OSINT: Cosa Sanno di Te (e della Tua Azienda) Online
OSINT è un acronimo che sta per Open Source Intelligence: la raccolta e l'analisi di informazioni da fonti pubblicamente disponibili. È una disciplina che uso ogni giorno nel mio lavoro di consulente di sicurezza, e che ho approfondito nel libro OSINT e Social Engineering che ho scritto qualche anno fa.
Oggi voglio mostrarti qualcosa che di solito mostro solo ai miei clienti durante le sessioni di security awareness: quanto è facile raccogliere informazioni su un'azienda italiana — la tua azienda — usando solo strumenti gratuiti e fonti pubbliche. Non per spaventarti, ma perché capire cosa sanno di te è il primo passo per proteggere te e la tua organizzazione.
E credimi: la quantità di informazioni disponibili su qualsiasi azienda italiana ti sorprenderà.
Cos'è l'OSINT e Perché Ti Riguarda
L'OSINT non è hacking nel senso cinematografico. Non richiede competenze tecniche oscure o accesso a sistemi segreti. Richiede pazienza, metodologia, e la conoscenza di dove cercare informazioni che sono già pubblicamente disponibili — su siti istituzionali, social media, registri pubblici, archivi di notizie, forum.
Chiunque può fare OSINT su di te: i tuoi concorrenti, giornalisti, recruiter, ma anche — e qui sta il problema — cybercriminali, truffatori, e attori ostili di ogni tipo.
La differenza tra OSINT usato dai professionisti della sicurezza e OSINT usato dai criminali non sta negli strumenti o nelle tecniche. Sta nell'intenzione. I criminali usano le stesse informazioni pubbliche che tu hai inconsapevolmente disseminato online per costruire attacchi personalizzati: phishing credibile, social engineering mirato, frodi aziendali.
Come spiego in OSINT e Social Engineering, il social engineering è quasi sempre preceduto da una fase di ricognizione OSINT. Prima si raccolgono informazioni, poi si costruisce l'attacco.
Cosa Trovano su di Te: La Ricognizione di un'Azienda Italiana Tipo
Ti mostro il processo che seguirei per raccogliere informazioni su un'azienda italiana tipo — chiamiamola "Rossi Srl", una piccola manifattura con 20 dipendenti. Tutto con fonti pubbliche e gratuite.
Il Sito Web: Un Tesoro di Informazioni
Il primo punto di partenza è il sito aziendale. In pochi minuti raccolgo:
- Nomi e ruoli: "Contattaci" o "Chi siamo" rivelano spesso nomi completi di titolari, responsabili, commerciali. Alcune aziende pubblicano persino l'organigramma.
- Email patterns: Se il sito pubblica
mario.rossi@rossisrl.it, so che il formato email aziendale ènome.cognome@dominio. Posso costruire indirizzi email per chiunque altro in azienda. - Tecnologie usate: Strumenti come BuiltWith o Wappalyzer (gratuiti) analizzano il codice del sito e rivelano il CMS usato, le librerie JavaScript, il provider di hosting, il CDN. Se il sito usa un WordPress non aggiornato, so già dove cercare vulnerabilità.
- Certificati SSL e infrastruttura: Da strumenti come Shodan o Censys (OSINT specializzati) posso mappare l'infrastruttura esposta su internet dell'azienda: server, porte aperte, servizi.
- Metadata dei documenti: I PDF pubblicati sul sito (listini, brochure, presentazioni) spesso contengono metadata con nomi di autori, software usati, percorsi di rete interni.
I Registri Pubblici Italiani: Un Archivio Aperto
L'Italia ha un sistema di registri pubblici ricchissimo di informazioni:
- Camera di Commercio (Registro Imprese): Ragione sociale, codice fiscale, partita IVA, sede legale, soci, amministratori, bilanci depositati, variazioni societarie. Tutto pubblico, accessibile su registro.imprese.it o con una semplice visura camerale.
- Catasto e registri immobiliari: Proprietà immobiliari dell'azienda e dei suoi soci.
- Albo professionale: Se l'azienda o i suoi responsabili sono iscritti a ordini professionali, i dati sono pubblici.
