وزارت دادگستری ایالات متحده (DOJ) اعلام کرد که دو نفر از مدیران ارشد یک شرکت استخراج داده و فارنزیک دیجیتال (Digital Forensics) را به دلیل ارائه اطلاعات نادرست درباره مالکیت خارجی و منشأ تکنولوژی محصولاتشان بازداشت کرده است. این شرکت در حالی نرم‌افزارهای خود را به چندین سازمان دولتی آمریکا فروخته بود که طبق ادعاهای رسمی، تکنولوژی آن در روسیه توسعه یافته است.
سازمان‌های متأثر و دامنه نفوذ
بر اساس بیانیه‌های منتشر شده، وزارت دفاع (DOD) و وزارت امنیت داخلی (DHS) تحت تأثیر این فریب قرار گرفته و محصولات شرکت Oxygen Forensics را خریداری کرده‌اند. بخش‌های مختلف DHS از جمله سرویس مخفی (Secret Service)، مؤسسه ملی فارنزیک کامپیوتری (NCFI)، تحقیقات امنیت داخلی و دفتر بازرس کل، همگی از ابزارهای این شرکت استفاده می‌کردند.
این شرکت که رقیب مستقیم شرکت شناخته‌شده Cellebrite است، ابزارهایی را ارائه می‌دهد که توسط سازمان‌های انتظامی و اطلاعاتی برای نفوذ به تلفن‌های همراه و استخراج داده‌ها به کار می‌روند. گزارش‌ها حاکی از آن است که این شرکت نزدیک به ۱۰,۰۰۰ قرارداد در بیش از ۱۵۰ کشور جهان دارد.
جزئیات پرونده و اتهامات
- بازداشت‌ها: لی رایبر (Lee Reiber)، مدیرعامل شرکت، و اولگ داویدوف (Oleg Sergeyevich Davydov)، مدیر ارشد تکنولوژی (CTO) مقیم مسکو، بازداشت شده‌اند.
- اتهامات: هر دو متهم به توطئه برای کلاهبرداری بانکی (Wire Fraud) هستند و با مجازاتی تا ۲۰ سال زندان روبرو شده‌اند.
- اقدامات قانونی: مقامات آمریکایی حدود ۵۷ دامنه، زیرساخت‌های سایبری و حساب‌های بانکی شرکتی متعلق به این مجموعه را توقیف کرده‌اند.
پنهان‌کاری استراتژیک و ساختار مالکیت
طبق اسناد دادگاه، رایبر به سازمان‌های دولتی اطمینان داده بود که نرم‌افزارها در ایالات متحده توسعه یافته‌اند، در حالی که در واقعیت، پنج تبعه روسیه از جمله داویدوف، مالکیت و کنترل شرکت را در دست داشتند. برای پنهان کردن این موضوع، از یک شرکت هلدینگ در قبرس استفاده شده بود، هرچند دفتر رسمی شرکت در ویرجینیا ثبت شده بود.
همچنین اشاره شده است که سرویس امنیت فدرال روسیه (FSB)، کمیته تحقیقات روسیه و وزارت امور داخلی این کشور نیز از طریق شرکت دیگری متعلق به داویدوف، همین نرم‌افزارها را تحت نامی متفاوت خریداری کرده بودند.
ارزیابی امنیتی و ریسک‌ها
وزارت دادگستری تأکید کرده است که در حال حاضر شواهدی مبنی بر وجود کد مخرب (Malicious Code) در نرم‌افزارها یا استفاده از آن‌ها برای دسترسی غیرمجاز به داده‌های مشتریان یافت نشده است. با این حال، فعالان حقوق دیجیتال هشدار می‌دهند که استفاده از ابزارهای نظارتی با مالکیت نامشخص، ریسک‌های امنیتی جدی ایجاد کرده و احتمالاً منجر به تأمین مالی سیستم‌های سرکوب در کشورهای دیگر می‌شود.
