Phineas Fisher utilizó un proxy para hackear sindicato de los Mossos y acusaron injustamente a los propietarios del proxy

Ya se conocen los detalles del caso al que hacía referencia: el juicio por el hackeo de la base de datos y la cuenta de Twitter del Sindicato de los 'Mossos d'Esquadra' en 2016,que se saldó con la publicación en la red social de los datos personales —nombre, domicilio, teléfono, cuentas bancarias— de 5.600 afiliados al mismo. El autor (cuyo caso, recordemos, ha prescrito ya) era el conocido como 'Phineas Fisher'.

 

• Ingenieros han pasado seis años acusados de hackear a los 'Mossos' sólo por instalar un proxy: el responsable sigue libre
   
• Don Phineas Fisher explicó en un vídeo cómo accedió al portal del SME y filtró los datos de 5.600 agentes de los Mossos d'Esquadra en 2016

 

Más de 6 años de proceso judicial contra unos ingenieros por tener proxy en casa

La Fiscalía pretende castigar a unos ingenieros porque instalaron un 'proxy' -en un servidor en su casa- usado por un tercero para publicar los datos de casi 5.500 mossos d'Escuadra robados en 2016. En el proceso queda patente el preocupante desconocimiento en algunos juzgados sobre cómo funcionan las redes.

 

Un día de mayo de 2016, uno de los ingenieros investigados se encuentra de repente con una patrulla de los Mossos d'Escuadra que llama a su puerta para inspeccionar todos sus dispositivos electrónicos, a raíz de una ciberintrusión en las bases de datos del Sindicato de Mossos d'Esquadra (SME). El registrado facilita a los agentes el acceso a las máquinas, a las claves, a todo. La razón de todo esto es que, simplemente, alguien ha accedido a datos personales de los agentes afiliados al SME a través de una máquina doméstica, un 'proxy', para luego difundirlos por redes sociales.

El proxy que estaba en el momento equivocado en el lugar equivocado

Pero, según afirma la fiscalía, Fisher accedió a los servidores del SME a través de proxy instalado en su casa por una pareja de ingenieros de Barcelona. Los proxies son tecnología 100% legal destinada a la anonimización del tráfico online, similar a las VPN. Dicho proxy estaba abierto al acceso desde Internet, una manera de poder usarlo cuando su administrador se conecta desde fuera de casa.

Una vez que sale a la luz el ataque, la policía autonómica catalana (víctima y parte investigadora, todo en uno) se presenta en su casa, confisca los equipos… y acusa a la pareja de "descubrimiento y revelación de secretos, así como de daños informáticos". Al acusado no le sirve de nada aseverar que

"No tenía ni idea de que alguien más usara mi proxy".

Seis años más tarde, tanto él como su ahora expareja (pese a que en ningún momento se ha probado que la intención de instalar el proxy tuviera un ánimo criminal), así como un tercero que difundió en Twitter para de la información personal sobre los Mossos, siguen siendo las tres únicas personas que se sientan en el banquillo de los acusados.

A ojos de Almeida, este "se trata del caso de hacking más injusto de todos los que hemos tenido que defender". El letrado catalán se proclama "harto" de tener que hacer frente a "casos de delito informático que duran 10 y 15 años" y afirma que, "este caso, en el que no solamente está sentado en el banquillo nuestro cliente, sino la privacidad y el derecho al anonimato de todos nosotros".

Mientras, sigue sin saber ni rastro del reconocido autor material de los hechos ('Don Phineas Fisher', según la denuncia cursada en su momento por los Mossos)… y eso a pesar de que éste volvió a cosechar titulares dos años más tarde tras publicarse que había hackeado (y robado) el Cayman National Bank de la Isla de Man

 

Sin noticias del autor material del 'hackeo'

También la cuenta de Twitter de los Mossos fue secuestrada, desde la que se estuvo distribuyendo mensajes a favor de los derechos humanos y en contra de las torturas, así como datos personales de agentes del sindicato, en los que relacionaban nombres con teléfonos, domicilios, números de identificación (TIP)...

Es importante subrayar que la propia Agencia Española de Protección de Datos (AEPD) sancionó al sindicato "por no disponer de un contrato de seguridad informática formalizado", aunque luego daba por buena la protección tácita del citado sindicato.

Historia de Phineas Fisher

Phineas Fisher había saltado a los titulares ya dos años antes, cuando hackeó a un proveedor germano-británico de tecnología de vigilancia —FinFisher— cuyo software se utilizaba para espiar a activistas en regímenes dictatoriales de Oriente Medio. Publicó 40 GB de datos internos de la compañía.

Al año siguiente, hizo lo propio con la empresa italiana muy similar, Hacking Team. Y luego llegó el ataque contra los 'Mossos', motivado (según el mismo afirmaba en la reivindicación del ataque) por la visualización del documental protesta "Ciutat Morta". Bastó con realizar un ataque de inyección SQL: la base de datos estaba tan mal protegida que la AEPD terminaría sancionando al sindicato tres años más tarde.

 Fuentes:

https://www.genbeta.com/actualidad/estos-ingenieros-han-pasado-seis-anos-acusados-hackear-a-mossos-solo-instalar-proxy-responsable-sigue-libre

https://www.publico.es/sociedad/seis-anos-proceso-judicial-ingenieros-encendido-ordenador-casa.html