Open Source Signal Weekly

Editorial frame

What this is: A Sunday weekly magazine for Week 40, developing Daily #118–#122 and Saturday Tool Radar #123 into seven editorial sections.

What this is not: A mechanical merge, battlefield targeting product, private-person deanonymization workflow, or permission to turn one witness, database row, sanction, video frame or metadata field into a final factual or legal status.

Rubric map

📡 Signal of the Week / Головний сигнал тижня

🇺🇦 Ukraine Lens / Українська оптика

⚖️ War Crimes Verification / Верифікація воєнних злочинів

🕯️ Losses, Captivity & Missing / Втрати, полон, зниклі

🧰 Tradecraft / Методика

🛠️ Tools / Datasets / Інструменти й набори даних

⚠️ Risk Watch / Межі й ризики

Editorial note

The week's core rule is to model verification as a chain of state transitions. Preserve event time, observation time, confirmation time and ingest time separately; preserve the source-side trigger for every status change; and never let a later, stronger state silently erase the evidence path that produced it.

📡 Signal of the Week Головний сигнал тижня

#01

The strongest OSINT this week came from tracking state transitions, not collecting more facts

Coordination Headquarters for the Treatment of Prisoners of War · 29 September and 1 October; Ministry of Defence of Ukraine · 28 September; BBC Russian / Mediazona · 2 October 2026

What happened

Ukraine's Coordination Headquarters described POW/MIA verification as a process built from released-prisoner testimony, ICRC data, military units, state institutions and later evidence. Its August interviews with 113 released defenders produced 1,062 new structured records, including confirmations, corrections and first-time location findings. Separately, the Defence Ministry instructed military units not to stop family payments merely because a body had been identified; a legally relevant status-changing record was still required. BBC Russian and Mediazona then showed the same problem in casualty data: 22,358 names were added in a month, but 18,657 were long-missing personnel whose bodies were found later rather than newly killed troops from that month.

Why it matters

The recurring analytical error is status inflation: a lead becomes a confirmation, a confirmation becomes a legal status, or a database ingest date becomes an event date.

How to use it

Model each change as an event: old state → new state, with trigger source, event time, observation time, confirmation time, ingest time and confidence.

Limits

Different institutions use different legal and operational vocabularies; the transition model is a workflow discipline, not a claim that all systems share identical categories.

Найсильніший OSINT цього тижня виникав із відстеження переходів між статусами, а не з накопичення фактів

Координаційний штаб з питань поводження з військовополоненими · 29 вересня та 1 жовтня; Міноборони України · 28 вересня; Російська служба BBC / «Медіазона» · 2 жовтня 2026

Що сталося

Коордштаб описав верифікацію полону й зникнення як процес, побудований зі свідчень звільнених, даних МКЧХ, військових частин, державних установ і пізніших доказів. Серпневі опитування 113 звільнених захисників дали 1 062 нові структуровані записи, включно з підтвердженнями, виправленнями та вперше встановленими місцями. Окремо Міноборони зобов'язало військові частини не припиняти виплати родинам лише через впізнання тіла: для зміни юридично значущого статусу потрібен відповідний запис. Російська служба BBC і «Медіазона» показали ту саму проблему в даних про втрати: за місяць додалося 22 358 імен, але 18 657 із них були військовими, які давно числилися зниклими й чиї тіла знайшли пізніше, а не загиблими саме в цьому місяці.

Чому це важливо

Повторювана аналітична помилка — роздування статусу: зачіпка стає підтвердженням, підтвердження — юридичним статусом, а дата внесення до бази — датою самої події.

Як це застосувати

Моделюйте кожну зміну як подію: старий стан → новий стан, із джерелом-тригером, часом події, спостереження, підтвердження, внесення до системи та confidence.

