Rússia usou Cellebrite para quebrar iPhone de activista após alegada saída

O caso é simples de descrever e desconfortável de engolir. Três meses depois de a israelita Cellebrite anunciar que deixava de vender tecnologia à Rússia, um laboratório forense do Estado russo usou um dos seus dispositivos para entrar no iPhone de um político da oposição. E escreveu isso, preto no branco, num documento de tribunal.

O alvo foi Andrey Pivovarov, então director do agora extinto grupo oposicionista Open Russia. Detido em maio de 2021, viu o seu iPhone 12 e o MacBook serem apreendidos. Em junho de 2021, o Centro Pericial Criminalista russo ligou um UFED da Cellebrite ao telefone e extraiu mensagens de WhatsApp, Telegram e outros dados, procurando termos políticos e nomes de figuras da oposição. Tudo isto está descrito no acórdão que Pivovarov entregou aos investigadores do Citizen Lab, da Universidade de Toronto.

A ironia: em março de 2021, a Cellebrite tinha anunciado publicamente que iria “imediatamente” parar de vender tecnologia à Rússia e à Bielorrússia. A empresa também gosta de dizer que, quando corta relações, consegue impedir que o hardware continue a funcionar ou a receber actualizações. No caso documentado pelo Citizen Lab, simplesmente não o fez. O marketing falou mais alto do que a engenharia, e as máquinas ficaram a trabalhar onde sempre estiveram, agora oficialmente “não autorizadas”.

A empresa não nega o uso do equipamento. Limitou-se a dizer, via director de marketing, que cessou vendas e serviços em março de 2021 e que qualquer uso posterior é “inteiramente não autorizado”. Não respondeu, porém, ao essencial: pediu a destruição dos aparelhos, tentou tecnicamente torná-los inúteis, regista de forma auditável onde estão e quem os usa. A resposta implícita é não. Como vários críticos lembram, incluindo o advogado de direitos humanos israelita Eitay Mack, esta ambiguidade é estrutural: as empresas vendem ferramentas de intrusão governamental, lavam as mãos depois do comunicado de imprensa e fingem surpresa quando surgem provas de abuso.

John Scott-Railton, investigador sénior do Citizen Lab, propõe o óbvio que estas empresas evitam: a Cellebrite devia conseguir brickar</em à distância os seus próprios dispositivos quando há relatos credíveis de abuso, e devia marcar os dados extraídos com uma espécie de “marca de água” que permita ligar cada ficheiro a uma unidade física específica. Isso criaria um rasto de responsabilidade, inclusive para tribunais internacionais. Mas responsabilidade e transparência são exactamente o que muitas empresas de tecnologia forense tentam reduzir ao mínimo. E, sem obrigações legais fortes, a conversa fica no domínio do voluntarismo corporativo.

Para quem anda com um iPhone no bolso na Europa, isto não é uma história distante. Mostra como a cadeia de vigilância é transnacional: hardware israelita, segundo quartel-general na Virgínia, usado por serviços russos contra um opositor. As mesmas lógicas podem aplicar-se a qualquer outro Estado com apetites de controlo, daqui ou de fora da UE, se não houver regras claras sobre exportação, auditoria e capacidade de desactivação destas ferramentas. Enquanto governos discutem estratégias para o crime digital em organismos como a Europol, o mercado de tecnologia de intrusão continua a viver na penumbra jurídica. E quem paga a factura são quase sempre os mesmos: activistas, jornalistas, minorias políticas.

Fonte: The Next Web