Cellebrite, UFED e perícia forense em celulares: o que realmente pode ser extraído?
O conjunto de ferramentas forenses israelense usado pela polícia em todo o mundo — o que suas próprias matrizes de suporte vazadas dizem que ele pode e não pode fazer, por que a comparação entre BFU e AFU decide quase tudo e a única contramedida que supera todas as outras.
A Cellebrite é o kit de ferramentas de extração de dados de celulares mais amplamente utilizado pelas forças policiais. Quase tudo o que é publicado sobre ela é marketing do fornecedor ou especulação. Este material utiliza uma fonte melhor: as próprias matrizes de suporte internas da Cellebrite, vazadas três vezes entre abril de 2024 e outubro de 2025, nas quais a empresa informa a seus clientes exatamente onde suas ferramentas falham.
BFU vs AFU: a distinção que decide tudo
Quase toda discussão sobre perícia forense em celulares é, na prática, uma discussão sobre o estado do aparelho. Um dispositivo apreendido se enquadra em uma de três categorias, e a diferença entre elas é muito maior do que a maioria imagina:
🔒 BFU — Antes do Primeiro Desbloqueio
Não foi desbloqueado desde que foi ligado. As chaves de criptografia de disco completo não estão na memória. Os dados estão realmente criptografados. Este é o estado desejado.
🔓 AFU — Após o Primeiro Desbloqueio
O aparelho foi desbloqueado ao menos uma vez desde a inicialização e, em seguida, bloqueado novamente. As chaves residem na RAM. A maioria dos telefones apreendidos está nesse estado.
👁️ Desbloqueado
Um perito examina o aparelho diretamente. É o caso forense mais simples, e nenhuma contramedida de software ajuda.
Por isso "desligar o aparelho" não é um conselho popular, mas é o mais eficaz: um telefone desligado está em estado BFU. Sem chaves na memória, toda a classe de técnicas de recuperação em AFU simplesmente não se aplica. Isso também desativa o desbloqueio biométrico, o que nos EUA tem peso legal — tribunais têm se mostrado mais dispostos a exigir reconhecimento facial ou impressão digital do que uma senha, embora essa área do direito varie por jurisdição.
O que dizem as matrizes vazadas
A Cellebrite não divulga suas capacidades — três vazamentos fizeram isso por ela. Em abril de 2024 surgiram as matrizes de suporte para iOS e Android; uma matriz adicional apareceu em fevereiro de 2025. Em outubro de 2025, uma fonte usando o pseudônimo rogueFed participou de uma reunião privada no Microsoft Teams entre a Cellebrite e potenciais compradores do setor público, capturou a tela da Matriz de Suporte de Acesso ao Sistema Operacional Android e a publicou nos fóruns do GrapheneOS — episódio noticiado pela 404 Media.
| Alvo | BFU | AFU | Desbloqueado |
|---|---|---|---|
| Pixel 6/7/8/9 — Android puro | Algum acesso | Acesso | Acesso |
| Pixel 6a+ — GrapheneOS | Sem acesso | Sem acesso | Perda do suporte FFS (matriz out/2025) |
| Builds GrapheneOS anteriores a final de 2022 | Parcial | Parcial | Parcial |
| Força bruta de senha | Não suportado — não é possível obter controle total | ||
| Cópia de eSIM (Pixel) | Não suportado — lacuna real com a adoção de eSIM | ||
O Pixel 10 não aparece na lista vazada — a ausência não é evidência de proteção, apenas de um documento com data.
A empresa continuou em movimento: em 13 de agosto de 2026 a Cellebrite nomeou Shiven Ramji como CEO, sucedendo Thomas Hogan, e em 26 de agosto de 2026 lançou o C-TEK, um kit portátil de extração tática voltado às forças armadas.
Por que o GrapheneOS se apresenta de forma tão diferente?
Mesmo hardware, sistema operacional diferente, linha drasticamente distinta na própria tabela da Cellebrite. Os motivos não são glamorosos, mas generalizam bem:
- Velocidade de aplicação de patches — o GrapheneOS corrigiu a CVE-2024-53197, parte de uma cadeia de exploração ativa da Cellebrite, antes do projeto original.
- Proteção reforçada de USB — a maioria das extrações ocorre via USB, e o GrapheneOS restringe esse comportamento de forma mais agressiva quando bloqueado.
- Reinicialização automática — um temporizador configurável retorna o aparelho ao estado BFU após ociosidade.
- Redução da superfície de ataque — alocador de memória reforçado, isolamento mais rígido, menos caminhos de código expostos.
Contramedidas, classificadas honestamente
- Desligar o aparelho força o estado BFU, removendo as chaves da memória e desativando o desbloqueio biométrico. Gratuito, instantâneo e mais eficaz que tudo o que segue nesta lista.
- Senha longa, não PIN — como a força bruta não pode ser executada segundo as matrizes vazadas, o comprimento da senha é o que separa um disco criptografado de um descriptografado.
