OSINT — Open Source Intelligence
L’Open Source Intelligence (OSINT) è la disciplina di raccolta, analisi e utilizzo di informazioni provenienti da fonti pubblicamente accessibili per scopi di intelligence e sicurezza. Nel contesto della cybersecurity, l’OSINT rappresenta sia uno strumento fondamentale per i team di sicurezza difensiva che una delle prime fasi dell’attacco per gli avversari.
OSINT nella Cybersecurity Aziendale
Ogni organizzazione ha un’impronta digitale — informazioni su dipendenti, infrastrutture, tecnologie utilizzate, relazioni commerciali — che è visibile da fonti aperte. Gli attaccanti raccolgono sistematicamente queste informazioni durante la fase di ricognizione per identificare vettori di attacco. Il servizio OSINT di Fidem ribalta questa dinamica: utilizziamo le stesse tecniche e strumenti degli avversari per identificare e ridurre l’esposizione informativa dell’organizzazione.
Aree di Applicazione
Ricognizione della Superficie Esposta
Mappiamo l’intera impronta digitale dell’organizzazione: domini e sottodomini, indirizzi IP, servizi esposti, email aziendali indicizzate, documenti con metadati sensibili pubblicati online, profili social dei dipendenti chiave, informazioni tecnologiche ricavabili da header HTTP e DNS. Questo assessment visivo produce un report che mostra esattamente cosa un potenziale attaccante può scoprire prima di lanciare un attacco.
Dark Web Intelligence
Estendiamo la ricognizione OSINT ai canali del dark web, monitorando forum cybercriminali, marketplace di credenziali, paste site, channel Telegram e community underground per identificare:
- Credenziali aziendali compromesse in data breach
- Menzioni dell’organizzazione in contesti malevoli
- Vendita di accessi VPN, RDP o shell relative all’infrastruttura
- Kit di phishing che utilizzano il brand aziendale
Social Engineering Assessment
L’OSINT è la base di qualsiasi operazione di social engineering. Analizziamo l’esposizione dei dipendenti chiave sui social network (LinkedIn, Facebook, Instagram), identificando informazioni che potrebbero essere sfruttate per campagne di spear phishing, pretexting o vishing. Questo assessment alimenta direttamente i nostri servizi di Red Teaming.
Competitive e Threat Intelligence
Forniamo intelligence strategica raccolta da fonti aperte: analisi delle tendenze di attacco nel settore del cliente, monitoraggio delle vulnerabilità zero-day rilevanti, tracking delle campagne APT (Advanced Persistent Threat) attive nel mercato di riferimento.
Metodologia e Strumenti
Il team OSINT di Fidem utilizza una combinazione di strumenti opensource e proprietari, tra cui framework di ricognizione automatizzata, motori di ricerca specializzati, tool di analisi dei metadati e piattaforme di social media intelligence. La nostra metodologia segue il ciclo OSINT standard: Pianificazione → Raccolta → Elaborazione → Analisi → Disseminazione.
Integrazione con i Servizi Fidem
L’OSINT non è un servizio isolato — è integrato con l’intero ecosistema di sicurezza offensiva di Fidem:
- Penetration Testing — l’OSINT alimenta la fase di ricognizione
- Red Teaming — social engineering basato su intelligence reale
- Digital Identity Protection — monitoraggio continuo dell’esposizione
- Web Reputation — protezione proattiva del brand
Richiedi un assessment OSINT per scoprire cosa un attaccante potrebbe trovare sulla tua organizzazione.
Che cos’è l’OSINT?
L’OSINT è la raccolta e l’analisi di informazioni già pubbliche per capire cosa un attaccante può sapere della vostra organizzazione senza violare nulla. Nomi e ruoli sui social, indirizzi email nel formato aziendale, documenti indicizzati per errore, credenziali comparse in violazioni di terzi, sistemi esposti che nessuno ricordava di aver acceso.
A cosa serve concretamente
- Prima di un attacco mirato — è la fase da cui parte chi prepara un phishing credibile: sapere cosa è reperibile permette di ridurlo.
- Superficie esposta — servizi raggiungibili da internet che non risultano in nessun inventario.
- Credenziali compromesse — account aziendali comparsi in violazioni di servizi esterni, spesso con password riusate.
