😱 HACKING TEAM: ascesa e DECLINO

Il 4 luglio 2015, andando su Twitter, avreste trovato il profilo di un'azienda milanese chiamata Hacking Team. La società si descriveva con una frase molto semplice: "Forniamo tecnologia offensiva efficace e facile da usare alle forze dell'ordine e all'intelligence di tutto il mondo". Il 6 luglio, sullo stesso profilo, c'è scritto "Hacked Team". Non più squadra che hackera, ma squadra hackerata. Anche la descrizione è stata riscritta e adesso la società dice di sviluppare tecnologia offensiva inefficace e facile da bucare. L'ultimo post pubblicato sul profilo dice: visto che non abbiamo nulla da nascondere, pubblichiamo tutte le nostre mail, i nostri file e il nostro codice sorgente. Il post contiene il link a un archivio da circa 400 GB che contiene tutti i documenti più riservati dell'azienda e anche il codice sorgente del loro prodotto di punta, un malware che serve a infettare i telefoni cellulari dei cittadini per conto dei governi. Ma come sempre, per capire bene com'è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video in cui parleremo della KingTeam, una storia di cybercrime finalmente tutta italiana che non ha nulla da invidiare ai casi internazionali che trattiamo di solito. Andiamo con ordine. La nostra storia inizia nel 2003, quando a Milano David Vincenzetti fonda Hacking Team insieme a Valeriano Bedeschi. Vincenzetti nel 2003 ha 35 anni e un percorso molto peculiare alle spalle, perché era stato uno dei primissimi in Italia a lavorare sulla crittografia informatica. Tanto che nel 1993, appena iscritto alla Bicocca, l'università lo aveva assunto come amministratore della rete, riconoscendone evidentemente le capacità. Lui stesso ha raccontato in varie interviste di essersi fatto a un certo punto una domanda: il settore della sicurezza è pieno di gente che difende le aziende dagli hacker, ma cosa succederebbe se invece usassimo gli hacker come strumento di sicurezza? La risposta, come accennavo, arriva nel 2003 con la nascita della sua società Hacking Team, nata proprio per prendere soluzioni create dagli attaccanti e usarle invece per la difesa. Nel giro di un paio d'anni il gruppo sviluppa un proprio programma che chiameranno prima RCS, poi Da Vinci e poi Galileo. Io continuo a chiamarlo Galileo nel corso del video, anche se è un nome che prenderà un po' più avanti. Questo software era appunto un RCS, un Remote Control System, che si infilava nel dispositivo del bersaglio e permetteva di prenderne completamente il controllo da remoto. In pratica era uno spyware, quindi un malware che serve per spiare le vittime, ma visto che loro volevano venderlo come strumento di difesa, gli avevano trovato un un po' più caruccio. Questo programma attira l'interesse della Polizia Postale di Milano, che si stava scontrando con un problema. Quando dovevano indagare su un sospettato, avevano tutta una serie di strumenti per intercettare le chiamate telefoniche, e questo i criminali lo sapevano. Quindi i criminali non usavano più le telefonate normali, usavano Skype, e la Polizia Postale non aveva strumenti per intercettare le video call. Il programma di Hacking Team Galileo, come dicevo, era in grado di dare agli inquirenti il controllo completo del dispositivo dispositivo. Potevano registrare le call di Skype, vedere a schermo cosa faceva il sospettato, registrare cosa veniva digitato sulla tastiera. Insomma, era perfetto per le loro attività. Quindi la Polizia Postale di Milano diventa il primo grande cliente di HackingTeam. Piano piano la voce si sparge e arriva anche fuori dai confini nazionali. L'11 marzo 2004, 10 esplosioni colpiscono 4 treni di pendolari a Madrid, uccidendo quasi 200 persone. Vincenzetti decide di cogliere occasione. Quindi corre in Spagna e convince il governo che il suo spyware è essenziale contro il terrorismo. I servizi segreti spagnoli ben presto diventano il secondo cliente di Hacking Team, che