¿Cómo Phineas Fisher humilló al negocio mundial del software espía?

Phineas Fisher es el alias de una persona —o quizá de varias, aunque no existen pruebas concluyentes— que atacó a algunos de los fabricantes de software espía gubernamental más controvertidos del mundo. Primero entró en Gamma International, responsable de FinFisher. Después desvalijó digitalmente a la italiana Hacking Team y publicó casi 400 gigabytes de correos, contratos, documentos internos y código fuente. Más de una década después, su identidad continúa siendo desconocida.

No fue detenido. Tampoco identificado de manera concluyente. La investigación italiana sobre el asalto a Hacking Team terminó sin hallar pruebas capaces de conducir hasta la persona escondida tras el seudónimo. El periodista Lorenzo Franceschi-Bicchierai, que mantuvo contacto con Phineas durante años, sostiene que seguía con vida y que intercambió mensajes con él tiempo después de sus operaciones más célebres. Es la última señal conocida de un hacker que desapareció dejando las persianas bajadas y la caja fuerte abierta.

Quién se esconde detrás de Phineas Fisher

La respuesta honesta resulta poco cinematográfica: nadie lo sabe. Phineas Fisher ha sido descrito como hacker, hacktivista, anarquista, ciberdelincuente y justiciero digital. Todas esas etiquetas contienen algo de verdad y, al mismo tiempo, se quedan cortas. Sus acciones tuvieron una intención política expresa, pero incluyeron accesos ilícitos, robo de información, difusión de datos personales y ataques contra entidades financieras.

El seudónimo apareció públicamente en agosto de 2014. Su nombre era una burla dirigida a FinFisher, el programa de vigilancia desarrollado por empresas vinculadas al grupo británico-alemán Gamma. Aquella herramienta permitía infiltrarse en ordenadores y teléfonos, extraer documentos, leer comunicaciones, activar cámaras y micrófonos o seguir la actividad de las personas vigiladas. El sueño húmedo de cualquier policía sin demasiados escrúpulos; la pesadilla, claro, viajaba en el bolsillo del ciudadano.

Investigaciones independientes habían relacionado la infraestructura de FinFisher con decenas de países y documentado su utilización contra activistas prodemocráticos, periodistas y opositores políticos. Phineas aseguró que esos informes sobre vigilancia abusiva fueron precisamente lo que le llevó a atacar. La explicación encajaba con su discurso libertario, aunque nunca permitió comprobar cuánto había de convicción, cuánto de personaje y cuánto de alegre dinamita retórica.

Escribía en inglés y castellano, citaba referentes anarquistas y latinoamericanos y afirmaba residir en algún país hispanohablante. También reconocía sembrar pistas falsas sobre su origen. Cada dato biográfico era un espejo empañado: uno se acercaba buscando un rostro y solo encontraba otra capa de niebla.

FinFisher, el primer fabricante que quedó al desnudo

El ataque contra Gamma International fue anunciado mediante una cuenta de Twitter paródica llamada @GammaGroupPR. Desde ella se difundieron manuales, precios, archivos internos y componentes relacionados con FinFisher. Phineas acompañó la filtración con un texto técnico y político en el que explicaba parte de la intrusión y defendía lo que denominaba hack back: devolver el golpe a quienes utilizaban la tecnología para vigilar y reprimir.

El daño inicial no acabó con la empresa. FinFisher continuó funcionando durante años, aunque su producto quedó expuesto ante investigadores, periodistas y organizaciones de derechos humanos. La compañía terminó entrando en insolvencia en 2022, después de que la Fiscalía de Múnich embargara cuentas dentro de una investigación por la supuesta exportación ilegal de FinSpy a Turquía. En 2023 fueron acusados cuatro antiguos responsables del grupo empresarial.

El primer ataque de Phineas no explica por sí solo aquel derrumbe. Sería demasiado cómodo atribuir toda la caída a un único intruso. Pero abrió una grieta difícil de ocultar con pintura corporativa y mostró que una empresa dedicada a penetrar dispositivos ajenos podía tener sus propios sistemas bastante menos protegidos de lo que sugería el folleto comercial.

Un año después llegó el golpe que convirtió el alias en leyenda. Esta vez el objetivo era Hacking Team, una empresa de Milán que vendía instrumentos de intrusión a gobiernos y fuerzas de seguridad. Su tecnología permitía controlar a distancia dispositivos infectados y obtener mensajes, archivos, contraseñas o grabaciones. En el catálogo se presentaba como una herramienta para combatir delitos graves. En la vida real, sus clientes no siempre parecían compartir una definición demasiado exigente de la palabra “delincuente”.

