Parliamo di hacking etico e sicurezza informatica. Pochi nomi evocano il rispetto e impatto storico del collettivo L0pht Heavy Industries, meglio noto semplicemente come L0pht. Attivo dagli anni ’90, il gruppo non solo ha anticipato molte delle minacce che oggi dominano il cyberspazio, ma ha anche avuto il coraggio – e la competenza – di portare quelle preoccupazioni direttamente al Senato degli Stati Uniti.

“Potremmo spegnere Internet in 30 minuti”. Una frase che, nel 1998, sembrava quasi fantascienza. Ma col tempo si è rivelata profetica.

Le origini: un loft a Boston, l’underground e la passione per l’informatica

L0pht nasce nei primi anni ’90 a Boston, in un momento in cui Internet non è ancora diventata la rete globale di oggi. Il World Wide Web è agli esordi, i computer sono perlopiù isolati e la sicurezza informatica è un concetto ancora vago, se non inesistente, nella mentalità delle aziende e delle istituzioni.

Il gruppo prende il nome dal luogo fisico in cui si riunisce: un “loft” industriale riconvertito, diventato laboratorio di ricerca, sala server, magazzino hardware e base operativa per alcuni dei più brillanti “hacker etici” del periodo. Il nome completo, L0pht Heavy Industries, ironizza sulla loro natura artigianale e non-profit, ma anche sull’idea che l’hacking possa avere un impatto “pesante” e trasformativo sul mondo digitale.

Alcuni membri fondatori:

• Mudge (Peiter Zatko) – il volto più noto, diventato successivamente direttore alla DARPA, in Google, e nel 2020 Chief of Security in Twitter.
• Weld Pond (Chris Wysopal) – fondatore di Veracode, attivo nella standardizzazione della sicurezza applicativa.
• Space Rogue (Cris Thomas) – esperto di cyber policy e analista.
• Kingpin (Joe Grand) – specialista di hardware hacking e divulgatore.
• Brian Oblivion, Silicosis, Tan – altri membri chiave con competenze varie su sistemi operativi, reverse engineering, crittografia e telecomunicazioni.

 Il contesto storico (l’alba di Internet, la cecità sulla sicurezza)

Il periodo in cui il L0pht prende vita è quello delle BBS (Bulletin Board System), dei primi ISP casalinghi e dei modem a 14.4 kbps. Gli hacker di allora non sono cybercriminali, ma curiosi esploratori di sistemi, interessati a capire come funzionano i computer, i telefoni, le reti.

Tuttavia, già nel 1995–1997, iniziano a emergere problemi seri: vulnerabilità nei sistemi Windows, server non aggiornati, password deboli, mancanza di crittografia e ignoranza generalizzata sulla protezione dei dati.

L0pht, con approccio etico, comincia a raccogliere vulnerabilità e informazioni tecniche, pubblicandole e condividendole con la comunità. Diventa un punto di riferimento, sia nel mondo underground che tra i primi professionisti della sicurezza.

Il momento storico: il Congresso degli Stati Uniti (1998)

Il momento in cui L0pht entra ufficialmente nella storia è il 21 maggio 1998, quando sette membri del gruppo vengono convocati a testimoniare davanti al Congresso degli Stati Uniti, nella storica audizione intitolata “Weak Computer Security in Government”.

Di fronte ai senatori, con abiti informali ma argomentazioni solide, gli hacker illustrano la drammatica vulnerabilità delle infrastrutture digitali americane. Le loro affermazioni come:

qui per aiutarvi a proteggere ciò che non sapete nemmeno di avere esposto.” | “la sicurezza informatica non è un’opzione, ma una responsabilità collettiva”.

sembrano allarmistiche, ma col passare degli anni si riveleranno drammaticamente accurate.

L0pht non propone solo critiche, ma soluzioni concrete: investire in sicurezza, incentivare l’aggiornamento dei sistemi, responsabilizzare i vendor software, educare gli utenti. Tuttavia, la risposta del governo è, in gran parte, indifferente. Solo dopo il caso Snowden e gli attacchi su larga scala (Stuxnet, ransomware, Colonial Pipeline, SolarWinds) il mondo inizierà a rendersi conto della fondatezza di quelle dichiarazioni.

Cosa li ha resi famosi: ricerca, responsabilità, strumenti innovativi

Oltre alla storica audizione, L0pht è celebre per il suo approccio all’hacking etico e responsabile. Il gruppo ha:

• Pubblicato ricerche pionieristiche sulla sicurezza di Windows NT, Unix, e dei protocolli di rete.
• Lanciato <L0phtCrack>, uno dei primi tool per testare la robustezza delle password Windows, diventato popolare tra i penetration tester.
• Sviluppato una cultura della #responsible disclosure, contattando le aziende prima di rendere pubbliche le vulnerabilità scoperte.
• Diffuso conoscenze e strumenti attraverso talk, conferenze e documenti tecnici che hanno formato generazioni di esperti di sicurezza.

L’eredità

Dopo il 2000, L0pht si fonde con @stake, una delle prime aziende di consulenza sulla sicurezza, poi assorbita da Symantec. I membri seguono percorsi diversi, ma il gruppo lascia sicuramente dei segni indelebili nella storia dell’informatica quali:

• L’idea che l’hacking possa essere una forza positiva, se guidata da etica e conoscenza.
• Il concetto che la sicurezza è una responsabilità condivisa, tra vendor, governi, utenti e ricercatori.
• L’affermazione di un linguaggio tecnico comprensibile dai legislatori, utile per affrontare i rischi del mondo digitale.