IL CASO KASH PATEL: OSINT, FURTO DI DATI E CRISI REPUTAZIONALE 

A marzo, il gruppo di hacker iraniani Handala ha violato la casella di posta personale di Kash Patel, direttore dell'FBI, pubblicando online fotografie private e un campione di oltre 300 e-mail. L'episodio è stato confermato dallo stesso FBI tramite il portavoce Ben Williamson, che ha dichiarato come siano state adottate tutte le misure necessarie per mitigare i potenziali rischi e che i dati coinvolti fossero di natura personale e non contenessero informazioni governative.

Sul proprio sito, Handala Hack Team ha rivendicato l'attacco, accompagnando la dichiarazione con alcune immagini personali che lo ritraggono mentre fuma sigari, guida un'auto decappottabile d'epoca e si scatta un selfie allo specchio con una bottiglia di rum.

Dal dato pubblico all'esposizione: OSINT e Cybercrime

 La vicenda si colloca nel più ampio contesto del conflitto tra Stati Uniti e Iran, all'interno del quale le operazioni ostili in ambito cibernetico rappresentano ormai una prassi consolidata da entrambe le parti. Al di là dello scenario geopolitico, ciò che interessa analizzare è il meccanismo che ha reso possibile la violazione.

Secondo alcuni analisti, l'attacco informatico avrebbe avuto origine da un documento ufficiale del NARA (National Archives and Records Administration), parte degli archivi pubblici statunitensi. Si tratta di materiale accessibile a chiunque sappia dove e come cercare: può infatti essere individuato attraverso ricerche mirate su Google, utilizzando comandi avanzati noti come Google Dorks.

In questo caso, verificare l'eventuale esposizione pubblica dell'e-mail privata del direttore dell'FBI sarebbe stato possibile attraverso una query di ricerca mirata. Vediamo come può essere costruita in pochi semplici passaggi:

 • site:archives.gov limita la ricerca al dominio governativo statunitense

• filetype:pdf restringe ai documenti in formato PDF

• patel@gmail associa nome e possibile dominio di posta elettronica (si può procedere per tentativi)

A questo punto si immette la combinazione di questi comandi in una ricerca Google:

site:archives.gov filetype:pdf patel@gmail

Il primo risultato conduce, in maniera completamente lecita, ad un PDF che contiene la mail personale del direttore dell'FBI. Una ricerca di questo tipo può rivelare rapidamente informazioni che, pur essendo pubbliche, risultano di fatto non controllate, rintracciabili con tecniche di OSINT (Open Source INTelligence)

È fondamentale chiarire un punto: l'OSINT, di per sé, è un'attività lecita di raccolta informazioni. Tuttavia, spesso rappresenta il primo passo di un attacco più complesso. L'OSINT fornisce l'indirizzo e-mail; da lì, gli attaccanti hanno probabilmente utilizzato tecniche di Credential Stuffing (incrociando quell'e-mail con database di password rubate da altri siti) oppure hanno tentato l’accesso tramite Brute Force Attack, individuando la password per tentativi. È questa integrazione tra raccolta di informazioni pubbliche e accesso abusivo che ha consentito di mettere le mani su un archivio di corrispondenza privata, trasformando un dato pubblico in un'arma.

Quanto siamo esposti online?

Se anche figure chiave di organizzazioni che gestiscono informazioni altamente sensibili possono risultare esposte, è legittimo porsi una domanda: quanto è accessibile ciò che ci riguarda? Ogni giorno vengono pubblicati documenti, immagini, recapiti e contenuti social, spesso senza una reale valutazione del loro potenziale utilizzo da parte di terzi.

Un primo livello di difesa consiste nello sviluppare l'abitudine di osservare i propri dati pubblici con uno sguardo critico, chiedendosi: può essere utilizzata contro di me? Tuttavia, questo approccio da solo non è sufficiente. In molti casi, soprattutto per aziende o figure con ruoli specifici, una parte delle informazioni deve necessariamente essere pubblica. Proprio per questo diventa fondamentale distinguere in modo netto tra la sfera pubblica (spesso legata all'attività professionale) e quella privata e familiare.

Adottare alcune accortezze di base è essenziale: non utilizzare la stessa e-mail per ogni ambito, mantenere numeri di telefono distinti e separare i profili social personali da quelli professionali. È importante essere consapevoli che anche un singolo dato (per esempio un indirizzo e-mail, un nome utente o un numero di telefono) può aumentare in modo significativo il livello di esposizione e vulnerabilità online.

Se, come dichiarato, dalla violazione non sono stati sottratti dati sensibili legati all'FBI, è plausibile che Patel abbia mantenuto una netta separazione tra sfera professionale e privata. In questo senso, la casella personale si è rivelata inutile per accedere a informazioni di natura governativa, salvaguardando la sicurezza nazionale ma non la reputazione personale.

Danni diretti ed indiretti: il paradosso del backup

In caso di violazione fraudolenta di un sistema informatico, uno dei rischi principali è quello di diventare vittime di un ricatto (ransomware), in cui gli attaccanti chiedono un pagamento per ripristinare l'accesso ai dati sottratti. La situazione cambia radicalmente quando la minaccia non riguarda più il blocco dei sistemi, ma la pubblicazione dei dati stessi. In questo caso, l'attacco si basa sulla leva della riservatezza e sull'urgenza di evitare la diffusione di informazioni sensibili.

