Invasão a reunião da Cellebrite expõe limitações de desbloqueio em aparelhos Pixel com GrapheneOS

Uma videoconferência de vendas da Cellebrite, realizada em outubro de 2025 dentro do Microsoft Teams, foi inesperadamente acessada por um participante não convidado. O intruso, que utilizou o codinome rogueFed, registrou toda a sessão e divulgou capturas de tela em um fórum dedicado ao sistema operacional GrapheneOS. A ação tornou públicos detalhes técnicos sobre quais smartphones a empresa israelense consegue ou não desbloquear em investigações forenses.

Como a invasão ocorreu

A reunião, voltada a clientes em potencial, tinha caráter reservado. Apesar disso, o usuário anônimo conseguiu ingressar no espaço virtual sem recorrer a qualquer tipo de exploração de falha de software, segundo suas próprias declarações. Uma vez dentro da chamada, ele acompanhou a apresentação comercial, capturou imagens da tela e as liberou pouco depois na internet. Nos posts, afirmou: “Você pode entrar numa reunião do Teams com eles. Eles contam tudo. Ainda não conseguem extrair eSIM no Pixel. Pergunte qualquer coisa”.

Entre o material divulgado constam dois registros principais. O primeiro é uma grade de compatibilidade que lista a capacidade da Cellebrite de acessar dispositivos de diferentes fabricantes em cenários específicos. O segundo é a fotografia de um funcionário da empresa que conduzia a apresentação. A divulgação não envolveu violação de sistemas da própria Cellebrite; tratou-se, portanto, de um acesso não autorizado a um encontro virtual, mas sem hacking tradicional de infraestrutura.

O que os documentos vazados revelam

A matriz técnica exposta concentra-se nos modelos Google Pixel e estabelece distinções nítidas entre aparelhos com Android original e aqueles que executam o GrapheneOS. Segundo o quadro, a Cellebrite consegue extrair dados de um Pixel 9 rodando Android padrão quando o telefone está no estado BFU (Before First Unlock), fase que se inicia assim que o aparelho é ligado e dura até que a senha seja digitada pela primeira vez. No entanto, o mesmo Pixel 9, quando configurado com GrapheneOS, resiste ao método de desbloqueio apresentado.

O documento também indica que, independentemente do sistema operacional, a extração de informações do eSIM de aparelhos Pixel ainda não é possível com as ferramentas atuais da Cellebrite. A limitação vale tanto para Android padrão quanto para GrapheneOS.

BFU e AFU: estágio de segurança influencia a coleta de provas

No material vazado, dois estados do smartphone são destacados como determinantes para o sucesso de uma extração forense: BFU e AFU. Enquanto o dispositivo permanece em BFU, todas as chaves de criptografia de usuário permanecem a pleno nível de proteção e, de acordo com as informações divulgadas, nenhum dado pessoal está disponível na memória acessível. Nesse momento, o aparelho atinge seu ponto de maior resistência a tentativas externas de coleta de dados.

Depois que o usuário realiza o primeiro desbloqueio, o telefone entra no estado AFU (After First Unlock). A partir daí, algumas chaves criptográficas passam a residir na memória RAM para que o sistema opere normalmente. Esse simples fato técnico reduz a barreira diante de ferramentas de investigação forense, tornando a superfície de ataque mais ampla.

Especialistas em segurança digital sugerem que, diante da possibilidade de revista ou apreensão, reiniciar o telefone antes de entregá-lo pode aumentar substancialmente a proteção, pois força o retorno ao estado BFU. Essa prática, mencionada no próprio conteúdo vazado, reforça a relevância de entender as distinções entre os dois momentos do ciclo de inicialização.

Pronunciamento oficial da Cellebrite

Após a divulgação dos materiais, Victor Cooper, diretor sênior de comunicações corporativas da companhia, enviou nota afirmando que a Cellebrite não publica ou compartilha em canais abertos as especificidades de suas técnicas. Segundo o porta-voz, a empresa considera a descrição pública detalhada de suas capacidades um risco, pois poderia auxiliar eventuais alvos de investigações a desenvolver contramedidas.

