 €200 从接触俄航订票系统的人买来莫斯科—伦敦航班乘客清单(得到嫌疑人生日与护照号,且两人护照号仅差 3 位——异常) [L1976]
- **"Babushka"身份档案黑市**:线上有人号称能通过政府机构"关系"调取公民身份档案(约 €100/份);先按"常用名+生日"试探能否命中(避免用"Boshirov"这种怪名打草惊蛇),再付费取档 [L1982-1984]
- **识别假身份特征**:真"Petrov"档案存在——官方盖章"Do Not Provide Any Information"、生物数据页空白、手写注"有封信,S.S.=Sovershenno Sekretno(绝密)"、2009 年才"凭空出现"、无过往证件历史却出现在航班清单;其他同名者都有完整历史。这种异常=假身份 [L1990-1994][L2014]
- **签发机构指征**:签发其 ID 的是专门给克里姆林宫内部人与情报人员办证的莫斯科特别办公室——身份造假证据 [L1994][L2022]
- **行程/边界数据链**:The Insider 获取俄乌边境出入境数据,显示二人 2016 中至 2018 年 9 月多次往返伦敦、巴黎、阿姆斯特丹、法兰克福、日内瓦、特拉维夫 [L2024]
- **毕业照溯源**:从军校毕业照/同学会图库找疑似者,用"军校缩写(DVOKU)+车臣+Hero of Russia"搜索,命中俄国防民防部队官网上的 Chepiga 上校;其线上"隐身"(无社交媒体、无图)本身就是嫌疑 [L2032]
- **手机运营商元数据(移动轨迹)**:通过俄移动运营商联系人拿到化名 Fedotov(实为 Sergeev)号码两年(2017.5–2019.5)的元数据,还原通勤、Skripal 袭击当日行程;用手机基站 ping(牛津圆环、Embankment)重建其在伦敦的移动 [L2123][L2135]
- **SIM 换卡 / 通信反侦察识别**:用 Telegram/Viber/WhatsApp/Facebook Messenger 通信、过度消耗蜂窝数据(>1GB/两天)、可疑 wifi 使用,是"暗桩"的迹象 [L2125-2127]
- **家庭树溯源**:从住宅数据库按姓氏女性变体(Averyanova)找配偶 → 扩大搜亲戚 → 通过婚礼录像(婚礼策划公司网站+客人 Instagram/YouTube)找目标(Chepiga 坐 General Averyanov 桌) [L2166-2168]
- **学术/专利数据挖机构**:为查"实验室"读论文、教科书、专利、公共采购;从 2016 年论文列出"极端毒理学""神经化学"专家,专利"吸入给药影响中枢神经",教科书定义"极端毒理学",据此关联 Novichok [L2176]
- **数据清洗痕迹**:袭击时间前后目标通话记录被"清洗"不可见——本身是情报;数月后(我们曝光身份后)Averyanov 打给外长 Lavrov 办公室 6 通电话——反常即线索 [L2192]
- **双源交叉验证**:New York Times 报道 Unit 29155 时,Bellingcat 用公开注册与泄露数据库核验,发现单位规模与司令官"寒酸住所"等细节有误(实际住封闭小区、开西方豪车) [L2158-2164]

## 15. 开源调查的反侦察 / 安全威胁(实操)

- **反向图片/句柄搜索成空时转入数据仓库**:上传 Petrov/Boshirov 照片做 reverse image 无果、Skype 句柄无果、俄新闻与 Twitter 无果后,才转去泄露数据库——标准开放源不行才深入 [L1956-1964]
- **付费黑市的边界判断**:先穷尽开放源(通常足够);MH17 时代众筹向正规供应商买卫星图可公开;但黑市航班清单来源不正规,是"越界"操作,作者明言 pushed the boundaries [L1966-1972]
- **ProtonMail 钓鱼**:2019 年针对 30+ 加密邮箱用户(研究俄罗斯的记者/NGO/学者)的钓鱼活动,含 Christo、Roman、Guardian/BBC 记者 [L2218]
- **SIM 卡劫持(换卡攻击)**:Roman 手机 2019 年 8 月失灵,运营商 MTS 称其当日领了新 SIM——有人用假护照冒领或攻破运营商;开放源调查者须防换卡攻击 [L2224]
- **心理/替代性创伤**:观看大量暴力素材可致 PTSD/替代性创伤(Andy Carvin 的案头花菜引发惊恐发作);Bellingcat 发布预防指南,建议轮流撤出受创任务、小组复盘、留意睡眠/食欲/孤立等变化、适当休息、向同类开诚布公 [L2226-2250]

