OSINT: cos’è, come funziona e come usarla per la difesa

OSINT è l’acronimo di Open Source Intelligence: la raccolta e l’analisi di informazioni provenienti da fonti pubblicamente accessibili — siti web, social media, registri pubblici, forum — per ricavarne conoscenza utile. Non si tratta di “trovare informazioni segrete”, ma del contrario: mettere insieme tanti frammenti pubblici e apparentemente innocui fino a comporre un quadro che nessuno di essi, da solo, rivelerebbe.

In cybersecurity l’OSINT ha due volti, ed è impossibile capirla senza tenerli insieme: è uno strumento di difesa — i team di sicurezza la usano per anticipare le minacce e per misurare quanto un’azienda è esposta — ma è anche la prima fase di quasi ogni attacco, perché chi colpisce comincia raccogliendo informazioni pubbliche sul bersaglio. In questa guida vediamo cos’è davvero, come funziona il ciclo di intelligence, come le aziende la usano per difendersi e, soprattutto, come ridurre la propria esposizione.

1. Cos’è l’OSINT e da dove vengono i dati
2. Il doppio volto: difesa e attacco
3. Il ciclo di intelligence: dai dati alla decisione
4. OSINT per le aziende: difesa e riduzione dell’esposizione
5. L’impatto dell’intelligenza artificiale
6. Come ridurre la propria superficie OSINT

Cos’è l’OSINT e da dove vengono i dati

L’Open Source Intelligence è una disciplina di intelligence che trasforma informazioni pubbliche in conoscenza azionabile. La parola chiave è “open source” nel senso di fonti aperte — da non confondere con il software open source: qui si parla di dati liberamente accessibili, non di codice. Le fonti sono ovunque: motori di ricerca, siti aziendali, social network, registri societari e immobiliari, archivi di dati trapelati, repository di codice, metadati dei documenti, persino le foto geolocalizzate.

Ciò che distingue l’OSINT dalla semplice “ricerca su Google” è il metodo: la capacità di correlare frammenti dispersi e attribuire loro un significato. Un nome su un profilo professionale, un indirizzo email in una vecchia violazione, una foto d’ufficio sui social: presi singolarmente sono innocui, ma incrociati possono rivelare la struttura di un’organizzazione, le sue tecnologie, i suoi punti deboli. È esattamente questa sintesi a renderla preziosa per i difensori e pericolosa quando la usano gli attaccanti.

Il doppio volto: difesa e attacco

L’OSINT è una tecnica neutra: conta chi la usa e con quale fine. Sul fronte difensivo, le organizzazioni la impiegano per la threat intelligence — monitorare le attività online sospette, individuare indicatori di compromissione, studiare le tattiche degli attori delle minacce — e per valutare la propria esposizione, scoprendo quali informazioni su di loro sono pubblicamente reperibili.

Sul fronte offensivo, l’OSINT è la fase di ricognizione che precede quasi ogni attacco mirato. Prima di colpire, un attaccante raccoglie informazioni pubbliche sull’organizzazione e sulle persone: ruoli, indirizzi email, tecnologie in uso, abitudini. Sono questi dati ad alimentare le campagne di ingegneria sociale e di spear phishing, rendendole credibili e personalizzate. È un dettaglio che la cronaca recente conferma: gruppi di attaccanti sofisticati hanno sintetizzato intelligence open source per profilare figure di alto valore — mappandone ruoli tecnici e responsabilità — al fine di costruire attacchi su misura. La difesa, per essere efficace, deve quindi pensare come l’attaccante: vedere ciò che lui vedrebbe.

Il ciclo di intelligence: dai dati alla decisione

L’OSINT non è raccolta fine a sé stessa: è un processo strutturato, spesso descritto come ciclo di intelligence. Si parte dalla definizione degli obiettivi — cosa si vuole sapere e perché — perché senza una domanda precisa la raccolta produce solo rumore. Segue la raccolta dei dati dalle fonti pertinenti, poi l’analisi, la fase che crea valore: i dati grezzi vengono validati, correlati e interpretati, distinguendo l’informazione affidabile dal falso. Infine la produzione di intelligence azionabile e la sua diffusione a chi deve decidere.

