Citizen Lab: Rússia usou Cellebrite contra ativista preso meses após corte oficial de vendas
Uma investigação do Citizen Lab correlacionou registros de pareamento USB no iPhone do ativista russo Andrey Pivovarov com um laudo pericial oficial russo que cita explicitamente o uso de UFED Physical Analyzer e UFED 4PC, três meses após a Cellebrite anunciar o fim das vendas para Rússia e Belarus. O caso expõe a lacuna entre suspender vendas e desativar remotamente hardware já em campo.
Em março de 2021 a Cellebrite anunciou publicamente que deixaria de vender e prestar suporte às suas ferramentas forenses (UFED) para a Rússia e Belarus, em resposta a críticas sobre o uso do software por regimes autoritários. Três meses depois, em junho de 2021, autoridades russas usaram exatamente essas ferramentas para extrair dados do iPhone do ativista de oposição Andrey Pivovarov, então detido — episódio que só veio a público agora através de uma investigação do Citizen Lab publicada em 25 de junho.
A reconstrução do Citizen Lab se apoiou em duas fontes independentes que raramente coincidem em casos assim: primeiro, os registros internos de pareamento confiável (trusted pairing / lockdown records) do próprio iPhone, que guardam identificadores dos hosts USB conectados ao dispositivo — nesse caso, um identificador de host já associado anteriormente a uma "impressão digital" de equipamento Cellebrite em um caso investigado na Jordânia; segundo, o laudo pericial oficial russo (Forensic Expert Report nº 1269-17), que nomeia explicitamente "UFED Physical Analyzer e UFED 4PC" como ferramentas usadas e lista extrações de WhatsApp, Telegram e Viber com buscas direcionadas a conteúdo do movimento opositor "Rússia Aberta".
Do ponto de vista forense, o achado ilustra como artefatos de pareamento USB no próprio dispositivo podem funcionar como evidência de que ferramenta de extração foi usada contra ele, mesmo sem acesso ao equipamento da parte contrária — técnica de atribuição que outros pesquisadores podem replicar em casos de abuso de ferramentas forenses contra jornalistas e ativistas. Do ponto de vista de governança da indústria, o caso demonstra que anúncios de corte de vendas não desativam hardware e licenças já entregues: o equipamento russo continuou funcionando offline mesmo depois do embargo, levantando questões sobre a real eficácia de sanções e códigos de conduta que fabricantes de ferramentas forenses (Cellebrite, Grayshift/Magnet, MSAB) adotam voluntariamente sem mecanismo técnico de revogação remota.
Para a comunidade de DFIR, o episódio reforça por que a cadeia de custódia e a autenticidade de laudos periciais em jurisdições sem supervisão judicial independente merecem ceticismo — o próprio laudo russo, ironicamente, foi a peça que permitiu a atribuição, ao documentar detalhadamente ferramenta e artefatos extraídos.