Bộ Tư pháp Mỹ: Cơ quan chính phủ mua phần mềm pháp y từ chính tổ chức Nga cung cấp cho FSB

Bộ Tư pháp Mỹ (DoJ) vừa công bố cáo trạng gây chấn động ngành an ninh mạng: các cơ quan quốc phòng và an ninh nội địa nước này đã mua phần mềm pháp y kỹ thuật số do chính tổ chức người Nga phát triển — tổ chức mà theo các công tố viên, cũng bán sản phẩm tương tự cho FSB và nhiều cơ quan an ninh khác của Nga.

Cáo buộc che giấu nguồn gốc Nga

Theo DoJ, Giám đốc điều hành Oxygen Forensics, ông Lee Reiber, và công dân Nga Oleg Sergeyevich Davydov đã bị bắt giữ và truy tố với tội danh âm mưu lừa đảo qua mạng. Cáo trạng cho rằng hai người này tham gia vào một kế hoạch che giấu quyền sở hữu thực sự của công ty cũng như nơi phần mềm thực sự được phát triển.

Oxygen Forensics có trụ sở tại bang Virginia (Mỹ) và đã bán các công cụ pháp y kỹ thuật số cho Bộ Quốc phòng Mỹ cùng nhiều đơn vị thuộc Bộ An ninh Nội địa (DHS), bao gồm Cơ quan Điều tra An ninh Nội địa (HSI), Văn phòng Tổng Thanh tra DHS và Viện Pháp y Máy tính Quốc gia (NCFI) thuộc Sở Mật vụ.

Các công tố viên cáo buộc Oxygen tự giới thiệu với chính phủ Mỹ như một công ty độc lập của Mỹ, trong khi thực tế công ty này do năm công dân Nga sở hữu và kiểm soát thông qua một công ty holding đặt tại Cyprus.

Một tổ chức, hai bộ khách hàng đối lập

Điều đáng chú ý là chính năm cá nhân sở hữu Oxygen cũng đồng thời sở hữu một tổ chức tại Nga, trước đây mang tên Oxygen Software LLC và nay là MKO Systems LLC.

Theo DoJ, các lập trình viên viết phần mềm làm việc tại Nga, trong khi MKO bán phần mềm này tại thị trường Nga dưới các tên sản phẩm khác nhau cho những khách hàng được cho là bao gồm FSB, Ủy ban Điều tra Nga và Bộ Nội vụ Nga.

Nói cách khác, cùng một tổ chức phát triển phần mềm đã cung cấp công cụ cho cả các cơ quan chính phủ Mỹ lẫn các cơ quan an ninh Nga — hai nhóm khách hàng với lợi ích hoàn toàn đối lập.

Chuỗi che giấu sau năm 2022

Theo cáo trạng, hành vi che giấu được đẩy lên mức cao hơn sau khi Nga tấn công Ukraine năm 2022 và Washington mở rộng các lệnh trừng phạt. Các công tố viên cho rằng ông Reiber được đưa lên vị trí CEO, chủ tịch và chủ tịch hội đồng quản trị của Oxygen, trong khi các chủ sở hữu người Nga biến mất khỏi hồ sơ đăng ký doanh nghiệp công khai nhưng vẫn tiếp tục đưa ra các quyết định quan trọng.

Cụ thể, họ được cho là vẫn quyết định mức thù lao của ông Reiber, phủ quyết các khoản thanh toán và giữ quyền ký kết trên tài khoản ngân hàng của công ty.

Khi một phóng viên liên hệ đặt câu hỏi về mối liên hệ với Nga của Oxygen vào năm 2023, ông Reiber được cho là đã nói với các chủ sở hữu rằng bài báo liên quan "có thể phá hủy toàn bộ cơ hội này" — ám chỉ hợp đồng mà công ty đang theo đuổi với NCFI. Ông này được cho là còn nói thêm rằng "sự tồn tại hiện tại" của Oxygen "đang bị đe dọa".

Hợp đồng với chính phủ Mỹ và những tuyên bố sai lệch

NCFI sau đó đã trao cho Oxygen một hợp đồng phần mềm kéo dài năm năm vào tháng 9/2024. Theo các công tố viên, Oxygen cũng đã riêng rẽ khẳng định với Bộ Quốc phòng Mỹ rằng không có bất kỳ cá nhân nước ngoài nào có quyền kiểm soát công ty hoặc các quyết định của công ty.

Đến tận tháng 3/2026, ông Reiber được cho là vẫn nói với nhân viên DHS rằng không có người Nga nào tham gia phát triển phần mềm và không ai ở Nga có quyền truy cập vào môi trường xây dựng sản phẩm. DoJ khẳng định thực tế phần mềm được viết và quản lý bởi một nhóm người Nga dưới sự chỉ đạo của ông Davydov.

Bắt giữ và tịch thu tài sản

Ông Reiber bị bắt tại bang Idaho, trong khi ông Davydov bị bắt tại sân bay Heathrow ở London trước khi lên chuyến bay tới Istanbul. Mỹ dự kiến sẽ yêu cầu dẫn độ ông Davydov.

Cơ quan chức năng cũng đã tịch thu tài khoản ngân hàng của công ty, khoảng 57 tên miền cùng nhiều hạ tầng kỹ thuật khác.

Đáng chú ý, DoJ không cáo buộc rằng phần mềm của Oxygen chứa mã độc hay được sử dụng để truy cập trái phép vào hệ thống hoặc dữ liệu của khách hàng.

Hệ quả pháp lý

Nếu bị kết tội, cả hai người có thể đối mặt với mức án lên tới 20 năm tù. Vụ việc một lần nữa đặt ra câu hỏi lớn về chuỗi cung ứng phần mềm trong lĩnh vực an ninh quốc gia — nơi việc xác minh nguồn gốc và quyền kiểm soát thực sự của nhà cung cấp trở thành yếu tố sống còn.

Đối với độc giả Việt Nam, đây là lời nhắc nhở đáng cân nhắc trong bối cảnh các tổ chức và doanh nghiệp trong nước ngày càng sử dụng nhiều công cụ an ninh mạng nhập khẩu. Việc thẩm định kỹ nguồn gốc, quyền sở hữu và môi trường phát triển của phần mềm — đặc biệt là các sản phẩm pháp y kỹ thuật số có quyền truy cập sâu vào hệ thống — cần được xem là một phần bắt buộc trong quy trình mua sắm công nghệ.