Doxing e OSINT

Stai cercando lavoro. Pubblichi sul tuo profilo il certificato di laurea appena preso. Foto bellissima, sorriso a trentaduemilacinquecento denti dalla felicità, con tanto di data di nascita, nome dell'ateneo e città ben visibili.

Tre giorni dopo ricevi un messaggio su WhatsApp: "Ciao, sono del servizio amministrativo della tua università. Ci risulta un problema con il pagamento dell'ultima tassa per il rilascio della pergamena. Clicca qui per regolarizzare, o il titolo verrà annullato."

SBADABAM: 😱😱 Sincope in corsoooooo! Ti viene da cliccare subito.

Ci caschi perché credi davvero di parlare con la tua università. Non ti sorge nemmeno il dubbio, per te quella è la burocrazia reale che ti sta contattando. Ma fermati un secondo. Lo dice anche Fabrizio Moro in una sua canzone: prima di sparare, pensa. E tu qui, prima di cliccare, pensa!

Respira, rifletti e ragiona. Dietro quel messaggio non c'è la segreteria studenti. C'è un truffatore che ha costruito una finzione perfetta usando le informazioni che gli hai regalato tu!

Non ha violato i server della NASA o dell'ateneo: ha solo usato l'OSINT per fare doxing su di te.

In gergo tecnico, OSINT significa Open Source Intelligence.

Sembra una parola da agente segreto, ma indica una cosa semplicissima: raccogliere informazioni da fonti pubbliche e aperte a tutti.

I social media, i registri online, i commenti lasciati sui forum, persino lo sfondo di una foto dove si vede la targa della tua macchina...

Il doxing (che deriva da "docs", cioè documenti) è il passo successivo.

Avviene quando qualcuno mette insieme tutti questi tasselli sparsi sul web per ricostruire la tua identità reale, la tua routine o i tuoi punti deboli, usandoli per danneggiare, spaventare o truffare.

Facciamo una metafora semplice?

Immagina di girare per il paese lasciando cadere dalla tasca dei foglietti

Su uno c'è scritto dove prendi il caffè, su un altro il nome del tuo cane, su un terzo dove ti sei laureato, su un quarto il nome della palestra che frequenti… insomma se un malintenzionato raccoglie tutti i foglietti, ottiene la mappa completa della tua vita senza aver mai forzato la serratura di casa tua.

Se pensi che l'OSINT e il doxing siano solo teoria, guarda cosa è successo quando applicati nel mondo reale:

Bellingcat and Russian intelligence (GRU) ha smascherato ufficiali e basi segrete dei servizi russi incrociando vecchi registri di immatricolazione auto, elenchi di consegne pacchi trafugati e profili social, senza mai violare alcun server..

L'effetto "Don't Fk with Cats": Reso celebre dall'omonima docuserie, mostra come una community online di cittadini sia riuscita a rintracciare un criminale analizzando minuziosamente i dettagli dello sfondo dei suoi video (prese della corrente e particolari della stanza).

La base dello Stato Islamico (ISIL) distrutta da un selfie: alcuni analisti militari hanno localizzato e distrutto un quartier generale dell'ISIS semplicemente esaminando i metadati e i dettagli sullo sfondo di una foto pubblicata da un miliziano.

L'assalto al Campidoglio (6 gennaio 2021): Il più grande esercizio di doxing e OSINT di massa della storia recente, dove migliaia di investigatori da tastiera hanno setacciato video e screenshot per identificare e denunciare centinaia di rivoltosi alle autorità.

Attenzione però: l'OSINT di per sé è una disciplina del tutto legale ed etica. Anch'io, lavorando nel settore della sicurezza informatica, la utilizzo spesso per analisi tecniche e per proteggere infrastrutture o persone. La usano i giornalisti d'inchiesta, gli investigatori e gli analisti. Il problema nasce quando queste tecniche finiscono nelle mani sbagliate.

l'OSINT si trasforma in doxing o in spear phishing, ovvero la truffa ritagliata su misura per te. Se il truffatore sa come ti chiami, dove ti sei laureato e che scuola frequentano i tuoi figli, la sua bugia sembrerà vera al mille per mille.

Per evitare che i tuoi dati pubblici diventino un'arma contro di te:

Fai un'operazione di pulizia sui social,imposta i tuoi profili su "privato". Ti faccio notare oggi ti manca solo di pubblicare un report dettagliato di quante volte sei andato al bagno e praticamente hai detto tutto. Mantenere un basso profilo e una sana discrezione riduce drasticamente i rischi. Evita di spiattellare a sconosciuti dove vai a cena, dove fai shopping, la via di casa, la targa dell'auto nuova, la scuola dei tuoi figli e i tuoi figli stessi.

Fai "ego-googling" senza cliccare sui link sospetti: Cerca ogni tanto il tuo nome e cognome su Google tra virgolette (sfruttando in autonomia tecniche di ricerca avanzata simili al Google Dorking).

Apri Google e scrivi esattamente "Mario Rossi" Roma oppure "Mario Rossi" università racchiudendo il nome tra virgolette per trovare solo i risultati esatti che ti riguardano. Verificherai subito quali tuoi dati personali sono rimasti esposti e liberamente visibili a chiunque.

Occhio ai dettagli nelle foto: Prima di pubblicare uno scatto, controlla bene lo sfondo per evitare di mostrare informazioni, che siano biglietti da visita, badge aziendali, codici a barre di biglietti aerei o documenti d'identità.

Tieni a mente che le foto contengono metadati nascosti, tra cui la posizione GPS esatta dello scatto.

Per evitare alla radice che il tuo smartphone ficcanaso registri dove sei, vai nelle Impostazioni del telefono, entra nei permessi della fotocamera e disattiva l'accesso alla geolocalizzazione/posizione.

Se invece vuoi pubblicare uno scatto fatto in precedenza, puoi ripulirlo al volo.

su iPhone basta aprire la foto, cliccare sulla "i" delle informazioni e rimuovere la posizione.

su Android puoi usare app gratuite e sicure come Imagepipe o semplicemente fare uno screenshot della foto; lo screenshot di solito azzera tutti i metadati originali della fotocamera.

Diffida da chi usa dettagli personali per metterti fretta: Se qualcuno ti contatta citando informazioni reali su di te per chiederti soldi o codici, fai una verifica autonoma. Cerca il numero ufficiale della struttura e chiama tu direttamente.

Ricorda la regola d'oro: internet ha una memoria di ferro. Meno indizi regali al pubblico, meno armi avranno i truffatori per colpire la tua tranquillità.

Ti è venuto un brivido freddo pensando a quanta polvere digitale hai lasciato in giro?

Non aspettare che sia un truffatore a fare il primo passo. Se vuoi verificare quanto la tua esposizione online (o quella della tua azienda) sia vulnerabile a tecniche di OSINT e data leak, sono disponibile per una valutazione e un'analisi mirata della tua superficie di attacco. Mettiamo in sicurezza la tua identità prima che qualcun altro decida di gestirla al posto tuo.