Come cadono le bande di Hacker – Brian Krebs

Come cadono le bande hacker: da TeamPCP a Conti e LockBit, quasi mai per un colpo di genio degli investigatori, quasi sempre per un tradimento.

Luglio 2026, siamo negli Stati Uniti, sullo schermo di un telefono compare una notifica di Signal, l’app di messaggi cifrati che usano i giornalisti, gli attivisti e, sempre più spesso, anche i criminali. Il messaggio arriva da Perth, in Australia, cioè dall’altra parte del mondo.

A leggerlo c’è un uomo nato in Alabama nel 1972, fronte alta, i capelli ordinatamente pettinati con la riga a destra. Non è un poliziotto, né un agente dell’FBI, e non è nemmeno un hacker: è un giornalista. Ha lavorato quattordici anni al Washington Post e da vent’anni passa le sue giornate a leggere i forum dove i criminali informatici si parlano, si vendono la merce, si fanno la guerra.

Si chiama Brian Krebs, e nel mondo della sicurezza informatica è quasi una leggenda: i criminali lo odiano per le sue inchieste, e qualcuno, ha provato perfino a farlo arrestare.

Il ragazzo che gli scrive ha ventun anni. Krebs, nei suoi articoli, lo chiamerà Ellis. Si presenta come il portavoce di una banda di hacker conosciuta come TeamPCP: secondo gli investigatori, una banda entrata in più di mille organizzazioni nel mondo, con un bottino di oltre mezzo milione di credenziali, le chiavi digitali che aprono i sistemi delle aziende.

Fra meno di due mesi, quel ragazzo uscirà da una villetta sul mare ammanettato dagli agenti.

Questa storia ci fa vedere una cosa che nei film non si vede quasi mai: come cadono davvero le bande di hacker. Quasi mai succede per un colpo di genio degli investigatori; quasi sempre accade per un tradimento.

Questa è la storia dei tradimenti che hanno polverizzato TeamPCP, una delle bande hacker più temute di questi anni.

Questo articolo è tratto da una puntata di DigitMondo, il podcast di Digitalic. La puntata precedente, Come funzionano le bande hacker: la talpa di Google dentro TeamPCP, racconta la stessa storia dall’interno della banda.

Torniamo a quella conversazione su Signal: Ellis scrive tanto, forse troppo. Racconta che aveva appena finito l’ennesimo percorso di disintossicazione, che era rimasto sobrio per due mesi e che poi aveva ritrovato i vecchi amici del giro: un ambiente, dice, “molto tossico”.

Con tutta questa storia, sostiene, ha guadagnato circa ventimila dollari, e i soldi e la fama non sono mai stati il punto. Ventimila dollari: una cifra quasi ridicola, accanto a mille organizzazioni violate.

Poi scrive due cose che conviene tenere a mente. La prima: ha smesso a marzo, e dopo di lui qualcun altro ha preso il comando. La seconda: se lo arresteranno, accetterà le conseguenze.

Krebs lo descrive come una persona abbattuta; di rimorso, nelle sue parole, ne trova poco.

Quello che Ellis non sa è che Krebs, prima di rispondergli, ha già trovato gli indizi che portano a un nome vero e a una casa di Perth.

Il nome è Ruben Ian Thomson. A tradirlo non è stato un singolo errore: sono stati i suoi soci, i forum dove era cresciuto, una lite per qualche licenza pirata di Microsoft Office di sette anni prima. Alla fine, a farsi scoprire, è stato lui stesso.

Il gatto morto: come un giornalista trova un hacker

Innanzitutto, come fa un giornalista a trovare un hacker? Non ha un distintivo, non può fare perquisizioni, non può chiedere i tabulati telefonici. Ha solo quello che i criminali lasciano in giro, e di solito ne lasciano molto più di quanto credano.

Il primo indizio è un soprannome. Diverse società di sicurezza sono arrivate alla stessa conclusione: dentro TeamPCP qualcuno si fa chiamare Deadcatx3, cioè “gatto morto per tre”. Krebs lo cerca ovunque, e lo trova in un posto dove proprio non se lo aspettava.

Esistono siti dove chi trova un difetto in un programma viene pagato dalle aziende per segnalarlo invece di sfruttarlo: il lato buono del mestiere di hacker. Uno dei più conosciuti si chiama HackerOne. Lì c’è un profilo con quel soprannome, aperto nel giugno del 2025, e il profilo è registrato con un nome e un cognome veri: Ruben Thomson.