- Verifica dei fornitori — quanto è esposto chi ha accesso ai vostri sistemi.
- Supporto a una perizia — nelle indagini forensi l’OSINT documenta il contesto pubblico di un fatto.
È legale?
Sì, quando resta su fonti realmente accessibili e non elude alcun controllo di accesso. Il confine è netto: consultare un profilo pubblico è OSINT; usare credenziali trovate in una violazione per entrare in un account non lo è, ed è reato. Lavoriamo solo entro il primo perimetro, e il trattamento dei dati personali raccolti segue le regole del GDPR esattamente come ogni altro trattamento.
Cosa NON è
L’OSINT non è investigazione privata — le attività riservate agli istituti autorizzati non rientrano nei nostri servizi. Non è accesso a dati non pubblici. E non sostituisce un vulnerability assessment: dice cosa è visibile, non quanto è vulnerabile.
Come si svolge un’analisi OSINT: le fasi
Un’analisi OSINT seria non è una ricerca su Google: è un processo con un perimetro dichiarato, fonti tracciate e un risultato ripetibile. Le fasi sono quattro:
- Definizione del perimetro — quali domini, marchi, persone con ruolo pubblico e fornitori rientrano nell’analisi. Senza questo passo la raccolta diventa infinita e inutilizzabile.
- Raccolta — su fonti accessibili: registri pubblici, DNS e certificati, archivi di violazioni note, repository di codice, social e portali di settore.
- Verifica — è la fase che distingue il lavoro professionale: un dato trovato non è un dato vero. Ogni elemento va corroborato prima di finire in un report.
- Analisi e consegna — cosa di tutto questo costituisce un rischio concreto, in che ordine va affrontato, e cosa si può ragionevolmente rimuovere.
Strumenti e framework: quello che conta davvero
Gli elenchi di strumenti OSINT che si trovano online sono lunghi e in gran parte irrilevanti: il risultato dipende dal metodo, non dal tool. Le famiglie che usiamo sono poche — ricognizione di domini e sottodomini, analisi dei certificati trasparenti, interrogazione di archivi di credenziali compromesse, ricerca su repository di codice, monitoraggio di marchi e domini simili.
Il punto che i cataloghi di tool non dicono: gran parte delle esposizioni reali non si trova con uno strumento esotico, ma guardando ciò che l’azienda pubblica da sé — offerte di lavoro che elencano lo stack tecnologico, presentazioni caricate per errore, sottodomini di test lasciati online, chiavi finite in un repository pubblico.
OSINT e cyber threat intelligence: che rapporto c’è
L’OSINT è una delle fonti della threat intelligence, non un sinonimo. La threat intelligence risponde a «chi potrebbe attaccarci e come»; l’OSINT risponde a «cosa si può sapere di noi senza violare nulla». La seconda domanda è il presupposto della prima: un attaccante parte da lì.
Nel nostro lavoro l’OSINT alimenta tre attività diverse: la preparazione di un penetration test (la ricognizione iniziale è OSINT), la protezione dell’identità digitale (credenziali e domini imitativi), e il contesto pubblico di una perizia informatica.
OSINT sui fornitori: la domanda che arriva dai clienti
Sempre più spesso non è l’azienda a volere l’analisi: è il suo cliente a chiederla, o è l’azienda a doverla fare sui propri fornitori. La NIS2 tratta esplicitamente il rischio della catena di fornitura, e la verifica di quanto è esposto chi ha accesso ai vostri sistemi diventa parte degli obblighi, non una cortesia.
Su un fornitore l’analisi guarda le stesse cose: superficie esposta, credenziali comparse in violazioni, igiene dei domini. La differenza è che il risultato serve a una decisione contrattuale, quindi va scritto in modo che lo legga anche chi non è tecnico.
Ogni quanto ha senso rifarla
Una volta sola serve a poco: la superficie esposta cambia da sola. Un certificato emesso, un sottodominio pubblicato, una violazione di un servizio terzo che coinvolge account aziendali — sono eventi che accadono senza che nessuno in azienda se ne accorga. Per questo l’analisi puntuale fotografa, mentre il monitoraggio continuo è ciò che intercetta il cambiamento. Termini nel glossario.
Definizioni: OSINT · attack surface management nel glossario della sicurezza informatica.