Por Canuto  

Un nuevo informe volvió a poner a Cellebrite en el centro de la polémica tras revelar que una unidad estatal rusa usó su tecnología forense para acceder al iPhone del opositor Andrey Pivovarov, pese a que la empresa había anunciado en marzo de 2021 el fin inmediato de ventas y servicios al gobierno de Putin.
***

  • Citizen Lab halló evidencia forense de que autoridades rusas usaron Cellebrite UFED contra Andrey Pivovarov en junio de 2021.
  • Cellebrite había dicho tres meses antes que suspendía de inmediato ventas, servicios y licencias en Rusia.
  • El caso reabre el debate sobre si las empresas occidentales pueden realmente frenar el abuso de herramientas de vigilancia una vez vendidas.

 

La empresa israelí Cellebrite, conocida por vender herramientas forenses para desbloquear y extraer datos de teléfonos, enfrenta nuevas preguntas sobre su capacidad real para impedir el uso indebido de su tecnología. El debate surgió tras un informe que documenta el uso de uno de sus sistemas por parte de autoridades rusas, incluso después de que la firma anunciara el corte de lazos con el gobierno de Vladimir Putin.

El caso involucra a Andrey Pivovarov, un activista de derechos humanos y figura de oposición local en Rusia. Según los hallazgos, su iPhone fue intervenido mientras estaba bajo custodia estatal, en un episodio que expone las limitaciones de las medidas corporativas cuando equipos de vigilancia ya están en manos de gobiernos.

La investigación fue realizada por Citizen Lab, un grupo de derechos digitales con sede en la Universidad de Toronto. TechCrunch reportó que los investigadores encontraron evidencia de que una unidad de investigación del gobierno ruso utilizó la herramienta Cellebrite UFED para ingresar al teléfono de Pivovarov en junio de 2021.

Ese dato resulta especialmente sensible por la fecha. Tres meses antes, en marzo de 2021, Cellebrite había anunciado que dejaría de vender su tecnología de forma inmediata a clientes del gobierno ruso.

En su sitio web, la empresa afirma que, desde el momento en que cortó la relación con el gobierno de Putin, podía detener el funcionamiento del dispositivo o impedir que recibiera actualizaciones de software. Sin embargo, no está claro por qué eso no ocurrió en este caso concreto.

Un caso que desafía la promesa de control

La revelación pone en duda una idea clave del negocio de vigilancia digital: que un proveedor occidental puede desactivar o contener el uso de sus productos una vez que ya fueron distribuidos. En la práctica, el episodio sugiere que el control puede ser mucho más limitado de lo que las empresas suelen presentar públicamente.

Eitay Mack, abogado israelí de derechos humanos, afirmó que el caso no le resulta sorprendente y que es consecuencia de las políticas de Cellebrite. Mack ha llevado campañas contra fabricantes de tecnología de vigilancia como Cellebrite y NSO Group.

Su crítica apunta a un vacío que considera fundamental. A su juicio, suspender ventas o incluso revocar una licencia de software no basta para impedir que un excliente siga abusando de herramientas previamente adquiridas.

Mack también señaló que Cellebrite no informa si exige a los clientes desmantelar las herramientas que ya les vendió. Esa omisión, según su planteamiento, debilita el valor real de los anuncios con los que la empresa comunica sus rupturas comerciales.

De acuerdo con esa lectura, el caso de Pivovarov sugiere que exclientes aún pueden explotar UFED, la herramienta de desbloqueo de teléfonos de Cellebrite, incluso después de que la empresa deje de brindar soporte y presuntamente revoque la licencia del software.

En teoría, la cancelación del soporte debería reducir la utilidad de esos equipos. Pero la experiencia descrita en la investigación muestra que reducir utilidad no equivale necesariamente a impedir su uso en operaciones represivas o judiciales.

Qué encontraron los investigadores en el teléfono de Pivovarov

Citizen Lab dijo haber encontrado evidencia forense en el teléfono de Pivovarov que apunta al uso de Cellebrite UFED. Esa evidencia surgió después de que las autoridades rusas lo detuvieran y confiscaran su iPhone 12 y su MacBook en mayo de 2021.

El propio Pivovarov compartió con los investigadores un documento judicial recibido durante su proceso penal. Ese documento atribuye al Centro Criminalista de Expertos del gobierno ruso el uso de Cellebrite UFED para irrumpir en su teléfono.

