OSINT: un antidoto al caos digitale?
In questo articolo esaminiamo il ruolo dell’Open Source Intelligence (OSINT) nel panorama informativo attuale, analizzando questo approccio si inserisca nel più ampio contesto della gestione e dell’utilizzo delle informazioni pubblicamente accessibili. Il contenuto fa parte di una serie di approfondimenti redatti da Marta Zeroni incentrati sulla complessa tematica della sovraesposizione e del controllo sui dati nell’ecosistema digitale contemporaneo.
Se sino ad ora si è osservato il fenomeno della sovraesposizione online attraverso la lente delle sue vittime – effettive o potenziali –, è pur vero che a tale angolo di visuale ne corrisponde un altro di segno opposto, ossia quello di chi anziché subire la natura iper-pubblica delle informazioni è in grado di sfruttarla in modo proattivo per un determinato fine.
L’OSINT come strumento di analisi
Del resto, ciascun archivio di materiale pedopornografico o di pornografia non consensuale di immagini o video provenienti dal surface web dal deep web [1], è stato popolato da utenti che hanno attinto metodologicamente a fonti aperte online per reperire il materiale, filtrarlo, categorizzarlo ed infine metterlo a disposizione di una determinata cerchia di fruitori.
Le attività descritte, pur illecite ed esecrabili, ricalcano quelle che sono le fasi proprie dell’Open Source Intelligence (c.d. OSINT o intelligence delle fonti aperte), disciplina che trova il proprio presupposto essenziale nella disponibilità ed accessibilità delle fonti informative aperte [2].
L’attività di intelligence delle fonti aperte non è di per sé illecita; tanto è vero che già nel 2001 la NATO la considerava una componente vitale della propria visione futura [3]. L’OSINT, infatti, consentirebbe di raccogliere informazioni senza travalicare limiti di legge [4]e mantenendo un approccio estremamente dinamico, considerato che può avvalersi, come si vedrà, di un ambito di indagine in continua espansione e strumenti sempre più sofisticati.
Per comprendere cosa sia l’intelligence delle fonti aperte – fermo che non ne esiste, ad oggi, una definizione unanime e condivisa a livello nazionale, europeo o internazionale – ci si può rifare a quanto riportato dalla stessa Alleanza Atlantica nel NATO Open Source Intelligence Handbook:
Open Source Intelligence, or OSINT, is unclassified information that has been deliberately discovered, discriminated, distilled and disseminated to a selected audience in order to address a specific question[5].
In termini analoghi si esprime a sua volta il Direttore dell’Intelligence nazionale statunitense con l’Intelligence Community Directive 301 firmata nel 2006:
Open-source intelligence (OSINT) is intelligence that is produced from publicly available information and is collected, exploited, and disseminated in a timely manner to an appropriate audience for the purpose of addressing a specific intelligence requirement [6].
Da entrambi gli enunciati si desume che per Open Source Intelligence debba intendersi il prodotto (intelligence) di una serie di attività e operazioni effettuate su informazioni non riservate o pubblicamente accessibili. Di conseguenza, l’OSINT propriamente detta dovrà essere tenuta ben distinta dalle mere informazioni raccolte da fonti aperte che non siano state sottoposte a specifiche valutazioni [7](cosiddette OSINF, Open Source Information).
Il ciclo dell’OSINT
Una volta identificati gli obiettivi dell’indagine, l’Open Source Intelligence richiede pertanto l’avvio di una serie di fasi [8]per il vaglio e la valutazione di fonti ed informazioni secondo un metodo il più possibile scientifico. L’Open Source Intelligence cycle – così definito dalla NATO – si svolge sostanzialmente in quattro momenti fondamentali:
- Discover (Know Who Knows): l’analista inizia la raccolta di informazioni da una varietà di fonti aperte, tra cui siti web, social media, database pubblici, quotidiani, riviste;
- Discrimination (Know What’s What): durante questa fase, l’analista seleziona e raggruppa le fonti per importanza e rilevanza, distinguendole tra attendibili o meno, attuali od obsolete, anche in funzione di eventuali valutazioni costi-benefici;
- Distillation (Know What’s Hot): vengono estratte le informazioni rilevanti ed identificati pattern, tendenze, relazioni significative;
- Dissemination (Know Who’s Who): l’intelligence viene condivisa con i soggetti interessati (ad esempio mediante rapporti ad hoc), mantenendone successivamente traccia mediante archiviazione [9].
