Oxygen Forensics DOJ: la empresa que ocultó a cinco rusos para vender al Pentágono y al DHS
El DOJ detiene a dos responsables de Oxygen Forensics por ocultar a cinco rusos mientras vendía software al Pentágono y al DHS.
Las detenciones se produjeron en dos orillas distintas. Lee Reiber, consejero delegado de Oxygen US, fue arrestado en su domicilio de Idaho. Oleg Davydov, uno de los cinco rusos que según la acusación controlaban la empresa desde la sombra, fue detenido en Londres, donde el Departamento de Justicia tramita su extradición. Ambos afrontan cargos de conspiración para cometer fraude electrónico.
No es un fraude corporativo al uso. Lo veo más bien como la confirmación judicial de algo que el sector venía mascullando desde hace años: una firma de raíz rusa fundiéndose con el aparato de seguridad estadounidense bajo una fachada de propiedad nacional. La fachada tenía nombre, apellidos y un consejero delegado de Idaho dispuesto a sostenerla.
Le adelanto que este caso importa menos por lo que revela de Oxygen y más por lo que revela del sistema de compras del Gobierno estadounidense.
Según la querella criminal del DOJ, la compañía desplegó un esfuerzo deliberado para presentar a Reiber como el verdadero líder de una empresa con sede en Alexandria, Virginia. Oxygen aseguraba a las agencias federales que no estaba controlada por ejecutivos rusos. Los documentos internos dicen otra cosa. Los responsables rusos desautorizaban a Reiber una y otra vez, y las decisiones verdaderamente importantes seguían reservándose a los cinco accionistas, Davydov entre ellos.
La mejor tapadera no es la que niega la evidencia, sino la que consigue que nadie la busque durante años.
La arquitectura se perfeccionó en 2022. Tras la invasión rusa de Ucrania y la ampliación de las sanciones estadounidenses, Oxygen instaló a Reiber como consejero delegado y borró a los propietarios de los registros corporativos públicos. El momento no era casual: mientras la empresa desaparecía a sus dueños rusos del papel, seguía facturando a Washington.
Desde marzo de 2022, Oxygen ha vendido sus herramientas forenses al Servicio Secreto, a Homeland Security Investigations, al inspector general del DHS y al Pentágono. Solo en contratos con el Servicio Secreto y su Instituto Nacional de Informática Forense (NCFI) superó los dos millones de dólares. Reiber reafirmó la propiedad estadounidense de la compañía hace apenas unos meses, ante el propio NCFI.
Tradecraft de la tapadera: cómo Oxygen se disfrazó de empresa estadounidense
Aquí conviene detenerse en el oficio. La operación no tiene dead drop ni agente durmiente al estilo clásico, pero sí comparte la lógica de cualquier penetración de industria crítica: no hace falta entrar en la fábrica si uno se convierte en proveedor de la fábrica. El tradecraft aquí es administrativo, burocrático, hasta aburrido. Y precisamente por eso funciona.
Cabe recordar que Oxygen no ha sido nunca un actor limpio en el mercado forense. En 2023, la compañía enfrentó acusaciones de que Oxygen US y Oxygen Russia usaban ambas código obtenido por ingeniería inversa de los productos de Elcomsoft. La acusación importaba, y mucho. Responder con la verdad habría obligado a confesar que las dos firmas vendían el mismo software, desarrollado por el mismo equipo y propiedad de las mismas personas.
El rastro ruso: del código de Elcomsoft al FSB
Ahí está la clave del caso. La cartera de clientes de Oxygen Russia incluía al Servicio Federal de Seguridad ruso (FSB), heredero directo del KGB. El dato no es menor: el mismo tipo de herramienta que extraía datos para investigaciones estadounidenses se usaba dentro de Rusia contra periodistas, activistas y disidentes. No es una hipótesis de laboratorio. Está en la querella.
Natalia Krapiva, abogada de Access Now, lo ha dicho sin rodeos. La misma tecnología que extrajo datos para investigaciones estadounidenses se ha usado dentro de Rusia para encarcelar a periodistas, activistas y disidentes pacíficos’, ha declarado. Y ha añadido: ‘el hecho de que haya tardado tanto es un escándalo de seguridad nacional y de derechos humanos’.
