Avvia una prova

Note operative Osservatorio

Cellebrite e la Russia: il contratto è stato rescisso, lo strumento no

5 min di lettura

Facciata di un edificio istituzionale in cemento, architettura brutalista, vista dal basso
Un fornitore può interrompere un contratto. Lo strumento già consegnato non lo sa.

Il 18 marzo 2021 Cellebrite, l’azienda israeliana che produce i sistemi UFED per l’estrazione forense dei dati dagli smartphone, annuncia di aver interrotto «con effetto immediato» le vendite a Russia e Bielorussia. La decisione segue un’inchiesta di Haaretz e la denuncia dell’avvocato per i diritti umani Eitay Mack: le autorità russe avevano usato la tecnologia dell’azienda oltre ventiseimila volte contro attivisti e minoranze. Tre mesi dopo quell’annuncio, il 17 giugno 2021, gli stessi strumenti — UFED Physical Analyzer e UFED 4PC — estraggono WhatsApp, Telegram e Viber dal telefono confiscato ad Andrey Pivovarov, allora direttore esecutivo dell’ong Open Russia, fermato mentre stava per imbarcarsi su un volo per Varsavia. Lo rivela, cinque anni dopo, un’analisi forense del Citizen Lab pubblicata il 25 giugno 2026 — confermata dagli stessi atti giudiziari russi depositati contro Pivovarov. Il fornitore aveva chiuso la porta. Lo strumento, già consegnato, ha continuato a funzionare.

I fatti, in ordine

  • 18 marzo 2021: Cellebrite annuncia lo stop alle vendite verso Russia e Bielorussia, dopo l’inchiesta di Haaretz sull’uso dei suoi strumenti contro oppositori e minoranze. Il CEO Yossi Carmil parla di un aggiornamento delle «politiche di conformità».
  • 31 maggio 2021: Pivovarov viene fatto scendere da un aereo diretto a Varsavia, all’aeroporto Pulkovo di San Pietroburgo. iPhone 12 e MacBook gli vengono confiscati senza che fornisca le password.
  • 17 giugno 2021: con il dispositivo in custodia, tracce forensi mostrano l’uso di UFED Physical Analyzer e UFED 4PC su WhatsApp, Telegram e Viber, con ricerche sul nome di Open Russia e altri esponenti dell’opposizione. Un documento della procura, agli atti del processo, conferma l’uso dello strumento.
  • 15 luglio 2022: un tribunale di Krasnodar condanna Pivovarov a quattro anni di carcere per aver diretto un’organizzazione ritenuta «indesiderabile». Amnesty International parla di repressione della libertà di espressione.
  • 1 agosto 2024: Pivovarov viene liberato in uno scambio di prigionieri tra Russia e paesi occidentali.
  • 25 giugno 2026: il Citizen Lab pubblica l’analisi forense del telefono, restituito a Pivovarov nel 2023, insieme a un caso analogo in Kenya, dove un dispositivo dell’attivista Boniface Mwangi risulta acceduto con lo stesso tipo di strumento dopo un arresto arbitrario.
  • La posizione di Cellebrite: «qualunque uso di hardware Cellebrite legacy in Russia dopo marzo 2021 è del tutto non autorizzato»; la Russia «resta permanentemente nella lista clienti con restrizioni». L’azienda sostiene che l’hardware datato sarebbe incompatibile con i dispositivi moderni e privo di supporto tecnico.
  • La replica del Citizen Lab: Cellebrite ha una storia documentata di vendite a governi noti per perseguitare attivisti; il laboratorio chiede una capacità di disattivazione remota e marcature crittografiche uniche per cliente su ogni dispositivo estratto.

Sulla data dello stop nessuno contesta: Cellebrite ha davvero tagliato la Russia nel marzo 2021. Il nodo è un altro: lo strumento, una volta consegnato, ha continuato a lavorare per anni senza che il fornitore potesse saperlo, verificarlo o impedirlo.

Lezione n. 1: un contratto rescisso non disattiva nulla, se lo strumento resta offline

Il punto tecnico è semplice e scomodo: gli apparati UFED già venduti funzionano senza connessione permanente al fornitore. Non serve un server centrale né una licenza da rinnovare online: la scatola lavora anche isolata, per anni. Cellebrite ha potuto smettere di vendere. Non ha potuto spegnere ciò che aveva già consegnato. Vale per molta tecnologia critica on-premise: un fornitore può revocare un contratto, ma se lo strumento gira in autonomia quella revoca resta amministrativa, non operativa. Prima di adottare sistemi destinati a contesti sensibili va chiesto come funziona lo spegnimento reale: una disattivazione remota verificabile, non una lista clienti aggiornata a intervalli. È la differenza tra un’architettura che resta sotto controllo e una che si limita a dichiararlo.

Lezione n. 2: il cliente finale è un rischio che si eredita, non si delega al fornitore

Cellebrite aveva — e ha ancora — una lista di clienti con restrizioni. Non ha impedito che hardware già in circolazione finisse usato in un procedimento politico. La due diligence sul cliente finale, per quanto rigorosa sulla carta, non copre il mercato secondario né gli apparati che restano operativi ben oltre la fine di un rapporto commerciale. Per chi acquista o distribuisce tecnologia capace di impatti sui diritti delle persone — riconoscimento, tracciamento, estrazione di dati — la lezione è che le garanzie del fornitore non esonerano chi adotta lo strumento dal proprio dovere di verifica: audit interni, tracciabilità di ogni impiego, valutazione d’impatto prima del deployment, specie in ambiti come la pubblica amministrazione o la difesa, dove l’uso tocca diritti fondamentali.

Lezione n. 3: la sovranità tecnologica si dimostra con marcature verificabili, non con comunicati

La richiesta del Citizen Lab a Cellebrite — marcature crittografiche uniche per cliente, disattivazione a distanza — è, in sostanza, una richiesta di governance incorporata nello strumento, non dichiarata dopo i fatti. Vale per qualunque sistema che tratti dati sensibili: il controllo non si dimostra con un comunicato, si dimostra con un registro verificabile — chi ha usato cosa, quando, su quale base. Un’infrastruttura dati e AI che non lascia questa traccia dal disegno in poi espone chi la adotta al problema di Cellebrite: rispondere, anni dopo, di un uso che non poteva vedere né impedire. La conformità che tiene comincia da lì, non dalla fiducia nella parola del fornitore.

Cosa fare

  1. Chiedete la prova tecnica, non la dichiarazione, di come un’interruzione contrattuale disattiva realmente uno strumento già installato presso terzi.
  2. Verificate la dipendenza dal fornitore: uno strumento che opera offline o air-gapped per anni non è governabile da una lista clienti aggiornata a posteriori.
  3. Tenete un registro interno di ogni deployment critico — chi lo usa, dove, su quali dati — indipendente e più stringente di quello del fornitore.
  4. Fate una valutazione d’impatto sui diritti prima di adottare strumenti di sorveglianza, estrazione dati o decisione automatizzata, non solo una due diligence commerciale.

Adottate tecnologia capace di impatti su dati sensibili o diritti delle persone e volete verificare cosa resta sotto il vostro controllo dopo la firma? Mezz’ora con un nostro esperto per una prima mappa di rischi e clausole.

Fonti