Il cutoff di Cellebrite non ha fermato l’uso in custodia
Il punto non è un nuovo exploit. È che un taglio commerciale del vendor non basta a spegnere un UFED già finito in mano alle autorità: una volta sequestrato il telefono, l’analisi può continuare offline e il controllo del vendor smette di contare. La lettura standard, “abbiamo interrotto la fornitura”, manca proprio questo passaggio: il rischio si sposta sul dispositivo già in custodia, non sulla rete della vittima.
Citizen Lab ha ora collegato l’estrazione del giugno 2021 al Cellebrite UFED con due elementi che raramente coincidono: tracce sul telefono e un report russo che nomina UFED Physical Analyzer e UFED 4PC. Le prove riguardano l’iPhone 12 sequestrato all’attivista Andrey Pivovarov e mostrano ricerche su contatti politici e organizzazioni dell’opposizione; il MacBook risulta invece bloccato dalla cifratura e senza password.
Per chi tratta cut-off del vendor come controllo sul riuso downstream, il messaggio è scomodo: la revoca commerciale non disabilita automaticamente strumenti forensi già installati e ancora operativi su dispositivi sequestrati. In questo tipo di casi, la fiducia nel cutoff finisce dove comincia la custodia del device.