Poi c’è il gatto, quello vero. Su Steam, la piattaforma dei videogiochi, Ruben usa da una decina d’anni sempre la stessa immagine del profilo: un gatto seduto davanti a un paio di monitor. Secondo Flare, una società di sicurezza che ha ricostruito il caso, la stessa identica immagine compare su un account Telegram di TeamPCP.

Lo stesso gatto, nella vita privata e nella banda.

Il secondo indizio è ancora più banale. Krebs apre il registro australiano delle imprese, una specie di Camera di commercio, e scopre che a nome di Ruben Thomson risultano alcune piccole ditte. Una si chiama OPSEC EXPRESS.

Opsec, nel gergo, vuol dire sicurezza operativa: l’arte di non lasciare tracce, di tenere la vita vera separata da quello che si fa in rete. Quanto a Express, sui forum era il soprannome di uno dei membri di TeamPCP: come se un ladro scrivesse sul citofono il suo nome di battaglia, e sotto: “esperto in furti senza impronte”.

Poi arrivano gli altri indizi: una casella Gmail, vecchi account sui forum dei criminali informatici, un numero di telefono, un collegamento internet che porta a una casa di Perth, quella di una famiglia che si chiama Thomson.

A questo punto Krebs ha un nome. Gli manca però quello che serve a un giudice: le prove. Quelle le ha qualcun altro, che a sua volta, quel nome, ancora non lo conosce.

I ventimila dollari: la talpa, il ricettatore e la legge dei ladri

Su Signal al giornalista Ellis racconta molte cose. Una non la racconta, forse perché non la sa. A marzo, nella chatroom segreta dove si ritrovano i dodici membri del TeamPCP entra uno nuovo. In realtà quello nuovo è una talpa: lavora per Mandiant, la società di sicurezza informatica di Google.

Dall’altra parte, a leggere quello che la talpa vede, c’è un analista di Google che si chiama Austin Larsen. Chi ha ascoltato la puntata precedente conosce questa storia; a noi, oggi, serve sapere solo come finisce.

Finisce con i ventimila dollari di Ellis. Perché una banda con mezzo milione di chiavi rubate incassa così poco?

Perché TeamPCP sa rubare, ma non sa vendere. Per trasformare le chiavi in soldi si affida ad altre bande, più esperte nei ricatti, come un ladro si affida a un ricettatore: noi vi diamo le chiavi, voi ricattate le aziende, a noi spetta una percentuale. Uno dei ricettatori, una banda che si chiama ShinyHunters, incassa i riscatti e non versa niente. Poi, per togliere di mezzo i soci, manda l’intera chat di TeamPCP proprio ad Austin Larsen. Non sa che Google quella chat la stava già leggendo da dentro.

La banda capisce che qualcuno sta parlando, chiude tutto, caccia i soci infedeli e, senza saperlo, insieme a loro caccia anche la talpa. Forse è anche per questo che, su Signal, Ellis parla di appena ventimila dollari: il grosso, se c’è stato, è finito nelle tasche di altri.

Ma perché i criminali si tradiscono così spesso? Il motivo è semplice e brutale. Fra ladri non esistono tribunali: nessuno può fare causa al socio che non paga, nessuno può chiamare i carabinieri se un complice scappa con la cassa. Restano solo la reputazione e la fiducia; e quando gli interessi si separano, il modo più rapido per togliere di mezzo un rivale è consegnarlo al nemico.

Brian Krebs su questa regola ha costruito una carriera. Da vent’anni, quasi tutto quello che sa di queste bande gli arriva da qualcuno che, a un certo punto, ha deciso che parlare gli conveniva più che tacere.

Per capirlo apriamo l’atlante dei tradimenti fra hacker. Tre pagine per tre bande.

L’atlante dei tradimenti

Primo tradimento, Conti: la bandiera

Febbraio 2022.

Conti è una banda russa di ransomware: blocca i computer delle aziende e chiede un riscatto per restituire i file. Nel 2021, secondo Chainalysis, una società americana che segue i movimenti delle criptovalute, Conti ha incassato almeno centottanta milioni di dollari.

Il 24 febbraio la Russia invade l’Ucraina. Il giorno dopo Conti pubblica un comunicato: pieno appoggio a Mosca, e la promessa di colpire chiunque attacchi la Russia. Il problema è che dentro Conti, o molto vicino, c’è qualcuno che la pensa in un altro modo.

