C’è un equivoco che resiste da anni: l’idea che la sicurezza informatica inizi e finisca con firewall, antivirus e password robuste. In realtà, molte delle informazioni più preziose per capire un’organizzazione — o per colpirla — non stanno “dentro” i sistemi, ma fuori. Sono esposte, disseminate, spesso innocue prese una per una. Eppure, messe insieme, diventano una radiografia sorprendentemente accurata. Questo è il cuore dell’OSINT, acronimo di Open Source Intelligence: l’arte (e la disciplina) di raccogliere, verificare e correlare informazioni provenienti da fonti pubbliche o comunque accessibili legalmente, per trasformarle in intelligence utile.
“Open source” qui non significa “software open source”. Significa “fonti aperte”: siti web, social network, registri pubblici, documenti PDF, comunicati stampa, annunci di lavoro, dati di dominio e certificati digitali, repository di codice, immagini con metadati, forum, database di leak già pubblici, fino a mappe e foto satellitari. L’OSINT non è magia e non è hacking: non viola sistemi, non forza accessi, non sfrutta vulnerabilità. Fa qualcosa di più sottile e spesso più efficace: osserva ciò che abbiamo già lasciato in giro.
Per le aziende, capire l’OSINT significa accettare una verità un po’ scomoda: la superficie d’attacco non coincide con i server esposti su internet, ma con l’insieme delle tracce che l’organizzazione produce ogni giorno. Una firma in calce a un documento, una slide di una conferenza caricata online, la foto di un badge su LinkedIn, un annuncio di lavoro scritto con troppa precisione, un sottodominio “dimenticato” di un vecchio progetto, un file PDF pubblicato senza ripulire i metadati. Tutto questo non sembra “sicurezza”, finché non diventa la mappa che guida un attaccante, o l’elemento che fa saltare una trattativa, o un rischio reputazionale che esplode nel momento peggiore.
Immaginiamo un caso molto concreto, senza bisogno di scenari da film. Un’azienda pubblica sul proprio sito una presentazione in PDF relativa a un progetto. Dentro ci sono i nomi delle persone coinvolte, la struttura dei reparti, talvolta i contatti diretti, magari perfino l’organigramma “di fatto” più aggiornato di quello ufficiale. In più, spesso il PDF porta con sé metadati: software usato, autore, talvolta percorsi di rete o nomi di macchine. Non è “segreto”, ma è dettagliato. Ora sommiamolo a un annuncio di lavoro in cui si cercano competenze su una specifica tecnologia e su un determinato ambiente cloud; aggiungiamo una serie di post social in cui un dipendente racconta con entusiasmo il “nuovo gestionale” o il “nuovo portale” appena rilasciato; un vecchio sottodominio che risponde ancora e mostra una pagina di login. Nessun singolo elemento è un reato, e nessuno è “sensibile” in senso assoluto. Ma insieme costituiscono una fotografia operativa: cosa usate, chi decide, chi amministra, dove si concentrano i progetti, quali sistemi sono in transizione, quali porte lasciate socchiuse dalla fretta.
Questo è il motivo per cui l’OSINT è importantissimo per la difesa: perché è il primo strumento che qualunque attore serio — dal competitor aggressivo al criminale — userà per ridurre l’incertezza. Prima di attaccare, si studia. Prima di truffare, si costruisce credibilità. Prima di negoziare, si misura la controparte. L’OSINT è la fase di ricognizione resa scientifica, dove contano metodo, verifica delle fonti, gestione dei bias e capacità di correlazione.
Dal punto di vista aziendale, l’OSINT non è solo “cyber”. È anche risk management, brand protection, compliance, sicurezza fisica e due diligence. Si pensi alla catena di fornitura: oggi un fornitore può esporre indirettamente il cliente. Se un partner pubblica su una case history dettagli tecnici su integrazioni, ambienti o flussi di dati, sta di fatto raccontando anche qualcosa di voi. Oppure pensiamo alle frodi: molte truffe BEC (Business Email Compromise) non partono da sofisticati exploit, ma da una ricostruzione credibile dell’azienda tramite fonti aperte. Quando l’attaccante conosce nomi, ruoli, tempistiche e stile comunicativo, può scrivere email perfettamente plausibili che chiedono “solo” un cambio IBAN o una fattura urgente. La tecnologia c’entra, ma l’ingrediente decisivo è l’informazione contestuale, e quella spesso si ottiene con OSINT.
Per le persone, il discorso è ancora più diretto: l’OSINT spiega perché la privacy non è soltanto “cosa pubblichi tu”, ma anche cosa pubblicano gli altri su di te, e cosa si può dedurre da dettagli apparentemente irrilevanti. Una foto scattata davanti casa può rivelare abitudini, orari, elementi riconoscibili. Un post di felicità per “nuovo lavoro” può esporre a truffe mirate nel periodo più vulnerabile, quello dell’onboarding. Un curriculum online pieno di dettagli è utilissimo per la selezione, ma può diventare anche un copione per un attacco di social engineering. E il punto non è vivere in paranoia: è conoscere la fisica della rete. Ogni informazione è un “atomo”. L’OSINT è la chimica che li trasforma in molecole significative.
C’è poi una dimensione spesso ignorata: la qualità dell’informazione. L’OSINT fatto bene non è accumulo compulsivo di dati. È un lavoro di validazione e di contesto. Un’informazione può essere pubblica e falsa; può essere vera ma datata; può essere vera in un contesto e fuorviante in un altro. Chi pratica OSINT seriamente ragiona come un ricercatore: cerca conferme incrociate, valuta l’affidabilità delle fonti, separa ciò che è osservato da ciò che è dedotto. Per questo l’OSINT è anche un antidoto alla disinformazione in ambito aziendale: aiuta a distinguere segnali reali da rumore, e a costruire decisioni su basi verificabili.
Un altro esempio pratico, molto attuale, riguarda l’esposizione digitale involontaria. Molte organizzazioni scoprono di avere “ombre” online: ambienti di test mai dismessi, repository pubblici creati per comodità, documenti caricati su servizi esterni, credenziali finite in vecchi leak già circolanti e indicizzati. Non serve immaginare un attaccante superdotato: basta qualcuno che sappia cercare e correlare. In ottica difensiva, l’OSINT diventa una specie di specchio: ti mostra come appari dall’esterno. Ed è un tipo di consapevolezza che nessun audit interno può sostituire, perché l’audit interno vede ciò che tu conosci; l’OSINT vede ciò che gli altri possono scoprire.
A questo punto la domanda è inevitabile: se è così potente, l’OSINT è “buono” o “cattivo”? La risposta è che è neutro, come un coltello da cucina: dipende da chi lo usa e con quale scopo. Proprio per questo, oggi l’OSINT dovrebbe entrare nella cultura minima di aziende e cittadini, non come manuale di investigazione, ma come alfabetizzazione al rischio informativo. Per un’azienda significa definire cosa è pubblicabile e cosa no, educare le persone ai dettagli che “sembrano innocui”, controllare periodicamente la propria esposizione esterna e quella della filiera, trattare la reputazione e l’identità digitale come asset. Per un individuo significa imparare a leggere le proprie tracce, capire che il profilo pubblico non è solo “immagine”, ma anche superficie di attacco, e che la sicurezza personale passa spesso da piccole scelte quotidiane.
In fondo, l’OSINT ci ricorda una regola semplice: in rete non esiste il vuoto. Esistono solo informazioni che qualcuno non ha ancora messo in relazione. Conoscerlo non serve a diventare investigatori, ma a diventare più lucidi. E oggi, per aziende e persone, la lucidità informativa è una delle forme più concrete di sicurezza.