negli anni comincia a crescere sempre di più. Nel 2013, 10 anni dopo la fondazione, Hacking Team ha circa 50 dipendenti, ha uffici nel Maryland e a Singapore, e ha una quarantina di governi come clienti, ognuno dei quali, per darvi un'idea dei guadagni della società, paga dai 50.000 a 1.500.000 di euro l'anno. La società è definitivamente lanciata. Poi però arrivano i problemi quando Galileo viene usato contro il bersaglio sbagliato, cioè Ahmed Mansour. Mansour è un ingegnere degli Emirati Arabi Uniti ed è uno degli attivisti per i diritti umani più conosciuti del Golfo. Nell'estate del 2012 riceve via mail un documento, lo apre e da quel momento si trova con i dispositivi violati. Nonostante lo spyware fosse molto leggero e discreto, Mansour si accorge che qualcosa non va e si rivolge a Citizen Lab, un centro di ricerca dell'Università di Toronto che si occupa proprio di analizzare dispositivi di giornalisti e attivisti per capire se qualcuno li sta spiando. Citizen Lab indaga e riesce non solo a capire come funzionava il meccanismo, ma trova anche dei commenti nel codice che gli permettono di attribuire la paternità dello spyware proprio ad HackingTeam. Nell'ottobre 2012 Citizen Lab pubblica il suo report, chiaramente in inglese, con il titolo che possiamo tradurre in italiano con: le backdoor sono per sempre. Hacking team e il prendere di mira il dissenso? Il punto interrogativo alla fine del titolo è dato dal fatto che i ricercatori sono sicuri di quale sia il software e di chi l'abbia prodotto, ma non hanno la certezza che sia stato acquistato dai governi per spiare i dissidenti. Su quest'ultima cosa l'azienda per anni rimane inattaccabile, perché la sua politica è quella di non rivelare mai né i paesi né i nomi dei clienti. Loro loro dichiarano sempre di vendere il malware solo per fini legittimi. Il punto interrogativo nel titolo del report era dovuto proprio a questo: Citizen Lab aveva provato che il software di controllo era di Hacking Team, ma non era riuscito a provare che Hacking Team sapesse che sarebbe stato usato contro gli attivisti invece che contro i terroristi. Comunque, la reputazione di Hacking Team inizia lentamente a sgretolarsi. Nel marzo 2013, Reporter Senza Frontiere inserisce la società nel rapporto annuale sui nemici di internet, nella categoria dei mercenari dell'era digitale. Nel febbraio 2014 il Citizen Lab pubblica un altro report, stavolta sull'Etiopia, dopo che si erano verificati 3 tentativi di infettare con Galileo una televisione indipendente dedicata alla diaspora etiope. L'azienda inizia per forza di cose a prendere una posizione un po' più netta, dicendo: abbiamo una customer policy, noi vendiamo solo a governi e mai ad aziende private, non vendiamo ai paesi nelle liste nere di ONU, Unione Europea o NATO, e ci facciamo aiutare da uno studio legale internazionale a fare i controlli sui clienti prima di vendere. Se poi emergono dubbi su un abuso, indaghiamo e prendiamo provvedimenti. E qui mi viene un po' da sorridere, perché è evidente che questa policy era strutturalmente incapace di funzionare. Tu vendi a un servizio segreto uno strumento per spiare le persone di nascosto e poi dici che però se lo usano male te ne accorgi. Come? Il tuo cliente è un'organizzazione che opera in segreto, che non risponde a te, che ha comprato il tuo prodotto proprio perché voleva fare cose magari non propriamente legittime, ma comunque senza farlo sapere ad altri. Com'è possibile che poi dica ad Hacking Team: "Sì, lo stiamo usando per spiare il giornalista X"? Mi sembra un po' una paraculata, diciamo. La linea difensiva dell'azienda comunque inizia a farsi sempre più debole man mano che emergono nuovi risvolti. Nel 2014 viene fuori che Hacking Team aveva venduto il software anche al Sudan, anche se era stato incriminato dalla Corte Penale Internazionale per il genocidio in Darfur. L'ONU chiede spiegazioni alla società dicendo che le