Occhi nel buio: come funzionano (davvero) le piattaforme di monitoraggio del dark web

C'è una metafora sagace sui diversi approcci alla conoscenza, parla di una stanza buia dove andare a cercare un gatto nero che potrebbe esserci come non esserci. C'è lo scienziato rigoroso, il filosofo, il teologo, il predicatore.
Nel mercato del dark web monitoring ci sono tutti e le loro varianti.
Il nuovo articolo delle Cronache del Sottosopra esplora come funzionano davvero le piattaforme di monitoraggio del dark web, cosa possono fare e cosa non possono fare. E come aggirare i predicatori.

Published on 2026-03-09 09:00

C’è un’immagine che torna spesso nelle presentazioni dei vendor di sicurezza: un iceberg. In superficie, il web che tutti conoscono: Google, Wikipedia, i social. Sotto, il deep web, vasto e per lo più innocuo (database privati, webmail, intranet aziendali). E poi ancora più in fondo, nell’oscurità, il dark web, ovvero quella porzione di internet accessibile solo tramite software dedicati come Tor, intenzionalmente progettata per resistere all’identificazione e alla sorveglianza. Quel posto nella rete che noi chiamiamo sottosopra.

L’immagine è efficace, forse troppo. Perché nel tempo ha alimentato una mitologia che distorce la realtà: il dark web come un unico posto, un mercato nero globale e onnisciente, accessibile solo agli iniziati, che operano in bat-caverne indossando una felpa con cappuccio e una Maschera di V di Vendetta. Di riflesso, decine di piattaforme che promettono di monitorarlo come occhi onniveggenti capaci di vedere tutto ciò che si muove nelle profondità.

La realtà, come quasi sempre accade in sicurezza informatica, è più complicata, e come tutte le cose complicate, molto più interessante.

📦 Box tecnico, Tor, I2P e le reti dell’ombra: una mappa rapida

Come ci si muove (e come si monitora) nel buio

Cominciamo con il precisare che il dark web non è una sola rete. È un insieme di overlay network, ovvero reti costruite sopra Internet ma progettate per anonimizzare il più possibile tutto il traffico. La più nota è Tor (The Onion Router), che instrada le comunicazioni attraverso una serie di nodi cifrati a strati esattamente come la cipolla da cui prende il nome. Poi abbiamo I2P (Invisible Internet Project), Freenet, e una galassia di reti minori, ognuna con architettura e comunità proprie. Su queste reti proliferano i hidden service, ovvero siti con domini non indicizzati dai motori di ricerca tradizionali, raggiungibili solo tramite client Tor.

Ed è qui che si sviluppano i forum di hacking, i marketplace di dati rubati, le bacheche di credential dump, i canali di comunicazione dei ransomware group.

Monitorare tutto questo non è come fare una scansione Google, e questo perché i crawler tradizionali non entrano in Tor, i link non si propagano liberamente e quasi tutte le risorse richiedono una registrazione, un invito e a volte un pagamento in criptovaluta. Inoltre la topologia cambia continuamente: un servizio che esiste oggi potrebbe essere sparito domani perché sequestrato, migrato o molto semplicemente inghiottito dall’oblio.

Le piattaforme di dark web monitoring affrontano questo problema in modi diversi, ma condividono alcune componenti fondamentali.

Crawler specializzati e nodi Tor dedicati

Il cuore di qualsiasi sistema di monitoraggio è un’infrastruttura di crawling capace di operare dentro la rete Tor. Questi spider automatizzati scandagliano i link , archiviano i contenuti, li indicizzano. Il problema è che molti siti proteggono attivamente contro i bot: CAPTCHA, controlli sulla frequenza delle richieste, requisiti di autenticazione.

I vendor più seri mantengono identità persistenti sulle piattaforme monitorate, account creati nel tempo, con storia e reputazione sufficiente da accedere a sezioni riservate. È un lavoro che richiede analisti umani e che non è possibile automatizzare in pieno.

Feed di Threat Intelligence

Una parte significativa del valore di queste piattaforme non viene dal crawling in tempo reale, ma da database storici costruiti nel tempo. Anni di dump raccolti, forum archiviati, insiemi di credenziali indicizzate. Di norma, se un’azienda cerca se le proprie email sono finite in una breach, l’analista sta interrogando esattamente questo archivio, e questa non è una ricerca live nel dark web. Ci sono poi i feed di threat intel condivisi tra vendor, CERT, e comunità come MISP: indicatori di compromissione, hash di malware, indirizzi IP associati a C2 (command & control server), tecniche di attacco mappate sul framework MITRE ATT&CK.

