TLDR
- Fare OSINT su se stessi significa osservare quali tracce pubbliche collegano nome, nickname, email, documenti e vecchi siti.
- Il rischio non è il singolo risultato: è la correlazione tra frammenti distribuiti nel tempo.
- Gli LLM rendono più economico collegare profili pseudonimi, indizi personali e archivi pubblici.
- La difesa è ridurre coerenza inutile, separare identità, controllare breach e rimuovere documenti dimenticati quando possibile.
Non sei una pagina, sei una rete
Quando cerchi il tuo nome online, istintivamente guardi i risultati come fossero una lista.
Primo link, secondo link, profilo social, vecchio PDF, magari una foto. Fine.
Il problema è che la tua identità pubblica non funziona come una lista. Funziona come un grafo: nome reale, username, email, domini, documenti, repository, forum, archivi, commenti, vecchie bio, pagine indicizzate e copie storiche.
Hacker Journal lo racconta bene nell'articolo sull'OSINT personale: l'obiettivo non è scoprire dati segreti, ma osservare quale versione di noi sia pubblicamente ricostruibile. È un esercizio di consapevolezza, non di paranoia.
E nel 2026 questa consapevolezza è più urgente, perché gli LLM hanno trasformato la correlazione da lavoro paziente a lavoro scalabile.
Il paper "Large-scale online deanonymization with LLMs" mostra proprio questo: con accesso a informazioni pubbliche, un agente può estrarre indizi da profili pseudonimi, cercare corrispondenze e ragionare sui candidati. Tra i dataset usati ci sono anche profili Hacker News collegati ad altre identità pubbliche.
La vecchia idea "non ho scritto il mio nome, quindi sono anonimo" regge sempre meno.
Il tuo io digitale ha nodi
I nodi più importanti sono quasi sempre gli stessi.
Nome e cognome.
È la parte ufficiale. Ha omonimie, rumore, risultati sbagliati, ma spesso è il punto di ingresso.
Username.
È più sottile. Un nickname scelto a quindici anni può riapparire su forum, GitHub, commenti, marketplace, gaming, social minori. Non sembra personale, ma se resta coerente nel tempo diventa un filo.
Email.
È il pivot più potente. L'email collega registrazioni, breach, mailing list, documenti, account recuperabili e servizi dimenticati.
Documenti.
PDF, slide, vecchi CV, atti pubblici, programmi di eventi, repository, allegati indicizzati. I documenti hanno testo, proprietà, date, autori, percorsi e contesto.
Archivio.
Internet non è solo spazio, è tempo. La Wayback Machine e altri archivi possono mostrare come appariva una pagina anni fa, anche quando oggi sembra sparita.
Presi singolarmente questi frammenti sembrano noiosi.
Collegati, raccontano.
Il primo audit: cercare con metodo
La ricerca casuale crea ansia e basta.
L'audit utile parte da una mappa. Scrivi:
- varianti del tuo nome;
- username storici;
- email vecchie e attuali;
- domini o siti personali;
- repository pubblici;
- forum o community frequentate;
- documenti pubblici che ricordi;
- vecchi progetti, conferenze, eventi, curriculum.
Poi cerca in modo strutturato.
Non serve un arsenale. Bastano operatori base e pazienza:
- nome e cognome tra virgolette;
- nome più città, azienda, scuola o progetto;
- username tra virgolette;
- email tra virgolette;
- nome più
filetype:pdf; - username più
filetype:pdfofiletype:ppt; - ricerche limitate a domini specifici, come LinkedIn, GitHub o vecchi forum.
L'importante è non giudicare subito il singolo risultato. Devi chiederti: a cosa si collega?
Un PDF collega nome ed email. Un repository collega username e competenza. Un vecchio forum collega nickname e interessi. Una bio archiviata collega città, lavoro e periodo.
È qui che la lista diventa grafo.
Username: il filo che non sembra personale
Molte persone cambiano lavoro, telefono, città, foto profilo e piattaforme.
Lo username invece resta.
Per pigrizia, affetto, abitudine o branding personale, lo stesso alias viaggia per anni. Magari nasce per il gaming, poi compare su GitHub, poi in un commento tecnico, poi in una recensione, poi in una vecchia mailing list.
Tool come WhatsMyName aiutano a verificare se un identificativo appare su molte piattaforme. Non serve usarlo per "spiare" altri. Serve a capire quanto un alias storico sia stato riutilizzato.
La domanda utile:
questo username deve ancora collegare tutto?
Se la risposta è no, puoi iniziare a separare.
Non devi cancellare ogni traccia. Puoi smettere di riusare lo stesso alias per contesti diversi, aggiornare vecchie bio, dismettere account morti, cambiare nickname dove ha senso, creare identità tecniche separate da identità personali.
