La tua impronta digitale: che cosa si trova di te e come ridurla

Un messaggio che ti chiama per nome, cita il tuo datore di lavoro e il corso che frequenti sembra impossibile da inventare. In realtà non richiede nessuna violazione: bastano un profilo pubblico, una vecchia fuga di dati e un po’ di pazienza. Chi prepara una truffa mirata, una frode del falso fornitore o una persecuzione comincia quasi sempre da qui. Capire questa fase ti permette di toglierle materiale.

Che cosa significa OSINT

OSINT sta per open source intelligence: l’analisi di informazioni accessibili a chiunque, come profili, articoli, registri pubblici, immagini e dati pubblicati da altri. La usano giornalisti, investigatori e team di sicurezza, anche per misurare l’esposizione della propria azienda. La usa anche chi si prepara a ingannarti.

«Pubblico» però non vuol dire «innocuo». Ogni dato preso da solo è banale. Il rischio nasce dall’aggregazione: nome, datore di lavoro, abitudini, email, foto della casa e un nome utente riusato formano un profilo abbastanza preciso da costruire un pretesto credibile, come descritto nella guida sul falso amico.

Che cosa si può ricostruire di una persona

Come si mettono insieme i pezzi

Il percorso è quasi sempre lo stesso, e ogni passaggio si può interrompere:

1. Si parte da un identificatore. Un nome, un nome utente, un’email o un numero di telefono. Difesa: usare identificatori diversi per ambiti diversi.
2. Si cerca lo stesso identificatore altrove, per trovare i profili collegati. Difesa: profili chiusi e nomi utente non riusati.
3. Si controllano gli archivi di violazioni per email e numero. Difesa: password uniche e verifica in due passaggi, così un dato vecchio non apre account nuovi.
4. Si incrociano foto, luoghi, orari e cerchia di amici per capire routine e relazioni. Difesa: meno posizione, meno tempo reale, meno persone che vedono tutto.
5. Si costruisce un pretesto: qualcuno che sembra conoscerti. Difesa: verificare sempre su un secondo canale, anche quando i dettagli sono giusti.

Controllati in mezz’ora

Quando leggi i risultati, guarda tre cose: che cosa compare nei primi risultati, perché è ciò che vedrà chiunque; quali risultati sono vecchi o sbagliati; quali mostrano recapiti o indirizzi. Un risultato sbagliato conta quanto uno giusto, perché un truffatore lo userà comunque.

Se hai un sito o un’azienda, ripeti la ricerca sul dominio. Con l’operatore site:tuodominio.it vedi che cosa Google ha indicizzato; aggiungendo filetype:pdf, filetype:xlsx o filetype:docx scopri i documenti pubblici, come preventivi, elenchi di clienti e contratti, che qualcuno ha lasciato raggiungibili per errore. Se ne trovi, togli il file dal server e chiedi a Google di rimuovere il risultato: per i proprietari del sito esiste uno strumento di rimozione in Search Console.

Foto: ciò che mostrano oltre a ciò che vedi

Una foto contiene più informazioni di quante ne vedi. I metadati possono includere data, ora, modello del telefono e, se la posizione è attiva, le coordinate. Molte piattaforme li eliminano in pubblicazione, ma non tutte, e un file inviato come documento o come link all’originale può conservarli. Su iPhone, la guida per la sicurezza personale di Apple indica come condividere una foto senza posizione: dalla app Foto tocca Condividi, poi Opzioni, e disattiva Posizione.

Contano anche i dettagli dentro l’immagine: la vista dalla finestra, la targa dell’auto, il citofono con il cognome, il badge al collo, il codice a barre di una carta d’imbarco, l’uniforme dei figli. Singolarmente dicono poco; insieme indicano dove sei e a che ora. Una regola semplice: pubblica dopo essere stato in un posto, non mentre ci sei, e guarda lo sfondo prima di guardare te.

Email e numero di telefono: gli identificatori che ti seguono

Email e numero di telefono collegano i tuoi account tra loro e sono anche la via con cui si recupera l’accesso, come spiega la guida su password e recupero. Più servizi usano lo stesso recapito, più è facile ricostruire chi sei e attaccare l’anello più debole.

