作者：楊猛 （來源騰訊大家）
世界上最好的在線遊戲：追蹤殺手，也調查沖
10月Bellingcat發佈了一份引起關注的報告，宣布調查出了今年3月毒殺前間諜斯克里帕爾的兩名俄羅斯殺手的真實身份。Bellingcat的調查主要在線上進行，這引起了我的好奇，這支「鍵盤游擊隊」具體是如何行動的？對於記者來說，線上調查有沒有技術門檻？
先回顧下劇情。
今年3月4日，英國南部小城索爾茲伯里，66歲的斯克里帕爾眼朝天空，雙手抽動。他的女兒尤利婭倚在他的身上，也失去知覺。
斯克里帕爾是前俄羅斯軍事情報局間諜，曾向英國反間諜機構軍情六處（MI6）提供情報，為此被俄羅斯判了13年監禁，2010年在一項囚犯交換項目中獲釋，並獲英國政治庇護，定居在索爾茲伯里。
英國當局證實父女兩人受到了神經毒劑的攻擊。軍情六處負責人說，兩人受到「有目標的襲擊」，毒物是前蘇聯產的諾威紹爾克系化學武器。首相特蕾莎·梅表示，俄羅斯「非常可能」要對斯克里帕爾中毒行為負責。
這種指控聽上去有些模稜兩可。俄羅斯第一時間就予以否認，外交部發言人薩哈洛娃指出，倫敦是在散布「童話」。
時間到了9月5日，特蕾莎·梅在議會報告說，經警方確認，發起神經毒劑攻擊的是兩名俄軍事情報人員：年約40歲的佩特羅夫（Alexander Patrov）和波許羅夫（Ruslan Boshirov）。她表示兩人是軍事情報機構「格魯烏」（GRU）的探員，3月2日抵達英國時被監視器拍下畫面，接下來的兩天內兩次前往索爾茲伯里，3月4日兩人出現在受害者斯克里帕爾家附近，同一天兩人從倫敦搭乘飛機返回莫斯科。
佩特羅夫（Alexander Patrov）和波許羅夫（Ruslan Boshirov）
可想而知，英國政府在案發半年的時間裏調閱了大量的監控信息，才鎖定了兩名嫌疑人的影像。但是，僅掌握了出入境信息和在案發地逗留的視頻還不具備足夠說服力。最關鍵的就是如何證明這兩人的特工身份，這是英國公布的信息所欠缺的——也許不便公布？
果然，俄羅斯方面已經做足了準備。兩名男子9月13日現身俄羅斯國家電視台，自稱是健身營養品產業員工，兩人去拜訪索爾茲伯里這個「很棒的小鎮」，因天氣不好一小時後就離開了。至於為何出現在斯克里帕爾家附近？佩特羅夫和波許羅夫一臉無辜地表示，並不清楚那人是誰。還希望倫敦道歉，還兩人以清白。
現在外界仍然對案情一頭霧水，也認為英國拿出的指控欠缺一些力度。這讓人想起12年前的俄叛逃特工鉈中毒事件。2006年11月1日，同樣由俄羅斯叛逃至英國的間諜利特維年科在倫敦喝了一杯毒茶喪命，經過近10年調查，英國專家們才得出結論。對於渴望真相的公眾來說，這個過程太過漫長，壞人都變老了。
現在輪到Bellingcat登場了。作為一個民間調查網站，它擁有一支遍布全球的志願者團隊。英國警方於9月6日發佈的閉路電視視頻公布了兩名嫌疑人的姓名和畫像之後，Bellingcat和曾經屢次合作的俄羅斯拍檔The Insider再度聯手，首先通過一些俄羅斯數據網搜索這些信息，9月14日就有了一些發現。
Bellingcat調取了俄羅斯國際航空公司的客運清單，這個清單會記錄下每位乘客的預訂、登記和登機時間。他們發現：佩特羅夫和波許羅夫在2018年3月1日晚上8時，也就是前往倫敦和索爾茲伯里的前一刻才進行了首次網上查詢，然後馬上訂購了機票——這種最後一分鐘制訂的出行計劃很不正常，再加上連續預定了兩趟回程航班，顯示不是為「旅遊」而更像是執行緊急任務。
