Las acusaciones sobre Oxygen Forensics y sus herramientas en manos de la policía

La sede de Oxygen Forensics en Virginia y su actividad comercial dirigida a clientes estadounidenses facilitaron que sus herramientas de análisis forense digital llegaran a organismos públicos de Estados Unidos. Sus productos también aparecieron en iniciativas europeas sobre evidencia digital y fueron ofrecidos a fuerzas policiales de Europa. Ahora, fiscales estadounidenses alegan que la empresa ocultó vínculos de propiedad y desarrollo con Rusia. 178

Conviene separar dos cuestiones: una compañía puede participar en un proyecto financiado por la Unión Europea sin recibir directamente una subvención, y las acusaciones sobre quién controla un proveedor no demuestran, por sí solas, que sus herramientas hayan manipulado datos.

Qué alegan los fiscales de Estados Unidos

El Departamento de Justicia sostiene que Oxygen Forensics dijo a organismos del Gobierno estadounidense que no tenía propietarios ni control extranjeros y que su software se desarrollaba en Estados Unidos. Según los fiscales, en realidad cinco ciudadanos rusos —entre ellos el cofundador Oleg Davydov— eran propietarios y controlaban la empresa, y el software se desarrollaba en Rusia. El director ejecutivo Lee Reiber y Davydov fueron acusados de conspiración para cometer fraude electrónico. Se trata de acusaciones, no de una declaración de culpabilidad. 17

Entre los clientes gubernamentales estadounidenses de Oxygen figuraba el Servicio Secreto, según la cobertura del caso. Las supuestas declaraciones son relevantes porque, al evaluar a un proveedor, un organismo puede considerar quién controla la empresa y dónde se desarrolla su tecnología. 1217

La relación con una empresa de Moscú

La versión de los fiscales también vincula a los presuntos propietarios con Oxygen Software LLC, una empresa con sede en Moscú que después pasó a llamarse MKO Systems LLC. Según la denuncia, tal como la describe el Proyecto de Denuncia del Crimen Organizado y la Corrupción (OCCRP), Davydov estaba relacionado con el desarrollo de software de esa compañía. La información publicada señala que la firma rusa vendía herramientas relacionadas a clientes rusos de seguridad y de las fuerzas del orden. 11

Ese vínculo plantea preguntas sobre la propiedad de la empresa, el lugar de desarrollo y la transparencia de la cadena de suministro. Por sí solo, no demuestra que las autoridades rusas pudieran acceder a la información examinada por otro cliente con herramientas de Oxygen.

Cómo llegó a proyectos europeos y a cuerpos policiales

La presencia de Oxygen en Europa tuvo más de una vía: sus herramientas se comercializaron para cuerpos policiales y documentos públicos consultados por Politico situaron a la compañía en al menos dos iniciativas europeas sobre evidencia digital financiadas por la UE. 81

En EVIDENCE, proyecto que recibió más de 1,9 millones de euros de financiación europea entre 2014 y 2016, Oxygen figuraba entre las empresas consultadas sobre cómo gestionar e intercambiar evidencia digital. Ese papel de asesoría, según lo publicado, no demuestra que Oxygen recibiera dinero de la UE. También se informó de la relación de la empresa con INSPECTr, un proyecto de Horizonte 2020, el programa europeo de investigación e innovación; las descripciones disponibles no detallan de la misma manera el papel de Oxygen ni indican que recibiera pagos. 81

En Italia, informaciones periodísticas señalaron que los productos de Oxygen estaban disponibles para uso policial. Un documento técnico citado por medios italianos incluyó a Oxygen entre los sistemas que podía utilizar la policía. Eso no significa que todos los cuerpos policiales los usaran ni que lo hicieran de la misma forma. 413

Qué implican las acusaciones para la evidencia digital

El caso puede llevar a organismos y equipos de defensa a examinar con más detalle cómo se obtuvo y verificó la evidencia digital. En una investigación concreta, algunas preguntas pertinentes son qué herramienta y versión se utilizaron, cómo se procesó el dispositivo, si los resultados se comprobaron de forma independiente y qué información se reveló sobre la propiedad o el desarrollo del software.

Pero las acusaciones sobre la propiedad de la empresa no vuelven automáticamente poco fiable o inadmisible la evidencia. Según la cobertura del caso, los fiscales no han alegado que el software de Oxygen tuviera una puerta trasera o código malicioso. Cualquier impugnación de un resultado dependería de los detalles del análisis y del proceso legal aplicable. 18

La distinción clave es entre la presunta ocultación de quién era dueño de la herramienta y dónde se desarrolló, y la existencia de pruebas de que el software alteró o expuso datos. Lo primero está en el centro de las acusaciones en Estados Unidos; lo segundo no está establecido por las fuentes citadas aquí.