{"id":15054,"date":"2026-05-25T22:23:03","date_gmt":"2026-05-25T20:23:03","guid":{"rendered":"https:\/\/www.spiare.com\/blog\/?p=15054"},"modified":"2026-05-25T22:48:50","modified_gmt":"2026-05-25T20:48:50","slug":"foca-metadata-documenti-spionaggio-rete-interna-osint","status":"publish","type":"post","link":"https:\/\/www.spiare.com\/blog\/foca-metadata-documenti-spionaggio-rete-interna-osint\/","title":{"rendered":"FOCA: lo strumento OSINT gratuito che svela tutto di te"},"content":{"rendered":"\n

FOCA \u2014 Fingerprinting Organizations with Collected Archives \u2014 \u00e8 uno strumento OSINT gratuito che in meno di 20 minuti estrae dai documenti pubblici di un’organizzazione nomi utente interni, hostname dei server, percorsi di rete, versioni software vulnerabili e coordinate GPS. Non richiede accesso ai sistemi bersaglio. Funziona interamente su dati che l’organizzazione ha gi\u00e0 pubblicato online, spesso senza saperlo.<\/strong><\/p>\n\n\n\n

\n\n\n\n

Ogni PDF che la tua azienda pubblica sul sito web contiene informazioni che non vedi. Il nome dell’utente che lo ha creato. Il computer su cui \u00e8 stato redatto. Il percorso di rete del file originale \u2014 \\\\fileserver01\\condivisi\\documenti\\<\/code>. La versione di Office usata. A volte le coordinate GPS di dove \u00e8 stata scattata la foto nella prima pagina.<\/p>\n\n\n\n

FOCA raccoglie queste informazioni automaticamente, su scala, da centinaia di documenti contemporaneamente. Il risultato \u00e8 una mappa dettagliata dell’infrastruttura interna di un’organizzazione costruita interamente con dati pubblici.<\/p>\n\n\n\n

Cosa sono i metadata e perch\u00e9 sono pericolosi<\/h2>\n\n\n\n

Ogni file digitale \u2014 Word, Excel, PowerPoint, PDF, immagine \u2014 contiene un livello invisibile di informazioni tecniche chiamato metadata. Questi dati vengono creati automaticamente dal software al momento della creazione del file e raramente vengono rimossi prima della pubblicazione.<\/p>\n\n\n\n

\n\n

Polinet S.r.l. \u2014 Dal 2001<\/p>\n\n

La tua azienda \u00e8 esposta?<\/h3>\n\n

Eseguiamo valutazioni OSINT e ispezioni TSCM professionali per identificare ogni vettore di esposizione \u2014 documenti pubblici, metadati, segnali RF, dispositivi attivi non autorizzati.<\/p>\n\n

\n\n
\n

\ud83d\udd0d<\/p>\n

Bonifica TSCM<\/p>\n

Rilevamento microspie, bug RF, dispositivi di intercettazione attivi e passivi.<\/p>\n <\/div>\n\n

\n

\ud83d\udce1<\/p>\n

Analisi RF<\/p>\n

Analisi spettrale completa in banda sub-GHz, Bluetooth, Wi-Fi e ultrasonica.<\/p>\n <\/div>\n\n

\n

\ud83c\udf10<\/p>\n

OSINT Aziendale<\/p>\n

Analisi dell’esposizione pubblica: documenti, metadata, dati indicizzati e fonti aperte.<\/p>\n <\/div>\n\n

\n

\ud83d\udee1\ufe0f<\/p>\n

Consulenza Sicurezza<\/p>\n

Protocolli operativi per trasferte ad alto rischio e gestione comunicazioni riservate.<\/p>\n <\/div>\n\n <\/div>\n\n

\n

Licenza ex Art. 28 T.U.L.P.S.  |  NATO NCAGE AL332  |  MEPA\/Consip<\/p>\n\n Richiedi una valutazione \u2192<\/a>\n\n <\/div>\n\n<\/div>\n\n\n\n

FOCA estrae otto categorie di informazioni dai metadata: dati utente come nome autore e ultimo modificatore, informazioni software come applicazione e versione del sistema operativo, informazioni di rete come hostname del computer e percorsi UNC, informazioni temporali, coordinate geografiche da dati EXIF delle immagini, indirizzi email, percorsi interni del file system, e propriet\u00e0 personalizzate come nome progetto e riferimenti interni. <\/p>\n\n\n\n

Il dettaglio pi\u00f9 critico dal punto di vista della sicurezza \u00e8 questo: i percorsi di rete rivelano la topologia dell’infrastruttura interna senza alcuna scansione attiva. Un documento pu\u00f2 contenere \\\\dc01.targetcorp.local\\sysvol\\<\/code> \u2014 identificando nome e ruolo del Domain Controller interno \u2014 insieme a fileserver, server di backup e workstation. <\/p>\n\n\n\n

