Ricerca sui Social Media: Social Media (T1593.001)
La ricerca sui social media è una tecnica di ricognizione passiva con cui un attaccante raccoglie informazioni pubblicamente disponibili su un'organizzazione bersaglio e sul suo personale. Piattaforme come LinkedIn, X, Telegram e simili espongono annunci aziendali, ruoli, sedi, relazioni professionali e interessi dei dipendenti: un patrimonio informativo che alimenta la fase di targeting.
Inquadrata nella tattica TA0043 (Reconnaissance), questa attività si colloca nella fase iniziale della kill chain, quella in cui l'avversario definisce la superficie d'attacco prima di qualsiasi contatto diretto. I dati raccolti non hanno valore in sé, ma diventano la base per fasi successive: Phishing for Information, la creazione di profili falsi per l'ingegneria sociale, l'establishing di account operativi e, infine, l'accesso iniziale tramite Spearphishing via Service.
L'impatto è indiretto ma sistemico. I dati MITRE ATT&CK associano questa tecnica a 3 gruppi APT, 1 campagna documentata e 1 mitigazione. Il meccanismo è insidioso perché avviene interamente al di fuori del perimetro difendibile: nessun log aziendale registra un attaccante che scorre un profilo LinkedIn. Un profilo dipendente dettagliato, un post che rivela lo stack tecnologico o un annuncio di lavoro che elenca i software in uso forniscono all'avversario esattamente ciò che serve per costruire un'esca credibile e personalizzata.
In un esercizio red team, questa tecnica va simulata in modalità lab-safe: raccogliere solo informazioni realmente pubbliche, documentare le fonti e non contattare mai le persone senza mandato esplicito. L'obiettivo è dimostrare quanta superficie informativa un'organizzazione espone involontariamente.
Il punto di partenza è la mappatura del personale. Strumenti come theHarvester (open source) permettono di enumerare nomi, email e domini associati a un'organizzazione partendo da fonti pubbliche. Un comando tipico è:
theHarvester -d dominio-target.com -b linkedin,bing
Per approfondire il grafo delle relazioni e correlare account social, SpiderFoot (open source, con tier cloud freemium) automatizza la raccolta OSINT su decine di moduli, incluse le piattaforme social, restituendo entità collegate. Recon-ng (open source) offre un framework modulare stile Metasploit dove caricare marketplace di moduli:
marketplace install all
e poi lanciare i moduli di raccolta profili impostando le keyword dell'organizzazione.
Per la ricognizione mirata su LinkedIn, tenendo conto che le condizioni d'uso della piattaforma vietano lo scraping automatizzato, in laboratorio si privilegia la consultazione manuale assistita da Maltego (freemium) per visualizzare graficamente le connessioni tra dipendenti, ruoli e progetti. Le tecniche di Google dorking restano preziose: query mirate come site:linkedin.com "nome azienda" "security engineer" individuano rapidamente figure tecniche di interesse.
La catena d'attacco realistica ricalca i casi documentati. I dati MITRE mostrano come Kimsuky abbia usato Twitter per monitorare potenziali vittime e preparare email di phishing mirate, mentre EXOTIC LILY ha copiato dati dai social per impersonare individui bersaglio. Contagious Interview ha individuato e adescato vittime tramite LinkedIn, X e Telegram, sfruttando lo schema del falso reclutamento. Nella campagna Operation Dream Job, Lazarus Group ha impiegato LinkedIn per identificare dipendenti all'interno di organizzazioni scelte nei settori difesa e aerospazio.
La sequenza operativa da riprodurre nel report è quindi:
- Enumerazione dei dipendenti e dei ruoli chiave da profili pubblici
- Correlazione tra account (email personali, handle social, sedi)
- Costruzione del pretext: identificare un tema credibile (finta offerta di lavoro, collaborazione tecnica)
- Prototipazione dell'esca da consegnare in una fase successiva di spearphishing autorizzato
Il deliverable non è un exploit, ma una misura quantitativa dell'esposizione informativa dell'organizzazione.
Vuoi diventare un Ethical Hacker ma non sai da dove iniziare?
Accedi alle lezioni gratuite e segui il percorso corretto fin dal primo passo