⚠️ COME FUNZIONA il tracciamento di un HACKER MALEVOLO

Immaginate di essere dei criminali informatici e di aver lavorato per anni alla costruzione di una seconda identità digitale. Usate uno pseudonimo che non ha nessun collegamento con il vostro nome reale, avete account separati per ogni piattaforma, ovviamente non usate mai vostre foto reali, sapete come girare nel dark web, usate sempre la VPN, insomma prendete tutte le precauzioni possibili. Vi sentite liberi di truffare le vecchiette e di vendere dati personali sul dark web e per un bel periodo lo fate, finché un giorno tutto quello che avete costruito crolla. Ciao a tutti e benvenuti in questo nuovo video in cui trattiamo un tema che abbiamo toccato un po' di striscio in alcuni dei video crime visti sul canale, cioè come fanno le forze dell'ordine a identificare gli autori dei crimini informatici. Noi ci aspettiamo che siano incredibilmente bravi a nascondersi, che siano irrintracciabili ma in realtà non è sempre così. Quando qualcuno è ricercato, basta che commetta anche solo un piccolo errore per essere arrestato. D'altronde vi ricordo che anche il grandissimo Kevin Mitnick, una figura leggendaria nel mondo degli hacker, rimasto intoccato per anni, alla fine ha pestato i piedi alla persona sbagliata che ha deciso di stargli addosso, riuscendo poi a scoprire dove si stava nascondendo. Questo perché, come dico sempre, il punto debole della sicurezza informatica, ma anche della criminalità informatica è l'essere umano. Possiamo dotarci di tutte le protezioni possibili e immaginabili, ma se facciamo un errore banale, cosa che capita molto più spesso di quello che pensiamo, siamo fregati. Chiusa parentesi. Oggi vedremo dunque come viene tracciato un cybercriminale, come fanno le forze dell'ordine a capire chi è, dove abita e come incastrarlo. E finalmente quindi vedremo un argomento che per una volta non ci causerà ansia, a meno che non siamo ovviamente dei criminali informatici. Ma andiamo con ordine. La nostra storia inizia nel 1966, nel pieno della guerra del Vietnam. L'esercito americano aveva un problema che non riusciva a spiegarsi. Tutte le operazioni che organizzavano, con cui cercavano di sorprendere il nemico, non andavano a buon fine. Il nemico sembrava sempre anticipare le loro mosse e capire cosa avevano in mente, quindi le operazioni a sorpresa non sortivano alcun effetto. Ovviamente pensarono subito che ci fossero delle spie infiltrate fra le loro linee, e una squadra fu incaricata di capire chi fossero le talpe. Alla fine scoprirono in realtà che non c'era nessuno che rivelasse al nemico le loro intenzioni direttamente. Semplicemente i Vietcong raccoglievano informazioni non riservate, come comunicazioni amministrative di routine e richieste di rifornimento, e da lì si facevano un quadro abbastanza chiaro di cosa stessero organizzando gli americani. Questa rivelazione però fece capire che bisognava cambiare il modo in cui si pensa alla protezione informazione, delle informazioni. Spesso non sono i segreti a tradirci, perché quelli stiamo attenti a proteggerli, ma sono i dati banali, quelli che lasciamo in giro senza neanche pensarci, che qualcuno raccoglie, mette in relazione fra di loro e usa poi per ricostruire quello che noi non avremmo voluto svelare. Mi sembra un tema fra l'altro molto collegato all'OSINT, di cui abbiamo parlato nelle ultime 2 settimane, perché si tratta sempre di prendere informazioni anche disponibili pubblicamente e unirle in un quadro che ci faccia dedurre altre informazioni. Chiaramente il passaggio dal contesto militare del 1966 al mondo di internet ha amplificato questo principio in modo straordinario. Una persona che usa internet nel 2026 produce migliaia di dati al giorno, la maggior parte dei quali non è segreta. Penso anche solo ai post sui social che vengono fatti, ai video su YouTube come questo, o alla cronologia di ricerca su Google, per fare qualche esempio. Però se noi fossimo criminali informatici staremmo attenti a lasciare meno informazioni possibili in giro, giusto? Quindi come fanno gli investigatori e forze dell'ordine a tracciare chi è molto riservato ed evita il più possibile di condividere dati online? Vediamolo subito. Il punto di partenza è quasi sempre un frammento. Ad esempio, sono state rubate delle