David Vincenzetti - sprzedawca prywatności. Włoski haker zaopatruje światowe rządy w programy do inwigilacji. Korzystają z nich również światowi tyrani

Ma 47 lat i do niedawna był uznawany za jednego z najniebezpieczniejszych handlarzy bronią na świecie. Aby ją sprzedawać, nie musiał się ruszać ze swojego biura w Mediolanie. Klienci dostawali towar wprost na swoje komputery, bo David Vincenzetti tworzy i dostarcza aplikacje, które później są wykorzystywane przez światowych dyktatorów do sprawowania żelaznej kontroli nad swoimi narodami. Włoch współpracował z władzami Sudanu, Etiopii, Rosji czy Libii Muammara Kadafiego.

Ale nie zawsze tak było. 20 lat temu Vincenzetti był mocno związany z ideologią ruchu cypherpunks, który postulował stosowanie kryptografii w internetowej komunikacji, ochronę prywatności sieci czy stosowanie oprogramowania, uniemożliwiającego śledzenie użytkowników internetu przez władzę. Już w 1992 roku napisał pierwszy program, zabezpieczający komputery przed włamaniami intruzów.

Internetowy dziennik "The Daily Dot" przytacza, że w archiwalnym wątku grup dyskusyjnych Usenet, sam Vincenzetti pisał, że jego aplikacja "ma sprawić, że dobieranie się do plików i nieuczciwe hakerstwo będą nieefektywne". Wiedział, jak pisać skuteczne programy ochronne, bo zajmował się również projektowaniem złośliwego oprogramowania.

Dziś dawny idealista znalazł się po drugiej, ciemnej stronie. Z cyberaktywisty przeistoczył się w cyfrowy pistolet do wynajęcia i zbudował hakerskie imperium warte miliony dolarów. Spora część fortuny jest jednak znaczona krwią - działaczy na rzecz praw człowieka, dziennikarzy czy zwykłych obywateli, którzy padli ofiarą władz, korzystających z usług Vincenzettiego.

Hacking Team Vincenzettiego powstało w 2003 roku w Mediolanie. Firma początkowo zajmowała się zabezpieczeniami internetowymi dla banków i firm, ale w ofercie pojawiło się również oprogramowanie "ofensywne". Remote Control System przeznaczony do włamań i przejmowania kontroli nad urządzeniami okazał się tak skuteczny, że zainteresowało się nim kilkanaście państw, gotowych płacić z usługę kwoty od 500 tys. do 2 mln dol. rocznie.

Nazwisko Włocha być może nigdy nie zyskałoby szerokiego światowego rozgłosu medialnego w kontekście handlu cyberbronią, gdyby nie ubiegłoroczny wyciek danych z Hacking Team, firmy Vincenzettiego.

Na jaw wyszły jego biznesowe kontakty z rządami Sudanu Omara al-Baszira, który represjonuje, torturuje, a nawet zabija opozycjonistów. Kraj jest obłożony sankcjami ONZ za sprzedaż broni, ale Vincenzetti nie uznaje swoich programów z potencjalny oręż. - Nie handlujemy bronią, nie sprzedajemy pistoletów, które można używać przez lata. Kilka tygodni bez aktualizacji i software staje się bezużyteczny - próbował tłumaczyć później we włoskiej "La Stampie".

W sumie klientami Włocha było około 40 krajów, także Stany Zjednoczone oraz Polska. Po wyjściu na jaw afery, szef służb wywiadowczych Cypru musiał podać się do dymisji.

Głośnym echem sprawa odbiła się w Korei Południowej, gdzie z powodu ujawnienia współpracy tamtejszego wywiadu z Hacking Team, samobójstwo popełnił jeden z agentów. Zatruł się spalinami w swoim samochodzie, zaparkowanym na przedmieściach Seulu. W swoim liście pożegnalnym zapewnił, że popełni błąd, ale aplikacja była stosowana wyłącznie do szpiegowania Korei Północnej. Podejrzewano, że sprawa może mieć związek z byłym szefem wywiadu, który zlecał swoim ludziom pisanie negatywnych postów w internecie (w sumie ponad 1,2 mln opinii), by podkopać szanse kandydata opozycji w wyborach prezydenckich w 2012 roku. Niektórzy sądzą, że Remote Control System mógł być wykorzystywany do inwigilacji przeciwników politycznych, a nie komunistycznego sąsiada.

Gdy afera ujrzała światło dzienne, branża specjalistów od bezpieczeństwa w sieci nie miała wątpliwości - firma Włocha narusza wszelkie standardy etyki. Reporterzy bez Granic - już wcześniej, w 2013 roku - umieścili go na liście "wrogów internetu".

