⚠️ OSINT: su internet c'è tutto di noi

Immaginate di essere tranquilli a casa, state facendo colazione e guardando il telegiornale. A un certo punto ricevete una chiamata da un numero statunitense. Pensate possa essere vostra figlia che si è da poco trasferita a New York, anche se è strano che sia lei visto che lì è notte e non riconoscete il numero. Infatti non è lei, è una sua amica che vi dice che vostra figlia è in ospedale e che le è scaduta l'assicurazione sanitaria, quindi rischia di arrivarle una fattura enorme. Chiedete di passarvela, ma la ragazza vi risponde che in questo momento non la stanno facendo entrare in stanza e che è stata vostra figlia disperata a chiederle di chiamarvi per chiedervi aiuto. Le chiedete cosa potete fare dall'Italia per aiutare vostra figlia e lei vi consiglia semplicemente di rinnovare l'assicurazione sanitaria che costa €600. Sono tanti soldi, ma sicuramente sono meno di quello che rischiate di dover pagare se le arriva la fattura completa dall'ospedale. Vi manda su WhatsApp la fattura proveniente direttamente dall'assicurazione e voi, preoccupati per la situazione, pagate immediatamente. Qualche ora dopo vostra figlia vi chiama per fare due chiacchiere. Siete stupiti di sentirla conversare come se nulla fosse e le chiedete come sta, le chiedete spiegazioni. Nel giro di poco tempo capite che non è mai finita in ospedale, non le è mai scaduta l'assicurazione sanitaria e soprattutto non ha mai chiesto a nessuno di chiamarvi e di chiedervi dei soldi. Quello che è successo è che qualcuno ha analizzato i vostri social e quelli di vostra figlia, ha costruito un quadro chiaro del vostro rapporto e delle vostre condizioni economiche e vi ha chiamato con il pretesto perfetto Siete appena stati vittime di un attacco basato su OSINT. Ciao a tutti e benvenuti in questo nuovo video in cui finalmente parliamo dell'OSINT, un tema che non vedevo l'ora di trattare per due motivi: uno, perché è una delle tecniche più interessanti sia per l'attacco che per la difesa, e due, perché è una tecnica da cui possiamo concretamente difenderci anche se non abbiamo chissà quali competenze informatiche. Ma andiamo con ordine. Partiamo proprio dalla parola in sé. OSINT sta per Open Source Intelligence, che in italiano si traduce con intelligence da fonti aperte. Il termine richiama un po' i servizi segreti, qualcosa che si fa nello scantinato di qualche ministero, e in parte è effettivamente così, ma è anche qualcosa che in realtà facciamo tutti ogni giorno senza rendercene conto. Lo facciamo quando cerchiamo ad esempio il nome di qualcuno su Google prima di un appuntamento, quando guardiamo il profilo LinkedIn di chi ci ha mandato un'offerta di lavoro, quando spiamo qualcuno sui social e via dicendo. Le differenze fra noi e chi fa queste cose per lavoro sono essenzialmente il metodo, gli strumenti e soprattutto l'obiettivo. E analizzeremo bene ciascuna di queste cose nel video. Quindi l'OSINT, per dare una definizione più precisa, è l'attività di raccolta, analisi e utilizzo di informazioni pubblicamente accessibili. Non richiede di hackerare la vittima ed entrare nel suo computer, oppure di intercettarla. Si tratta proprio di raccogliere tutte le informazioni che chiunque sarebbe in grado di trovare perché presenti sul web. Ma dove si trovano queste informazioni? Dipende. Alcune vengono prese sicuramente dai profili social del bersaglio o di persone intorno a lui. Ad esempio, posso trovare la targa della macchina di qualcuno in una bella foto dove sta festeggiando l'acquisto, oppure posso trovare le date e il luogo in cui è stata fatta una vacanza. Altre informazioni le posso prendere magari dal curriculum che la persona ha caricato su LinkedIn o su qualche portale di ricerca del lavoro, o anche dall'organigramma un forum pubblicato sul sito della sua azienda. Altre informazioni spesso poi sono divulgate contro il volere della persona, come quella notizia pubblicata sul giornale locale di quando la vittima ha vinto un concorso scolastico o è stata beccata a correre nuda in spiaggia. Tutte