- ANAC e gare pubbliche: Se l'azienda ha mai partecipato a gare d'appalto pubbliche, l'archivio ANAC rivela partner, importi, aggiudicazioni.
LinkedIn e i Social Media: Il Database degli Organigrammi
LinkedIn è il sogno di ogni analista OSINT. In pochi minuti posso costruire l'organigramma completo di un'azienda:
- Chi lavora lì, con nome, cognome, ruolo preciso
- Da quanto tempo, con l'intera carriera precedente
- I loro interessi, le connessioni, le community frequentate
- Eventuali lamentele lavorative o segnali di insoddisfazione
Dai profili LinkedIn dei dipendenti posso dedurre le tecnologie usate in azienda ("Esperto in SAP Business One", "Amministro infrastruttura Microsoft Azure"), i processi interni ("Gestisco le relazioni con i fornitori asiatici"), e persino le dinamiche aziendali ("In cerca di nuove opportunità" — qualcuno potrebbe essere un dipendente scontento).
Facebook, Instagram, e TikTok aggiungono un livello personale: foto degli uffici (con dettagli visibili sugli schermi, lavagne, documenti), eventi aziendali, relazioni tra colleghi.
Le Violazioni di Dati Passate
Siti come Have I Been Pwned permettono di verificare se un indirizzo email è stato coinvolto in violazioni di dati note. Se l'email di un tuo dipendente — o la tua — è in quell'archivio, significa che la password associata è probabilmente in circolazione sul dark web.
Strumenti più avanzati come DeHashed o Snusbase (usati dai professionisti della sicurezza in modo legale) permettono di cercare credenziali compromesse per dominio aziendale — e i risultati che si trovano sono spesso allarmanti anche per aziende con buone pratiche di sicurezza.
Il Profilo OSINT Completo: Cosa Si Può Costruire
Mettendo insieme tutte queste fonti — sito web, registri pubblici, social media, violazioni note — un attaccante può costruire un profilo estremamente dettagliato:
- Chi sono i responsabili e come contattarli
- Quali software e infrastrutture usa l'azienda
- Qual è la situazione finanziaria (dai bilanci)
- Chi ha accesso a cosa (dai profili LinkedIn)
- Quali dipendenti potrebbero essere vulnerabili al social engineering
- Quali vulnerabilità tecniche potrebbero essere presenti
Con queste informazioni, un attacco di phishing mirato o di social engineering diventa spaventosamente credibile. Non è fantascienza: è la realtà quotidiana della criminalità informatica organizzata.
Come Ridurre il Tuo Footprint Digitale Aziendale
La soluzione non è sparire da internet — sarebbe controproducente. L'obiettivo è la minimizzazione consapevole: rendere più difficile e costosa la raccolta di informazioni su di te, eliminando le esposizioni inutili e proteggendo i dati sensibili.
Audita Cosa è Già Online
Prima di agire, devi sapere cosa c'è. Cerca il nome della tua azienda su Google (in italiano e inglese), cerca i nomi dei tuoi responsabili, fai una ricerca con l'operatore site:nomesito.it per vedere tutte le pagine indicizzate.
Fai lo stesso su LinkedIn e sugli altri social media. Considera di usare strumenti gratuiti come Google Alerts per monitorare le nuove menzioni online della tua azienda.
Riduci le Informazioni sul Sito Aziendale
- Rimuovi i nomi completi dei dipendenti dalle pagine pubbliche (o usa solo nome e iniziale del cognome)
- Usa un indirizzo email generico (
info@,commerciale@) invece di indirizzi nominativi pubblici - Rimuovi i metadata dai documenti PDF prima di pubblicarli (Acrobat lo fa automaticamente nella funzione "Riduzione delle dimensioni")
- Non pubblicare mai organigrammi completi o dettagli sull'infrastruttura IT
Gestisci i Profili Social con Consapevolezza
- Forma i dipendenti su cosa è appropriato condividere su LinkedIn riguardo al proprio ruolo e alle tecnologie usate
- Rivedi le impostazioni di privacy dei profili aziendali sui social
- Non pubblicare foto degli uffici con documenti o schermi visibili
- Fai attenzione ai comunicati stampa che rivelano dettagli operativi interni
Controlla i Registri Pubblici
Non puoi cancellare le informazioni dal Registro Imprese — sono obbligatorie per legge. Puoi però assicurarti che le informazioni siano aggiornate e corrette, e che i dati personali dei soci siano protetti nei limiti di legge.