Обмеження

Різні установи використовують різні юридичні й операційні словники; модель переходів — це дисципліна workflow, а не твердження про тотожність категорій у всіх системах.

weeklystatus-transitionstemporal-semanticsverification-chain

🇺🇦 Ukraine Lens Українська оптика

#02

From strike to outage: infrastructure impact became a measurable chain rather than one headline

Reuters / Ukrainian authorities · 27 September–1 October; Kyivstar; Ukrainian energy and municipal authorities

What happened

The week began with strikes on Kyivstar's headquarters and data-centre and communications infrastructure, alongside reported outages affecting about 100,000 households from attacks during the preceding week. September 30 strikes killed three people, including a child, and injured seven in Kyiv and the surrounding region. On October 1 a drone hit a Kyiv school while more than 100 pupils were in shelter; Reuters said it verified CCTV of the impact. Emergency power cuts, public-transport disruption and lower water pressure after the September 30 attack showed how physical damage propagated into service effects.

Why it matters

The useful analytical unit is incident → physical damage → operator or facility status → service degradation → affected population → restoration.

How to use it

Keep each incident and service layer separate, with geography and timestamps. Do not infer national or citywide outage from a strike on one operator or site.

Limits

Early casualty and damage assessments can change; some strike details remain dependent on official Ukrainian reporting even when visible impact is independently verified.

Від удару до відключення: інфраструктурний вплив став вимірюваним ланцюгом, а не одним заголовком

Reuters / українські органи влади · 27 вересня–1 жовтня; Kyivstar; українські енергетичні та міські служби

Що сталося

Тиждень почався з ударів по штаб-квартирі Kyivstar та інфраструктурі дата-центрів і зв'язку, на тлі повідомлень про перебої приблизно для 100 000 домогосподарств унаслідок атак попереднього тижня. Удари 30 вересня вбили трьох людей, серед них дитину, і поранили сімох у Києві та області. 1 жовтня дрон влучив у київську школу, коли понад 100 учнів перебували в укритті; Reuters повідомив, що перевірив CCTV моменту удару. Екстрені відключення електроенергії, перебої громадського транспорту та зниження тиску води після атаки 30 вересня показали, як фізичне пошкодження переходить у сервісний ефект.

Чому це важливо

Корисна аналітична одиниця: інцидент → фізичне пошкодження → стан оператора чи об'єкта → деградація послуги → постраждала популяція → відновлення.

Як це застосувати

Ведіть кожен інцидент і сервісний шар окремо, з географією та часовими мітками. Не виводьте загальнонаціональний чи міський outage з удару по одному оператору або об'єкту.

Обмеження

Ранні оцінки жертв і пошкоджень можуть змінюватися; частина деталей ударів залежить від офіційних українських повідомлень навіть тоді, коли видимий наслідок незалежно перевірено.

weeklyukraine-lensinfrastructurecivilian-harmservice-impact

⚖️ War Crimes Verification Верифікація воєнних злочинів

#03

Occurrence, attribution and legal responsibility stayed separate even when the evidence became stronger

Council of the European Union · 28 September; T4P database · September 2026; Reuters · 1 October 2026

What happened

The EU added sanctions against 10 people and 17 entities it says are responsible for the unlawful deportation, forcible transfer and forced assimilation of Ukrainian children. T4P's public database passed 121,000 documented probable war-crime incidents while explicitly warning that its coverage is incomplete. Reuters' verification of CCTV from the October 1 Kyiv-school strike independently strengthened the occurrence evidence for that event while still leaving intended target, weapon attribution and legal classification as separate questions.

Why it matters

A sanctions listing is a legal measure, a database record is an investigative record, verified video is occurrence evidence, and a criminal judgment is something else again.

How to use it

Store evidence class and authority beside every record; increase the strength of a claim only when the relevant evidentiary or legal threshold has actually changed.

Limits

Large incident databases are not complete censuses, and sanctions do not substitute for judicial findings.

Факт події, атрибуція та юридична відповідальність лишалися окремими навіть тоді, коли докази ставали сильнішими

Рада Європейського Союзу · 28 вересня; база T4P · вересень 2026; Reuters · 1 жовтня 2026

Що сталося

ЄС запровадив санкції проти 10 осіб і 17 організацій, яких вважає відповідальними за незаконну депортацію, примусове переміщення та асиміляцію українських дітей. Публічна база T4P перевищила 121 тисячу задокументованих імовірних інцидентів воєнних злочинів, прямо попереджаючи про неповноту охоплення. Верифікація Reuters CCTV удару по київській школі 1 жовтня незалежно посилила доказ самого факту події, але задуману ціль, атрибуцію засобу ураження та юридичну кваліфікацію лишила окремими питаннями.