Anche qui il rischio può essere diretto, quindi economico (per esempio nel caso di file contenenti brevetti o proprietà intellettuale che, se sottratti, possono compromettere anni di ricerca e investimenti) oppure indiretto, di natura reputazionale. Se i danni derivanti da una perdita di dati possono essere contenuti, ad esempio attraverso sistemi di backup efficaci, il recupero della reputazione richiede tempi molto più lunghi. Per chi fonda la propria attività sull'immagine e sulla fiducia, le conseguenze economiche possono essere significative e durature.

Un asset difficile da difendere: la reputazione

Il danno reputazionale è spesso sottovalutato. In primo luogo, si tende a non considerare la velocità e la portata con cui le informazioni circolano online. Ad esempio, un CEO che pubblica sul proprio profilo Facebook personale immagini delle proprie "notti brave" a Las Vegas potrebbe non immaginare che tali contenuti possano essere visti da partner commerciali o stakeholder. Eppure, questo scenario è sempre più frequente.

Per comprendere la portata di questo fenomeno, è utile porsi una domanda: si continuerebbe a collaborare con un'azienda guidata da una persona che, seppur al di fuori dell'orario lavorativo, appare incontrollata, smodata o imbarazzante? O ancora peggio, se emergesse un comportamento violento, una dipendenza da alcol o droga, una propensione al gioco d'azzardo? Difficile sostenere che il rapporto con un partner rimarrebbe invariato se venissero alla luce relazioni strette con persone percepite in questo modo. La fiducia è una relazione estremamente delicata.

Come arginare questi fenomeni?

Come spesso si sottolinea, anche in questo caso il principio rimane lo stesso: affidarsi a professionisti qualificati. Fondamentale è sapere a chi rivolgersi, poiché esistono figure specializzate con competenze diverse: dai professionisti che gestiscono le trattative con i cybercriminali, ai DPO (Data Protection Officer) responsabili delle segnalazioni al Garante della Privacy, fino alle figure tecniche e legali coinvolte nella gestione degli incidenti.

Nel caso di furto di dati, i principali fattori che determinano l'entità del danno sono la solidità dell'infrastruttura informatica e, soprattutto, il livello di esposizione delle informazioni online.

Per valutare la robustezza dei sistemi esiste una pratica consolidata: i penetration test. Si tratta di simulazioni di attacco condotte da esperti di cybersecurity per individuare vulnerabilità del sistema. Superare un penetration test fornisce un'indicazione concreta del livello di protezione raggiunto, ma non risolve il problema dei dati pubblici. Queste attività dovrebbero essere svolte con cadenza periodica, poiché nel tempo emergono nuove vulnerabilità e gli attaccanti sviluppano tecniche sempre più sofisticate, spesso basate su phishing e ingegneria sociale potenziata dall'intelligenza artificiale. [Approfondimento reputazione]

Intervenire sulla reputazione online: l'Audit OSINT

 Per intervenire sulla propria reputazione online è possibile affidarsi a professionisti specializzati nell'analisi delle informazioni disponibili in fonti aperte e indagini digitali. Si tratta di attività di ricostruzione del profilo digitale basate su dati pubblicamente accessibili: siti web, social network, blog, database, documenti e immagini.

Una volta raccolte queste informazioni, è possibile definire strategie di contenimento. Nel caso dei social network, si può procedere con la segnalazione di contenuti; quando la rimozione non è possibile, si può rispondere pubblicamente, affiancando alla narrazione negativa la versione dell'interessato. In caso di pagine web diffamatorie, si può richiedere la deindicizzazione all'autorità giudiziaria.

Tuttavia, la vera difesa non è reagire, ma prevenire. Non è necessario attendere che un contenuto diventi virale per interrogarsi sulla propria esposizione online. Un audit OSINT preventivo rappresenta lo strumento più efficace per monitorare e proteggere la propria reputazione nel tempo, individuando e rimuovendo i dati sensibili esposti prima che diventino un'arma nelle mani di chiunque.

TAKEAWAY PRATICI: PROTEGGI LA TUA REPUTAZIONE DIGITALE

• OSINT e sicurezza: i dati sensibili non sempre vengono rubati, spesso sono già disponibili online attraverso fonti aperte e facilmente individuabili.

 • Google Dork e data exposure: una semplice ricerca avanzata può rivelare documenti pubblici contenenti informazioni critiche non protette.

 • Dall’OSINT al cybercrime: la raccolta di informazioni pubbliche è spesso il primo passo di attacchi più complessi come phishing e credential stuffing.

 • E-mail e credenziali: un indirizzo e-mail esposto può essere utilizzato per accedere a database di password rubate e compromettere account personali o aziendali.

 • Separazione dati personali e professionali: utilizzare e-mail, numeri e profili distinti riduce drasticamente il rischio di esposizione.

 • Cybersecurity e reputazione: la sicurezza informatica non riguarda solo i sistemi, ma anche la gestione e la visibilità dei dati online.

 • Data breach e ransomware: gli attacchi informatici possono causare danni economici diretti, ma anche perdite indirette legate alla reputazione.

 • Reputazione online: il danno reputazionale è spesso più grave e duraturo rispetto alla perdita di dati, con impatti concreti su business e relazioni.

 • Audit OSINT: analizzare ciò che è visibile online su persone e aziende permette di prevenire rischi e individuare vulnerabilità informative.

 • Prevenzione digitale: monitorare costantemente la propria presenza online è la strategia più efficace per evitare crisi reputazionali.

Articolo scritto da Sebastiano Teani