La Metropolitan Police ha utilizzato strumenti di informatica forense della statunitense Oxygen Forensics per estrarre dati da telefoni e altri dispositivi. Ora ne ha sospeso l’impiego dopo le accuse del Dipartimento di Giustizia americano: dietro la società della Virginia vi sarebbero stati proprietari russi e un’attività di sviluppo software condotta in Russia. Non ci sono, però, accuse di codice malevolo o di accessi abusivi ai dati dei clienti. Il caso riapre il problema della sicurezza dei fornitori tecnologici degli apparati occidentali
Scotland Yard ha utilizzato nelle proprie indagini un software di informatica forense sviluppato, secondo gli inquirenti americani, da personale operante in Russia per una società che si presentava sul mercato come statunitense. È quanto ricostruito dal Telegraph, secondo cui unità specialistiche della Metropolitan Police hanno impiegato gli strumenti di Oxygen Forensics per estrarre informazioni da telefoni cellulari e altri dispositivi nel corso di indagini operative.
La questione, tuttavia, va separata da quella di un’effettiva compromissione dei sistemi britannici. Il Dipartimento di Giustizia degli Stati Uniti non sostiene che il software contenesse codice malevolo, né che Oxygen abbia ottenuto accessi non autorizzati ai computer o ai dati dei propri clienti. Il problema emerso dall’indagine americana riguarda piuttosto la proprietà della società, la provenienza del software e le informazioni che sarebbero state fornite alle amministrazioni pubbliche che lo acquistavano.
La società americana che, secondo Washington, era controllata da russi
Oxygen Forensics ha sede ad Alexandria, in Virginia, e produce strumenti utilizzati per recuperare, conservare e analizzare dati contenuti in smartphone, computer e altri dispositivi digitali. Una tecnologia particolarmente sensibile proprio perché entra nella catena della prova digitale e viene utilizzata da polizie e agenzie governative.
Il 23 settembre il Dipartimento di Giustizia americano ha annunciato l’arresto dell’amministratore delegato Lee Reiber e del cittadino russo Oleg Sergeyevich Davydov. L’accusa è di associazione finalizzata alla frode telematica. Secondo la denuncia federale, Oxygen avrebbe dichiarato al governo americano di non essere sottoposta a controllo straniero e di sviluppare il proprio software negli Stati Uniti. Gli investigatori sostengono invece che cinque cittadini russi, compreso Davydov, controllassero la società attraverso una holding con sede a Cipro e che lo sviluppo del prodotto fosse affidato a un gruppo di programmatori in Russia. Le accuse devono ancora essere provate in tribunale e gli imputati sono da considerarsi innocenti fino a eventuale condanna.
Gli stessi cinque cittadini russi, secondo il Dipartimento di Giustizia, controllavano anche la società russa oggi denominata Mko Systems, precedentemente Oxygen Software. Quest’ultima avrebbe commercializzato in Russia versioni della medesima tecnologia a clienti che comprendevano il Servizio federale di sicurezza, l’Fsb, il Comitato investigativo e il ministero dell’Interno russo.
Dopo l’estensione delle sanzioni contro Mosca seguita all’invasione dell’Ucraina nel 2022, secondo gli inquirenti americani sarebbe iniziata l’operazione per occultare proprietà e attività di sviluppo russe. I proprietari furono rimossi dai registri societari pubblici, ma avrebbero continuato a esercitare un’influenza sulle decisioni dell’azienda e sui suoi conti.
La verifica di Scotland Yard
La Metropolitan Police aveva sottoscritto con Oxygen un contratto triennale nel dicembre 2023. Dopo l’emergere delle accuse americane, Scotland Yard ha sospeso l’utilizzo del prodotto e avviato una revisione completa. La polizia londinese ha precisato che lo strumento funzionava all’interno di un sistema informatico chiuso e non connesso a Internet e che i dati ricavati dalle indagini non venivano condivisi con Oxygen.
Anche l’impiego risulterebbe quantitativamente limitato: secondo i dati forniti dalla stessa Metropolitan Police, Oxygen sarebbe stato utilizzato in meno dello 0,2% delle oltre 23 mila attività condotte nell’ultimo anno dalle strutture di digital forensics. Per questo Scotland Yard ritiene al momento “estremamente limitato” il possibile impatto sulle indagini in corso.
La vicenda non dimostra che dati investigativi britannici siano finiti a Mosca. Mostra invece quanto possa diventare complesso verificare la provenienza effettiva degli strumenti digitali acquistati dallo Stato, soprattutto quando proprietà societaria, sviluppo del codice e commercializzazione del prodotto sono distribuiti tra più giurisdizioni.
E il dossier riguarda anche l’Europa
Il caso non si ferma al Regno Unito. Un’inchiesta di Politico ha ricostruito la presenza degli strumenti Oxygen anche nell’ecosistema europeo dell’informatica forense. I prodotti della società risultano acquistati o accreditati presso forze di polizia di diversi Paesi, tra cui Germania, Spagna, Polonia e Italia.
Per quanto riguarda il nostro Paese, Politico cita un documento tecnico della Procura di Sassari dell’aprile 2026 nel quale Oxygen Forensics compare fra i sistemi utilizzabili dalla polizia giudiziaria per l’estrazione e l’analisi dei dati contenuti nei dispositivi mobili. La società compare inoltre nella storia di due progetti europei dedicati alla gestione delle prove digitali. La Commissione europea ha precisato che Oxygen non faceva parte dei relativi consorzi e non ha quindi ricevuto direttamente finanziamenti dell’Unione.
Le capacità di digital forensics sono ormai parte dell’infrastruttura quotidiana della sicurezza occidentale. Telefoni, applicazioni, cloud e dispositivi elettronici costituiscono una quota crescente del materiale investigativo. Di conseguenza, conoscere non soltanto chi vende uno strumento, ma chi ne controlla realmente l’azienda, dove viene scritto il codice e chi può intervenire sul suo sviluppo diventa una componente della sicurezza nazionale.