convenzioni proibiscono la vendita di armi ed equipaggiamento militare a chi sia stato oggetto di sanzioni internazionali. Hacking Team risponde che Galileo non è un'arma, è un prodotto come un altro, e le sanzioni internazionali non colpiscono la vendita di tutta la merce, quindi questo divieto a loro non si applica. Fra l'altro, dopo verranno fuori delle mail scambiate fra la società e gli avvocati che l'hanno aiutata a rispondere all'ONU, in cui gli avvocati dicono che vendere RCS al Sudan equivale a vendere un panino per strada. Scrivono proprio: chi vende dei panini al Sudan non è soggetto a questa legge, e Hacking Team deve essere considerata come un venditore ambulante di panini. D'altronde ci sta, Un Trojan in grado di prendere completamente il controllo del cellulare di un dissidente in Darfur è esattamente come un panino, proprio non mi sarebbe venuta in mente analogia migliore. L'ONU comunque ovviamente risponde che quel software a loro parere rientra nella categoria dell'equipaggiamento militare e scriverà anche che Hacking Team ha ostacolato il lavoro del gruppo di esperti rifiutandosi costantemente e deliberatamente di fornire le informazioni richieste. Quindi la società continua sempre di più a inimicarsi le organizzazioni internazionali. Nel frattempo però in Italia sta succedendo una cosa che secondo me è il vero cuore italiano di questa storia e che stranamente si racconta pochissimo. Hacking Team si scontra con la burocrazia. Il 30 ottobre 2014 il MISE, il Ministero dello Sviluppo Economico, si accorge che i prodotti di Hacking Team potrebbero rientrare nel regolamento europeo sui beni a duplice uso, cioè quelli che hanno sia un uso civile che un uso militare, come non Non so, la centrifuga che serve sia all'industria chimica, ma serve anche ad arricchire l'uranio, quindi si può usare anche per scopi bellici. Il dirigente del MISE scrive all'azienda una lettera in cui dice testualmente che l'amministrazione è in possesso di elementi di informazione relativi a operazioni di esportazione della società che potrebbero configurarsi come connesse con possibili utilizzazioni attinenti alla repressione interna e alla violazione dei diritti umani. Questo panegirico significa: sappiamo che state vendendo una potenziale arma a governi che possono usarla per violare diritti umani, quindi da ora in poi ogni esportazione deve essere autorizzata da noi. Per Hacking Team questa cosa ovviamente è un disastro, perché quelle autorizzazioni rilasciate, ovviamente con i tempi delle pubbliche amministrazioni italiane, sono incompatibili con i tempi di consegna che loro hanno nei contratti. Vincenzetti, il fondatore di Hacking Team, però ha un'intuizione. Il regolamento europeo fa una lista di questi beni a duplice uso, dual use, cioè quelli che possono avere appunto uno scopo civile e uno militare. E in questa lista il software di sorveglianza non c'è. Il ministero, per dire che dovevano chiedere l'autorizzazione per esportare, si era appellato all'articolo 4, chiamato clausola catch-all, che sostanzialmente serviva per estendere gli obblighi del regolamento a anche a cose che erano fuori da questa lista. Quindi l'obbligo di autorizzazione preventiva imposto dal Ministero non si poggiava su un elenco di prodotti, ma su una valutazione. E le valutazioni si possono contestare, ed è esattamente quello che fa Vincenzetti, ma non direttamente. L'11 novembre 2014 lui scrive ai suoi collaboratori di star facendo la massima pressione possibile, dice di aver contattato Guardie di Finanza, servizi segreti italiani, Polizia e Carabinieri chiedendo di fare pressione sul Ministero. E perché loro avrebbero dovuto farlo? Semplice, perché loro erano a loro volta clienti di Hacking Team. 4 giorni dopo la questione è risolta. Il MISE manda una mail in cui sospende l'efficacia del proprio provvedimento, quindi quello con cui aveva imposto di chiedere l'autorizzazione prima di