Cellebrite dijo que había aislado a Rusia, pero Rusia utilizó sus herramientas de todos modos

Las autoridades rusas piratearon el teléfono de un destacado oponente político mientras estaba bajo custodia, utilizando tecnología fabricada por la firma forense Cellebrite, incluso después de que la compañía había dicho que había cortado sus vínculos con las agencias gubernamentales de Putin, según un nuevo informe que plantea nuevas preguntas sobre si las empresas tecnológicas occidentales pueden realmente controlar cómo se utilizan sus herramientas una vez que están en libertad.

El caso es una advertencia para cualquier empresa de tecnología que venda a gobiernos. Cellebrite, una empresa israelí con una segunda sede en Virginia que vende a gobiernos de todo el mundo (incluido Estados Unidos) había anunciado que dejaría de proporcionar hardware y software a Rusia. Aparentemente no cumplió, o no pudo, cumplirlo.

Investigadores de The Citizen Lab, grupo de derechos digitales con sede en la Universidad de Toronto, dijeron que encontraron evidencia de que una unidad de investigación del gobierno ruso utilizó una herramienta de piratería telefónica fabricada por Cellebrite para ingresar al iPhone del disidente local de derechos humanos y político opositor Andrey Pivovarov en junio de 2021.

Tres meses antes de ese ataque, Cellebrite había anunciado que dejaría “inmediatamente” de vender su tecnología a sus clientes del gobierno ruso. En su sitio web oficial, Cellebrite afirma que a partir de marzo de 2021, cuando corte los lazos con el gobierno de Putin, la empresa “puede impedir que el dispositivo funcione o reciba actualizaciones de software”.

No está claro por qué eso no sucedió en este caso, y el episodio expone una verdad incómoda sobre la tecnología de vigilancia, que es que una vez que las poderosas tecnologías de piratería y vigilancia llegan al cliente equivocado, recuperarlo no es tan fácil. Las herramientas proliferan, se abusa de ellas y se puede seguir abusando de ellas, a menudo mucho después de que la empresa que las creó se haya lavado las manos del cliente.

“No es sorprendente, y [it] es el resultado de las políticas de Cellebrite”, dijo Eitay Mack, un abogado israelí de derechos humanos que ha hecho campaña durante mucho tiempo contra los fabricantes de tecnología de vigilancia como Cellebrite y el fabricante de software espía NSO Group.

Mack argumentó que cesar las ventas, e incluso revocar una licencia de software, no impide que un antiguo cliente de Cellebrite abuse de la tecnología de la empresa, como lo demuestra este caso. Mack también señaló que Cellebrite se niega a decir si les pide a los clientes que desmantelen las herramientas de piratería que les vendió, una brecha crítica que sus propios anuncios de corte de relaciones no abordan.

Este caso, añadió Mack, sugiere que los antiguos clientes aún pueden abusar de la herramienta de desbloqueo de teléfonos de Cellebrite, denominada UFED, incluso después de que la compañía deje de brindar soporte al cliente y presumiblemente revoque su licencia de software. En teoría, eso debería hacer que los dispositivos de la empresa sean menos útiles.

John Scott-Railton, investigador principal del Citizen Lab, dijo a TechCrunch que Cellebrite «también debería deshabilitar remotamente las implementaciones luego de informes creíbles de abuso y poner fin a la era de la negación plausible mediante la implementación de marcas de agua firmadas criptográficamente en todos los dispositivos con imágenes». En términos sencillos, Cellebrite debería poder bloquear de forma remota sus propias herramientas cuando se utilicen indebidamente, y debería incorporar una especie de huella digital para que cualquier dato extraído con su tecnología pueda rastrearse hasta qué dispositivo específico se utilizó.

Cellebrite vende dispositivos de hardware diseñados para desbloquear y piratear teléfonos móviles conectados a ellos. A lo largo de los años, los investigadores han documentado casos en los que los clientes de la empresa utilizaron su tecnología contra disidentes, activistas de derechos humanos y periodistas en Hong Kong, Kenia y Jordania. En respuesta a algunos de estos hallazgos, Cellebrite ha cortado lazos con Bangladesh, China y Hong Kong, Myanmar y Serbia.

En un correo electrónico al Citizen Lab, que compartió con TechCrunch, el director de marketing de Cellebrite, David Gee, dijo que la empresa «detuvo todas las ventas y servicios a la Federación de Rusia en marzo de 2021, rescindió las licencias existentes e inmediatamente comenzó a rescindir todos los contratos legales. Cualquier uso del hardware heredado de Cellebrite en Rusia después de marzo de 2021 está totalmente autorizado».

Gee, así como el portavoz de Cellebrite, Victor Cooper, no respondieron a una serie de preguntas específicas enviadas por TechCrunch.

En el caso de Pivovarov, los investigadores de Citizen Lab dijeron que pudieron encontrar evidencia forense en su teléfono de que había sido pirateado con Cellebrite UFED, luego de que las autoridades rusas lo detuvieran y confiscaran su iPhone 12 y MacBook en mayo de 2021.

Pivovarov también compartió con los investigadores un documento judicial que recibió como parte de su procesamiento. En él, el Centro de Expertos en Criminalística del gobierno ruso detalló el uso de Cellebrite UFED para ingresar a su teléfono, afirmando que las autoridades utilizaron UFED para extraer datos, incluidos mensajes de WhatsApp y Telegram. También buscaron en el teléfono términos políticos, así como los nombres de figuras de la oposición, que incluían objetivos de lo que los investigadores han descrito como supuestas campañas de piratería del gobierno ruso.

Pivovarov era el director del ahora desaparecido grupo opositor Rusia Abierta. Posteriormente fue sentenciado a cuatro años de prisión, antes de ser liberado en agosto de 2024 como parte de un intercambio de prisioneros entre Rusia y países occidentales que también liberó al periodista del Wall Street Journal Evan Gershkovich.

La embajada rusa en Washington DC no respondió a una solicitud de comentarios.