Hacking Team zaczęto porównywać do owianej złą sławą firmy Blackwater (przemianowanej na Academi), której najemnicy dopuszczali się zbrodni w czasie wojny w Iraku. Amerykańska prywatna firma wojskowa rocznie szkoli około 40 tys. osób pod kątem wykonywania różnorodnych misji wojskowych. Włoski zespół hakerski składał się z zaledwie około 40 informatyków i marketingowców.

Popularność Remote Control System, flagowego produktu firmy Vincenzettiego, zaczęła się od zamachów w Madrycie w 2004 roku, gdzie śmierć poniosło prawie 200 osób. Po tej tragedii Włochowi udało się zainteresować Hiszpanów zakupem aplikacji.

Przez twórców sam program nazywany był najpierw Da Vinci, a później Galileo. RCS umożliwiał pełen monitoring działalności internetowej użytkownika na zainfekowanym urządzeniu. Oznacza to, że szyfrowanie łączenia czy porozumiewanie się za pomocą sieci Tor nie miało jakiegokolwiek sensu. Software był niewidzialny dla firewalli i programów antywirusowych, nie obciążał także baterii.

Problemem była natomiast sama jego instalacja na urządzeniu użytkownika. Szpiedzy instalowali je na telefonach np. w trakcie kontroli na lotnisku. Z kolei marokańscy opozycjoniści umożliwili monitorowanie swoich urządzeń po włączeniu pliku z dokumentem, który do nich przesłano.

Sami klienci byli anonimowi nawet dla pracowników firmy. W kontaktach ze wsparciem technicznym używali pseudonimów, a zatrudnieni hakerzy nie mieli dostępu do zbieranych danych (do czasu aż szczegóły działalności wyciekły w ubiegłym roku).

Mimo wątpliwych praktyk, David Vincenzetti utrzymywał, że on i jego firma stoją po stronie dobra i bezpieczeństwa. - Czy Arabia Saudyjska jest demokracją? Nie, to monarchia. Można to popierać, można tego nie popierać. Ja nie jestem od wydawania sądów. Ale jest coś, co jest bardzo jasne: Al Kaida jest na Półwyspie Arabskim. Jest bardzo silna, bardzo zorganizowana i bardzo zorganizowana i niezmiennie atakuje Saudów. Ci terroryści mogą być zwalczani tam - mówił szef Hacking Team w rozmowie z "Foreign Policy", ale nie chciał odnieść się do kwestii łamania praw człowieka przez rządzącą dynastię.

Koniec anonimowości przyszedł ze strony tych, którzy walczą o internetową prywatność. Hakerom udało się wykraść ważne dane firmy i przejąć jej konto w serwisie Twitter. To tam pojawiły się publikacje, które zatopiły Remote Control System. W sieci udostępniono około 80 proc. kodu źródłowego szpiegowskiej aplikacji, co sprawiło, że firmy, produkujące programy antywirusowe, szybko się z nią rozprawiły. John McAfee, twórca znanego antywirusa, na łamach "International Business Times", nazwał ten atak hakerski "unikalnym i monumentalnym zdarzeniem, które grozi upadkiem bardzo znanej marki w przemyśle masowej inwigilacji".

Mylił się.

Vincenzetti nie złożył broni i twardo stał przy swoim. Mówił, że z powodu wycieku danych narażone jest bezpieczeństwo wielu narodów, a śledztwa w niektórych sprawach ugrzęzły w martwym punkcie, bo przestępcy i terroryści dowiedzieli się, że są monitorowani. Zapowiedział, że wróci.

Vincenzetti przyznał, że po wycieku stracił 20 proc. klientów. W ciągu trzech miesięcy jego ludzie od nowa napisali aplikację szpiegowską. Zdaniem szefa, jest teraz "znacznie lepsza". Na łamach "Foreign Policy" sugerował, że teraz jest w stanie wyciągnąć sporo informacji o użytkownikach tylko dzięki dostępowi do routera Wi-Fi i to bez względu na zaszyfrowane połączenie z siecią. Co więcej, Vincenzetti utrzymuje, że udało mu się złamać Tora i dzięki temu jego aplikacja nie potrzebuje już skomplikowanej instalacji na urządzeniu szpiegowanego użytkownika, bo może na bieżąco deszyfrować sieć Tor, bez potrzeby bezpośredniego inwigilowania urządzenia.

Nie wiadomo, ile jest prawdy, a ile przechwałek w tych stwierdzeniach. Szef Hacking Team zdradził natomiast, że reaktywowany Remote Control System znów jest na usługach światowych rządów. Po ubiegłorocznym włamaniu Vincenzetti zdążył już zawrzeć cztery nowe kontrakty. To, że jego prywatna korespondencja 10 miesięcy temu przedostała się do przestrzeni publicznej, również nie robi na nim większego wrażenia. - Jeśli chcecie to czytać, to czytajcie. Nie obchodzi mnie to. Jestem sobą - zapewniał w rozmowie z "Foreign Policy".