תחקיר חדש של ארגון סיטיזן לאב (Citizen Lab) חושף כי הרשויות ברוסיה עשו שימוש בטכנולוגיית הפריצה של חברת הסייבר הישראלית סלברייט (Cellebrite) כדי לחדור למכשיר טלפון של אנדריי פיווארוב, פעיל זכויות אדם בולט ומוכר ומתנגד משטר רוסי. הפריצה התרחשה ביוני 2021, כשלושה חודשים לאחר שסלברייט הודיעה באופן פומבי כי היא מפסיקה לאלתר את מכירותיה ומבטלת את החוזים שלה מול רשויות השלטון ברוסיה ובבלארוס. הפריצה, לפי התחקיר, אומתה על ידי מסמכים רשמיים של הרשויות ברוסיה, וכן באמצעות ניתוח פורנזי של המעבדה של סיטיזן לאב הפועלת מאוניברסיטת טורונטו ומתמחה בחקר נקודות ההשקה שבין אבטחת מידע וזכויות אדם. 

פיווארוב (Pivovarov) שימש כמנכ"ל ארגון "רוסיה הפתוחה" (Open Russia), אשר הוגדר על ידי הקרמלין כארגון "לא רצוי". הוא נעצר ב-31 במאי 2021 לאחר שהורד מטיסה בסנט פטרסבורג, והמכשירים שלו,ו בהם אייפון 12 ומחשב מק-בוק, הוחרמו על ידי רשויות הביטחון הרוסיות. למרות שפיווארוב סירב לספק לחוקרים את סיסמאותיו, דו"ח רשמי של משרד הפנים הרוסי אישר במפורש כי החוקרים השתמשו במערכות UFED 4PC ו-Physical Analyzer של סלברייט כדי לשאוב ולנתח מידע מקיף מהאייפון שלו בין אמצע יוני ליולי 2021. עם זאת, הרשויות כשלו בפריצה למחשב המקבוק שלו, שהיה מוגן באמצעות סיסמה חזקה והצפנה.

לפי סיטיזן לאב הרשויות הרוסיות שאבו נתונים רבים מאפליקציות תקשורת שונות, בהן וואטסאפ, טלגרם ו-ויבר. במסמכי החקירה הרשמיים תועד כי החוקרים השתמשו במערכות כדי לחפש מילות מפתח הקשורות לפעילות פוליטית, וכן שמות ספציפיים של אנשי אופוזיציה ופעילי זכויות אדם, כגון מייסד "רוסיה הפתוחה" מיכאיל חודורקובסקי, עורכת הדין אנסטסיה בורקובה ובת זוגו של פיווארוב.

על פי הדוח של סיטיזן לאב, המידע שהושג שימש בין היתר לבניית התיק הפלילי שהוביל להרשעתו של פיווארוב ולגזירת עונש של ארבע שנות מאסר, בגין פעילות בארגון לא רצוי, אישום הנתפס בעולם כרדיפה פוליטית חסרת בסיס. פיווארוב שוחרר לבסוף באוגוסט 2024 במסגרת עסקת חילופי שבויים בינלאומית. חוקרי סיטיזן לאב מעריכים כי המידע שהופק מהסלולרי עלול היה לסייע לרשויות הרוסיות לרדיפת יתר הפעילים ששמם עלה בהתכתבויות, שכן לדבריהם חלקם אף היוו יעד לתקיפות סייבר מאוחרות יותר מצד קבוצת האקרים (COLDRIVER) המקושרת למודיעין הרוסי (FSB).

המידע מהסלולרי שימש בין היתר לבניית התיק שהוביל להרשעתו של פיווארוב ולגזירת עונש של ארבע שנות מאסר, בגין פעילות בארגון לא רצוי, אישום הנתפס בעולם כרדיפה פוליטית. פיווארוב שוחרר לבסוף באוגוסט 2024 במסגרת עסקת חילופי שבויים

על פי הדוח של סיטיזן לאב, חשיפת הפריצה למכשירו של פיווארוב ממחישה את הסכנה הגלומה במכירת אמצעי ריגול ומעקב למשטרים טוטליטריים. כך, לפי סיטיזן לאב, למרות הודעת הביטול של סלברייט במרץ 2021, הארכיטקטורה של מוצרי החברה, ויכולת להפעילם ב"מצב לא מקוון" (Offline), אפשרו לרשויות ברוסיה להמשיך להשתמש בהם למטרות דיכוי פוליטי הרבה לאחר הניתוק הרשמי של מערכת היחסים בין החברה לרוסיה. לסלברייט, יצוין, היסטוריה של מכירת טכנולוגיות למדינות בעלות רקורד בעייתי של הפרת זכויות אדם, דוגמת מיאנמר, ונצואלה והפיליפינים. 

