Comment Oxygen Forensics a vendu ses outils aux forces de l’ordre américaines et européennes

Oxygen Forensics, une société de logiciels basée en Virginie, a vendu des outils d’extraction et d’analyse de données à des clients publics américains, tandis que ses produits ont aussi été utilisés ou proposés aux forces de l’ordre en Europe. La justice américaine affirme aujourd’hui que l’entreprise aurait dissimulé des liens de propriété et de développement avec la Russie. 178

Un point est essentiel pour comprendre l’affaire : apparaître dans un projet financé par l’Union européenne ne signifie pas nécessairement avoir reçu une subvention de l’UE. Et les accusations liées à la propriété de l’entreprise ne prouvent pas, à elles seules, que ses outils aient altéré des données ou permis à un tiers d’y accéder.

Ce que la justice américaine reproche à l’entreprise

Selon le ministère américain de la Justice, Oxygen Forensics aurait affirmé aux agences fédérales qu’elle n’était soumise à aucun contrôle ou propriétaire étranger et que ses logiciels étaient développés aux États-Unis. Les procureurs allèguent au contraire que cinq ressortissants russes, dont le cofondateur Oleg Davydov, possédaient et contrôlaient l’entreprise, et que les logiciels étaient développés en Russie. 17

Le directeur général Lee Reiber et Davydov ont été inculpés de complot en vue de commettre une fraude électronique. Il s’agit d’accusations, et non d’une déclaration de culpabilité. Parmi les clients publics américains d’Oxygen figurait le Secret Service, selon des articles consacrés à l’affaire. 1217

Ces allégations portent donc notamment sur ce que les agences auraient appris — ou non — au sujet de leur fournisseur : qui le contrôlait et où ses outils étaient développés. Ces informations peuvent compter dans l’évaluation d’un prestataire de logiciels utilisés pour examiner des appareils numériques.

Le lien allégué avec une société basée à Moscou

Les procureurs associent les propriétaires présumés d’Oxygen à Oxygen Software LLC, une société basée à Moscou ensuite renommée MKO Systems LLC. Selon la plainte, telle que la décrit l’Organized Crime and Corruption Reporting Project, Davydov était lié au développement des logiciels de cette entreprise russe. Des articles rapportent que celle-ci vendait des outils apparentés à des services russes de sécurité et de police. 11

Cette relation soulève des questions sur la propriété des entreprises, le développement des logiciels et la transparence de la chaîne d’approvisionnement. Mais elle ne démontre pas, en elle-même, que les autorités russes aient pu consulter les données examinées par un autre client utilisant les outils d’Oxygen.

Des projets européens, mais pas nécessairement des fonds versés à Oxygen

La présence d’Oxygen en Europe a pris plusieurs formes : l’entreprise a vendu ses outils à des services de police et son nom apparaît dans des documents publics concernant au moins deux initiatives européennes consacrées à la preuve numérique. 81

Le projet EVIDENCE, qui a reçu plus de 1,9 million d’euros de financement de l’UE entre 2014 et 2016, cite Oxygen parmi les entreprises consultées sur la gestion et l’échange de preuves numériques. Ce rôle de consultation ne signifie pas que l’entreprise ait elle-même reçu une part de cette enveloppe. Des articles associent aussi Oxygen à INSPECTr, un projet soutenu par Horizon 2020, le programme européen de recherche et d’innovation. Les informations disponibles ne précisent toutefois pas son rôle avec le même degré de détail ni si elle a reçu un paiement. 81

En Italie, des articles indiquent que des outils Oxygen étaient disponibles pour un usage policier. Un document technique cité par la presse italienne mentionnait l’entreprise parmi les systèmes utilisables par la police. Cela ne permet pas de conclure que toutes les forces de police les employaient, ou de la même manière. 413

Ce que cela change — et ne change pas — pour les preuves numériques

L’affaire invite les services concernés et les équipes de défense à poser des questions précises sur chaque examen : quel outil et quelle version ont été utilisés ? Comment l’appareil a-t-il été traité ? Les résultats ont-ils été vérifiés de façon indépendante ? Quelles informations ont été communiquées sur la propriété de l’entreprise et le développement du logiciel ?

Les accusations relatives à la propriété d’Oxygen ne rendent pas automatiquement les preuves obtenues avec ses outils peu fiables ou irrecevables. Selon les informations rapportées, les procureurs n’allèguent pas que le logiciel contenait une porte dérobée ou du code malveillant. La contestation éventuelle d’un résultat dépendrait des circonstances de l’examen et de la procédure juridique applicable. 18

La distinction centrale est donc celle entre, d’une part, une possible dissimulation de l’identité des propriétaires et du lieu de développement des outils et, d’autre part, la preuve que ces outils auraient modifié ou exposé des données. Les sources citées étayent les premières accusations ; elles n’établissent pas la seconde.