Access Now ha celebrado la decisión del DOJ, aunque la ha calificado de tardía, y ha pedido que los más de cien gobiernos que usan esta tecnología corten lazos de inmediato, impongan sanciones e investiguen cómo una herramienta diseñada para el FSB terminó dentro de sus operaciones policiales. Verá usted que la petición no es un brindis al sol: si el origen ruso descalifica a Oxygen en Estados Unidos, descalifica también a Oxygen en cada juzgado europeo que la haya comprado.
El propio DOJ introduce un matiz que conviene subrayar. La querella, especifica el departamento, no alega que el software contuviera código malicioso ni que se usara para acceder sin autorización a los sistemas o datos de ningún cliente. Es decir: no estamos ante una puerta trasera al estilo SolarWinds, sino ante un fraude de representación que colocó tecnología rusa en el corazón del aparato forense estadounidense.
Para las agencias afectadas, el daño es reputacional y operativo a la vez. La querella recoge que los responsables de contratación de los clientes del Gobierno estadounidense habrían rechazado adjudicar o renovar los contratos si hubieran conocido el control ruso. La confianza, en el negocio de la inteligencia, no se compra con licencias.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza es una infiltración de libro, con la particularidad de que no se produjo en una agencia, sino en una cadena de suministro privada. No hay agente ilegal al estilo clásico; hay una compañía que construye su reputación comercial sobre una identidad falsa y se coloca, desde dentro, en el punto ciego del sistema de adquisiciones. Es la versión contemporánea de la penetración de industria crítica.
En la fotografía de agencias hay tres planos. Ataca, si aceptamos la tesis del DOJ, un entramado ruso con vínculos con el FSB. Defienden las agencias estadounidenses que compraron la herramienta: el Servicio Secreto, Homeland Security Investigations, el inspector general del DHS y el Pentágono. Y miran, con interés nada disimulado, los servicios europeos y los organismos que llevan años usando tecnología de la misma familia.
A juzgar por la naturaleza del material manejado, estimo un nivel de clasificación equivalente a Confidencial y, en algunos de los contratos afectados, a Secreto. Piense en lo que estas herramientas extraen: mensajes, geolocalización contactos, registros de llamadas. Que ese flujo haya pasado durante años por manos bajo control ruso supone un riesgo de contrainteligencia de primer orden, incluso si el software, como sostiene el DOJ, no incluía puertas traseras.
Tengo grabado el caso de Aldrich Ames. Un funcionario de la CIA que vendió agentes a Moscú durante casi una década mientras pasaba todos los controles. La lección no cambia: en contrainteligencia, el fallo rara vez está en el ataque; está en el proceso burocrático que nadie revisó porque la fachada parecía suficiente.
Cabe una advertencia sobre la atribución. La relación de Oxygen Russia con el FSB está documentada en la querella, pero eso no convierte automáticamente a cada cliente estadounidense en víctima de una operación de inteligencia. El DOJ ha sido explícito. La frontera entre ‘tecnología rusa’ y ‘operación rusa’ es fina, y conviene no cruzarla sin pruebas. No lo hago yo, y no debería hacerlo ningún analista serio.
Dejémoslo en un ‘ya veremos’.
El caso queda ahora en manos de la justicia estadounidense, con la extradición de Davydov desde Londres como primera prueba de fuego. Para España, la lección es directamente aplicable: el CNI y el CCN-CERT llevan años insistiendo en el problema de la cadena de suministro tecnológica, y cada herramienta forense que entra en un juzgado o en un cuartel arrastra su propio origen. Nadie pregunta de dónde viene el software hasta que alguien lo detiene en un aeropuerto.
Sigo de cerca el calendario procesal: la comparecencia de Reiber ante el tribunal federal y la extradición de Davydov. Mientras tanto, sobrevuela una pregunta incómoda. ¿Cuántas otras compañías del sector están presentando la misma factura con un origen distinto?
