L’Open Source Intelligence come fonte dati che ci rende vulnerabili
di La Redazione di InTheNet
Molti di noi sempre più spesso partecipano a forum, campagne di raccolta firme su piattaforme specializzate, scrivono o commentano nei blog, hanno uno o più profili social e intervengono in conversazioni pubbliche, linkano foto e video su siti di condivisione, contribuiscono o auto-promuovono il proprio lavoro attraverso wikipedia, pixabay, wikimedia, eccetera, registrano un dominio e aprono un sito, e magari fanno ricerche attraverso le risorse della rete (finendo senza accorgersene nel cosiddetto dark web), attingono ai dati di geolocalizzazione e, naturalmente, alle pubblicazioni di quotidiani e siti di informazione. Ma non solo, a volte il nostro nome e le nostre opinioni, i nostri interessi e ricerche sono raccolti in pubblicazioni accademiche e tesi di laurea, atti di convegni, profili aziendali e curricula – che sono accessibili a tutti. Una montagna di informazioni che pensiamo sia coperta dalla privacy e, al contrario, è pubblica e, come tale, può finire nel mirino di chi conduce indagini Osint – ossia servizi segreti e forze dell’ordine o governative, organizzazioni internazionali ma anche terroristiche, agenzie ad hoc che forniscono il servizio ad aziende e perfino hacker.
Come spiega Agenda Digitale (1), anche semplici motori di ricerca – come Shodan e Censys – possono essere utilizzati per trovare informazioni. Non solamente indirizzi IP, ma anche file sensibili. Con Whois si trovano contatti e indirizzi aziendali e le email anche attraverso HaveIBeenPwned che fornisce, inoltre,“informazioni sul GeoIP e del provider”. L’articolo continua indicando Wappalyzer come “buona utility per scoprire le tecnologie utilizzate sui siti Web. L’applicazione è in grado di rilevare sistemi di gestione dei contenuti, piattaforme di e-commerce, framework Web, server, strumenti di analisi e molto altro”. E più oltre specifica che molte informazioni sono reperibili grazie ai “servizi che offrono il repository dei codici come Github, Gitlab, Bitbucket, eccetera. In questi servizi a volte si trovano vulnerabilità del web, problemi di configurazione sui sistemi software e altre chiavi segrete”. Addirittura “strumenti come Github Dorks possono essere utilizzati per cercare dati sensibili come chiavi private, credenziali, token di autenticazione, eccetera, nel repository di Github”.
In pratica, utilizzando le nostre interazioni sociali, private o professionali, sulla rete ma anche a mezzo stampa, a casa nostra o sul luogo di lavoro, in università, in istituzioni pubbliche o private, produciamo materiale che – non essendo protetto da copyright o da quella Legge sulla privacy che sembra sempre più forma e sempre meno sostanza – può finire nei database di un’azienda per una campagna pubblicitaria, nelle mani di un hacker per un furto di di identità, o in quelle di uno Stato sempre più pervasivo che vuole controllare e manipolare l’opinione pubblica anche attraverso strumenti come NewsGuard – di cui ci siamo già occupati (2). Ma non solo, attraverso OSINT si possono scoprire informazioni sensibili di dipendenti di un’azienda che si voglia in qualche modo colpire. Perché basta aprire l’email sbagliata per introdurre un malware all’interno del sistema informatico che carpirà informazioni (pensiamo a offerte per bandi di gare pubbliche o ricerche su prodotti e tecnologie innovativi). E infine, consideriamo quante nostre conversazioni possono essere mal interpretate: se le bombastiche Pillole contro la Disinformazione equiparano l’emoji della scimmietta (che magari usiamo come nomignolo) a un messaggio razzista e stelline e razzi (che rappresentavano iconograficamente una festa di compleanno) agli attentati terroristici, letteralmente ogni parola di ‘troppo’ o foto ‘sbagliata’ può farci finire in liste di proscrizione senza nemmeno saperlo.
Fare attenzione, quindi, ai propri strumenti informatici e alla nostra immagine in rete diventa sempre più una necessità, soprattutto per la nostra sicurezza.
(1) L’articolo completo di Agenda Digitale: https://www.agendadigitale.eu/sicurezza/open-source-intelligence-osint-cose-a-chi-serve-e-come-usarla/
(2) I pericoli per la libertà di informazione di NewsGuard:
venerdì, 7 marzo 2025
In copertina: Foto di Gerd Altmann da Pixabay
