As autoridades russas invadiram o telefone de um proeminente oponente político enquanto ele estava sob custódia, usando tecnologia fabricada pela empresa forense Cellebrite – mesmo depois de a empresa ter dito que cortou relações com as agências governamentais de Putin, de acordo com um relatório. novo relatório isso levanta novas questões sobre se as empresas de tecnologia ocidentais podem realmente controlar como suas ferramentas são usadas quando estão em uso.
O caso é um alerta para qualquer empresa de tecnologia que venda para governos. Cellebrite, uma empresa israelense com uma segunda sede na Virgínia que vende para governos de todo o mundo — inclusive nos EUA – anunciou que deixaria de fornecer hardware e software à Rússia. Aparentemente, não deu ou não pôde seguir em frente.
Pesquisadores do Citizen Lab, grupo de direitos digitais com sede na Universidade de Toronto, disseram ter encontrado evidências de que uma unidade investigativa do governo russo usou uma ferramenta de hacking telefônico feita pela Cellebrite para invadir o iPhone do dissidente local de direitos humanos e político da oposição Andrey Pivovarov em junho de 2021.
Três meses antes desse hack, a Cellebrite havia anunciado que iria parar “imediatamente” de vender a sua tecnologia aos clientes do governo russo. Em seu site oficial, Cellebrite reivindicações que a partir de março de 2021, quando cortou relações com o governo de Putin, a empresa “pode impedir o funcionamento do dispositivo ou receber atualizações de software”.
Não está claro por que isso não aconteceu neste caso, e o episódio expõe uma verdade incômoda sobre a tecnologia de vigilância: uma vez que tecnologias poderosas de hacking e vigilância atingem o cliente errado, recuperá-lo não é tão fácil. As ferramentas proliferam, são abusadas e podem continuar a ser abusadas, muitas vezes muito depois de a empresa que as fabricou ter lavado as mãos do cliente.
“Não é surpreendente e é o resultado das políticas da Cellebrite”, disse Eitay Mack, um advogado israelense de direitos humanos que há muito faz campanha contra fabricantes de tecnologia de vigilância como a Cellebrite e o fabricante de spyware NSO Group.
Contate-nos
Você tem mais informações sobre a Cellebrite? Ou sobre como os clientes da Cellebrite estão abusando de sua tecnologia? Adoraríamos ouvir de você. A partir de um dispositivo e rede que não seja de trabalho, você pode entrar em contato com Lorenzo Franceschi-Bicchierai com segurança no Signal pelo telefone +1 917 257 1382, ou via Telegram e Keybase @lorenzofb, ou e-mail.
Mack argumentou que cessar as vendas, e até mesmo revogar uma licença de software, não impede um antigo cliente da Cellebrite de abusar da tecnologia da empresa, como este caso demonstra. Mack também destacou que a Cellebrite se recusa a dizer se pede aos clientes que desmantelem as ferramentas de hacking que lhes vendeu, uma lacuna crítica que seus próprios anúncios de corte de laços não abordam.
Este caso, acrescentou Mack, sugere que ex-clientes ainda podem abusar da ferramenta de desbloqueio de telefone da Cellebrite, chamada UFED, mesmo depois que a empresa deixa de oferecer suporte ao cliente e presumivelmente revoga sua licença de software. Em teoria, isso deveria tornar os dispositivos da empresa menos úteis.
John Scott-Railton, pesquisador sênior do Citizen Lab, disse ao TechCrunch que a Cellebrite “também deveria desabilitar implantações remotamente após relatos confiáveis de abuso e encerrar a era de negação plausível implementando marcas d’água assinadas criptograficamente em todos os dispositivos com imagem”. Em termos simples, a Cellebrite deve ser capaz de bloquear remotamente suas próprias ferramentas quando elas estão sendo mal utilizadas, e deve criar uma espécie de impressão digital para que quaisquer dados extraídos com sua tecnologia possam ser rastreados até qual dispositivo específico foi usado.
A Cellebrite vende dispositivos de hardware projetados para desbloquear e invadir celulares conectados a eles. Ao longo dos anos, investigadores documentaram casos em que clientes de empresas utilizaram a sua tecnologia contra dissidentes, activistas de direitos humanos e jornalistas em Hong Kong, Quénia e Jordânia. Em resposta a algumas dessas descobertas, a Cellebrite cortou relações com Bangladesh, China e Hong Kong, Mianmare Sérvia.
Em um e-mail para o Citizen Lab, que ele compartilhou com o TechCrunch, o diretor de marketing da Cellebrite, David Gee, disse que a empresa “interrompeu todas as vendas e serviços para a Federação Russa em março de 2021, encerrando as licenças existentes, e imediatamente começou a anular todos os contratos legais. Qualquer uso de hardware legado da Cellebrite na Rússia após março de 2021 é totalmente não autorizado”.
Gee, assim como o porta-voz da Cellebrite, Victor Cooper, não responderam a uma série de perguntas específicas enviadas pelo TechCrunch.
No caso de Pivovarov, os pesquisadores do Citizen Lab disseram que conseguiram encontrar evidências forenses em seu telefone de que ele havia sido hackeado com o Cellebrite UFED, depois que as autoridades russas o detiveram e confiscaram seu iPhone 12 e MacBook em maio de 2021.
Pivovarov também compartilhou com os pesquisadores um documento judicial que recebeu como parte de sua acusação. Nele, o Centro de Especialistas em Criminalística do governo russo detalhou o uso do Cellebrite UFED para invadir seu telefone, afirmando que as autoridades usaram o UFED para extrair dados, incluindo mensagens do WhatsApp e do Telegram. Eles também pesquisaram no telefone termos políticos, bem como nomes de figuras da oposição, que incluíam alvos do que os pesquisadores descreveram como supostas campanhas de hackers do governo russo.
Pivovarov era o diretor do agora extinto grupo de oposição Rússia Aberta. Ele mais tarde foi condenado a quatro anos de prisão, antes de ser libertado em agosto de 2024 como parte de uma troca de prisioneiros entre a Rússia e os países ocidentais que também libertaram Evan Gershkovich, repórter do Wall Street Journal.
A Embaixada Russa em Washington DC não respondeu a um pedido de comentário.
Quando você compra por meio de links em nossos artigos, podemos ganhar uma pequena comissão. Isso não afeta nossa independência editorial.