Per i bilanci: alcune strutture societarie permettono di depositare bilanci in forma abbreviata o micro, limitando la quantità di dettagli finanziari pubblici.
Implementa una Politica di Sicurezza delle Informazioni
Definisci formalmente cosa i dipendenti possono e non possono comunicare all'esterno riguardo all'azienda. Non si tratta di controllo paranoico, ma di consapevolezza: cosa sai della tua azienda che un concorrente o un criminale non dovrebbe sapere?
Integra questa politica nella formazione sulla sicurezza (ne parliamo nel dettaglio nell'articolo sul Phishing Aziendale) e nel processo di onboarding dei nuovi dipendenti.
Monitora le Violazioni che ti Riguardano
Configura un monitoraggio automatico per:
- Nuove menzioni della tua azienda online (Google Alerts, gratuito)
- Violazioni di dati che coinvolgono i domini email aziendali (servizi come Firefox Monitor)
- Nuovi record DNS o certificati SSL emessi per il tuo dominio (utile per rilevare tentativi di typosquatting — domini simili al tuo usati per phishing)
OSINT Difensivo: Farlo Su Te Stesso Prima che lo Facciano gli Altri
Il miglior modo per capire la tua esposizione è fare OSINT su te stesso — quello che nel settore chiamiamo "ethical hacking" o penetration testing OSINT.
Nel mio libro OSINT e Social Engineering ho dedicato interi capitoli alle tecniche di ricognizione e a come usarle difensivamente. È una lettura che consiglio a chiunque gestisca un'azienda o abbia responsabilità sulla sicurezza delle informazioni.
Nella pratica professionale, offro sessioni di OSINT assessment attraverso ISIPC: in 2-4 ore di analisi produco un report completo di tutto ciò che è pubblicamente disponibile su un'azienda, evidenziando i rischi concreti e le azioni prioritarie di mitigazione. È spesso l'esercizio che più di tutti apre gli occhi agli imprenditori sulla propria esposizione reale.
Il Collegamento con Phishing e Social Engineering
Non è un caso che questo articolo esista nella stessa serie degli articoli sul Phishing e sulla Sicurezza Informatica per PMI: OSINT, phishing e social engineering sono strettamente collegati.
L'attacco inizia sempre con la raccolta di informazioni (OSINT). Poi si costruisce un vettore di attacco credibile (spear phishing o social engineering). Poi si colpisce. La difesa deve coprire tutti e tre i livelli: ridurre l'esposizione informativa, formare le persone a riconoscere i tentativi di manipolazione, e avere procedure di risposta agli incidenti.
E se nonostante tutto un attacco riesce a penetrare, un buon sistema di backup aziendale è la differenza tra un incidente gestibile e una catastrofe.
Cosa Fare Adesso
- Oggi: Cerca il nome della tua azienda su Google e guarda i primi tre risultati. Poi cerca il tuo nome e cognome. Cosa vedi? Sei sorpreso?
- Questa settimana: Rimuovi dai PDF sul tuo sito i metadata con nomi e dettagli interni. Rivedi la pagina "Chi siamo" e valuta quali informazioni sono davvero necessarie.
- Questo mese: Verifica su haveibeenpwned.com se le email aziendali sono coinvolte in violazioni note. Cambia le password compromesse e attiva la 2FA.
- Entro il trimestre: Considera un OSINT assessment professionale per avere un quadro completo della tua esposizione digitale.
Vuoi approfondire le tecniche OSINT e capire come i criminali le usano — e come difendersi? Ho scritto tutto questo nel dettaglio nel mio libro OSINT e Social Engineering, disponibile su Amazon.
Per una valutazione OSINT professionale della tua azienda, o per costruire un percorso completo di sicurezza informatica, contatta ISIPC. Vedere da fuori cosa si vede della tua azienda è sempre il punto di partenza più efficace.