Cos’è l’OSINT?

OSINT è l’acronimo di Open Source INTelligence. Si tratta di un un processo di raccolta, selezione e analisi di informazioni non riservate, né acquisite tramite metodi illegali o coercitivi. Il fatto che le fonti siano “aperte” (open source, appunto) permette a chi deve acquisire le informazioni di non dover coinvolgere la persona che dispone delle informazioni, il titolare dei dati o altri soggetti, pur rispettando la normativa sulla data protection. Lo scopo dell’utilizzo dell’OSINT è quello di colmare dei divari informativi al fine di supportare l’adozione di una certa decisione di governo, di business o di altro tipo. Per le imprese in particolare, come vedremo, l’OSINT comporta rischi e opportunità che non possono essere sottovalutate.

L’OSINT si differenzia dal semplice OSD (Open Source Data) perché i dati raccolti tramite quest’ultimo procedimento sono grezzi, ad es. ricavati da mappe digitali, interazioni on line, notizie etc. I dati OSINT invece sono informazioni cercate con un certo criterio, analizzate, filtrate e sistematizzate al fine di rispondere a una specifica richiesta.

Il passo successivo è l’OSINT-V, cioè OSINT “verified”, che consiste in rapporti confezionati su target specifici, verificati e validati da esperti.

Quali sono degli esempi di OSINT?

Uno degli esempi più classici di fonti da cui parte l’OSINT è il c.d. user generated content, o UCG. Parliamo dei contenuti creati e condivisi dall’utente stesso, come i video su YouTube, i post e file multimediali dei social network, i blog, i messaggi aperti su programmi in instant messaging, etc.

Pure dai domini dei siti internet è possibile ricavare una serie di informazioni, dagli indirizzi IP, così come dalle pagine “archiviate” nel web. Lo stesso dicasi per i dati di geolocalizzazione di attività commerciali e per le informazioni aziendali che permettono di risalire alle posizioni occupate dai rispettivi lavoratori. Anche tutta la mole di open data governativi è un esempio di OSINT. Ad es. l’albo pretorio on line, ma anche rapporti governativi, dati demografici, database istituzionali (tra cui registri immobiliari, camere di commercio, albi professionali, etc.).

Inoltre, si pensi a tutta la gamma di articoli scientifici, conferenze stampa, discorsi ed eventi divulgativi in genere. Infine, sono fonti aperte tutte le informazioni contenute nei media tradizionali (podcast, radio e TV, articoli di giornali e magazine online).

Come funziona l’OSINT?

La difficoltà principale consiste nel separare il “rumore” dal “segnale”, per usare delle categorie rese note da Nate Silver:

“Tutti i giorni, tre volte al secondo, noi produciamo l’equivalente delle quantità di dati contenuti nell’intera collezione a stampa della Biblioteca del Congresso. È in massima parte rumore irrilevante. Perciò, se non avete tecniche adeguate per filtrare e processare le informazioni, vi troverete in difficoltà”.

Pertanto, occorre prima di tutto procedere a una “sanitizzazione” delle fonti. Una volta eliminato il rumore è fondamentale procedere all’analisi dei dati. In particolare, l’OSINT si articola in diverse fasi:

  • Ricerca (Discovery): individuazione e raccolta delle informazioni rilevanti per l’oggetto della richiesta;
  • Selezione (Discrimination): scrematura dei dati raccolti, con scarto delle informazioni non effettivamente d’interesse;
  • Analisi (Distillation): disamina delle informazioni, con articolazione dei collegamenti interessanti tra i dati raccolti;
  • Diffusione (Dissemination): redazione e consegna del report conclusivo secondo l’interrogazione richiesta.

Vi sono tool appositi per condurre OSINT (tra questi, ad es., osintframework.com) o servizi che hanno fatto dell’OSINT il proprio core business (es. Maltego). Altri strumenti particolarmente utili sono i dwork di Google, anche detti hack di Google.

Quali opportunità per le imprese con l’OSINT?

Anzitutto, restando nel campo delle fonti aperte e lecite, non si rischia di compiere violazioni attraverso investigazioni non autorizzate. Inoltre, non è necessario attendere i tempi richiesti dalla cooperazione di altri soggetti che un diverso modo di acquisizione dei dati richiederebbero. Le informazioni possono essere continuamente aggiornate, a volte per il tramite della stessa fonte. Infine, consultando una certa fonte in cerca di una particolare informazione, si può incappare in molti altri dati (o metadati) anch’essi utili allo scopo che si sta perseguendo.