Historicamente, a Cellebrite fornece suas soluções principalmente a órgãos governamentais e forças policiais que necessitam acessar dispositivos apreendidos mediante autorização judicial. O foco comercial declarado permanece o suporte a investigações criminais.

GrapheneOS: quem utiliza e por qual motivo

O GrapheneOS é um sistema operacional de código aberto baseado em Android, projetado para Google Pixel e reconhecido por implementações robustas de segurança. O projeto declara priorizar “substância em vez de branding”, propondo alterações profundas na arquitetura do sistema para reduzir superfícies de ataque.

Essa abordagem desperta interesse em diferentes perfis de usuários. Jornalistas, defensores de direitos humanos, advogados que lidam com processos sensíveis e profissionais de segurança adotam a plataforma como meio de proteger comunicações ou dados confidenciais. Ao mesmo tempo, a operação Anom, conduzida pelo FBI, mostrou que parte do submundo do crime também migra para sistemas com criptografia forte após perceber riscos de backdoors. Entrevistas de mercado clandestino, mencionadas nos mesmos fóruns que repercutiram o vazamento, indicam que vendedores de drogas e corretores de tecnologia ilícita passaram a preferir aparelhos Pixel equipados com GrapheneOS e mensageiros como Signal.

Uma peça de uma corrida armamentista digital

O episódio recente encaixa-se em um padrão repetido ao longo dos últimos anos. Empresas especializadas em extração forense, como Cellebrite e a concorrente Grayshift (incorporada pela Magnet Forensics), destinam recursos consideráveis à descoberta de novas vulnerabilidades em iOS e Android. Paralelamente, desenvolvedores desses sistemas móveis lançam ciclos rápidos de correções, fechando brechas assim que identificadas.

Dentro desse contexto, o vazamento de 2025 surge após uma série de incidentes semelhantes. Nos 18 meses anteriores, ocorreram outras divulgações envolvendo detalhes internos tanto da Cellebrite quanto da Grayshift. Em abril de 2024, por exemplo, materiais publicados indicaram que a Cellebrite não conseguia acessar iPhones rodando iOS 17.4 ou superior; toda a linha iPhone 15 aparecia fora do alcance, independentemente da versão do sistema. Já em dispositivos Android, as ferramentas da empresa continuavam obtendo êxito em ampla maioria dos casos, segundo a mesma documentação.

Impacto para investigações e para usuários

O vazamento acrescenta transparência involuntária ao debate sobre a eficácia de ferramentas de desbloqueio. Para investigadores, a constatação de que o GrapheneOS impede a extração em BFU no Pixel 9 sinaliza a necessidade de métodos alternativos ou de coleta de provas em outros pontos da cadeia digital. Já para usuários preocupados com privacidade, o episódio serve como confirmação de que implementações de segurança diferenciadas podem, na prática, criar obstáculos reais a processos forenses de alto nível.

Ao mesmo tempo, a impossibilidade atual de acessar dados de eSIM demonstra um ponto fraco das soluções da Cellebrite, que pode influenciar decisões de adoção de dispositivos por organizações que dependem de comunicações seguras. A empresa, por sua vez, tende a intensificar pesquisa e desenvolvimento para superar essas limitações, alimentando o ciclo de avanço e contenção observado na indústria.

Perspectivas imediatas

Sem revelar cronogramas ou estratégias, a Cellebrite reforça que partilha detalhes de capacidade apenas com clientes governamentais sob acordos de confidencialidade. A publicação não autorizada, portanto, quebra a prática habitual de sigilo. Ainda que a companhia não confirme pontos específicos, o material vazado oferece à comunidade de segurança – e aos próprios alvos potenciais de apreensão – um retrato inédito das fronteiras técnicas atuais.

Enquanto novas versões de Android, iOS e sistemas alternativos chegam ao mercado, cada atualização tende a reconfigurar o tabuleiro. Fabricantes fecham falhas, projetos independentes reforçam arquiteturas e empresas de forense buscam novos caminhos para leitura de dados. O incidente do Microsoft Teams ilustra, mais uma vez, que a disputa por acesso a informações digitais é constante, dinâmica e marcada por movimentos de exposição inesperados.