Chiudi gli occhi e immagina un hacker. Cosa vedi? Probabilmente un individuo incappucciato al buio, che digita furiosamente su una tastiera mentre sullo schermo scorrono cascate di codice verde stile Matrix, pronto a violare un mainframe inaccessibile.
Dimentica Hollywood. La realtà è molto più banale, e per questo, infinitamente più spaventosa.
Oggi, la maggior parte delle violazioni non inizia con un exploit zero-day complesso o con un attacco brute-force a un firewall di ultima generazione. Inizia con una ricerca su Google. Inizia con un profilo LinkedIn lasciato pubblico. Inizia con una foto su Instagram che rivela il nome del primo animale domestico.
Benvenuti nel mondo dell’OSINT (Open Source Intelligence), la disciplina che trasforma le briciole di informazioni pubbliche in un’arma (o uno scudo) formidabile. E no, non è magia nera: è metodo.
Cos’è davvero l’OSINT?
OSINT sta per Open Source Intelligence, ovvero “Intelligenza da Fonti Aperte”. A differenza dell’intelligence tradizionale (HUMINT, SIGINT), che si basa su fonti segrete, spionaggio o intercettazioni, l’OSINT si basa esclusivamente su dati pubblicamente disponibili e legalmente accessibili.
Il “segreto” degli hacker non risiede nell’accesso a database proibiti, ma nella capacità di collegare i puntini. Un singolo dato (es. un nome utente) è innocuo. Ma se quel nome utente è lo stesso su un forum di programmazione del 2015, su un account GitHub e su un profilo LinkedIn, improvvisamente abbiamo un profilo digitale dettagliato: competenze, contatti, potenziali password riutilizzate e abitudini.
L’OSINT è l’arte di trasformare il rumore di internet in informazione strutturata.
Il Ciclo di Vita dell’OSINT: Non è Solo “Googolare”
Molti confondono l’OSINT con il semplice “fare ricerche su internet”. Come professionista della sicurezza, ti assicuro che c’è una metodologia rigorosa dietro ogni operazione di ricognizione (footprinting). Il ciclo si divide in cinque fasi:
- Pianificazione e Requisiti: Prima di cercare, devi sapere cosa stai cercando. L’obiettivo è mappare l’infrastruttura di un’azienda per un penetration test? Trovare informazioni su una minaccia specifica (Threat Intelligence)? O investigare su un caso di frode?
- Raccolta dei Dati: È la fase di acquisizione. Si utilizzano motori di ricerca avanzati, archivi storici, social media, registri pubblici (camerali, brevetti), e talvolta il Dark Web (per verificare se i dati dell’azienda sono già finiti in qualche dump).
- Elaborazione: I dati grezzi sono caotici. In questa fase si puliscono, si traducono (se necessario) e si organizzano in formati leggibili.
- Analisi: Qui avviene la magia. È il momento del pivot: si usa un dato per trovarne un altro. Ad esempio, si parte dal dominio aziendale, si trova il formato delle email (nome.cognome@azienda.it), si cerca quel formato su database di leak passati (come Have I Been Pwned) e si scopre che un dipendente usa la stessa password dal 2019.
- Disseminazione: La creazione di un report d’azione. Un buon report OSINT non è un elenco di link, ma una mappa di collegamento che evidenzia le vulnerabilità e suggerisce contromisure.
La Cassetta degli Attrezzi del 2026
Il panorama degli strumenti OSINT è in continua evoluzione. Oggi, l’integrazione con l’Intelligenza Artificiale ha accelerato processi che un tempo richiedevano giorni. Ecco i pilastri della mia cassetta degli attrezzi:
- Maltego: Il re indiscusso della link analysis. Permette di visualizzare graficamente le relazioni tra persone, aziende, domini e indirizzi IP. È complesso, ma potentissimo.
- Shodan e Censys: Definiti i “motori di ricerca per l’Internet delle Cose”. Non cercano pagine web, ma dispositivi connessi: webcam, server, router industriali (SCADA) e database esposti accidentalmente su internet.
- SpiderFoot: Uno strumento di automazione eccellente. Gli fornisci un target (un dominio, un indirizzo IP, un’email) e lui interroga automaticamente oltre 100 moduli e fonti di dati pubbliche per restituirti un report completo.
- Wayback Machine (Internet Archive): Perché il web non dimentica mai. Anche se un’azienda rimuove una pagina contenente dati sensibili, è probabile che una copia cached sia ancora archiviata qui.
- Strumenti basati su LLM (Large Language Models): Nel 2026, l’uso di agenti AI per scansionare, riassumere e correlare migliaia di documenti PDF pubblici (come bilanci o bandi di gara) in pochi secondi è diventato uno standard per i professionisti del settore.
OSINT: L’Arma a Doppio Taglio
La stessa tecnica usata per proteggere può essere usata per attaccare. La differenza sta nell’etica e nell’autorizzazione.
Il Lato Oscuro: I criminali informatici usano l’OSINT per il Spear-Phishing e il Social Engineering. Se so che il CFO della tua azienda è appassionato di moto d’epoca e che sarà in ferie la prossima settimana (grazie a un post su Facebook), posso creare un’email di phishing estremamente credibile, indirizzata al suo vice, che sembra una fattura urgente di un fornitore di ricambi. L’OSINT rende l’inganno personalizzato e letale.
Il Lato Etico (Il mio lavoro): Come Ethical Hacker, utilizzo l’OSINT per fare Threat Intelligence (capire chi ci sta osservando e quali TTP – Tattiche, Tecniche e Procedure – usano), per la ricerca di persone scomparse in collaborazione con le forze dell’ordine, e soprattutto per il Digital Footprint Assessment. Aiuto le aziende a vedere se stesse con gli occhi di un attaccante, prima che l’attacco avvenga.
Etica e Legalità: La Linea Sottile
Devo fare una precisazione fondamentale, perché è l’errore più comune tra i neofiti: OSINT non è un passpartout per violare la privacy.
Anche se un’informazione è “pubblica”, il modo in cui la raccogli e la usi è soggetto a leggi severe, come il GDPR in Europa. Interagire attivamente con un target (es. inviare una richiesta di amicizia falsa per vedere i post privati) non è più OSINT, è ingegneria sociale e può configurarsi come reato.
Il vero professionista OSINT opera come un fantasma: osserva, raccoglie, analizza, ma non lascia mai un’impronta digitale sul target. E soprattutto, opera sempre entro i confini di un mandato o di un contratto di penetration test firmato e autorizzato.
Ulteriori dettagli: Come Difendersi?
La migliore difesa contro l’OSINT è la consapevolezza. Non puoi cancellare la tua presenza digitale, ma puoi ridurne la superficie di attacco.
- Fai un audit su te stesso: Cerca il tuo nome, il tuo numero di telefono e la tua email tra virgolette su Google. Usa strumenti come Have I Been Pwned.
- Pulisci i Social Media: Rendi privati i profili non professionali. Disattiva la geolocalizzazione nelle foto.
- Differenzia le identità: Non usare lo stesso nome utente (handle) per il forum di gaming, l’account bancario e la mail di lavoro. Impedisci il pivot.
- Formazione: Nelle aziende, la formazione del personale sul rischio dell’oversharing (condividere troppo) è cruciale quanto un firewall.
L’OSINT ci ricorda una verità scomoda dell’era digitale: il segreto più grande non è nascosto in un server blindato, ma è spesso pubblicato da noi stessi, in bella vista, aspettando solo qualcuno abbastanza curioso da metterlo insieme.