È questo ciclo a trasformare una massa di dati pubblici in qualcosa di utile per la difesa, e si integra naturalmente con attività come il threat hunting: l’OSINT fornisce il contesto esterno, la caccia alle minacce lo cerca dentro i sistemi.

OSINT per le aziende: difesa e riduzione dell’esposizione

Per un’azienda, l’uso più concreto dell’OSINT è guardarsi con gli occhi di un attaccante. Si chiama, in termini più ampi, gestione della superficie d’attacco: scoprire quali informazioni e quali asset dell’organizzazione sono pubblicamente visibili e potrebbero essere sfruttati. Email aziendali finite in vecchie violazioni e rivendute negli stealer log, sottodomini dimenticati e ancora online, credenziali esposte su repository di codice, documenti con metadati rivelatori, dettagli sull’infrastruttura deducibili da annunci di lavoro tecnici: tutto questo è materiale OSINT che lavora a favore di chi attacca.

Qui emerge un paradosso che riguarda ogni organizzazione: più un’azienda comunica, si promuove e si digitalizza, più amplia involontariamente la propria superficie esposta. Le informazioni che un attaccante cerca sono spesso le stesse che il marketing, le risorse umane e la comunicazione pubblicano in buona fede. Per questo la valutazione dell’esposizione OSINT non è un esercizio teorico: è il modo per sapere, prima di un attacco, cosa il nemico può già vedere — e decidere se quell’esposizione è accettabile o va ridotta.

L’impatto dell’intelligenza artificiale

L’intelligenza artificiale sta accelerando entrambi i lati dell’OSINT. Sul fronte difensivo, automatizza il monitoraggio continuo di enormi quantità di fonti e la prima elaborazione dei dati, producendo intelligence più in fretta. Ma la stessa accelerazione vale per gli attaccanti: i modelli linguistici permettono di velocizzare la ricognizione e di trasformare informazioni pubbliche in messaggi di phishing sofisticati e personalizzati in tempi rapidissimi.

La conseguenza per i difensori è una finestra di reazione più stretta. Se la ricognizione e la preparazione di un attacco diventano più veloci, il tempo per accorgersene e contenerlo si riduce. È il motivo per cui la difesa non può più essere solo reattiva: conoscere in anticipo la propria esposizione diventa decisivo proprio perché gli attacchi, grazie all’IA, arrivano più rapidi e più mirati.

Come ridurre la propria superficie OSINT

Ridurre l’esposizione non significa sparire dalla rete — impossibile e controproducente — ma governare consapevolmente ciò che si pubblica. Sul piano organizzativo, conta sapere cosa l’azienda espone: monitorare la presenza dei propri domini nelle violazioni note, verificare che credenziali e dati sensibili non finiscano nei repository pubblici, controllare i metadati dei documenti prima di pubblicarli, e valutare quante informazioni tecniche trapelano da annunci di lavoro e comunicazioni.

Sul piano delle persone, gran parte dell’esposizione passa dai profili individuali dei dipendenti, soprattutto delle figure di valore: la consapevolezza di quanto si condivide pubblicamente è una difesa concreta contro la profilazione che precede gli attacchi mirati. È lo stesso principio che governa la difesa dal SIM swap e dalle frodi ai dirigenti: meno dati personali circolano, più difficile è impersonare o colpire.

Sapere cosa un attaccante può scoprire della vostra organizzazione è il primo passo per ridurre il rischio. Cyberment affianca le imprese italiane con il Vulnerability Assessment e il Penetration Test certificati ISO 27001 — che includono la fase di ricognizione con cui un attaccante reale studierebbe i vostri sistemi e la vostra esposizione pubblica — e con la formazione del personale, perché gran parte delle informazioni sfruttabili passa da ciò che le persone, in buona fede, rendono pubblico.