Bellingcat的俄羅斯拍檔通過特別渠道獲得了佩特羅夫的護照檔案，這種檔案一般是不公開的，因此可信度很高，檔案上的照片和此前公布的圖像很像，檔案顯示此人全名叫Alexander Yevgenievich Petrov，1979年7月13日出生在俄羅斯北部的小鎮。
Bellingcat率先披露了第一名嫌疑人的護照文件信息。之後其他媒體也紛紛效仿，獲取並披露了第二名嫌疑人波許羅夫的護照文件。
Bellingcat發現，佩特羅夫和波許羅夫護照上的信息，只有尾數3個數字不同，之前Bellingcat和Insider曾調查並報告了2014年被波蘭驅逐的俄羅斯間諜案。將那人的護照與佩特羅夫和波許羅夫護照號碼進行比較發現，這些號碼來自同一批次。兩名嫌疑人的護照具有相同特徵，比如上面都寫着「S.S.」——俄語「絕密」的縮寫。這意味着他們不是普通公民，而且護照是由一個特殊機構簽發的。
Bellingcat注意到，兩人的檔案上還有一組相同的數字號碼，跟GRU總部有關。
Bellingcat懷疑佩特羅夫和波許羅夫也許並非兩人的真名。現在他們改變了思路，先假設這兩人確實是GRU官員，大致40歲。Bellingcat聯繫了一批前俄羅斯軍官，軍官們證實，這個年齡段的畢業年份約在2001年至2003年，這個時期GRU招募的畢業生大都出自遠東的一所軍事指揮學院。
Bellingcat在該學院的官網上發現了2018年發佈的一組照片，提到「七名畢業生被授予俄羅斯英雄獎」，其中最右邊的人酷似波許羅夫。
他們以該學院的縮寫「DVOKU」、「英雄」等關鍵詞進行搜索，相關聯的信息都指向了一個叫切皮加（Chepiga）的人，疑為波許羅夫的本名。
Bellingcat使用了一些泄露的俄羅斯城市住宅和電話數據庫，在2003年的數據庫中，切皮加的信息中含有的電話號碼，指向了GRU位於遠東的一個軍事單位；在2012年的數據庫中，切皮加居住地在莫斯科，生日是1979年4月5日。
為了確定切皮加就是波許羅夫，Bellingcat又從兩個獨立的來源獲得了切皮加的護照文件中的摘錄，因此確定了英國當局公布的「波許羅夫」實際是切皮加上校。
根據掌握的信息，Bellingcat為切皮加上校拼湊了一幅畫像：1979年出生於俄中邊境的遠東村莊。18歲時就讀於離家40公里的軍事指揮學院。2001年以優異成績畢業。隨後被派往俄羅斯最東部城市哈巴羅夫斯克服役，切皮加上校被三次部署到車臣執行特殊任務，在服役期間獲得了20多個軍事獎勵。已婚，有一個孩子。
Bellingcat認為，在2003年到2010年之間的某個時刻，切皮加上校被分配了一個新身份「波許羅夫」。
2014年12月，切皮加上校被授予俄羅斯最高國家獎。很多母校都會沾沾自喜把畢業生的成績羅列在自己的網站上。Bellingcat正是通過這個途徑獲得了他的圖像，並順藤摸瓜發現了的「波許羅夫」真實身份：GRU上校切皮加——Bellingcat於9月20日發佈的這個調查，比英國政府的指控更具體。
現在Bellingcat決定追查另一個嫌疑人「佩特羅夫」。
「佩特羅夫」在網絡上的足跡比「波許羅夫」更少，也更難查。Bellingcat留意到「佩特羅夫」曾有過1999年在聖彼得堡獲得護照的記錄。於是聚焦聖彼得堡，利用泄露的幾十個數據庫，根據「佩特羅夫」和生日「1979年7月13日」的組合進行搜索，檢索到當事人2003年到2006年居住的一個地址。這個地址還附有一個已經不再使用的電話。
Bellingcat發現，在2003年和2006年的數據庫中，至少有8名居民註冊使用了同一個電話號碼。這個發現表明，他們可能使用過同一所公寓。分析「佩特羅夫」當時的年齡在18到24歲之間，因此懷疑是一間大學生公寓。
