Ci piace pensare che la nostra vita digitale sia fatta di compartimenti stagni. Che il profilo creato dieci anni fa per partecipare a un forum di videogame non abbia nulla a che fare con la nostra identità professionale, o che un nickname inventato al momento basti a garantire un totale anonimato. È un’illusione confortante, ma basta davvero poco per vederla crollare. I “segreti” online raramente vengono violati da complessi attacchi informatici o da fantomatici hacker da film. Molto più banalmente, affiorano in superficie da soli. È il campo d’azione dell’OSINT (Open Source Intelligence), la disciplina che si occupa di raccogliere, analizzare e correlare le informazioni di pubblico dominio. E il suo ingrediente principale non è il codice segreto, ma la natura umana e le sue abitudini. L’effetto domino: la parabola della traccia minima
Immaginiamo una ricerca che parte dal nulla. Nessun nome reale, nessun documento, solo una sequenza di pochi caratteri: uno username apparso quasi per caso in una discussione pubblica.
Il primo livello è la mappatura della presenza. Inserito in un software di scansione passiva, quel nickname restituisce in pochi secondi una lista di decine di piattaforme. Per la maggior parte si tratta di “rumore”: account abbandonati, forum dismessi, vecchie registrazioni su siti di e-commerce o gaming. Ma l’obiettivo dell’analisi non è trovare la risposta subito, è individuare un gancio.
Il salto di qualità però arriva con il Pivoting. La svolta avviene quando lo username viene trattato come l’estensione di un’abitudine. La maggior parte delle persone tende a usare la stessa combinazione di caratteri per la prima parte del proprio indirizzo email. Trasformando quel nickname in una rosa di possibili indirizzi di posta elettronica e interrogando i sistemi di verifica degli account — senza inviare alcuna notifica né violare la sicurezza di nessuno — emergono le prime conferme: quell’email risulta registrata su un paio di servizi chiave.
La cosa fondamentale è la convergenza dei metadati. A questo punto entra in gioco il fattore umano. Un vecchio avatar utilizzato sia sul forum di nicchia sia su una piattaforma professionale; un commento lasciato anni fa con un riferimento temporale o geografico; una recensione pubblica rimasta visibile. Ogni elemento, preso da solo, è del tutto inoffensivo e anonimo. Ma se sovrapposti, questi dettagli trasparenti formano un’immagine nitida L’indagine si chiude senza aver mai forzato una sola porta chiusa: la mappa delle abitudini, degli spostamenti e della timeline temporale è ricostruita solo unendo i puntini lasciati a vista.
Il rovescio della medaglia: siti ambigui e il rischio ricatto
C’è un aspetto ancora più delicato che riguarda la nostra impronta digitale: la tipologia di piattaforme su cui lasciamo un segno. Navigare o registrarsi su siti ambigui, forum underground, portali per adulti o piattaforme di incontri non del tutto trasparenti lascia tracce che spesso riteniamo invisibili. Ma la realtà è diversa. Quando si utilizza la solita email “secondaria” o un nickname ricorrente per accedere a questi spazi, la propria presenza viene indicizzata o captata dai database di ricerca.
Queste tracce diventano vulnerabilità immediate che espongono direttamente al rischio di estorsione e ricatto.
E poi ci sono le fughe di dati (i “Data Breach”). I siti meno sicuri o ambigui sono i primi a subire violazioni informatiche. Quando i loro database finiscono online, il collegamento tra lo username, l’email e i contenuti fruiti diventa di pubblico dominio. Trovare lo stesso nickname su una piattaforma professionale e su un sito ambiguo richiede un semplice clic. Chiunque intenda fare leva sulle nostre fragilità o sul timore di un danno d’immagine trova in questi incroci l’arma perfetta per tentativi di ricatto, sextortion o ingegneria sociale.
Non serve essere hacker: basta studiare gli strumenti
La vera svolta dell’OSINT moderno sta nella sua estrema accessibilità. La convinzione comune è che per fare queste ricerche serva un “hacker esperto” capace di superare codici e difese informatiche. La realtà è ben diversa: non serve alcuna competenza di programmazione o violazione di sistemi.
Basta semplicemente dedicare un po’ di tempo a studiare il funzionamento di strumenti già pronti, interfacce web gratuite e motori di ricerca all-in-one. Chiunque, con un normale smartphone e un minimo di metodo, è in grado di inserire un nickname, un’email o un numero di telefono e ricostruire una mappa dettagliata in pochi minuti.
Questo significa che la platea di chi può potenzialmente analizzare, incrociare ed eventualmente usare contro di noi la nostra presenza online è diventata praticamente infinita.
Comprendere la portata delle fonti aperte non serve a stimolare la curiosità voyeuristica, ma a sviluppare una vera igiene digitale.
L’OSINT non è spionaggio da laboratorio: è un lavoro d’archivio e di correlazione. Ogni volta che creiamo un account, lasciamo una recensione o riutilizziamo la solita foto profilo per pigrizia, stiamo lasciando una briciola di pane nel bosco del web. Imparare come le informazioni si collegano tra loro è l’unico modo per capire quali armi stiamo regalando alla rete e per riprendere, finalmente, il controllo della nostra identità digitale.
Elisa Garfagna