La privacy spesso non nasce dalla sparizione.
Nasce dalla non correlazione.
Email: il nodo che attraversa gli anni
Have I Been Pwned è utile perché risponde a una domanda semplice: un indirizzo email è comparso in breach noti?
Non ti dice "sei compromesso adesso". Ti dice che quell'identificativo è stato associato a certi servizi in certi momenti.
Dal punto di vista OSINT, ogni breach è anche una traccia storica:
- quell'email era usata lì;
- in quell'anno era attiva;
- quel servizio racconta un interesse, un contesto o una categoria;
- se la password era riusata, il rischio cresce;
- se l'email è ancora pubblica, il phishing diventa più credibile.
Qui si collega un pezzo già pubblicato su Able2Code: device-code phishing, quando il login è vero ma l'accesso è dell'attaccante. Più un attaccante sa su di te, più può costruire un pretesto che sembra normale.
La contromisura base è noiosa ma potente:
- email diverse per contesti diversi;
- alias o plus addressing dove utile;
- password manager;
- passkey o MFA phishing-resistant dove disponibile;
- account vecchi chiusi;
- notifiche di breach attive.
Documenti che parlano troppo
I PDF sono traditori gentili.
Sembrano documenti statici, ma possono contenere testo indicizzato, autori, date, versioni, software usato, nomi di file, email, loghi, link e metadati. Anche quando il contenuto è innocuo, può collegare identità e contesto.
Prova con:
- il tuo nome più
filetype:pdf; - il tuo username più
filetype:pdf; - vecchi domini nella Wayback Machine;
- repository pubblici con allegati;
- slide di eventi;
- curriculum caricati anni fa.
Questo filone si collega anche all'articolo su LLM locali e tracce su disco: i dati non sono pericolosi solo quando escono verso il cloud. Sono pericolosi quando dimentichiamo dove vivono, chi li indicizza e quanto restano.
AI: la correlazione diventa economica
La ricerca sulla deanonymization con LLM non dice che tutti siano identificabili sempre.
Dice una cosa più scomoda: il costo della correlazione scende.
Un umano può leggere centinaia di commenti, estrarre indizi, cercare profili simili e ragionare su probabilità. Ma richiede tempo. Un agente AI può fare lo stesso su scala maggiore, soprattutto se gli indizi sono molti e coerenti.
Gli indizi banali sono i peggiori:
- "lavoro in un certo settore";
- "vivo vicino a...";
- "anni fa studiavo...";
- "uso questo tool da...";
- "il mio cane si chiama...";
- "ho partecipato a...";
- "questo è il mio vecchio progetto".
Da soli sembrano niente.
Insieme diventano coordinate.
Pulizia pratica senza drammi
Una buona bonifica parte da priorità.
Primo: account morti.
Chiudi quelli che non usi e che non ti servono più. Prima salva ciò che vuoi conservare.
Secondo: email esposte.
Se un indirizzo storico appare ovunque, smetti di usarlo per nuovi account sensibili. Non devi cambiarlo in una notte, ma puoi avviare una migrazione.
Terzo: documenti.
Rimuovi CV vecchi, slide con contatti personali, PDF duplicati e file che collegano identità non più coerenti.
Quarto: bio e profili.
Evita di replicare lo stesso testo identico su dieci piattaforme. È comodo per te, ma anche per chi correla.
Quinto: separazione.
Un'identità professionale, una tecnica e una personale possono coesistere senza usare sempre lo stesso nickname, la stessa email e la stessa foto.
La frase da ricordare
La tua identità digitale non è quello che hai pubblicato oggi.
È quello che resta collegabile nel tempo.
Fare OSINT su se stessi è il modo più sano per scoprirlo prima che lo faccia qualcun altro, magari con un agente AI più paziente di te.
FAQ
Fare OSINT su se stessi è legale?
Sì, se ti limiti a informazioni pubbliche, ai tuoi account e ai tuoi dati. Lo scopo è audit personale, non investigare altre persone.
Devo cancellare tutto?
No. L'obiettivo non è sparire, ma sapere cosa racconti. Alcune tracce sono utili o inevitabili; altre sono vecchie, inutili o troppo colleganti.
Perché l'email è così importante?
Perché attraversa servizi, anni e contesti. Un indirizzo presente in breach, forum, documenti o vecchi account diventa un nodo centrale della tua identità pubblica.
Cosa cambia con gli LLM?
Cambia la scala. Un umano può collegare frammenti con pazienza; un agente AI può estrarre indizi, cercare candidati e confrontare profili molto più rapidamente.
Qual è il primo esercizio utile?
Mappa tre cose: nomi usati, username storici ed email storiche. Poi cerca documenti pubblici e account dimenticati prima di pensare a tool più complessi.