Česká polícia používa citlivý forenzný softvér. Jeho ruské väzby mal dodávateľ skrývať

Česká polícia už v reakcii prijala predbežné opatrenia. Podľa zistení Deníka N dostali policajti pokyn softvér neaktualizovať. Policajné prezídium zároveň jednotlivým útvarom odporučilo, aby so systémom do vyjasnenia situácie pracovali v „špeciálnom režime“.

Samotný prípad je však oveľa širší. V Spojených štátoch sa skončil zatknutím šéfa Oxygen Forensics a jedného z údajných ruských vlastníkov, zabavením desiatok internetových domén a odhalením vlastníckej štruktúry, ktorá mala byť pred americkou vládou niekoľko rokov skrývaná.

Forenzný nástroj pracuje s tými najcitlivejšími dátami

Oxygen Forensic Detective nie je bežný kancelársky softvér. Ide o nástroj na digitálnu forenznú analýzu, ktorý umožňuje získavať, obnovovať, uchovávať a analyzovať dáta z mobilných telefónov, počítačov a ďalších elektronických zariadení.

Práve takéto nástroje používajú vyšetrovatelia napríklad pri analýze zaistenej elektroniky a digitálnych dôkazov.

iROZHLAS.cz v českom registri zmlúv dohľadal 25 verejne dostupných zmlúv, v ktorých figuruje softvér Oxygen Forensics alebo školenia spojené s jeho produktmi. Hodnota služieb Oxygen v týchto kontraktoch presahuje 14,5 milióna korún.

Medzi zákazníkov patrí Ministerstvo vnútra, respektíve Policajné prezídium, Generálne riaditeľstvo ciel, Ministerstvo obrany a šesť krajských policajných riaditeľstiev – pražské, stredočeské, juhomoravské, moravskosliezske, plzenské a na Vysočine.

Colná správa potvrdila, že výstupy z tohto softvéru využíva pri vyšetrovaní závažnej, organizovanej a cezhraničnej kriminality.

Američania tvrdia, že za americkou firmou stálo päť Rusov

Problém začína byť zrejmý pri pohľade na vyšetrovanie v Spojených štátoch.

Americké ministerstvo spravodlivosti 23. septembra oznámilo zatknutie 55-ročného CEO Oxygen Forensics Leeho Reibera a 52-ročného ruského občana Olega Sergejeviča Davydova.

Obaja sú obvinení zo sprisahania za účelom wire fraud. Zatiaľ ide o obvinenie a vina oboch mužov nebola preukázaná.

Podľa amerických vyšetrovateľov sa Oxygen Forensics prezentovala vládnym zákazníkom ako nezávislá americká spoločnosť so sídlom vo Virgínii. V skutočnosti ju však malo vlastniť a kontrolovať päť ruských občanov prostredníctvom holdingovej spoločnosti na Cypre.

Jedným z nich mal byť práve Davydov.

A vlastníctvom sa ruská stopa nekončí.

Podľa prísažného vyhlásenia priloženého k trestnému oznámeniu pracovali vývojári, ktorí softvér vytvárali, v Rusku. Softvér mal písať a spravovať tím v Rusku pod Davydovovým vedením a cloudové prostredie, v ktorom vznikal, mal spravovať ďalší z ruských vlastníkov.

Po invázii na Ukrajinu mali ruskí vlastníci z verejných záznamov zmiznúť

Časová os popísaná americkými vyšetrovateľmi je podstatná.

Po ruskej invázii na Ukrajinu a rozšírení amerických sankcií v roku 2022 sa mali Reiber, Davydov a ďalší ľudia dohodnúť, že skutočné ruské vlastníctvo Oxygen Forensics a vývoj softvéru v Rusku skryjú.

Reiber sa v marci 2022 stal CEO, prezidentom a predsedom predstavenstva. Ruskí vlastníci následne zmizli z verejných firemných záznamov.

Podľa amerického ministerstva spravodlivosti sa však ich skutočný vplyv neskončil.