Due giorni dopo un account appena aperto su Twitter, ContiLeaks, comincia a pubblicare le conversazioni interne della banda, decine di migliaia di messaggi. Chi li diffonde è ucraino: un ricercatore di sicurezza secondo chi dice di conoscerlo, un membro della banda secondo altri. Si congeda con due parole: “Gloria all’Ucraina”.

Quello che esce da quei messaggi lascia a bocca aperta anche gli esperti. Conti è organizzata come un’azienda vera: ha un ufficio del personale, stipendi fissi, bonus, valutazioni di fine anno, perfino l’impiegato del mese. Alcuni dipendenti, secondo gli analisti, credevano di lavorare per un’agenzia di pubblicità. Insomma, una multinazionale del crimine.

Brian Krebs dedica a quelle chat una serie di articoli, “I diari di Conti”. Pochi mesi dopo la banda sparisce, almeno con quel nome. Conti aveva scelto una bandiera; qualcuno, dentro, ne aveva un’altra.

Secondo tradimento, LockBit: l’insegna

Se Conti era una multinazionale, LockBit era una catena in franchising. Funzionava come una catena di pizzerie: il capo mette il marchio e la ricetta, cioè il programma che cripta i file e il sito dove le vittime vengono messe alla gogna; gli affiliati aprono il loro locale, fanno gli attacchi e al capo girano il venti per cento di ogni riscatto. In meno di due anni, con i suoi strumenti, vengono preparati più di settemila attacchi, anche contro più di cento ospedali.

Febbraio 2024. Una coalizione di polizie guidata da quella britannica sequestra i computer della banda. Poi fa una cosa che nessuno si aspetta: invece di spegnere il sito di LockBit, se lo tiene. Su quel sito la banda esponeva le aziende che non volevano pagare: sotto ogni nome c’era un conto alla rovescia, e allo scadere i dati rubati venivano pubblicati. La polizia usa lo stesso trucco contro di loro. Al posto delle aziende mette dei messaggi per la banda, ognuno con il suo timer. Sotto uno compare una domanda: chi è LockBitSupp? LockBitSupp è il soprannome del capo. Quando il tempo scade, dice il messaggio, il mondo saprà chi è.

Una catena in franchising vive della sua insegna. Gli affiliati si fidano del capo perché lui promette di proteggerli. La polizia fa vedere a tutti che il capo non protegge nessuno, e che i nomi di quasi duecento affiliati sono già nelle mani degli investigatori.

A maggio arriva anche il nome del capo: è un russo di trentun anni. Gli Stati Uniti offrono fino a dieci milioni di dollari per farlo arrestare, ma vivendo in Russia difficilmente vedrà mai un’aula di tribunale.

Nelle carte dell’accusa c’è però un dettaglio interessante. Dopo il sequestro, il capo della banda più temuta del mondo contatta gli investigatori e si offre di collaborare. In cambio chiede una cosa sola: i nomi dei suoi concorrenti.

Era pronto a tradire anche lui.

Terzo tradimento, Fly: il lettore in più

C’è una regola che Brian Krebs conosce meglio di chiunque altro: in ogni forum di criminali c’è sempre un lettore in più di quanti se ne contino.

Estate del 2013.

Krebs legge da tempo, di nascosto, un forum in lingua russa frequentato da ladri di carte di credito. Lo gestisce un uomo che si fa chiamare Fly: è nato in Russia, ha il passaporto ucraino e in quegli anni vive in Italia, a Napoli. Pochi mesi prima, a marzo, qualcuno aveva già mandato a casa di Krebs la polizia, con una falsa chiamata d’emergenza.

Sul forum Fly lancia una colletta. Il giornalista che scrive di loro, annuncia, ha bisogno di eroina: raccogliamo dei bitcoin, compriamola su Silk Road, il mercato nero di internet di quegli anni, e spediamogliela a casa. Poi, quando il pacco arriva, basta una telefonata alla polizia, come se a chiamare fosse un vicino.

Krebs legge tutto mentre succede, e avverte la polizia locale e l’FBI prima che il pacco parta. Pochi giorni dopo una busta arriva davvero: dentro una rivista ci sono tredici bustine di eroina quasi pura. Krebs la consegna agli agenti, che lo stavano aspettando.

