Hacking Team: "I clienti che abusano del nostro software vengono cancellati"

Dopo un giorno di silenzio, Hacking Team risponde dando la sua versione dei fatti circa la massiccia intrusione informatica subita nelle scorse ore, e che sta facendo discutere il mondo. Dagli almeno 400 gigabyte di materiale prelevato, emergerebbe che tra i clienti ci siano anche regimi dittatoriali, che ne hanno fatto uso non per le intercettazioni legali di criminali - lo scopo dei prodotti della società milanese - ma per monitorare attivisti per i diritti umani, dissidenti e giornalisti. Hacking Team ha sempre negato di vendere i suoi software di sorveglianza ai regimi; i documenti sembrano indicare altrimenti. Eric Rabe, portavoce dell'azienda, raggiunto da Repubblica al telefono non li smentisce né conferma. Rabe, conferma l'autenticità dei documenti che stanno circolando in rete? "Ce ne sono migliaia, e non so quali siano autentici. Credo di poter dire che alcuni lo sono di certo. Non posso dire però se un particolare documento lo sia". La lista di clienti che include regimi dittatoriali è autentica? "Beh, non posso dire che sia accurata rispetto alla situazione attuale, perché i clienti vanno e vengono. Magari uno che era su quella lista oggi non lo è più". Però quei regimi risultano tra i clienti. "A volte i clienti cercano di rinnovare i rapporti con noi, ma noi non vogliamo farlo con loro. Quando scopriamo che un cliente abusa del nostro software cerchiamo di capire che è successo e se non riceviamo una risposta soddisfacente non sono più clienti". Ma che significa che Sudan e Russia sono "non ufficialmente supportati", come si legge nella lista? "Non sono certo di cosa voglia dire, ma non ho intenzione di addentrarmi in chi fosse nostro cliente e chi no. Abbiamo accordi di riservatezza con i nostri clienti, e se dicessimo che un paese non è nostro cliente basterebbe elencarli e avreste la lista dei clienti, giusto? Per questo non lo facciamo". Però c'è una lista di paesi pubblicata a febbraio 2014 dal Citizen Lab dell'Università di Toronto in cui i ricercatori sostengono che il vostro software Remote Control System fosse in funzione. "Dicemmo all'epoca che quella lista non era accurata, e credo fosse vero". Il punto è che combacia con quella emersa dal materiale che vi è stato sottratto. Come lo spiega? "Parlavo della situazione all'epoca. Quanto all'oggi, ripeto: non ho intenzione di identificare quali paesi siano nostri clienti e quali no". Un'altra grossa questione riguarda il fatto che Hacking Team ha sempre affermato di vendere i suoi prodotti solo a "governi e agenzie governative". Eppure tra i documenti trapelati c'è una fattura con un soggetto privato, l'azienda brasiliana YasNiTech. Non vi contraddice? "Non saprei riguardo a quel caso specifico, ma in generale direi questo: qualche anno fa vendevamo anche altri prodotti. Vendevamo prodotti per consulenza, verifiche di sicurezza e simili. Quelli li vendevamo anche a clienti non governativi. Quando diciamo di vendere solo a governi è vero oggi, perché oggi abbiamo solo il prodotto per la sorveglianza (RCS, ndr) e quello l'abbiamo venduto solo a governi. Quindi credo che ciò che è successo è che ci sia stata confusione su di quali prodotti stiamo parlando". Cosa cambia? "In passato vendevamo anche prodotti per difendere la sicurezza dei clienti, invece di aiutarli a sorvegliare i sospetti". Questo spiega anche le slide pubblicate in rete con i nomi di clienti come TIM, Ducati, Gucci, Barclays, Allianz e molti altri? "Di nuovo, non commento sui casi singoli, ma in generale penso sia confusione su quale prodotto sia stato esattamente venduto". E per quanto riguarda l'uso di password per nulla sicure come "passw0rd" da parte di vostri dipendenti? "Non mi è chiaro quale sia l'accusa, che alcune password di alcuni nostri dipendenti non erano poi così forti? Non ho niente di particolare da dire su questo. Credo che il nostro sistema generale fosse valido, e che l'attacco sia stato molto sofisticato. Ma sa, grosse compagnie in tutto il mondo sono state attaccate con successo da hacker molto determinati. E agenzie governative, come l'ufficio del personale del governo statunitense, che presumibilmente ha più risorse di noi. La realtà è che questo è il motivo per cui esistiamo". Ovvero? "Esistiamo perché la rete non è un luogo sicuro, e se come agenzia governativa non sei in grado di tracciare e sorvegliare le attività di soggetti malevoli su Internet - si poteva fare, ma oggi non più perché tutto è cifrato e le persone possono fare ciò che vogliono online in modo anonimo - allora la rete diventa il rifugio per terroristi e criminali di ogni tipo. Noi non vogliamo che accada, ed è questo il motivo per cui vendiamo il software che vendiamo". E le preoccupazioni per il loro uso in violazione dei diritti umani? "Le comprendo, e non pensiamo affatto non siano importanti. Pensiamo di aver fatto più di ogni altro concorrente per rispondervi, anche se per alcuni non è mai abbastanza. Ma anche schierandosi con chi ha questo atteggiamento non è comunque giustificabile attaccare una società che opera secondo la legge, rubandole documenti riservati e proprietà intellettuale, e pubblicando il tutto su Internet. Questo è semplicemente oltraggioso". Chi può averlo fatto? "A parte il nome Phineas Fisher (che ha rivendicato su Twitter l'attacco, ndr) non lo sappiamo. Voglio dire, non sembra il tipo di attacco sferrato da un tizio nel suo garage, nel tempo libero. Qui c'è qualcuno con abilità, pazienza. In rete è stato postato un screenshot che pare risalga a giugno, quindi è possibile l'hacker abbia lavorato per un bel pezzo". A IBTimes ha detto di ritenere che tutto ciò che fa Hacking Team è non solo legale, ma anche etico. "Si può non essere d'accordo, ma non credo ci sia alcuna prova che abbiamo agito in modo illegale in alcun modo. Credo che siamo l'unica azienda che rispetta del tutto l'accordo di Wassenaar (le regole stabilite da 41 paesi in tutto il mondo per l'esportazione di armi e anche prodotti di cybersicurezza, ndr) nel nostro campo. Sta dicendo che nessuna delle altre lo rispetta? "Beh, un'azienda ha abbandonato l'Unione Europea così da non doverlo rispettare; un'altra sta in Israele, il che significa che non deve rispettarlo. Noi invece non abbiamo lasciato l'Italia". E non lo farete? "No, lavoriamo con le autorità italiane per avere un sistema di totale rispetto dell'accordo di Wassenaar e al contempo ci consenta di fare il nostro lavoro. Noi siamo soddisfatti, loro pure. Credo sia una cosa unica nel settore". Quando tornerete operativi? "Presto".