Di sicuro in questa storia c’è che un hacker, o più di uno, ha fregato altri hacker. Ma la sottrazione dei dati alla Hacking Team non deve rimanere una questione interna al mondo degli “smanettoni”. Tutt’altro, è un nodo che potenzialmente riguarda i cittadini di tutto il mondo, i loro dati sensibili e la privacy online. Per arrivare a comprendere l’importanza del tema è bene capire di chi stiamo parlando: Hacking Team è una azienda italiana specializzata nella vendita di software per spiare computer.
Tra i clienti di Hacking Team, guidata da David Vincenzetti, figurano committenti istituzionali come forze dell’ordine italiane e straniere. E allo stesso tempo governi repressivi come quello del Sudan che hanno utilizzato i software per monitorare e rintracciare attivisti e giornalisti non allineati. In passato la società è stata inserita tra i cosiddetti “nemici della Rete” da Reporter Senza Frontiere e la sua presenza tra i file di Wikileaks è una costante. Nel leak compaiono clienti nei seguenti Paesi: Arabia Saudita, Australia, Azerbaigian, Bahrein, Cile, Cipro, Colombia, Corea del Sud, Ecuador, Egitto, Emirati Arabi, Etiopia, Germania, Honduras, Italia, Kazakistan, Lussemburgo, Malesia, Marocco, Messico, Mongolia, Nigeria, Oman, Panama, Polonia, Repubblica Ceca, Russia, Singapore, Spagna, Stati Uniti, Sudan, Svizzera, Tailandia, Ungheria, Uzbekistan, Vietnam.
La cronaca racconta che nella mattinata del 6 luglio è stato diffuso dal profilo Twitter della stessa società un link che rimandava a 400 gigabyte di materiale sottratto dai computer di Hacking Team. In gergo tecnico un “leak”, che era stato diffuso dagli stessi hacker che avevano violato anche l’account di Twitter dell’azienda oltre ai pc di Christian Pozzi e Mauro Romeo, amministratori della società.
Finiti più volte dentro il mirino degli attivisti, si ha però la sensazione che il colpaccio l’abbia portato a termine la concorrenza, e per questo motivo, per capire cioè chi è arrivato a sottrarre i file ad Hacking Team, la Procura di Milano aprirà un’inchiesta. Sarà coordinata dal procuratore aggiunto Maurizio Romanelli, che sovrintende il pool competente anche per i reati informatici. L’ipotesi di reato, al momento, è quella di accesso abusivo a sistema informatico. L’ipotesi negli ambienti è che non si tratti di una sortita di qualche attivista, ma di un tentativo di affossare l’azienda e rafforzare altri competitor (anche se per alcuni paradossalmente il sistema di sicurezza di HT era talmente elementare che non ci sarebbe voluto un esperto concorrente).
Da due giorni una delle poche aziende produttrici di software di spionaggio (spyware) di Stato è completamente esposta e ha ben pochi segreti. Addirittura all’interno del leak e poi segnalati on-line sono finite anche le liste clienti degli ultimi due anni (2014 – 2015).
Tra i clienti di Hacking Team, figurano committenti istituzionali come forze dell’ordine italiane e straniere. Ma anche governi repressivi come quello del Sudan che hanno utilizzato i software per rintracciare attivisti e giornalisti non allineati
I prodotti di Hacking Team hanno sempre fatto gola, tanto che, a quanto risulta dai documenti diffusi, anche l’Fbi, la Dea (Drug Enforcement Administration) e l’esercito statunitense figurano tra gli acquirenti di “Da Vinci” e “Galileo”, software in grado di controllare da remoto qualunque computer registrando telefonate, tracciando mail, password, perfino di accendere webcam.
Dunque lo scandalo si allarga, perché se qui nelle ore successive all’hackeraggio ci si è anche un po’ divertiti scorrendo la cronologia di password poco sicure e cronologie di siti porno, il leak mostrava come Hacking Team fosse in contatto con le istituzioni di oltreoceano come la Cia, i servizi investigativi del Pentagono, il New York Police Department e il Dipartimento per l’Immigrazione. Tutte rigorosamente con nome in codice: dall’Fbi che diventa Phoebe alla Dea che è Katie, alla CIA, che non ha mai comprato prodotti, ma che aveva come nome in codice Marianne.
