Anche ai poliziotti capita di essere derubati.

La controversa compagnia italiana Hacking Team, che vende spyware a governi in tutto il mondo, incluse agenzie in Etiopia, Marocco, Emirati Arabi Uniti, e la Drug Enforcement Administration degli Stati Uniti, è stata vittima di un’enorme operazione di hacking.

Gli hacker hanno messo a disposizione per il libero download 500 GB di file client, contratti, documenti di bilancio, email interne, alcune delle quali risalenti al 2015.

Il rappresentante della Hacking Team Eric Rabe non ha risposto alle telefonate e alle email di Motherboard che chiedevano se le informazioni trafugate fossero legittime. Senza una conferma da parte della compagnia stessa, è difficile sapere quanti di quei file siano veri—anche se, considerando le dimensioni della violazione e il tipo di informazioni contenute nei documenti, il colpo sembra autentico.

Senza contare che gli hacker hanno annunciato l’impresa tramite l’account Twitter della Hacking Team stessa.

Gli hacker hanno formulato i tweet come se fossero scritti dalla Hacking Team. “Visto che non abbiamo nulla da nascondere, pubblichiamo qui tutte le nostre mail, i file, e il codice sorgente,” hanno scritto in un tweet, che conteneva anche il link a circa 500 GB di documenti.

Gli hacker hanno anche tweettato un paio di esempi dei contenuti delle mail della compagnia. Uno degli screenshot mostra una mail datata 2014, inviata dal fondatore e CEO della Hacking Team David Vincenzetti ad un altro impiegato. Nella mail, intitolata “Yet another Citizen Lab attack,” Vincenzetti faceva riferimento ad un report del centro di ricerca sui diritti digitali online Citizen Lab, alla Munk School of Global Affairs dell’università di Toronto, che ha esposto in più situazioni gli abusi commessi dai clienti della Hacking Team.

La Hacking Team non ha mai rivelato la lista dei suoi clienti, e ha sempre negato con fermezza la vendita di prodotti a governi ambigui, sostenendo di avere una procedura interna per valutare i potenziali clienti nell’ottica dei diritti umani.

La mail sul Citizen Lab è salvata in una cartella che si chiama “Anti HT activists.” Claudio Guarnieri, un ricercatore in materia di sicurezza che ha fatto indagini sulla Hacking Team insieme ad altri del Citizen Lab, ha subito evidenziato questo dettaglio.

Non è chiaro esattamente su quante cose abbiano messo le mani gli hacker, ma a giudicare dalle dimensioni dei file, è di certo una bella collezione di documenti interni. Una fonte che ha chiesto di restare anonima data la situazione delicata, mi ha detto che a giudicare dai nomi dei file e dal tipo di cartelle trafugate, gli hacker che hanno colpito la Hacking Team “hanno preso tutto.”

Poche ore dopo il primo attacco, una lista di presunti clienti della Hacking Team è comparsa su Pastebin. La lista include clienti passati e presenti. Tra quelli maggiormente degni di nota, ci sono nomi nuovi, come l’FBI, il governo del Cile, l’Australia, la Spagna e l’Iraq, per dirne alcuni.

Abbiamo contattato gli hacker con un messaggio diretto su Twitter, chiedendo un commento. La loro risposta iniziale è stata, “certo, ci avete fatto una pubblicità fantastica l’ultima volta!” facendo riferimento all’articolo di Motherboard uscito ad aprile che rivelava l’acquisto di un software della Hacking Team da 2.4 milioni di dollari, fatto dalla DEA in segreto.

L’hacker, o gli hacker, ad ogni modo, per ora non vogliono aggiungere altro.

Molti ricercatori in ambito di sicurezza e attivisti per i diritti umani hanno reagito all’azione di hacking con un certo sarcasmo.

Abbiamo contattato anche Vincenzetti, chiedendogli commenti e reazioni, e aggiorneremo l’articolo nel momento in cui ci risponderà. (In passato, Vincenzetti ha scritto su una mailing list che “[Motherboard] non scrive mai a proposito della Hacking Team senza un commento editoriale dal tono compiaciuto,” ragione per cui non tratteniamo il fiato in attesa di una risposta.)

La violazione della Hacking Team avviene a distanza di quasi un anno dopo che un’altra compagnia di tecnologia di sorveglianza, la rivale Fin Fisher, è stata hackerata in un modo simile, da un hacker che ha rubato 40 GB di file interni.

La FinFisher, come la Hacking Team, vende software di sorveglianza ad agenzie governative in tutto il mondo. Il loro software, una volta installato di nascosto sul telefono o sul computer dell’individuo preso di mira, può essere utilizzato per monitorare le sue comunicazioni, come chiamate telefoniche, messaggi, chiamate Skype, o email. Gli operatori possono persino accendere la webcam del soggetto scelto e trafugare documenti dal dispositivo infettato.

In una delle mail rubate oggi, Vincenzetti della Hacking Team gongolava davanti all’attacco subito dalla FinFisher, scrivendo che “un nostro aspirante competitore è stato gravemente hackerato.”

Sembra proprio che alla Hacking Team sia toccato lo stesso destino.