Ruskí vlastníci mali ďalej prijímať významné rozhodnutia, určovať Reiberovu odmenu, zasahovať do platieb spoločnosti a mať podpisové práva k firemným bankovým účtom.

Jeden z ruských vlastníkov mal byť neskôr dokonca menovaný do predstavenstva spoločnosti pod tureckou identitou.

Americkej vláde mala firma opakovane poskytovať iné informácie

Oxygen Forensics sa medzitým usilovala o zákazky amerických bezpečnostných inštitúcií.

Podľa vyšetrovateľov Reiber v decembri 2022 a októbri 2023 americkej vláde nepravdivo certifikoval, že Oxygen Forensics nemá bezprostredného ani najvyššieho vlastníka.

V júli 2024 potom mala spoločnosť americkým úradom potvrdiť, že žiadna zahraničná osoba nemá možnosť kontrolovať menovanie vedenia firmy ani riadiť jej rozhodovanie.

Vyšetrovatelia tvrdia, že skutočnosť bola iná.

V septembri 2024 napriek tomu Oxygen získala päťročný kontrakt pre National Computer Forensics Institute, ktorý spadá pod americkú Secret Service.

Obzvlášť výrazná je udalosť z marca 2026. Reiber mal pracovníkom amerického ministerstva vnútornej bezpečnosti tvrdiť, že sa na vývoji softvéru nepodieľa žiadny Rus a nikto v Rusku nemá prístup do prostredia, v ktorom softvér vzniká.

Len niekoľko dní nato publikoval podobné vyhlásenie aj na webe spoločnosti.

Americké vyšetrovanie však tvrdí, že softvér v skutočnosti písal a spravoval tím v Rusku pod Davydovovým vedením.

Rovnakí vlastníci stáli aj za ruskou spoločnosťou dodávajúcou softvér bezpečnostným zložkám

Ďalšia väzba popísaná americkým ministerstvom spravodlivosti je pre celý prípad dôležitá.

Tých istých päť ruských občanov malo vlastniť aj ruskú spoločnosť, ktorá sa do septembra 2022 volala Oxygen Software LLC a dnes funguje ako MKO Systems LLC.

Davydov ju spoluzaložil už v roku 2000 a pôsobil v nej ako technologický riaditeľ.

Podľa amerických vyšetrovateľov táto spoločnosť predávala v Rusku softvér pod inými produktovými názvami. Medzi jej zákazníkov podľa dostupných informácií patrili aj ruská Federálna bezpečnostná služba FSB, Vyšetrovací výbor Ruskej federácie a ruské ministerstvo vnútra.

To samo osebe neznamená, že tieto inštitúcie mali prístup k dátam zahraničných používateľov Oxygen Forensics. Ukazuje to však, prečo sú skutočné vlastníctvo spoločnosti a miesto vývoja jej softvéru pre bezpečnostné inštitúcie významnými informáciami.

Američania zabavili účty a desiatky domén

Americké úrady proti spoločnosti zasiahli ešte pred zverejnením obvinenia.

Federálny sudca 19. septembra povolil zabavenie firemných bankových účtov, približne 57 internetových domén a ďalšej infraštruktúry, ktorá mala byť podľa vyšetrovateľov využívaná pri popisovanom konaní.

K samotnému zabaveniu domén a súvisiacej infraštruktúry došlo 20. septembra.

Reiber bol zatknutý v Idahu. Davydova britské úrady zadržali na londýnskom letisku Heathrow pred odletom do Istanbulu a Spojené štáty chcú požiadať o jeho vydanie.

V prípade odsúdenia hrozí obom obvineným podľa amerického ministerstva spravodlivosti maximálne 20 rokov federálneho väzenia.

Česká polícia zastavila aktualizácie

Dopady amerického prípadu sa teraz dostali aj do Česka.

Policajné prezídium potvrdilo iROZHLASu, že v reakcii na informácie zo Spojených štátov prijalo „nevyhnutné predbežné opatrenia“. Ich presnú podobu polícia s ohľadom na spôsob využívania produktov verejne opísať nechcela.