Strategie per il marketing

L’OSINT è nata dopo la seconda guerra mondiale, come strumento di intelligence delle informazioni, e con lo sviluppo di internet è stato massicciamente utilizzato per supporto a operazioni militari, contrasto e prevenzione di attacchi terroristici. Per questo si può intuire come la scia di informazioni che lasciamo dietro di noi possa diventare una risorsa e un’opportunità per l’utilizzo di OSINT in azienda.

Può infatti essere utilizzata per “spiare”, nei limiti del lecito, le strategie dei competitor, per ricerche di mercato, per aumentare la consapevolezza della cybersecurity all’interno dell’azienda stessa.

Reputation Due Diligence

Altro ambito in cui l’OSINT comporta allo stesso tempo rischi e opportunità per le nostre aziende è quello della reputation due diligence. Infatti, la reputazione aziendale è uno degli asset sempre più ambiti nel coinvolgimento e nella retention degli stakeholders.

Per questo, utilizzare tecniche di OSINT per una disamina della reputazione online dell’azienda può rivelarsi una strategia vincente prima di un’acquisizione societaria, o dell’avvio di un progetto di significative dimensioni, o prima di esplorare un nuovo importante segmento di mercato.

Al tempo stesso, l’OSINT è fonte di rischi per quelle aziende che, ignare, subiscano tale due diligence da potenziali soggetti interessati, e i cui risultati conducano a report negativi in termini reputazionali.

L’OSINT rappresenta un’interessante opportunità anche per i privati attenti alla privacy. Condurre una valutazione sulla riservatezza della propria identità personale online può essere particolarmente utile per persone che fanno della propria identità digitale il proprio brand. Pensiamo a influencer, personaggi famosi, ma anche a persone che temono un furto di identità o lo hanno appena subito, e puntano a spiare coloro che li sta imitando o sta utilizzando la loro identità.

Come rovescio della medaglia, un altro rischio dell’OSINT da tener presente è l’esposizione della propria identità. Da questo punto di vista l’OSINT è fonte di rischi, ad esempio, per tutti coloro che svolgono attività di giornalismo investigativo, o comunque indagini per cui non sarebbe consigliabile lasciare tracce.

Opportunità e rischi dell’OSINT nella cybersecurity

A rendere l’OSINT fonte di rischi per le aziende è paradossalmente lo stesso motivo per cui l’OSINT è anche una opportunità.

Criminali informatici potrebbero sfruttare l’OSINT per saggiare le debolezze di un certo ente. Infatti, le informazioni che la nostra azienda ha disseminato in fonti aperte possono costituire la base di un attacco fondato su tecniche di social engineering come il phishing. I contenuti lasciati sui social e le informazioni che l’azienda dissemina per motivi di marketing sono certamente dati utili per coloro che preparano un attacco cyber.

Tuttavia, proprio per tali motivi, le stesse tecniche di OSINT sono sfruttate, come opportunità, appositamente per condurre dei penetration test al fine di migliorare la sicurezza informatica aziendale. Anche i dwork di Google possono rivelare a scopo di prevenzione quali sono le informazioni disponibili sull’azienda, a scopo di sensibilizzazione e formazione del personale.

Investigazioni e produzione in giudizio

Come detto uno dei rischi dell’OSINT riguarda l’attendibilità della fonte. Si è più spesso portati a pensare che una fonte chiusa sia più attendibile di una aperta, ma non è detto che tale equazione sia sempre vera. Informazioni acquisite tramite fonti aperte potrebbero essere, una volta opportunamente verificate, altrettanto attendibili rispetto a fonti chiuse. È sempre necessario condurre operazioni di cross checking.

Ciò vale ancor più in caso di utilizzo dell’OSINT per fini di indagini difensive e producibilità in giudizio dei dati acquisiti. In questo caso l’ammissibilità dipende dalla fonte e/o dalle tecniche forensics di acquisizione, consultazione e conservazione della prova.

IoT – Internet of things

I rischi dell’OSINT – ma anche le sue opportunità – si spingono anche nell’ambito dell’IoT. Motori di ricerca come Shodan possono rilevare i dispositivi (dal frigorifero alla smart TV) connessi alla rete. Non è finzione l’accessibilità ai dispositivi IoT da parte di cybercriminali, anche con l’aiuto di tecniche OSINT. Uno degli scopi che proclama Shodan è infatti proprio quello di “tenere traccia di tutti i tuoi device che hanno diretto accesso a Internet […] per aiutarti a mantenerti sicuro”. Si prefigge altresì di permettere ai produttori di comprendere la distribuzione di un certo prodotto a livello geografico, migliorando ad es. la targettizzazione del marketing.

L’OSINT è una delle attività di intelligence che possono essere quindi sfruttate con consapevolezza, e con l’aiuto di esperti, da parte di aziende e privati per scongiurare rischi per le proprie attività online e offline.