Telemetria da botnet e infostealer

Una delle fonti meno discusse, ma tra le più preziose, sono i log degli infostealer. Malware come Raccoon, RedLine o Vidar infettano milioni di macchine, esfiltrano credenziali, cookie di sessione, dati di autofill, e riversano tutto su marketplace dedicati spesso accessibili nel dark web. Le piattaforme di monitoraggio avanzate acquistano o intercettano questi log, costruendo una visione quasi in tempo reale delle credenziali compromesse in circolazione. Se tutto funziona, è possibile che la piattaforma riesca a notificare alle aziende la compromissione prima che i dati vengano usati in un attacco.

Il mercato del dark web monitoring si è espanso enormemente nell’ultimo decennio, con proposte che vanno dal consumer all’enterprise-grade.

Cominciamo con il fare una distinzione che il marketing tende a offuscare: quella tra piattaforme operative e piattaforme di intelligence analitica. Il nome è intuitivo, sono cose diverse, rispondono a domande diverse, e confonderle è uno degli errori più comuni da parte degli addetti ai lavori.

Per capire la differenza, è utile guardare due approcci opposti che il mercato ha sviluppato in parallelo.

Il primo è quello delle piattaforme asset-centriche: partono da te, domini, IP, brand, e vanno a cercare nel dark web quello che ti riguarda direttamente. Scandagliano forum chiusi e siti usando avatar e identità persistenti, raccolgono credenziali leaked, e correlano tutto questo con gli asset digitali specifici dell’organizzazione, prioritizzando gli alert per rischio e impatto. Il punto di forza è proprio questa correlazione: parte da tee va a cercare nel dark web quello che ti riguarda direttamente.

Il secondo approccio è quello delle piattaforme di intelligence analitica, il cui cuore è un knowledge graph, un database non relazionale che non organizza i dati in tabelle, ma in un grafo di entità collegate: attori, malware, CVE, domini, campagne, settori industriali. Ogni collegamento porta un peso temporale, quando è emerso, con quale frequenza, da quali fonti. Questo permette di navigare relazioni complesse in modo naturale: chi ha sfruttato questa vulnerabilità, in quali campagne, contro quali verticali, e come si è evoluta la loro attività negli ultimi due anni? Non parte necessariamente dai tuoi asset, parte dagli attori e dalle campagne, e ti dice se e come il tuo settore è nel mirino.

La differenza pratica: le piattaforme asset-centriche rispondono a “cosa sta succedendo a me ?”. Quelle di intelligence analitica rispondono a “chi si sta muovendo là fuori, e come e quanto dovrei preoccuparmi ?”. Due angolazioni complementari, non sovrapponibili.

  • Piattaforme enterprise di threat intelligence offrono copertura ampia: forum, marketplace, canali Telegram, paste site, CVE in pre-disclosure. L’enfasi è sull’analisi contestuale, non basta sapere che esiste un dump di credenziali, bisogna capire se è rilevante, recente, attribuibile a un attore specifico. I prezzi sono in linea con la complessità: licenze annuali che partono da decine di migliaia di euro.
  • Piattaforme focalizzate sul credential monitoring si concentrano su un problema specifico: sapere se email, password o cookie delle proprie utenze sono stati compromessi. Più facili da integrare, più accessibili economicamente, ma per definizione più limitate nel contesto.
  • Strumenti open source e ibridi permettono indagini mirate ma richiedono competenze e risorse interne significative. Non sono prodotti da scaffale, ma strumenti per analisti.
  • Aggregatori di alert si posizionano a metà: indici massicci, API ben documentate, integrabili nei SIEM aziendali, ma con una dipendenza forte dalla qualità e dall’aggiornamento del database sottostante.

Per usare bene queste piattaforme bisogna conoscerne i limiti strutturali, che non sono difetti ma caratteristiche intrinseche di un ecosistema per definizione opaco e in continuo movimento. Cominciamo con il dire che la copertura è sempre parziale.Nessuna piattaforma ha una visione completa dell’ecosistema dark: alcuni forum sono chiusi, altri richiedono inviti da parte di membri fidati, altri ancora operano su canali cifrati end-to-end fuori dalla portata di qualsiasi crawler. Sapere cosa non si vede è importante quanto sapere cosa si vede.