queste cose sono materiale OSINT, sono informazioni che il ricercatore, a prescindere che abbia buone o cattive intenzioni, usa per creare un quadro dettagliato della persona. Ora, prima di andare avanti e vedere come funziona nella pratica, vale la pena fare un passo indietro per capire da da dove viene questa disciplina, perché in realtà l'OSINT non è nata con internet. Internet l'ha resa sicuramente più potente, ma l'idea di raccogliere informazioni da fonti pubbliche a fini di intelligence è vecchia quanto l'intelligence stessa. Uno dei primi utilizzi documentati dell'OSINT risale infatti al 1941, durante la Seconda Guerra Mondiale, quando gli Stati Uniti creano un ufficio apposta, un'unità il cui compito è ascoltare e trascrivere le trasmissioni radiofoniche del nemico. Non c'era niente di segreto in quelle trasmissioni, perché non Non sto parlando dell'intercettazione di frequenze segrete private, erano programmi radio pubblici, di solito dei notiziari. Questo servizio serviva ad analizzarli sistematicamente per capire cosa stava succedendo e cosa raccontavano dall'altra parte della barricata. In parallelo, l'OSS, l'Office of Strategic Services, cioè l'antenato della CIA, raccoglieva giornali, necrologi, fotografie, qualsiasi cosa fosse accessibile pubblicamente e potesse dare delle informazioni sui piani del nemico. Gli Stati Uniti non erano gli unici, perché anche nel Regno Unito era stato attivato un programma simile chiamato BCC Monitoring Service. Insomma, erano stati in diversi ad accorgersi che a volte il nemico regalava informazioni senza neanche rendersi conto di quanto potessero essere utili. Dopo la guerra, queste attività vennero assorbite dagli organismi di intelligence dei vari paesi, e per decenni l'OSINT rimase un settore considerato minore, meno importante rispetto alle intercettazioni elettroniche e allo spionaggio tradizionale. Si preferiva rubare informazioni riservate, tenute nascoste, piuttosto che analizzare le fonti di pubblico dominio. La svolta arriva con internet e in particolare con i social network. Nel 2009 l'Iran viene attraversato da un'ondata di proteste dopo le elezioni particolarmente contestate di quell'anno. Le persone scendono in piazza, filmano con i loro telefoni, postano su Twitter, caricano video su YouTube. Per la prima volta nella storia i dati che arrivavano dai social network in tempo reale offrivano ai servizi segreti degli altri paesi un quadro della situazione più aggiornato e preciso di qualsiasi canale di intelligence tradizionale. Le Primavere Arabe del 2010/2011 confermano poi il fenomeno su scala ancora più ampia, perché tweet, video e foto anche geolocalizzate diventano una fonte privilegiata per capire cosa stava succedendo. Da quel momento in poi l'OSINT esplode. Nascono comunità di analisti indipendenti, ONG specializzate, startup e soprattutto nasce Bellingcat. OSINT, un gruppo che è riuscito a tracciare un lanciarazzi usando solo foto postate sui social, immagini satellitari e qualche post su qualche forum pubblico. Ma questo caso lo vediamo nel prossimo video, perché è veramente una storia da film e merita di essere raccontata per bene. Quello che ci interessa adesso è capire come funziona l'OSINT nella pratica e come si passa dal cercare qualcuno su internet per cazzeggiare a un'attività strutturata di raccolta e analisi di informazioni fatta magari dai servizi segreti. Intanto ogni analista parte da un obiettivo: cosa voglio scoprire? Su chi o su cosa sto indagando? Si parte cercando direttamente il bersaglio, raccogliendo informazioni sulle persone intorno a lui o lei, si incrociano le fonti per capire quali dati sono veri e quali no. Insomma, si crea, diciamo, il quadro più dettagliato e ampio che si riesce a creare. Non è un processo lineare, ovviamente, perché ogni nuova informazione può aprire una pista che richiede ulteriori ricerche, oppure può contraddire qualcosa che ormai si credeva di aver dato rassodato. La verifica delle fonti è forse la parte più importante, perché molto spesso vengono diffuse informazioni non