Oxygen Forensics : dirigeants inculpés, liens russes cachés

Le ministère américain de la Justice (DOJ) a arrêté deux hauts responsables d'Oxygen Forensics, une société spécialisée dans l'investigation numérique et l'extraction de données dont les logiciels ont été achetés par plusieurs agences fédérales. Selon l'accusation, l'entreprise aurait dissimulé qu'elle était contrôlée par des ressortissants russes et que sa technologie avait été développée en Russie.

Oxygen vend des outils qui permettent aux enquêteurs d'extraire et d'analyser les données de terminaux mobiles, de services cloud et de drones. Elle est en concurrence directe avec Cellebrite. Police et services de renseignement utilisent couramment ce type de logiciel pour pénétrer dans des téléphones. La société détiendrait près de 10 000 contrats dans plus de 150 pays.

Parmi ses clients figuraient le ministère de la Défense (DOD) et le ministère de la Sécurité intérieure (DHS). Au sein du DHS, plusieurs services utilisaient les produits d'Oxygen :

• le Secret Service
• Homeland Security Investigations
• le bureau de l'inspecteur général
• le National Computer Forensics Institute (NCFI), un centre fédéral qui forme les forces de l'ordre à la preuve numérique

Deux arrestations, 57 domaines saisis

Le PDG Lee Reiber, 55 ans, domicilié à Boise, dans l'Idaho, a été arrêté dimanche puis libéré sous caution. Le même jour, le directeur technique Oleg Sergeyevich Davydov, 52 ans, résident de Moscou, a été interpellé à Londres. Les autorités américaines comptent demander son extradition.

Les deux hommes sont poursuivis pour association de malfaiteurs en vue de commettre une fraude électronique, un chef passible de 20 ans de prison. Le 20 septembre, les autorités ont saisi environ 57 noms de domaine, ainsi que des infrastructures informatiques et des comptes bancaires appartenant à l'entreprise. Le site d'Oxygen est désormais hors ligne.

Une déclaration sous serment du DOJ détaille ce que Reiber aurait affirmé aux agences qui envisageaient de passer des contrats. Il assurait que le logiciel était développé aux États-Unis, « alors qu'en réalité cinq ressortissants russes, dont Davydov, possédaient et contrôlaient l'entreprise et que son logiciel était développé en Russie ».

Oxygen a officiellement son siège en Virginie. Selon l'accusation, Davydov et quatre autres Russes dissimulaient leur participation derrière une société holding basée à Chypre. Une autre société de Davydov aurait vendu le même logiciel, sous un nom différent, au Service fédéral de sécurité russe (FSB), au Comité d'enquête russe et au ministère russe de l'Intérieur.

Le DOJ précise qu'il ne soutient pas que le logiciel ait servi à accéder sans autorisation aux données ou aux systèmes des clients. Il n'a par ailleurs trouvé aucun élément indiquant que le logiciel contenait du code malveillant.

Les sanctions à l'origine de la dissimulation

D'après l'accusation, le stratagème a commencé après l'invasion de l'Ukraine par la Russie et l'imposition de nouvelles sanctions par les États-Unis. L'entreprise a alors retiré les noms de ses propriétaires russes de ses documents officiels. Reiber est devenu PDG, président et président du conseil d'administration en mars 2022, peu avant la modification de ces documents.

Selon le DOJ, les propriétaires russes ont continué à prendre des décisions importantes après sa nomination. Ils fixaient la rémunération de Reiber, passaient outre ses décisions en matière de paiements et disposaient de la signature sur les comptes bancaires de la société.

En novembre 2023, un journaliste a interrogé Reiber sur les liens avec la Russie. D'après l'accusation, il a ensuite écrit à Davydov que l'attention des médias « pourrait réduire à néant toute cette opportunité ». Les procureurs estiment qu'il faisait référence à un contrat en attente avec le NCFI.

Le NCFI a signé un contrat de cinq ans avec Oxygen en septembre 2024. Le document judiciaire relève que Reiber avait certifié que l'entreprise n'avait « aucun propriétaire direct ou de niveau supérieur ». Près d'un an plus tard, Oxygen aurait certifié au DOD qu'« aucune personne étrangère n'avait le pouvoir de contrôler la nomination des administrateurs ou des dirigeants de l'entreprise, ni d'orienter ses autres décisions ou activités ». En 2026, Reiber aurait affirmé à des responsables du DHS qu'aucun Russe ne participait au développement du logiciel.

Pour les ONG, ces liens n'avaient rien de secret

Les défenseurs des droits numériques suivent Oxygen depuis des années. Selon eux, ses liens avec la Russie étaient un secret de Polichinelle.

« Aucun outil de surveillance ne devrait approcher de près ou de loin une enquête américaine tant qu'on ne sait pas à qui il appartient, qui le conçoit et à qui d'autre il est vendu », a déclaré Natalia Krapiva, juriste principale spécialisée dans les technologies chez Access Now.

« Le même logiciel vendu aux forces de l'ordre américaines a été utilisé par le FSB pour aspirer les données des téléphones de Russes opposés à la guerre et les transformer en poursuites pénales », a-t-elle ajouté.

Notre analyse

Il s'agit d'une affaire de fraude, pas d'espionnage. Le DOJ indique n'avoir trouvé ni code malveillant ni accès non autorisé. Les accusations révèlent pourtant une faille dans les marchés publics. Les agences semblent s'être largement fiées aux propres déclarations du fournisseur sur son actionnariat, y compris pour des outils qui traitent certaines des preuves les plus sensibles recueillies par les enquêteurs.

Les logiciels d'investigation numérique ont besoin d'un accès en profondeur aux appareils saisis. Autrement dit, l'identité des propriétaires et le lieu de développement devraient compter même en l'absence de porte dérobée. L'affaire s'inscrit dans un débat plus large sur la chaîne d'approvisionnement logicielle et le contrôle étranger des fournisseurs.

Plusieurs points méritent d'être suivis. D'abord, l'éventuelle extradition de Davydov depuis le Royaume-Uni. Ensuite, la question de savoir si les agences vont examiner de plus près l'actionnariat des autres fournisseurs d'outils d'investigation numérique. Reste enfin à voir comment seront traitées les affaires fondées sur des preuves extraites avec les outils d'Oxygen.