Deník N následne zistil, že Policajné prezídium prikázalo, aby systém nikto neaktualizoval.

Podľa Noviniek Policajné prezídium zároveň jednotlivým útvarom odporučilo, aby so systémom pracovali v „špeciálnom režime“, kým nebudú k dispozícii všetky informácie od zahraničných partnerov.

Situáciu vyhodnocuje aj Ministerstvo vnútra. Colná správa uviedla, že Oxygen predstavuje len jeden z niekoľkých forenzných nástrojov, ktoré používa.

Problém nerieši len Česko

Oxygen Forensics sa nedostala iba k českým bezpečnostným zložkám.

Podľa dokumentov popísaných médiami boli produkty spoločnosti používané alebo nakúpené policajnými zložkami v niekoľkých európskych krajinách, napríklad v Nemecku, Španielsku, Taliansku alebo Poľsku.

Produkty Oxygen sa objavili aj v dvoch projektoch zameraných na digitálne dôkazy financovaných Európskou úniou. Európska komisia však spresnila, že Oxygen nebola členom konzorcií týchto projektov a sama európske financovanie nedostávala.

Britská Metropolitan Police používanie Oxygen Forensics pozastavila a začala jeho preskúmanie. Podľa denníka The Times mala nástroj nasadený iba obmedzene a používala ho na izolovaných systémoch.

Situácia tak už nie je len americkým trestným prípadom. Bezpečnostné inštitúcie, ktoré softvér zaobstarali, teraz musia samy vyhodnocovať, či informácie o jeho skutočnom vlastníctve a vývoji menia ich pohľad na riziká spojené s jeho používaním.

Dôležitá hranica: dôkaz o backdoore zatiaľ neexistuje

Celý prípad má jednu zásadnú hranicu.

Americké ministerstvo spravodlivosti výslovne uvádza, že trestné oznámenie netvrdí, že softvér obsahoval škodlivý kód ani že bol použitý na získanie neoprávneného prístupu k počítačovým systémom alebo dátam zákazníkov.

Neexistuje teda verejný dôkaz, že by prostredníctvom Oxygen Forensics unikali dáta českej polície, colníkov alebo Ministerstva obrany do Ruska.

Český distribútor navyše podľa iROZHLASu odporúča softvér prevádzkovať v takzvanom air-gapped prostredí – teda na izolovanom zariadení bez pripojenia k bežnej sieti alebo internetu. Takéto usporiadanie výrazne obmedzuje možnosti komunikácie systému s vonkajším svetom.

Súčasná kauza je predovšetkým problémom dôvery v dodávateľský reťazec.

Pri bežnom softvéri je skutočný vlastník a miesto vývoja dôležitou informáciou. Pri nástroji určenom na získavanie a analýzu digitálnych dôkazov z telefónov a počítačov bezpečnostných zložiek je význam tejto informácie ešte väčší.

Ak sa tvrdenia amerických vyšetrovateľov preukážu, americké inštitúcie nakupovali citlivú forenznú technológiu v presvedčení, že pochádza od nezávislej americkej spoločnosti, zatiaľ čo jej skutoční vlastníci aj významná časť vývoja mali byť v Rusku.

A rovnaký softvér si medzitým našiel cestu aj k českým bezpečnostným inštitúciám.

Zdroje

• U.S. Department of Justice – Tech CEO, Russian National Arrested on Complaint Alleging They Hid Russian Ownership and Development of Software Sold to U.S. Government
• iROZHLAS.cz – Česká policie užívá software podezřelý z napojení na Rusko
• Deník N – Policie používá software, který může být ovládán z Ruska. Po zjištění ho zakázala aktualizovat
• Novinky.cz – S podezřelým softwarem od Rusů pracuje policie nadále ve „speciálním režimu“
• ANSA – Russian data analytics firm used by EU police forces, including Italy
• The Times – Met stops using software after Moscow spy agency links revealed