A Cellebrite teve suas ferramentas de forense digital utilizadas por autoridades russas para invadir o smartphone de um ativista político, conforme revelou um relatório do Citizen Lab, da Universidade de Toronto, publicado nesta quinta-feira (25/06). O incidente expõe uma falha crítica no controle de exportação de tecnologias sensíveis, uma vez que a empresa israelense havia anunciado a suspensão total de suas vendas e serviços na Rússia em março de 2021.
O caso Andrey Pivovarov
O alvo da operação foi Andrey Pivovarov, defensor dos direitos humanos e ex-diretor da organização não governamental Open Russia. Segundo a investigação, as autoridades russas utilizaram a plataforma Cellebrite para acessar dados de seu iPhone 12 e de um MacBook enquanto ele estava sob custódia. A análise forense realizada pelo Citizen Lab encontrou evidências de alta confiança sobre o uso das ferramentas UFED (Universal Forensic Extraction Device) e do software Physical Analyzer.
A extração de dados incluiu mensagens de aplicativos de comunicação como WhatsApp, Telegram e Viber. O que torna este caso incomum é a existência de um rastro documental oficial. Um relatório de peritos criminais russos, identificado como documento No. 1269-17, citou explicitamente o uso do kit de ferramentas UFED 4PC para realizar buscas por termos políticos e nomes de figuras da oposição, como Mikhail Khodorkovsky.
A resposta da Cellebrite e as limitações técnicas
Em comunicado enviado aos pesquisadores, David Gee, diretor de marketing da Cellebrite, afirmou que qualquer uso de hardware da empresa na Rússia após março de 2021 é estritamente não autorizado. A companhia argumenta que o hardware em questão é um legado de vendas anteriores às sanções e que opera sem suporte técnico ou consentimento da fabricante. A empresa também sustenta que avanços tecnológicos rápidos tornam o hardware antigo ineficaz em pouco tempo, embora o caso de Pivovarov demonstre o contrário.
A situação levanta questões sobre a capacidade das empresas de tecnologia de desativar remotamente seus produtos. Embora a Cellebrite tenha afirmado anteriormente que possui mecanismos para impedir o funcionamento de dispositivos ou o recebimento de atualizações em regiões sancionadas, esses recursos não foram eficazes ou não foram acionados no caso russo. Especialistas em segurança digital apontam que, uma vez que o hardware físico está em posse de um governo, o controle da fabricante torna-se limitado.
Impacto no mercado de forense digital
Este incidente destaca os desafios enfrentados por empresas de tecnologia forense que operam em escala global. A existência de um mercado cinza, onde dispositivos antigos e licenças expiradas continuam circulando, permite que regimes autoritários mantenham capacidades de vigilância mesmo sob embargo. Para ativistas e jornalistas, o episódio reforça a vulnerabilidade de dispositivos móveis diante de ferramentas de extração física de dados que não dependem de senhas fornecidas pelo usuário.
As implicações para o setor são amplas e envolvem:
- A necessidade de mecanismos de desativação remota mais rigorosos em ferramentas de extração de dados.
- Maior transparência sobre o destino final de hardwares vendidos para agências de segurança.
- O risco reputacional para empresas ocidentais cujas ferramentas são vinculadas a processos políticos e violações de direitos humanos.
- A discussão sobre a responsabilidade legal das fabricantes após a expiração de contratos oficiais.
Perspectivas para a segurança de dados
Para o leitor brasileiro e a comunidade internacional de TI, o caso serve como um lembrete de que sanções de software são complexas de aplicar na camada de hardware. A dificuldade de realizar o recolhimento ou a inutilização total de equipamentos distribuídos mundialmente cria lacunas de segurança que são exploradas por unidades de inteligência estatal. O debate agora se volta para a implementação de marcas d’água digitais e registros imutáveis de extração que permitam rastrear a origem de cada operação de hackeamento institucional.
O desfecho deste caso na Rússia pode acelerar novas regulamentações para o setor de inteligência digital em Israel e nos Estados Unidos, onde a Cellebrite mantém operações significativas. O foco regulatório deve se concentrar em impedir que tecnologias de uso duplo permaneçam operacionais em mãos não autorizadas, independentemente da data de fabricação do equipamento.
