- El Citizen Lab confirma que las autoridades rusas hackearon el iPhone 12 de un activista meses después de que Cellebrite anunciara su salida del país.
- La arquitectura técnica del sistema UFED permite su funcionamiento en modo offline, impidiendo que la empresa pueda desactivar los equipos de forma remota.
- Expertos y defensores de derechos humanos exigen mecanismos de "bloqueo a distancia" y mayor transparencia en la exportación de tecnología de doble uso en Europa.
El mundo de la ciberseguridad a veces nos da unos sustos de muerte, especialmente cuando se descubre que las promesas de las grandes empresas no siempre se pueden cumplir a rajatabla. Resulta que, a pesar de que la firma israelí Cellebrite anunció a bombo y platillo que dejaba de vender sus servicios en Rusia allá por marzo de 2021, la realidad sobre el terreno ha sido otra muy distinta. La tecnología que debería estar bajo llave ha seguido funcionando para extraer información de teléfonos móviles de disidentes, lo que deja en una posición muy comprometida a la industria del software de vigilancia actual.
Este lío ha saltado a la palestra tras un informe forense del Citizen Lab de la Universidad de Toronto, que ha analizado con lupa lo ocurrido con el dispositivo personal de el activista Andrey Pivovarov. Lo que se ha encontrado es, cuanto menos, inquietante: su iPhone 12 fue rastreado y vaciado de datos meses después de que se supone que la empresa ya no operaba en territorio ruso. Esto no es moco de pavo, ya que demuestra que una vez que el hardware cruza ciertas fronteras, el fabricante pierde casi por completo el control de lo que se hace con él, por mucho que digan los contratos.
Pruebas forenses que no dejan lugar a dudas
El análisis técnico no ha dejado cabos sueltos y señala directamente al uso de herramientas muy específicas para entrar en el teléfono de Pivovarov. Se ha podido confirmar con una confianza muy alta que se utilizó el conocido sistema UFED (Universal Forensic Extraction Device) para entrar hasta la cocina en aplicaciones como WhatsApp, Viber y Telegram. Lo más curioso de todo este marrón es que las pruebas no vienen solo de investigadores externos, sino que figuran en el propio informe pericial del Ministerio del Interior ruso, donde se detalla cómo se extrajeron mensajes buscando palabras clave relacionadas con la oposición política.
Andrey Pivovarov no soltó ni una sola contraseña, pero eso no fue impedimento para que las autoridades se hicieran con su vida digital mientras estaba detenido. El sistema de Cellebrite, diseñado originalmente para ayudar a la policía en investigaciones criminales legítimas, acabó siendo la herramienta perfecta para la represión política contra figuras disidentes. Es un patrón que ya se ha visto en otros lugares como Hong Kong, Serbia o Bangladesh, donde la tecnología acaba sirviendo para fines muy distintos a los que se publicitan en las ferias de seguridad.
El problema del botón de apagado inexistente
Desde la empresa se han defendido diciendo que cualquier uso de sus máquinas en Rusia tras su salida oficial es totalmente ilegal y no autorizado. Sin embargo, el quid de la cuestión está en la propia arquitectura del aparato, ya que el sistema UFED permite trabajar de forma offline, sin necesidad de conectarse a los servidores centrales del fabricante. Esto significa que, aunque la empresa quiera cortar el grifo, si el cliente ya tiene el hardware en su poder, puede seguir usándolo tranquilamente hasta que el equipo se quede obsoleto, algo que no pasa de la noche a la mañana.
Expertos en derechos humanos e investigadores de prestigio como John Scott-Railton han puesto el grito en el cielo, sugiriendo que este tipo de empresas deberían implementar algo parecido a un «interruptor de la muerte» remoto. Si se detecta un uso abusivo o se cancela un contrato por motivos éticos, el dispositivo debería quedar inservible de forma automática para evitar que se convierta en un arma de vigilancia descontrolada. Actualmente, al no exigirse la devolución de los equipos tras el fin de la licencia, estos siguen circulando por una especie de mercado negro tecnológico.
En el contexto europeo, y más concretamente mirando hacia España, este caso ha reavivado el debate sobre la necesidad de auditorías mucho más estrictas para las empresas que exportan tecnología de doble uso. No hay que olvidar que firmas nacionales como la desaparecida Mollitiam Industries también pasaron por situaciones similares de escrutinio público. Al final, lo que queda claro es que la ética en los negocios tecnológicos no puede quedarse solo en un papel firmado; hace falta que la propia herramienta tenga límites físicos que impidan saltarse las sanciones internacionales, porque de lo contrario, el control de la seguridad digital seguirá siendo una asignatura pendiente.