Ecco le banche per cui lavorava Hacking Team

Hacking Team, l’azienda italiana piuttosto controversa specializzata nella vendita di potenti software di sorveglianza, è stata platealmente hackerata. In un dump da 400GB di file disponibile al pubblico sono incluse ricevute di hotel, fatture di agenzie governative per operazioni di hacking, password e probabilmente anche il codice sorgente di una serie di prodotti dell’azienda.

L’azienda è nota per la vendita di tecnologie da spionaggio a un po’ chiunque, dalla DEA statunitense a regime autoritari in posti come l’Etiopia. Ora sono emersi dei dettagli che collegherebbero Hacking Team a diversi colossi corporate, in particolare nell’industria finanziaria.

In una presentazione Powerpoint chiamata “Finance Customers” sono presenti i loghi di due dozzine di banche e di agenzie assicurative. Incluse Deutsche Bank, una delle più grandi banche tedesche; Barclays, che lavora in 50 diversi paesi; e ING Direct, una banca australiana. Altrove nell’archivio sono presenti dettagli riguardanti i prodotti venduti a queste aziende e ad altre compagnie più piccole.

Sembra che gli oggetti o i servizi venduti siano utilizzabili solamente a scopi difensivi. Barclays ha ricevuto una revisione interna dei propri sistemi, nel 2011, per la bellezza di 74.000€, secondo le fatture rinvenute, e un altro documento riguarda una report di sicurezza per Deutsche Bank, risalente al 2004. Il report sembra essere affiliabile alla famiglia degli “hacking etici,” ovvero dei tentativi di hacking commissionati da un’azienda che vuole verificare la solidità dei propri sistemi di difesa.

Uno screenshot proveniente dai documenti leakati mostra alcuni clienti di Hacking Team nell’ambito finanziario.

Hacking Team “ha analizzato tutti i punti deboli identificati e, dove possibile, ha raccomandato le soluzioni più appropriate per risolvere questi problemi,” secondo il documento rinvenuto negli archivi.

Forse il servizio più venduto da Hacking Team ad aziende nel settore finanziario riguarda le consulenze in ambito security. ING Direct ha pagato Hacking Team per 6,500€ per alcune sessioni di consulenza nel 2012, come molte altre banche.

Hacking Team ha anche fornito prodotti come reti VPN e soluzioni “CryptoCard,” secondo le ricevute. La seconda, la quale dovrebbe essere una forma di autenticazione a due fattori, è stata venduta a Editoriale Domus, la casa editrice italiana. Hacking team ha anche venduto diversi hardware ad RSA, un’agenzia assicurativa italiana, allo scopo di “prevenire intrusioni.”

La copertina di un report di sicurezza per Deutsche Bank.

Hacking Team non sta vendendo solamente i suoi servizi, ma anche quelli di altre compagnie nell’industria della sorveglianza. Secondo una ricevuta, Hacking Team ha venduto ad RSA una serie di prodotti di Blue Coat, incluso il suo “Web Filter” e una suite anti-virus.

Blue Coat è nota per aver venduto tecnologie per sorveglianza e censura al regime siriano. Il Web Filter venduto all’RSA è pubblicizzato come uno strumento sfruttabile per evitare che le persone possano accedere a determinate pagine web, secondo il sito di Blue Coat.

Infine, Hacking Team ha fornito anche alcuni oggetti davvero banali, come degli alimentatori oggi piuttosto obsoleti.

I documenti offrono uno sguardo ai retroscena del business di Hacking Team. Hacking Team è noto per vendere il suo “Sistema di Controllo Remoto;” conosciuto ai più come “Galileo,” una hacking suite semplice da utilizzare che, secondo un video promozionale, permette di intercettare chiamate Skype e telefonate, messaggi sui social media e una serie di altre cose; basta infettare un computer. L’azienda è finita sotto i riflettore quando è stata classificata come “Nemica di Internet” da Reports Without Borders.

Benché questi ultimi leak non siano poi così incredibili, confermano il legame tra Hacking Team e alcune aziende del settore finanziario da ormai più di un decennio. Resta da vedere come cambieranno le politiche dell’azienda dopo questo avvenimento. Eric Rabe, contatto stampa per Hacking Team, non ha risposto alle mie ripetute richieste per un commento.