Intelligence accessibile: l'OSINT tra guerra e società

1.    Cos’è l’OSINT?

Con il termine Open Source Intelligence (OSINT) si indica l’attività di raccolta e analisi di informazioni ottenute da fonti accessibili pubblicamente. Queste fonti includono documenti ufficiali, banche dati, social media, contenuti multimediali, immagini satellitari e qualsiasi altra informazione liberamente reperibile online o offline.  A differenza dell’intelligence classica, l’OSINT non richiede autorizzazioni o accessi riservati: la sua forza sta nella capacità di collegare dati dispersi, scoprendo patterns, conferme o contraddizioni nascoste in piena vista.

2.    Social networks: pro e contro

Negli ultimi anni, i social media sono diventati una delle fonti primarie per l’OSINT, soprattutto in contesti di crisi, proteste o guerra. Una foto caricata su Instagram, un video su TikTok, una chat su Telegram: tutto ciò può contenere indizi geolocalizzabili, dettagli ambientali, uniformi, dialetti, coordinate.  Parallelamente, aumentano anche i rischi. I social amplificano l’accessibilità delle informazioni, ma rendono la privacy individuale estremamente fragile. Profili pubblici mal gestiti possono esporre identità, relazioni e abitudini. Anche le aziende sono potenzialmente vulnerabili: attraverso contenuti banali o trascurati, infatti, un attore ostile può ricostruire organigrammi, topologie di rete o flussi logistici.

3.    Ucraina: l'OSINT nel campo di battaglia

La guerra in Ucraina ha rappresentato la consacrazione operativa dell’OSINT. Dall’inizio dell’invasione russa nel 2022, esperti, attivisti e semplici cittadini hanno documentato in tempo reale le fasi della guerra grazie a fonti aperte.  Siti come Bellingcat hanno geolocalizzato bombardamenti, identificato equipaggiamenti militari, smascherato campagne di disinformazione. Con l’analisi incrociata di immagini satellitari, post su Telegram e metadati, è stato possibile attribuire responsabilità a specifici reparti o individui, anche in assenza di dichiarazioni ufficiali. L’OSINT non è più utilizzato solamente da analisti ma viene ormai impiegato anche da attori statali e militari sul campo. I soldati ucraini utilizzano contenuti pubblici per anticipare manovre, monitorare spostamenti, verificare l’efficacia degli attacchi. I comandi militari incrociano i dati raccolti da droni e radar con le informazioni provenienti da canali Telegram tematici, spesso gestiti da analisti civili che pubblicano in tempo reale foto e video ricevuti da persone sul posto (ad esempio in seguito ad un bombardamento o ad un blackout). Questi canali, seguiti anche da operatori militari, offrono un flusso informativo quasi immediato, utile per validare osservazioni satellitari, rilevare patterns e affinare decisioni operative, anche grazie all’analisi dei metadati dei contenuti multimediali.

In questo scenario, l’OSINT è diventato una componente pivotale della guerra moderna, integrata nella catena decisionale tattica e operativa.

4.    Dall’intelligence alla cittadinanza attiva

L’OSINT non è utile solamente in ambito militare. Sempre più spesso viene utilizzato in svariati contesti, come ad esempio:

• giornalismo investigativo, per smascherare fake news, verificare fonti e ricostruire eventi in modo indipendente;

• attivismo sociale, per monitorare violazioni dei diritti umani, abusi ambientali o violenze istituzionali;

• analisi aziendale, in attività di due diligence, monitoraggio reputazionale e sicurezza.

Anche enti pubblici e ONG adottano metodologie OSINT per documentare comportamenti illeciti, ricostruire cronologie o mappare dinamiche di rischio.

5.    Gli strumenti a disposizione

Contrariamente a quanto si pensa, fare OSINT non implica necessariamente l'utilizzo di strumenti avanzati. Esistono difatti diversi strumenti che facilitano la raccolta di dati e informazioni: Google Dorking: per trovare files e pagine non indicizzate correttamente; Shodan: per identificare dispositivi connessi in rete (e.g. telecamere esposte); Wayback Machine: per analizzare l’evoluzione di un sito web nel tempo; ExifTool / TinEye: per l’analisi dei metadati e la verifica di immagini; Maltego: per visualizzare relazioni tra persone, domini e organizzazioni.

6.    Rischi giuridici dell’Open Source Intelligence

Ciò che un tempo era prerogativa di agenzie governative oggi è accessibile a privati, aziende, attivisti. Questa democratizzazione dell’intelligence, se da un lato aumenta la trasparenza, dall’altro espone individui e organizzazioni a notevoli rischi legali.

Anche se l’OSINT si basa su fonti aperte, la legalità non è garantita per default. Alcuni esempi di rischio includono:

• violazione della privacy (Regolamento UE 2016/679 - GDPR) in quanto l’uso sistematico di dati personali, anche se pubblici, può configurare un trattamento illecito se non giustificato da un interesse legittimo e documentato;

• diffamazione e danni reputazionali (ex art. 595 c.p.) derivanti da un’analisi OSINT errata o affrettata (la responsabilità civile e, in certi casi, penale ricade sull’autore e su chi diffonde l’informazione);

• profilazione non autorizzata derivante dalla raccolta di dati con finalità predittive (e.g. per scopi HR, investigativi o di marketing aggressivo) può costituire una forma di sorveglianza vietata;

• responsabilità aziendale (ex D.lgs. 231/2001) qualora un dipendente o un consulente OSINT agisca oltre i limiti di legge (se ciò reca vantaggio all’ente, quest’ultimo può rispondere per omesso controllo).

7.    Come proteggersi: linee guida per l'utilizzo dell’OSINT

Per evitare conseguenze legali e reputazionali, è consigliabile adottare le seguenti pratiche:

1. definire l’interesse legittimo del trattamento dati, poiché ogni attività OSINT va motivata e documentata;

2. a meno che ciò non sia indispensabile, bisogna evitare l’identificazione diretta o indiretta di individui, offuscando nomi, volti e usernames;

3. non effettuare scraping sistematico dei social media, specialmente se aggira le API (Application Programming Interfaces) ufficiali;

4. citare le fonti e indicare il contesto, evitando una decontestualizzazione dell'informazione che risulti in manipolazione o induca a conclusioni false, nonchè ad una conseguente responsabilità oggettiva;

5. è utile prevedere audit interni o esterni sulle attività OSINT in azienda, soprattutto se hanno finalità di analisi politica, reputazionale o di sicurezza;

6. consultare un DPO (Data Protection Officer) o un legale esperto in protezione dati, dal momento che L’OSINT spesso costituisce «trattamento su larga scala».