veritiere proprio al fine di depistare chi sta facendo queste ricerche. Gli analisti OSINT usano un criterio di coerenza, cercando di incrociare informazioni come la data, la fonte, l'autore, che devono tornare fra di loro. Se un video viene presentato come girato in una certa città in una certa data, bisogna verificare che dettagli visibili nel video, quindi gli edifici, la vegetazione, illuminazione, le ombre, le insegne, siano compatibili con quella posizione e quel momento. Se ad esempio un filmato risulta girato a Napoli ad agosto e c'è la neve per strada, o è un video falso, oppure Gigi D'Alessio aveva ragione. Una cosa che potreste chiedervi è: ma dove vengono trovate tutte queste informazioni? Intanto, sicuramente su Google. Sappiamo tutti come funziona Google, ma quello che forse non tutti sanno è che esiste un modo per usarlo in modo molto più mirato, ovvero il detto Google Dorking, nome coniato da Johnny Long, un esperto di sicurezza informatica che nel 2002 ha dimostrato che Google aveva funzionalità di ricerca avanzata che permettevano di trovare alcune informazioni pubbliche ma più difficili da trovare. Non è hacking e non è illegale, banalmente si tratta di usare le funzioni native del motore di ricerca in modo un po' più creativo. Vi faccio un esempio: se ad esempio mi cerco su Google e cerco quindi Veronica Paolucci troverò una serie di risultati. Troverò il mio canale YouTube, troverò il mio LinkedIn, troverò un sito che avevo, troverò anche chiaramente le persone che hanno il mio stesso nome cognome. Quindi non per forza sono io, ma può trattarsi anche di omonimie. Cosa voglio fare? Se io voglio ad esempio cercarmi, ma vedere solo i risultati pubblicati su LinkedIn che contengano il mio nome cognome, cosa posso fare? Faccio così: metto il mio nome fra virgolette e sto dicendo a Google che deve cercare solo l'esatta corrispondenza, quindi solo Veronica Veronica Paolucci insieme e dirò cercalo in questo sito site:linkedin.com. Quindi site: serve a trovare solo i risultati contenuti all'interno del sito che metto dopo i due punti, in questo caso LinkedIn. Trovo quindi il mio profilo, trovo altri profili, trovo dei post, trovo delle mie omonime, trovo dei post in cui sono stata taggata, quindi trovo diciamo tutti i risultati su LinkedIn che contengano il mio nome e cognome. Ma io posso fare qualcosa di ancora più approfondito. Ad esempio, posso cercare tutti i file PDF presenti su internet che contengano il mio nome e cognome. E come lo faccio? Lo faccio così: filetype: quindi cerca questo tipo di file, PDF. E compaiono una serie di risultati che, se vedete, sono tutti PDF. Compaiono ad esempio dei documenti legali che ho dovuto pubblicare obbligatoriamente su internet mettendo il mio nome e cognome. Compaiono delle brochure di corsi che ho tenuti. E così via. Il dorking fra l'altro è molto utile e al tempo stesso molto pauroso, diciamo, perché permette anche di collegare tra loro risultati. Nel senso che io posso anche combinare gli operatori che abbiamo visto per fare ricerche estremamente precise. Posso ad esempio dire: cercami tutti i PDF all'interno di questo sito. Quindi scrivere filetype PDF site: e il sito che voglio cercare. Un analista OSINT potrebbe farlo ad esempio per vedere se una società su cui sta facendo delle ricerche ha accidentalmente lasciato accessibili dei fogli Excel sul proprio sito o dei database.

Meanwhile, ok per i tagli, ok per le immagini, ti mando un paio di prove di come le potremmo fare, così mi fai sapere. E per tutto il resto, ricevuto, chiaro e la palissiano, come mi hanno insegnato alle medie. E non so perché mi ricordo ancora questa parola.