Come funziona FOCA in un attacco reale<\/h2>\n\n\n\n

FOCA opera su un workflow in quattro fasi: Discovery, Download, Metadata Extraction, Analysis. Nella fase di discovery interroga automaticamente Google e Bing con query filetype per trovare tutti i documenti pubblici di un dominio target. <\/p>\n\n\n\n

Le query generate automaticamente sono:<\/p>\n\n\n\n

site:azienda.com filetype:pdf\nsite:azienda.com filetype:docx\nsite:azienda.com filetype:xlsx\nsite:azienda.com filetype:pptx<\/code><\/pre>\n\n\n\n
Il risultato tipico su un’organizzazione media \u00e8 300+ documenti trovati in pochi minuti. Dopo il download automatico e l’estrazione dei metadata, FOCA presenta una lista di 45+ username unici, 89+ percorsi di rete, software installato con versioni specifiche, e in alcuni casi hostname del Domain Controller interno.<\/p>\n\n\n\n
Il tempo operativo totale da zero a mappa dell’infrastruttura: 10-20 minuti.<\/strong><\/p>\n\n\n\n
Gli username: dal documento al password spraying<\/h2>\n\n\n\n
FOCA costruisce automaticamente una lista di username interni estratti dai metadata \u2014 nome autore, ultimo modificatore, creatore. Identifica il pattern di nomenclatura aziendale \u2014 tipicamente nome.cognome o iniziale.cognome \u2014 e la lista viene esportata direttamente in formato compatibile con strumenti di attacco come Kerbrute per Kerberos pre-authentication o CrackMapExec per autenticazione SMB.<\/p>\n\n\n\n
Tradotto in termini operativi: un documento PDF pubblicato sul sito aziendale per un comunicato stampa contiene il nome di chi lo ha redatto. Quel nome \u00e8 il suo username di rete. Con il pattern identificato da altri documenti, si costruisce una lista completa di username validi senza mai tentare un accesso.<\/p>\n\n\n\n
Le versioni software di FOCA: dalla lista alla vulnerabilit\u00e0<\/h2>\n\n\n\n
FOCA identifica le versioni esatte del software usato nell’organizzazione \u2014 Microsoft Office 2016, Adobe Acrobat DC 2021, LibreOffice 6.4. Ogni versione pu\u00f2 essere incrociata con database di vulnerabilit\u00e0 note come Exploit-DB per identificare CVE non patchati.<\/p>\n\n\n\n
Un’organizzazione che pubblica documenti creati con Office 2016 \u2014 fine supporto 2025 \u2014 sta involontariamente comunicando a chiunque che la sua infrastruttura potrebbe non essere aggiornata. \u00c8 un segnale di allarme che un attaccante registra prima ancora di tentare qualsiasi accesso.<\/p>\n\n\n\n
FOCA vs altri strumenti OSINT: quando usarlo<\/h2>\n\n\n\n
Non tutti gli strumenti OSINT fanno la stessa cosa. FOCA occupa una nicchia precisa \u2014 i documenti pubblici \u2014 che altri strumenti non coprono o coprono solo parzialmente.<\/p>\n\n\n\n
Strumento<\/th>Funzione principale<\/th>Fonte dati<\/th>Gratuito<\/th><\/tr><\/thead>
FOCA<\/td>Metadata da documenti pubblici<\/td>Google\/Bing filetype<\/td>S\u00ec<\/td><\/tr>
theHarvester<\/td>Email e sottodomini<\/td>Motori di ricerca<\/td>S\u00ec<\/td><\/tr>
Maltego<\/td>Mapping relazioni e infrastruttura<\/td>Fonti multiple<\/td>Freemium<\/td><\/tr>
Shodan<\/td>Dispositivi esposti su internet<\/td>Scansione diretta<\/td>Freemium<\/td><\/tr>
Metagoofil<\/td>Metadata su Linux<\/td>Google filetype<\/td>S\u00ec<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n
Il vantaggio operativo di FOCA rispetto agli altri \u00e8 la completezza della ricognizione passiva sui documenti: theHarvester trova email ma non percorsi di rete, Maltego richiede dati di input che FOCA genera autonomamente. In un information gathering professionale i tre strumenti si usano in sequenza, non in alternativa.<\/p>\n\n\n\n
Un caso reale: cosa abbiamo trovato in 20 minuti<\/h2>\n\n\n\n
Durante una valutazione OSINT su un’azienda manifatturiera italiana con circa 200 dipendenti, l’analisi con FOCA di 43 documenti pubblici indicizzati su Google ha prodotto in meno di 20 minuti:<\/p>\n\n\n\n