Los desertores de Hacking Team

Estoy sentando en una inclasificable oficina blanca en Sliema, una ciudad turística y comercial frente a Valletta, la capital de Malta, Italia. Estoy mirando mi computador, tipeando comandos en el terminal y no tengo idea lo que estoy haciendo.

Sentando frente a mi hay un hacker que no se parece en nada a la imagen que la cultura popular ha puesto en nuestras cabezas. Tiene el pelo corto, está completamente afeitado, tiene una sonrisa sincera y viste una camiseta azul oscuro y pantalones cortos de militar. Se ve más como un turista que como alguien que desarrollaba software espía para la famosa compañía italiana de vigilancia tecnológica llamada Hacking Team.

Él me está enviando una serie de comandos escritos en el lenguaje de programación Python, intentando sacar ventaja de un defecto en el sistema operativo de mi Macbook del trabajo para que pueda obtener privilegios administrativos.

"Déjame escribir otro backdoor" él dice.

Luego de unos cuantos intentos fallidos y unos cuantos scripts en Phyton finalmente funciona.

"Si, eres root" dice, usando el termino técnico para un usuario que tiene todos los privilegios, "¡Hemos tomado posesión de tu computador!" dice mientras ríe.

Me río también y luego me doy cuenta que técnicamente un tipo que solía trabajar para Hacking Team (los vendedores de tecnología de vigilancia que entregaron su producto a más de 40 agentes del orden y agencias de inteligencia alrededor del mundo) acaba de hackear mi computador.

***

Su nombre es Alberto Pelliccione. Hasta el año pasado era el responsable del desarrollo de spyware (o software espía) para Android dentro de Hacking Team y uno de los empleados que trabajaba en el producto estrella, el software de vigilancia conocido desde el comienzo como Remote Control System o RCS (Sistema de control remoto en español).

Pelliccione renunció en febrero del año pasado. Desde entonces los altos mandos de la compañía, específicamente el CEO David Vincenzetti, han ido tras él debido a su renuncia. Luego lo demandaron por, supuestamente, utilizar el código de Hacking Team para crear un antídoto al software espía; un sistema de defensa llamado ReaQta.

Ahora y luego que un misterioso hacker conocido como PhineasFisher hackeara la compañía el pasado julio exponiendo sus secretos, como emails internos, lista de clientes e incluso el código fuente del software espía, Pelliiccione fue señalado por Vincenzetti como un potencial sospechoso.

Pero él no es el único que enfrenta la ira de su antigua compañía.

Un pequeño grupo de ex empleados de alto nivel que dejaron la compañía después de Pelliccione también son sospechosos de estar detrás del hack y han sido llamados "desleales" y "traidores" por la prensa italiana. Su partida y lo que pasó con ellos luego que se fueron muestra que internamente algunos empleados no estaban contentos con la dirección que tomó la compañía durante los últimos años; hubo muchos reportes que los productos de Hacking Team habían sido sobre utilizados por algunos clientes como Marruecos, los Emiratos Árabes Unidos, Etiopía y Arabia Saudita.

El grupo de ex empleados fue acusado de haber sido parte del hackeo luego de meses de distintas demandas contra ellos. Dos han recibido visitas de la inteligencia italiana, todas tácticas que parecen ser parte un plan de intimidación y castigo por haber dejado la compañía.

Un ex empleado de Hacking Team pidió no ser nombrado porque Vincenzetti "con sus demandas y tácticas terroristas ha sido efectivo en forzar a la gente a no hablar".

Guido Landi, quien trabajó como desarrollador enfocado en Windows, es uno de los ex empleados de la compañía que ha sido perseguido. Para él, Hacking Team es un "manicomio" dirigido por un "fascista" que no perdona a nadie que se haya atrevido a abandonar la compañía.

Otro ex empleado dijo que una vez que se fue Pelliccione, quienes lo siguieron fueron inmediatamente "categorizados como enemigos, criminales, gente de dudosa reputación".

