Phineas Fisher è lo pseudonimo di un pirata informatico mai identificato, noto soprattutto per aver violato nel 2015 l’azienda milanese Hacking Team e pubblicato i suoi documenti interni. In precedenza aveva colpito Gamma Group, produttore dello spyware FinFisher, e nel novembre 2019 ha offerto fino a 100.000 dollari ad altri hacker per violare aziende e pubblicarne i documenti. Ecco chi è, cosa ha fatto e cosa insegna la sua storia a chi deve proteggere i dati di un’azienda.
Chi è Phineas Fisher
Di Phineas Fisher si sa pochissimo: nessuno conosce il suo nome, la sua nazionalità o se dietro lo pseudonimo ci sia una sola persona. Si presenta come un “hacktivista”, cioè un attivista che usa l’informatica per colpire aziende e istituzioni che considera dannose. I suoi bersagli preferiti sono state le aziende che vendono software di sorveglianza ai governi.
A differenza di molti criminali informatici, dopo ogni attacco ha pubblicato una spiegazione tecnica di come lo aveva condotto, scritta apposta perché altri potessero imitarlo.
2014: Gamma Group e FinFisher
Nel 2014 Phineas Fisher ha violato Gamma Group, il gruppo che produceva FinFisher, uno spyware venduto a forze di polizia e governi. Ha pubblicato circa 40 GB di documenti: manuali, listini, codice e corrispondenza con i clienti. Da quei file risultava la vendita dello spyware anche a governi accusati di violare i diritti umani.
2015: l’attacco a Hacking Team
Il colpo più noto è del luglio 2015. Hacking Team, società di Milano che vendeva a governi e forze dell’ordine software per intercettare computer e telefoni, si è vista sottrarre e pubblicare in rete centinaia di gigabyte di dati: email interne, contratti, fatture, l’elenco dei clienti e il codice sorgente dei suoi programmi. Il link all’archivio è stato diffuso dallo stesso account Twitter dell’azienda, finito sotto il controllo dell’attaccante.
Secondo il resoconto pubblicato da Phineas Fisher, l’ingresso nella rete è avvenuto sfruttando una falla ancora sconosciuta in un dispositivo di rete raggiungibile da Internet. Da lì l’attaccante ha esplorato i sistemi interni fino ai server con i dati più riservati, senza essere scoperto.
Le conseguenze sono andate oltre l’azienda. Tra i file pubblicati c’erano falle non ancora corrette di programmi molto diffusi, come Adobe Flash, che Hacking Team usava per infettare i bersagli. Nel giro di pochi giorni quelle falle sono state usate anche dai criminali, e i produttori hanno dovuto rilasciare aggiornamenti urgenti.
2019: la banca nelle isole Cayman e la “taglia” da 100.000 dollari
Nel novembre 2019 sono stati pubblicati online oltre 2 terabyte di dati della filiale sull’isola di Man della Cayman National Bank, banca delle isole Cayman. Phineas Fisher ha rivendicato l’intrusione, che secondo il suo racconto risaliva al 2016. La banca ha confermato di aver subito una violazione.
Nello stesso messaggio ha annunciato l’Hacktivist Bug Hunting Program: fino a 100.000 dollari, in Bitcoin o Monero, a chi avesse violato aziende e reso pubblici documenti di interesse pubblico. Tra gli esempi citava la compagnia petrolifera statunitense Halliburton, la società israeliana di spyware NSO Group e aziende minerarie e dell’allevamento in Sud America. Il nome è una presa in giro dei “bug bounty”, i programmi con cui le aziende pagano chi segnala le falle dei loro sistemi.
Nel 2020 Phineas Fisher ha dichiarato di aver pagato 10.000 dollari, attraverso il programma, a un hacker anonimo che aveva diffuso email e documenti di militari cileni.
Cosa insegna questa storia alle aziende
Al di là del giudizio sui bersagli, i resoconti di Phineas Fisher sono un manuale di come si entra in un’azienda. E mostrano errori che si ripetono ancora oggi:
- il punto d’ingresso è spesso un dispositivo dimenticato: firewall, VPN, NAS o telecamere raggiungibili da Internet e non aggiornati. Vanno inventariati, aggiornati e, se non servono, scollegati;
- una volta dentro, l’attaccante si muove: la rete va divisa in zone, in modo che dal computer di un dipendente non si arrivi ai server più delicati;
- gli accessi degli amministratori vanno protetti con password uniche e verifica in due passaggi;
- chi non controlla i registri non si accorge di nulla: un sistema che segnala accessi e trasferimenti di dati anomali accorcia il tempo in cui l’intruso lavora indisturbato;
- il furto di dati è un danno diverso dalla perdita: un backup ti restituisce i file, ma non può impedire che vengano pubblicati. Per questo contano sia le copie sia la protezione dei dati riservati, con cifratura e accessi limitati.
Per un privato le regole di base sono le stesse, in piccolo: le trovi nei nostri consigli di sicurezza informatica.
Domande frequenti
Phineas Fisher è stato arrestato?
No. A oggi non è mai stato identificato pubblicamente.
Cos’era Hacking Team?
Una società milanese che vendeva a governi e forze dell’ordine software per controllare a distanza computer e telefoni. Dopo l’attacco del 2015 ha perso molti clienti e negli anni successivi è confluita in un’altra azienda.
Dopo un’intrusione serve capire cosa è stato preso e conservare le prove senza alterarle. Trovi come lavoriamo nella pagina sul recupero dati forense e le perizie informatiche.