Grazie per avermi ricordato la parola la palissiano, che non uso mai a sufficienza, soprattutto nei video. Vedo se riesco a infilarlo nel video che registro stasera, e nel caso sappi che è un omaggio a te, ovviamente. E adesso mi vien da ridere perché sto proprio provando a ripercorrere lo script e capire dove posso inserirlo. Allora, aggiungo due cose. La prima è che purtroppo non sono riuscita ad aggiungere in qualche modo la parola la palissiano. Questo mi dispiace veramente tanto. Due hours later. Cercare queste cose, inutile che ve lo dica, perché la palissiano è del tutto legale. Non è diverso dal girare tutto il sito di un'azienda e capitare per sbaglio su quel file Excel. Chiaramente poi invece configurarsi un reato o una condotta comunque sanzionabile, se prendo documenti che sono evidentemente riservati, anche se pubblicati sul per errore e li diffondo rendendoli evidenti, disponibili a tutto internet. Se entro in un'area che non è protetta da password ma evidentemente dedicata solo agli addetti ai lavori e raccolgo informazioni da usare in seguito, e in generale tutto quello che io faccio poi di illegale con le informazioni che ho raccolto. Quindi se uso l'OSINT, che lo ribadisco è legale, per raccogliere informazioni che poi mi servono per fare un attacco, non è che l'attacco diventa magicamente legale solo perché anche l'OSINT lo è, il modo in cui ho trovato le informazioni. Comunque quello che faccio, la mia condotta rimane reato. Oltre a questi ci sono strumenti che vanno ben oltre la ricerca web tradizionale, anche se prendono comunque informazioni reperibili online da chiunque. Tra questi mi viene in mente sicuramente Shodan. Se Google serve a indicizzare le pagine web, Shodan indicizza i dispositivi connessi a internet, quindi server, webcam, stampanti, router, sistemi industriali. Ovviamente non mostra tutti i dispositivi che abbiano una qualche connessione connessione internet. Non è che se io collego una telecamera al Wi-Fi di casa mia automaticamente sono visibile su Shodan, però mostra tutti i dispositivi che sono configurati per essere visibili. Alcuni lo fanno volutamente, come le webcam live, che servono proprio a poter vedere dal nostro computer un determinato luogo, e per farlo devono essere connesse a internet ed essere visibili a chiunque si voglia collegare. Ma molti dispositivi che troviamo su Shodan non dovrebbero essere visibili, e se lo sono è perché qualcuno li ha configurati male o non ha cambiato le impostazioni predefinite. Un analista OSINT può usare Shodan per trovare, ad esempio, telecamere di sorveglianza non protette da password, dei server con pannelli di controllo accessibili anche senza autenticazione, dei computer di ospedali che usano ancora Windows XP, dei sistemi di infrastrutture critiche, e via dicendo. Mi vengono in mente mille esempi. Sono le classiche cose che fanno i tecnici non esperti di sicurezza informatica quando pensano: ma sì, apro questa importa su questo dispositivo, perché tanto cosa vuoi che succeda? Chi vuoi che veda che c'è questo device sulla rete? Anche Shodan, lo voglio precisare, è legale perché non fa altro che raccogliere informazioni che i dispositivi stessi rendono disponibili. Per la ricerca sulle persone ci sono strumenti come WebMe, che ho già citato in altri video, che serve per trovare informazioni su qualcuno digitando il suo nome cognome, e Sherlock, che invece è un progetto GitHub a cui diamo uno username che Sherlock poi cerca. Lo fa su centinaia di piattaforme social contemporaneamente. Quindi se qualcuno usa lo stesso username, lo stesso nome utente, su Instagram, Reddit, GitHub, Twitter, Telegram e chissà quali altri servizi, Sherlock ve lo dice in pochi secondi. Anche questo è molto usato dagli analisti OSINT perché capita di frequente che i loro bersagli non usino i social con nome e cognome, ma prendano uno username e usino quello dappertutto. Un caso che mi viene in mente è proprio quello di Elly Spinsky, che abbiamo visto la scorsa settimana settimana che usava lo username Baby Al Capone e lo usava ovunque, quindi è stato anche più facile tracciarlo. Oltre a questi c'è Maltego, uno degli strumenti OSINT più potenti. Voi inserite un dato che può essere un indirizzo mail, un nome, quello che volete, e Maltego vi mostra graficamente le relazioni fra le persone, i domini web, gli indirizzi IP, gli account social, gli indirizzi mail. Fa proprio tipo una mappa delle connessioni. Ha una versione base gratuita, ma