El verano pasado, antes del hackeo, otro desarrollador anunció que iba a renunciar. Inmediatamente (de acuerdo a los mails internos) Vincenzetti se preocupó que él se fuera a ir con un competidor y le escribió en un email a otros ejecutivos que estaba considerando "acciones legales".

Intimidar a las personas que se querían ir era un "procedimiento de rutina", de acuerdo a un ex empleado. Landi lo confirma diciendo que ha escuchado de varios casos. "En cuanto renuncias te transformas en el enemigo" dice.

"Hacking Team no debería ser una maldita religión que si la abandonas te tildan de traidor o desleal" me dice Pelliccione, "Es sólo una compañía y si estas aburrido de ellos deberías poder tener el derecho de partir".

***

A fines del 2007, Pelliccione estaba investigando sobre robótica e inteligencia artificial en el Consejo de investigación nacional en Roma. Ahí fue cuando recibió la llamada de un viejo amigo que trabajaba en Hacking Team. En ese tiempo la compañía era una pequeña firma que se enfocaba más que nada en consultorías y en ayudar a otras compañías a protegerse, como grandes bancos por ejemplo. El año anterior la compañía había comenzado a trabajar en una solución de hacking ofensiva, la que más tarde se conocería como DaVinci y fue la primera versión de RCS. Cuando entró, Pelliccione dice que había menos de cuatro personas trabajando en el proyecto.

"Estábamos haciendo cosas que el mundo nunca había visto" me dijo Pelliccione.

De a poco RCS se transformó en el más importante y único negocio de la compañía. Pelliccione se transformó en el desarrollador en jefe del equipo de móviles, primero enfocados en Windows Mobile y luego en Android.

Inicialmente la compañía sólo trabajó con el gobierno italiano, pero gracias a un marketing agresivo y una gran demanda global por herramientas que permitieran entrar a los computadores y teléfonos celulares de los criminales, Hacking Team comenzó a vender en todo el mundo. Pese a tener un negocio en auge, la compañía logró mantener un bajo perfil hasta el 2012.

El 10 de octubre del 2012 los investigadores de un organismo de la escuela Munk de Asuntos globales de la Universidad de Toronto, llamado Citizen Lab, revelaron que el gobierno marroquí había estado utilizando un sofisticado software espía para vigilar al grupo de periodismo ciudadano Mamfakinch. Los investigadores encontraron que el malware (o software malicioso en español) utilizado contra los periodistas se llamaba "DaVinci" y lo rastrearon de vuelta hasta Hacking Team.

Era primera vez que el producto de la compañía era ligado a los abusos contra los derechos humanos. El alto mando de Hacking Team llamó a una reunión de emergencia ya que Citizen Lab también expuso las herramientas de la compañía, la que era efectiva en la medida que era invisible para los antivirus. La administración le pidió a los desarrolladores que volvieran a diseñar la aplicación e hicieran que DaVinci estuviera nuevamente oculto.

Públicamente Hacking Team le quitó validez al reporte diciendo que su política no era discutir sobre sus clientes y que las metas de la compañía era crear herramientas para investigar crímenes. Internamente, el alto mando le dijo a sus empleados que no había forma de saber cómo sus clientes utilizaban las herramientas y que no había forma de saber si las personas investigadas en Marruecos eran activistas o verdaderos criminales.

Pero los desarrolladores y otros empleados fueron tomados por sorpresa, de acuerdo a Pelliccione. Ellos comenzaron a preguntar y debatir si las herramientas que habían creado estaban siendo utilizadas para luchar contra el crimen y el terrorismo o para reprimir a la disidencia.

"Este debate creció internamente durante ese día y nunca disminuyó" me dijo Pelliccione.

Los ejecutivos también decidieron dividir a los empleados en secciones, por un lado el equipo de ventas y por otro los ingenieros dedicados a las aplicaciones. Apartaron a quienes tenían más visibilidad de los clientes, "Una separación que pretendía evitar el descontento interno" dice Pelliccione.

