Metodologia OSINT

La ricerca da fonti aperte spesso fornisce il collegamento che l’analisi on-chain non può offrire: un post in cui un sospettato ha pubblicato un indirizzo, la cronologia di registrazione del sito web di una truffa, le condizioni d’uso archiviate di un servizio. Ma uno screenshot acquisito in fretta, senza URL, orario né traccia di come è stato trovato, è un elemento probatorio debole e un facile bersaglio. Questa lezione spiega come pianificare il lavoro da fonti aperte, svolgerlo senza esporre l’indagine, raccogliere elementi documentandone la provenienza e registrare i risultati affinché un tribunale possa farvi affidamento.

Informazioni, intelligence e prove da fonti aperte

Il Berkeley Protocol on Digital Open Source Investigations, pubblicato nel dicembre 2020 dall’Human Rights Center della UC Berkeley School of Law insieme all’Ufficio dell’Alto Commissario delle Nazioni Unite per i diritti umani, è il principale riferimento internazionale per il lavoro da fonti aperte destinato a procedimenti giudiziari. Distingue concetti che vale la pena adottare:

• Le informazioni da fonti aperte sono informazioni che chiunque può osservare, acquistare o richiedere, senza uno status giuridico speciale né accessi non autorizzati.
• L’intelligence da fonti aperte (OSINT) consiste nell’utilizzare informazioni da fonti aperte principalmente a supporto delle decisioni, per esempio su dove concentrarsi o quali informazioni richiedere.
• Le prove da fonti aperte sono informazioni da fonti aperte con valore probatorio, sulle quali si può fare affidamento per accertare i fatti in un procedimento.

Nella maggior parte dei casi crypto, l’OSINT rimane intelligence: indica il servizio a cui rivolgersi o il soggetto da esaminare. Solo gli elementi raccolti e conservati secondo uno standard probatorio possono diventare prove. Pianifica il lavoro in quest’ottica fin dalla prima ricerca, perché una pagina che scompare non può essere acquisita di nuovo.

Per quanto riguarda la posizione dei dati, la Convenzione di Budapest consente a una Parte di accedere a dati informatici conservati e accessibili al pubblico (fonti aperte), indipendentemente dalla loro posizione geografica (Articolo 32(a)). Continuano ad applicarsi le norme nazionali sulla ricerca online da parte degli investigatori, che variano da un Paese all’altro; a definirle sono i consulenti legali dell’unità.

Pianificazione: il ciclo dell’intelligence

Il lavoro da fonti aperte segue il classico ciclo dell’intelligence: orientamento (che cosa dobbiamo sapere?), raccolta, elaborazione, analisi, diffusione e riscontro che alimenta un nuovo orientamento. Il Berkeley Protocol descrive le fasi investigative come ricerche online, valutazione preliminare, raccolta, conservazione, verifica e analisi investigativa.

Prima di effettuare ricerche, redigi un breve piano di raccolta nel fascicolo del caso:

Il piano mantiene la ricerca focalizzata su ciò che serve per rispondere alla domanda, in linea con la minimizzazione dei dati, che il Berkeley Protocol annovera tra i suoi principi metodologici insieme all’accuratezza, alla conservazione e alla sicurezza fin dalla progettazione. Inoltre, consente di rispondere all’esaminatore che chieda perché una fonte sia stata o non sia stata consultata.

Modalità di ricerca: attribuibile, non attribuibile e segreta

Il modo in cui l’investigatore appare online è importante per la sicurezza e per il caso.

Il Berkeley Protocol chiede agli investigatori di ridurre al minimo le proprie tracce digitali e alle organizzazioni di fornire infrastrutture adeguatamente anonimizzate e non attribuibili quando i ricercatori navigano online. Chiede inoltre agli investigatori di evitare dichiarazioni ingannevoli, come l’accesso a gruppi chiusi con false pretese, che può violare i diritti alla privacy e compromettere un’indagine; questo tipo di attività richiede una propria autorizzazione. Anche una ricerca di un indirizzo sospetto su un explorer pubblico segnala al gestore dell’explorer che qualcuno è interessato; eseguire le ricerche sensibili sul proprio nodo evita questo problema (vedi la lezione IDFE-BA API dei nodi e accesso ai dati e la lezione Etica, privacy e sicurezza degli investigatori).

Tecniche di ricerca

I motori di ricerca supportano operatori che permettono di restringere i risultati. La sintassi e il supporto variano da un motore all’altro e cambiano nel tempo, quindi registra la query esatta insieme a ciascun risultato.

Consigli pratici per i casi crypto:

• Cerca gli indirizzi completi, con e senza virgolette, su più motori e all’interno di repository di codice e siti di paste. Gli indirizzi sono stringhe lunghe e univoche, quindi una corrispondenza è raramente casuale, anche se potrebbe trattarsi di una copia (vedi la lezione Collegare identificatori on-chain e off-chain).
• Cerca gli handle e le loro varianti: trattini bassi, cifre, sostituzioni comuni.
• Consulta gli archivi web. La Wayback Machine dell’Internet Archive e altri archivi conservano versioni precedenti delle pagine, spesso risalenti a prima che un sito truffaldino rimuovesse gli indirizzi di deposito o un utente di un forum modificasse un post. Le copie archiviate sono a loro volta acquisizioni di terze parti; cita l’URL dell’archivio e l’ora di acquisizione così come registrata dall’archivio.
• Acquisisci prima, analizza dopo. Le pagine attive cambiano e scompaiono, talvolta perché il soggetto si è accorto dell’interesse.