Altra cosa è la latenza, il monitoraggio non è mai in tempo reale. Tra il momento in cui un dato viene compromesso, venduto in un marketplace , rilevato da un crawler, processato e infine recapitato come alert, possono passare ore, giorni, a volte settimane. Per le breach grandi e mediatiche la risposta può essere rapida. Per i dump minori, di solito no. Pianificare i processi di risposta tenendo conto di questa latenza è parte integrante di una strategia matura.

Il volume richiede un processo di triage. Qualunque organizzazione attivi un servizio di dark web monitoring si ritrova rapidamente sommersa da alert, molti dei quali sono rumore: credenziali, dati da breach già risolte, falsi positivi da typosquatting di dominio. La piattaforma genera il segnale ma è inutile così come arriva. E’ necessario decidere cosa esaminare, cosa tralasciare, cosa automatizzare. E la decisione non è tecnica: è una strategia di accettazione del rischio che deve coinvolgere i livelli apicali dell’organizzazione, perché senza mandato chiaro dall’alto, l’analista finisce per gestire il rumore invece di fare intelligence. Per le organizzazioni enterprise, con centinaia di migliaia di utenze distribuite su domini diversi, il problema non è marginale: è fondamentale. Il triage non è un’attività di contorno: è il cuore del servizio qualunque piattaforma venga usata.

Alfred Korzybski amava ripetere: la mappa non è il territorio. Vale anche qui. Il perimetro da monitorare è più ampio del dark web, e il dark web che si riesce a monitorare è sempre una mappa parziale del territorio reale. Una quota crescente di dati rubati e comunicazioni tra attori malevoli si è spostata su Telegram, su forum nel clear web con accesso controllato, o su piattaforme di paste accessibili a chiunque. E quando arriva un alert, vale la pena applicare anche il rasoio di Occam: l’ipotesi più semplice è spesso quella giusta. Prima di costruire scenari di attacco elaborati, conviene verificare se si tratta di una credenziale vecchia, di una breach già nota, di un falso positivo. Un programma di monitoraggio efficace tiene conto di tutte queste superfici, e di quanto sia facile scambiare il rumore per intelligence.

Trasformare tutto questo in soglie automatiche è la vera sfida operativa. Non è sufficiente affidarsi alla taratura predefinita della piattaforma, ogni organizzazione ha un contesto specifico che nessun vendor conosce meglio di chi ci lavora dentro. Serve un meccanismo proprietario, costruito sulla conoscenza diretta del dato, che non deleghi a logiche terze e opache la decisione su cosa inoltrare e cosa scartare. Che un alert non si attivi perché fuori soglia è una scelta che si può valutare e accettare. Che un alert esista ma non venga inoltrato perché filtrato dalla piattaforma, senza che nessuno lo sappia, non è accettabile.

In conclusione conoscere questi limiti non è una critica alle piattaforme, è il presupposto per usarle bene. Perché il valore reale non sta nello strumento, sta in chi lo usa. E sta nell’anticipazione, non nella risposta.

L’analista di cyber intelligence che alle 23 sta ancora a leggere un thread su un forum underground perché gli interessa porta un valore che non si compra con una certificazione. Conosce i nickname, riconosce gli stili di scrittura, sa quando un post sa di honeypot e quando è roba vera. Ha costruito quel patrimonio nel tempo libero, prima ancora che diventasse un lavoro. Non lavora per mantenere i propri hobby, lavora perché il lavoro è il suo hobby. E in questo campo la differenza si vede immediatamente. Pensiero laterale, capacità di immedesimazione nell’attaccante, intuizione su dove guardare: non sono competenze che si trasmettono in aula. Si formano nell’esperienza diretta, spesso ai margini, in quegli anni passati a smontare cose per capire come funzionano, a frequentare ambienti che non erano esattamente il percorso consigliato da un orientatore scolastico.