Il ruolo chiave delle fonti aperte
Appurata la necessità di seguire il processo o ciclo descritto, risulta evidente all’interno dello stesso il ruolo centrale che assume la fonte aperta; essa si presenta come un’entità di varia natura – più o meno organizzata, più o meno strutturata –, portatrice di un certo contenuto informativo (c.d. “valore informativo aggiunto”) [10].
Non si parla pertanto, delle sole fonti online, ma anche di tutte quelle fonti per così dire “classiche” quali quotidiani, periodici, riviste, libri, radio e tv, fotografie ed immagini satellitari, come pure della c.d. grey literature, rappresentata da materiale legalmente accessibile ma da reperire mediante il ricorso a fonti specializzate (es. documenti non riservati a rilevanza interna prodotti da organizzazioni, istituti di formazione e aziende) [11].
“Nell’intelligence delle fonti aperte tutto o quasi è una fonte” [12]e, viceversa, circa l’80% dell’intelligence proverrebbe da fonti aperte [13]. Innegabilmente, internet – con la sua crescita esponenziale e le sue varie declinazioni – ha allargato a dismisura il perimetro delle fonti, rivoluzionando l’OSINT in modo decisivo [14]: la NATO lo menziona espressamente nel suo Handbook – pubblicato, non a caso, proprio nel pieno della bolla tecnologica delle dot-com – ma al tempo stesso mette in guardia gli analisti affinché affrontino tale fonte “with great caution” [15]; e questo approccio cautelativo risulta tanto più necessario nel panorama attuale.
Dal fitness tracker alla geolocalizzazione delle basi militari
Anche da informazioni in apparenza innocue ed impersonali, l’analista OSINT – o il semplice utente amatore – può desumere dettagli estremamente puntuali.
È ben noto il caso dell’applicativo di fitness tracking Strava, che nel 2017 ha reso pubbliche le sue heath map globali, comprensive di “700 milioni di attività, 1.4 trilioni di punti di latitudine e longitudine, 7.7 trilioni di pixel rasterizzati, 5 terabyte di dati di raw input, per una distanza totale di 16 miliardi di chilometri e una durata totale di attività registrate pari a 100mila anni” [16], suscitando immediate reazioni: sulla base di tali dati, molti utenti identificarono con relativa facilità basi ed avamposti militari le cui posizioni sarebbero dovute rimanere riservate [17].
Si pensi poi, senza spostarsi dall’ambito della georeferenziazione, a come il geoguessing sia diventato un passatempo diffusissimo tra gli utenti, i quali, sfidandosi all’interno di varie community, si cimentano nel risalire alla localizzazione di immagini casuali, ad esempio estratte da Street View [18].
Il Social Media Intelligence (SOCMINT)
Tra le fonti aperte è d’obbligo menzionare i social media, che negli anni hanno naturalmente acquisito crescente rilevanza, al punto da esserne sovente considerati una branca d’intelligence a sé stante (c.d. SOCMINT) [19].
Nel contesto social, le relazioni tra gli utenti possono essere facilmente identificate e mappate; le attività di persone fisiche e giuridiche risultano ben monitorabili, talvolta in tempo reale, anche visionando commenti e/o conversazioni tra utenti, dati di geolocalizzazione e diversi tipi di materiali multimediali (ad es. testi, foto e video), disponendo per altro di strumenti integrati per il filtro dei contenuti, mediante tag, chiavi di ricerca o l’indagine mirata all’interno di specifici gruppi o network [20].
Sfide etiche e legali nell’OSINT: il rischio di violazione della privacy
L’accesso a una tale mole di fonti, tuttavia, non è sempre un vantaggio per l’analista OSINT. Quest’ultimo, dotato di risorse intrinsecamente finite, si trova a doversi orientare in un patrimonio informativo potenzialmente illimitato, con esigenze di liceità, esattezza e pertinenza delle fonti che con ogni evidenza vanno al di là del mero rispetto formale delle regole del gioco, riguardando lo stesso obiettivo sostanziale dell’attività di intelligence.
Assicurare una corretta conduzione dell’Open Source Intelligence cycle significa anche evitare le distorsioni che possano inficiarne il processo, tra le quali si ricorda il rischio di violazioni di dati personali, richiamando il c.d. privacy paradox secondo cui le informazioni sono disponibili ed accessibili, e pertanto non private, ma allo stesso tempo possono risultare estremamente sensibili e di natura personale, e pertanto private [21].
Inoltre, informazioni in apparenza anonime, se interconnesse con altri dati, potrebbero identificare in modo univoco l’interessato nel corso dell’investigazione.