criptovalute emesse in un wallet che ha un determinato codice identificativo, oppure un utente con un determinato username ha pubblicato sul dark web il database di un'azienda vantandosi del furto. Nei casi più fortunati possono esserci un indirizzo mail o un numero di telefono, ma spesso si ha molto meno di così. Quindi si parte da quello che si ha. Si fanno dunque delle ricerche incrociate. Si cerca di capire se lo stesso username è usato anche in altre piattaforme, si tiene monitorato quel wallet per vedere se trasferisce denaro e a chi. Ogni informazione che si trova è utilissima perché permette di costruire un quadro. Se trovo lo stesso account su Discord, ad esempio, posso capire qual è la rete di amici online del tizio che sto cercando, o quali interessi ha. Se trovo dei collegamenti con piattaforme che collaborano con le autorità, sono particolarmente fortunato, perché posso sperare che magari il nostro malintenzionato si sia registrato alla piattaforma anni fa usando il suo vero nome cognome, o quantomeno fornendo un indirizzo mail. So che alcuni di voi staranno pensando: però uno username è un po' debole come traccia, un criminale informatico sicuramente lo cambia spesso. O comunque usa qualche nome utente banale che si confonde in mezzo a mille altri. In realtà questo è vero solo in alcuni casi. Spesso i cybercriminali, parlo chiaramente di quelli diciamo da cameretta, non dei grandi gruppi come Lazarus, ci tengono a lasciare la loro firma quando fanno un colpo. Per esempio abbiamo parlato qualche settimana fa di Ellis Pinsky, che ha rubato 24 milioni di dollari in criptovalute all'investitore Michael Terpin. Pinsky è stato trovato anche grazie al fatto che usava ovunque lo stesso nome utente, cioè Baby Al Capone. Usava sempre solo quello e l'aveva registrato in più piattaforme possibili per evitare che qualcun altro glielo rubasse in qualche modo. È difficile quando si fa così che prima o poi non salti fuori un indirizzo mail o un nome vero. Qualche traccia si lascia per forza. L'importanza di avere un determinato username e di essere conosciuto nel settore sempre solo con quello si capisce anche dall'esistenza di forum come OG Users, che ho citato sempre nel caso di Baby Al sono forum nati proprio per vendere e comprare nomi utenti ritenuti particolarmente rari o fighi. Se io grazie a questi forum metto le mani su un nome utente che mi piace tanto, come @lorisbatacchi, voglio che poi tutti ricolleghino quello che faccio a quello username lì. Non voglio che si pensi che le mie imprese sono compiute da persone diverse. Spesso di fatto è proprio il loro ego che frega i cybercriminali, quindi non va sottovalutata l'importanza degli username. Dicevo comunque che Grazie a nomi utenti particolari che tornano su varie piattaforme, con un po' di fortuna gli investigatori riescono a mettere le mani anche su un indirizzo mail. Sarebbe bellissimo se la mail fosse nome cognome chiocciola gmail.com, ma spesso non è così e si tratta di una mail generica. Si inizia quindi a cercare questo indirizzo mail sul web per ampliare il quadro, partendo magari dai siti che servono a verificare se la mail è mai stata violata da una fuga di dati. Perché fanno questo? Ragioniamoci. Metto le mani ho le mani sull'indirizzo mail supermario@gmail.com e posso ragionevolmente ritenere che sia associato al criminale che sto cercando, perché è la mail che ha usato per registrarsi a qualche piattaforma o comunque collegato in qualche modo al suo username, quello con cui si è vantato in qualche forum di aver rubato dei database a un'azienda. Prendo questa mail e la butto su Have I Been Pwned, anzi lo facciamo in diretta, andiamo direttamente sul sito Have I Been Pwned, che se vi ricordate ne ho già parlato in qualche altro video, è un sito che serve per vedere se il nostro indirizzo mail è finito in qualche fuga di dati. E metto appunto la mail del mio cybercriminale, che è supermario@gmail.com. Ecco qua, questa mail è finita in 92 fughe di dati. Tutti questi siti che vediamo sotto sono siti, piattaforme che sono stati hackerati, in cui il database Alla base di queste applicazioni è stato reso pubblico e quindi è finito fra le cose scoperte anche l'indirizzo mail del mio criminale, quindi supermario@gmail.com. Posso vedere anche quali dati sono stati resi