OSINT 101: 7 cose che un attaccante scopre sulla sua azienda in 30 minuti

OSINT 101: 7 cose che un attaccante scopre sulla sua azienda in 30 minuti

C'è una ragione per cui l'OSINT è lo strumento più economico della cassetta offensiva. Non è nuovo, non è sottile e non richiede alcun accesso. Richiede solo che l'osservatore sappia dove guardare. Lo stesso fatto rende il lavoro OSINT difensivo economico anche dal nostro lato. Lo scopo di questo articolo è darle, senza fronzoli, le sette cose che normalmente facciamo emergere su una media impresa europea nei primi trenta minuti di triage OSINT. Nessuna richiede uno strumento a pagamento. Tutte possono trasformarsi nella mossa di apertura di un attacco reale.

Le ordiniamo per frequenza. La prima compare quasi sempre. L'ultima compare in circa un terzo dei casi e, quando compare, di solito cambia la conversazione con il cliente.

1 · Una mappa ragionevolmente completa dell'organico (10 minuti)

Iniziamo da LinkedIn. Non ci serve essere collegati con nessuno. La ricerca gratuita filtrata per azienda, località e impiego attuale ci dà, nella tipica media impresa europea da 80 a 400 dipendenti, tra il 50% e l'80% dell'organico. Leggiamo ruoli, datori di lavoro precedenti, lingue e, molto spesso, lo stack tecnologico dichiarato nella sezione competenze.

Cosa ne fa l'attaccante: una lista obiettivo per spear phishing con pretesti adattati al ruolo. Abbiamo visto messaggi redatti con il titolo interno esatto e il progetto che il destinatario aveva annunciato due settimane prima su LinkedIn. Il tasso di apertura di quei messaggi non gioca nello stesso campionato di un phishing generico.

Cosa può fare al riguardo: chieda al suo team di mantenere aggiornato il datore di lavoro, ma di essere più deliberato nell'annunciare progetti e strumenti interni. Una breve sessione di igiene LinkedIn per il personale senior è una delle vittorie più economiche in materia di consapevolezza.

2 · Lo stack tecnologico dalle offerte di lavoro (3 minuti)

Le posizioni aperte sono una miniera OSINT. Una posizione backend che richiede "PostgreSQL 14, Kafka, Vault e Terraform su AWS eu-west-1" dice all'attaccante il motore di database, il bus di messaggistica, il gestore dei segreti, la regione di deployment e lo strumento di orchestrazione. Una posizione nelle operazioni di sicurezza che richiede "Splunk Cloud, CrowdStrike Falcon e Tines per il SOAR" gli dice il SIEM, l'EDR e la piattaforma di orchestrazione.

Cosa ne fa l'attaccante: salta la fase di discovery. La ricognizione punta direttamente a cercare CVE noti per le versioni nominate.

Cosa può fare al riguardo: non smetta di pubblicare offerte. Tolga i numeri di versione. Parli in termini di capacità ("SIEM moderno", "EDR gestito") invece di nomi di fornitori ogni volta che la posizione lo consente. Usi un intermediario recruiter per le posizioni molto specifiche.

3 · L'infrastruttura email e la sua postura DMARC (2 minuti)

Tre query DNS ci danno i record MX, SPF e DMARC di qualsiasi dominio aziendale. In una tipica media impresa europea continuiamo a trovarne oltre la metà con DMARC assente, in p=none, o in p=quarantine senza pct=100. Le stesse aziende hanno spesso uno SPF con ~all invece di -all e da tre a cinque intervalli IP legacy autorizzati che nessuno nel team attuale sa spiegare.

Cosa ne fa l'attaccante: registra un dominio simile o, semplicemente, falsifica quello legittimo, a seconda della postura DMARC. La falsificazione di mittenti legittimi è stata il vettore di ingresso di diversi casi di BEC ad alto impatto che abbiamo visto nel 2025.

Cosa può fare al riguardo: porti il DMARC a p=reject e lo SPF a -all con un calendario documentato. Abbiamo un articolo a parte sulla versione 24 ore di questo lavoro.

4 · Il perimetro pubblico così come lo vedono Shodan e Censys (5 minuti)

Cerchiamo il nome dell'azienda e il suo ASN. In un'azienda tipica troviamo: tra tre e dodici servizi esposti su internet che nessuno si aspettava fossero esposti. I più frequenti: concentratori VPN ereditati lasciati attivi "per le emergenze", interfacce di gestione remota di apparati di rete (Mikrotik, Cisco SMB, Ubiquiti), bucket S3 dimenticati e contrassegnati come pubblici per un test rapido, portali interni su :8443 che si credevano nascosti perché non collegati, e l'interfaccia IPMI di un server che avrebbe dovuto essere dismesso nel 2022.

Cosa ne fa l'attaccante: inizia a sondare i servizi scoperti in cerca di vulnerabilità note. Per una media impresa abbiamo misurato il tempo tra la comparsa pubblica su Shodan e la prima sonda mirata in meno di 24 ore.

Cosa può fare al riguardo: una routine di gestione della superficie di attacco esterna, anche solo trimestrale e manuale, elimina l'80% di questa categoria. L'investimento è di due giornate di analista a trimestre per una tipica media impresa.

