Hacker que humilló al fabricante de software espía pero no fue atrapado

Varios piratas informáticos misteriosos han capturado la imaginación del público en las últimas décadas, pero ninguno como Phineas Fisher. Diez años después de su hackeo más famoso, Phineas sigue siendo, según la mayoría de las cuentas, el hacker público más prolífico jamás capturado.

Como parte de nuestra serie sobre los mayores misterios de ciberseguridad de todos los tiempos, profundizamos en el misterio de Phineas, el hacktivista que hackeó al controvertido fabricante de software espía FinFisher y Hacking Team. Esta última es una startup italiana que fue una de las primeras en convertir el software espía gubernamental en un negocio global viable, allanando el camino para fabricantes de software espía como el Grupo NSO de Israel. El hackeo de Hacking Team por parte de Phineas finalmente llevó a la desaparición de la startup varios años después.

Phineas es quizás el hacktivista más famoso de la historia, aparte de Anonymous, una colección amorfa de hacktivistas con un historial variado de piratería en su mayoría diseñado para obtener publicidad en lugar de influencia real. Su historia se compone de trucos impresionantes y un sinfín de preguntas sin respuesta.

¿Quién es Phineas Fisher?

El hacker, a quien se ha referido como anarquista, cibercriminal, hacktivista y justiciero, dijo que «usa muchos nombres diferentes» para sus diversas actividades de piratería.

El truco tal como lo conocemos fue lo suficientemente grande como para convertir a Phineas en una leyenda entre los piratas informáticos. “Me encantaría conocer a Phineas Fisher, invitarlo a una cena de siete platos con tres estrellas Michelin en algún lugar y escucharlo explicar cómo transformaron a Hacking Team del revés como si fuera un calcetín de gimnasia”, escribió una vez en Twitter un destacado investigador de seguridad. También hay canciones sobre ellos.

Phineas apareció por primera vez en agosto de 2014, anunciando que había pirateado Gamma Group, el fabricante del software espía FinFisher. Este es el origen de este apodo. Publicaron el truco a través de una cuenta de Twitter llamada descaradamente @GammaGroupPR, filtrando datos robados, incluido software espía móvil, manuales de productos y listas de precios. El daño fue limitado, por lo que continuó Finfisher. Phineas publicó un informe póstumo que sirvió como manifiesto de izquierda y luego desapareció.

Un año después, regresaron con gran éxito y piratearon a otro fabricante de software espía, Hacking Team. Se llevaron prácticamente todo, incluidos más de 400 gigabytes de código fuente, decenas de miles de correos electrónicos internos, contratos confidenciales y listas de clientes. Esta filtración permitió a los periodistas exponer escándalos en Ecuador, México y Panamá. Unos años más tarde, el director general de Hacking Team, David Vincenzetti, se vio obligado a vender la empresa por 1 euro. Para algunos ex empleados, el hackeo de Phineas fue el principio del fin.

Phineas también hackeó el sindicato Mossos d’Esquadra, la policía catalana, y publicó una autopsia y un vídeo tutorial de 39 minutos. Esto es consistente con sus ideales antipoliciales. La siguiente víctima fue el partido gobernante del autoritario presidente turco Recep Tayyip Erdoğan, en un ataque motivado por la solidaridad con Rojava, la región autónoma de izquierda en el norte y este de Siria, de la que Turquía había sido enemiga.

La última víctima conocida de Phineas fue en una sucursal del Banco Nacional de Caimán en la Isla de Man, una isla autónoma entre Inglaterra e Irlanda. Este truco sugirió otro lado de Phineas. «Estoy buscando formas ilegales de ganar dinero para poder liberar mi tiempo y hacer algo útil. Una vez que lo supe, comencé a expandir mi negocio, ganando más dinero del que necesitaba y donando el excedente», dijo Finneas en una entrevista con el activista Freddy Martínez. (Phineas donó al menos 10.000 dólares en Bitcoin a Rojava).

Finneas anunció el Programa Hacktivist Bug Bounty, una iniciativa para recompensar a los hacktivistas que silenciaron el incidente de piratería informática de 2016 durante tres años y luego expusieron las actividades ilegales y poco éticas de las empresas. Cuando el Cayman National Bank reconoció el ataque, afirmó que estaba «entre varios bancos atacados». Phineas admitió que habían pirateado varios bancos a lo largo de los años.

Esa fue su última aparición pública. Sus cuentas de Twitter y Reddit fueron eliminadas hace mucho tiempo, sin dejar rastro en línea. Un ex empleado de la empresa dijo que Finfischer nunca contactó a la policía. La investigación de las autoridades italianas sobre el hackeo de Hacking Team terminó sin encontrar ninguna evidencia que indicara la verdadera identidad de Phineas. Según mis propios informes, Phineas está vivo y bien y ha estado en contacto conmigo durante los últimos años.

Entonces, ¿quién es Phineas Fisher? Si tomamos sus afirmaciones al pie de la letra, son hacktivistas con ideales anarquistas además de ciberdelincuentes. Más bien, ¿son figuras inventadas controladas por agencias de espionaje (Rusia dice que tiene un historial de fabricar nombres de hacktivistas para enturbiar las aguas después de sus propios ataques)? Phineas niega ser un espía ruso y no está claro por qué los rusos perseguirían todos los objetivos que elige Phineas.

Sus orígenes son igualmente oscuros. Phineas nombró a anarquistas de habla hispana, escribió informes posteriores a las acciones del equipo de piratería en español y siguió numerosas cuentas de izquierda en América Latina en Twitter. Me dijeron que su lengua materna no era ni el inglés ni el español, aunque reconocieron que vivían en un país de habla hispana. Todo vale la pena tomarlo con pinzas. “Todo lo que digo que contiene alguna pista sobre mi identidad es semi-trolling”, me dijo una vez Phineas. «Tengo la costumbre de dar información falsa».

También es posible que la personalidad de Phineas haya sido transmitida entre 2014 y 2019 y utilizada por diferentes personas. Pero no hay evidencia de eso, y después de 10 años de conversaciones, mi intuición es que Phineas es realmente el hacktivista que dicen ser.