Per decenni, hacker misteriosi hanno catturato l'immaginazione del pubblico, ma nessuno come Phineas Fisher. Un decennio dopo il loro hack più famoso, Phineas rimane l'hacker più prolifico e pubblico mai catturato – un fatto che deve tenere svegli i CEO delle aziende di spyware.

Come parte della nostra serie sui più grandi misteri informatici di tutti i tempi, ci immergiamo nell'enigma di Phineas, l'hacktivist che ha hackerato i controversi produttori di spyware FinFisher e Hacking Team. Quest'ultimo, una startup italiana, è stato tra i primi a trasformare lo spyware governativo in un business globale redditizio, spianando la strada ad aziende come l'israeliana NSO Group. L'hack di Phineas contro Hacking Team ha portato alla sua fine anni dopo – il suo CEO David Vincenzetti è stato costretto a vendere l'azienda per un euro. Un euro. Meno di un buon espresso.

A parte Anonymous – un ammasso amorfo di hacktivisti noto per hack spettacolari progettati per raccogliere pubblicità piuttosto che avere un impatto reale – Phineas è forse l'hacktivist più famoso della storia. La loro storia è fatta di hack impressionanti e infinite domande senza risposta. Definito variamente anarchico, criminale informatico, hacktivist e vigilante, l'hacker ha detto di "usare molti nomi diversi" per diverse imprese.

Gli hack che conosciamo sono stati abbastanza grandi da trasformare Phineas in una leggenda. "Mi piacerebbe incontrare Phineas Fisher per offrirgli una cena di sette portate con tre stelle Michelin e ascoltarlo spiegare come ha rivoltato Hacking Team come un calzino da palestra," ha scritto una volta un noto ricercatore di sicurezza su Twitter. C'è persino una canzone su di loro.

Phineas è emerso per la prima volta nell'agosto 2014, annunciando di aver hackerato Gamma Group, produttori dello spyware FinFisher – da qui il soprannome. Hanno pubblicizzato l'hack tramite un account Twitter chiamato @GammaGroupPR, divulgando dati rubati tra cui spyware mobile, manuali di prodotto e un listino prezzi. Il danno è stato limitato; FinFisher ha continuato. Phineas ha pubblicato un post-mortem che fungeva anche da manifesto di sinistra, poi è scomparso.

Un anno dopo, sono tornati con il botto, hackerando Hacking Team. Hanno preso praticamente tutto: più di 400 gigabyte tra cui codice sorgente, decine di migliaia di email interne, contratti riservati e liste di clienti. La fuga di notizie ha permesso ai giornalisti di rivelare scandali in Ecuador, Messico e Panama. Per alcuni ex dipendenti, l'hack di Phineas è stato l'inizio della fine.

Phineas ha poi hackerato il sindacato dei Mossos d'Esquadra, la polizia catalana, pubblicando un post-mortem e un video tutorial di 39 minuti – coerente con i loro dichiarati ideali anti-polizia. La loro prossima vittima è stato il partito al governo del presidente autoritario turco Recep Tayyip Erdoğan, un hack motivato dalla solidarietà con il Rojava, una regione autonoma di sinistra nel nord e est della Siria che la Turchia stava combattendo.

L'ultima vittima conosciuta di Phineas è stata la filiale della Cayman National Bank nell'Isola di Man, un'isola autogovernata tra Inghilterra e Irlanda. L'hack ha suggerito un lato diverso di Phineas. "Cerco modi illegali per fare soldi per liberare tempo così posso fare qualcosa di utile," ha detto Phineas in un'intervista con l'attivista Freddy Martinez. (Phineas ha donato almeno $10.000 in Bitcoin al Rojava.)

Phineas ha tenuto nascosto l'hack del 2016 per tre anni prima di annunciare l'"Hacktivist Bug Bounty Program", un'iniziativa per premiare hacktivisti che espongono attività illegali e non etiche delle aziende. Quando la Cayman National Bank ha confermato l'hack, ha affermato che "era tra una serie di banche prese di mira". Phineas ha confermato di aver hackerato diverse banche per anni.

Quella è stata la loro ultima apparizione pubblica. I loro account Twitter e Reddit sono stati cancellati da tempo, senza lasciare traccia online. FinFisher non ha mai contattato le forze dell'ordine, secondo un ex dipendente dell'azienda. L'indagine delle autorità italiane sull'hack di Hacking Team si è conclusa senza trovare prove che puntassero alla vera identità di Phineas. Quello che posso dire,