O hacker que humilhou fabricantes de spyware e nunca foi capturado
Nas últimas décadas, diversos hackers misteriosos capturaram a imaginação pública, mas nenhum como Phineas Fisher. Uma década após seu hack mais famoso, Phineas permanece, segundo a maioria dos relatos, o hacker mais prolífico e público nunca capturado. Seu histórico o torna uma lenda entre hackers e uma figura central nos maiores mistérios de cibersegurança de todos os tempos.
Phineas é conhecido por ter invadido dois dos principais fabricantes de spyware controversos: FinFisher e Hacking Team. A Hacking Team, uma startup italiana, foi uma das primeiras a transformar spyware governamental em um negócio global viável, abrindo caminho para empresas como o grupo israelense NSO Group. O ataque de Phineas contra a Hacking Team eventualmente levou ao colapso da startup anos depois.
Além do Anonymous, um amálgama amorfo de hacktivistas com um histórico misto de hacks principalmente realizados para publicidade ao invés de impacto real, Phineas é talvez o hacktivista mais conhecido da história. Sua história é feita de invasões impressionantes e perguntas sem resposta. Descrito de forma variada como anarquista, cibercriminoso, hacktivista e vigilante, o hacker afirmou que utiliza "muitos nomes diferentes" para diferentes operações de hacking.
Os hacks conhecidos foram grandes o suficiente para transformar Phineas em lenda entre hackers. Um pesquisador de segurança bem conhecido escreveu no Twitter: "Gostaria de conhecer Phineas Fisher para poder comprar-lhe um jantar de sete pratos em um restaurante com três estrelas Michelin em algum lugar e ouvi-lo explicar como transformou a Hacking Team do avesso como uma meia de academia." Existe até uma música sobre Phineas.
Phineas emergiu pela primeira vez em agosto de 2014, quando anunciou ter invadido a Gamma Group, fabricante do spyware FinFisher — de onde vem o apelido. Publicizou o ataque através de uma conta no Twitter chamada cheekily de @GammaGroupPR, vazando dados roubados incluindo spyware móvel, manuais de produtos e uma lista de preços. O dano foi limitado e FinFisher continuou operando. Phineas publicou um post-mortem que funcionava como um manifesto de esquerda e desapareceu.
Um ano depois, voltou com tudo, invadindo a Hacking Team, outro fabricante de spyware. Levou praticamente tudo: mais de 400 gigabytes incluindo código-fonte, dezenas de milhares de emails internos, contratos confidenciais e listas de clientes. O vazamento permitiu que jornalistas revelassem escândalos no Equador, México e Panamá. Anos depois, o CEO da Hacking Team David Vincenzetti foi forçado a vender sua empresa por um euro. Para alguns ex-funcionários, o hack de Phineas foi o começo do fim.
Phineas seguiu invadindo a união dos Mossos d'Esquadra, a polícia da Catalunha, publicando um post-mortem e um vídeo tutorial de 39 minutos — consistente com seus ideais declarados anti-polícia. Sua próxima vítima foi o partido no poder da Turquia do presidente autoritário Recep Tayyip Erdoğan, um hack motivado por solidariedade com Rojava, uma região autônoma de esquerda no norte e leste da Síria contra a qual a Turquia estava lutando.
A última vítima conhecida de Phineas foi o ramo do Cayman National Bank na Ilha de Man, uma ilha autogovernaçável entre Inglaterra e Irlanda. O hack sugeriu um lado diferente de Phineas. "Procuro maneiras ilegais de ganhar dinheiro para liberar meu tempo para que eu possa fazer algo útil com ele. Uma vez que descobri isso, comecei a ampliá-lo e fazer mais dinheiro do que preciso e doar o excedente", disse Phineas em uma entrevista com o ativista Freddy Martinez. Phineas doou pelo menos dez mil dólares em Bitcoin para Rojava.
Phineas manteve o hack — que ocorreu em 2016 — em segredo por três anos antes de anunciar o "Programa de Recompensa por Hacking Ativista", uma iniciativa para recompensar hacktivistas que expõem atividades ilegais e antiéticas de empresas. Quando o Cayman National Bank confirmou o hack, afirmou que "estava entre um número de bancos visados". Phineas confirmou que vinha invadindo vários bancos há anos.
Essa foi sua última aparição pública. Suas contas no Twitter e Reddit foram deletadas há muito tempo, deixando nenhum rastro online. FinFisher nunca contatou a polícia, segundo um ex-funcionário da empresa. A investigação das autoridades italianas sobre o hack da Hacking Team terminou sem encontrar qualquer evidência apontando para a identidade real de Phineas. O que posso dizer, a partir de meu próprio trabalho jornalístico, é que Phineas está vivo e bem — esteve em contato comigo dentro dos últimos dois anos.
Então quem é Phineas Fisher? Levando suas reivindicações pelo valor de face, são um hacktivista com ideais anarquistas, mas também um cibercriminoso. Poderiam ser instead uma persona fabricada controlada por uma agência de inteligência — a Rússia, digamos, que tem histórico de inventar hacktivistas para turvar as águas após seus próprios hacks? Phineas negou ser um espião russo, e é pouco claro por que Moscou iria atrás de todos os alvos escolhidos por Phineas.
Suas origens são igualmente obscuras. Phineas mencionou anarquistas falantes de espanhol, escreveu o post-mortem da Hacking Team em espanhol, e seguiu numerosas contas de esquerdistas latino-americanos no Twitter. Disse-me que sua primeira língua não é nem inglês nem espanhol, embora tenha reconhecido viver em um país de língua espanhola. Tudo isso vale a pena levar com um grão de sal. "Tudo que digo que contém pistas sobre minha identidade é meio trolling", Phineas me disse uma vez. "Tenho o hábito de dizer desinformação."
Também é possível que a persona de Phineas tenha circulado entre 2014 e 2019 e tenha sido usada por diferentes indivíduos. Mas não há evidência disso, e após dez anos de conversas, meu instinto diz que Phineas verdadeiramente é o hacktivista que afirma ser.
Lorenzo Franceschi-Bicchierai é correspondente sênior de cibersegurança. Pode ser contatado via email em lorenzo@techcrunch.com, via mensagem criptografada no Signal em +1 917 257 1382, e no Keybase/Telegram como @lorenzofb.
Conteúdo reescrito pelo Pense Mercado com base nas fontes acima. Não constitui recomendação de investimento.