Cellebrite en Rusia: hackeo 3 meses tras cortar ventas

Rusia usó Cellebrite para hackear el móvil de un activista tres meses después de que la empresa le cortara el acceso

Las autoridades rusas utilizaron la herramienta UFED de Cellebrite para extraer datos del iPhone del activista Andrey Pivovarov en junio de 2021, exactamente tres meses después de que la empresa israelí anunciara públicamente el cese inmediato de ventas a clientes gubernamentales rusos y bielorrusos en marzo de 2021. Este caso, documentado en un informe forense del Citizen Lab de la Universidad de Toronto, expone una vulnerabilidad crítica en la industria de tecnología de vigilancia: una vez vendido el hardware, las empresas tienen capacidad limitada para desactivarlo remotamente, incluso cuando existen informes creíbles de abuso de derechos humanos.

Para founders de startups de ciberseguridad y tecnología de uso dual, este precedente plantea preguntas incómodas sobre responsabilidad corporativa, mecanismos de control post-venta y el verdadero alcance de las políticas éticas cuando entran en conflicto con intereses comerciales establecidos.

¿Qué reveló exactamente el informe de Citizen Lab?

El Citizen Lab, grupo de investigación de derechos digitales con sede en la Universidad de Toronto, publicó evidencia forense que confirma que una unidad investigativa del gobierno ruso utilizó el dispositivo UFED (Universal Forensic Extraction Device) de Cellebrite para acceder al iPhone de Pivovarov, político opositor y activista de derechos humanos detenido en Rusia. Los investigadores identificaron rastros de la herramienta en el dispositivo alrededor del 17 de junio de 2021.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Según un documento judicial de la propia prosecution de Pivovarov, proporcionado a los investigadores, el Centro de Expertos Criminalistas de Rusia describió el uso del UFED para extraer mensajes de WhatsApp y Telegram, además de buscar términos políticos y nombres de figuras de oposición en el dispositivo. Cellebrite, que cotiza en el Nasdaq y mantiene una segunda sede en Virginia (Estados Unidos), no disputó que su herramienta fue utilizada.

David Gee, director de marketing de Cellebrite, declaró en un correo electrónico al Citizen Lab (compartido con TechCrunch) que la empresa "detuvo todas las ventas y servicios a la Federación Rusa en marzo de 2021, terminando las licencias existentes", y que "cualquier uso de hardware heredado de Cellebrite en Rusia después de marzo de 2021 es completamente no autorizado". Sin embargo, la empresa no ha anunciado cambios estructurales en sus mecanismos de control de exportaciones como respuesta a estos hallazgos.

¿Por qué Cellebrite no pudo desactivar el dispositivo?

Cellebrite ha declarado públicamente que, cuando corta lazos con un cliente, puede teóricamente desactivar un dispositivo para que no funcione o deje de recibir actualizaciones. En este caso específico, no lo logró. Esta limitación técnica revela un problema sistémico en la industria de tecnología de vigilancia: el hardware vendido previamente permanece funcional incluso después de que la empresa anuncie el fin de la relación comercial.

El patrón no es nuevo. Investigadores han documentado herramientas de Cellebrite utilizadas contra disidentes, activistas y periodistas en Hong Kong, Kenia y Jordania. La empresa ha cortado lazos con clientes en Bangladesh, Myanmar y, más recientemente a principios de 2026, con Serbia, debido a informes de uso indebido. Sin embargo, cada caso reabre el debate sobre si las empresas occidentales pueden realmente frenar el abuso de herramientas de vigilancia una vez que han sido vendidas, incluso después de anunciar públicamente el fin de los lazos comerciales.

Tras la invasión de Ucrania en 2022, muchas empresas tecnológicas occidentales (Microsoft, Google, Apple, Amazon, Intel) cortaron ventas o servicios a Rusia, incluyendo la terminación de licencias de software y servicios en la nube. El caso de Cellebrite demuestra que, para hardware físico con capacidades forenses, el corte de relaciones no equivale necesariamente al corte de capacidades operativas.

¿Qué proponen los expertos para prevenir futuros abusos?