Nel giugno del 2014 la polizia italiana arresta Fly a Napoli. Dal carcere di Poggioreale, che lui definisce il peggiore d’Italia, scrive a Krebs alcune lettere, e Krebs le fa controllare prima di aprirle: l’ultima volta che quell’uomo gli aveva spedito qualcosa, dentro c’era l’eroina. Nel 2017, negli Stati Uniti, Fly viene condannato a quarantuno mesi. La banda voleva incastrare il giornalista, e il giornalista era già nel loro forum. Tredici anni prima di Google, la talpa era lui.

Il rimborso del 2019: i tre indizi di Larsen

Torniamo al 2026. Negli stessi mesi in cui Krebs si scrive con Ellis, cioè con Ruben Ian Thomson, Austin Larsen segue la stessa pista da un’altra direzione. Non ha più nessuno dentro la banda, la talpa è stata cacciata con la chiusura della chat, e deve fare quello che farebbe un investigatore di una volta: tornare alle carte, agli indizi e gli indizi che trova sono tre.

Il primo arriva, ancora una volta, da un tradimento. Qualche tempo prima era finito in rete l’elenco degli iscritti a BreachForums, il più grande forum di criminali informatici in lingua inglese. Il posto che doveva proteggere l’anonimato dei suoi utenti li aveva consegnati a chiunque volesse leggerli. In quell’elenco, uno dei soprannomi più attivi della chat di TeamPCP risulta registrato con un indirizzo Gmail. Un indirizzo email vero.

Il secondo indizio è una lite. Austin Larsen cerca quell’indirizzo Gmail nei vecchi archivi dei forum e trova una discussione del 2019: il ragazzo aveva comprato da qualcuno delle licenze pirata di Microsoft Office, di quelle che in rete si trovano a pochi euro, e aveva preteso un rimborso su PayPal perché i codici non funzionavano. Per riceverlo aveva indicato un conto collegato a un dominio internet con il cognome di una famiglia. All’epoca aveva più o meno quattordici anni.

Il terzo indizio è il più incredibile. Quando TeamPCP aveva cacciato i traditori, e con loro la talpa, aveva spostato il bottino su un nuovo computer, per sicurezza. Quel computer faceva le copie di riserva su Google Drive, sullo stesso account Gmail. Il bottino rubato a mezzo mondo era custodito nella cassaforte dell’azienda che gli stava dando la caccia. Larsen passa l’informazione all’FBI, e la risposta arriva nel giro di pochi minuti.

Intanto Ellis continua a scrivere a Krebs. Circa due settimane prima dell’arresto gli dice che è pronto a costituirsi; prima, però, deve sistemare alcune faccende in sospeso. Meno di ventiquattr’ore dopo pubblica su Telegram la foto di una polvere: secondo Krebs, forse una droga sintetica.

Il 26 agosto gli agenti lo portano via da una villetta di Perth, il sobborgo elegante sul mare dove vivono i suoi genitori; nelle stesse ore, in un altro quartiere, arrestano anche un secondo ragazzo, di ventitré anni.

Ladri senza contratto

Le bande di cui abbiamo parlato hanno copiato quasi tutto dalle imprese: gli stipendi, le valutazioni del personale, il franchising, l’impiegato del mese, perfino l’intelligenza artificiale per scovare i difetti nei programmi. Una cosa sola non sono riuscite a copiare: un tribunale a cui rivolgersi quando un socio non paga. Senza un apparato giudiziario resta solo la fiducia, e la fiducia, fra ladri, dura esattamente quanto la convenienza.

Brian Krebs lo sa da vent’anni: aspetta che qualcuno, dentro una banda, decida che parlare gli conviene più che tacere. Quasi sempre, prima o poi, qualcuno lo fa.

Mentre registro questa puntata, ShinyHunters rivendica di aver rubato i dati di alcuni dipendenti dell’FBI.

Non sappiamo cosa abbiano in mano.

Sappiamo però che forse qualcuno li tradirà e avremo una nuova storia da raccontare, una nuova pagina dell’Atlante di come spariscono le bande di hacker.

Se vi siete persi la puntata precedente, “Come funzionano le bande hacker”, lì trovate la storia della talpa dall’inizio: come è entrata nella banda, che cosa ha visto, e come Google ha fatto cambiare mezzo milione di serrature prima che i ladri potessero usarle.