I årtionden har mystiska hackare fångat allmänhetens fantasi, men ingen riktigt som Phineas Fisher. Ett decennium efter deras mest kända hack är Phineas fortfarande den mest produktiva och offentliga hackaren som aldrig har gripits – ett faktum som måste hålla spionprograms-VD:ar vakna om natten.

Som en del av vår serie om de största cybersäkerhetsmysterierna genom tiderna dyker vi ner i gåtan Phineas, hacktivisten som hackade de kontroversiella spionprogramstillverkarna FinFisher och Hacking Team. Det senare, en italiensk startup, var bland de första att förvandla statligt spionprogram till en lönsam global verksamhet, vilket banade väg för företag som Israels NSO Group. Phineas hack mot Hacking Team ledde så småningom till startupens undergång år senare – dess VD David Vincenzetti tvingades sälja företaget för en euro. En euro. Det är mindre än en hyfsad espresso.

Bortsett från Anonymous – en formlös blandning av hacktivister kända för stunthack utformade för att samla publicitet snarare än att ha verklig påverkan – är Phineas kanske den mest kända hacktivisten i historien. Deras berättelse består av imponerande hack och oändliga obesvarade frågor. Omväxlande kallad anarkist, cyberbrottsling, hacktivist och vigilant, har hackaren sagt att de "använder många olika namn" för olika eskapader.

Hacken vi känner till var tillräckligt stora för att göra Phineas till en legend. "Jag skulle vilja träffa Phineas Fisher så att jag kunde bjuda dem på en sju-rätters, tre-Michelin-stjärnig middag någonstans och lyssna på dem förklara hur de vände Hacking Team ut och in som en gymstrumpa," skrev en välkänd säkerhetsforskare en gång på Twitter. Det finns till och med en sång om dem.

Phineas dök först upp i augusti 2014 och meddelade att de hade hackat Gamma Group, tillverkare av FinFisher-spionprogram – därav smeknamnet. De publicerade hacket via ett Twitter-konto som skämtsamt kallades @GammaGroupPR och läckte stulna data inklusive mobilt spionprogram, produktmanualer och en prislista. Skadan var begränsad; FinFisher fortsatte. Phineas publicerade en post-mortem som också fungerade som ett vänstermanifest och försvann sedan.

Ett år senare kom de tillbaka med en smäll och hackade Hacking Team. De tog praktiskt taget allt: mer än 400 gigabyte inklusive källkod, tiotusentals interna e-postmeddelanden, konfidentiella kontrakt och kundlistor. Läckan gjorde det möjligt för journalister att avslöja skandaler i Ecuador, Mexiko och Panama. För vissa tidigare anställda var Phineas hack början på slutet.

Phineas gick vidare till att hacka facket för Mossos d'Esquadra, Kataloniens polisstyrka, och publicerade en post-mortem och en 39-minuters handledningsvideo – i linje med deras uttalade antipolisideal. Deras nästa offer var det styrande partiet i Turkiets auktoritära president Recep Tayyip Erdoğan, ett hack motiverat av solidaritet med Rojava, en vänsterautonom region i norra och östra Syrien som Turkiet bekämpade.

Phineas senast kända offer var Cayman National Banks filial på Isle of Man, en självstyrande ö mellan England och Irland. Hacket antydde en annan sida av Phineas. "Jag letar efter olagliga sätt att tjäna pengar för att frigöra min tid så att jag kan göra något användbart med den," sa Phineas i en intervju med aktivisten Freddy Martinez. (Phineas donerade minst 10 000 dollar i Bitcoin till Rojava.)

Phineas höll 2016 års hack tyst i tre år innan de tillkännagav "Hacktivist Bug Bounty Program", ett initiativ för att belöna hacktivister som avslöjar företags olagliga och oetiska aktiviteter. När Cayman National Bank bekräftade hacket hävdade de att det "var bland ett antal banker som var måltavlor." Phineas bekräftade att de hade hackat flera banker i åratal.

Det var deras sista offentliga framträdande. Deras Twitter- och Reddit-konton har sedan länge raderats, vilket inte lämnar någon digital spår. FinFisher kontaktade aldrig brottsbekämpande myndigheter, enligt en tidigare anställd på företaget. Den italienska myndigheternas utredning av Hacking Team-hacket avslutades utan att hitta några bevis som pekade på Phineas verkliga identitet. Vad jag kan säga,