通過Google地圖，Bellingcat發現這個電話的註冊地址，跟護照上的警局地址，兩者僅僅相隔1.6公里。
使用聖彼得堡居民的開源在線數據庫，Bellingcat確定了30多名曾經住在這個地址的人的信息。再反向調查這些人的社交賬號，發現共同點是都將一所軍事醫學院——簡稱「VMEDA」——列為母校。Bellingcat基本確定或者假設他們都是同一所學校的畢業生，所以多人在同一地址註冊，且曾經擁有同一部電話號碼。
這些人當中，Bellingcat鎖定了一個叫米什金（Mishkin）的可疑人。他們假設米什金就是「佩特羅夫」，隨後在一個2003年的汽車保險數據中，找到了使用這個電話和米什金這個名字的歷史登記信息。
該人名下的沃爾沃汽車最初於2012年在聖彼得堡註冊，並於2013年9月11日轉移到莫斯科。而在莫斯科的登記地址與GRU總部位於同一地區，這一發現增加了來自聖彼得堡的米什金是「佩特羅夫」的可能性。
為避免「純屬巧合」，Bellingcat又從俄羅斯網站購買了一份2014年的汽車保險數據庫，搜索那輛沃爾沃汽車的所有者，地址顯示正是GRU總部。此外，由於出生日期和姓名完全重疊，Bellingcat得出結論，此人就是2002年在聖彼得堡的VMEDA學院讀書的米什金。
通過俄羅斯的社交網絡，Bellingcat聯繫了VMEDA數百名2001-2007年的畢業生。一位要求完全匿名的人向Bellingcat證實，米什金確實畢業於該學院，還表示他們已經從俄羅斯電視台的採訪中認出了「佩特羅夫」就是米什金。
為了對調查結果進行最終驗證，Bellingcat和其在俄羅斯的調查夥伴The Insider派了一名記者，前去米什金的老家。村民都認出了這個人，其中一個人告訴記者米什金是她兒子的幼年朋友。此外，至少有五位居民告訴記者，他們知道米什金是一名軍醫，幾年前曾獲得過俄羅斯英雄獎，獲獎與執行秘密任務有關。
至此，Bellingcat為第二名嫌疑人拼湊了一幅畫像：1979年7月13日出生，曾在精英軍事醫學院學習並畢業，並接受過海軍的軍事訓練，被GRU招募，2010年左右搬到莫斯科，在那裡獲得新的秘密身份「佩特羅夫」。直到2014年9月初，米什金在莫斯科的註冊家庭住址是GRU總部的地址。
2018年10月8日，Bellingcat公布了第二名嫌疑人「佩特羅夫」——米什金的真實信息。他們還調查出，兩人的家庭住址都曾經是GRU總部的地址。這並不意味着兩人居住在GRU總部，只是意味着他們的實際居住地是保密的。2014年秋季，米什金和切皮加搬進了一所高檔公寓，顯示在獲得最高獎章後，贏得了豐厚的實物報酬。
Bellingcat從9月開始進行調查，至10月8日公布出了一份完整報告，整個過程只花費了幾周時間，結論也很令人信服。之前，英國政府在案發半年後公布了兩個嫌疑人的視頻，但是證據似乎並不充分。等到Bellingcat的報告出爐，因為證據鏈紮實，質疑的聲音就基本消失了。
艾略特·希金斯（Eliot Higgins，Bellingcat的創始人）說，「最大的問題是在線查找所有分散的數據庫和文檔，並將各種線索拼湊在一起」。他認為，其中最關鍵的技術是谷歌搜索，「它有很多人都沒有想到的功能，是非常強大的搜索工具」。
可以看出，Bellingcat調查中所使用的「在線開源調查」，使用了包括社交媒體帳戶，在線視頻，Google地球上的衛星圖像和Google街景圖像，在線數據庫，還包括利用了大量泄露的數據網等等，實際上是在線的任何內容。從一堆眼花繚亂的事實中，把一個新的東西清清楚楚地指認出來，這就是思維的力量。這個過程中，大膽假設，小心求證，對嫌疑人的身份進行交叉比對，隨着信息的逐步擴大，提高了準確度，鎖定了嫌疑人的身份。