L’ammissibilità legale delle prove OSINT
Per altro verso, l’analista dovrà in genere considerare l’ammissibilità della prova ottenuta tramite OSINT nel corso di un eventuale giudizio, dovendo assicurare che la fonte delle informazioni risulti chiaramente identificata, affidabile e che le stesse informazioni siano state raccolte lecitamente e presentino i necessari profili di integrità ed affidabilità.
Tali sfide hanno reso cruciale il ricorso agli algoritmi, grazie ai quali è possibile raccogliere, organizzare e vagliare enormi volumi di dati, identificando pattern e possibili anomalie, ed automatizzando molte attività [22]. In particolare, l’intelligenza artificiale sembra pronta a giocare un ruolo fondamentale – quasi un cambio di paradigma – nel futuro dell’OSINT, in tutte le fasi del ciclo d’intelligence.
Naturalmente, a fronte di una serie di innegabili vantaggi operativi, l’impiego dell’AI nell’Open Source Intelligence può comportare almeno altrettante criticità – o sfide, se si preferisce: anzitutto l’attività di revisione e controllo sul codice dell’algoritmo, la conoscibilità di quest’ultimo, il ruolo dei soggetti di diritto privato che forniscono il tool di AI, la crescente complessità e frammentarietà dei sistemi su cui l’analista si trova a dover fare affidamento e non ultimo la questione dell’accountability in caso di errori, bias o danni.
Uso dell’OSINT per contrastare le fake news e i cyber crime
Tali questioni ad oggi restano aperte, ma lo sviluppo di strumenti e strategie per consentire un approccio proattivo alla disponibilità informativa risulta tanto più urgente e fondamentale quanto più l’ecosistema online continua a dilatarsi. L’Open Source Intelligence, se utilizzato deontologicamente, potrebbe così rappresentare una “forza uguale e contraria” rispetto alle distorsioni delle nuove tecnologie dell’informazione.
Si pensi ad iniziative come Bellingcat [23], il sito web fondato da Eliot Higgins, che utilizza dati liberamente accessibili da fonti pubbliche per promuovere la diffusione di notizie esatte, contrastare le fake news e rendere conoscibili a tutti le tecniche di giornalismo investigativo; così come agli strumenti di tutela per le vittime di pornografia non consensuale già citate nel capitolo precedente, anch’essi intimamente legati alla filosofia e ai meccanismi OSINT [24].
Combattere la pornografia minorile e per rintracciare persone scomparse
L’iniziativa Europol Trace an Object si avvale di una forma di intelligence delle fonti aperte in crowdsourcing [25]. Europol mette a disposizione una serie di immagini decontestualizzate di oggetti, ritagliate dallo sfondo di fotografie o materiale video a contenuto sessualmente esplicito riguardante minori, richiedendo il supporto degli utenti per risalire alla provenienza geografica degli oggetti stessi. In seguito, anche l’Australian Center to Counter Child Exploitation ha adottato una propria versione dell’iniziativa [26].
Analogamente, anche l’organizzazione non-profit Trace Labs si avvale – ferma l’attività di triage di un team di professionisti dell’OSINT e hacker – della collaborazione di una comunità di utenti volontari per assistere nei casi di persone scomparse, istituendo veri e propri gruppi di ricerca online, anche mediante la condivisione di software e script da utilizzare per le attività di Open Source Intelligence [27].
Bilanciare rischi e opportunità dell’OSINT
Confrontando i case studies qui brevemente richiamati con l’esempio con cui si era aperto il capitolo – l’altra faccia della medaglia dell’OSINT e l’utilizzo delle sue tecniche per finalità illecite o dannose [28]– risulta chiaro come, pur a fronte di un’innegabile problematicità insita nelle dinamiche della sovraesposizione online, la presente trattazione non possa trovare il suo punto d’arrivo nella completa stigmatizzazione delle innovazioni tecnologiche della società dell’informazione.
Il tema dovrebbe essere evidentemente considerato da entrambe le angolazioni, ragionando sia sui potenziali rischi e sull’impatto che la diffusione dei dati può comportare che sull’opportunità di utilizzo delle fonti pubbliche in ottica proattiva, aumentando ed affinando gli strumenti di controllo e di tutela a disposizione degli interessati.
Adottando la dovuta cautela, si può allora tentare di orientarsi nella “biblioteca di Babele” della rete accentando, per quanto possibile, la dissonanza cognitiva che le sue dinamiche ci suscitano, con spirito analogo a quello espresso dalla prima legge di Kranzberg:
Technology is neither good nor bad; nor is it neutral [29].
