Rusia desbloqueó el iPhone de un activista con Cellebrite, meses después de que la empresa dijera que se había ido.

      Un informe de Citizen Lab pone evidencia forense y un documento de un tribunal ruso detrás de un problema familiar: las herramientas de vigilancia no regresan a casa cuando el vendedor lo solicita.

      Una unidad del gobierno ruso irrumpió en el iPhone de un político opositor detenido utilizando una herramienta forense hecha por Cellebrite, tres meses después de que la firma israelí anunciara públicamente que había dejado de vender a Moscú.

      El detalle que hace que el caso tenga peso no es el hackeo en sí, sino la pista de papel: el gobierno anotó lo que hizo.

      Investigadores de Citizen Lab, el grupo de derechos digitales de la Universidad de Toronto, dijeron que encontraron evidencia forense de que una unidad de investigación rusa utilizó la herramienta de desbloqueo de teléfonos de Cellebrite, UFED, en el iPhone de Andrey Pivovarov en junio de 2021.

      Las autoridades habían detenido a Pivovarov, entonces director del ahora extinto grupo opositor Open Russia, y confiscado su iPhone 12 y MacBook en mayo de ese año.

      En marzo de 2021, Cellebrite había anunciado que “inmediatamente” dejaría de vender su tecnología a clientes gubernamentales rusos y bielorrusos. La empresa también ha declarado que cuando corta lazos, puede impedir que un dispositivo funcione o reciba actualizaciones. En este caso, según el relato de Citizen Lab, no lo hizo.

      Pivovarov entregó a los investigadores un documento judicial de su propia acusación. En él, el Centro de Expertos Criminalistas de Rusia describió el uso de Cellebrite UFED para extraer datos de su teléfono, incluidos mensajes de WhatsApp y Telegram, y buscar en el dispositivo términos políticos y los nombres de figuras opositoras.

      Es raro que un gobierno presente, por escrito, la marca y modelo de la herramienta que utilizó para vigilar a un disidente.

      Cellebrite, que vende a gobiernos de todo el mundo y mantiene una segunda sede en Virginia, no disputó que la herramienta fue utilizada. Su director de marketing, David Gee, dijo a Citizen Lab en un correo electrónico compartido con TechCrunch que la empresa “detuvo todas las ventas y servicios a la Federación Rusa en marzo de 2021, terminando licencias existentes”, y que “cualquier uso de hardware heredado de Cellebrite en Rusia después de marzo de 2021 es completamente no autorizado.”

      Gee y un portavoz de la empresa no respondieron a una serie de preguntas más específicas.

      Esa brecha, entre cortar un contrato y recuperar una máquina en funcionamiento, es el punto que los investigadores enfatizan. “No es sorprendente, y es el resultado de las políticas de Cellebrite”, dijo Eitay Mack, un abogado israelí de derechos humanos que ha estado luchando durante mucho tiempo contra los exportadores de tecnología de vigilancia del país.

      Mack señaló que Cellebrite no dirá si pide a los clientes que desmantelen las herramientas después de que finaliza una relación.

      John Scott-Railton, un investigador senior en Citizen Lab, argumentó que la empresa debería ir más allá, deshabilitando de forma remota las implementaciones después de informes creíbles de abuso y marcando los datos extraídos para que puedan ser rastreados hasta un dispositivo específico.

      En términos simples, Cellebrite debería ser capaz de inutilizar sus propias máquinas y sellar su salida, poniendo fin a lo que Scott-Railton llamó una era de negación plausible.

      El patrón no es nuevo. Los investigadores han documentado herramientas de Cellebrite activadas contra disidentes, activistas y periodistas en Hong Kong, Kenia y Jordania, y la empresa desde entonces ha cortado lazos con clientes, incluidos Bangladesh, Myanmar y, a principios de este año, Serbia.

      El caso de Rusia añade la incómoda complicación de que el cliente supuestamente ya se había ido.

      Pivovarov fue condenado a cuatro años de prisión y liberado en agosto de 2024 en el intercambio de prisioneros que también devolvió al reportero del Wall Street Journal, Evan Gershkovich. La Embajada de Rusia en Washington no respondió a una solicitud de comentario.