Чому це важливо

Санкційний запис є правовим заходом, запис у базі — слідом розслідування, перевірене відео — доказом факту події, а кримінальний вирок — ще іншим станом.

Як це застосувати

Зберігайте клас доказу та компетентний орган поруч із кожним записом; посилюйте твердження лише тоді, коли реально змінився відповідний доказовий або юридичний поріг.

Обмеження

Великі бази інцидентів не є повним переписом, а санкції не замінюють судового висновку.

weeklywar-crimessanctionst4pevidence-class

🕯️ Losses, Captivity & Missing Втрати, полон, зниклі

#04

POW, MIA and casualty records are timelines, not labels

Coordination Headquarters for the Treatment of Prisoners of War · 29 September and 1 October; Ministry of Defence of Ukraine · 28 September; BBC Russian / Mediazona · 2 October 2026

What happened

Released-prisoner testimony generated measurable record changes: 608 location-related entries, 416 confirmed detention locations, 155 clarified or changed locations, 37 locations established for the first time and 125 health-status records. Ukraine's Defence Ministry separately distinguished body-identification documentation from the official record required to change payment status for a missing service member. On the Russian side, BBC Russian and Mediazona put their named list at 266,032 deaths; 18,657 of the 22,358 names added in the previous month were retrospective cases of long-missing troops whose bodies were found later. In a sample of 10,000 such cases, remains were found on average 150 days after death and documentary registration followed on average 236 days after death.

Why it matters

Monthly database growth is an ingest metric unless the underlying event dates are aligned. The same distinction applies to captivity, missing-person and death status.

How to use it

Preserve the full status history and separate event date, recovery date, witness date, legal registration date and database-ingest date.

Limits

Named open-source casualty lists are documented floors rather than complete mortality totals; witness-derived records also require corroboration and competent status change.

Записи про полонених, зниклих і загиблих — це часові лінії, а не ярлики

Коордштаб · 29 вересня та 1 жовтня; Міноборони України · 28 вересня; Російська служба BBC / «Медіазона» · 2 жовтня 2026

Що сталося

Свідчення звільнених дали вимірювані зміни записів: 608 записів про місця перебування, 416 підтверджених місць утримання, 155 уточнених або змінених місць, 37 місць, встановлених уперше, та 125 записів про стан здоров'я. Міноборони України окремо розвело документи про впізнання тіла й офіційний запис, потрібний для зміни статусу виплат щодо зниклого військовослужбовця. З російського боку BBC Russian і «Медіазона» довели поіменний список до 266 032 загиблих; 18 657 із 22 358 імен, доданих за попередній місяць, були ретроспективними випадками давно зниклих, чиї тіла знайшли пізніше. У вибірці з 10 тисяч таких випадків останки знаходили в середньому через 150 днів після смерті, а документальна реєстрація відбувалася в середньому через 236 днів.

Чому це важливо

Місячний приріст бази є метрикою внесення записів, доки не узгоджено дати самих подій. Те саме стосується статусів полону, зникнення та смерті.

Як це застосувати

Зберігайте повну історію статусу й розділяйте дату події, виявлення останків, свідчення, юридичної реєстрації та внесення до бази.

Обмеження

Поіменні списки за відкритими джерелами є задокументованою нижньою межею, а не повною смертністю; записи зі свідчень також потребують corroboration і компетентної зміни статусу.

weeklypowmiacasualtiesbackfillstatus-history

🧰 Tradecraft Методика

#05

Build a status ledger instead of silently overwriting the latest value

Method derived from Daily #119–#122 and the verification patterns documented by Ukrainian institutions and open-source casualty projects

What happened

Across missing-person payments, POW testimony, casualty backfill, child-return figures, strike verification and infrastructure effects, the week repeatedly exposed the weakness of storing only one current value. A record becomes auditable when each transition retains the old state, new state, trigger source, evidence type, relevant timestamps and uncertainty.