El asalto que vació los servidores de Hacking Team

El 5 de julio de 2015, la cuenta oficial de Hacking Team publicó un mensaje insólito anunciando que, como la compañía no tenía nada que esconder, mostraría al público sus correos, archivos y código fuente. No lo había escrito la empresa. El atacante controlaba su perfil y acababa de publicar un archivo de aproximadamente 400 gigabytes con buena parte de su vida interna.

La filtración contenía decenas de miles de correos electrónicos, contratos, documentos financieros, listas de clientes, herramientas de explotación y el código de su programa de vigilancia. Periodistas e investigadores pudieron rastrear ventas y relaciones con organismos de países como Etiopía, Marruecos, Emiratos Árabes Unidos, México, Ecuador, Panamá o Sudán. También aparecieron indicios del empleo de esas herramientas contra periodistas, disidentes y defensores de los derechos humanos.

La ironía tenía bordes casi perfectos. Una compañía especializada en penetrar ordenadores ajenos había dejado su propia casa mal cerrada. Phineas no se limitó a robar algunos documentos comprometedores: convirtió la infraestructura empresarial en un escaparate, apagó la discreción que sostenía el negocio y permitió que cualquiera examinara sus entrañas.

Casi 400 gigabytes y una reputación hecha añicos

Los archivos mostraron que Hacking Team había mantenido relaciones comerciales con organismos cuestionados por vulneraciones de derechos humanos. La empresa defendía que vendía tecnología legal a autoridades legítimas y que disponía de mecanismos para evitar abusos. Los documentos filtrados dibujaron una realidad menos pulcra. Había controles, sí, pero también una notable elasticidad cuando aparecía un cliente dispuesto a pagar.

El impacto fue económico, técnico y reputacional. La compañía perdió contratos y trabajadores, tuvo dificultades para reconstruir su producto y quedó marcada por una filtración que había revelado tanto sus clientes como sus métodos. En 2019 fue adquirida y transformada en Memento Labs. Su nuevo propietario aseguró posteriormente que había pagado un euro por ella para comenzar de nuevo. El fundador de Hacking Team terminaría declarando muerta la antigua empresa, aunque parte de su actividad tecnológica sobrevivió bajo otra marca.

La operación no destruyó por completo aquel negocio, pero convirtió a Hacking Team en un símbolo de los excesos de la vigilancia comercial. Aquella carpeta de casi 400 gigabytes hizo más daño que muchas sanciones administrativas: puso nombres, precios y conversaciones privadas sobre una mesa donde antes solo había comunicados cuidadosamente planchados.

La puerta olvidada de los expertos en intrusiones

La investigación reconstruyó una entrada favorecida por sistemas antiguos y decisiones internas deficientes. Según documentos judiciales y testimonios de antiguos empleados, seguían activos un cortafuegos y una conexión VPN obsoletos. Una vez dentro, el atacante se desplazó por la red, comprometió equipos de administradores y alcanzó el entorno donde se almacenaba el código fuente.

Phineas permaneció varias semanas sin ser descubierto. Utilizó conexiones anónimas, servidores contratados mediante criptomonedas y diferentes intermediarios digitales para ocultar el recorrido. Las autoridades italianas describieron una forma de operar meticulosa, casi obsesiva, diseñada para evitar cualquier rastro que permitiera vincular la intrusión con una identidad real.

La compañía señaló inicialmente a antiguos trabajadores y llegó a plantear que detrás del ataque podía existir una organización extranjera. Las pesquisas no acreditaron esa teoría. En 2018, un juez italiano archivó la investigación después de tres años sin pruebas suficientes para identificar al responsable ni relacionar a los exempleados investigados con Phineas Fisher. El magistrado sí consideró que el móvil del ataque era político e ideológico.

De los Mossos a un banco de la isla de Man

Después de Hacking Team, Phineas Fisher fijó su atención en el Sindicat de Mossos d’Esquadra. En mayo de 2016 reivindicó una intrusión contra el sindicato policial catalán y la difusión de datos personales de más de 5.400 agentes, entre ellos nombres, direcciones, teléfonos y datos bancarios.

El ataque fue acompañado por un vídeo de 39 minutos que mostraba parte del proceso y por un comunicado en castellano, catalán e inglés. Phineas vinculó la acción con casos polémicos de actuación policial en Cataluña y citó el documental Ciutat Morta como una de sus motivaciones. Aquí el romanticismo del justiciero digital se vuelve bastante más incómodo: exponer a una empresa de vigilancia no es lo mismo que publicar los domicilios de miles de trabajadores y sus familias.

Los Mossos detuvieron en 2017 a tres personas relacionadas con la investigación. Sin embargo, Phineas escribió a varios medios para afirmar que no estaba entre los arrestados. Los registros y análisis de dispositivos no aportaron una prueba directa que vinculara a los investigados con el célebre alias. Cuando la instrucción se acercaba al final, la identidad del atacante seguía sin aparecer.