esportare il software. E Vincenzetti scriverà poi ai suoi collaboratori di aver coinvolto talmente tanti vertici e forze dell'ordine da non sapere chi fosse stato più efficace nel fare pressione al MISE, anche se secondo lui l'intervento decisivo è stato quello della Presidenza del Consiglio dei Ministri. Palazzo Chigi era cliente di Hacking Team. Ad aprile del 2015 il MISE capitola ulteriormente concedendo all'azienda un'autorizzazione globale a esportare in 46 paesi. Hacking Team sembra essere salva, gli affari vanno bene, il ministero è stato messo a tacere, sono pronti per ripartire. Di certo non si aspettavano minimamente quello che sarebbe successo dopo. Il 22 maggio 2015 un hacker che si fa chiamare Phineas Fisher riesce a entrare nei sistemi di Hacking Team. Per farlo aveva analizzato tutti i dispositivi dell'azienda esposti su internet e aveva trovato un dispositivo embedded. I dispositivi embedded, per farla breve, sono delle componenti di altri prodotti che però hanno a loro volta un processore, quindi sono dei computer a sé stanti anche se noi non li consideriamo dei computer. Computer. Per farvi capire, il navigatore dell'auto è un dispositivo embedded, il videocitofono è un dispositivo embedded, e così via. La particolarità di questi dispositivi è che, essendo dei piccoli computer, sono hackerabili, ma non sembrando dei computer vengono protetti molto meno rispetto agli altri dispositivi. E infatti Hacking Team ne aveva lasciati alcuni esposti e senza protezione. Fisher studia come violarli per un paio di settimane e trova alcune vulnerabilità che gli permettono di entrare nei server di Hacking Team. Dentro ai server di un'azienda di questo tipo vi aspettereste di trovare mille, mille protezioni. Invece Fisher trova un bel database aperto senza necessità di inserire password o altro, che conteneva cosa? Le registrazioni audio e video delle installazioni di prova di RCS di Galileo. I dipendenti di Hacking Team per testare il loro Trojan lo installavano nei propri dispositivi e le registrazioni delle loro webcam finivano in questo archivio. E già questa scoperta era piuttosto golosetta, ma Fisher non si ferma qui. Il 6 giugno 2015 riesce a bucare i computer di due amministratori di sistema e a installare un keylogger, un malware che registra tutti i tasti premuti sulla tastiera. In questo modo riesce a rubare le loro credenziali e a portare via 290 GB di dati dell'azienda, comprese tutte le mail scambiate anche dal consiglio di amministrazione. Il Il 21 giugno arriva finalmente al codice sorgente, che sostanzialmente descrive nel dettaglio cosa fa il software e lo fa funzionare. Già in un software normale arrivare al codice sorgente è rischioso per l'azienda perché chiunque può vederlo e copiarlo, ma in un Trojan, in uno spyware, è ancora più grave perché lì il codice contiene anche le istruzioni su come bypassare gli antivirus e non farsi sgamare. A quel punto non c'era più nulla da rubare. Fisher aveva messo le mani su 400 giga di dati dell'azienda ed era riuscito ad sfiltrarli senza che nessuno se ne accorgesse. Ma cosa voleva farsene di questi dati? Fisher era un cybercriminale un po' anomalo, non gli interessava venderli o ricattare l'azienda, non voleva guadagnare su questa cosa insomma. A lui dava semplicemente fastidio che i governi potessero spiare i cittadini impunemente e sapeva che il modo migliore per mettere loro i bastoni fra le ruote non era scendere piazza, ma era colpire direttamente uno dei fornitori principali, un'azienda dichiarata nemica di internet. Arriviamo così alle 3:15 di quel famoso 5 luglio 2015, quando a essere colpito è direttamente l'account Twitter dell'azienda. Come dicevo, Fisher come prima cosa modifica il nome dell'account, che passa da Hacking Team a Hacked Team, squadra hackerata. Ironicamente prende la stessa frase slogan dell'azienda e la ribalta da "Forniamo tecnologia offensiva, efficace e facile da