noti. Per esempio, in questo data breach di Under Armour del novembre del 2025 sono stati resi disponibili alcuni dati collegati fra di loro. Oltre agli indirizzi mail, dove c'è sicuramente anche il mio supermario@gmail.com, sono stati resi noti anche date di nascita, età, sesso della persona, addirittura location geografica, nomi e acquisti. Se metto le mani su questo database, che probabilmente è sul dark web, se non addirittura reso pubblico da qualche parte, posso quindi associare al mio indirizzo mail supermario@gmail.com anche tutta una serie di altri dati. Ma mettiamo che, non so, questo database non sia pubblico oppure sia stato messo in vendita a un prezzo altissimo. Vado a vedere se ce ne sono altri. Vado a vedere ad esempio questo, Myvidster 2025. Oltre agli indirizzi mail sono stati pubblicati anche foto profilo e username. Posso usare questo data breach per scoprire qual è la foto utente del mio criminale, quello che sto cercando, o vedere una conferma del collegamento fra lo username che io conosco e l'indirizzo mail su cui ho messo le mani. Vedo poi alcuni servizi in cui sono state rese note email e password, però magari questo mi interessa già meno. Mi immagino che abbia cambiato la password. Word e vado avanti. Cerco tutto quello che può darmi qualche dato in più e cerco di mettere le mani, se possibile, su questi database che con un po' di fortuna sono ancora disponibili sul dark web, se non gratuitamente, quantomeno in vendita. Ovviamente non è detto che la mail che ho in mano sia stata coinvolta in dei data breach, però con un po' di fortuna almeno in 1 o 2 sì. Cosa faccio quindi con questa informazione? Vado nel dark web, e se sono un investigatore so benissimo chiaramente come usarlo al meglio. Sul dark web cerco mettere le mani su questi archivi pubblicati a seguito di data breach, che spesso sono pubblici oppure comunque acquistabili. E già ottengo molte informazioni che posso collegare al criminale che sto cercando. Se invece non ho messo le mani su nessuno username o nessun indirizzo mail, ma ho trovato ad esempio il sito personale del mio cybercriminale, posso fare una ricerca Whois. Vado sul sito di qualcuno a caso, per esempio veronicapaolucci.com, veramente qualcuno che non conosciamo, qualcuno casuale. Penso: ah, ok, questa è la cybercriminale che io sto cercando, quindi voglio capire chi c'è dietro a questo sito. Chissà chi può esserci dietro a un sito con un nome così generico. Vado quindi sul sito Whois, cioè chi è letteralmente, e metto il dominio che io ho, quindi veronicapaolucci.com. Cosa trovo? Abbastanza informazioni. Trovo ad esempio che ha registrato il dominio con Squarespace, trovo che è stato creato il 2 agosto 2025, quindi vedo anche quando scade. Trovo quali sono i name server, quindi ospitato su Cloudflare, e cosa vedo? Vedo alcune informazioni che sono in realtà nascoste per privacy. Per esempio, non posso sapere qual è il nome e cognome della persona dietro al sito web. In questo caso è particolarmente difficile capire chi c'è dietro, se non fosse che almeno ho il nome dell'organizzazione che lo ha registrato, cioè Veronica Paolucci, e da qui potrei arrivare con un po' di indizi collegati fra di lavoro a capire qual è il nome e cognome di questa persona, che rimane però totalmente un mistero. Vedo anche l'indirizzo, è quasi sempre nascosto per privacy, però posso vedere ad esempio che è stato registrato in Italia e posso vedere anche che è stato registrato in una determinata provincia. Per fortuna non c'è il numero di telefono e non c'è il fax, perché non esiste più, penso, il fax. Non credo neanche di averlo mai usato, però va bene. Vedo comunque abbastanza informazioni. Vedete comunque come il quadro si sta facendo sempre più dettagliato Non importa da quali dati parto, qualcosa riesco sempre a trovare e ogni briciolina mi porta un po' più vicina al mio bersaglio. Quali altri strumenti si possono usare? Sicuramente tutti quelli visti nel video sull'OSINT. Se ho una foto pubblicata dal malintenzionato su un forum, posso usare la ricerca per immagini di Google per vedere se l'ha pubblicata anche altrove, vedendo quindi in quali piattaforme gira. Posso provare a vedere se magari si è scordato di cancellare i metadati, che come dicevo sono quelle informazioni automaticamente