• Tieni un indirizzo riservato per banca, fisco e account principali, e non usarlo per newsletter e iscrizioni.
• Per le registrazioni meno importanti usa alias o indirizzi dedicati: molti provider di posta li offrono.
• Per i servizi non essenziali valuta un secondo numero, dove possibile, e nelle app di messaggistica limita chi vede foto, stato e numero.
• Usa nomi utente diversi per ambiti diversi: un nome identico ovunque è il filo che cuce insieme profili che volevi tenere separati.

Chiedere la rimozione: che cosa si può ottenere

Non puoi cancellarti da internet, ma puoi ottenere più di quanto si pensi se procedi nell’ordine giusto.

1. Alla fonte. Il GDPR dà diritti verso chi tratta i tuoi dati: accesso (art. 15), cancellazione (art. 17) e opposizione (art. 21). Il titolare deve rispondere senza ingiustificato ritardo e comunque entro un mese, prorogabile di altri due mesi nei casi complessi (art. 12). I diritti non sono assoluti: la cancellazione può essere negata, per esempio, per libertà di espressione e di informazione, per obblighi di legge o per difendere un diritto in giudizio (art. 17, par. 3). Scrivi al contatto privacy del sito, indica gli indirizzi precisi dei contenuti, chiedi la cancellazione e conserva copia della richiesta con la data.
2. Nei motori di ricerca. Puoi chiedere che un risultato non compaia nelle ricerche fatte con il tuo nome: Google offre «Risultati su di te» per i recapiti personali e moduli di rimozione per altri casi. Il risultato sparisce dalla ricerca, ma la pagina resta online: per toglierla devi agire alla fonte. L’esito dipende dal confronto tra la tua riservatezza e l’interesse del pubblico a trovare l’informazione.
3. Se non rispondono. Puoi presentare reclamo all’autorità di controllo, che in Italia è il Garante per la protezione dei dati personali (art. 77 GDPR).
4. Servizi a pagamento. Alcuni inviano richieste di rimozione per conto tuo. Le stesse richieste puoi farle gratis. Diffida di chi promette una «cancellazione totale»: nessuno può cancellare registri pubblici, archivi esterni o copie già fatte. Diffida anche di chi chiede documenti d’identità senza spiegare perché e dove finiranno.

Per le aziende: l’impronta che si lascia sul web

Per un’azienda vale lo stesso principio, con una differenza: l’impronta è fatta da molte persone e nessuno la controlla nel suo insieme.

• Persone e ruoli. Profili professionali e annunci di lavoro rivelano organigramma, colleghi e strumenti usati. L’indirizzo email in formato nome.cognome si indovina da un solo esempio: chi ne conosce uno può scrivere a tutti.
• Documenti pubblicati. PDF, fogli di calcolo e presentazioni portano con sé metadati come autore, versione del programma e a volte percorsi interni. Prima di pubblicare, esporta una copia pulita.
• Ciò che il dominio espone. Siti di prova dimenticati, sottodomini, pannelli di amministrazione raggiungibili da internet. Fai un inventario di ciò che risponde dall’esterno, almeno una volta l’anno.
• Posta del dominio. Configurare SPF, DKIM e DMARC rende più difficile inviare email false a nome dell’azienda.
• Regole di comunicazione. Decidi chi può parlare in pubblico dell’azienda, che cosa non va nei profili personali (sistemi usati, clienti, progetti riservati, foto della sede con badge visibili) e come si verifica una richiesta insolita: richiamando su un numero già noto, mai su quello indicato nel messaggio.
• Incarichi esterni di OSINT. Se affidi a terzi una valutazione dell’esposizione, chiedi un incarico scritto, un perimetro chiaro e attenzione ai dati personali raccolti sulle persone: restano dati personali.

Il Cyber Check ti aiuta a vedere in quali aree l’azienda è più scoperta.

Domande frequenti

Fonti

• Have I Been Pwned
• Google, Find and remove personal info in Google Search results
• Apple, Personal Safety User Guide: Manage location metadata in Photos
• Regolamento (UE) 2016/679 (GDPR), artt. 12, 15, 17, 21 e 77
• Codice penale, artt. 612-bis e 615-ter.
• Racconti di chi lavora o ha lavorato in questi ambienti: testimonianze, riportate come tali.