Privacy ed evoluzione tecnologica: sfide nell’era digitale
Come premesso, e peraltro ampiamente osservato sino ad ora, l’avanzare delle tecnologie dell’informazione comporta, in parallelo, un inevitabile aumento dell’esposizione massiva degli individui e delle informazioni che li riguardano.
Le preoccupazioni di Warren e Brandeis alla fine del diciannovesimo secolo non erano poi così dissimili da quelle odierne; allo stesso tempo però, è evidente che, nello sconfinato macrocosmo della rete, le conseguenze della propagazione di dati personali risultano amplificate e così anche le esigenze di tutela degli utenti.
In questo scenario, la privacy – considerata, nel suo nocciolo duro, come il diritto ad esercitare un controllo sui propri dati personali – somiglierebbe a una risposta immunitaria alle manifestazioni patologiche della sovraesposizione online.
I limiti degli attuali strumenti di tutela della privacy
Tuttavia, interrogandosi sull’efficacia sostanziale degli strumenti di tutela a disposizione degli interessati per esercitare effettivamente tale controllo, ci si è scontrati con una realtà sconfortante.
Considerati i casi pratici riguardanti i minori esposti precocemente in rete e le vittime di diffusione illecita di materiale pornografico, si è osservato come le conseguenze lesive della diffusione dei dati online possano assumere natura irreparabile, comportando per gli interessati un danno, reputazionale e nondimeno psicofisico, potenzialmente permanente.
Se per un verso entropia ed ingovernabilità si presentano come caratteristiche quasi costitutive della nuova società dell’informazione, resta la necessità di uno sforzo ulteriore, dal valore costruttivo – al fine, quantomeno, di riacquistare un margine di controllo sul dato.
Una possibile forma di utilizzo proattivo delle c.d. fonti aperte è stata ravvisata nella filosofia e nelle tecniche dell’Open Source Intelligence. Questa disciplina ha il potenziale di aumentare proporzionalmente la propria efficacia al dilatarsi del patrimonio informativo pubblicamente accessibile – ma non senza complessità.
Per operare correttamente come strumento azione a sostegno della collettività, l’OSINT richiede di procedere con metodo, individuando e rispettando standard etici, tenendo ben presente le regole del gioco ma con uno sguardo quanto più possibile aperto sui possibili sviluppi tecnologici dai quali questa forma d’intelligence possa trarre giovamento.
Verso un nuovo paradigma di protezione dei dati
L’auspicio è che l’approccio descritto possa conservare un valore al di là del caso di specie, funzionando come una bussola all’interno dell’ecosistema informativo digitale.
Per recuperare l’effettività del controllo sui dati personali, le regole formali non bastano, ma è necessario affrontare le trasformazioni tecnologiche senza giudizi di valore, discriminandone i contesti e valutandone concretamente gli impatti, a breve e a lungo termine, sugli interessati. Così, se non perderemo di vista la dimensione concreta della privacy, forse potremmo salvarla dall’obsolescenza.
Per approfondire il tema vi invitiamo a scaricare il white paper realizzato da Marta Zeroni “Sovraesposizione e controllo sui dati personali nell’ecosistema informativo online”.
[1] La terminologia surface web fa riferimento alla porzione di web indicizzata all’interno dei motori di ricerca e pertanto soggetta al massimo regime di pubblicità (pari appena al 4% del totale dei contenuti totali online). Quanto non indicizzato rappresenta il deep web, da non confondere con il dark web (piccola frazione dello stesso, criptata e generalmente dedicata ad attività illegali). Deep web (Britannica) . Ultimo accesso il 22 febbraio 2023.
[2] Tradizionalmente, l’intelligence include cinque principali discipline di raccolta di informazioni da diverse fonti: HUMINT (human intelligence, es. informatori), SIGINT (signal intelligence, es. intercettazioni), IMINT (imagery intelligence, es. immagini satellitari), MASINT (measurement and signature intelligence, es. analisi delle firme chimiche) e OSINT. BAKER R., Deep Dive. Exploring the real-world value of open source intelligence, Wiley, 2023, pos. 1131.
[3] NATO Open Source Intelligence Handbook, NATO Standardization Agency, 2001, p. V.
[4] “It is important to note that OSINT is a purely passive method of intelligence collection, meaning that we view information such as a person’s credentials in a database, but we do not use those credentials to access anything or to log in. Using credentials or actively scanning/intruding into a system is active reconnaissance, which should be left to ethical hackers (…)”: BAKER R., op. cit., pos. 1017.
[5] NATO Open Source Intelligence Handbook, ibidem.
[6] Intelligence Community Directive, number 301 (Director of National Intelligence). Ultimo accesso il 19 febbraio 2024.
