El hacker que humilló a los creadores de software espía y nunca fue atrapado

En las últimas décadas, varios piratas informáticos misteriosos han capturado la imaginación del público, pero ninguno como Phineas Fisher. Una década después de su hackeo más famoso, Phineas sigue siendo, según la mayoría de las cuentas, el hacker más prolífico y público que nunca ha sido atrapado.

Como parte de nuestra serie sobre los mayores misterios de ciberseguridad de todos los tiempos, profundizamos en el enigma de Phineas, el hacktivista que pirateó a los controvertidos fabricantes de software espía FinFisher y Hacking Team. Esta última, una startup italiana, fue una de las primeras en convertir el software espía gubernamental en un negocio global viable, allanando el camino para fabricantes de software espía como el grupo israelí NSO. El ataque de Phineas contra Hacking Team finalmente provocó la desaparición de la startup años después.

Aparte de Anonymous, una amalgama amorfa de hacktivistas con un historial mixto de trucos en su mayoría diseñados para obtener publicidad en lugar de tener un impacto real, Phineas es quizás el hacktivista más conocido de la historia. Su historia está hecha de trucos impresionantes y un sinfín de preguntas sin respuesta.

¿Quién es Phineas Fisher?

Llamado de diversas maneras anarquista, cibercriminal, hacktivista y justiciero, el hacker ha dicho que «usa muchos nombres diferentes» para diferentes aventuras de piratería.

Los hacks que conocemos fueron lo suficientemente grandes como para convertir a Phineas en una leyenda entre los hackers. «Me gustaría conocer a Phineas Fisher para poder invitarles a una cena de siete platos y tres estrellas Michelin en algún lugar y escucharlos explicar cómo transformaron Hacking Team del revés como si fuera un calcetín de gimnasia», escribió una vez en Twitter un conocido investigador de seguridad. Incluso hay una canción sobre ellos.

Phineas surgió por primera vez en agosto de 2014, cuando anunciaron que habían pirateado a Gamma Group, los creadores del software espía FinFisher, de donde proviene el apodo. Publicaron el truco a través de una cuenta de Twitter llamada descaradamente @GammaGroupPRfiltrando datos robados, incluido software espía móvil, manuales de productos y una lista de precios. El daño fue limitado y FinFisher siguió adelante. Phineas publicó una autopsia que sirvió como manifiesto de izquierda y luego desapareció.

Un año después, regresaron con fuerza y ​​piratearon Hacking Team, otro fabricante de software espía. Se llevaron prácticamente todo: más de 400 gigabytes, incluido el código fuente, decenas de miles de correos electrónicos internos, contratos confidenciales y listas de clientes. La filtración permitió a los periodistas revelar escándalos en Ecuador, México y Panamá. Años más tarde, el director general de Hacking Team, David Vincenzetti, se vio obligado a vender su empresa por un euro. Para algunos ex empleados, el hackeo de Phineas fue el principio del fin.

Phineas luego hackeó el sindicato de los Mossos d’Esquadra, que es la fuerza policial de Cataluña, publicando una autopsia y un video tutorial de 39 minutos, consistente con sus ideales antipoliciales declarados. Su siguiente víctima fue el partido gobernante del presidente autoritario de Turquía, Recep Tayyip Erdoğan, un hackeo motivado por la solidaridad con Rojava, una región autónoma de izquierda en el norte y el este de Siria contra la que Turquía estaba luchando.

La última víctima conocida de Phineas fue la sucursal del Cayman National Bank en la Isla de Man, una isla autónoma entre Inglaterra e Irlanda. El truco insinuó un lado diferente de Phineas. «Busco formas ilegales de ganar dinero para liberar mi tiempo y poder hacer algo útil con él. Una vez que lo tuve claro, comencé a ampliarlo y a ganar más dinero del que necesito y a regalar el extra», dijo Phineas en una entrevista con el activista Freddy Martínez. (Phineas donó al menos 10.000 dólares en Bitcoin a Rojava).

Phineas mantuvo en secreto el ataque, que ocurrió en 2016, durante tres años antes de anunciar el “Programa Hacktivista Bug Bounty”, una iniciativa para recompensar a los hacktivistas que exponen las actividades ilegales y poco éticas de las empresas. Cuando el Cayman National Bank confirmó el ataque, afirmó que «estaba entre varios bancos atacados». Phineas confirmó que habían estado pirateando varios bancos durante años.

Esa fue su última aparición pública. Sus cuentas de Twitter y Reddit fueron eliminadas hace mucho tiempo, sin dejar rastro en línea. FinFisher nunca contactó a la policía, según un ex empleado de la empresa. La investigación de las autoridades italianas sobre el hackeo de Hacking Team terminó sin encontrar ninguna evidencia que apuntara a la verdadera identidad de Phineas. Lo que puedo decir, según mis propios informes, es que Phineas está vivo y bien; han estado en contacto conmigo en los últimos años.

Entonces, ¿quién es Phineas Fisher? Tomando sus afirmaciones al pie de la letra, son hacktivistas con ideales anarquistas, pero también cibercriminales. ¿Podrían ser, en cambio, una persona fabricada controlada por una agencia de espionaje (Rusia, por ejemplo, que tiene un historial de inventar hacktivistas para enturbiar las aguas después de sus propios ataques)? Phineas ha negado ser un espía ruso y no está claro por qué Moscú perseguiría a todos los objetivos elegidos por Phineas.

Sus orígenes son igualmente turbios. Phineas nombró a anarquistas de habla hispana, escribió la autopsia del Hacking Team en español y siguió numerosas cuentas de izquierda latinoamericana en Twitter. Me dijeron que su primer idioma no es ni el inglés ni el español, aunque han reconocido que viven en un país de habla hispana. Vale la pena tomarlo todo con cautela. “Todo lo que digo que contiene pistas sobre mi identidad es medio trolling”, me dijo una vez Phineas. «Tengo la costumbre de decir información errónea».

También es posible que la personalidad de Phineas haya pasado entre 2014 y 2019 y haya sido utilizada por diferentes personas. Pero no hay evidencia de eso, y después de 10 años de conversaciones, mi instinto dice que Phineas es realmente el hacktivista que dice ser.