同時，傳統的線人也起到了關鍵作用。Bellingcat通過不可言說的渠道，獲得了嫌疑人護照頁面的掃描副本，上面揭示了很多關鍵信息，特別是個人照片，而「一張照片價值千言萬語」，由於安全問題，Bellingcat對其消息提供者完全匿名和保密。
艾略特介紹說，他自己其實是自學成才，以前在公司做行政管理。2011利比亞衝突中，各種謠言滿天飛，真相難求，「我認為這是媒體的失敗，於是決定自己親自去調查」。
他意識到利用在線開源信息追查真相的優勢。「一個很好的例子是調查美國在阿富汗和敘利亞的空襲。在阿富汗，使用社交媒體的人很少，特別在農村地區更少。所以當有報道說美國轟炸一場婚禮或一個滿是平民的房子時，你能獲得的在線開源信息總是很少。在敘利亞，美國主要轟炸ISIS所在的地區，因為ISIS控制着他們的地盤上使用互聯網的人民，因此網上的信息也很少。但是當美國轟炸敘利亞一個非ISIS的反政府武裝控制區的清真寺時，這些行動將會被大量記錄，因為他們會大量分享至社交媒體。」
這個時候就是Bellingcat這支鍵盤游擊隊盡情表演的時刻了，他們會在海量的在線信息中，篩選、甄別、梳理各種線索，尋找唯一的真相，讓數據講故事。「這個時候儘管美國聲稱轟炸的是一個基地組織的會場，你也有可能證明其實他們轟炸的就是一座清真寺。」
在斯克里帕爾毒殺案調查之前，Bellingcat最知名的故事可能就是對於2014年7月17日對在烏克蘭東部被擊落的馬來西亞航空MH17航班的調查工作。「我們不光發現了擊落飛機的俄羅斯導彈發射器， 還有發射的軍事單位的詳細信息，包括士兵的具體身份。我們還展示了 虛假信息如何發佈，以及謊稱是烏克蘭故意將飛機定向至一個危險區域，並偽造衛星圖像。」
Bellingcat的標誌像是一個倒置的問號，艾略特說也像一隻簡化的鐘和貓——寓意破案和警覺？成立之初，Bellingcat只有艾略特·希金斯一個人，他使用眾籌平台Kickstarter籌集了不到51000英鎊啟動資金。隨着知名度的提升，現在已經有了10名全職員工和12名志願者，以及社交媒體上廣泛活躍的Bellingcat社區。
在我看來，Bellingcat扮演的其實就是記者的角色，只是它除了運用常規的調查手段，主要利用了在線開源調查和眾包的方式，利用其分佈廣泛的粉絲協助進行調查，拓展了調查的方式。
「技術在不斷變化，我們不斷尋找新的在線開源調查方法。」艾略特·希金斯說，Bellingcat的最終目標是將在線開源調查的使用範圍擴展到儘可能廣泛的領域，從人權調查到公民調查。在既往的工作中，他們不僅使用廣泛的在線資源調查出了一名墨西哥毒梟最喜歡的手錶——根據毒梟在Instagram發的帖子，還調查了敘利亞和烏克蘭發生的軍事衝突，此外，Bellingcat也在調查一些國家的腐敗官員和企業。
「通常我們會特別留意這些調查對象或其家庭成員在社交媒體上泄露的信息，你可以通過識別他們穿的衣服，戴的珠寶和手錶品牌，對於其官方收入是不是太貴，以此發現是否有腐敗的線索。」——這聽上去很熟悉，有此癖好的腐敗分子要當心了。
他表示，Bellingcat使用的許多技能和方法都非常簡單，但他們花了很多時間來研究某些事情。一個好的調查員多少都要有點強迫症。通常，真正的限制來自於調查員是否具有耐心和想像力，就像福爾摩斯一樣，沉浸在破案之中的時候，好像進入到一場高手對決的遊戲當中。
艾略特自豪地說：「現在我找到了世界上最好的在線遊戲，比任何可以贏取經驗值和黃金的電腦遊戲都更加刺激。」