[7] Nel presente capitolo si è scelto di far riferimento all’ultima fase delle attività di OSINT con il termine “disseminazione” anziché con il più comune (ed equivalente) “diffusione”, così da non confonderlo con l’omonimo concetto proprio della disciplina privacy e già trattato nei capitoli precedenti.
[8] Nello specifico, rifiuta l’impostazione dell’OSINT come “modello a fasi”: NACCI G., Open Source Intelligence Application Layer, Edizione Epoké, 2017, p. 29.
[9] NATO Open Source Intelligence Handbook, pp. 15-35.
[10] NACCI G., Open Source Intelligence Abstraction Layer, Edizioni Epoké, 2014, pos. 1872.
[11] NATO Open Source Intelligence Handbook, p. 5. A proposito di categorie di fonti, con ogni probabilità una prima versione ante litteram dell’OSINT nacque durante la Seconda Guerra Mondiale in Gran Bretagna e negli Stati Uniti, dove furono istituiti organismi per il monitoraggio dei media stranieri (rispettivamente il BBC Monitoring Service e il Foreign Broadcast Monitoring Service): SCHRAURER F., STORGER J., The Evolution of Open Source Intelligence (OSINT) in Journal of U.S. Intelligence Studies, 19, 3, 2013, pp. 53-56.
[12] NACCI G., 2017, p. 220.
[13] GHIONI R., TADDEO M., FLORIDI L., Open source intelligence and AI: a systematic review of the GELSI literature (AI & Society). Ultimo accesso il 23 febbraio 2024.
[14] GHIONI R., TADDEO M., FLORIDI L., art. cit.
[15] NATO Open Source Intelligence Handbook, p. VI.
[16] ROBB D., Building the Global Heatmap (strava-engineering). Ultimo accesso il 22 febbraio 2024.
[17] Fitness tracking app Strava gives away location of secret US army bases (The Guardian). Ultimo accesso il 22 febbraio 2024. L’utente Nathan Ruser ha fatto notare su Twitter come le basi USA risultassero chiaramente identificabili e mappabili. Ultimo accesso il 22 febbraio 2024). Altri utenti hanno identificato basi francesi in Niger. Ultimo accesso il 22 febbraio 2024 e black site della CIA. Ultimo accesso il 22 febbraio 2024).
[18] Ad esempio all’interno dell’app GeoGuessr o nella community Reddit “r/geoguessing”. C’è chi si spinge oltre e utilizza l’OSINT per identificare i luoghi a partire dalle tipologie di alberi presenti nelle foto: DEGENER J., How to Do OSINT With Urban Tree Data (Better Programming) ultimo accesso il 22 febbraio 2024.
[19] OMAND D., BARTLETT J., MILLER C., Introducing social media intelligence (SOCMINT) in Intelligence & National Security, 27, 6, 2012.
[20] L’intelligence sui social media ha impattato in modo particolare nella lotta al terrorismo. GHIONI R., TADDEO M., FLORIDI L., art. cit.
[21] GHIONI R., TADDEO M., FLORIDI L., art. cit.
[22] AA. VV., Automating Open Source Intelligence, Syngress, 2016, pp. 1-18.
[23] bellingcat – the home of online investigations ultimo accesso il 22 febbraio 2024.
[24] Supra, cap. 6.
[25] Stop Child Abuse – Trace an Object (Europol). Ultimo accesso il 22 febbraio 2024.
[26] Stop Child Abuse – Trace an Object (Australian Center to Counter Child Exploitation). Ultimo accesso il 22 febbraio 2024.
[27] Trace Labs ultimo accesso il 22 febbraio 2024.
[28] È d’obbligo specificare che, al di là dei casi diametralmente opposti qui riportati, l’OSINT è quotidianamente utilizzato anche in ambiti del tutto comuni, quali, ad esempio: due diligence o valutazione dell’affidabilità (c.d. background check) di un fornitore effettuate in contesti aziendali, attività di investigazione da parte di forze dell’ordine, agenzie di investigazione privata e avvocati difensori, controlli assicurativi, etc.
[29] KRANZBERG M., Technology and History: “Kranzberg’s Laws” in Technology and Culture, 27, 3, 1986, p. 547.
Consulente Privacy e IT Law, auditor, Data Protection Officer e formatrice in materia di protezione dei dati personali e società digitale. Laureata magistrale in giurisprudenza all'Università degli Studi di Padova, con perfezionamento in criminalità informatica e investigazioni digitali alla Statale di Milano e master di secondo livello in Informatica Giuridica presso La Sapienza di Roma.