incorporate in ogni foto e video, che mi dicono quando sono stati girati, con cosa, e con un po' di fortuna anche dove, con le coordinate precise. I documenti possono contenere informazioni come il nome dell'autore, che magari sul proprio computer usa il vero nome cognome, o il percorso in cui il documento si trovava all'interno del computer. Ripeto, sembrano tutte informazioni banali, ma è facile rendersi conto che così banali non sono quando vanno a comporre un quadro preciso. Questi I dati poi vengono ovviamente incrociati. L'analisi delle connessioni fra account sfrutta il fatto che gli stessi indirizzi mail e numeri di telefono vengono usati come identificatori su più piattaforme. Quando due account su servizi diversi sono stati creati con la stessa mail o confermati con lo stesso numero di telefono, sono collegati in modo diretto. Non solo, c'è un altro strumento che merita menzione perché è diventato negli ultimi anni uno dei più usati nelle indagini sulle identità digitali, ovvero la graph analysis delle connessioni fra account. Alcune piattaforme permettono di vedere direttamente o tramite servizi appositi le connessioni fra più profili, quindi chi segue chi, chi ha messo like a cosa, chi ha commentato i post di chi. Vi ho già parlato di servizi come Maltego che servono a fare proprio questo, ma pensiamo anche solo a piattaforme come LinkedIn. LinkedIn mostra proprio come è strutturata la rete di un professionista e assegna anche dei livelli di collegamento fra due account, per far capire quanto sono vicini fra loro. Grado che dipende ad esempio dalle interazioni reciproche, dai messaggi scambiati, e così via. Capire chi fa parte della rete di una persona su siti pubblici o anche sul dark web dice molto su quella persona e mi dà più possibilità di reperire informazioni indirettamente, chiedendole a qualcuno della cerchia del mio bersaglio. Bene, abbiamo capito più o meno come funziona il tracciamento di un criminale, ma visto che ogni investigazione è a sé e segue piste diverse, conviene analizzare qualche caso reale. La vicenda più eclatante nell'ambito delle investigazioni informatiche, il caso che ha mostrato quanto un errore banalissimo possa costare molto caro al cybercriminale individuato come bersaglio, è sicuramente il caso Silk Road, il più grande e-commerce di merce illegale nel dark web. E visto che è il più succoso, interessante, ovviamente lo vediamo nel video della prossima settimana, anche perché ci sono stati dei risvolti di recente, quindi ha senso approfondirlo per bene. Non è da meno comunque il caso di AlphaBay. AlphaBay era a sua volta un e-commerce di merce illegale operativo dal 2014, è diventato il marketplace del dark web più grande al mondo dopo Silk Road. Il fondatore si faceva chiamare Alpha02 e gestiva le operazioni con un'attenzione maniacale per non farsi sfuggire nessun dettaglio su di lui. Il problema è che non aveva prestato attenzione al fatto che quando qualcuno si registrava veniva mandata una mail di benvenuto automatica. Il codice del sistema di notifica conteneva nascosto al suo interno un indirizzo mail. L'indirizzo era pimpalex91@hotmail.com, una bella mail con nome e anno di nascita del fondatore, che aiutò gli investigatori a collegare lo username Alpha02 a una persona reale. A quella mail erano collegati dei conti PayPal, dei profili sui social network, network e su varie piattaforme che riconducevano tutti a una persona specifica, cioè Alexander Cazes, con sede a Bangkok, arrestato poi nel 2017. Un'altra vicenda molto interessante a mio parere è il caso di Jeremy Hammond. Hammond era un hacker americano che tra il 2010 e il 2012 fu autore di alcune intrusioni informatiche particolarmente rilevanti, fra cui quella contro Stratfor, una società di analisi geopolitica da cui furono sfiltrati milioni di mail, poi pubblicati su WikiLeaks. Hammond operava sempre sotto vari pseudonimi e non era sicuramente uno sprovveduto in termini di sicurezza operativa, ma fu individuato comunque. Tra gli elementi che contribuirono alla sua identificazione c'era in particolare la coerenza temporale dei suoi account pseudonimi. Erano attivi sempre e solo negli orari diurni della costa est degli Stati Uniti e mostravano picchi di attività nelle ore serali di quello stesso fuso orario. So che può sembrare