Oxygen Forensics-top vervolgd om verborgen Russische banden

Het Amerikaanse ministerie van Justitie (DOJ) heeft twee topmensen van Oxygen Forensics gearresteerd. Het bedrijf is gespecialiseerd in digitaal forensisch onderzoek en data-extractie, en verschillende federale diensten kochten de software. Volgens de aanklagers verzweeg het bedrijf dat het in handen was van Russen en dat de technologie in Rusland werd ontwikkeld.

Oxygen verkoopt tools waarmee rechercheurs gegevens van mobiele apparaten, clouddiensten en drones halen en analyseren. Het is een directe concurrent van Cellebrite. Politie- en inlichtingendiensten gebruiken dit soort software geregeld om telefoons te kraken. Het bedrijf zou bijna 10.000 contracten hebben in meer dan 150 landen.

Tot de klanten behoorden het ministerie van Defensie (DOD) en het ministerie van Binnenlandse Veiligheid (DHS). Binnen DHS gebruikten meerdere onderdelen producten van Oxygen:

• de Secret Service
• Homeland Security Investigations
• het Office of the Inspector General
• het National Computer Forensics Institute (NCFI), een federaal centrum dat opsporingsdiensten traint in digitaal bewijs

Twee arrestaties, 57 domeinen in beslag genomen

Ceo Lee Reiber (55) uit Boise, Idaho, werd zondag gearresteerd en op borgtocht vrijgelaten. Dezelfde dag werd technisch directeur Oleg Sergeyevich Davydov (52), woonachtig in Moskou, in Londen aangehouden. De Amerikaanse autoriteiten willen zijn uitlevering aanvragen.

Beide mannen worden verdacht van samenzwering tot fraude via elektronische communicatie, waarop maximaal 20 jaar cel staat. Op 20 september namen de autoriteiten zo'n 57 domeinen in beslag, samen met cyberinfrastructuur en zakelijke bankrekeningen van het bedrijf. De website van Oxygen is inmiddels offline.

In een beëdigde verklaring van het DOJ staat wat Reiber diensten die een contract overwogen zou hebben verteld. Hij zei dat de software in de VS was ontwikkeld, "terwijl in werkelijkheid vijf Russische staatsburgers, onder wie Davydov, eigenaar waren van het bedrijf en het aanstuurden, en de software in Rusland werd ontwikkeld."

Oxygen heeft formeel zijn hoofdkantoor in Virginia. Volgens de aanklagers verborgen Davydov en vier andere Russen hun eigendom achter een holding op Cyprus. Een ander bedrijf van Davydov zou dezelfde software onder een andere naam hebben verkocht aan de Russische Federale Veiligheidsdienst (FSB), het Russische Onderzoekscomité en het Russische ministerie van Binnenlandse Zaken.

Het DOJ stelt niet dat de software is gebruikt om zonder toestemming toegang te krijgen tot gegevens of systemen van klanten. Er is ook geen bewijs gevonden dat de software kwaadaardige code bevatte.

Sancties waren aanleiding voor de doofpot

Volgens de aanklagers begon het plan nadat Rusland Oekraïne binnenviel en de VS nieuwe sancties invoerden. Het bedrijf haalde daarop de namen van de Russische eigenaren uit zijn officiële registraties. Reiber werd in maart 2022 ceo, president en voorzitter van de raad van bestuur, kort voordat die registraties werden aangepast.

Volgens het DOJ bleven de Russische eigenaren ook na zijn benoeming belangrijke beslissingen nemen. Zij bepaalden Reibers beloning, gingen tegen hem in bij betalingen en waren tekenbevoegd voor de bankrekeningen van het bedrijf.

In november 2023 vroeg een journalist Reiber naar de Russische banden. Volgens de aanklagers schreef hij daarna aan Davydov dat de media-aandacht "deze hele kans kan verwoesten." Daarmee zou hij hebben gedoeld op een lopend NCFI-contract.

Het NCFI sloot in september 2024 een vijfjarig contract met Oxygen. In de stukken staat dat Reiber had verklaard dat het bedrijf geen "directe of hogere eigenaar" had. Bijna een jaar later zou Oxygen aan het DOD hebben verklaard dat "geen enkele buitenlandse persoon de macht had om de benoeming van bestuurders of managers van het bedrijf te bepalen of om andere beslissingen of activiteiten aan te sturen." In 2026 zou Reiber DHS-functionarissen hebben verteld dat er geen Russen betrokken waren bij het maken van de software.

Mensenrechtenorganisaties: banden waren geen geheim

Voorvechters van digitale rechten volgen Oxygen al jaren. Volgens hen waren de Russische banden een publiek geheim.

"Geen enkel surveillancemiddel zou in de buurt van een Amerikaans onderzoek mogen komen voordat we weten wie de eigenaar is, wie het bouwt en aan wie ze het nog meer verkopen," zegt Natalia Krapiva, senior juridisch adviseur technologie bij Access Now.

"Dezelfde software die aan Amerikaanse opsporingsdiensten werd verkocht, werd door de FSB gebruikt om gegevens van de telefoons van Russen die tegen de oorlog zijn te halen en daar strafzaken van te maken," voegt ze toe.

Onze analyse

Dit is een fraudezaak, geen spionagezaak. Het DOJ zegt geen kwaadaardige code en geen ongeautoriseerde toegang te hebben gevonden. Toch wijzen de beschuldigingen op een zwakke plek bij inkoop. Diensten lijken grotendeels te hebben vertrouwd op wat de leverancier zelf verklaarde over het eigendom, ook bij tools die het meest gevoelige bewijs verwerken dat rechercheurs verzamelen.

Forensische software heeft diepgaande toegang nodig tot in beslag genomen apparaten. Dat doet vermoeden dat eigendom en de plek waar software wordt ontwikkeld ertoe doen, ook als er geen achterdeur wordt gevonden. De zaak past in een breder debat over softwareketens en buitenlandse zeggenschap over leveranciers.

Er zijn een paar dingen om in de gaten te houden. Eén daarvan is of Davydov door het Verenigd Koninkrijk wordt uitgeleverd. Een andere is of diensten het eigendom van andere forensische leveranciers voortaan kritischer gaan controleren. Ook is het afwachten hoe wordt omgegaan met zaken die zijn gebouwd op bewijs dat met tools van Oxygen is verkregen.