PUBLICADO EM 30 DE JUNHO DE 2025
Adotado pela SSP-SE em 2017, o UFED desbloqueia e extrai até dados deletados de celulares e outros aparelhos digitais, alcançando fama e condenações internacionais por uso na perseguição a jornalistas, opositores políticos e ativistas em países como Rússia, Mianmar, Uganda e Venezuela. Esta reportagem é a primeira da série Quem controla os seus dados? produzida pela Mangue Jornalismo.
“Não há restrição para uso do UFED. Desse modo, o software estaria apto para utilização para todos os tipos de investigações”. Foi este o retorno que a Mangue Jornalismo recebeu do diretor do Insituto de Criminalística de Sergipe, Paulo Roberto da Costa Cardoso, a uma solicitação via Lei de Acesso à Informação (LAI) pedindo a relação dos tipos de investigações nos quais as forças de segurança sergipanas estão autorizadas a utilizar o UFED (sigla para Universal Forensics Extraction Device). A ferramenta é um software de intrusão a aparelhos digitais como celulares, computadores e tablets.
Fabricado pela empresa israelense Cellebrite, o UFED atua em um limbo da legislação brasileira, já que o país não possui normas específicas que regulem o uso de softwares de intrusão, como explicou em entrevista à Mangue a diretora e secretária geral do Instituto de Pesquisa em Direito e Tecnologia do Recife (IP.rec), Mariana Canto. “Não há, até o momento, uma Lei Geral de Proteção de Dados [LGPD] com enfoque penal que assegure os direitos fundamentais em contextos de segurança pública e investigação criminal”, esclareceu.
A LGPD garante a proteção dos “direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural”. Contudo, o artigo 4° do texto dessa lei, sancionada em 2018 pelo então presidente Michel Temer (MDB), enumera os casos nos quais essa proteção não se aplica, dentre eles a segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais.
“Essa lacuna normativa contribui para um cenário de incerteza jurídica e fragilidade institucional no uso dessas tecnologias”, resumiu Canto, cujo doutorado pela Universidade de Stirling, no Reino Unido, foca na intersecção entre Direitos Humanos, democracia e advocacy na era digital.
Apesar dessa falta de regramento específico e robusto sobre a questão, o coordenador do Grupo de Trabalho em Vigilância do Laboratório de Políticas Públicas e Internet (Lapin), Pedro Carvalho, observa que existem leis que tangenciam a proteção de dados também em casos de segurança pública. “Existe a parte [da LGPD], por exemplo, que [determina que] os dados utilizados para essas atividades não podem ser utilizados pelo setor privado, por empresas”.
Contudo, em um cenário como o brasileiro, no qual a discussão pública sobre proteção de dados e segurança da informação é incipiente diante da ameaça à privacidade que o uso de tecnologias de intrusão representam, a questão se soma ao abuso de poder recorrente nas atividades de agentes de segurança.
Risco de exposição de dados dos cidadãos
Na prática, o que se tem no Brasil é a possibilidade real de exposição de dados muito sensíveis de cidadãos cujos aparelhos digitais sejam apreendidos por forças de segurança. “O que acontece hoje se tiver um incidente nessas bases de dados e esses dados fluírem por aí? Não existe esse dever de notificação”, lembrou Pedro Carvalho em conversa com a reportagem.
O poder de extração do UFED, que só pode ser usado tendo o aparelho digital em mãos, inclui não apenas os dados armazenados na memória do dispositivo, como também aqueles enviados ou recebidos via aplicativos de mensagens instalados no aparelho. Essa capacidade amplia os possíveis danos de intrusão para terceiros, como indivíduos que tenham contatado o dono do dispositivo periciado.
No caso de Sergipe, há agravantes como o déficit de treinamento dos peritos. Segundo o relatório Perícia e Direitos Humanos: recomendações para o aperfeiçoamento da Perícia Criminal, publicado em 2024 pelo Instituto Vladimir Herzog (IVH) e a Fundação Friedrich Ebert Brasil (FES Brasil), Sergipe tem a terceira menor carga horário de formação para peritos criminais, com apenas 240h. O estado só não está pior neste quesito do que o Rio Grande do Norte (180h) e o Mato Grosso (200h). Em primeiro lugar absoluto em carga horária está o Paraná (1272h), seguido da Paraíba (860h) e do Amazonas (858h).