usare" diventa "Forniamo tecnologia offensiva inefficace e facile da bucare". Subito dopo viene pubblicato il famoso post, apparentemente pubblicato da HackingTeam, con scritto "Non abbiamo niente da nascondere, scaricate pure tutte le nostre cose" e con il link all'archivio sfiltrato da Fisher. L'HackingTeam implode. Il sysadmin dell'azienda, Christian Pozzi, si sveglia, vede il disastro e comincia a twittare dal suo account personale all'impazzata, dicendo che i responsabili verranno arrestati e che quell'archivio contiene un virus, quindi conviene non scaricarlo. Il problema è che in realtà dentro a quell'archivio, in quel preciso momento, ci sono anche le sue password, una delle quali, rullo di tamburi, è password, però con il 4 al posto della A, perché così è più sicura. Su Twitter intanto parte l'hashtag #IsHackingTeamAwakeYet, cioè hacking team si è svegliata, perché tutto questo stava succedendo di notte notte in un fuso orario diverso rispetto a quello italiano, e quindi noi stavamo dormendo ma il resto del mondo stava assistendo alla cosa. L'8 luglio interviene WikiLeaks che pubblica l'archivio delle mail per intero e con un motore di ricerca interno, in modo che attivisti, giornalisti, dissidenti e cittadini di tutto il mondo potessero cercare il proprio nome e vedere cosa veniva fuori. Esce anche la lista dei clienti che ricomprende l'Etiopia, il Marocco, il Bahrain, l'Egitto, il Kazakistan, l'Arabia Arabia Saudita, la Russia, l'Azerbaijan, l'esercito libanese, il Messico, quindi anche dei paesi in lista nera o soggetti a sanzioni internazionali. Ci sono poi chiaramente gli Stati Uniti, compresi l'FBI e la DEA, l'agenzia antidroga, e naturalmente c'è l'Italia con la polizia, i carabinieri, la Guardia di Finanza, i servizi segreti e il Consiglio dei Ministri. L'azienda intanto prende due decisioni drastiche. Come prima cosa chiede a tutti i clienti di sospendere l'uso di Galileo immediatamente. Subito Dopo fa una cosa ancora più strana: chiede alle società di antivirus di cominciare a rilevare Galileo. Per anni quel software era stato costruito apposta per non farsi vedere dagli antivirus, era il motivo per cui i clienti lo pagavano. E Hacking Team invece inizia a chiedere agli antivirus di riconoscere il software. Il motivo è che il codice ormai è pubblico e quindi chiunque può copiarlo e iniziare a spiare chi vuole, per cui il gioco non vale più la candela. I clienti di Hacking Team nel frattempo non la prendono bene. Viene. Il caso più grave è quello della Corea del Sud, dove i documenti confermano l'acquisto del software da parte del servizio di intelligence nazionale, già sotto accusa per aver usato i propri agenti a fini di propaganda politica. Scoppia il finimondo e nel giro di 2 settimane un agente dell'intelligence sudcoreana viene trovato morto per avvelenamento da monossido di carbonio nella sua auto. Sul sedile del passeggero viene trovato un messaggio di 3 pagine in cui l'agente si assume la responsabilità responsabilità completa dell'acquisto, giurando però di aver usato il software solo contro la Corea del Nord, loro storico nemico, quindi non contro i cittadini sudcoreani o contro attivisti e dissidenti. Oltre alle mail e alla lista dei clienti, vengono fuori anche tutti i modi con cui il Trojan infettava i dispositivi, la maggior parte dei quali consisteva nell'aver trovato e nello sfruttare delle vulnerabilità in programmi famosi come Adobe Flash. Le aziende corrono ai ripari cercando di sistemare le falle nel più breve tempo possibile, perché intanto chiaramente tutti i malintenzionati avevano iniziato a sfruttarle a danno degli utenti normali. In tutto ciò partono anche le indagini per capire chi c'era dietro all'attacco. La procura di Milano apre due filoni di indagini: il primo sull'attacco contro ignoti, il secondo su una denuncia presentata da Vincenzetti in persona contro 6 ex collaboratori. Secondo lui è stato uno di loro. In