- Temporizadores de reinicialização automática — o GrapheneOS já vem com um; o iOS tem a reinicialização por inatividade. O Safeguard Mode da Cellebrite e o GrayKey Preserve da Magnet existem justamente para driblar isso.
- Firmware reforçado — GrapheneOS em Pixel recente é a configuração que a própria matriz da Cellebrite lista como inacessível; o Modo de Bloqueio do iOS reduz a superfície de ataque em dispositivos Apple.
- Ferramentas experimentais — projetos como o "lockup" (Android, código aberto) tentam detectar e burlar técnicas do UFED, mas o próprio autor os classifica como prova de conceito; trate como leitura, não como base de modelo de ameaça.
🛡️ Como se proteger — leitura corporativa e jurídica
- Verificação por canal secundário para solicitações sensíveis
- Treinamento contra phishing e engenharia social
- EDR/XDR com detecção baseada em comportamento
- Zero Trust e MFA obrigatório
- Monitoramento contínuo de threat intelligence
- Plano de resposta a incidentes testado
Perguntas frequentes
O que é Cellebrite?
É o kit de ferramentas de extração de dados de celulares mais usado por forças policiais no mundo, produzido por uma empresa israelense.
O que são BFU e AFU, e por que são mais importantes do que qualquer outra coisa?
BFU é o estado antes do primeiro desbloqueio, com as chaves fora da memória; AFU é o estado após o primeiro desbloqueio, com as chaves residentes na RAM e boa parte do sistema de arquivos acessível mesmo com a tela bloqueada.
O que as matrizes de suporte vazadas da Cellebrite realmente mostraram?
Amplo acesso a Pixels com Android padrão, nenhum acesso a Pixels bloqueados com GrapheneOS recente, e confirmação de que força bruta de senha e cópia de eSIM não são suportadas.
O GrapheneOS realmente impede a ação do Cellebrite?
As matrizes indicam resistência bem maior, mas nenhuma proteção é permanente — a capacidade dos fornecedores evolui a cada atualização.
Qual é a contramedida mais eficaz?
Desligar o aparelho, forçando o estado BFU e removendo as chaves de criptografia da memória.
O que é "lockup" e devo confiar nele?
É um aplicativo Android de código aberto que tenta detectar técnicas do UFED; o próprio autor o descreve como prova de conceito, não como proteção validada.
O Cellebrite é usado apenas pela polícia?
É voltado majoritariamente a forças policiais e órgãos de segurança pública, mas o mercado de perícia digital também inclui uso corporativo e de compliance.
É ilegal ler sobre esses assuntos?
Não. Compreender capacidades forenses publicamente documentadas é alfabetização em segurança digital e apoia tanto a defesa técnica quanto a atuação jurídica.
Centro de Pivô OSINT
Um seletor de entrada — todas as pesquisas relevantes de saída, preenchidas pré-fabricadas.
Pare de copiar e colar o mesmo valor entre ferramentas. Insira um e-mail, nome de usuário, telefone, domínio, IP ou nome uma única vez, e o hub o distribui para todas as 79 ferramentas Max Intel, abrindo cada uma relevante com o valor já preenchido, adicionando o dork de IA correspondente e sugerindo pivôs cruzados. Funciona inteiramente no navegador; nada é carregado.
Ferramentas e guias relacionados ao hub
- Dorks de IA
- Pesquisa reversa de e-mail
- Pesquisa de nome de usuário
- Domínio OSINT
- Registrador de evidências
- Guia de Segurança Operacional
🔎 Encontre uma pessoa
Busca de pessoas · e-mail reverso · telefone reverso · nome de usuário · mídias sociais · endereço/propriedade.
🌐 Investigue infraestrutura
Domínio OSINT · pesquisa/triagem de IP · scanner de violação de domínio · OSINT sem fio/RF · geolocalização · registros comerciais.
📚 Leia os guias
Referência de dorking do Google · guia OSINT para nomes de usuário · remover-se de sites de busca de pessoas · a OSINT é legal? · segurança operacional e atribuição gerenciada.
Perguntas frequentes sobre o hub
O que é o OSINT Pivot Hub?
Uma ferramenta gratuita baseada em navegador que recebe um único seletor — e-mail, nome de usuário, telefone, domínio, IP ou nome — e fornece links para todas as pesquisas relevantes do Max Intel já com o valor preenchido, além do dork de IA correspondente e de correspondências cruzadas sugeridas, eliminando a cópia e colagem manual entre ferramentas.
Meus dados são enviados para algum lugar?
Não. O hub funciona inteiramente no navegador e apenas monta links — nada é carregado, registrado ou armazenado, sem necessidade de cadastro. Clicar em um link de destino consulta o serviço de terceiros normalmente, como aconteceria usando a ferramenta diretamente.
O que é um pivô em uma investigação?
É a transição de uma informação para outra relacionada — de e-mails para contas, de nomes de usuário para plataformas, de domínio para infraestrutura. Boas investigações são uma cadeia de conexões verificadas; o hub agiliza a parte mecânica para que o investigador se concentre na tomada de decisão.
Comentários
Postar um comentário