La separación fue incluso física. Los desarrolladores trabajaban en el subterráneo de Via Moscova 13, las oficinas generales de Hacker Team en Milán, mientras la administración estaba en el primer piso y el equipo ventas, junto a los ingenieros de aplicaciones en terreno, quienes viajaban por el mundo haciendo demostraciones del producto, trabajaban en el quinto piso.

En ese momento los empleados no sabían lo que sucedía, cómo se utilizaban algunas de las herramientas o a quién le estaban vendiendo. Pero los investigadores de Citizen Lab continuaron revelando más casos de abusos y Pelliccione dice que probablemente hay muchos más de los que nadie se enterará.

Landi dice que tuvo muy poca visibilidad respecto a los clientes y admite que él podría haberle preguntado a sus amigos en los pisos superiores, pero decidió no hacerlo porque prefería no saber. Mirando hacia atrás, él dice que Hacking Team le vendió a países los que no debería haber vendido.

"No deberían vender a Sudán. Punto. Tampoco a Etiopía" dice Landi, "Incluso en otros países menos malvados también hubo abusos".

Durante sus seis años trabajando en Hacking Team y pese a ser el líder del equipo de desarrollo de Android, Pelliccione dice que nunca fue contratado a tiempo completo y que nunca se sintió valioso en la compañía. Por esa razón y debido al debate interno respecto a la legitimidad de las herramientas de Hacking Team, decidió irse.

"Nadie quiere saber que lo creas será utilizado para el mal" dice, "No importa cuánto regules estas herramientas, nunca sabrás efectivamente cómo será utilizadas. Puedes esperar que sean utilizadas para el bien, pero nunca sabrás realmente quién las terminará utilizando".

Hacking Team declinó comentar sobre esta historia, pero la compañía ha dicho durante mucho tiempo que no le vende a países donde hay "preocupaciones creíbles" y donde sus productos "serán utilizados para facilitar las violaciones a los derechos humanos". Pese a que Citizen Lab reportó la sospecha de un caso de abuso por parte del gobierno de Etiopía, la compañía no dejó de venderle a ese país, quienes más tarde fueron capturados utilizando el spyware de Hacking Team en los mismos periodistas de antes.

La compañía incluso contrató una junta de revisión externa que debía asegurarse que Hacking Team no le vendiera a regímenes represivos. Pese a esta junta, que resultó estar conformada por abogados de la firma internacional Bird & Bird, la compañía le vendió a Sudan sin tomar en cuenta que Naciones Unidas había puesto al país en una lista negra de bloqueo.

Exhibit A: Italy's UN rep tells the UN John AdamsJuly 6, 2015

La compañía también había señalado reiteradas veces que no tenía cómo saber la forma en que sus cliente utilizaban sus productos, pero cada vez que un cliente quería infectar a alguien con un documento, el cliente debía enviar el documento a los técnicos de Hacking Team para que le insertaran un virus. Si bien esto no significa que la compañía realmente sabía a quién le iban a enviar el documento, al menos les daba una idea dependiendo del contexto de este documento.

El año 2013 Reporteros sin fronteras señaló que Hacking Team era uno de los "enemigos de internet" por venderle herramientas a los regímenes represivos. Un año después, el 12 de febrero del 2014, Citizen Lab reveló que el gobierno de Etiopía había utilizado el spyware de Hacking Team para hackear los computadores de varios periodistas en la diáspora. Los activistas dijeron que este era otro ataque a la libertad de expresión.

Para Pelliccione esta fue la gota que rebalsó el vaso. Dos días después le dijo a sus jefes que quería renunciar. El 21 de febrero la compañía anunció en un mail interno que él se estaba yendo para fundar su propia compañía de seguridad en Malta.

"Le deseo lo mejor a Alberto" escribió en un email el Director de operaciones de Hacking Team, Giancarlo Russo. Describía la decisión de Pelliccione como "audaz y valiente".

Pero Vincenzetti, el CEO, no lo tomó de la misma forma.

