Rusia hackea iPhone de activista con Cellebrite pese a promesas de la empresa

¿Qué ha ocurrido?

Un informe de Citizen Lab, publicado en junio de 2025, revela que una unidad del gobierno ruso logró acceder al iPhone de Andrey Pivovarov, un activista y político opositor detenido, utilizando una herramienta forense fabricada por la empresa israelí Cellebrite. El acceso ocurrió tres meses después de que Cellebrite anunciara públicamente, en marzo de 2022, que cesaba sus operaciones en Rusia debido a la invasión de Ucrania. La investigación se basa en pruebas forenses extraídas del dispositivo de Pivovarov y documentos judiciales rusos que confirman el uso del software de Cellebrite, específicamente la herramienta UFED (Universal Forensic Extraction Device). Según Citizen Lab, los datos robados incluyen mensajes, contactos y fotografías, que luego fueron utilizados en un juicio contra Pivovarov por cargos de “extremismo”. Este caso no es aislado: en 2023, Amnistía Internacional documentó el uso de herramientas de Cellebrite por parte de Bielorrusia, otro país bajo sanciones, para acceder a dispositivos de periodistas.

¿Por qué es importante?

Este incidente demuestra que las promesas corporativas de retirarse de mercados problemáticos no siempre se traducen en una interrupción real del uso de sus productos. A pesar de las sanciones internacionales y las declaraciones públicas, las herramientas de vigilancia pueden seguir siendo utilizadas por gobiernos autoritarios a través de varios mecanismos: distribuidores locales que actúan como intermediarios, licencias perpetuas que permiten el uso continuo de software ya adquirido, o versiones anteriores del producto que permanecen operativas. En el caso de Cellebrite, la empresa había declarado en 2022 que cesaba todas las ventas y soporte en Rusia, pero el informe de Citizen Lab sugiere que el software UFED utilizado era una versión anterior a la prohibición, lo que indica que el gobierno ruso ya poseía la herramienta y podía usarla sin necesidad de nuevas compras. Este fenómeno recuerda lo ocurrido con la empresa italiana Hacking Team, cuyas herramientas de espionaje fueron encontradas en manos de gobiernos autoritarios años después de que la empresa quebrara. Para los activistas y opositores políticos, este caso subraya que incluso después de que una empresa anuncie su retirada, los datos extraídos pueden ser utilizados para reprimir la disidencia, poniendo en riesgo no solo al objetivo principal sino también a sus contactos, familiares y colegas.

Consecuencias

Este incidente tendrá repercusiones en múltiples niveles. En primer lugar, podría acelerar el escrutinio regulatorio sobre las empresas de tecnología forense, especialmente en la Unión Europea y Estados Unidos, donde ya se debaten leyes como la Ley de Control de Exportaciones de Tecnología de Vigilancia. Organizaciones como Access Now y Privacy International han pedido que se prohíba la exportación de estas herramientas a países con historial de violaciones de derechos humanos. Además, el caso podría impulsar demandas de transparencia y rendición de cuentas, exigiendo a empresas como Cellebrite que implementen mecanismos de verificación post-venta y que informen sobre el uso de sus productos. Para los gobiernos democráticos, esto refuerza la necesidad de imponer sanciones más estrictas no solo contra las empresas, sino también contra los intermediarios y distribuidores que facilitan elusión de las restricciones. En el plano tecnológico, este caso podría llevar a Apple a reforzar la seguridad de sus dispositivos, por ejemplo, ampliando el modo bloqueo (Lockdown Mode) o mejorando la protección contra ataques forenses. Para los usuarios, especialmente activistas y periodistas, la lección es clara: incluso un iPhone con la última actualización puede ser vulnerable si un gobierno tiene acceso físico al dispositivo y herramientas especializadas. Se recomienda el uso de cifrado de extremo a extremo, aplicaciones de mensajería segura como Signal, y la eliminación periódica de datos sensibles.

¿Qué deben saber los lectores?

• Las herramientas de hacking como Cellebrite UFED pueden ser adquiridas por gobiernos autoritarios incluso después de que el fabricante anuncie su retirada, debido a licencias perpetuas o distribuidores locales.
• Las empresas de vigilancia deben implementar mecanismos efectivos para evitar el uso no autorizado de sus productos, como la desactivación remota de software o la verificación de cumplimiento de sanciones por parte de los compradores.
• Los activistas deben considerar que sus dispositivos pueden ser vulnerables si caen en manos de fuerzas de seguridad, y tomar precauciones adicionales como usar contraseñas complejas, habilitar el borrado automático tras varios intentos fallidos, y mantener copias de seguridad cifradas en servicios externos.
• Este caso se suma a otros similares, como el uso de herramientas de NSO Group (Pegasus) contra periodistas en México y Arabia Saudí, lo que demuestra un patrón de incumplimiento de promesas corporativas en la industria de la vigilancia.

"La brecha entre las promesas corporativas y la realidad sobre el terreno es enorme. Mientras las herramientas sigan circulando, los derechos humanos estarán en riesgo." — Citizen Lab