particolare, Vincenzetti punta il dito contro Alberto Pelliccione, che aveva lasciato l'azienda nel febbraio 2014 perché non ne condivideva le scelte e si era messo in proprio con una società di difesa informatica. E qui il colpo di scena: le indagini dimostrano non solo che Pelliccione era innocente e non c'entrava nulla, ma accertano anche che Hacking Team ha provato a incastrarlo. Vincenzetti aveva raccontato agli inquirenti di due tentativi di attacco provenienti da indirizzi IP maltesi, dove aveva sede la società di Pelliccione. Il giudice conclude che era esattamente il contrario. Qualcuno da dentro Hacking Team si era collegato alla rete maltese il giorno dopo l'attacco, in un goffo tentativo di seminare indizi che portassero a pelliccione. Le indagini proseguono per circa 3 anni, ma alla fine, il 4 luglio 2018, vengono archiviate tutte le accuse contro i sospettati. Phineas Fisher non verrà mai identificato, nonostante abbia più volte comunicato con i giornalisti per spiegare le sue motivazioni e illustrare le modalità dell'attacco. Nell'aprile 2016 si risveglia qualcuno che fino a quel momento aveva solo subito passivamente la situazione: il MISE, il Ministero per lo Sviluppo Economico, che torna in una posizione di forza e revoca l'autorizzazione globale a esportare fuori dall'Unione Europea con la motivazione che non è più nell'interesse pubblico. Da quel momento l'azienda deve chiedere il permesso paese per paese, deve chiedere quell'autorizzazione preventiva che prima era stata combinata, poi era stata sospesa. Nonché l'azienda importi più molto, visto che gli eventi l'avevano portata a svalutarsi così tanto da arrivare praticamente alla chiusura. Nel 2019 il gruppo In The Cyber rileva l'80% di Hacking Team alla modica cifra di 1 euro. La società viene rinominata Memento Labs e lo stesso Vincenzetti, uscito di scena nel 2020, scrive su LinkedIn che Hacking Team è morta. Fine? No, perché c'è un epilogo risalente a pochi mesi fa. In realtà, nell'ottobre 2025, Kaspersky, la società nota che fa anche antivirus, presenta una ricerca dimostrando che a marzo 2025 qualcuno aveva colpito media, università e istituzioni in Russia, in Bielorussia, installando uno spyware commerciale chiamato Dante. Le somiglianze con il vecchio Galileo e alcuni commenti indizi lasciati dentro al codice fanno concludere che Dante sia proprio l'erede di RCS, prodotto proprio da Memento Labs. La società conferma che Dante è un loro prodotto, ma dichiara che il cliente lo ha usato male, ha usato una vecchia versione, per questo si è fatto sgamare. Insomma, la KingTeam cambia nome ma non cambia la linea difensiva, che è sempre: noi vendiamo lo strumento, ma quello che ci fa il cliente è affare suo. Se lo usa male, dovete prendervela con lui. In tutto ciò vi consiglio di andare a recuperare vi anche la storia personale di Vincent Zetti, che è veramente un personaggio e che avrà una serie di vicende giudiziarie anche dopo questa vicenda qua. Ma non sto a parlarne qui perché non c'entrano nulla con Hacking Team e perché altrimenti il video durerebbe 2 ore e mezza. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti se conoscevate già la vicenda e cosa ne pensate sia dell'Hacking Team sia in generale della questione degli spyware venduti ai governi. Sono curiosa di sentire le vostre opinioni, soprattutto adesso visto che stiamo parlando di chat control. Vi anticipo che il canale si prende una piccola pausa estiva perché in studio fa decisamente troppo caldo. Io sto schiumando. Penso di continuare a pubblicare solo video fusion, quelli che uniscono un video divulgativo e uno crime, e poi tornerò invece a settembre con nuovi contenuti. Ad agosto non starò completamente ferma, vorrei finire il progetto Peekabook, quindi ci vediamo negli shorts. E ovviamente continueremo anche a leggerci newsletter, di cui vi lascio il link in descrizione se non siete non ancora iscritti. A presto!