"Alberto era uno de nuestras mejores personas" escribió Vincenzetti en un email que le envió a los otros ejecutivos, "Esto NUNCA debería haber pasado".

El CEO dudó inmediatamente de los motivos reales de Pelliccione, preguntándose si él se había llevado a otras personas para crear una compañía "parecida" o un "competidor". En las semanas siguientes, otro empleado, un ingeniero de aplicaciones en terreno, también dejó la compañía. En un email discutiendo su salida, Vincenzetti habló sobre "grietas severas" en la compañía y el riesgo de más "deserciones" que podrían "destruir" a la empresa.

En mayo Vincenzetti compartió más malas noticias: otra "seria perdida", esta vez era Landi, un desarrollador clave.

"Guido [Landi] es la mano derecha de Marco Valleri [Jefe de tecnología]" escribió Vincenzetti, "Sin él no podemos garantizar la invisibilidad de nuestro producto".

Vincenzetti agregó que había conversado con los "contactos más importantes" que tenía para averiguar hacia dónde se iba Landi. Probablemente se estaba refiriendo a dos agentes del servicio secreto italiano: el coronel Riccardo Russi y el general Antonello Vitale.

Cuando otro empleado clave renunció pocos días después, Vicenzetti comenzó a ver una "conspiración", como dice Pelliccione, y se preocupó que los ex empleados quisieran competir con Hacking Team.

En los meses siguientes, Vincenzetti puso en marcha una investigación completa sobre sus actividades, de acuerdo a los mails y documentos filtrados. Russi jugó un rol fundamental reuniéndose personalmente con Landi y Maanna, e incluso "visitándolos" como dice en un email enviado desde su cuenta personal en agosto del 2014.

Mientras tanto Pelliccione fundó ReaQta y montó una oficina en Malta para crear un nuevo sistema que utilizaría inteligencia artificial para detectar los ciberataques. Preocupados por Pelliccione, Hacking Team contrató a investigadores privados de la firma estadounidense Kroll para averiguar qué estaba creando, de acuerdo a un reporte interno que se filtró.

En los meses siguientes la gente de Kroll simuló ser un potencial comprador para saber más sobre ReaQta. Los investigadores se reunieron con Pelliccionne y con otro de sus colaboradores, Alberto Velasco. En ese tiempo Velasco era un contratista independiente que representaba a Hacking Team en Estados Unidos. Fue la compañía de Velasco en Estados Unidos, Cicom USA, la que sirvió de intermediario cuando la Drug Enforcement Administration de Estados Unidos compró el software de Hacking Team el 2012.

En una reunión en Annapolis, Maryland, en enero del 2015, los investigadores de Kroll le preguntaron a Velasco y Pelliccione (quien estaba conectado a través de Skype) si acaso ReaQta podría bloquear el malware de Hacking Team. De acuerdo al reporte de los investigadores, los dos "se rieron nerviosamente". Pelliccione dijo ReaQta podría neutralizar las herramientas de Hacking Team.

Para los altos mandos de Hacking Team esta era una admisión de culpa. El 5 de mayo, cuatro meses después, Vincenzetti demandó en Italia a Pelliccione, Velasco, Landi, Maanna y Serge Woon, otro ex empleado que se fue a trabajar con ReaQta. La demanda era por conspirar para crear un "antídoto" contra Hacking Team utilizando código robado.

En la demanda, Vincenzetti escribió que la habilidad de ReaQta para bloquear el software RCS de Hacking Team sólo puede ocurrir debido a "el robo de código fuente de RCS desde los sistemas de Hacking Team". Vincenzetti acusó a Maanaa y Landi de abandonar Hacking Team con el solo propósito de ayudar a que Pelliccione comercializara ReaQta. La compañía también demandó a Velasco en Estados Unidos y a Woon en Singapur.

Los ex empleados niegan todas las acusaciones. Pelliccione dice que la demanda no tiene sentido dado que ReaQta es un producto de defensa, mientras Hacking Team es una herramienta de ataque. Y que tampoco haría sentido que él venda ReaQta como un antídoto, dado que Hacking Team es utilizado por un pequeño número de clientes para vigilancia específica. En otras palabras, él dice que no hace sentido a nivel de negocio.