quella professionale a strumento è usato regolarmente da forze dell'ordine e agenzie di intelligence, tanto che Maltego stesso quando vi registrate vi chiede se fate parte di un governo o di qualche autorità. Quelle che ho citato sono tutte ricerche basate su persone e dispositivi, ma c'è un altro elemento molto usato dai ricercatori OSINT, che è la geolocalizzazione. Partendo da una foto o da un video, un analista esperto può determinare l'ambientazione, quindi dove sono stati scattati o girati, con una precisione impressionante. E lo fa analizzando tutto quello visibile nell'immagine. La forma degli edifici, quindi anche se sono di un determinato periodo storico o di un determinato posto in cui gli edifici sono fatti tutti così. Le insegne e in che lingua sono. La vegetazione, perché chiaramente una città come Milano sarà diversa da un paesino di campagna. Le ombre che indicano l'ora e la latitudine, se siamo veramente molto bravi. I tipi di auto parcheggiate, che magari con un po' di fortuna hanno anche la targa visibile, posso capire in che stato siamo. I cartelli stradali. Usano per aiutarsi strumenti come Google Earth, Google Google Maps e tutti gli altri strumenti di questo tipo, in modo da confrontare i dettagli che loro hanno raccolto con le immagini satellitari. In questo aiutano moltissimo anche i metadati. Per chi non lo sapesse, ogni foto scattata con uno smartphone contiene dei dati nascosti. Ho detto smartphone, ma vale anche per le fotocamere normali. Questi dati nascosti sono i cosiddetti dati EXIF, o appunto metadati, come il modello del nostro dispositivo, la data e l'ora dello scatto, e in molti casi anche le coordinate GPS esatte di dove la foto è stata scattata. Se qualcuno quindi posta una foto senza aver prima rimosso i metadati, chiunque può sapere dove si trovava nel momento esatto in cui l'ha scattata. Molti social, come sicuramente WhatsApp, Instagram, Facebook, direi anche Twitter, rimuovono automaticamente i metadati EXIF dalle foto caricate, ma non tutti lo fanno. Penso ad esempio anche alle foto condivise via mail o su qualche forum che magari non è stato configurato per cancellarli. Parli. Il caso più eclatante di questa cosa è il caso di T-Dating Advice, un'app nata per permettere alle donne di scambiarsi consigli e per rendere più sicura la loro esperienza negli appuntamenti al buio e nell'uso di app come Tinder, perché queste donne potevano ad esempio condividere dei profili di persone con cui si stavano sentendo per chiedere alle altre se lo conoscessero e che tipo di persona fosse. L'estate scorsa si è scoperto che questa app aveva lasciato un database accessibile a chiunque che conteneva, fra le altre cose, anche tutte le patenti delle donne iscritte, caricate per fare la verifica del profilo e teoricamente cancellate subito dopo, cosa che ovviamente non veniva fatta. Da queste foto, oltre a tutti i dati scritti nella patente stessa, sono stati estratti anche i metadati che non venivano cancellati e che permettevano in molti casi di risalire anche al posto esatto in cui era stata scattata la foto. Un caso assurdo, perché un'app nata per mettere un po' più al sicuro le donne nel mondo del dating di fatto le ha messe molto più in articolo esponendo i loro dati e le loro coordinate geografiche insieme a tutte le conversazioni private scambiate con altre persone. Chiusa parentesi. Quindi siamo degli analisti OSINT e abbiamo usato il nostro arsenale di tool e conoscenze per farci un quadro preciso della persona. Cosa facciamo adesso? Intanto, può sembrare banale ma non lo è, dobbiamo custodire bene le prove che abbiamo trovato. Il web cambia continuamente. Se io baso alcune delle mie informazioni su un post scritto da una persona e poi questo post viene cancellato e io non ho nessuno screenshot, mi trovo sicuramente in difficoltà. Anche per questa cosa qua, ormai l'avrete capito, esistono degli strumenti fatti apposta, come Hunchly, che è un'estensione per Chrome che screenshotta automaticamente ogni pagina visitata durante un'indagine, salvandola con timestamp, quindi