OSINT è l'acronimo inglese di Open Source Intelligence: l'attività di raccogliere e analizzare informazioni da fonti pubblicamente accessibili. Siti web, social network, registri pubblici, archivi di notizie, mappe, dati tecnici di domini e indirizzi. In informatica forense l'OSINT serve per contestualizzare una vicenda, collegare elementi sparsi e, a volte, avvicinarsi all'identità di chi si nasconde dietro un profilo o un sito. È un lavoro potente, ma anche facile da fare male.
Cosa significa "fonte aperta"
Una fonte è aperta quando chiunque può consultarla senza superare protezioni, ingannare qualcuno o violare condizioni d'uso. Un profilo pubblico, un registro consultabile, un sito accessibile senza credenziali sono fonti aperte. Un profilo privato a cui si accede con un account falso, una casella di posta di cui si è indovinata la password o un database sottratto non lo sono, e il loro uso può costituire un illecito oltre a rendere inutilizzabile il risultato.
Le fonti più utili
| Tipo di fonte | Cosa può rivelare |
|---|---|
| Dati di registrazione dei domini | Data di creazione, registrar, talvolta il titolare se non oscurato |
| DNS e certificati | Server usati, altri domini sullo stesso indirizzo, sottodomini |
| Archivi storici del web | Versioni passate di pagine e siti |
| Social network | Profili, contatti, foto, date di attività |
| Registri pubblici | Imprese, marchi, atti pubblicati |
| Motori di ricerca | Contenuti indicizzati, copie in cache, menzioni |
| Ricerca inversa di immagini | Origine di una foto e suoi riutilizzi |
Un metodo, non una serie di ricerche
Parti da una domanda
"Chi gestisce questo sito?", "Questa foto è stata scattata dove si dice?", "Questi tre profili sono collegati?". Una domanda precisa evita di accumulare informazioni irrilevanti.
Raccogli e documenta subito
Ogni risultato utile va acquisito come qualsiasi altra prova online: pagina completa, indirizzo, data e ora, hash dei file. Le fonti aperte cambiano: un profilo può essere modificato, un dominio può cambiare titolare, un post può sparire.
Collega gli elementi
Il valore dell'OSINT sta nei collegamenti: lo stesso identificativo di analisi statistica su più siti, uno stesso indirizzo email nei dati di registrazione, una foto profilo riutilizzata, uno stile di scrittura ricorrente, orari di pubblicazione coerenti con un certo fuso orario.
Verifica in modo indipendente
Ogni collegamento va confermato da almeno una seconda fonte indipendente. Un indizio isolato resta un indizio.
Gli errori di attribuzione
L'errore più grave nell'OSINT è attribuire un contenuto alla persona sbagliata. Accade più spesso di quanto si pensi:
- omonimie: nomi e cognomi comuni portano a profili di persone diverse;
- identità rubate o imitate: chi diffama qualcuno può creare profili che sembrano appartenere a un terzo;
- coincidenze tecniche: due siti sullo stesso server di un hosting condiviso non hanno necessariamente lo stesso gestore;
- dati di registrazione falsi: i dati dei domini possono essere inventati o oscurati da servizi di privacy;
- conferme circolari: più fonti che in realtà copiano la stessa informazione originale.
Per questo una buona relazione OSINT distingue con chiarezza tra fatti accertati, collegamenti probabili e semplici ipotesi, indicando per ciascuno su quali fonti si basa.
Un esempio
Un sito anonimo pubblica contenuti denigratori su un'azienda. I dati di registrazione del dominio sono oscurati. L'analisi mostra però che il sito usa lo stesso codice di monitoraggio delle visite di un blog personale, che un archivio storico conserva una vecchia versione della pagina con un indirizzo email di contatto poi rimosso, e che quell'indirizzo compare in un profilo pubblico. Ogni elemento da solo è debole; insieme e documentati, formano una base concreta da sottoporre a chi ha il potere di chiedere dati ufficiali ai fornitori.
I limiti etici e legali
L'OSINT riguarda spesso persone reali. Anche se un'informazione è pubblica, raccoglierla, aggregarla e conservarla è un trattamento di dati personali. Conviene raccogliere solo ciò che serve allo scopo, non diffondere i risultati oltre chi deve valutarli e non usare tecniche di inganno, come profili falsi per farsi accettare tra i contatti. L'obiettivo è documentare, non perseguire autonomamente qualcuno.
In sintesi
- L'OSINT raccoglie informazioni da fonti consultabili senza superare protezioni.
- Ogni risultato va acquisito e documentato come una prova online.
- Il valore sta nei collegamenti, ciascuno confermato da fonti indipendenti.
- Gli errori di attribuzione sono frequenti e possono essere gravi.
- Anche i dati pubblici vanno trattati con proporzione e riservatezza.