5 · I repository di codice e i segreti che le persone vi rilasciano (4 minuti)

Le ricerche su GitHub del tipo org:<azienda> e "@azienda.com" path:.env rivelano più di quanto dovrebbero. I ritrovamenti più comuni: un repository di test dimenticato con una stringa di connessione a un database reale, il GitHub personale di un ex dipendente con un file di configurazione che contiene una chiave API che l'azienda non ha mai ruotato, un gist pubblico con un URL di webhook che funziona ancora.

Cosa ne fa l'attaccante: prova le credenziali. Circa una credenziale su tre che facciamo emergere in questa categoria è ancora valida la prima volta che la proviamo con il cliente durante una diagnosi.

Cosa può fare al riguardo: attivi il GitHub secret scanning nell'organizzazione, esegua una scansione dei commit storici nei repository privati e renda operativa la rotazione delle chiavi quando un dipendente se ne va. Nulla di tutto ciò richiede l'acquisto di un nuovo prodotto nella maggior parte delle medie imprese.

6 · La catena di fornitura che non ha disegnato in nessun diagramma (4 minuti)

Guardiamo il JavaScript caricato sul suo sito web pubblico, i sottodomini SaaS che risolvono sotto il suo dominio (status., support., helpdesk., learn., tracking.), i log di trasparenza dei certificati e gli hash delle favicon dei portali interni. In una tipica media impresa europea identifichiamo tra 15 e 40 terzi che toccano i suoi dati, i suoi clienti o la sua superficie di marca, di cui da 5 a 10 di solito non figurano nell'elenco acquisti.

Cosa ne fa l'attaccante: sceglie il terzo più debole come punto di pivot. Il pattern di violazioni tramite terzi dal 2023 al 2025 non è stato un caso; era la strada più facile contro aziende che avevano irrobustito il proprio perimetro.

Cosa può fare al riguardo: un inventario di terzi guidato dall'OSINT, aggiornato trimestralmente, confrontato con l'elenco ufficiale acquisti. I delta sono il lavoro.

7 · La fragilità di cui nessuno parla: dipendere da una sola persona (2 minuti)

Questo è il ritrovamento OSINT a cui i clienti reagiscono con più forza. Combinando LinkedIn, talk pubblici, contributi GitHub, post tecnici e storico WHOIS, identifichiamo spesso che una persona specifica è l'unico volto pubblico di un'intera area tecnica. Se quella persona non è disponibile per 72 ore, diversi sistemi che mantiene non hanno un successore documentato.

Cosa ne fa l'attaccante: trasforma quella persona in obiettivo di spear phishing ad alto valore. In un caso pubblico ben documentato (non un nostro cliente), il phishing andato a segno su un solo SRE ha messo offline una piattaforma SaaS per 48 ore perché nessun altro membro del team aveva le credenziali di ripristino.

Cosa può fare al riguardo: una revisione interna del fattore-bus. Non è un esercizio di cybersicurezza in senso stretto; è un esercizio di continuità con conseguenze cyber.

Come usare questo elenco all'interno della sua azienda

Non raccomandiamo di eseguire questi sette passaggi contro la propria azienda senza coinvolgere il team di sicurezza e, a seconda della giurisdizione, l'ufficio legale. Anche se i dati sono pubblici, l'atto di compilarli in un contesto aziendale può avere implicazioni. Il percorso più semplice è chiedere a un terzo di farlo con un perimetro chiaro e consegnare i risultati a un responsabile interno nominato.

Lo scopo di un esercizio OSINT difensivo non è restare impressionati da quanto un osservatore esterno può vedere. Lo scopo è trasformare i risultati in un elenco di rimedi con responsabili e date. I risultati senza responsabile sono rumore.

> "Non abbiamo mai consegnato un report OSINT difensivo a una media impresa trovando esposizione zero rilevante. Ne abbiamo consegnati diversi in cui il ritrovamento più costoso era interno: un'area critica sostenuta da una sola persona a cui nessuno aveva chiesto di avere un sostituto." — Revisione interna IBL degli audit OSINT 2025-2026

Cosa facciamo in IBL

Il nostro incarico OSINT difensivo è un esercizio fisso di cinque giorni. Il deliverable è un report scritto, firmato e datato, con i risultati ordinati per difficoltà di rimedio e severità di esposizione. Non includiamo alcun dato che non abbiamo ottenuto da fonti pubbliche. Includiamo l'URL e la data di ogni ritrovamento affinché il suo team possa riprodurlo.

Se desidera parlare della sua impronta specifica, scriva a [email protected]. Rispondiamo entro un giorno lavorativo.

---

OCIRIA è una società di consulenza boutique di cybersicurezza con sede a Málaga e team operativo in Romania. Lavoriamo con medie imprese europee che preferiscono l'onestà tecnica al confezionamento commerciale. Siamo stati fondati nel 2026; non ci inventiamo una storia più lunga.

Letture correlate

• Audit OSINT: cosa consegniamo e quanto tempo richiede davvero (cluster pillar Q4)
• DMARC spiegato: perché la sua email è vulnerabile e come metterla in sicurezza in 24 ore (cluster pillar Q3)
• Catena di fornitura OSINT: cosa succede quando il suo fornitore critico non aggiorna dal 2024 (cluster Q4)

Tag: osint, esposizione, perimetro, catena-di-fornitura, sicurezza-email, media-impresa, report-sul-campo