El Departamento de Justicia de Estados Unidos anunció el miércoles la detención de dos directivos de una empresa de extracción de datos y análisis forense digital que presuntamente vendió su software a varias agencias gubernamentales mientras mentía sobre su propiedad extranjera y la procedencia de su tecnología, que es de fabricación rusa. Esta situación no solo pone de relieve las vulnerabilidades en la cadena de suministro de software utilizado por agencias críticas, sino que también plantea interrogantes sobre la seguridad nacional y la integridad de las tecnologías empleadas por organismos estatales.
Las agencias del Departamento de Defensa (DOD) y del Departamento de Seguridad Nacional (DHS) adquirieron el software de Oxygen Forensics tras haber sido presuntamente engañadas sobre sus vínculos extranjeros, de acuerdo con un comunicado de prensa. Diversas ramas del DHS, incluyendo el Servicio Secreto, el Instituto Nacional de Informática Forense (NCFI), las Investigaciones de Seguridad Nacional y la Oficina del Inspector General, utilizaron productos de esta firma. Es importante destacar que Oxygen es un competidor directo de Cellebrite, otra conocida empresa en el ámbito forense digital, que ha sido objeto de críticas por su colaboración con regímenes autoritarios. El software forense digital es una herramienta comúnmente empleada por las fuerzas del orden y las agencias de inteligencia para acceder a dispositivos móviles.
Oxygen Forensics posee, según informes, cerca de 10,000 contratos en más de 150 países, lo que subraya la extensión de su red de operaciones y su influencia en el ámbito de la seguridad digital a nivel mundial.
El CEO de Oxygen, Lee Reiber, de 55 años y residente en Boise, Idaho, fue arrestado el domingo y posteriormente liberado bajo fianza. Oleg Sergeyevich Davydov, de 52 años y residente en Moscú, fue detenido el mismo día en Londres; él ocupaba el cargo de director de tecnología de la empresa. Las autoridades federales han indicado que planean solicitar su extradición a Estados Unidos. Ambos enfrentan cargos de conspiración para cometer fraude electrónico y podrían enfrentar hasta 20 años de prisión. Además, el 20 de septiembre, las autoridades estadounidenses incautaron aproximadamente 57 dominios, infraestructuras cibernéticas y cuentas bancarias corporativas de la firma.
Según una declaración jurada del Departamento de Justicia, Reiber supuestamente dijo a las agencias gubernamentales interesadas en contratar a Oxygen que "su software fue desarrollado en Estados Unidos, cuando en realidad cinco ciudadanos rusos, incluido Davydov, poseían y controlaban la empresa y su software fue desarrollado en Rusia". Los fiscales afirmaron que Davydov y otros cuatro ciudadanos rusos se ocultaron tras una empresa de tenencia con sede en Chipre, aunque Oxygen tiene su sede formal en Virginia.
Además, se informó que el Servicio Federal de Seguridad de Rusia (FSB), el Comité de Investigación ruso y el Ministerio del Interior ruso también adquirieron software de una empresa separada de Davydov que vendía el mismo software bajo un nombre diferente. Sin embargo, las autoridades no han alegado que el software se haya utilizado para acceder de manera no autorizada a los datos o sistemas informáticos de sus clientes, y tampoco hay evidencia de que el software contenga código malicioso.
El sitio web de Oxygen ha sido incautado por las autoridades y actualmente está fuera de servicio. La empresa había declarado previamente que sus herramientas permiten a los investigadores extraer y analizar datos digitales de diversas fuentes, incluyendo la nube, drones y dispositivos móviles. Este diseño de software, por tanto, hace que su uso en investigaciones criminales sea crítico y también plantea un riesgo potencial si se utiliza con fines malintencionados.
Los fiscales han indicado que el esquema fue desarrollado tras la invasión de Rusia a Ucrania y la imposición de nuevas sanciones por parte de Estados Unidos, lo que llevó a Oxygen a eliminar los nombres de los rusos de los documentos corporativos de la empresa. Reiber asumió como CEO, presidente y presidente del consejo en marzo de 2022, poco antes de que se modificaran los registros corporativos. A pesar de su nombramiento, los propietarios rusos continuaron tomando decisiones significativas y establecieron la compensación de Reiber, incluso sobre los pagos, y mantenían la autoridad para firmar sobre las cuentas bancarias de la empresa.
En noviembre de 2023, un periodista preguntó a Reiber sobre los vínculos rusos, lo que supuestamente llevó a que él escribiera a Davydov, expresando que la atención mediática "podría destruir toda esta oportunidad". Los fiscales alegan que esta "oportunidad" se refería a un contrato pendiente con el NCFI. En septiembre de 2024, el NCFI firmó un contrato de cinco años con Oxygen, señalando en su presentación que Reiber había certificado que Oxygen no tenía un "propietario inmediato o de mayor nivel". Casi un año después, los fiscales afirman que Oxygen también certificó al Departamento de Defensa que "ninguna persona extranjera tenía el poder de controlar el nombramiento de los directores o gerentes de la empresa o de dirigir sus otras decisiones o actividades".
En 2026, Reiber supuestamente informó a funcionarios del DHS que ningún ruso estaba involucrado en la creación de su software. Oxygen ha estado bajo la mirada de los defensores de los derechos digitales durante mucho tiempo, quienes afirman que los vínculos rusos de la compañía eran un secreto a voces. “Ninguna herramienta de vigilancia debería acercarse a una investigación estadounidense hasta que sepamos quién la posee, quién la construye y a quién más se la están vendiendo”, comentó Natalia Krapiva, asesora legal de tecnología en Access Now. “El mismo software vendido a las fuerzas del orden estadounidenses fue utilizado por el FSB para extraer datos de los teléfonos de los rusos anti-guerra y convertirlo en cargos criminales”, añadió. “Cuando los gobiernos compran tecnologías de empresas dudosas como Oxygen y toman su palabra, no solo arriesgamos nuestra propia seguridad, sino que también corremos el riesgo de financiar la represión de otros”.
Este episodio pone de manifiesto la necesidad de una mayor transparencia y regulación en la adquisición y uso de tecnologías de vigilancia, especialmente en un contexto geopolítico tan tenso y volátil. La intersección entre la ciberseguridad, la privacidad y la vigilancia gubernamental no solo plantea un desafío para las agencias de seguridad, sino que también requiere la atención crítica de legisladores y defensores de derechos humanos en todo el mundo.