Insistentemente contatada pela reportagem, a Secretaria de Segurança Pública de Sergipe (SSP-SE), responsável pelo instituto de criminalística estadual, deu alguns esclarecimentos em meio a um tom geral que mais lembrava o serviço de relações públicas da Cellebrite. Definindo o UFED como “ferramenta tecnológica essencial para a produção de provas periciais em investigações criminais”, o órgão afirmou que “todos os desbloqueios e extrações são realizados mediante autorização judicial, do usuário ou de familiares, nos casos em que a legislação e jurisprudência nacionais assim o permitem”.
Ainda segundo a secretaria, o Instituto de Criminalística de Sergipe possui 13 peritos habilitados, sendo 11 atuantes na Seção de Computação Forense. “Além de passarem por treinamento da fabricante do produto, [os peritos] mantêm contato direto com a Polícia Federal, com o objetivo de trocar conhecimentos e experiências acerca das análises que são realizadas”, consta na nota enviada à Mangue, que pode ser lida na íntegra aqui.
A resposta também menciona o armazenamento dos dados extraídos em storage do próprio Instituto de Criminalística por no mínimo três anos e seu compartilhamento com outros órgãos “exclusivamente mediante ordem judicial ou requisição da autoridade policial, pautadas em previsão legal ou jurisprudencial que o autorize”.
Indagado sobre quais documentos orientam a conduta dos peritos na utilização do UFED, o diretor do Insituto de Criminalística de Sergipe respondeu, via LAI, que “a Polícia Científica de Sergipe utiliza como guia e orientação o POP (Procedimento Operacional Padrão) da SENASP [Secretaria Nacional de Segurança Pública]”.
Dividido em volumes, cuja versão mais recente é de 2024, o documento supracitado que aborda os procedimentos para informática forense define que apenas “peritos criminais com conhecimento específico para esse propósito” podem fazer os exames. Mas semuma norma nacional sobre capacitação de profissionais em perícia forense digital, inexistem garantias de que outros trabalhadores da segurança pública, como policiais militares, não estejam usando a ferramenta.
A aquisição pela SSP-SE do modelo UFED Touch2 que, segundo a fabricante, “permite recursos abrangentes de extração em qualquer lugar, seja no laboratório, em um local remoto ou em campo”, suscita dúvidas sobre se não haveriam abusos sendo cometidos na extração de dados em blitzes e outras operações móveis. Questionada sobre a utilização da ferramenta nessas circunstâncias, a SSP-SE negou, explicando que “o equipamento é uma ferramenta de uso exclusivo do Instituto de Criminalística e é empregado em ambiente laboratorial controlado, dentro das instalações periciais”.
No capítulo sobre a autonomia da perícia criminal no Brasil, o relatório do IVH e FES Brasil ressalta que a estrutura de subordinação dessa área no país não colabora para a solução de crimes, pelo contrário. Das 27 unidades federativas brasileiras (26 estados e o Distrito Federal), em 19 as atividades de perícia criminal respondem às secretarias de segurança pública estaduais – caso de Sergipe – e nos oito restantes os peritos respondem à Polícia Civil em algum nível.
Essa falta de independência operacional dos institutos estaduais de criminalística e dos de medicina legal somada ao fato de que a Polícia Civil e as SSPs são cobradas pela sociedade para apontar culpados de crimes gera, segundo o documento, situações nas quais o perito é coagido no exercício de sua atividade.
Além disso, nos casos em que um agente de segurança do Estado é o suspeito de cometer o crime, a exemplo do chamado excesso do uso de violência policial, a perícia estaria repassando o laudo à parte acusada da ação criminosa (no caso, Polícia Civil e SSPs), o que pode comprometer a conclusão da investigação e suas consequências.
Falta de transparência na compra
No ano passado, o IP.rec publicou uma nota técnicaapresentando extenso levantamento sobre as questões legais no cenário brasileiro que decorrem do uso de ferramentas de intrusão digital. Uma das constatações do documento foi a dificuldade em obter informações sobre as aquisições feitas por órgãos públicos, ainda que a LAI, em vigor desde 2012, determine sua publicização.
A reportagem apurou que o UFED foi mencionado pela primeira vez no Diário Oficial do Estado de Sergipe em outubro de 2017. Naquele ano, o secretário de segurança pública, João Eloy de Menezes – que continua no cargo – homologou com inexigibilidade de licitação a compra por R$ 189,8 mil do modelo UFED Touch2 e do softwate de armazenamento em nuvem UFED Cloud Analyzer, também da Cellebrite. O contrato foi assinado com a TechBiz Forense Digital, representante exclusiva da Cellebrite no Brasil.
Desde a primeira aquisição pelo Governo de Sergipe, a renovação da licença de uso do software israelense foi feita duas vezes: uma em maio de 2021 por R$ 205,2 mil “para reaparelhar a seção de Computação Forense do Instituto de Criminalística de Sergipe”, e outra em dezembro de 2023 a um custo de R$ 658,7 mil. Em ambas as ocasiões a vigência da licença foi definida em três anos, ou seja, há uma licença ainda em vigor e com fim previsto para dezembro de 2026.
Já em agosto do ano passado, o governo do estado comemorava a aquisição do Celebrite Premium, definido pelo site oficial da empresa como “uma solução abrangente para acessar dispositivos iOS e Android de última geração”.
Em postagem conjunta nos perfis do Instagram da Polícia Científica de Sergipe e do Instituto de Criminalística de Sergipe em 21 de agosto de 2024, um perito afirma que metade de um repasse de R$ 3 milhões feito pelo Fundo Nacional de Segurança Pública (FNSP) ao Fundo Estadual de Segurança Pública (FUNESP) de Sergipe foi destinado à aquisição do Cellebrite Premium.
Sobre está última compra, a reportagem não conseguiu localizar no Diário Oficial de Sergipe, no Portal ComprasNet.SE ou na aba de transparência da SSP-SE qualquer menção.
SSP-SE não sabe quantas vezes usou o UFED
A Mangue Jornalismo solicitou o número total de vezes em que o UFED foi utilizado em perícias no estado desde sua aquisição, em outubro de 2017. O Instituto de Criminalística de Sergipe informou que “a ferramenta Cellebrite, quando da consulta por equipamentos extraídos, trouxe apenas resultados de 05/04/2024 para frente. Portanto, resta parcialmente prejudicada a resposta a essa pergunta”. Nem mesmo a autoridade responsável pelo uso do software israelense em Sergipe sabe quantas vezes o utilizou.
O instituto encaminhou uma planilha onde constam 577 operações de desbloqueio e/ou extração por meio do UFED realizadas somente entre os dias 05 de maio de 2024 e 09 de abril de 2025. Nesse período, janeiro de 2025 foi o mês no qual a ferramenta foi mais utilizada: 116 vezes.
Das 577 operações, 403 se trataram de extração de dados de dispositivos digitais, sendo 135 combinadas com o desbloqueio dos aparelhos. A planilha não informa quais os tipos de dispositivos periciados nem o contexto das investigações.
A discussão acerca de garantias legais de proteção de dados digitais no Brasil é entremeada por alguns avanços e longas estagnações. Somente em fevereiro de 2022 o tópico foi incorporado à Constituição como direito fundamental, por força da Emenda Constitucional nº 115. A decisão veio quase um ano e meio depois da já citada LGPD entrar em vigor, alçando o Brasil a exemplo internacional de regulamentação em proteção de dados.
Àquela altura, a nova lei criava também as bases para o nascimento da Autoridade Nacional de Proteção de Dados (ANPD), que é vinculada ao Ministério da Justiça e fiscaliza o cumprimento da LGPD. Transformada em autarquia no ano de 2022, a ANPD, assim como sua “lei-mãe”, não inclui questões ligadas à esfera penal, pois é necessária uma legislação específica para tal.
A chamada LGPD Penal teve um anteprojeto elaborado por uma comissão de juristas especialmente montada para rascunhar a proposta. Ela foi apresentada em novembro de 2020 para Rodrigo Maia (PSDB), então presidente da Câmara dos Deputados, mas não houve avanços reais sobre a questão desde então.
Contudo, ainda que este ponto estivesse resolvido, o desafio de fazer valer a norma seria enorme. Em vídeo publicado na primeira semana de janeiro pela Associação Brasileira das Empresas de Software (ABES), a gerente de projetos da ANPD, Kátia Cardoso, afirmou que a autarquia tem hoje apenas “180 funcionários para cuidar dos dados de 200 milhões de brasileiros [segundo o IBGE, o Brasil atingiu 212,6 milhões em 2024], mais de 20 milhões de CNPJs”. Apesar de já ter alguns anos, a ANPD “não possui quadro de servidores próprio e ainda não realizou concurso público para provimento de cargos”, como consta na aba sobre servidores da autarquia no site do governo federal.
Para Mariana Canto, do IP.rec, o exemplo de outros países nos quais softwares de intrusão foram adotados sem que normas regulassem sua atuação são um alerta para o Brasil. Ela cita o uso do UFED nos Estados Unidos, onde “a ferramenta foi empregada em abordagens de rua, muitas vezes em infrações de menor gravidade, afetando de forma desproporcional pessoas negras e latinas, cujos dados foram extraídos e analisados sem salvaguardas adequadas”.
Após a posse de Donald Trump, em janeiro deste ano, pipocaram em veículos de língua inglesa como The Intercept, The Guardian, Wired e The Washigton Post recomendações sobre como proteger os dados no celular durante viagens para os Estados Unidos. O país é o principal aliado de Israel, e os dois trocam intensas informações estratégico-militares além, claro, do fluxo contínuo de tecnologia militar e de vigilância, que incluiu o UFED.
A lista de controversos usuários da ferramenta da Cellebrite inclui também os governos da Rússia de Vladimir Putin e da Venezuela de Nicolás Maduro, em ambos os casos para hackear dispositivos de opositores políticos, como reportou o jornalista Oded Yaron para o jornal israelense Haaretz.
Ministério Público de Sergipe também adquiriu a ferramenta
Pouco mais de três anos após a SSP-SE dar as boas-vindas ao mais famoso produto da Cellebrite, o Ministério Público Estadual de Sergipe (MPSE) também abraçou o uso do software israelense de intrusão.
Segundo dados no site do MPSE sobre os contratos firmados em 2021, foram gastos naquele ano R$ 242.370,92 em ferramentas UFED. O primeiro contrato, realizado em janeiro, teve como objetos as licenças de uso por 12 meses da plataforma eletrônica UFED 4PC (R$ 4.573,88) e o serviço de computação em nuvem UFED Cloud Analyzer (R$ 29.065,83 somados).
Já a segunda rodada de contratações, em dezembro de 2021 e com vigência de 36 meses, teve como objetos os serviços de atualização tecnológica para UFED 4PC (R$ 116.573,61) e UFED Cloud Analyzer (R$ 71.157,60), além de garantia para hardware (R$ 3.000,00) e software (R$ 18.000,00) UFED. Em todos os casos o processo de licitação por concorrência foi dispensado.
OUT. 2017
1ª CONTRATAÇÃO DO UFED
Secretaria de Segurança Pública de Sergipe (SSP-SE) contrata a ferramenta UFED, da Cellebrite.
AGO. 2018
LGPD É HOMOLOGADA
Presidente Michel Temer (MDB) homologa a Lei Geral de Proteção de Dados (Lei nº 13.709/2018).
NOV. 2020
APRESENTAÇÃO DA LGPD PENAL
Anteprojeto de LGPD Penal é apresentado a Rodrigo Maia (PSDB), então presidente da Câmara dos Deputados.
JAN. 2021
MPSE CONTRATA UFED
Ministério Público de Sergipe (MPSE) contrata a ferramenta UFED.
MAI. 2021
SSP-SE RENOVA LICENÇA UFED
Primeira renovação de licença de uso
do UFED pela SSP-SE, a um custo de
R$ 205,2 mil.DEZ. 2021
MPSE AMPLIA CONTRATAÇÃO
MPSE faz nova rodada de contratação de ferramentas da Cellebrite, incluindo o UFED.
DEZ. 2023
SSP-SE RENOVA PELA 2ª VEZ UFED
Segunda renovação de licença de uso do UFED pela SSP-SE, a um custo de R$ 658,7 mil.
Um estudo técnico preliminar de 2022 feito para embasar a inexigibilidade de licitação para aquisição do UFED pela Controladoria Geral da União (CGU) cita a Procuradoria Geral de Justiça do Estado de Sergipe, órgão executivo da administração do MPSE, como um dos exemplos no setor público brasileiro que adquiriram a ferramenta.
O MPSE foi contatado pela reportagem para esclarecer em quais casos utiliza o software, onde e por quanto tempo armazena os dados extraídos e se eles são compartilhados com outros órgãos. A Mangue Jornalismo também perguntou quantas vezes o equipamento foi utilizado para desbloquear e/ou acessar dados de dispositivos digitais no estado e por quais capacitações os responsáveis por operar o equipamento passaram. Não houve retorno até a publicação da reportagem. O texto será atualizado caso haja alguma reposta.
Herança da Copa de 2014
Segundo os doutores em Ciências Criminais (PUC-RS) David Leal e Yuri Feliz em artigo de 2020, “curiosamente, no Brasil, a Cellebriteé um dos legados da Copa do Mundo de 2014 no campo da segurança pública, momento em que se investiu em novas tecnologias”.
Além de softwares e produtos com hardware de desenvolvimento próprio, caso do UFED Touch2, a empresa israelense também oferece formações. “No ano de 2013, entre os dias 11 e 15 de novembro, no curso Consulta Cellebrite, oficiais brasileiros foram capacitados a utilizar as ferramentas do Cellebrite UFEDem aparelhos móveis durante as investigações. Desde então, a empresa tem se expandido nesse novo mercado de dados”, escreveram os pesquisadores. Essa expansão passa pelo mercado brasileiro.
Um dos vários escândalos do governo Bolsonaro envolveu a distribuição de licenças de uso de ferramentas da Cellebrite, dentre elas produtos de intrusão, para as polícias civis estaduais em troca do compartilhamento dos dados extraídos. A medida foi parte do Projeto Excel, organizado pela Secretaria de Operações Integradas (Seopi), órgão que estampou manchetes em 2020 por espionar cidadãos antifascistas, muitos deles professores e policiais.
Em junho do ano passado, a empresa realizou em um hotel do Recife o Cellebrite C2C Connect Brasil 2024, propagandeado como “o principal evento da Cellebrite no Brasil” e com foco “no setor de segurança pública”. Este ano, o evento foi rebatizado para Cellebrite C2C Live Brasil 2025 e ocorrerá em agosto em Florianópolis.
Em vídeo, Leonardo Kirino, funcionário do setor de vendas da empresa israelense entre junho de 2015 e dezembro de 2019, afirma que “a Cellebrite tem penetrado bastante no mercado privado […] O que antes era uma ferramenta exclusiva para forças de lei, hoje também é vendido para compliances, para o mercado privado”. A reportagem não conseguiu identificar se empresas privadas sergipanas adquiriram a ferramenta UFED.
Esta não é a primeira vez que a Mangue Jornalismo alerta sobre os laços entre a administração pública de Sergipe e empresas israelenses cujos produtos e serviços apresentam sérios problemas éticos. Em novembro de 2024, revelamos com exclusividade que o governo de Sergipe comprou quase R$ 3,7 milhões em carabinas fabricadas pela IWI, ex-estatal israelense fornecedora das forças armadas de Israele ligada a massacres de palestinos.
Apesar das reportagens mundo a fora sobre a estreita relação de diferentes empresas de vigilância e tecnologia militar israelenses com o governo daquele país, que testa as armas em palestinos de Gaza e nos territórios ocupados, o Brasil mantém relações com Israel.
Desde outubro de 2023, se intensificou a pressão sobre o Governo Lula para que corte laços devido aos massacres diários que Israel inflige aos palestinos em Gaza, no que configura genocídio, segundo distintas organizações internacionais. Informações divulgadas pelo canal árabe Al Jazeera com base em dados do Ministério de Saúde de Gaza estimam que, até 29 de junho, mais de 56,5 mil pessoas foram assassinadas no enclave, incluindo mais de 17,4 mil crianças.
Por e-mail, a Mangue Jornalismo perguntou à Cellebrite com quais tipos de clientes a empresa comercializa seus produtos, se as ferramentas UFED são auditáveis, se há como inserir ou alterar dados em dispositivos digitais usando esse software e se os dados extraídos ficam acessíveis para a empresa na nuvem. Especificamente sobre suas relações com Sergipe, indagamos sobre se foram organizadas capacitações para agentes de segurança do ou no estado. Não houve resposta até o fechamento da reportagem. O espaço permanece aberto.
Tecnovigilantismo em alta no menor estado brasileiro
No final de maio, Sergipe recebeu Ronaldo Caiado (União Brasil), governador do Estado de Goiás. O objetivo oficial era a participação em uma sessão especial na Assembleia Legislativa de Sergipe como palestrante no Seminário da Frente Parlamentar da Segurança Pública.
Entusiasta do tecnovigilantismo, Caiado compartilhou com os presentes suas práticas na gestão da segurança de Goiás, que incluem gastos milionários com tecnologias de reconhecimento facial mesmo em cidades sem saneamento básico, como revelado pelo The Intercept Brasil.
Na TV Atalaia, o apresentador e ex-deputado federal Fábio Henrique, filiado ao mesmo partido de Caiado, deixou o correligionário falar ao vivo por 25 minutos sem ser interrompido ou indagado. “Eu tenho uma boa ligação, uma excelente ligação com o governador Mitidieri, que tem feito uma gestão competente. Ao mesmo, tempo, aqui é um fato inédito, você tem uma segurança aqui [em Sergipe] no Nordeste que é uma exceção”, disse o goiano.
Do que depender do governador sergipano, Caiado continuará tendo no estado uma cópia rasurada de embaixador da proliferação de tecnologias de vigilância sem investimento real em inteligência de investigação e respeito à proteção dos dados dos cidadãos. A gestão do Governo Fábio Mitidieri (PSD) tem ampliado contratos com empresas de monitoramento e reconhecimento facial e chegou a dar sinal verde para o uso de drones com software de reconhecimento facial “em tempo real”.
O uso dos drones em festas públicas teve início mesmo depois do primeiro caso que veio a público em Sergipe de falso positivo na identificação por reconhecimento facial. Durante a edição de 2023 do Pré-Caju, em Aracaju, uma mulher foi por duas vezes constrangida pela polícia ao ser registrada como uma outra, que estava foragida.
Para Pedro Carvalho, do Lapin, “o caso de Sergipe mostra muito uma expansão dessas tecnologias que é nacional, que é uma questão de mercado. É uma lógica que não tem a ver tanto com garantia de segurança”. Reportagens recentes da Mangue evidenciam isso: policiais em Sergipe matam três vezes mais que a média nacional e o estado lidera no Nordeste em índice de estupros de crianças e adolescentes.
Recentemente, o secretário municipal de desenvolvimento econômico e inovação de Aracaju, Dilermando Júnior, representou a capital sergipana numa tour de autoridades municipais brasileiras por Israel organizada para expandir o lobby pró-sionista e apresentar aos brasileiros equipamentos militares de fabricação israelense.
Sem poder sair do país após o ataque autorizado por Netanyahu ao Irã e a resposta deste último com mísseis direcionados a Israel, o secretário só retornou a Aracaju no dia 21 de junho, quando declarou, ainda no aeroporto da capital, que “a luta foi grande, o desafio foi grande, mas sem arrependimento nenhum, pelo contrário”.
Uma resposta