John Scott-Railton, investigador senior del Citizen Lab, ha planteado soluciones técnicas concretas que las empresas de tecnología de vigilancia deberían implementar. Propone que Cellebrite y empresas similares deberían:

Desactivar remotamente sus despliegues después de recibir reportes creíbles de abuso de derechos humanos
Implementar marcas de agua criptográficamente firmadas en todos los dispositivos, creando un sistema de trazabilidad que permita identificar qué dispositivo específico se utilizó para extraer datos de un teléfono hackeado
Establecer dos capas de control que terminen con la era de la "negación plausible" que actualmente permite a las empresas distanciarse del uso indebido de sus herramientas

Access Now y Citizen Lab han enviado una carta formal a Cellebrite exigiendo respuestas e instando a la empresa a implementar "interruptores de apagado" técnicos y una diligencia debida robusta en materia de derechos humanos antes de autorizar futuras ventas. Hasta junio de 2026, la empresa no ha anunciado cambios estructurales en respuesta a estos llamados.

¿Qué significa esto para tu startup de tecnología?

Si fundas o diriges una startup que desarrolla tecnología con potencial de uso dual (herramientas que pueden servir tanto para aplicaciones legítimas como para vigilancia o control), este caso de Cellebrite ofrece lecciones críticas que van más allá del cumplimiento regulatorio básico.

La industria de forensia digital y ciberseguridad se encuentra en un punto de inflexión en 2026. El 7º Informe Anual de Tendencias de la Industria de Cellebrite, publicado este año, destaca cómo las agencias adaptan sus investigaciones digitales, pero también refleja la presión creciente sobre las empresas para demostrar responsabilidad ética verificable. Para founders, esto significa que la debida diligencia en derechos humanos ya no es opcional: es un requisito de mercado que inversores, clientes y reguladores están comenzando a exigir.

Acciones concretas que puedes implementar:

Audita tu cadena de valor y clientes potenciales antes de cerrar ventas. Implementa un proceso de due diligence que evalúe no solo la solvencia del cliente, sino también su historial de derechos humanos y el riesgo de uso indebido de tu tecnología. Documenta cada decisión de venta y establece cláusulas contractuales que permitan la terminación inmediata por abuso verificado.
Diseña mecanismos de control técnico desde el inicio del desarrollo. Si tu producto tiene capacidades que podrían usarse para vigilancia, extracción de datos o monitoreo, incorpora desde la arquitectura inicial la posibilidad de desactivación remota, logging forense de uso y trazabilidad criptográfica. Es más costoso agregar estas capacidades después del lanzamiento que construirlas desde el día uno.
Establece un comité de ética interno con poder de veto. Las decisiones de venta a gobiernos o clientes de alto riesgo no deben depender únicamente del equipo comercial. Crea un proceso de revisión que incluya perspectivas legales, éticas y de impacto social antes de autorizar ventas en mercados sensibles.

El contexto regulatorio global en 2026

La regulación de tecnología de vigilancia se ha endurecido significativamente desde 2022. La Unión Europea ha implementado controles de exportación más estrictos para tecnología de uso dual, y Estados Unidos ha ampliado las restricciones a ventas gubernamentales en países con historiales problemáticos de derechos humanos. Para startups hispanohablantes que operan en LATAM o España, esto significa que el acceso a mercados europeos y estadounidenses requiere demostrar estándares éticos verificables, no solo declaraciones de intenciones.

El caso de Cellebrite en Rusia sirve como precedente para futuras acciones regulatorias. Si una empresa cotizada en el Nasdaq no pudo prevenir el uso indebido de su tecnología después de anunciar públicamente el corte de relaciones, los reguladores podrían exigir mecanismos técnicos más robustos como condición para autorizar ventas futuras. Para founders, esto representa tanto un riesgo como una oportunidad: las startups que puedan demostrar controles éticos integrados técnicamente tendrán ventaja competitiva en licitaciones gubernamentales y contratos empresariales sensibles.

Conclusión

El hackeo del iPhone de Andrey Pivovarov con herramientas de Cellebrite tres meses después del anuncio de corte de ventas a Rusia no es solo un incidente aislado: es un síntoma de un problema estructural en la industria de tecnología de vigilancia. Para founders de startups de ciberseguridad, forensia digital y tecnología de uso dual, la lección es clara: las políticas éticas sin mecanismos técnicos de enforcement son insuficientes.

La responsabilidad corporativa en 2026 requiere más que comunicados de prensa anunciando el fin de relaciones comerciales. Exige arquitectura técnica que permita el control post-venta, procesos de due diligence rigurosos antes de cada transacción, y transparencia verificable sobre el uso de las herramientas. Las startups que integren estos principios desde el inicio no solo mitigarán riesgos reputacionales y legales, sino que construirán una ventaja competitiva sostenible en un mercado global cada vez más consciente del impacto ético de la tecnología.