Uma série de dispositivos usados por autoridades e forças de segurança para desbloquear iPhones e smartphones Android apareceram à venda no eBay. O Dispositivo Universal de Extração Forense (UFED, na sigla em inglês) é fabricado pela empresa israelense Cellebrite de forma exclusiva para órgãos de investigação e defesa. Porém, várias unidades dele apareceram no marketplace e estão sendo vendidas a qualquer um por valores a partir de US$ 100.

Não se trata de uma expansão das atividades da Cellebrite para o cidadão comum, mas sim de uma atividade que não deveria acontecer e já está representando uma dor de cabeça para a empresa e alguns de seus clientes. De acordo com denúncia feita pela Forbes, os dispositivos estariam sendo vendidos por policiais americanos e, em alguns casos, conteriam até mesmo dados extraídos de celulares durante investigações passadas e que não foram adequadamente apagados da memória dos dispositivos.

O UFED se parece com um tablet, com tela touchscreen e portas para conexão de energia e dos aparelhos a serem desbloqueados. Ele seria capaz de extrair informações até mesmo de smartphones protegidos com senhas ou sistemas biométricos, além de acessar dados que tenham sido apagados da memória por seus usuários originais. Agora, tais ferramentas, consideradas as mais avançadas do mercado de segurança, estão disponíveis livremente e, logicamente, já devem ter caído em mãos erradas.

Anúncios do UFED em diferentes condições permanecem disponíveis no eBay, mesmo após denúncia na imprensa internacional (Imagem: Reprodução/Felipe Demartini)

Não se trata, de acordo com a reportagem, de casos isolados. Matthew Hickey, pesquisador da Hacker House, uma instituição de treinamento em segurança da informação, foi capaz de comprar 12 UFEDs por valores entre US$ 150 e US$ 1.000. Com eles, teve acesso a uma lista de aparelhos desbloqueados durante o histórico de uso do dispositivo e que tipo de dados foram acessados neles, bem como os IMEIs de cada um dos smartphones desbloqueados. Ele acredita que, se quisesse, também poderia acessar as informações em si, mas decidiu não fazer isso.

Em teoria, os aparelhos estariam sendo vendidos devido a seu caráter obsoleto, mas esse não é o procedimento correto para se livrar deles. De acordo com indicações da Cellebrite, as autoridades devem devolver os dispositivos à empresa na troca por novos, para que eles sejam destruídos. Alguns dos modelos à venda, entretanto, nem mesmo seriam tão antigos assim, sendo capazes de desbloquear até mesmo as versões mais recentes do Android e iPhones até o modelo X, rodando o iOS 11.

Além do vazamento das ferramentas de desbloqueio em si, o temor é que um trabalho de engenharia reversa permita localizar as brechas de segurança usadas pela Cellebrite para ter acesso aos dados. A companhia israelense trava uma batalha constante, principalmente com a Apple, não divulgando publicamente seus achados para que a empresa não possa corrigir as falhas e impedir o trabalho das autoridades.

to those of you wondering, yes, the Cellebrite Touch can run Doom pic.twitter.com/DRNN2VinGX — kim ? (@grufwub) 21 de fevereiro de 2019

Isso é evidenciado ainda mais pelo fato de, por ser um dispositivo exclusivamente voltado para autoridades, seus mecanismos de segurança interna não são dos mais apropriados. Alguns dos compradores de unidades do UFED, em nome da zoeira, foram capazes de rodar o clássico jogo de tiro Doom no dispositivo. Daí para a obtenção de chaves de acesso e segredos, entretanto, seria apenas um pulo.

Mesmo após a publicação da reportagem, anúncios de venda do UFED ainda permanecem no ar, com valores que vão de R$ 500 a R$ 12 mil, de acordo com a conversão feita pelo próprio eBay. Os mais caros são aqueles em que "apenas o reset de fábrica" foi realizado, indicando que, com as ferramentas adequadas, ainda seria possível extrair os dados de smartphones desbloqueados e histórico de utilização de sua memória.

O eBay não se pronunciou, mas possui termos de uso que proíbem a venda de materiais de uso exclusivo de forças de segurança, além de normas contra o "incentivo à atividade ilegal". A Cellebrite também não falou sobre o assunto.

Fonte: Forbes