Come rivelato da un’inchiesta di Privacy International pubblicata da Motherboard già dal 2012 Dea, Fbi ed esercito Usa hanno acquistato il software tramite un’altra compagnia, la Cicom, che, guardacaso, negli Stati Uniti ha lo stesso indirizzo (1997 Annapolis Exchange Parkway Suite 30x) e ha condiviso per un periodo uno stesso general manager, Alex Velasco. Velasco si occupava dei clienti di Hacking Team per il nord America dal 2012, ma la relazione si chiude a marzo di quest’anno in tribunale, dopo che la stessa hacking Team ha accusato Velasco di tramare con la concorrenza. Velasco interpellato da The Intercept non ha commentato proprio a causa della vicenda giudiziaria non ancora terminata.
Briefing for the italian government on hacking team’s surveillance exports
Tornando in patria le mani nei capelli non sono poche: tra i clienti di HT figurano anche il Ros dei Carabinieri e la Procura di Milano. L’auspicio è che all’interno del leak non siano finiti materiali riguardanti indagini in corso. Allo stesso modo tra i clienti, come scrive La Repubblica, non ci sarebbero solo operatori del pubblico, ma anche privati tra istituzioni finanziarie e assicurative come ABI, l’associazione bancaria italiana, Ubi Banca, Generali, Unipol, Cattolica, CnpCapitalia, Fondiaria SAI, Itas Assicurazioni, ma anche ING Direct, Deutsche Bank, Barclays, RSA e Axa. E poi TIM e Alenia Aermacchi, la società controllata da Finmeccanica. Aziende che avrebbero chiesto all’Hacking Team di testare il loro grado di impenetrabilità agli attacchi informatici. Senza dimenticare una fattura da 29.280 euro che vale come prima tranche trimestrale del 2015 del software Spia Galileo, indirizzata in Via della Pineta Sacchetti, vecchia sede del Sismi e oggi assegnata invece al Polo tecnologico del raggruppamento unità Difesa. Come scrive Massimo Sideri sul Corriere della Sera «la sostanza non cambia, si tratta di una parte dei Servizi segreti italiani».
L’account Twitter Phineas Fisher: «Scriverò in che modo l’Hacking Team è stato hackerato solo quando non avranno capito cosa sia successo e saranno usciti dal mercato»
Un bel grattacapo, non solo per aziende e istituzioni, ma anche per i cittadini. Tornando alla privacy, è lo stesso Giancarlo Russo che apre agli usi impropri degli stessi spyware. In una mail presente all’interno del leak scrive: «Se compri una Ferrari, a Maranello ti insegnano a guidarla, ma non possono garantirti che vincerai la gara. Se Beretta ti vende una pistola, ti insegnano a usarla, ma non possono garantirti che sul campo sparerai correttamente. Io posso venderti RCS Galileo (uno dei software di HT, ndr), ma non posso garantirti che tu stia eseguendo la giusta procedura per infettare il giusto bersaglio». Tradotto, noi ti vendiamo il prodotto, ma una volta che sta nelle mani di un governo noi non ne siamo più responsabili. Così arrivano i monitoraggi ad attivisti, cittadini e giornalisti.
MESSAGGIO PROMOZIONALE
Intanto in queste ore ci si continua a interrogare su chi possa esserci dietro l’attacco. Un primo indizio lo fornisce Twitter: è l’account @GammaGroupPr. Su questo profilo la scorsa estate furono diffusi 40 GigaByte della Gamma International, società britannica operante nello stesso settore di Hacking Team, che aveva fornito programmi-spia al Bahrein, il cui governo li avrebbe utilizzati per monitorare alcuni attivisti per i diritti umani. In silenzio da oltre un anno, l’account ha ripreso a cinguettare nelle ore del rilascio del leak: «Scriverò in che modo l’Hacking Team è stato hackerato solo quando non avranno capito cosa sia successo e saranno usciti dal mercato». Non si può parlare di rivendicazione, ma sembrerebbe che dietro quello pseudonimo qualcuno sappia qualcosa che altri non sanno.