Why it matters

A final status without its path hides contradictions, delays and source changes — exactly where many OSINT errors originate.

How to use it

Recommended minimum transition object: entity or incident ID; old state; new state; event time; observation time; confirmation time; ingest time; trigger source; evidence class; confidence; reviewer note.

Limits

This is an editorial data model, not a substitute for institution-specific legal procedure or evidentiary rules.

Будуйте журнал статусів замість тихого перезапису останнього значення

Метод виведено з Daily #119–#122 та патернів верифікації, описаних українськими установами й проєктами обліку втрат за відкритими джерелами

Що сталося

У виплатах родинам зниклих, свідченнях про полон, backfill втрат, статистиці повернення дітей, верифікації ударів та інфраструктурних наслідках тиждень постійно показував слабкість моделі, де зберігається лише одне поточне значення. Запис стає придатним до аудиту, коли кожен перехід зберігає старий стан, новий стан, джерело-тригер, тип доказу, релевантні часові мітки та невизначеність.

Чому це важливо

Остаточний статус без шляху до нього приховує суперечності, затримки та зміни джерел — саме там часто виникають OSINT-помилки.

Як це застосувати

Рекомендований мінімальний об'єкт переходу: ID особи або інциденту; старий стан; новий стан; час події; спостереження; підтвердження; внесення; джерело-тригер; клас доказу; confidence; примітка reviewer-а.

Обмеження

Це редакційна модель даних, а не заміна процедур і правил доказування конкретної установи.

weeklytradecraftstatus-ledgeraudit-trailprovenance

🛠️ Tools / Datasets Інструменти й набори даних

#06

The best tools this week exposed evidence and uncertainty instead of manufacturing a verdict

Saturday Tool Radar #123 · Web-Check 2.3.0; Waypoint; ArchiveBox 0.9.71; Archive Scout; Origin

What happened

Web-Check 2.3.0 expanded self-hosted website inspection and added provenance and SBOM attestations to its own container image. Waypoint exposed ranked geolocation candidates, confidence and intermediate evidence instead of one opaque coordinate. ArchiveBox preserved live sources into multiple local formats for later audit. Archive Scout focused on resumable public Wayback discovery and scanning. Origin read C2PA Content Credentials entirely in-browser while explicitly separating signer claims, cryptographic integrity and trust status.

Why it matters

Analyst-controlled tools fit the week's evidence model: candidate, snapshot, credential and infrastructure indicator are intermediate states, not truth labels.

How to use it

Preserve raw outputs, timestamps, tool version and provenance. Require an independent corroboration step before promoting a tool result into a factual claim.

Limits

Tool confidence, valid metadata or a signed credential cannot by themselves prove the underlying event, identity, location or narrative.

Найкращі інструменти тижня показували докази й невизначеність замість виробляти вердикт

Saturday Tool Radar #123 · Web-Check 2.3.0; Waypoint; ArchiveBox 0.9.71; Archive Scout; Origin

Що сталося

Web-Check 2.3.0 розширив self-hosted аналіз сайтів і додав provenance та SBOM attestations до власного контейнерного образу. Waypoint показує ранжованих кандидатів геолокації, confidence та проміжні докази замість однієї непрозорої координати. ArchiveBox зберігає живі джерела в кількох локальних форматах для подальшого аудиту. Archive Scout орієнтований на відновлюваний пошук і сканування публічних копій Wayback. Origin читає C2PA Content Credentials повністю в браузері й явно розділяє заяви підписанта, криптографічну цілісність і статус довіри.

Чому це важливо

Інструменти під контролем аналітика відповідають доказовій моделі тижня: candidate, snapshot, credential та інфраструктурний індикатор є проміжними станами, а не ярликами істини.

Як це застосувати

Зберігайте сирі результати, часові мітки, версію інструмента та provenance. Перед перетворенням результату інструмента на фактичне твердження вимагайте незалежної corroboration.