El vocero de Hacking Team, Eric Rabe, declinó hacer comentarios sobre las demandas diciendo que son "asuntos internos".

Desde que llegaron a la corte, la compañía ha seguido presionando a sus ex empleados. El verano pasado, antes de ser hackeados, contrataron a investigadores privados para seguir a Maanna de acuerdo a mails filtrados y reportes de los detectives. En un email, un abogado de Hacking Team le dijo a los detectives que estaban buscando "evidencias" de la "participación de Maanaa en un grupo islámico". El reporte de los detectives, sin embargo, es mundano y no encontraron ninguna evidencia de afiliación con algun grupo, sólo fueron testigos de Maanna yendo a jugar tenis y a la tienda de abarrotes.

Unas pocas semanas después del devastador hackeo en que PhineasFisher filtró 400 gigabytes de datos internos, los fiscales italianos comenzaron a investigar a los ex empleados (Pelliccione y Landi declinaron comentar sobre la investigación).

El fiscal en jefe, Alessando Gobbis, me confirmó por teléfono en agosto pasado que están investigando a los ex empleados luego que alguien "que está fuera" de la demanda los señalara como posibles sospechosos. Gobbis no quiso revelar los nombres de los ex empleados que están siendo investigados y tampoco quién los señaló como posibles sospechosos, sin embargo otras fuentes me señalaron que fue Vincenzetti quien los implicó. El fiscal declinó revelar otros detalles de la investigación ya que aun está en curso.

"Estamos viendo todas las posibilidades" me dijo por teléfono.

El vocero de Hacking Team me dijo por email que la compañía "no ha nombrado ni acusado a nadie ya que los autores del ataque son desconocidos" y que Hacking Team "sólo puede especular sobre quién o incluso por qué la compañía fue blanco de este ataque".

Semanas después del ataque Vincenzetti dijo que el ataque era un "crimen cruel y excesivo" perpetrado para destruir la compañía. Pero Vincenzetti también prometió no rendirse, diciendo que la compañía va a surgir con "nuevas y mejores herramientas".

El grupo de ex empleados niega que tengan algo que ver con el ataque.

"No tenemos nada que ver con eso" dice Pelliccione, "Siento que estas acusaciones son sólo un acto de represalia".

***

Es un abrasador día en Malta. Pelliccione y yo estamos sentado en una mesa, comiendo shawarma de pollo. Luego de seis años desarrollando herramientas para hackear los computadores de otras personas, Pelliccione ha cambiado de bando y ahora usa sus habilidades y experiencia para mantener fuera a los hackers.

Ha pasado más de un año desde que abandonó Hacking Team. Durante este tiempo el hacker ha estado trabajando con un pequeño grupo de desarrolladores para crear una nueva solución de próxima generación llama ReaQta-Core. Pelliccione dice que ReaQta-Core utiliza inteligencia artificial y aprendizaje automático para proteger contra los malware y que reside a nivel de CPU, por lo que puede proveer de mejor protección que los antivirus tradicionales. La compañía aun no ha recibido capital de riesgo pero está activamente buscando inversores.

Durante nuestro almuerzo, Pelliccione mira al vacío por un segundo.

"¿Recuerdas cuándo aquella firma de seguridad analizó el implante de Android creado por Hacking Team?" pregunta.

Se refiere al análisis hecho por Trend Micro, el que dijo que el spyware de Android hecho por la compañía era "el malware de Android más profesional y sofisticado que haya sido expuesto".

Digo si con la cabeza. Me mira y cita el análisis mientras sonríe.

"Cuando leí eso" dice, pretendiendo que se saca un sombrero inexistente, "me di la mano a mi mismo. ¡Yo escribí ese malware!".

Lee más artículos sobre Hacking Team aquí.

Ilustración por Shaye Anderson