Pendant des décennies, les hackers mystérieux ont captivé l'imagination du public, mais aucun comme Phineas Fisher. Une décennie après leur hack le plus célèbre, Phineas reste le hacker le plus prolifique et le plus public jamais attrapé – un fait qui doit tenir les PDG de spyware éveillés la nuit.

Dans le cadre de notre série sur les plus grands mystères de la cybersécurité de tous les temps, nous plongeons dans l'énigme de Phineas, le hacktiviste qui a piraté les fabricants controversés de spyware FinFisher et Hacking Team. Ce dernier, une startup italienne, a été parmi les premiers à transformer les spyware gouvernementaux en une entreprise mondiale viable, ouvrant la voie à des sociétés comme le groupe NSO israélien. Le hack de Phineas contre Hacking Team a finalement conduit à la disparition de la startup des années plus tard – son PDG David Vincenzetti a été contraint de vendre l'entreprise pour un euro. Un euro. C'est moins qu'un bon expresso.

À part Anonymous – un amalgame amorphe de hacktivistes connu pour des hacks de spectacle destinés à attirer l'attention plutôt qu'à avoir un réel impact – Phineas est peut-être le hacktiviste le plus célèbre de l'histoire. Leur histoire est faite de hacks impressionnants et de questions sans fin. Qualifié tour à tour d'anarchiste, de cybercriminel, de hacktiviste et de justicier, le hacker a dit qu'il « utilise beaucoup de noms différents » pour différentes escapades.

Les hacks que nous connaissons étaient assez gros pour faire de Phineas une légende. « J'aimerais rencontrer Phineas Fisher pour leur offrir un dîner sept plats trois étoiles Michelin quelque part et les écouter expliquer comment ils ont retourné Hacking Team comme une chaussette de gym », a écrit un jour un chercheur en sécurité bien connu sur Twitter. Il y a même une chanson sur eux.

Phineas a émergé pour la première fois en août 2014, annonçant avoir piraté Gamma Group, fabricant du spyware FinFisher – d'où le surnom. Ils ont publicisé le hack via un compte Twitter effrontément appelé @GammaGroupPR, fuyant des données volées comprenant des spyware mobiles, des manuels produits et une liste de prix. Les dégâts étaient limités ; FinFisher a continué. Phineas a publié un post-mortem qui faisait aussi office de manifeste de gauche, puis a disparu.

Un an plus tard, ils sont revenus en force, piratant Hacking Team. Ils ont pris pratiquement tout : plus de 400 gigaoctets comprenant du code source, des dizaines de milliers d'e-mails internes, des contrats confidentiels et des listes de clients. La fuite a permis aux journalistes de révéler des scandales en Équateur, au Mexique et au Panama. Pour certains anciens employés, le hack de Phineas a été le début de la fin.

Phineas a ensuite piraté le syndicat des Mossos d'Esquadra, la police catalane, publiant un post-mortem et une vidéo tutoriel de 39 minutes – conformément à leurs idéaux anti-police déclarés. Leur victime suivante était le parti au pouvoir du président autoritaire turc Recep Tayyip Erdoğan, un hack motivé par la solidarité avec le Rojava, une région autonome de gauche dans le nord et l'est de la Syrie que la Turquie combattait.

La dernière victime connue de Phineas était la succursale de la Cayman National Bank sur l'île de Man, une île autonome entre l'Angleterre et l'Irlande. Le hack suggérait un côté différent de Phineas. « Je cherche des moyens illégaux de gagner de l'argent pour libérer mon temps afin de faire quelque chose d'utile », a déclaré Phineas dans une interview avec l'activiste Freddy Martinez. (Phineas a donné au moins 10 000 $ en Bitcoin au Rojava.)

Phineas a gardé le hack de 2016 secret pendant trois ans avant d'annoncer le « Hacktivist Bug Bounty Program », une initiative pour récompenser les hacktivistes qui exposent les activités illégales et contraires à l'éthique des entreprises. Lorsque la Cayman National Bank a confirmé le hack, elle a affirmé qu'elle « faisait partie d'un certain nombre de banques ciblées ». Phineas a confirmé qu'ils pirataient plusieurs banques depuis des années.

Ce fut leur dernière apparition publique. Leurs comptes Twitter et Reddit ont été supprimés depuis longtemps, ne laissant aucune trace en ligne. FinFisher n'a jamais contacté les forces de l'ordre, selon un ancien employé de l'entreprise. L'enquête des autorités italiennes sur le hack de Hacking Team s'est terminée sans trouver aucune preuve pointant vers la véritable identité de Phineas.