molto debole come prova, ma una una cosa dimostrata nel corso degli anni è che spesso gli hacker, buoni o cattivi che siano, sono attivi durante il giorno ma lavorano perlopiù la sera. Quindi questa era già un'informazione sulla sua collocazione geografica. Questo dato, ben incrociato col fatto che certi temi ricorrenti nelle sue comunicazioni indicavano una familiarità con la scena hacker di Chicago, questo aiutò a restringere la ricerca perché probabilmente Hammond viveva appunto a Chicago. Tutte queste informazioni aiutarono gli investigatori investigatori a scavare ancora di più, fino a riuscire a collegare i vari pseudonimi con una persona reale. Un'altra cosa poco considerata da noi utenti, ma molto importante per gli investigatori, è lo stile di scrittura del bersaglio. C'è una scienza chiamata stilometria che studia proprio lo stile di scrittura di una persona per individuare pattern che ritornano, dei tic linguistici, quindi frasi che la persona usa spesso o errori ortografici che inserisce nelle sue frasi. Viene molto usata per collegare più account fra di loro quando il cybercriminale usa pseudonimi diversi. Un caso eclatante dell'uso della stilometria per incastrare qualcuno non riguarda in realtà l'ambito informatico, ma è impossibile non citarlo. Sto parlando del caso di Robert Durst. Robert Durst era un multimilionario americano con una caratteristica particolare: le persone intorno a lui morivano in circostanze misteriose. Misteriose. Nel 1982 sua moglie sparì nel nulla. Lui fu interrogato sulla scomparsa ma rilasciato per mancanza di prove. Nel 2000 stessa cosa con una sua amica di lunga data trovata morta per un colpo di pistola. Venne interrogato e poi rilasciato. Il primo arresto si ebbe dopo l'omicidio del vicino di casa, ma venne condannato solo alla libertà vigilata perché asserì di averlo ucciso per legittima difesa dopo un tentativo di aggressione. Insomma, Insomma, tante sparizioni, tante morti intorno a lui, una storia abbastanza interessante da farci sopra un documentario, cosa che il produttore Andrew Jarecki decise di fare conducendo delle interviste anche direttamente a Robert Durst. Durante le riprese dell'ultima puntata del documentario uscito come miniserie, Jarecki mostrò a Durst due lettere: una scritta da Durst e indirizzata a Susan, l'amica poi trovata morta nel 2000, e una che invece era stata inviata alla polizia e che diceva dove potevano trovare il cadavere di Susan. La grafia delle due lettere era completamente diversa, ma la cosa strana è che in entrambe c'era un errore molto particolare. L'indirizzo Beverly Hills conteneva un errore, c'era scritto Beverly anziché Beverly. Il multimilionario disse: eh sì, strano questo errore, però io non c'entro niente. La lettera Susan l'ho scritta io, ma quella alla polizia. No, ora scusate, ma devo andare in bagno. Andò in bagno e mormorò fra sé: ha ragione, mi ha incastrato, ma non lo sa cosa diavolo ho fatto. Li ho uccisi tutti e tre, ovvio. Il problema è che non si era accorto di avere ancora il microfono addosso e questa frase venne quindi registrata. Al di là della storia pazzesca, se non l'avete visto guardatevi anche il documentario perché è veramente molto bello, documentario che fra l'altro porterà poi all'arresto di First, è importante notare che il dettaglio che lo ha fregato, oltre alla confessione fatta in bagno, è proprio un errore grammaticale banale che era servito come impronta per collegare due lettere che apparentemente non c'entravano nulla fra loro. Va detta una cosa sulla stilometria: temo che col tempo questa tecnica perderà un po' della sua importanza a causa dell'avanzare dell'intelligenza artificiale. Perché già adesso che siamo nelle primissime fasi di adozione di questi strumenti, la scrittura delle persone si è uniformata in un modo incredibile. Sui forum del dark web quindi mi immagino che ci saranno sempre meno post scritti dal cybercriminale di proprio pugno, e questo sarà un indizio in meno nelle mani degli investigatori, che comunque, come abbiamo visto, hanno altre frecce al proprio arco. Bene, come sempre, spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate, e soprattutto non perdetevi Non perdetevi il prossimo video in cui parleremo di Silk Road, un caso veramente troppo figo e affascinante. A presto!