Nell’ormai lunga storia dell’hacking, numerosi data breach restano irrisolti a distanza di anni o addirittura decenni, con hacker e gruppi di hacking mai effettivamente smascherati.
Se è vero che nella maggior parte dei casi viene identificato un gruppo, con operazioni che comportano lo smantellamento di infrastrutture e persino l’arresto di uno o più membri del collettivo, i casi irrisolti restano quelli più affascinanti.
Uno dei cold case più noti agli esperti del settore riguarda l’entità conosciuta come Shadow Brokers, sia esso un collettivo o un singolo individuo, ha messo in apprensione diverse organizzazioni. Parliamo di una figura enigmatica, che ha reso pubblici un numero notevole di strumenti hacking, ritenuti appartenenti alla NSA, per poi svanire nel nulla.
La misteriosa storia di Shadow Brokers
Nell’estate del 2016, dopo una serie notevole di hackeraggi connessi alle elezioni presidenziali USA e riconducibili a gruppi russi, su Twitter è apparso un tweet con un link a Pastebin e il tag a diverse testate giornalistiche.
Questa strategia è risultata bizzarra e inefficace, in quanto la maggior parte delle piattaforme editoriali probabilmente non ha mai visto il tweet. Chi cliccava sul link veniva direzionato su un documento intitolato “Equation Group Cyber Weapons Auction — Invitation“, con riferimenti all’Equation Group, un’operazione di hacking misteriosa gestita quasi certamente dalla NSA.
Nel messaggio, Shadow Brokers ha affermato di aver hackerato l’Equation Group. Oltre al link per scaricare alcuni strumenti di hacking, ne era presente un altro per trasferire un file cifrato che gli acquirenti interessati potevano decifrare dopo un un corrispettivo economico pagato al gruppo o al singolo hacker. Secondo quanto emerso, il collettivo ha chiesto un milione di Bitcoin come offerta minima.
La fuga di notizie ha rapidamente attirato l’attenzione della stampa. Una volta che i ricercatori di sicurezza hanno analizzato gli strumenti, hanno capito che si trattava di cyberarmi eccezionalmente sofisticate, molto probabilmente rubate alla NSA.
Il sospetto è stato rafforzato dal fatto che alcuni condividevano nomi con programmi rivelati da Edward Snowden. L’asta è stata probabilmente un’esca, poiché l’hacker ha infine rilasciato pubblicamente molti degli strumenti qualche mese dopo.
Nonostante tutto, diversi aspetti legati a Shadow Brokers non convincono. L’inglese, maldestro e forzato, delle interviste era quasi comico. Benché vi fosse l’intenzione di attirare l’attenzione e ricevere abbondante copertura stampa, un personaggio collegato al gruppo ha parlato con un giornalista solo una volta, concedendo una breve intervista a Joseph Cox di 404 Media, allora reporter su VICE Motherboard.
Chi è Shadow Brokers?
Dieci anni dopo, non è emersa alcuna informazione su chi fosse realmente Shadow Brokers o, nel caso fosse un collettivo, chi ne facesse parte.
In alcune interviste riportate da giornalisti di TechCrunch, sono stati intervistati ex dipendenti della NSA all’epoca, che hanno ipotizzato fosse un insider dell’agenzia stessa e potrebbe essere stato coinvolto in modo diretto.
Nonostante ciò, nessuno è mai stato arrestato e accusato, cosa straordinaria dato che questo è probabilmente uno dei peggiori leaked di strumenti di hacking di intelligence statunitensi mai avvenuti.
Un potenziale nome collegato a Shadow Brokers potrebbe essere quello di Harold T. Martin III, un contractor della NSA arrestato per aver rubato informazioni classificate dall’agenzia.
Ma questa teoria ha un enorme problema: mentre Martin era in custodia, le comunicazioni di Shadow Brokers sono continuate. Non solo: Martin non è mai stato formalmente accusato in connessione con le fughe di notizie. La teoria più accreditata è che si tratti di un’entità creata da un gruppo di spionaggio governativo russo come strumento di propaganda.
L’impatto del furto di dati
L’impatto è stato enorme. Tra le rilevazioni effettuate da Shadow Brokers figura EternalBlue, una famiglia di vulnerabilità zero-day, per cui dunque non esisteva ancora una patch, che colpiva Windows e che consentiva agli hacker di entrare nei computer su una rete hackerata, espandere rapidamente il loro accesso rilasciando poi worm autoriproduttivi.
Gli hacker nordcoreani hanno utilizzato EternalBlue per lanciare il worm ransomware WannaCry, con effetti devastanti per le malcapitate vittime. Gli hacker russi, a loro volta, lo hanno successivamente integrato in NotPetya, che è andato oltre i suoi obiettivi ucraini iniziali e ha causato circa 10 miliardi di dollari di danni a livello globale.
Per le imprese, la lezione è stata chiara: le vulnerabilità accumulate dalle agenzie di intelligence non restano segrete per sempre e, quando si verificano fughe di notizie, il settore privato ne paga il prezzo maggiore.
Tra gli strumenti rubati c’era uno contenente un elenco di nomi di progetti, incluso uno chiamato Fast16, analizzato solo di recente. Questo, si è rivelato non essere altro che un vecchio malware risalente al 2005.
Secondo un’analisi recente di SentinelOne pubblicata nel maggio 2026, Fast16 è stato progettato per manipolare dati di simulazione nucleare, facendo apparire falliti test effettivamente riusciti, alterando i dati di pressione nel nucleo del reattore di uranio quando la simulazione si avvicinava al punto “supercritico”.
L’IA per svelare (in parte) le scoperte di Shadow Brokers
I ricercatori Vitaly Kamluk e Juan Andrés Guerrero-Saade di SentinelOne hanno decifrato Fast16 nel 2026 utilizzando l’Intelligenza Artificiale, scoprendo che era stato creato probabilmente dal governo statunitense o da un suo alleato e potrebbe essere stato utilizzato a metà degli anni 2000 per sabotare l tentativi dell’Iran di ottenere armi nucleari.
Gli strumenti di Equation Group, a quanto pare, sono stati sfruttati dagli USA come arma contro più di 30 paesi, tra cui figurano Iran, Russia, Pakistan, Afghanistan, India e Cina. In tal senso, i principali obiettivi si sono rivelati essere principalmente ricerca in ambito nucleare, sviluppo bellico, nanotecnologie e aziende che sviluppano tecnologie crittografiche.
