En el mundo de la vigilancia digital, los compromisos corporativos sobre quién puede y quién no puede acceder a determinadas herramientas a veces no tienen la solidez que las declaraciones públicas sugieren. Cellebrite, la empresa israelí conocida por sus dispositivos de extracción de datos de teléfonos móviles usados por fuerzas de seguridad de todo el mundo, anunció hace tiempo que había cortado el acceso de Rusia a sus herramientas, en respuesta a la invasión a Ucrania. TechCrunch reveló esta semana que ese corte no fue tan efectivo como se anunció: Rusia siguió usando las herramientas de Cellebrite.

El caso ilustra una tensión fundamental en el mercado de tecnología de seguridad y vigilancia: las empresas que fabrican estas herramientas tienen limitada capacidad de controlar su uso una vez que están en el campo. Los dispositivos ya desplegados, las licencias ya vendidas y las copias de software en sistemas de clientes son difíciles de revocar en la práctica, incluso cuando la intención de hacerlo es genuina.

El ecosistema de herramientas de extracción forense

Cellebrite es la empresa más conocida del nicho de extracción forense digital, pero no es la única. Compite con empresas como Grayshift (creadora de GrayKey) y MSAB, todas las cuales venden herramientas que permiten a investigadores y fuerzas de seguridad extraer datos de teléfonos bloqueados o cifrados.

El mercado de estas herramientas ha crecido significativamente con la explosión de los smartphones como repositorios centrales de la vida digital de las personas. Desde comunicaciones hasta fotos, ubicaciones e historial financiero, un teléfono moderno contiene más información personal que cualquier archivo físico de la historia. Las herramientas de extracción forense son, en ese contexto, llaves maestras con implicaciones enormes para la privacidad.

Las implicaciones para la privacidad y la seguridad digital

El caso de Cellebrite y Rusia pone en evidencia algo que los expertos en privacidad digital llevan años señalando: la existencia de vulnerabilidades explotables en los sistemas operativos de los smartphones es un riesgo sistémico. Cuando una empresa como Cellebrite desarrolla capacidades de extracción, lo hace explotando vulnerabilidades que los fabricantes de sistemas operativos todavía no parchearon. Esas mismas vulnerabilidades pueden ser explotadas por actores maliciosos.

Para los usuarios comunes, el mensaje es claro: mantener los sistemas operativos actualizados es la primera línea de defensa. La mayoría de las vulnerabilidades que herramientas como las de Cellebrite explotan son conocidas y parcheadas en versiones recientes de iOS y Android. Un teléfono sin actualizar es significativamente más vulnerable.

El rol de los passkeys y la autenticación moderna

Esta semana también circuló otra noticia relacionada: un sitio web lanzado para nombrar y avergonzar públicamente a empresas que todavía no ofrecen passkeys a sus usuarios. Los passkeys, basados en estándares criptográficos de clave pública, son significativamente más seguros que las contraseñas tradicionales y más difíciles de comprometer incluso con herramientas de extracción forense avanzadas.

La adopción de autenticación moderna —passkeys, llaves de seguridad física, autenticación biométrica vinculada a hardware— es una de las decisiones de seguridad más impactantes que una organización puede tomar en este momento.

Conclusión

El caso Cellebrite-Rusia es un recordatorio de que los compromisos corporativos sobre control de exportaciones tecnológicas tienen límites reales. Para las organizaciones que manejan información sensible, la lección es práctica: no asumir que la seguridad de sus datos depende de las buenas intenciones de terceros. Depende de las medidas técnicas que implementen ellas mismas.

¿Tu empresa tiene buenas prácticas de seguridad en sus sistemas web? En Octopus Agencia Digital desarrollamos y mantenemos sitios WordPress con foco en seguridad: actualizaciones regulares, backups automatizados, configuraciones de acceso seguras y monitoreo de actividad sospechosa. Hablemos sobre el mantenimiento de tu sitio.