OSINT - Intelligence e pubblica amministrazione

a cura di Ilaria Passarella*

OSINT (Open Source Intelligence) è la pratica di raccogliere e analizzare informazioni da fonti pubbliche online allo scopo di produrre conoscenza utile in contesti investigativi, di sicurezza, giornalistici o strategici.

Tra opportunità e rischi, OSINT solleva la necessità di un uso etico e consapevole, in grado di bilanciare trasparenza, diritto all’informazione e tutela della privacy e comprenderlo significa affrontare le sfide dell’intelligenza moderna con spirito critico e responsabilità digitale.

OSINT rappresenta una delle espressioni più significative dell’era dell’informazione globale, evoluzione dell’OSIF – l’insieme delle informazioni pubblicamente reperibili ma non elaborate o filtrate –, con in aggiunta l’integrazione dell’intelligence.1 A differenza di altre forme di intelligence che implicano attività clandestine o intrusive, l’OSINT trae valore proprio dai suoi intenti di trasparenza: tutto ciò che viene utilizzato, in teoria, è già disponibile a chiunque e permette di raccogliere dati e ricavarne conoscenze approfondite su individui, organizzazioni e fenomeni sociali, cui potrebbero essere interessati i governi (Ministeri della difesa o Forze di Polizia), i privati (come giornalisti o investigatori) ma , ovviamente, anche le organizzazioni criminali o i singoli delinquenti. Le fonti OSINT includono, ad oggi, motori di ricerca, social network, siti web, archivi, mappe, strumenti come Shodan o ZoomEye per scandagliare dispositivi IoT, e persino i famigerati data leaks, ovvero database emersi da furti informatici e spesso liberamente accessibili o venduti nel dark web.

Solitamente, le fasi in cui si articola una ricerca OSINT, indipendentemente dalle fonti, sono:

1. Raccolta, ossia il processo di acquisizione delle informazioni;

2. Elaborazione, nel senso di convalida delle medesime informazioni;

3. Sfruttamento, con cui si verifica la validità dei dati. La ragione alla base sta nella necessità di separare l’intelligence “buona” da quella “cattiva”;

4. Produzione, quindi rilascio delle informazioni per la fruizione degli utenti.

Per comprendere appieno la portata dell’OSINT, si può immaginare la struttura del web come un iceberg: la parte visibile, detta Surface Web, è quella indicizzata dai motori di ricerca tradizionali e include siti di notizie, blog, enciclopedie online come Wikipedia e portali istituzionali. Tuttavia, si tratta solo della punta dell’iceberg; subito sotto si trova il Deep Web, che comprende contenuti non indicizzati come documenti accademici, dati sanitari, archivi protetti da autenticazioni o da file che ne impediscono l’indicizzazione; infine, nel punto più nascosto, il Dark Web – accessibile solo con software specializzati come Tor o I2P – dove si trovano informazioni volutamente occultate, spesso associate a mercati illegali, ma anche a forme di comunicazione cifrata utili in contesti di attivismo o giornalismo investigativo: un analista OSINT competente sa muoversi in queste aree rispettando la legalità e applicando tecniche di raccolta avanzata, come l’uso di motori di ricerca verticali (Shodan, Censys), l’analisi di metadati e l’impiego della Wayback Machine1 per recuperare versioni storiche di siti modificati o rimossi.

Ora, la portata democratica di queste tecniche è innegabile, ma è banale notare che il loro utilizzo disinvolto può aprire anche a scenari distopici: amministrazioni pubbliche che nascondono deliberatamente sezioni scomode dei propri siti, servizi che per pochi euro offrono report completi su dati trafugati e la proliferazione di tecniche di Google Dorking2 che consentono a chiunque, con le giuste conoscenze, di aggirare le protezioni superficiali dei siti web.

Nell’immaginario collettivo, OSINT e investigazione digitale diventano strumenti onnipotenti, capaci di ottenere prove definitive in pochi clic, dando adito all’effetto CSI, termine mutuato dall’omonima serie televisiva americana, che descrive l’influenza che la fiction esercita sulle aspettative della popolazione rispetto alle perizie informatiche e investigative. La realtà, tuttavia, è fatta di interpretazioni parziali, dati ambigui e complessità contestuali che richiedono rigore e prudenza.

In contesti reali, l’OSINT produce una mole enorme di dati e disporre di strumenti di categorizzazione automatica delle immagini, trascrizione degli audio, analisi delle reti sociali e relazionali attraverso l’intelligenza artificiale, è diventato sempre più strategico ma anche discretamente minaccioso, dal momento che questi strumenti possono accelerare enormemente l’efficienza analitica ma, al contempo, amplificare il rischio di manipolazioni. L’IA può infatti fabbricare sintesi errate, generare deepfake o suggerire connessioni basate su correlazioni fallaci.

Si rende allora necessario, in un’ottica di etica pubblica e filosofia dell’IA, affiancare alle tecnologie emergenti delle cornici etiche e dei codici deontologici chiari, che delimitino con precisione ruoli, responsabilità e confini. Oltre al GDPR europeo, che disciplina la protezione dei dati personali e la loro libera circolazione nell’Unione Europea,1 ci sono anche altre giurisdizioni che stanno cercando di disciplinare l’OSINT: il California Consumer Privacy Act (CCPA), in vigore dal 2020, garantisce ad esempio ai cittadini californiani il diritto di sapere quali dati personali vengono raccolti, di opporsi alla loro vendita e di chiederne la cancellazione; in Canada, invece, la legge PIPEDA (Personal Information Protection and Electronic Documents Act) tutela i dati personali nelle transazioni commerciali. Tuttavia, le norme spesso non tengono conto dell’effettiva tracciabilità dell’OSINT, che sfrutta lacune normative e assenza di controllo in tempo reale.

Il caso di Clearview AI, società americana che ha collezionato miliardi di immagini pubblicamente disponibili dai social per alimentare un software di riconoscimento facciale, è diventato emblematico delle derive non regolamentate dell’OSINT commerciale. Sanzionata in Europa da autorità garanti come il CNIL francese e il Garante Privacy italiano per violazioni al GDPR, Clearview ha mostrato quanto sottile sia il confine tra uso legittimo e violazione della dignità individuale, dal momento che l'algoritmo, usato da polizie e aziende private, non solo identifica volti, ma collega nomi, indirizzi e reti sociali, creando profili digitali completi senza il consenso degli interessati.

Un altro esempio è lo scandalo Cambridge Analytica del 2018, che ha mostrato come milioni di dati di utenti Facebook fossero stati raccolti tramite test psicometrici “innocui” per influenzare campagne elettorali, tra cui Brexit e le elezioni presidenziali USA del 2016. Sebbene non si trattasse strettamente di OSINT – i dati furono ottenuti con app e accessi profilati – il principio di raccolta da fonti aperte (e inconsapevolmente concesse) è lo stesso e ha riacceso il dibattito sull’uso etico dei big data e sull’urgente necessità di normare l’intersezione tra profilazione e partecipazione democratica.

L’OSINT, in realtà, non è altro che uno specchio fedele della complessità digitale contemporanea: potente, accessibile ma potenzialmente pericoloso, ci costringe a ripensare i confini del sapere e dell’intromissione e a ridefinire una cultura dell’informazione che unisca rigore metodologico, rispetto per la persona e trasparenza operativa. L’intelligence aperta, per essere davvero tale, deve servire a emancipare e non a sorvegliare, a potenziare la conoscenza, non a indebolire la fiducia.