Oxygen Forensics: van Amerikaanse leverancier tot Russische eigendomsbeschuldigingen

Oxygen Forensics leverde software voor het uitlezen en analyseren van digitale gegevens aan overheidsklanten in de Verenigde Staten en aan Europese politiediensten. Het bedrijf kwam ook voor in documentatie over EU-gefinancierde projecten rond digitaal bewijsmateriaal. Amerikaanse aanklagers stellen nu dat de werkelijke eigendom en de ontwikkeling van de software in Rusland voor Amerikaanse overheidsinstanties verborgen zijn gehouden. 178

Die beschuldigingen maken onderscheid tussen twee kwesties: wie een digitaal-forensisch hulpmiddel bezit en ontwikkelt, en of de software zelf gegevens heeft gemanipuleerd of blootgesteld. Voor dat laatste is in de hier aangehaalde bronnen geen bewijs genoemd.

Wat Amerikaanse aanklagers beweren

Volgens het Amerikaanse ministerie van Justitie presenteerde Oxygen Forensics zich tegenover overheidsinstanties als een bedrijf zonder buitenlandse eigendom of zeggenschap, met software die in de Verenigde Staten was ontwikkeld. Aanklagers stellen daartegenover dat vijf Russische staatsburgers, onder wie medeoprichter Oleg Davydov, het bedrijf bezaten en controleerden en dat de software in Rusland werd ontwikkeld. 17

CEO Lee Reiber en Davydov zijn aangeklaagd wegens samenzwering tot wirefraude, een Amerikaanse federale aanklacht. De beschuldigingen zijn nog geen rechterlijke vaststelling van schuld. Volgens berichtgeving behoorde ook de Amerikaanse Secret Service tot de overheidsklanten van Oxygen. 1217

De band met een Russisch zusterbedrijf

De aanklagers leggen ook een verband met het in Moskou gevestigde Oxygen Software LLC, later hernoemd tot MKO Systems LLC. Volgens de aanklacht, zoals beschreven door het Organized Crime and Corruption Reporting Project (OCCRP), was Davydov betrokken bij de softwareontwikkeling van dat bedrijf. Berichtgeving verbindt de Russische onderneming met de verkoop van verwante software aan Russische veiligheids- en politiediensten. 1112

Die relatie roept vragen op over eigendom, ontwikkeling en transparantie in de toeleveringsketen. Op zichzelf bewijst ze niet dat Russische autoriteiten toegang hadden tot gegevens die een andere klant met Oxygen-software onderzocht.

Hoe Oxygen opdook in Europese politiepraktijken en EU-projecten

Oxygen bereikte Europa via verschillende wegen: het bedrijf verkocht producten aan politiediensten en werd genoemd in ten minste twee EU-gefinancierde initiatieven rond digitaal bewijsmateriaal. 81

In EVIDENCE, een project dat tussen 2014 en 2016 ruim € 1,9 miljoen aan EU-financiering ontving, stond Oxygen vermeld als een van de bedrijven die werden geraadpleegd over het verwerken en uitwisselen van digitaal bewijs. Die adviesrol betekent niet dat Oxygen zelf EU-subsidie kreeg. Ook wordt het bedrijf in verband gebracht met INSPECTr, een project binnen Horizon 2020, het onderzoeks- en innovatieprogramma van de EU. De beschikbare beschrijvingen geven minder details over Oxygen’s precieze rol en eventuele betaling in dat project. 81

Daarnaast meldden Italiaanse media dat Oxygen-producten beschikbaar waren voor gebruik door de politie in Italië. Een technisch document van het parket in Sassari vermeldde Oxygen als een van de systemen die door de politie konden worden gebruikt. Dat betekent niet dat alle politiediensten de software op dezelfde manier of in dezelfde mate inzetten. 413

Wat betekenen de beschuldigingen voor digitaal bewijs?

De zaak kan aanleiding geven voor overheidsinstanties en verdedigingsteams om kritisch te kijken naar de gebruikte software en de manier waarop digitaal bewijs is verzameld. Bij een concreet onderzoek kunnen bijvoorbeeld de gebruikte tool en versie, de verwerking van het apparaat, onafhankelijke controle van de resultaten en de informatie over eigendom of ontwikkeling relevant zijn.

De beschuldigingen maken bewijs dat met Oxygen-tools is verkregen niet automatisch onbetrouwbaar of ontoelaatbaar. Volgens berichtgeving hebben aanklagers niet beweerd dat de software een achterdeur of schadelijke code bevatte. Of een specifiek onderzoeksresultaat wordt aangevochten, hangt af van de omstandigheden van dat onderzoek en de toepasselijke juridische procedure. 18

De kern van de Amerikaanse zaak is de vermeende misleiding over wie het forensische hulpmiddel bezat en waar het werd ontwikkeld. Dat is iets anders dan bewijs dat de software gegevens heeft gewijzigd of blootgelegd.