## 16. AI / 机器学习的应用与陷阱(章节 5:Next Steps)

- **Deepfake / shallow fake 及其验证**:deepfake(生成式造假)、shallow fake(真素材被篡改,如放缓+变调语音);验证靠"信息脉络(nexus)":该素材所在源的可信度与来源、是否先在他处出现、谁第一时间转发、那些用户点赞过什么;以及真实事件有其上下文(何时/何地/是否有在场证明) [L2394-2422]
- **勿过度恐惧 deepfake**:若事事疑为 deepfake,会让所有文档证被一概而弃——这正是反信息战术想要的;应"怀疑(sceptical)而非犬儒(cynical)" [L2404]
- **机器学习处理海量视频**:叙利亚战争素材时长超过战争本身;Syrian Archive 保存约 350 万件内容,3 人核心团队仅核实 8000+ 件(99% 未核实);用 AI 以未爆弹药/爆炸图案训练自动标记集束炸弹镜头,再由人工核验 [L2430-2432]
- **Forensic Architecture ML**:AI 扫 2500 小时 YouTube 找坦克帧,确认 Ilovaysk 战役中出现俄方独有坦克 [L2434]
- **Benetech 视频指纹**:为每个视频生成最多 500 字符数字字母指纹,按相似度打分去重;低于匹配阈值但相近的片段能"意外"找到同一事件的其它视频——自动发现关联素材 [L2440]
- **AI 检测假身份**:把 GRU 制造假身份的手法训练成模型,在泄露的俄罗斯人口数据库中自动找相似可疑档案 [L2441]
- **期望工具**:①视频反向图片搜索(核验素材是否曾他处出现);②自动爬社交媒体验证军人身份、生成网络连接图 [L2441][L2447]
- **OSINT 增强调度(Pandora Intelligence)**:实时转写报警电话、抽取地址/电话/车牌,回灌开放源与警方库,级联出新线索实时推送给调度员 [L2449-2455]
- **VR"数字记忆"**:多图合成 3D 场景,证人戴 VR 头显"进入"重建现场叠加/比对记忆(如 Forensic Architecture 重建 Hebron 殴打案,多证人独立"走查"后叠加比对) [L2457-2465]
- **行业响应**:NYT News Provenance Project(图内嵌元数据/水印、区块链防篡改);Facebook 千万美元 Deepfake Detection Challenge;OpenAI 因滥用风险不公开其文本生成算法 [L2402][L2420]

## 17. Afterword:Navalny 案(追尾 / 电话元数据实战)

- **航班/行程数据追踪 FSB 小组**:识别 FSB 化学武器单位成员尾随 Navalny 的 37 次出行;结合手机日志(通信对象、时间、基站定位)重建每个成员位置 [L2605]
- **基站定位重建轨迹**:在 Kaliningrad 假期、Novosibirsk 行中,靠手机 ping 基站(离 Navalny 酒店 6 分钟车程处)定位;操作员用一次性手机(burner)规避,但有人把常用手机带上任务而暴露 [L2605][L2623-2625]
- **查证异常行动**:成员 Kudryavtsev(曾服役 Shikhany 化武部队)在 Navalny 转院德国后飞往 Omsk 仅停留 10 小时——疑似处理残留毒物证据 [L2627]
- **发布前"答辩权"**:新版编辑规程要求被指控者有权回应,发布前致电;用号码伪装 app(假来电显示)冒充 FSB 座机、由 Navalny 冒充官员"Maxim Ustinov"套话,获 49 分钟坦白(确认 Makshakov 为组长、Alexandrov/Osipov 为主犯、毒物集中于内衣) [L2635-2659]
- **众包行程比对**:发布 10 名 FSB 化武单位成员行程,请公众对照无解释的死亡/生病事件,以严格标准排除巧合,识别 3 起"心脏骤停"可疑死亡 [L2673]
- **机构化规范**:Bellingcat Editorial Standards & Practices(证据与透明规则)、法律复核、答辩权;Bellingcat GitHub 开源工具(按地点找 Instagram 帖子、提取 TikTok 上传日期、搜 Google Earth 无云卫星图) [L2703-2705]
- **扩展概念 BellingcatX**:独立的"调查单元"分散全球,应用同一套方法与标准但自主运作 [L2767]

## 18. 工具链 / 平台汇总(全书提及)

- **地理/卫星**:Google Earth(时间滑块、3D 视角、测量)、Google Maps、Google Street View(虚拟沿路开车)、Wikimapia(标注地图)、Yandex Maps、Panoramio(地理标注照片)、DigitalGlobe(商业卫星图)、SunCalc(照片阴影测时)
- **搜索/语言**:Google Search、Google Translate(+人工语言能力)、Yandex、Wikipedia(登记代码/词条)、reverse image search(反向图片搜索)
- **社交平台**:Twitter/Facebook/Instagram/VKontakte/Odnoklassniki/YouTube、Pixifly(按地点+时间搜 Instagram)、TrueCaller/GetContact(号码分享来电显示)、Zello(群组对讲)、WhatsApp/Telegram/Viber/ProtonMail(加密通信)
- **数据库**:泄露俄语数据库(护照/住址/车辆/航班,~100GB/千个,经 torrent)、航空公司订票数据(黑市)、运营商通话/位置元数据
- **数据/取证**:Slack(协作)、Checkdesk/Check(众包验证 app)、数字指纹(Benetech)、语音取证(法证中心)、元数据提取
- **分析/AI**:机器学习(叙利亚集束弹、坦克识别)、VR 数字记忆、视频指纹、OSINT 调度(Pandora Intelligence)
- **其它参考源**:Jane's、Uxoinfo(未爆弹药)、航空公司/航班追踪、公司登记库、法院文书、Wikimapia

## 19. 完整调查工作流(从事件到结论)

1. **假设**:线上说法只是假设(hypothesis),须以他人可独立佐证的证据验证——"把科学方法用于新闻" [L1015]
2. **收集**:监控社交平台频道、主动"草堆找针"(搜通用词/缩写)、众包(Twitter/Checkdesk)、爬取公开源、必要时入泄露数据库/黑市 [L306][L1103][L1964]
3. **验证**:地理定位(地标→Google Earth 多图→阴影/太阳)、时间线(SunCalc、YouTube 时间戳时区)、身份(语音/人脸"地标"、号码反查)、反向图片、元数据、多线索聚类 [L859][L1127][L1243]
4. **分析**:交叉对照、排除法、网络图、AI 处理海量数据、媒体/同行独立复现 [L342][L1455][L2430]
5. **发布**:透明化(声明来源)、证据可点击核验、答辩权、法律复核;发布前考虑受害者与司法配合 [L1485][L1331][L2635]