Raccolta con tracciabilità della provenienza

Ogni elemento raccolto deve includere informazioni sufficienti per dimostrare in seguito di che cosa si trattava, da dove proveniva, quando e come è stato acquisito e che non è stato modificato. Le Best Practices for Acquiring Online Content di SWGDE (documento 21-F-001) raccomandano di acquisire l’intera sequenza di URL, registrare date, orari e fuso orario dell’accesso, preservare i metadati, sottoporre ogni file acquisito a hash con algoritmi approvati dal NIST e documentare l’esaminatore, il browser e l’IP di accesso. Il Berkeley Protocol aggiunge che gli investigatori dovrebbero registrare gli strumenti e i software utilizzati.

Una voce del registro di raccolta:

{
  "item_id": "OS-0007",
  "case_id": "CF-2026-0142",
  "url": "https://forum.example/t/48213?page=3#post-912",
  "query": "\"bc1q…7k3f\" site:forum.example",
  "captured_utc": "2026-03-06T10:41:12Z",
  "method": "full-page capture + HTML source + WARC",
  "tool": "open-source capture tool v3.2, browser 128",
  "files": [
    {"name": "OS-0007.warc.gz", "sha256": "5b0e…11d4"},
    {"name": "OS-0007.png", "sha256": "c3a9…7e20"}
  ],
  "archive_copy": "web archive capture requested 2026-03-06T10:44Z",
  "posture": "non-attributable, research host RH-2",
  "collector": "EX-07",
  "note": "post dated 2023-11-14 shows address in user signature"
}

La voce registra l’URL completo, compreso l’ancoraggio al post, la query esatta che lo ha trovato, l’ora di acquisizione in UTC e il metodo utilizzato. Conserva tre forme della pagina: un file WARC (il formato di archiviazione web standardizzato come ISO 28500), che preserva lo scambio HTTP ed è difficile da contestare; uno screenshot comprensibile al lettore; e il codice sorgente HTML. Al momento dell’acquisizione viene calcolato un hash SHA-256 per ciascun file. Richiedere nello stesso momento una copia a un archivio indipendente fornisce una registrazione della pagina da parte di terzi. La nota distingue la data indicata nel post, che è un’affermazione della piattaforma, dall’ora di acquisizione, che è un’osservazione diretta dell’esaminatore.

Verifica e analisi

Gli elementi raccolti sono affermazioni finché non vengono verificati. Il Berkeley Protocol chiede agli investigatori di accertare se le informazioni sono autentiche e di valutare ogni elemento per affidabilità, rilevanza e valore probatorio. Una struttura pratica consiste nell’esaminare la fonte (chi l’ha pubblicata? L’account è autentico e consolidato?), il contenuto (è coerente al suo interno e con le altre informazioni?) e le tracce tecniche (metadati, struttura della pagina, cronologia dell’archivio). Per l’OSINT crypto, la blockchain offre un solido riscontro indipendente: se un post datato novembre 2023 mostra un indirizzo, quell’indirizzo esisteva già e si comportava in modo coerente con il post in quel momento? Un post che pubblica un indirizzo prima che questo abbia ricevuto i primi fondi è più indicativo di uno apparso dopo un avviso pubblico, quando chiunque avrebbe potuto copiarlo.

L’analisi valuta poi le spiegazioni alternative: chi ha pubblicato il post controlla l’indirizzo; lo ha copiato; l’account è stato impersonato o compromesso. Registra ogni ipotesi e gli elementi a favore e contro ciascuna, quindi valuta il grado di solidità del collegamento (vedi la lezione Dall’indirizzo all’entità alla persona).

Documentare l’OSINT per il tribunale

Un elemento probatorio da fonti aperte è difendibile quando un altro esaminatore può ripercorrere lo stesso percorso e verificare ogni elemento. Il fascicolo del caso dovrebbe contenere:

1. Il piano di raccolta e ogni sua modifica, con le relative motivazioni.
2. Il registro di raccolta, con gli hash, e i file acquisiti in un archivio protetto, con catena di custodia (vedi le lezioni Conservazione delle prove on-chain e Hash, registrazione e catena di custodia).
3. Note contestuali, comprese le ricerche senza risultati, importanti quando la difesa chiede cos’altro è stato esaminato.
4. Le procedure di verifica e i relativi risultati per ogni elemento utilizzato.
5. Una dichiarazione della modalità di ricerca e di ogni eventuale interazione, che confermi l’assenza di accessi non autorizzati o dichiarazioni ingannevoli.

Nella relazione, cita ogni elemento usando il suo identificativo, riportando solo quanto necessario e oscurando le persone non coinvolte. Conserva i dati identificativi delle persone private in un allegato ad accesso limitato, come descritto nella lezione IDFE-BA Protezione dei dati, etica e divulgazione responsabile.

Focus sull'esame: informazioni, intelligence e prove da fonti aperte secondo le definizioni del Berkeley Protocol (2020) e le sue fasi investigative; Articolo 32(a) della Convenzione di Budapest sui dati accessibili al pubblico; il ciclo dell’intelligence e un piano di raccolta scritto con criteri di interruzione; modalità attribuibili, non attribuibili e segrete, e perché il lavoro segreto richiede un’autorizzazione specifica; operatori di ricerca e registrazione della query esatta; archivi web e acquisizione prima dell’analisi; registrazioni della raccolta con URL completo, ora UTC, metodo, versione dello strumento, hash SHA-256 e WARC (ISO 28500), secondo SWGDE 21-F-001; verifica della fonte, del contenuto e degli aspetti tecnici, e uso della blockchain per verificare affermazioni datate; contenuto di un fascicolo OSINT idoneo al tribunale.