Обмеження

Confidence інструмента, валідні метадані чи підписаний credential самі по собі не доводять подію, особу, місце або наратив.

weeklytoolsprovenancegeolocationarchivingc2pa

⚠️ Risk Watch Межі й ризики

#07

Verification does not create permission to disclose

Reuters · 30 September and 2 October; OpenOSINT 2.29.1 · 1 October 2026

What happened

South Korea and Ukraine publicly disputed whether the transfer of two North Korean POWs was covered by a confidentiality understanding. Seoul also said it made no military-aid pledge in exchange for receiving the two men. The case showed that physical transfer, an alleged quid pro quo, confidentiality, consent and safe public disclosure are separate questions. Separately, OpenOSINT 2.29.1 fixed a web-UI weakness showing that localhost tooling still belongs inside the investigator's threat model because another website open in the same browser could previously drive requests to the local server.

Why it matters

Public-interest verification answers whether a claim is supported; it does not automatically answer whether every supported detail should be published.

How to use it

Apply data minimisation and a disclosure threshold after verification. Keep identity, destination, timing, family risk and operational sensitivity as separate publication decisions.

Limits

The existence of a confidentiality agreement in the North Korean POW case remained disputed by Seoul and Kyiv; the weekly does not resolve that dispute.

Верифікація не створює автоматичного дозволу на розкриття

Reuters · 30 вересня та 2 жовтня; OpenOSINT 2.29.1 · 1 жовтня 2026

Що сталося

Південна Корея та Україна публічно сперечалися, чи була передача двох північнокорейських військовополонених охоплена домовленістю про конфіденційність. Сеул також заявив, що не обіцяв військової допомоги в обмін на прийняття цих двох людей. Кейс показав, що фізична передача, alleged quid pro quo, конфіденційність, згода людини та безпечний рівень публічного розкриття — різні питання. Окремо OpenOSINT 2.29.1 виправив уразливість web-інтерфейсу, нагадавши, що localhost-інструменти теж входять до threat model дослідника: раніше інший сайт, відкритий у тому самому браузері, міг керувати запитами до локального сервера.

Чому це важливо

Верифікація в суспільному інтересі відповідає на питання, чи підтверджене твердження; вона не відповідає автоматично, чи слід публікувати кожну підтверджену деталь.

Як це застосувати

Після верифікації застосовуйте мінімізацію даних і окремий disclosure threshold. Особу, місце призначення, час, ризики для родини та операційну чутливість оцінюйте як окремі рішення про публікацію.

Обмеження

Існування домовленості про конфіденційність у справі північнокорейських полонених лишалося предметом спору між Сеулом і Києвом; Weekly не вирішує цю суперечку.

weeklyrisk-watchprivacypowopsecdata-minimisation

🧭Evidence model / Модель доказів

Separate event time from record time

Track event, observation, confirmation and ingest timestamps separately.
Treat witness statements, database rows and tool outputs as typed evidence states.
Promote status only on an explicit source-side trigger.

🗂️Weekly workflow / Робочий процес

Preserve the chain, not only the latest value

Store old state → new state with source, evidence class and confidence.
Never rewrite ingest growth as current-period event growth without date alignment.
Archive raw source and tool output before interpretation.

🛡️Safety line / Межа безпеки

Verification is not permission to disclose

Apply data minimisation after verification, not before it.
Do not publish sensitive person-level fields merely because they are known.
Do not turn tool confidence, sanctions, registry inclusion or witness evidence into culpability or final status without the missing evidentiary step.

Reading List

Coordination Headquarters — results of work with defenders released in August — Structured witness-derived POW/MIA record changes.
BBC Russian / Mediazona — casualty backfill and missing-person lag — Why database growth is not period mortality.
Reuters — Kyiv school strike and verified CCTV — Occurrence evidence separated from intent and legal classification.
Children of War — current Ukrainian child-status snapshot — Aggregated indicators from different institutional processes.
Reuters — South Korea–Ukraine dispute over North Korean POW disclosure — Confidentiality and minimum-necessary disclosure.
Waypoint — local image-geolocation candidate pipeline — Ranked candidates and uncertainty rather than one opaque answer.
ArchiveBox 0.9.71 — Reproducible local source capture.
Origin — browser-local C2PA verifier — Separates signer claim, cryptographic integrity and trust state.