עורך הדין איתי מק, שהגיש בעבר שתי עתירות נגד סלברייט בשל עבודתה במדינות עם רקורד בעייתי, אמר לשומרים, כי לסבלרייט יש מערכת מאוד פופולרית שנמכרה במשך השנים ליותר ממאה מדינות. לדבריו, על החברה מוטלת האחריות לרישום כל המכשירים שלה וכן מעקב אחר נעשה בהם והיכן. במקרים שלא ברור לחברה מה קורה עם מכשיר שלה עליה, לפי מק, להשבית אותו. 

עו"ד מק אומר כי לסבלרייט יש מערכת מאוד פופולרית שנמכרה במשך השנים ליותר ממאה מדינות. לדבריו, על החברה מוטלת האחריות לרישום כל המכשירים שלה וכן מעקב אחר נעשה בהם והיכן

בעקבות החשיפה, ארגוני זכויות האדם Access Now וסיטיזן לאב קראו לסלברייט ולתעשייה כולה לאמץ אמצעי זהירות קפדניים יותר. לדבריהם, אחריותה של חברה אינה מסתיימת רק משום שלקוחותיה פועלים לפי "החוק המקומי", במיוחד כאשר מדובר בדיקטטורות. הארגונים דורשים מחברות סייבר להטמיע "מתג השבתה" (Killswitch) טכנולוגי שיאפשר להשבית מערכות באופן מיידי ומרחוק עם סיום חוזה. בנוסף, הם ממליצים לחייב שילוב של "סימן מים" (Watermark) פורנזי ייחודי בכל פריצה, שיאפשר זיהוי חד-משמעי של הטכנולוגיה ששימשה לחדירה למכשיר וימנע התחמקות מאחריות במקרים של הפרת זכויות אדם.

בתגובה לדוח העבירה סלברייט לסיטיזן לאב ולשאר כלי התקשורת שמפרסמים כעת את התחקיר את התגובה הבאה: "בלתי אפשרי להגיב לדו"ח העוסק בנו כאשר מסלברייט נשללה ההזדמנות לעיין בו טרם פרסומו. הטכנולוגיה של סלברייט מסופקת באופן בלעדי תחת רישיון ולשימושים המאושרים על פי חוק, ללא יוצא מן הכלל. 

"סלברייט עצרה את כל המכירות והשירותים לפדרציה הרוסית במרץ 2021, ביטלה את הרישיונות הקיימים, והחלה מיד בהתרת כל החוזים המשפטיים. כל שימוש בחומרה ישנה של סלברייט ברוסיה לאחר מרץ 2021 הוא בלתי מורשה לחלוטין. 

"חומרת סלברייט שנמכרה בעבר, לפני מרץ 2021, אינה תואמת כיום למכשירים מודרניים והפעלתה נעשית ללא התמיכה הטכנית שלנו, ללא הסכמתנו וללא כל אישור חוקי. 

"התקדמות טכנולוגית מהירה הופכת חומרה ותוכנה ישנות של זיהוי פלילי דיגיטלי לחסרות תועלת בתוך פרק זמן קצר. רוסיה נשארת לצמיתות ברשימת הלקוחות המוגבלים שלנו. כפי שאתם יודעים אנו לא מבצעים עסקאות עם מדינות הנתונות תחת סנקציות של ממשלות ארה"ב, האיחוד האירופי, בריטניה או ישראל, או כאלו שנמצאות ברשימה השחורה של כוח המשימה לפעולה פיננסית (FATF)".

בחברה ביקשו להוסיף, כי "סלברייט מספקת פתרונות חקירה דיגיטליים לאלפי גופי ביטחון הציבור, הגנה, מודיעין, אכיפת חוק ושותפים עסקיים ברחבי מדינות דמוקרטיות, תוך תמיכה בכמעט 3 מיליון חקירות המאושרות על פי חוק מדי שנה, ועוזרת להפוך את העולם לבטוח יותר. משימתנו היא הגנה על קהילות, אומות ועסקים. השימוש בטכנולוגיה שלנו למעקב אחר עיתונאים, פעילים או אופוזיציה פוליטית הוא הפרה ישירה של משימה זו; אנו דוחים בתוקף כל טענה לשימוש לרעה ופועלים באופן אקטיבי כדי למנוע את התרחשותו".