Al decennialang spreken mysterieuze hackers tot de verbeelding, maar geen enkele zoals Phineas Fisher. Tien jaar na hun beroemdste hack blijft Phineas de meest productieve en publieke hacker die nooit is gepakt - een feit dat spyware-CEO's 's nachts wakker moet houden.

Als onderdeel van onze serie over de grootste cybersecuritymysteries aller tijden duiken we in het raadsel van Phineas, de hacktivist die controversiële spywarespelers FinFisher en Hacking Team kraakte. Dat laatste, een Italiaanse startup, was een van de eersten die overheidsspyware omtoverde tot een levensvatbare wereldwijde business, waarmee de weg werd vrijgemaakt voor bedrijven als het Israëlische NSO Group. Phineas' hack tegen Hacking Team leidde jaren later uiteindelijk tot de ondergang van de startup - CEO David Vincenzetti werd gedwongen het bedrijf te verkopen voor één euro. Eén euro. Dat is minder dan een fatsoenlijke espresso.

Afgezien van Anonymous - een amorfe amalgaam van hacktivisten bekend om stunt-hacks die meer gericht zijn op publiciteit dan op echte impact - is Phineas misschien wel de bekendste hacktivist in de geschiedenis. Hun verhaal bestaat uit indrukwekkende hacks en eindeloze onbeantwoorde vragen. De hacker, die afwisselend een anarchist, cybercrimineel, hacktivist en vigilante wordt genoemd, heeft gezegd dat ze 'veel verschillende namen' gebruiken voor verschillende escapades.

De hacks waar we van weten waren groot genoeg om Phineas tot een legende te maken. 'Ik zou Phineas Fisher graag willen ontmoeten om ze een zeven-gangen diner met drie Michelinsterren ergens te kunnen aanbieden en te luisteren hoe ze uitleggen dat ze Hacking Team binnenstebuiten hebben gekeerd als een sportsok,' schreef een bekende security-onderzoeker ooit op Twitter. Er is zelfs een lied over ze.

Phineas dook voor het eerst op in augustus 2014, met de aankondiging dat ze Gamma Group hadden gehackt, makers van FinFisher-spyware - vandaar de bijnaam. Ze maakten de hack wereldkundig via een Twitter-account dat gekscherend @GammaGroupPR heette, waarbij gestolen gegevens werden gelekt, waaronder mobiele spyware, producthandleidingen en een prijslijst. De schade was beperkt; FinFisher bleef bestaan. Phineas publiceerde een post-mortem die tevens dienst deed als linkse manifest, en verdween toen.

Een jaar later kwamen ze terug met een knal, door Hacking Team te kraken. Ze namen vrijwel alles mee: meer dan 400 gigabyte aan broncode, tienduizenden interne e-mails, vertrouwelijke contracten en klantenlijsten. Het lek stelde journalisten in staat schandalen in Ecuador, Mexico en Panama aan het licht te brengen. Voor sommige voormalige werknemers was Phineas' hack het begin van het einde.

Phineas ging verder met het hacken van de vakbond van de Mossos d'Esquadra, de Catalaanse politie, en publiceerde een post-mortem en een 39 minuten durende tutorialvideo - consistent met hun verkondigde anti-politie-idealen. Hun volgende slachtoffer was de regerende partij van de Turkse autoritaire president Recep Tayyip Erdoğan, een hack gemotiveerd door solidariteit met Rojava, een linkse autonome regio in Noord- en Oost-Syrië waartegen Turkije vocht.

Phineas' laatste bekende slachtoffer was de vestiging van Cayman National Bank op het eiland Man, een zelfbesturend eiland tussen Engeland en Ierland. De hack hintte op een andere kant van Phineas. 'Ik zoek naar illegale manieren om geld te verdienen om mijn tijd vrij te maken zodat ik er iets nuttigs mee kan doen,' zei Phineas in een interview met activist Freddy Martinez. (Phineas doneerde ten minste $10.000 in Bitcoin aan Rojava.)

Phineas hield de hack van 2016 drie jaar stil voordat ze het 'Hacktivist Bug Bounty Program' aankondigden, een initiatief om hacktivisten te belonen die illegale en onethische activiteiten van bedrijven aan het licht brengen. Toen Cayman National Bank de hack bevestigde, beweerde het dat het 'een van de vele banken was die doelwit waren'. Phineas bevestigde dat ze al jaren meerdere banken hadden gehackt.

Dat was hun laatste publieke optreden. Hun Twitter- en Reddit-accounts zijn al lang verwijderd, waardoor er geen online spoor meer is. FinFisher heeft nooit contact opgenomen met de politie, volgens een voormalig werknemer van het bedrijf. Het onderzoek van de Italiaanse autoriteiten naar de hack van Hacking Team eindigde zonder enig bewijs dat naar de echte identiteit van Phineas wees. Wat ik kan zeggen,