Oxygen Forensics: acusan a directivos de ocultar lazos rusos

El Departamento de Justicia de Estados Unidos (DOJ) ha detenido a dos altos cargos de Oxygen Forensics, una empresa de análisis forense digital y extracción de datos cuyo software compraron varias agencias federales. Según la Fiscalía, la compañía ocultó que estaba controlada por ciudadanos rusos y que su tecnología se desarrollaba en Rusia.

Oxygen vende herramientas que los investigadores utilizan para extraer y analizar datos de dispositivos móviles, servicios en la nube y drones. Compite directamente con Cellebrite. La policía y los servicios de inteligencia recurren habitualmente a este tipo de software para acceder a teléfonos. Según se ha publicado, la empresa tiene cerca de 10.000 contratos en más de 150 países.

Entre sus clientes figuraban el Departamento de Defensa (DOD) y el Departamento de Seguridad Nacional (DHS). Dentro del DHS, varios organismos utilizaban productos de Oxygen:

• el Servicio Secreto
• Homeland Security Investigations
• la Oficina del Inspector General
• el National Computer Forensics Institute (NCFI), un centro federal que forma a las fuerzas de seguridad en materia de pruebas digitales

Dos detenciones y 57 dominios incautados

El consejero delegado, Lee Reiber, de 55 años y vecino de Boise (Idaho), fue detenido el domingo y quedó en libertad bajo fianza. Ese mismo día, el director de tecnología, Oleg Sergeyevich Davydov, de 52 años y residente en Moscú, fue arrestado en Londres. Las autoridades estadounidenses tienen previsto solicitar su extradición.

Ambos están acusados de conspiración para cometer fraude electrónico, un delito castigado con hasta 20 años de prisión. El 20 de septiembre, las autoridades incautaron unos 57 dominios, además de infraestructura informática y cuentas bancarias de la empresa. La web de Oxygen ya no está operativa.

Una declaración jurada del DOJ describe lo que Reiber habría dicho a las agencias que se planteaban contratar con la empresa. Según el documento, aseguró que el software se había desarrollado en Estados Unidos, «cuando en realidad cinco ciudadanos rusos, entre ellos Davydov, eran propietarios de la empresa y la controlaban, y su software se desarrollaba en Rusia».

Oxygen tiene su sede oficial en Virginia. La Fiscalía sostiene que Davydov y otros cuatro rusos ocultaron su participación tras una sociedad de cartera en Chipre. Una empresa distinta de Davydov habría vendido el mismo software con otro nombre al Servicio Federal de Seguridad ruso (FSB), al Comité de Investigación de Rusia y al Ministerio del Interior ruso.

El DOJ ha precisado que no alega que el software se usara para acceder sin autorización a los datos o sistemas de los clientes. Tampoco ha encontrado pruebas de que contuviera código malicioso.

Las sanciones desencadenaron el encubrimiento

Según la Fiscalía, la trama comenzó después de que Rusia invadiera Ucrania y Estados Unidos impusiera nuevas sanciones. La empresa eliminó entonces los nombres de los propietarios rusos de su documentación societaria. Reiber pasó a ser consejero delegado, presidente y presidente del consejo de administración en marzo de 2022, poco antes de que se modificaran esos documentos.

De acuerdo con el DOJ, los propietarios rusos siguieron tomando decisiones importantes tras su nombramiento. Fijaban la remuneración de Reiber, anulaban sus decisiones sobre pagos y tenían firma autorizada en las cuentas bancarias de la compañía.

En noviembre de 2023, un periodista preguntó a Reiber por los vínculos con Rusia. La Fiscalía afirma que entonces escribió a Davydov que la atención mediática «podría echar por tierra toda esta oportunidad». Según la acusación, se refería a un contrato con el NCFI que estaba pendiente.

El NCFI firmó un acuerdo de cinco años con Oxygen en septiembre de 2024. El escrito señala que Reiber había certificado que la empresa no tenía ningún «propietario directo ni de nivel superior». Casi un año después, Oxygen habría certificado ante el DOD que «ninguna persona extranjera tenía capacidad para controlar el nombramiento de los consejeros o directivos de la empresa ni para dirigir sus demás decisiones o actividades». En 2026, Reiber habría asegurado a responsables del DHS que ningún ruso participaba en el desarrollo del software.

Las organizaciones de derechos digitales dicen que los vínculos no eran ningún secreto

Los defensores de los derechos digitales llevan años siguiendo de cerca a Oxygen. Aseguran que sus vínculos con Rusia eran un secreto a voces.

«Ninguna herramienta de vigilancia debería acercarse siquiera a una investigación estadounidense hasta que sepamos quién es su propietario, quién la desarrolla y a quién más se la vende», afirmó Natalia Krapiva, asesora jurídica sénior en tecnología de Access Now.

«El mismo software que se vendía a las fuerzas de seguridad estadounidenses lo utilizaba el FSB para extraer datos de los teléfonos de rusos contrarios a la guerra y convertirlos en cargos penales», añadió.

Nuestro análisis

Se trata de un caso de fraude, no de espionaje. El DOJ afirma que no ha encontrado ni código malicioso ni accesos no autorizados. Aun así, las acusaciones ponen de manifiesto una debilidad en los procesos de contratación. Todo indica que las agencias se fiaron en gran medida de las propias declaraciones del proveedor sobre su titularidad, incluso en el caso de herramientas que manejan algunas de las pruebas más sensibles que recogen los investigadores.

El software forense necesita un acceso profundo a los dispositivos incautados. Eso hace pensar que quién es el propietario y dónde se desarrolla la herramienta deberían importar aunque no se encuentre ninguna puerta trasera. El caso se enmarca en un debate más amplio sobre las cadenas de suministro de software y el control extranjero de los proveedores.

Hay varias cuestiones a las que conviene prestar atención. Una es si Davydov será extraditado desde el Reino Unido. Otra, si las agencias empiezan a examinar con más detalle quién está detrás de otros proveedores de software forense. También queda por ver qué pasará con los casos basados en pruebas extraídas con herramientas de Oxygen.