Oxygen Forensics: cosa sappiamo sulle accuse e sull’uso dei suoi software

La società di analisi forense digitale Oxygen Forensics, con sede in Virginia, ha venduto strumenti a clienti governativi statunitensi e ha avuto rapporti con forze dell’ordine europee. Ora i procuratori federali USA sostengono che l’azienda abbia nascosto legami di proprietà e sviluppo con la Russia. Le accuse riguardano ciò che sarebbe stato dichiarato alle agenzie statunitensi: non provano, di per sé, che i software abbiano manipolato o esposto i dati esaminati. 178

Le accuse negli Stati Uniti

Secondo il Dipartimento di Giustizia, Oxygen avrebbe dichiarato alle agenzie governative statunitensi di non avere proprietà o controllo stranieri e di sviluppare i propri software negli Stati Uniti. I procuratori sostengono invece che l’azienda fosse posseduta e controllata da cinque cittadini russi, tra cui il cofondatore Oleg Davydov, e che i programmi fossero sviluppati in Russia. L’amministratore delegato Lee Reiber e Davydov sono stati incriminati con l’accusa di cospirazione finalizzata alla frode telematica. Si tratta di accuse, non di condanne. 17

Tra i clienti governativi statunitensi di Oxygen figurava anche il Secret Service, secondo le ricostruzioni pubblicate sul caso. La questione è rilevante perché, quando acquistano strumenti forensi digitali, le amministrazioni possono valutare anche chi controlla il fornitore e dove viene sviluppata la tecnologia. 1217

I legami con una società di Mosca

La ricostruzione dei procuratori collega i presunti proprietari anche a Oxygen Software LLC, società con sede a Mosca poi rinominata MKO Systems LLC. Secondo quanto riportato sulla base della denuncia, Davydov era associato allo sviluppo dei software. Le ricostruzioni giornalistiche collegano inoltre la società russa alla vendita di programmi analoghi a clienti russi del settore della sicurezza e delle forze dell’ordine. 1112

Questi rapporti sollevano interrogativi sulla proprietà, sullo sviluppo e sulla trasparenza della filiera tecnologica. Non dimostrano però, da soli, che le autorità russe potessero accedere ai dati analizzati da un cliente distinto tramite gli strumenti di Oxygen.

La presenza in Europa e nei progetti finanziati dall’UE

In Europa la presenza di Oxygen ha seguito più canali: i suoi strumenti sono stati venduti a forze dell’ordine e l’azienda è stata citata in almeno due iniziative europee dedicate alle prove digitali, secondo documenti pubblici esaminati da Politico. 81

Nel progetto EVIDENCE, che ha ricevuto oltre 1,9 milioni di euro di finanziamenti UE tra il 2014 e il 2016, Oxygen figurava tra le aziende consultate su come gestire e condividere meglio le prove digitali. Essere stata consultata non significa che la società abbia ricevuto direttamente quei fondi. Le fonti collegano Oxygen anche a INSPECTr, progetto sostenuto nell’ambito di Horizon 2020, il programma europeo per la ricerca e l’innovazione; le informazioni disponibili, tuttavia, non descrivono il suo ruolo con lo stesso livello di dettaglio né documentano pagamenti diretti all’azienda. 81

In Italia, un documento tecnico citato dalla stampa elencava Oxygen tra i sistemi utilizzabili dalla polizia. Questo dato non equivale a dire che tutte le forze di polizia italiane abbiano adottato o usato i software nello stesso modo. 413

Che cosa cambia per le prove digitali

Il caso porta in primo piano la trasparenza dei fornitori e la verifica degli strumenti usati nelle indagini. Per valutare una singola analisi possono essere importanti il programma e la versione impiegati, il modo in cui è stato esaminato il dispositivo, l’eventuale verifica indipendente dei risultati e le informazioni fornite su proprietà e sviluppo del software.

Le accuse sulla proprietà non rendono automaticamente inattendibili o inutilizzabili le prove. Secondo le ricostruzioni del caso, i procuratori non hanno sostenuto che il software contenesse una backdoor o codice malevolo. L’eventuale contestazione di un risultato dipenderebbe quindi dai fatti specifici dell’esame e dalle procedure legali applicabili. 18

La distinzione centrale è tra l’asserita mancata comunicazione di chi possedesse e sviluppasse uno strumento forense e la prova che lo strumento abbia manipolato o esposto i dati. La prima è al centro delle accuse statunitensi; la seconda non è stata dimostrata dalle fonti citate.