Anonymous e LulzSec: hacking come atto politico
Introduzione
Il 28 gennaio 2011, il governo egiziano fece qualcosa di senza precedenti: spense internet. Tutti e cinque i principali provider del paese disattivarono i loro sistemi BGP simultaneamente. Circa 90 milioni di persone persero la connessione nel mezzo delle proteste di piazza Tahrir che avrebbero portato alla caduta di Mubarak.
Poche ore dopo, siti governativi egiziani iniziarono ad andare offline uno dopo l’altro. Un messaggio in arabo e inglese comparve sugli schermi: “We Are Anonymous. We Are Legion. We do not forgive. We do not forget. Expect us.”
Quella notte in Egitto è uno dei momenti che definisce Anonymous — il collettivo hacker più influente della storia, un’entità senza struttura e senza leader che per anni ha sfidato governi, aziende e istituzioni di tutto il mondo usando internet come arma politica.
Le origini: dal caos di 4chan
Anonymous non nasce come movimento politico. Nasce nel caos creativo e spesso oscuro di 4chan — la bacheca di immagini anonima fondata nel 2003 da Christopher Poole, un ragazzo di 15 anni di New York.
4chan era (ed è) un posto strano. I thread spariscono dopo qualche ora, non c’è registrazione, non c’è identità persistente. Tutti sono “Anonymous” per default. In questo ambiente si sviluppò una cultura unica: trolling elaborato, meme, operazioni collettive coordinate dal nulla, humor nero, e una totale assenza di rispetto per qualsiasi autorità.
Nel 2006-2007, questo fermento iniziò a prendere forme più organizzate. Gli utenti di 4chan coordinarono “raid” — operazioni di disturbo massivo verso target online. La motivazione era mista: parte divertimento, parte genuina indignazione, parte pura voglia di vedere cosa potevano fare insieme.
Il simbolo — la maschera di Guy Fawkes dalla graphic novel e film “V for Vendetta” — fu adottato quasi per caso e diventò l’icona visiva riconoscibile in tutto il mondo.
Project Chanology: il battesimo del fuoco (2008)
La prima grande operazione di Anonymous su scala globale fu contro Scientology, e stabilì il template per tutto quello che sarebbe venuto dopo.
Nel gennaio 2008, la Chiesa di Scientology cercò di far rimuovere da internet un video imbarazzante in cui Tom Cruise descriveva la sua fede con un’intensità che molti trovarono ridicola. La richiesta di rimozione attivò il meccanismo del Streisand effect — il tentativo di censurare qualcosa lo amplifica — ma attivò anche qualcosa di più grande.
Anonymous dichiarò guerra a Scientology.
Quello che seguì fu insolito per diversi motivi. Gli attacchi DDoS ai siti della chiesa erano normali. Ma Anonymous organizzò anche manifestazioni fisiche davanti alle sedi di Scientology in tutto il mondo — persone in maschera di Guy Fawkes che protestavano pacificamente. Era la prima volta che un’entità nata online coordinava azioni nel mondo fisico su scala globale.
Fu anche la prima volta che Anonymous formulò una giustificazione etica per le proprie azioni: non era trolling — era una protesta contro quello che consideravano un’organizzazione abusiva che usava le leggi sul copyright per silenziare i critici.
WikiLeaks e Operation Payback (2010)
Nel dicembre 2010, il mondo stava guardando WikiLeaks pubblicare i cablogrammi diplomatici americani. Il governo USA fece pressioni su aziende private perché tagliassero i servizi a WikiLeaks.
Visa, MasterCard, PayPal e Amazon bloccarono i pagamenti o rimossero i server di WikiLeaks nel giro di giorni.
Anonymous rispose con Operation Payback: attacchi DDoS coordinati contro i siti di tutte e quattro le aziende. Il sito di MasterCard andò offline per diverse ore. Quello di Visa fu rallentato significativamente. Era la prima volta che Anonymous dimostrò di poter colpire infrastrutture finanziarie globali in modo coordinato.
L’operazione sollevò un dibattito acuto: era un DDoS una forma legittima di protesta civile — l’equivalente digitale di un sit-in che blocca l’ingresso di un edificio? O era semplicemente crimine informatico mascherato da attivismo? Il dibattito non è mai stato risolto.