Purtroppo le aziende tendono a promuovere chi sa parlare di sicurezza, non chi sa farla. Chi produce slide convincenti scala la gerarchia. Chi trova la vulnerabilità alle 2 di notte rimane dove sta, con una pacca sulla spalla e un “ottimo lavoro” detto da qualcuno che non ha capito cosa ha trovato. A volte il risultato è un management che galleggia a centimetri dal soffitto, troppo in alto per vedere il pavimento, troppo in basso per avere una visione vera, e gestisce con KPI che non misurano nulla di reale, obiettivi costruiti copiando benchmark da un report Gartner, e una distanza abissale tra chi decide e chi esegue.

È come mettere un sommelier a dirigere una vigna perché sa descrivere il vino meglio degli altri. Magari parla benissimo di tannini e retrogusto, ma quando arriva la grandine non sa cosa fare.

In mezzo a tutto questo ci sono gli analisti, che devono giustificare il proprio lavoro a qualcuno che non capirebbe un threat actor profile neanche se glielo leggessero ad alta voce, che ricevono obiettivi costruiti senza conoscere i vincoli operativi reali, e che ogni tanto si sentono dire “come è possibile che la piattaforma non ci ha avvertito” con la stessa serenità con cui si chiederebbe a un idraulico di fermare il mare.

Il paradosso è che l’avversario non ha questo problema, il gruppo ransomware, il broker di accessi, l’attore state-sponsored. Lì non c’è nessun middle management che chiede la reportistica in formato standard entro venerdì. Lì lavorano persone ossessionate, motivate, spesso brillanti, che non timbrano cartellino e non compilano form di valutazione delle performance. Asimmetria pura.

Non è un profilo facile da trovare. Ed è sempre più raro trovare persone appassionate, persone per cui il lavoro e l’hobby sono la stessa identica cosa. Persone con un carattere spesso complicato, tutt’altro che facili da gestire, spesso incapaci di lavorare in team, e, badate bene, questa non è un problema ma un vantaggio.

La piattaforma è il binocolo. Ma il binocolo, con tutti i suoi alert, produce solo rumore senza qualcuno che sappia cosa cercare, e riconoscere quella persona, quando la si ha davanti, richiede esattamente il tipo di competenza che troppo spesso manca al piano di sopra.

Appendice tecnica — Tor, I2P e le reti dell’ombra: una mappa rapida

Tor (The Onion Router) è la rete più diffusa e conosciuta. Funziona instradando il traffico attraverso una catena di almeno tre nodi volontari (relay), ognuno dei quali conosce solo il nodo precedente e quello successivo — mai l’intera traiettoria. Ogni livello della catena aggiunge uno strato di cifratura, che viene “sbucciato” progressivamente: da qui la cipolla. I siti sono hidden service: server raggiungibili solo dall’interno della rete Tor, senza un IP pubblico esposto. L’indirizzo è in realtà una chiave pubblica crittografica — cambia se il servizio si sposta, non è registrabile come un dominio normale.

I2P (Invisible Internet Project) adotta un approccio diverso. Invece di una rete di relay centralizzati, usa un sistema di tunnel unidirezionali costruiti dinamicamente tra i nodi partecipanti — ogni nodo contribuisce banda alla rete. I2P è progettato principalmente per comunicazioni interne alla rete (i cosiddetti eepsites, con dominio ), non per navigare il web normale in anonimato. Molto usato in certi ambienti per la distribuzione di file e comunicazioni peer-to-peer. Meno conosciuto di Tor, ma storicamente più resistente ad alcuni tipi di analisi del traffico.

Freenet è ancora diverso: una rete di archiviazione distribuita e cifrata, progettata per la censorship-resistance. I contenuti vengono frammentati e distribuiti tra i nodi, senza che nessun singolo nodo sappia cosa sta ospitando. Non è una rete di navigazione vera e propria, ma una piattaforma per pubblicare e recuperare contenuti in modo anonimo e persistente.

Telegram non è tecnicamente dark web — ma nella pratica funziona sempre più come tale per molti attori malevoli. Canali e gruppi privati ospitano vendita di credenziali, log di infostealer, discussioni tra ransomware group. Tutto accessibile da un’app sul telefono, senza Tor, senza onion. Un confine che le piattaforme di monitoraggio più aggiornate hanno già superato.

Bibliografia essenziale

Tag
Francesco
Francesco
Articoli: 22

Lascia una risposta

Questo sito utilizza Akismet per ridurre lo spam. Scopri come vengono elaborati i dati derivati dai commenti.