Según el contenido del expediente, las autoridades utilizaron UFED para extraer datos del dispositivo. Entre los materiales obtenidos figuraban mensajes de WhatsApp y Telegram.

Los investigadores también indicaron que las autoridades buscaron en el teléfono términos políticos y nombres de figuras de la oposición. Entre esos nombres aparecían objetivos relacionados con lo que los investigadores describieron como presuntas campañas de hackeo del gobierno ruso.

El caso no se limita a una disputa técnica sobre licencias o soporte. También ilustra cómo una herramienta forense puede convertirse en un instrumento de presión política cuando es usada contra disidentes bajo custodia del Estado.

Pivovarov fue director del ya extinto grupo opositor Open Russia. Más tarde fue condenado a cuatro años de prisión, antes de ser liberado en agosto de 2024 como parte de un intercambio de prisioneros entre Rusia y países occidentales que también incluyó al reportero del Wall Street Journal Evan Gershkovich.

Las respuestas de Cellebrite y las propuestas de control

En un correo electrónico enviado a Citizen Lab, y compartido con TechCrunch, el director de marketing de Cellebrite, David Gee, afirmó que la compañía detuvo todas las ventas y servicios a la Federación Rusa en marzo de 2021. También aseguró que la empresa terminó las licencias existentes y comenzó de inmediato a deshacer todos los contratos legales.

Gee agregó que cualquier uso de hardware heredado de Cellebrite en Rusia después de marzo de 2021 es totalmente no autorizado. Esa afirmación se alinea con la postura pública de la empresa, pero no resuelve la pregunta central sobre por qué el sistema siguió operativo en un caso tan delicado.

Ni Gee ni el portavoz de Cellebrite, Victor Cooper, respondieron a una serie de preguntas específicas enviadas por TechCrunch. Esa ausencia de detalles dejó sin aclarar el mecanismo técnico o contractual que habría permitido el uso posterior del equipo.

John Scott-Railton, investigador senior de Citizen Lab, planteó que Cellebrite debería deshabilitar remotamente sus despliegues después de reportes creíbles de abuso. También sostuvo que la compañía debería terminar con la era de la negación plausible mediante marcas de agua criptográficamente firmadas en todos los dispositivos imaginados.

En términos simples, su propuesta implica dos capas de control. La primera sería la capacidad de bloquear remotamente herramientas que estén siendo usadas de forma incorrecta, y la segunda consistiría en incorporar una huella digital que permita rastrear cualquier dato extraído hasta el dispositivo exacto que se utilizó.

Ese tipo de trazabilidad podría facilitar auditorías, responsabilidades y sanciones. También serviría para reducir el espacio en el que fabricantes y clientes se deslindan mutuamente cuando una tecnología termina involucrada en abusos de derechos humanos.

Una advertencia más amplia para la industria de vigilancia

Cellebrite vende hardware diseñado para desbloquear y hackear teléfonos conectados físicamente a sus equipos. A lo largo de los años, distintos investigadores han documentado usos de esa tecnología contra disidentes, activistas de derechos humanos y periodistas en Hong Kong, Kenia y Jordania.

Como respuesta a algunos de esos hallazgos, la compañía ha cortado lazos con Bangladesh, China y Hong Kong, Birmania y Serbia. Sin embargo, el episodio en Rusia refuerza la idea de que terminar relaciones comerciales no siempre equivale a retirar la capacidad operativa ya desplegada.

La lección trasciende a una sola empresa. Cualquier compañía tecnológica que venda herramientas sensibles a gobiernos queda expuesta al riesgo de que sus productos sean reutilizados, revendidos o mantenidos activos incluso después de sanciones, revocaciones o cambios de política.

En un contexto global marcado por tensiones geopolíticas, vigilancia digital y crecientes demandas de transparencia, el caso se convierte en una advertencia para el sector. Una vez que una tecnología poderosa entra al mercado equivocado, recuperarla o neutralizarla puede ser mucho más difícil de lo que promete la comunicación corporativa.

La embajada rusa en Washington D.C. no respondió a una solicitud de comentarios. Así, la discusión queda por ahora centrada en la evidencia técnica, los documentos judiciales y la capacidad real de los fabricantes para impedir que sus herramientas sigan activas tras una ruptura formal.

Más allá de este episodio, el caso sugiere una verdad incómoda para la industria de ciberseguridad y vigilancia. Si no existen mecanismos efectivos de apagado remoto, trazabilidad verificable y desmantelamiento obligatorio, los anuncios de corte de lazos pueden terminar siendo más políticos que operativos.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados