Las compras de Cellebrite en India exponen vacíos en las normas para registrar teléfonos incautados

Una compra de 4,98 crore de rupias con implicaciones más amplias para la privacidad

Una carta del Ministerio del Interior fechada el 20 de enero de 2026 deja constancia de que el ministro del Interior de la Unión, Amit Shah, aprobó que la Agencia Nacional de Investigación (NIA) eludiera los requisitos de contratación de Make in India y comprara Cellebrite Premium, una herramienta diseñada para desbloquear teléfonos y extraer su contenido. El contrato resultante se adjudicó a Nextechno Gen Private Limited por 4,97,99,515 rupias, es decir, unos 4,98 crore de rupias.

La compra forma parte de un patrón más amplio identificado por la Internet Freedom Foundation (IFF), una organización de derechos digitales. Su análisis de los registros de contratación encontró 15 menciones de productos Cellebrite en 11 licitaciones de 2026, que involucran a organismos centrales de investigación, autoridades militares y cuerpos policiales o departamentos forenses estatales.

Los registros describen capacidades avanzadas: recuperar contraseñas, intentar eludir códigos de acceso y copiar datos de dispositivos compatibles, incluido material almacenado en algunas carpetas protegidas. India cuenta con leyes sobre incautación, descifrado y pruebas electrónicas, pero no tiene una ley, norma o protocolo publicado específico que establezca el proceso completo para extraer datos forenses de teléfonos.

Para una persona cuyo dispositivo es incautado, las consecuencias pueden ir más allá de perder el acceso a llamadas o mensajes. Una copia forense puede conservar fotografías, conversaciones, registros de ubicación y datos de aplicaciones incluso después de que se devuelva el teléfono. Los registros de contratación analizados por la IFF no incluyen plazos de conservación, requisitos de eliminación ni protecciones específicas para periodistas, abogados y personas que no han sido acusadas de ningún delito.

El debate cobró mayor relevancia después de que el youtuber Dhruv Rathee afirmara que la Policía de Delhi intentó copiar su iPhone durante su detención en octubre de 2026. Su denuncia no ha sido verificada y la policía no ha respondido públicamente. Mientras tanto, los documentos de contratación detallan qué han solicitado comprar los organismos y el procedimiento administrativo utilizado para aprobarlo.

Qué aprobó el Ministerio

La carta del Ministerio del Interior lleva el número de expediente 80016/2026/ADMIN NIA-HQ. Emitida por su División de Modernización Policial, fue firmada por Vinod Kumar Dubey, comisionado adjunto de Adquisiciones, y dirigida al director general de la NIA. Hace referencia a una nota de la NIA fechada el 20 de agosto de 2025.

La carta deja constancia de la aprobación de una exención única de la Orden de Contratación Pública (Preferencia por Make in India) de 2017 y de su revisión del 19 de julio de 2024. Esas normas de contratación dan preferencia a la producción nacional. La exención permitió al organismo adquirir el producto extranjero especificado.

La propuesta aprobada contemplaba una herramienta Cellebrite Premium con una licencia de tres años y un costo propuesto de 4,98,15,000 rupias. La División de Finanzas Integradas del Ministerio dio su conformidad el 13 de enero de 2026, y la carta deja constancia de la aprobación ministerial el 17 de enero.

El valor final del contrato fue 15.485 rupias inferior al monto propuesto. Esa pequeña diferencia no altera la cuestión central: los registros explican la autorización para comprar la herramienta, mientras que las normas que controlan el acceso a la información personal que puede recuperar siguen siendo incompletas.

La licitación contiene datos contradictorios

La NIA publicó la licitación GEM/2026/B/7172473 el 6 de febrero de 2026. Participaron cinco licitantes y el contrato se adjudicó a Nextechno Gen Private Limited. La licitación nombra al ministro del Interior como autoridad que concede la exención de contratación.

Los documentos presentan dos discrepancias. La carta del Ministerio y las especificaciones técnicas describen una licencia de tres años, mientras que la licitación indica una suscripción de un año. Además, un certificado señala como fecha de aprobación el 13 de agosto de 2025, mientras que la carta ministerial registra la aprobación el 17 de enero de 2026.

Los registros de contratación descritos por la IFF no resuelven esas inconsistencias. La duración de la licencia es importante porque determina cuánto tiempo estará vigente el acceso adquirido y cuándo podría ser necesario realizar nuevos gastos.

Los documentos de la NIA afirman que ninguna otra empresa fabrica un software con el mismo nombre y las mismas especificaciones. No muestran una evaluación de si un producto indio podría cumplir la misma función. Comparar un producto específico con una alternativa que realice la tarea de investigación necesaria constituye un proceso de contratación distinto.

Cómo evolucionaron las compras

La Policía de Delhi ya disponía de herramientas Cellebrite al menos desde diciembre de 2020, incluidas UFED y Physical Analyzer en el Laboratorio Nacional de Informática Forense de Dwarka. Sus recursos forenses también incluían productos de otros proveedores.

Una orden del Ministerio del Interior fechada el 20 de marzo de 2025 aprobó una exención para 19 productos forenses extranjeros destinados a la División de Delitos de la Policía de Delhi. Tres eran productos de Cellebrite: UFED 4PC, Digital Collector e Inspector con MacBook Pro.

Los registros y los procesos judiciales abarcan varios años:

• 2019: La IFF presentó ante la Corte Suprema un recurso para impugnar el artículo 69 de la Ley de Tecnología de la Información y las normas y autorizaciones relacionadas con la interceptación.
• Diciembre de 2023: El Gobierno central informó a la Corte Suprema de que un comité prepararía directrices sobre registros e incautaciones de dispositivos digitales.
• 20 de marzo de 2025: El Ministerio del Interior autorizó la exención de contratación de la Policía de Delhi para tres productos Cellebrite.
• 20 de agosto de 2025: La NIA presentó la nota mencionada en la posterior carta de aprobación del Ministerio.
• Del 13 al 20 de enero de 2026: Se sucedieron la conformidad financiera, la aprobación ministerial y la carta del Ministerio.
• 6 de febrero de 2026: La NIA publicó su licitación para Cellebrite.
• 10 de octubre de 2026: Según su relato, Rathee fue detenido antes de una protesta prevista y le incautaron sus teléfonos.

Las licitaciones de 2026 van más allá de la NIA. Incluyen un contrato de la Oficina de Investigación de Fraudes Graves adjudicado a TNS Networking Solutions, compras o renovaciones en Karnataka e Himachal Pradesh y un servicio de gestión de instalaciones en Kerala que incluye extracción de datos de teléfonos móviles, cuya adjudicación se señala a Alibi Global. Las licitaciones del Departamento de Asuntos Militares buscaban lotes de desbloqueos de teléfonos.

El registro más amplio de la IFF contiene cerca de 100 licitaciones relacionadas con la vigilancia, publicadas desde julio de 2025. Otras 25 licitaciones se referían a extracción forense de teléfonos móviles sin mencionar marcas en la fase de licitación. Esas descripciones no permiten identificar por sí solas a los proveedores ni los productos que finalmente se eligieron.

Qué datos puede recuperar la extracción de teléfonos

Cellebrite es una empresa israelí de informática forense. Sus herramientas ayudan a los investigadores a acceder a dispositivos compatibles y recopilar información para su análisis. Las especificaciones de la NIA muestran que el acceso depende del modelo del teléfono, el software y su estado de seguridad.

Las especificaciones exigen el descifrado por fuerza bruta de códigos de acceso en los dispositivos Android enumerados y algunos iPhone antiguos. La fuerza bruta consiste en probar repetidamente posibles códigos de acceso hasta encontrar la combinación correcta, dentro de las capacidades de la herramienta y de las protecciones del dispositivo.

Para los modelos iPhone 11 a iPhone 14, las especificaciones solicitan una extracción completa del sistema de archivos, una vez que el dispositivo se haya desbloqueado al menos una vez desde el inicio. El estado de seguridad de un teléfono cambia después del primer desbloqueo satisfactorio, lo que puede afectar a la información a la que puede acceder el software forense.

Las capacidades solicitadas también abarcan espacios de almacenamiento protegidos, como Samsung Secure Folder, Huawei Private Space y Xiaomi Second Space, además de datos de aplicaciones específicas. Estas son las capacidades que solicita el comprador; que la extracción tenga éxito en un teléfono concreto depende de su configuración y del software compatible.

Una extracción completa del sistema de archivos puede recopilar chats, fotografías, contactos, registros de llamadas, historial de ubicaciones y datos de aplicaciones. Después, los investigadores pueden analizar esa copia por separado del teléfono. Por tanto, devolver el dispositivo deja pendiente otra cuestión práctica: ¿quién controla la información copiada y durante cuánto tiempo?

Por qué importan las incautaciones de octubre

Rathee dijo que la policía se llevó su teléfono y los de sus padres cuando fue detenido el 10 de octubre, antes de una protesta prevista en Jantar Mantar, en Delhi. La protesta pedía la dimisión del presidente de la Comisión Electoral y la policía había denegado el permiso.

Más tarde, Rathee describió sus sospechas en una entrevista en el pódcast del humorista Kunal Kamra. Dijo que especialistas examinaron el teléfono que le devolvieron y no encontraron programas espía, y que creía que un intento de extracción con Cellebrite había fracasado porque su versión de iOS era más reciente de lo que la herramienta podía manejar. También mencionó que el historial de batería del teléfono mostraba varias horas de carga mientras estaba bajo custodia policial.

La Fundación DIGIPUB News India documentó la detención de periodistas que cubrían la protesta, incluidos reporteros que habían mostrado sus credenciales de prensa. A algunos periodistas también les incautaron los teléfonos. El 12 de octubre, la IFF exigió que se devolvieran los dispositivos y se publicaran los registros de incautación.

Casi un mes después de las detenciones, algunos teléfonos seguían en poder de la policía, según el relato de la IFF, y sus propietarios no habían sido informados de qué se había hecho con ellos. El dispositivo de un periodista puede contener reportajes inéditos, conversaciones privadas e identidades de fuentes confidenciales. El teléfono de un familiar puede contener una gran cantidad de información personal sin relación con el motivo por el que fue detenida otra persona.

Qué cubren las leyes vigentes

La Bharatiya Nagarik Suraksha Sanhita (BNSS), la ley de procedimiento penal de India, otorga facultades relacionadas con registros e incautaciones. El artículo 106 se refiere a la incautación de bienes relacionados con un delito, mientras que el artículo 105 exige que los procesos de registro e incautación se documenten por medios audiovisuales.

Esas disposiciones regulan la toma de posesión de bienes y la documentación del proceso. No establecen un conjunto completo de condiciones para desbloquear un teléfono, elegir qué archivos copiar, limitar el acceso posterior o eliminar la información después del análisis.

El artículo 63 de la Bharatiya Sakshya Adhiniyam regula la certificación de registros electrónicos para su uso como pruebas ante los tribunales. La certificación se refiere al tratamiento y la presentación de pruebas electrónicas. Las normas que determinan qué pueden recopilar los investigadores desde el principio requieren una base jurídica y garantías propias.

El artículo 69 de la Ley de Tecnología de la Información otorga facultades para ordenar la interceptación, el monitoreo o el descifrado de información en un recurso informático. El marco exige una orden escrita de la autoridad competente, que por lo general es el secretario del Interior de la Unión o de un estado. La IFF afirma no tener conocimiento de ninguna orden de ese tipo relacionada con los teléfonos incautados durante las protestas de octubre.

El artículo 17(1)(c) de la Ley de Protección de Datos Personales Digitales establece una exención para el tratamiento de datos relacionado con la investigación de delitos. Esa exención hace que las normas de investigación penal sean especialmente importantes para quienes buscan límites al uso de su información.

Dos casos ante la Corte Suprema abordan las lagunas

La petición de la IFF, W.P. (C) 44/2019, impugna el artículo 69, las Normas de Interceptación de 2009 y la autorización del Ministerio del Interior para que 10 organismos centrales intercepten, monitoreen y descifren información. La petición sigue pendiente.

Otro proceso, presentado por la Fundación para Profesionales de los Medios, W.P. (Crl.) 395/2022, se refiere a registros e incautaciones de dispositivos digitales. En diciembre de 2023, el Gobierno central informó a la Corte Suprema de que un comité elaboraría directrices. Según la IFF, esas directrices no se han presentado ante la Corte. El relato no indica la fecha de la próxima audiencia ni un plazo para presentarlas.

La laguna práctica es especialmente marcada en el caso de teléfonos incautados durante una detención preventiva, cuando las autoridades retienen a alguien para evitar un incidente previsto. Es posible que ese teléfono no sea una prueba en una investigación penal y, aun así, se podría copiar su contenido sin un procedimiento publicado que explique el motivo, el alcance o la duración del acceso.

La IFF no encontró en los registros de contratación analizados requisitos sobre plazos de conservación, eliminación, auditorías o tratamiento especial del material perteneciente a periodistas, abogados o personas que no han sido acusadas de delitos. Una cadena de custodia documentada dejaría constancia de quién manipuló un dispositivo o una copia y cuándo, lo que ayudaría a los tribunales y a los propietarios a entender cómo se gestionó la información.

Casos internacionales muestran los riesgos del acceso

Amnistía Internacional documentó el uso de Cellebrite por parte de la policía serbia para desbloquear el teléfono de un periodista antes de instalarle un programa espía, así como la extracción de datos de dispositivos de activistas. El desbloqueo y la extracción dan a los investigadores acceso a información almacenada; los programas espía pueden permitir el acceso continuo una vez instalados.

The Citizen Lab documentó el uso de Cellebrite contra activistas en Jordania y en el teléfono del activista keniano Boniface Mwangi. Los investigadores también han descrito casos relacionados con periodistas o activistas en Rusia, Hong Kong, Botsuana y Bangladesh.

Cellebrite ha anunciado restricciones o la suspensión de ventas en Hong Kong y China, Rusia y Bielorrusia, así como a determinados clientes serbios. Los investigadores han documentado que el uso continuó después de algunos anuncios, incluso a través de revendedores o sistemas que funcionan sin conexión. Controlar las ventas futuras y controlar los equipos que ya están en circulación plantean problemas distintos de aplicación de las restricciones.

En India, la IFF está solicitando a la Policía de Delhi y al Ministerio del Interior documentos que incluyen actas de incautación, registros de estaciones de trabajo forenses, licencias de Cellebrite, registros de acceso, posibles órdenes en virtud del artículo 69, el expediente de contratación de la NIA y la nota de aprobación del ministro del Interior.

La organización también ha pedido que se informe si los teléfonos incautados durante las protestas se conectaron a herramientas de extracción, que se devuelvan los dispositivos que aún están retenidos y que se certifique la eliminación de los datos copiados pertenecientes a personas que no han sido acusadas de delitos. Quiere que se suspenda el uso de estas herramientas en teléfonos de personas detenidas preventivamente, periodistas y abogados hasta que existan normas vinculantes, y que las directrices prometidas se presenten ante la Corte Suprema.

Puntos clave

• La NIA adjudicó un contrato de Cellebrite por 4,97,99,515 rupias, tras obtener del Ministerio del Interior una exención de las normas de contratación de Make in India.
• La IFF identificó 15 menciones de Cellebrite en 11 licitaciones de 2026, además de 25 licitaciones de extracción de datos de teléfonos móviles que no mencionaban marcas.
• Los registros de la NIA contienen datos contradictorios sobre la duración de la licencia y las fechas de aprobación.
• La tecnología solicitada puede desbloquear teléfonos compatibles y copiar una gran cantidad de datos personales, incluidos algunos almacenados en aplicaciones protegidas.
• La denuncia de Rathee sobre un intento de extracción no ha sido verificada y la Policía de Delhi no ha respondido públicamente.
• Las leyes vigentes regulan la incautación, el descifrado y las pruebas electrónicas, pero siguen faltando normas públicas específicas sobre extracción, conservación y eliminación de datos.
• Dos procesos ante la Corte Suprema se refieren a facultades pertinentes y a registros de dispositivos; según la IFF, las directrices prometidas sobre registros e incautaciones no se han presentado ante la Corte.