米国防・治安機関との契約を獲得していた携帯電話ハッキング企業、ロシア資本を隠蔽していたと司法省が主張

クレムリン傘下の機関が利用しているロシア資本の携帯電話ハッキング企業が、その外国資本の実態を米国防総省や国土安全保障省(DHS)などから隠し、数百万ドル規模の契約を獲得していたとして、法執行当局は同社幹部2名を逮捕しました。司法省が水曜日に発表しました。

Oxygen Forensics(Oxygen US)のCEOで、アイダホ州ボイシ在住のLee Reiber被告は自宅州で逮捕され、司法省が同社を実質的に支配していたと主張する5人のロシア国籍者の一人であるOleg Davydov被告はロンドンで逮捕されました。同省はDavydov被告について、ロンドンからの身柄引き渡しを求める方針です。両被告には電信詐欺共謀の罪が科されています。

刑事告発状によると、Oxygen社は対外的に、Reiber被告がバージニア州アレクサンドリアに拠点を置く同社の真の指導者であるかのように装うため、あらゆる手段を講じており、ロシア拠点の経営陣が同社を支配しているわけではないと主張していました。同社は政府機関に対して米国資本の企業だと説明していた一方で、実際にはロシア人の同社関係者が繰り返しReiber被告の判断を覆していたと、告発状は主張しています。

Oxygen社の事業目的は、ロシアによるウクライナ侵攻を受けて米国がロシアに対する制裁を拡大した2022年に複雑化しました。同社がReiber被告をCEOに据え、企業の公開書類から所有者の名前を削除したのはこの時期です。それでもなお、告発状に登場する共謀者の一人(氏名非公表)は、「重大な決定はDavydov被告を含む5人の株主によって下される」と述べていたとされています。

2022年3月以降、Oxygen社はフォレンジック(デジタル鑑識)ソフトウェアを米シークレットサービス、国土安全保障省捜査局(HSI)、DHS監察官室、そして国防総省に販売してきました。2022年の制裁措置後も、Oxygen社はシークレットサービスおよび傘下の全米コンピューターフォレンジック研究所(NCFI)から200万ドルを超える契約・購入を獲得しています。告発状によれば、Reiber被告は今年2月という最近の時点でもNCFIに対し、米国資本であると主張していました。

告発状は、Reiber被告が同社の真の所有構造を隠す必要性を認識していたと指摘しています。Oxygen社と競合他社はメディア上や法廷でたびたび対立してきました。Oxygen社は2023年、Oxygen USとOxygen Russiaがともに、Elcomsoft社の製品からリバースエンジニアリングされたソフトウェアコードを使用しているとの告発に直面しています。なお、Oxygen Russiaの顧客にはロシア連邦保安庁(FSB)が含まれていました。

告発状はメールのやり取りを引用しつつ、「この告発がReiber被告にとって重要だった理由は、正直に答えれば、Oxygen USとOxygen Russiaが同一チームによって開発された同一のソフトウェアを販売しており、同一人物によって所有されていることを明らかにせざるを得なくなるからだ」と記しています。

告発状によれば、Oxygen社の実際の所有構造が知られていれば、政府機関側の判断は変わっていたはずだとされています。

「米政府の顧客機関の調達担当者は、OxygenUSがロシア資本の企業であると知っていれば、フォレンジックソフトウェアの契約を締結・更新することはなかったと証言している」と告発状は記しています。

Access Nowのシニア・テック法務顧問であるNatalia Krapiva氏は、今回の動きを歓迎しつつも、司法省の対応は遅きに失したと指摘しました。

「市民社会は長年、Oxygen Forensicsがロシア資本によって所有され、ロシアで開発された企業であると警告してきました。そして今、司法省がそれを裏付けたのです」とKrapiva氏はCyberScoopに語りました。「米政府がこの重要な一歩を踏み出したことを評価しますが、これほど時間がかかったこと自体が、国家安全保障上、そして人権上のスキャンダルでもあります」

「米国の捜査でデータ抽出に使われてきたのと同じ技術が、ロシア国内ではジャーナリストや活動家、平和的な反体制派を投獄するために使われてきました。しかもその影響は米国の国境内にとどまりません」と同氏は続けました。「私たちは米国、そしてこの技術を利用する100を超える各国政府に対し、同社との関係を直ちにすべて断ち切り、制裁を実施し、FSB向けに設計されたロシア製技術が長年にわたり自国の機密性の高い法執行活動の内部でどのように使われてきたのか、全面的な調査を実施するよう求めます」

法廷文書に記載されているReiber被告の弁護人は、コメント要請に応じませんでした。Davydov被告の弁護人は特定できませんでした。

司法省は発表の中で、「本告発状は、当該ソフトウェアに悪意のあるコードが含まれていたこと、または同ソフトウェアが顧客のコンピューターシステムやデータへの不正アクセスに使用されたことを主張するものではない」と明記しています。