La Primavera Araba (2011)
Il 2011 fu l’anno in cui Anonymous raggiunse la massima visibilità e influenza. Mentre le piazze del mondo arabo si riempivano di manifestanti, Anonymous operò su diversi fronti:
Tunisia: attaccò i siti del governo di Ben Ali, che aveva ordinato di bloccare i siti che criticavano il regime.
Egitto: quando Mubarak spense internet, Anonymous — insieme ad attivisti di tutto il mondo — aiutò i manifestanti egiziani a comunicare attraverso connessioni dial-up verso server internazionali, aggirando il blackout.
Siria: pubblicò database di funzionari del regime di Assad e attaccò i siti governativi.
In questi casi Anonymous operò al fianco di movimenti genuinamente popolari, amplificandone la visibilità globale e cercando di fornire strumenti tecnici ai manifestanti sul campo. Era la versione più politicamente coerente di ciò che Anonymous poteva essere.
LulzSec: quando l’anarchia diventa spettacolo (2011)
LulzSec (Lulz Security) nacque nel maggio 2011 come spin-off di Anonymous, ma con una filosofia diversa. Se Anonymous aveva — almeno in certi momenti — un’agenda politica riconoscibile, LulzSec era più nichilista e più divertente.
Il motto era esplicito: “Laughing at your security since 2011.”
LulzSec hackerava perché poteva. Hackerava per dimostrare quanto fossero incompetenti i responsabili della sicurezza delle grandi organizzazioni. E hackerava per l’entertainment — proprio nel senso letterale: ogni attacco era accompagnato da comunicati stampa sarcastici, a volte musicati, postati su un account Twitter che raggiunse 250.000 follower in poche settimane.
Il nucleo del gruppo
LulzSec era piccolo al suo nucleo: sei persone. I principali:
- Sabu (Hector Monsegur) — il leader tecnico, con sede a New York
- Topiary (Jake Davis) — il portavoce e scrittore dei comunicati, nelle Shetland Islands
- Kayla — specialista in intrusioni di rete
- T-Flow (Mustafa Al-Bassam) — giovane prodige del codice, 16 anni
- Pwnsauce e AVunit — supporto tecnico
Le operazioni
In 50 giorni di attività, LulzSec colpì:
Fox.com — 70.000 account utente pubblicati online, incluse email e password. Motivazione dichiarata: Fox aveva trasmesso uno speciale che consideravano disinformazione.
PBS — dopo un documentario su WikiLeaks che non era piaciuto al gruppo, defacement del sito con un articolo falso che annunciava che Tupac Shakur era ancora vivo e viveva in Nuova Zelanda.
Sony Pictures — un milione di account utente pubblicati online, incluse password in chiaro. Sony non aveva usato hashing per le password. Il comunicato di LulzSec era sprezzante: “Sony ha conservato oltre un milione di password dei suoi clienti in un file di testo non cifrato.”
CIA.gov — messo offline con un DDoS. Nessun dato rubato, nessun danno permanente — era puro teatro, per il valore simbolico di poter dire “abbiamo messo offline il sito della CIA.”
Bethesda Softworks — 200.000 account utente di un videogioco, pubblicati online.
InfraGard Atlanta — un’organizzazione che connetteva l’FBI con il settore privato sulla sicurezza. 180 account con email e password hashate. LulzSec decrittò le password e le pubblicò con un comunicato sarcastico: “Queste sono le persone che ci spiano e lavorano per proteggere l’infrastruttura americana.”
La caduta: Sabu, l’FBI e il tradimento
Il 5 giugno 2011, LulzSec annunciò la propria dissoluzione dopo esattamente 50 giorni di operazioni. Il comunicato diceva che era sempre stato il piano — un’operazione con una data di fine prestabilita.
La verità era diversa.
Hector Monsegur (Sabu) era stato arrestato dall’FBI il 7 giugno 2011 — due giorni dopo l’annuncio di dissoluzione. Ma il suo arresto non era pubblico. L’FBI aveva trovato il suo indirizzo IP reale attraverso un singolo momento di distrazione: Monsegur si era connesso a IRC una volta senza usare il suo proxy. Un singolo errore di OPSEC in mesi di operazioni.
Monsegur aveva una situazione familiare complicata — era il tutore dei figli di una parente. Minacciato di perdere la custodia dei bambini, accettò di collaborare con l’FBI.
