Fai un piccolo esperimento: apri Google e cerca il tuo nome e cognome. Poi guarda il tuo profilo Instagram, quello LinkedIn, magari anche quel forum di appassionati di bricolage dove ti sei iscritto sei anni fa e hai dimenticato di esistere. Ecco, hai appena fatto quello che in gergo si chiama OSINT, acronimo di Open Source Intelligence. E se ci sei riuscito tu in cinque minuti, immagina cosa può fare qualcuno che lo fa per lavoro (o per truffare la gente).
Non stiamo parlando di hacker con il cappuccio che sfondano firewall in scene da film. Parliamo di qualcosa di molto più semplice, gratuito e alla portata di chiunque: raccogliere pezzi di informazioni pubbliche su di te e assemblarli come un puzzle fino a costruire un profilo dettagliato della tua vita.
Ma cosa è davvero l’OSINT?
L’Open Source Intelligence è la disciplina (usata anche da giornalisti, forze dell’ordine e analisti di sicurezza) che consiste nel raccogliere informazioni da fonti pubbliche e accessibili a tutti: social network, siti aziendali, registri pubblici, foto, articoli di giornale, persino i metadati nascosti nelle immagini che pubblichi.
Il problema è che questa stessa tecnica, così utile in mano a chi fa ricerca legittima, diventa un’arma potentissima nelle mani di un truffatore o di un criminale informatico. E la cosa più inquietante è che non serve rubare nulla: tutte le informazioni sono già lì, offerte volontariamente da noi stessi.
Il puzzle che costruiamo senza saperlo
Pensa a quante informazioni condividi senza accorgertene:
- Il post su LinkedIn dove annunci il tuo nuovo lavoro (e quindi il nome della tua azienda, il tuo ruolo, magari anche l’orario dell’evento di lancio)
- La foto delle vacanze con il tag della località, pubblicata mentre sei ancora lì (ciao, casa vuota)
- Il tweet in cui ti lamenti del tuo capo, con nome e cognome
- Il post di compleanno di tua figlia con la data di nascita bella in vista
- La foto della tua nuova auto con la targa perfettamente leggibile
- I gruppi Facebook a cui sei iscritto, che raccontano i tuoi hobby, le tue opinioni politiche, la tua condizione di salute
Ogni singolo pezzo, preso da solo, sembra innocuo. Ma messi insieme, questi frammenti raccontano una storia molto precisa: dove vivi, dove lavori, chi sono i tuoi familiari, quali sono le tue abitudini, quando sei in casa e quando no.
Perché a un criminale interessa tutto questo?
Qui arriva la parte pratica. Un attaccante che vuole colpirti (o colpire la tua azienda passando da te) non ha bisogno di violare nulla: gli basta studiarti.
Spear phishing su misura
Se so che lavori nell’ufficio contabilità di una certa azienda, che il tuo capo si chiama Marco e che state lavorando a un progetto specifico (l’ho letto su LinkedIn), posso scriverti una mail che sembra arrivare proprio da Marco, con riferimenti così precisi che difficilmente sospetterai qualcosa.
Furti in casa pianificati
Le storie di vacanze pubblicate in tempo reale sono un classico regalo ai malintenzionati: sai già che la casa è vuota e per quanto tempo.
Ingegneria sociale al telefono
Conoscere il nome dei tuoi figli, il nome del cane, la squadra di calcio che segui: tutte informazioni che possono essere usate per superare le tue difese psicologiche, farti sentire a tuo agio e convincerti a fare qualcosa che normalmente non faresti (come cliccare un link o fornire un dato sensibile).
Ricostruzione delle risposte di sicurezza
“Qual è il nome del tuo primo animale domestico?” “In che città sei nato?” Domande di recupero password che spesso hanno risposte disseminate proprio nei tuoi profili social pubblici.
Come ridurre la tua “superficie di attacco umana”
Non serve sparire da internet (anche perché sarebbe praticamente impossibile), ma qualche accorgimento fa davvero la differenza:
- Controlla la privacy dei tuoi profili social almeno una volta ogni pochi mesi: le piattaforme cambiano spesso le impostazioni di default
- Pubblica le foto delle vacanze quando sei già tornato, non mentre sei ancora lì
- Limita chi può vedere i tag di localizzazione e disattivali quando possibile
- Fai attenzione ai metadati delle foto: molti smartphone salvano le coordinate GPS esatte dello scatto
- Non condividere informazioni su famiglia, orari e abitudini in post pubblici
- Usa risposte “fake” per le domande di sicurezza, tanto nessuno controlla se il tuo primo cane si chiamava davvero così
- Fai periodicamente una ricerca su te stesso, esattamente come all’inizio di questo articolo: è il modo più semplice per capire cosa vede il mondo di te
La verità è che la sicurezza informatica non riguarda solo password complesse o antivirus aggiornati: riguarda anche quanto raccontiamo di noi stessi senza pensarci. Ogni post è un pezzo di puzzle, e sta a noi decidere quanti pezzi regalare a chi potrebbe usarli contro di noi.
Non devi diventare paranoico né chiuderti in un bunker digitale. Basta un po’ di consapevolezza in più: prima di pubblicare, chiediti sempre “chi potrebbe leggere questo, e cosa potrebbe farci?”. A volte la risposta ti farà pensarci due volte prima di premere invio.