Så hamnade Oxygen Forensics verktyg hos polis på båda sidor av Atlanten

Oxygen Forensics hade en bas i Virginia och sålde digitalforensiska verktyg till amerikanska myndigheter. Företagets produkter nådde också europeiska polismyndigheter. Nu hävdar amerikanska åklagare att bolagets ägande och kopplingar till programvaruutveckling i Ryssland doldes för amerikanska myndigheter. Separat har medierapportering kopplat Oxygen till EU-finansierade projekt om digital bevisning – men medverkan i ett projekt betyder inte automatiskt att företaget fick EU-bidrag. 178

Vad USA:s åklagare hävdar

Det amerikanska justitiedepartementet uppger att Oxygen för myndigheter framställde sig som ett företag utan utländskt ägande eller kontroll, med programvara utvecklad i USA. Åklagarna hävdar i stället att fem ryska medborgare, däribland medgrundaren Oleg Davydov, ägde och kontrollerade bolaget och att programvaran utvecklades i Ryssland. Vd:n Lee Reiber och Davydov har åtalats för konspiration att begå bedrägeri genom elektronisk kommunikation. Det rör sig om anklagelser, inte fastställd skuld. 17

Enligt rapportering om fallet hörde Secret Service till Oxygen Forensics amerikanska myndighetskunder. De påstådda felaktiga uppgifterna är betydelsefulla eftersom myndigheter som anlitar en leverantör kan behöva ta hänsyn till vem som kontrollerar företaget och var tekniken utvecklas. 1217

Kopplingen till ett ryskt systerbolag

Åklagarnas redogörelse kopplar de påstådda ägarna till det Moskva-baserade Oxygen Software LLC, som senare bytte namn till MKO Systems LLC. Davydov var knuten till bolagets programvaruutveckling, enligt klagomålet så som det återges av Organized Crime and Corruption Reporting Project. Rapporteringen uppger att det ryska bolaget sålde besläktad programvara till ryska säkerhets- och brottsbekämpande myndigheter. 11

Sambandet väcker frågor om ägande, utveckling och insyn i leverantörskedjan. Det visar däremot inte i sig att ryska myndigheter kunde komma åt information som en annan kund granskade med Oxygen-verktyg.

Europeisk polis och EU-finansierade projekt

Oxygen fick fotfäste i Europa på flera sätt: verktygen såldes till brottsbekämpande myndigheter, och offentliga handlingar som Politico gått igenom placerade företaget i minst två EU-finansierade initiativ om digital bevisning. 81

I projektet EVIDENCE, som fick mer än 1,9 miljoner euro i EU-finansiering mellan 2014 och 2016, fanns Oxygen med bland företagen som rådfrågades om hantering och utbyte av digital bevisning. Den rapporterade konsultrollen visar inte att Oxygen självt fick EU-pengar. Rapportering kopplar också bolaget till INSPECTr, ett projekt inom EU:s forsknings- och innovationsprogram Horisont 2020, men tillgängliga beskrivningar ger inte samma detaljnivå om företagets roll eller eventuell ersättning. 81

Oxygens produkter uppgavs också finnas tillgängliga för polisbruk i Italien. Ett tekniskt dokument som italienska medier hänvisat till listar Oxygen bland system som polisen kan använda. Det är inte samma sak som att alla italienska polismyndigheter använde verktygen, eller gjorde det på samma sätt. 413

Vad anklagelserna kan betyda för digital bevisning

Fallet gör det relevant för myndigheter och försvarare att granska hur leverantörer redovisar ägande och utveckling, och hur verktygen valideras. För en enskild undersökning kan frågor handla om vilken produkt och version som användes, hur enheten behandlades, om resultaten kontrollerades oberoende och vilken information om bolagets ägande och utveckling som lämnades.

Men anklagelserna om ägande gör inte automatiskt bevisning opålitlig eller otillåtlig. Enligt rapportering om fallet har åklagarna inte hävdat att Oxygens programvara innehöll en bakdörr eller skadlig kod. Om ett visst resultat ifrågasätts beror på omständigheterna kring undersökningen och den rättsliga prövningen. 18

Den avgörande skillnaden går mellan en påstådd underlåtenhet att redovisa vem som ägde och utvecklade ett forensiskt verktyg och bevis för att verktyget manipulerade eller exponerade data. Det första står i centrum för anklagelserna i USA. Det andra har inte fastställts av de källor som hänvisas här.