Hacking Team non è la prima azienda italiana del settore a finire sotto i riflettori: tre anni fa era toccato alla Area Spa, società lombarda che sotto l’egida dei servizi siriani installava tecnologie per intercettare il traffico internet, proprio nel momento in cui esplodeva la rivolta contro il presidente siriano Bashar Al-Assad.
Bloomberg News era entrata in possesso delle carte progettuali da cui si evinceva come Area stesse utilizzando apparecchiature prodotte da aziende americane ed europee che però non avrebbero direttamente rifornito la Siria, ma l’Italia. Da qui gli strumenti per l’intercettazione e l’archiviazione delle mail sono stati esportati in Siria. La stessa azienda, tramite l’amministratore delegato Andrea Formenti, fece sapere che Area era in regola con le leggi vigenti in materia di esportazioni e che talvolta i tempi dei cambiamenti politici possono sopravanzare quelli delle commesse d’affari, diceva a La Repubblica. Area farà poi dietrofront, a frittata fatta, per «motivi etici». Già lo scorso marzo la società ha fatto la sua comparsa tra gli aspiranti a partecipare al subcomitato informale che in sede Ue esamina le questioni relative al controllo delle esportazioni di beni informatici. Come rivela Milano Finanza, in Europa, memori dell’affaire siriano, qualche sopracciglio si è levato. E la soluzione è tuttora in corso.
Ora la palla delle indagini sull’hackeraggio di Hacking Team passa alla procura di Milano
Ora la palla delle indagini sull’hackeraggio di Hacking Team passa alla Procura di Milano. Procura che con il pool contro i reati informatici guidato dal pm Romanelli, e che vanta una forza come quella del sostituto procuratore Francesco Cajani, coordinatore delle prime indagini in Italia sul Phishing ed esperto di indagini sui crimini informatici, dovrà tentare di ricostruire la filiera dell’attacco. Tenendo conto del fatto che le stesse vittime di Hacking Team hanno ammesso che in passato sono stati in grado di infilare documenti falsi in file veri. Una tecnica – spiega il sito di settore WebNews – che potrebbe essere stata usata anche dagli stessi hacker per danneggiare l’immagine dell’azienda.
Al momento l’azienda ha dato le sue (vaghe) risposte affidandosi allo storico portavoce Eric Rabe. Interpellato da La Stampa e La Repubblica difende l’operato facendo notare come Ht sia rimasta in ambito Ue al contrario di molti che hanno abbandonato per non sottostare ai vincoli di sicurezza. Tuttavia le risposte riguardo la collaborazione con stati non democratici rimangono un detto e non detto, come spesso accade in questi casi.
Intanto dai banchi del Parlamento europeo è arrivata il 7 luglio anche la prima interrogazione da parte della parlamentare del gruppo dei liberaldemocratici, Marietje Schaake, mentre dall’Italia ancora nessun pervenuto e un silenzio imbarazzante. «I documenti pubblicati online suggeriscono che l’azienda avrebbe venduto il suo malware Remote Control System (RCS) al governo sudanese nel 2012, e avrebbe ricevuto a marzo 2015 un pagamento per i suoi servizi da Kvant, produttore di radar militari controllato dal governo russo», scrive Schaake nella sua lettere indirizzata alla commissione Ue.
Schaake: «La Commissione europea crede o no che Hacking Team abbia violato il suo sistema di sanzioni? Ed è stata informata dal governo italiano dell’esistenza di una qualche precedente autorizzazione per permettere ad Hacking Team di esportare in Sudan e Russia?»
«Se così fosse avrebbe violato il regime europeo di sanzioni sul Sudan e la Russia (…). La Commissione europea crede o no che Hacking Team abbia violato il suo sistema di sanzioni?. Ed è stata informata dal governo italiano – prosegue la lettera – dell’esistenza di una qualche precedente autorizzazione per permettere ad Hacking Team di esportare in Sudan e Russia?». Insomma, la questione dovrebbe essere affar di Stato per l’Italia, anche perché per il Paese, che piaccia o no, è un brutto colpo, ma fino ad ora non è valsa nemmeno un tweet di del twittatore seriale, il presidente del Consiglio Matteo Renzi.