Como a Oxygen Forensics chegou às polícias dos EUA e da Europa

A Oxygen Forensics, empresa de perícia digital com sede na Virgínia, nos Estados Unidos, forneceu ferramentas de extração de dados a órgãos governamentais americanos e teve produtos associados ao trabalho de forças policiais europeias. Agora, promotores dos EUA afirmam que a empresa ocultou vínculos de propriedade e desenvolvimento com a Rússia. 178

Uma distinção é importante: aparecer em projetos financiados pela União Europeia não significa, por si só, ter recebido dinheiro do bloco. E as acusações sobre a propriedade da empresa não provam que suas ferramentas tenham alterado ou exposto dados de clientes.

O que os promotores americanos alegam

Segundo o Departamento de Justiça dos EUA, a Oxygen teria informado a órgãos do governo que não tinha controle ou propriedade estrangeira e que seu software era desenvolvido nos Estados Unidos. Os promotores alegam que, na realidade, cinco cidadãos russos — entre eles o cofundador Oleg Davydov — controlavam a empresa e que o software era desenvolvido na Rússia. 17

O CEO Lee Reiber e Davydov foram acusados de conspiração para cometer fraude eletrônica. As acusações constam de uma denúncia criminal e ainda precisam ser comprovadas; não equivalem a uma condenação. 17

Entre os clientes governamentais americanos da Oxygen estava o Serviço Secreto dos EUA, segundo reportagens sobre o caso. Para órgãos públicos que avaliam fornecedores, informações sobre quem controla uma empresa e onde sua tecnologia é desenvolvida podem ser relevantes na análise de contratos e riscos. 1217

A ligação com uma empresa russa

A denúncia também relaciona os supostos proprietários à Oxygen Software LLC, empresa sediada em Moscou que depois passou a se chamar MKO Systems LLC. De acordo com a denúncia, conforme descrita pelo Organized Crime and Corruption Reporting Project (OCCRP), Davydov estava ligado ao desenvolvimento de software nessa empresa. Reportagens afirmam que a companhia russa vendia programas relacionados a clientes de segurança e forças policiais da Rússia. 11

Essa relação levanta questões sobre propriedade, desenvolvimento e transparência na cadeia de fornecedores. Por si só, porém, ela não demonstra que autoridades russas pudessem acessar dados examinados por outro cliente com ferramentas da Oxygen.

Como a empresa apareceu em projetos europeus

A presença da Oxygen na Europa teria ocorrido por caminhos diferentes: a venda de ferramentas a forças policiais e sua participação em iniciativas de perícia digital financiadas pela União Europeia. Documentos públicos analisados pelo Politico situaram a empresa em pelo menos dois projetos desse tipo. 81

No EVIDENCE, iniciativa que recebeu mais de € 1,9 milhão em financiamento europeu entre 2014 e 2016, a Oxygen apareceu entre as empresas consultadas sobre formas de lidar com provas digitais e compartilhá-las. Esse papel de consulta não demonstra que a empresa tenha recebido diretamente recursos do projeto. Reportagens também associam a Oxygen ao INSPECTr, apoiado pelo programa Horizonte 2020, mas as descrições disponíveis não detalham sua função no mesmo nível nem confirmam pagamentos à empresa. 81

Na Itália, uma reportagem citou um documento técnico da Procuradoria de Sassari que listava a Oxygen entre os sistemas que poderiam ser usados pela polícia. Isso não significa que todas as forças policiais italianas tenham utilizado as ferramentas da mesma maneira. 413

O que isso pode significar para provas digitais

O caso reforça a importância de órgãos públicos e equipes de defesa perguntarem como uma ferramenta foi usada em cada exame: qual versão do software foi aplicada, como o dispositivo foi processado, se os resultados passaram por validação independente e quais informações sobre propriedade e desenvolvimento foram divulgadas.

As acusações sobre a estrutura da empresa, por si sós, não tornam automaticamente uma prova digital inválida ou inadmissível. Segundo reportagens sobre o caso, os promotores não alegaram que o software da Oxygen continha uma porta dos fundos ou código malicioso. 18 A avaliação de um resultado específico dependerá das circunstâncias do exame e dos procedimentos jurídicos aplicáveis.

O ponto central é separar duas questões: a alegada falta de transparência sobre quem controlava e desenvolvia a ferramenta e a existência de provas de que o próprio software manipulou ou expôs dados. A primeira está no centro das acusações nos EUA; a segunda não foi estabelecida pelas fontes citadas aqui.