Por décadas, hackers misteriosos capturaram a imaginação do público, mas nenhum como Phineas Fisher. Uma década após seu hack mais famoso, Phineas continua sendo o hacker mais prolífico e público que nunca foi pego — um fato que deve manter CEOs de spyware acordados à noite.

Como parte de nossa série sobre os maiores mistérios da cibersegurança de todos os tempos, estamos mergulhando no enigma de Phineas, o hacktivista que hackeou os controversos fabricantes de spyware FinFisher e Hacking Team. Esta última, uma startup italiana, foi uma das primeiras a transformar spyware governamental em um negócio global viável, abrindo caminho para empresas como a NSO Group, de Israel. O hack de Phineas contra a Hacking Team eventualmente levou ao fim da startup anos depois — seu CEO David Vincenzetti foi forçado a vender a empresa por um euro. Um euro. Isso é menos que um café expresso decente.

Além do Anonymous — uma amálgama amorfa de hacktivistas conhecida por hacks de exibição projetados para ganhar publicidade em vez de ter impacto real — Phineas é talvez o hacktivista mais conhecido da história. Sua história é feita de hacks impressionantes e infinitas perguntas sem resposta. Chamado de anarquista, cibercriminoso, hacktivista e vigilante, o hacker disse que “usa muitos nomes diferentes” para diferentes aventuras.

Os hacks que conhecemos foram grandes o suficiente para transformar Phineas em uma lenda. “Eu gostaria de conhecer Phineas Fisher para poder comprar um jantar de sete pratos com três estrelas Michelin em algum lugar e ouvi-los explicar como viraram a Hacking Team do avesso como uma meia de ginástica”, escreveu um conhecido pesquisador de segurança no Twitter. Há até uma música sobre eles.

Phineas surgiu pela primeira vez em agosto de 2014, anunciando que havia hackeado a Gamma Group, fabricante do spyware FinFisher — daí o apelido. Eles divulgaram o hack através de uma conta no Twitter descaradamente chamada @GammaGroupPR, vazando dados roubados incluindo spyware móvel, manuais de produtos e uma lista de preços. O dano foi limitado; FinFisher continuou. Phineas publicou uma autópsia que também serviu como manifesto de esquerda, e então desapareceu.

Um ano depois, eles voltaram com tudo, hackeando a Hacking Team. Levaram praticamente tudo: mais de 400 gigabytes incluindo código-fonte, dezenas de milhares de e-mails internos, contratos confidenciais e listas de clientes. O vazamento permitiu que jornalistas revelassem escândalos no Equador, México e Panamá. Para alguns ex-funcionários, o hack de Phineas foi o começo do fim.

Phineas passou a hackear o sindicato dos Mossos d'Esquadra, a polícia da Catalunha, publicando uma autópsia e um vídeo tutorial de 39 minutos — consistente com seus ideais antipoliciais declarados. Sua próxima vítima foi o partido governante do presidente autoritário da Turquia, Recep Tayyip Erdoğan, um hack motivado por solidariedade com Rojava, uma região autônoma de esquerda no norte e leste da Síria que a Turquia estava combatendo.

A última vítima conhecida de Phineas foi a filial do Cayman National Bank na Ilha de Man, uma ilha autônoma entre a Inglaterra e a Irlanda. O hack sugeriu um lado diferente de Phineas. “Procuro maneiras ilegais de ganhar dinheiro para liberar meu tempo e poder fazer algo útil com ele”, disse Phineas em uma entrevista ao ativista Freddy Martinez. (Phineas doou pelo menos $10.000 em Bitcoin para Rojava.)

Phineas manteve o hack de 2016 em segredo por três anos antes de anunciar o “Programa de Recompensa por Bugs Hacktivista”, uma iniciativa para recompensar hacktivistas que expõem atividades ilegais e antiéticas de empresas. Quando o Cayman National Bank confirmou o hack, afirmou que “estava entre vários bancos visados”. Phineas confirmou que vinha hackeando vários bancos há anos.

Essa foi sua última aparição pública. Suas contas no Twitter e Reddit foram deletadas há muito tempo, não deixando rastros online. A FinFisher nunca contatou as autoridades, de acordo com um ex-funcionário da empresa. A investigação das autoridades italianas sobre o hack da Hacking Team terminou sem encontrar nenhuma evidência apontando para a identidade real de Phineas. O que posso dizer,