data e ora, e hash crittografico per attestare l'autenticità dello screenshot. A livello più ampio, se voglio vedere le versioni precedenti, ad esempio di un sito web che non ho mai visitato prima, posso usare la Wayback Machine dell'Internet Archive, che serve proprio ad archiviare periodicamente le pagine web per creare una sorta di memoria storica di internet. Fin qui abbiamo parlato del metodo usato e abbiamo fatto anche un po' la lista della spesa dei tool, ma andiamo a vedere qualche caso reale in cui l'OSINT ha giocato un ruolo chiave, così capiamo anche quanto può essere pericoloso, se vogliamo. Nel 2015 un militante dell'ISIS posta un selfie sui social. Nella foto si vedeva lui in piedi davanti a un edificio e nel post si vantava di quanto l'ISIS stesse controllando bene quella zona. Il problema che questo militante non aveva considerato è che gli analisti dell'Air Force americana passavano le giornate a setacciare i social alla ricerca di informazioni utili per localizzare proprio le squadre dell'ISIS e capire come colpirle. Gli analisti vedono il post, ingrandiscono l'immagine e si mettono al lavoro per geolocalizzare questo edificio. 22 ore dopo, 3 bombe guidate statunitensi radono al suolo quella struttura. Tutto per colpa di un post su un social. Passiamo alla regione dello Xinjiang, nella Cina occidentale. Dal 2017 in poi iniziano a circolare voci sulla detenzione di massa di uiguri e altre minoranze musulmane, che a quanto pare si trovano in strutture denominate centri di formazione professionale. Il problema è che la Cina nega tutto ed è praticamente impossibile andare sul posto per verificare. I ricercatori dell'ASPI, l'Australian Strategic Policy Institute, decidono di usare l'OSINT, incrociando tutte le immagini satellitari disponibili pubblicamente, guardando anche cose come documenti di gare d'appalto governative per la costruzione di nuove strutture, notizie sul giornale, testimonianze e via dicendo. E incrociando tutto questo materiale riescono a mappare oltre 380 strutture di detenzione in tutta la regione, a classificarle per livello di sicurezza, dalle più basse, che erano in pratica dei campi di rieducazione, alle più alte, che invece erano vere e proprie prigioni di massima sicurezza con recinzione torri di guardia. E oltre a questo hanno monitorato anche l'espansione nel tempo di queste strutture, confrontando immagini satellitari di periodi diversi e dimostrando che molte strutture sono state non solo mantenute ma addirittura ampliate anche dopo che le autorità cinesi avevano dichiarato che tutti i detenuti erano stati rilasciati. Il database che hanno creato gli analisti, lo trovate cercando Xinjiang Data Project, è il più completo al mondo su questo argomento e ha contribuito ad alimentare il dibattito internazionale internazionale sui diritti umani, mettendo un po' di pressione sulla regione che ha iniziato lentamente, a quanto pare, a rilasciare i detenuti. Quindi l'OSINT non serve solo a stalkerare i nostri ex o a radere al suolo gli edifici del nemico, ma può essere anche uno strumento utilizzato per scopi più nobili. Un altro esempio di questo, sempre del 2017, è l'operazione Thunderbird, organizzata da Interpol e dall'Organizzazione Mondiale delle Dogane per contrastare il traffico illegale di animali selvatici. In questa operazione le tecniche OSINT hanno avuto un ruolo centrale, perché gran parte del lavoro è consistito nel monitorare costantemente i marketplace online e i social network per trovare annunci di vendita di avorio, corni di rinoceronte, pangolini, scimmiette e così via. L'operazione ha portato poi al sequestro di tonnellate di prodotti illegali e a centinaia di arresti. Tutti e tre i casi che ho citato riguardano operazioni su larga scala, quindi adesso noi potremmo pensare: vabbè, io non vendo pangolini su internet, non imprigiono la gente e non sono dell'ISIS, quindi l'OSINT non rappresenta un pericolo per me. In realtà purtroppo non è così, è una tecnica che spesso e volentieri viene usata anche contro le persone normali per fare loro