Der Geist, der Spyware zerfetzte: 10 Jahre später ist Phineas Fisher immer noch nicht gefasst

Seit Jahrzehnten beflügeln mysteriöse Hacker die Fantasie der Öffentlichkeit, aber keiner so wie Phineas Fisher. Ein Jahrzehnt nach ihrem berühmtesten Hack ist Phineas immer noch der produktivste und öffentlichste Hacker, der nie gefasst wurde – eine Tatsache, die Spyware-CEOs nachts wach halten muss.

Im Rahmen unserer Serie über die größten Cybersicherheits-Mysterien aller Zeiten tauchen wir ein in das Rätsel um Phineas, den Hacktivisten, der die umstrittenen Spyware-Hersteller FinFisher und Hacking Team hackte. Letzteres, ein italienisches Startup, war eines der ersten, das staatliche Spyware zu einem rentablen globalen Geschäft machte und den Weg für Unternehmen wie die israelische NSO Group ebnete. Phineas‘ Hack gegen Hacking Team führte Jahre später zum Untergang des Startups – CEO David Vincenzetti war gezwungen, die Firma für einen Euro zu verkaufen. Einen Euro. Das ist weniger als ein anständiger Espresso.

Abgesehen von Anonymous – einem amorphen Amalgam von Hacktivisten, bekannt für Stunt-Hacks, die eher Publicity als echte Wirkung erzielen – ist Phineas vielleicht der bekannteste Hacktivist der Geschichte. Ihre Geschichte besteht aus beeindruckenden Hacks und endlosen unbeantworteten Fragen. Mal als Anarchist, Cyberkrimineller, Hacktivist oder Wachhund bezeichnet, hat der Hacker gesagt, sie „benutzen viele verschiedene Namen“ für verschiedene Eskapaden.

Die Hacks, von denen wir wissen, waren groß genug, um Phineas zur Legende zu machen. „Ich würde Phineas Fisher gerne treffen, um ihnen ein Sieben-Gänge-Menü in einem Drei-Sterne-Michelin-Restaurant zu spendieren und zuzuhören, wie sie erklären, wie sie Hacking Team wie eine Turnhallen-Socke umgestülpt haben“, schrieb ein bekannter Sicherheitsforscher einst auf Twitter. Es gibt sogar ein Lied über sie.

Phineas tauchte erstmals im August 2014 auf und verkündete, sie hätten Gamma Group gehackt, die Hersteller von FinFisher-Spyware – daher der Spitzname. Sie machten den Hack über einen Twitter-Account namens @GammaGroupPR publik und leckten gestohlene Daten, darunter mobile Spyware, Produkthandbücher und eine Preisliste. Der Schaden war begrenzt; FinFisher machte weiter. Phineas veröffentlichte eine Nachbetrachtung, die als linkes Manifest diente, und verschwand dann.

Ein Jahr später kamen sie mit einem Paukenschlag zurück und hackten Hacking Team. Sie nahmen praktisch alles mit: mehr als 400 Gigabyte, darunter Quellcode, Zehntausende interne E-Mails, vertrauliche Verträge und Kundenlisten. Der Leck ermöglichte es Journalisten, Skandale in Ecuador, Mexiko und Panama aufzudecken. Für einige ehemalige Mitarbeiter war Phineas‘ Hack der Anfang vom Ende.

Phineas hackte daraufhin die Gewerkschaft der Mossos d‘Esquadra, der katalanischen Polizei, und veröffentlichte eine Nachbetrachtung sowie ein 39-minütiges Tutorial-Video – im Einklang mit ihren erklärten anti-polizeilichen Idealen. Ihr nächstes Opfer war die Regierungspartei des autoritären türkischen Präsidenten Recep Tayyip Erdoğan, ein Hack motiviert durch Solidarität mit Rojava, einer linken autonomen Region in Nord- und Ostsyrien, die die Türkei bekämpfte.

Phineas‘ letztes bekanntes Opfer war die Filiale der Cayman National Bank auf der Isle of Man, einer selbstverwalteten Insel zwischen England und Irland. Der Hack deutete auf eine andere Seite von Phineas hin. „Ich suche nach illegalen Wegen, Geld zu verdienen, um meine Zeit freizubekommen, damit ich etwas Nützliches damit tun kann“, sagte Phineas in einem Interview mit dem Aktivisten Freddy Martinez. (Phineas spendete mindestens 10.000 Dollar in Bitcoin an Rojava.)

Phineas hielt den Hack von 2016 drei Jahre lang geheim, bevor sie das „Hacktivist Bug Bounty Program“ ankündigten, eine Initiative zur Belohnung von Hacktivisten, die illegale und unethische Aktivitäten von Unternehmen aufdecken. Als die Cayman National Bank den Hack bestätigte, behauptete sie, sie sei „unter einer Reihe von Banken gewesen, die ins Visier genommen wurden“. Phineas bestätigte, dass sie seit Jahren mehrere Banken hackten.

Das war ihr letzter öffentlicher Auftritt. Ihre Twitter- und Reddit-Konten wurden längst gelöscht, ohne eine Online-Spur zu hinterlassen. FinFisher hat laut einem ehemaligen Mitarbeiter nie die Strafverfolgungsbehörden kontaktiert. Die Ermittlungen der italienischen Behörden zum Hacking-Team-Hack endeten, ohne Beweise für Phineas‘ wahre Identität zu finden.