O hacker que humilhou criadores de spyware e nunca foi pego
Nas últimas décadas, vários hackers misteriosos capturaram a imaginação do público, mas nenhum como Phineas Fisher. Uma década após seu hack mais famoso, Phineas continua, segundo a maioria dos relatos, sendo o hacker mais prolífico e público a jamais ter sido pego.
Como parte de nossa série sobre os maiores mistérios de cibersegurança de todos os tempos, estamos mergulhando no enigma de Phineas, o hacktivista que invadiu os fabricantes de spyware controversos FinFisher e Hacking Team. Este último, uma startup italiana, foi um dos primeiros a transformar spyware governamental em um negócio global viável, abrindo caminho para fabricantes de spyware como o israelense NSO Group. O ataque de Phineas contra a Hacking Team acabou levando à derrocada da startup anos depois.
Além do Anonymous — um amálgama amorfo de hacktivistas com um histórico misto de hacks que consistem principalmente em golpes publicitários projetados para atrair atenção em vez de causar impacto real —, Phineas é talvez o hacktivista mais conhecido da história. Sua história é feita de ataques impressionantes e infinitas perguntas sem resposta.
Chamado de anarquista, cibercriminoso, hacktivista e justiceiro, o hacker afirmou que “usa muitos nomes diferentes” para suas diferentes aventuras de invasão.
Os ataques que conhecemos foram grandes o suficiente para transformar Phineas em uma lenda entre os hackers. “Eu gostaria de conhecer Phineas Fisher para poder pagar a ele um jantar de sete pratos com três estrelas Michelin em algum lugar e ouvi-lo explicar como ele virou a Hacking Team do avesso como uma meia de academia”, escreveu certa vez um conhecido pesquisador de segurança no Twitter. Há até mesmo uma música sobre ele.
Phineas surgiu pela primeira vez em agosto de 2014, quando anunciou que havia invadido o Gamma Group, fabricante do spyware FinFisher — origem do seu apelido. Ele publicizou o ataque por meio de uma conta no Twitter chamada com atrevimento de @GammaGroupPR, vazando dados roubados, incluindo spyware móvel, manuais de produtos e uma tabela de preços. O dano foi limitado e a FinFisher continuou operando. Phineas publicou uma autópsia do ataque que funcionava como um manifesto esquerdista, e então desapareceu.
Um ano depois, ele voltou com força total, invadindo a Hacking Team, outra fabricante de spyware. Ele levou praticamente tudo: mais de 400 gigabytes, incluindo código-fonte, dezenas de milhares de e-mails internos, contratos confidenciais e listas de clientes. O vazamento permitiu que jornalistas revelassem escândalos no Equador, México e Panamá. Anos depois, o CEO da Hacking Team, David Vincenzetti, foi forçado a vender sua empresa por um euro. Para alguns ex-funcionários, o ataque de Phineas foi o começo do fim.
Phineas passou a invadir o sindicato dos Mossos d’Esquadra, a força policial da Catalunha, publicando uma análise pós-ataque e um vídeo tutorial de 39 minutos — coerente com seus ideais antipolicia declarados. Sua vítima seguinte foi o partido governista do presidente autoritário da Turquia, Recep Tayyip Erdo?an, um ataque motivado pela solidariedade a Rojava, uma região autônoma de esquerda no norte e leste da Síria contra a qual a Turquia estava lutando.
A última vítima conhecida de Phineas foi a filial do Cayman National Bank na Ilha de Man, uma ilha autogovernada entre a Inglaterra e a Irlanda. O ataque revelou um lado diferente de Phineas. “Procuro maneiras ilegais de ganhar dinheiro para liberar meu tempo e poder fazer algo útil com ele. Quando descobri isso, comecei a escalar a operação, ganhando mais dinheiro do que preciso e doando o excedente”, disse Phineas em uma entrevista ao ativista Freddy Martinez. (Phineas doou pelo menos 10.000 dólares em Bitcoin para Rojava.)
Phineas manteve o ataque — ocorrido em 2016 — em segredo por três anos antes de anunciar o “Programa de Recompensa de Erros para Hacktivistas”, uma iniciativa para recompensar hacktivistas que exponham as atividades ilegais e antiéticas de empresas. Quando o Cayman National Bank confirmou o ataque, alegou que ele “estava entre vários bancos visados”. Phineas confirmou que vinha invadindo vários bancos havia anos.
Essa foi sua última aparição pública. Suas contas no Twitter e no Reddit há muito foram excluídas, sem deixar nenhum rastro online. A FinFisher nunca entrou em contato com as autoridades policiais, de acordo com um ex-funcionário da empresa. A investigação das autoridades italianas sobre a invasão da Hacking Team terminou sem encontrar nenhuma evidência que apontasse para a verdadeira identidade de Phineas. O que posso dizer, a partir de minhas próprias apurações, é que Phineas está vivo e bem — ele entrou em contato comigo nos últimos dois anos.
Então, quem é Phineas Fisher? Levando suas alegações pelo valor nominal, ele é um hacktivista com ideais anarquistas, mas também um cibercriminoso. Poderia ele ser, em vez disso, uma persona fabricada controlada por uma agência de espionagem — a Rússia, digamos, que tem um histórico de inventar hacktivistas para turvar as águas após seus próprios ataques? Phineas negou ser um espião russo, e não está claro por que Moscou iria atrás de todos os alvos escolhidos por Phineas.
Suas origens são igualmente obscuras. Phineas já citou anarquistas de língua espanhola, escreveu a análise do ataque à Hacking Team em espanhol e seguiu inúmeras contas esquerdistas latino-americanas no Twitter. Ele me disse que sua primeira língua não é nem o inglês nem o espanhol, embora tenha reconhecido morar em um país de língua espanhola. Vale a pena olhar para tudo isso com desconfiança. “Tudo o que digo que contém pistas sobre minha identidade é uma provocação pela metade”, Phineas me disse uma vez. “Tenho o hábito de espalhar desinformação.”
Também é possível que a persona de Phineas tenha sido passada de mão em mão entre 2014 e 2019 e usada por diferentes indivíduos. Mas não há evidências disso e, após 10 anos de conversas, meu instinto diz que Phineas é verdadeiramente o hacktivista que afirma ser.