del male. Il doxxing è l'esempio più diretto ed è una cosa di cui non parla nessuno, ma è molto più diffusa di quello che pensiamo, ed è anche una cosa su cui dovrebbero prefatte delle leggi ad hoc, a mio modestissimo parere. Si ha doxxing quando una persona per vendetta, antipatia, estorsione o chissà quale motivo rende pubblica la nostra identità sui social o sui forum che usiamo, divulgando nostre informazioni private come nome e cognome, indirizzo di casa, numeri di telefono, nostre foto, luogo di lavoro, nome del nostro cane e via dicendo. Spesso sono informazioni ottenute incrociando le fonti reperibili su internet, quindi usando le tecniche di OSINT di cui abbiamo parlato finora, che vanno a creare un profilo completo di qualcuno. E voi potreste chiedervi: ok, ma se quelle informazioni sono già su internet, qual è il problema? Il problema è che ci sono stati molti casi di identificazioni sbagliate dopo attentati o fatti di cronaca, in cui gruppi di utenti online si sono improvvisati investigatori e hanno accusato pubblicamente delle persone innocenti, pubblicando informazioni dettagliate e scatenando le folle contro di loro. Cosa che è sbagliata, anche se fossero colpevoli, prima di un processo, direi. Comunque, se sono innocenti, è ancora peggio. Di fatto il doxxing spesso apre la strada quindi a una nuova forma di linciaggio, che è vero che non avviene in piazza, avviene su internet, ma è altrettanto in grado di distruggere la vita delle persone. Quindi l'OSINT fatto in maniera amatoriale, senza metodo e senza rigore, diventa pericolosa. Non perché lo strumento sia nocivo di per sé, ma perché manca la verifica, manca il dubbio, manca la consapevolezza che un dato non verificato, non incrociato con altre fonti, non è una prova. Un esempio lampante di questo è il caso Cambridge Analytica del 2018, che ha mostrato cosa succede quando i dati pubblici e semipubblici di milioni di persone vengono raccolti e analizzati sistematicamente per scopi di manipolazione politica. Per chi non conoscesse questo caso, Cambridge Analytica era una società di consulenza politica britannica fondata nel 2013. La loro specialità era quella che loro chiamavano profilazione psicografica. In pratica raccoglievano tutti i dati possibili sui cittadini in modo da creare per ciascuno un profilo, cosa che si fa spesso durante le elezioni per dividere i cittadini in classi di votanti e differenziare un po' la campagna elettorale. Il loro metodo di profilazione però non era limitato a dati come residenza, età e preferenze politiche. Volevano capire come ciascun cittadino ragionava, di cosa aveva paura, cosa lo motivava, come prendeva le decisioni e così via. Per farlo usavano il modello OCEAN, un modello psicologico che misura 5 tratti della personalità, ovvero apertura alle esperienze, coscienziosità, estroversione, gradevolezza e nevroticismo. Riuscendo a collocare la persona su queste 5 scale, potevano prevedere con una certa precisione come avrebbe reagito a determinati messaggi politici. Quindi potevano creare campagne elettorali personalizzate in base a gruppi molto più ristretti di utenti. Il punto è che Cambridge Analytica doveva capire come raccogliere questi dati su milioni di persone. E in loro aiuto nel 2014 arriva una app per Facebook chiamata This is Your Digital Life. Si presentava come un test della personalità, uno di quei quiz che in quegli anni giravano ovunque sui social, tipo "Che ortaggio ti senti?". Circa 270.000 persone lo completano e condividono su Facebook il risultato. E fin qui son problemi loro, diciamo, perché veramente le domande erano molto personali. Il punto però è che all'epoca Facebook permetteva alle app di terze parti di accedere non solo ai dati di chi le aveva effettivamente installate, ma anche ai dati di tutta la loro rete di amici, senza il loro consenso. In questo modo, partendo da 270.000 utenti, la app This is Your Digital Life arriva a raccogliere dati di circa 87 milioni di profili Facebook, censendo tutto quello che poteva: i like messi, gli interessi, le amicizie, le posizioni