Per i dieci mesi successivi, Monsegur continuò a partecipare alle operazioni di Anonymous e LulzSec come se nulla fosse, mentre l’FBI registrava ogni conversazione. Uno per uno, i membri del gruppo furono identificati attraverso le informazioni che Monsegur forniva.
Nel marzo 2012, in un’operazione coordinata in USA, UK, Irlanda e Australia, cinque membri di LulzSec furono arrestati simultaneamente.
Le condanne
Le sentenze furono significative:
- Hector Monsegur (Sabu) — graziato in gran parte per la cooperazione, 7 mesi di prigione già scontati
- Jake Davis (Topiary) — 2 anni di prigione (aveva 18 anni al momento degli atti)
- Mustafa Al-Bassam (T-Flow) — pena sospesa (aveva 15 anni durante le operazioni)
- Jeremy Hammond — 10 anni di prigione per l’hack di Stratfor, un’agenzia di intelligence privata
Anonymous dopo LulzSec: il movimento continua
Anonymous non è mai morto. Il collettivo ha continuato a operare su decine di fronti negli anni successivi:
2015 — Operation Paris, dopo gli attacchi al Bataclan: Anonymous dichiarò guerra all’ISIS, identificando migliaia di account social media collegati al gruppo e segnalando account di reclutamento.
2020 — durante le proteste per la morte di George Floyd, Anonymous tornò a bucare sistemi delle forze di polizia americane e pubblicò informazioni su casi irrisolti di violenza.
2022 — dopo l’invasione russa dell’Ucraina, Anonymous dichiarò “cyber war” alla Russia, attaccando siti governativi, emittenti televisive statali e banche russe. Mantennero la promessa più a lungo di quanto molti si aspettassero.
Il dibattito che non si chiude
La storia di Anonymous e LulzSec cristallizza un dibattito che la società democratica non ha ancora risolto:
Un DDoS è protesta civile o crimine? Bloccare temporaneamente il sito di MasterCard è diverso da bloccare fisicamente l’ingresso di una sede? Dal punto di vista legale sono cose molto diverse. Dal punto di vista politico, la distinzione è meno chiara.
Chi decide quale obiettivo è legittimo? Anonymous non ha struttura di governance. Chiunque può rivendicare un’azione in nome di Anonymous. Questo significa che il “brand” Anonymous è stato usato per operazioni politicamente motivate, per trolling puro, per vandalismi digitali senza giustificazione politica riconoscibile, e per operazioni che hanno aiutato movimenti di liberazione reali. Tutto sotto lo stesso nome.
Il caso Sabu: quando il governo trasforma uno dei membri chiave di un gruppo in informatore senza rivelarlo per dieci mesi — consentendo che continuino operazioni criminali per raccogliere prove contro altri — è una pratica accettabile? I difensori degli imputati la chiamarono entrapment. Il governo la chiamò investigazione ordinaria.
La lezione di OPSEC
La caduta di LulzSec è un caso di studio perfetto sulla sicurezza operativa.
Monsegur commise un singolo errore in mesi di operazioni attente: si connesse a IRC senza proxy una volta sola, per qualche minuto. Quell’errore bastò. L’FBI aveva aspettato pazientemente quell’errore.
La lezione è brutale nella sua semplicità: in un’operazione a lungo termine che richiede anonimato assoluto, non esiste un margine di errore. Un singolo momento di distrazione — una volta che dimentichi il VPN, una volta che usi un account che hai collegato a un’identità reale, una volta che menzioni un dettaglio geografico specifico — può essere sufficiente per smontare anni di precauzioni.
Conclusione
Anonymous e LulzSec hanno cambiato permanentemente la percezione pubblica dell’hacking: non più solo criminali in cerca di soldi, ma attori politici con agende proprie — anche se contraddittorie, anche se prive di coerenza strutturale.
Il modello del collettivo decentralizzato e anonimo che usava internet come strumento di pressione politica ha ispirato movimenti successivi ben al di là della sicurezza informatica. L’estetica della maschera di Guy Fawkes è diventata il simbolo universale della protesta anonima in tutto il mondo.
E la storia di Sabu rimane il caso di studio definitivo su cosa succede quando la OPSEC fallisce: non importa quanto sei bravo, non importa quante precauzioni prendi — se continui a operare abbastanza a lungo, la probabilità di un errore tende a uno.