ロシアとの関係を隠したのか――米欧の警察に広がった鑑識ソフト

Oxygen Forensicsは、米バージニア州を拠点とするデジタル鑑識ソフトの企業です。米国向けの販売を通じて政府機関に製品を納入し、欧州の法執行機関にもツールを提供していたと報じられています。米司法省は現在、同社のロシア人による所有・支配やソフトの開発地が米政府機関に隠されていたと主張しています。178

一方、EU資金によるプロジェクトに名前が挙がったことと、Oxygen自身がEUの助成金を受け取ったことは別の話です。また、所有関係をめぐる疑惑と、鑑識ソフトがデータを改変したり流出させたりした証拠があるかどうかも、分けて考える必要があります。

米司法省が主張すること

米司法省によると、Oxygenは米政府機関に対し、外国による所有・支配はなく、ソフトは米国内で開発されたと説明していたとされます。検察側はこれに対し、共同創業者のオレグ・ダヴィドフ氏を含むロシア人5人が同社を所有・支配し、ソフトもロシアで開発されていたと主張しています。リー・ライバーCEOとダヴィドフ氏は、通信詐欺を共謀した罪で訴追されました。これらは起訴内容に含まれる主張であり、有罪が確定したことを示すものではありません。17

報道によれば、Oxygenの米政府機関の顧客には米国シークレットサービスも含まれていました。取引先の所有者やソフトの開発地は、政府機関がベンダーを評価するうえで重要な情報になり得ます。1217

モスクワの関連会社との関係

検察側の説明では、疑惑の所有者らはモスクワのOxygen Software LLCも所有していました。同社は後にMKO Systems LLCへ社名を変更したとされています。ダヴィドフ氏はそこでソフト開発に関わっていたと、訴状の内容を紹介した報道は伝えています。また、このロシア企業はロシアの治安・法執行機関向けに関連ソフトを販売していたと報じられています。11

こうしたつながりは、所有関係や開発体制、サプライチェーンの透明性をめぐる懸念につながります。ただし、関連会社との関係があるというだけで、別の顧客がOxygenのツールで調べた情報にロシア当局がアクセスできたと証明されるわけではありません。

欧州の警察やEU関連プロジェクトとの接点

Oxygenが欧州に広がった経路は、法執行機関への製品販売だけではありません。Politicoが確認した公開資料では、同社はEU資金による少なくとも2つのデジタル証拠関連プロジェクトに関わっていたとされています。81

EVIDENCEは、2014年から2016年にかけて190万ユーロ超のEU資金を受けたプロジェクトです。デジタル証拠の取り扱いや共有方法について意見を求められた企業の一つとして、Oxygenの名前が記載されていたと報じられています。この役割は、Oxygen自身がEUから助成金を受け取ったことを示すものではありません。8

同社は、EUの研究・イノベーション枠組み「Horizon 2020」の支援を受けたINSPECTrにも関わったと報じられています。ただし、参照できる報道では、Oxygenの具体的な役割や同社への支払いについて、EVIDENCEと同じ程度の説明はありません。81

イタリアでは、警察が利用可能なシステムを列挙した技術文書にOxygenの製品が記載されていたと報じられています。これは利用可能なシステムとして名前が挙がったということであり、各警察組織が同じ方法で実際に使用していたことまで意味するわけではありません。413

鑑識結果は無効になるのか

今回の疑惑を受け、捜査機関や弁護側が確認すべき点として、どの製品・バージョンを使ったのか、端末をどう解析したのか、結果を独立に検証したのか、所有や開発に関する情報が適切に開示されていたのか、といった問題が挙げられます。

ただし、ロシア人による所有・支配をめぐる疑惑だけで、証拠が自動的に信頼できなくなったり、裁判で採用されなくなったりするわけではありません。報道によれば、検察側はOxygenのソフトにバックドアや悪意あるコードが含まれていたとは主張していません。個別の鑑識結果が争われるかどうかは、解析の状況や適用される法的手続きによります。18

今回の焦点は、鑑識ツールの所有者や開発地を隠したとされる問題と、ツールそのものがデータを操作・流出させたという問題を区別することです。米国の訴追で中心となっているのは前者であり、後者はここで挙げた情報からは立証されていません。