politiche, i commenti lasciati, l'attività sulla piattaforma, tutto quanto. Questi dati vengono venduti a Cambridge Analytica, che li usa per costruire profili psicologici dettagliati di milioni di elettori americani e britannici. A quel punto parte il microtargeting, quindi invece di mandare lo stesso messaggio politico a tutti, la società mandava messaggi diversi a persone diverse in base al loro profilo psicologico. Se una persona aveva un punteggio alto di neuroticismo, riceveva contenuti che facevano leva sulla paura. Se era molto coscienziosa, il messaggio parlava di ordine e regole. Se era aperta alle esperienze, le presentava il cambiamento come un'opportunità. Ogni persona vedeva la pubblicità politica più adatta a farle cambiare idea o a convincerla ad andare a votare, oppure chiaramente nel caso degli avversari a non andarci. Cambridge Analytica ha lavorato sia la campagna presidenziale di Trump nel 2016 che alla campagna per la Brexit. Quanti voti tutto questo lavoro di microtargeting abbia effettivamente spostato è ancora molto dibattuto, nel senso che non tutti sono d'accordo che questa attività abbia portato risultati reali. Ma quello che sicuramente non è dibattuto è che raccogliere i dati di 87 milioni di persone senza il loro consenso e usarli per cercare di influenzare il loro comportamento politico è una cosa che che non si fa. Comunque, quando questa cosa è venuta fuori, c'è stato uno scandalo tale che Facebook ha dovuto sborsare quasi 6 miliardi di dollari fra multe e class action, e Cambridge Analytica ha dichiarato bancarotta. Impossibile non riconoscere nel metodo usato in questo caso un uso massiccio e discutibile dell'OSINT, accompagnato da una raccolta abusiva di altri dati personali pubblicati dagli utenti su Facebook, e poi rivenduti. E qui arriviamo a un punto che mi sta particolarmente a cuore, perché credo che sia poi alla fine il vero messaggio di questo video. Il problema non è l'OSINT, il problema è quante informazioni noi stessi lasciamo in giro senza pensarci. Vedo persone che postano foto del loro biglietto aereo su Instagram con il codice di prenotazione leggibile, con la destinazione, con le date, e già queste sono tantissime informazioni che stiamo regalando a non sappiamo chi. Vedo persone che taggano i luoghi in cui sono, e non dico solo i posti in cui sono in vacanza, ma anche la scuola, l'università e il posto di lavoro. Vedo aziende che pubblicano sul sito l'organigramma dettagliato di tutto il personale, a volte pure accompagnato magari dal curriculum di ogni dipendente. Vedo tutte queste cose e rabbrividisco, perché è chiaro che non è ancora passato il messaggio che i dati personali sono il nuovo petrolio e che ci sono aziende e persone che basano tutto il loro lavoro sul parli e sul raccoglierli. Alcuni potranno dirmi: ok, però ci sono le leggi. Il GDPR, ad esempio, la normativa sulla privacy, dice che alcuni dati non possono essere pubblicati o utilizzati per finalità diverse da quello per cui sono stati forniti. E io dico: benissimo, ma la protezione migliore non è quella che ci dà la legge, e lo dico da avvocato, è il nostro buon senso. Il codice penale tutela le vittime di rapina, però non è che allora io mi metto al polso 3 Rolex e vado a sfoggiarli in posti malfamati, no? Cerco di prevenire. I nostri dati valgono molto più di un Rolex ed è ora che ce lo mettiamo in testa. Quindi cerchiamoci su internet, analizziamo i nostri social, cerchiamo di togliere tutto quello che non è strettamente necessario o che comunque potrebbe darci in futuro dei problemi. Perché come ho già detto, l'OSINT non è un'attività illegale di per sé, quindi meno informazioni regaliamo in giro meglio è, perché raccogliere queste informazioni è del tutto legittimo. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere cosa ne pensate di questo argomento nei commenti e vorrete impostare come privati i vostri profili social. Noi ci rivediamo la prossima settimana con il video dedicato a Bellingcat, e vi dico già che non vedo l'ora di raccontarvi questo caso. A presto!