También reivindicó un ataque contra el Partido de la Justicia y el Desarrollo de Turquía, la formación de Recep Tayyip Erdoğan. Lo presentó como una acción de solidaridad con Rojava, la administración autónoma del norte y este de Siria enfrentada a la política turca en la región.

Su último gran golpe conocido tuvo un perfume distinto: dinero, bancos opacos y redistribución revolucionaria. Phineas afirmó haber entrado en 2016 en la filial del Cayman National Bank en la isla de Man. Mantuvo la operación en secreto durante tres años y difundió después documentos obtenidos del banco. La entidad confirmó haber sufrido una brecha, aunque aseguró no haber encontrado pérdidas financieras para sus clientes ni para la propia institución.

Phineas sostuvo que llevaba años atacando bancos y que utilizaba parte del dinero obtenido para financiar causas políticas. Está documentada una donación de al menos 10.000 dólares en bitcóin a Rojava. En 2019 lanzó incluso un programa de recompensas para financiar ataques que revelaran comportamientos ilegales o poco éticos de empresas. Aquello era una mezcla extraña de Robin Hood digital, caja de resistencia y delito común. La ideología no borra el Código Penal, por más poesía que se añada al comunicado.

Por qué nunca consiguieron atraparlo

La explicación más probable no exige imaginar una agencia de inteligencia todopoderosa. Phineas Fisher conocía bien los errores que permiten identificar a un atacante y dedicaba una parte sustancial de cada operación a evitarlos. Separaba identidades, ocultaba conexiones, empleaba infraestructuras intermedias y procuraba que los pagos técnicos no llevaran hasta él.

También eligió objetivos situados en distintos países, con investigaciones fragmentadas entre jurisdicciones que no siempre compartían información con rapidez. En el caso de Hacking Team, la Fiscalía italiana llegó a criticar la falta de colaboración estadounidense para obtener material informático que consideraba relevante. Cuando una investigación digital cruza varias fronteras, cada petición judicial puede avanzar con la ligereza de un armario bajando una escalera.

Existe la hipótesis de que Phineas Fisher fuera una identidad creada por un servicio secreto, posiblemente ruso, para encubrir operaciones estatales. El hacker lo negó. Tampoco está claro qué interés estratégico común habría unido objetivos tan distintos como una empresa de espionaje italiana, un sindicato policial catalán, el partido gobernante turco y un banco de la isla de Man.

Otra posibilidad es que el alias haya sido utilizado por distintas personas. El tono de los comunicados, los idiomas empleados y la variedad técnica de las operaciones alimentan esa sospecha, pero no existe una prueba sólida. Franceschi-Bicchierai, después de una década de conversaciones, considera más verosímil que detrás de la firma exista la misma persona. Es una valoración basada en años de contacto, no una identidad confirmada mediante pruebas forenses.

Desde su última aparición pública, las cuentas de Phineas Fisher en Twitter y Reddit han desaparecido. No publica nuevos manuales, no reivindica ataques y no deja mensajes grandilocuentes. El silencio puede significar retirada, cambio de alias o simple prudencia. En internet, desaparecer no consiste en apagar la luz; basta con dejar de firmar.

Una sombra que todavía incomoda al negocio del espionaje

Phineas Fisher no acabó con la industria del software espía. El mercado siguió creciendo y aparecieron compañías todavía más poderosas, como NSO Group, creadora de Pegasus, o Intellexa, relacionada con Predator. Gobiernos democráticos y regímenes autoritarios continúan comprando herramientas capaces de convertir un teléfono en un micrófono clandestino.

Su legado fue otro: demostrar que los vendedores de vigilancia también podían ser vigilados y que, detrás del lenguaje aséptico de la “interceptación legal”, existía un negocio con clientes, facturas, fallos de seguridad y decisiones humanas bastante terrenales. La filtración de Hacking Team permitió conocer abusos y operaciones ocultas que difícilmente habrían salido a la luz mediante una rueda de prensa corporativa.

Eso no convierte todas sus acciones en heroicas. La publicación masiva de información puede exponer a personas inocentes, facilitar nuevos delitos y poner herramientas peligrosas en manos de criminales o gobiernos. El propio código filtrado de Hacking Team acabó siendo reutilizado por otros atacantes. Phineas defendió que el verdadero peligro residía en los programas gubernamentales que permanecían ocultos, no en aquellos que él había hecho públicos. Una respuesta coherente con su ideología; bastante menos tranquilizadora para quien termina sufriendo las consecuencias.

A 26 de julio de 2026, Phineas Fisher continúa sin rostro, sin nombre y sin detención conocida. Lo que permanece visible es el rastro: dos fabricantes de spyware expuestos, miles de documentos publicados, investigaciones incapaces de encontrar al autor y una pregunta incómoda para la industria de la vigilancia. Quienes venden llaves para entrar en cualquier casa deberían, como mínimo, recordar cerrar la suya.