Cảnh sát London dừng dùng phần mềm pháp y số của Oxygen Forensics vì nghi ngờ liên hệ với Nga

Sở Cảnh sát Đô thị London (Metropolitan Police), còn được gọi là Scotland Yard, vừa tuyên bố tạm dừng sử dụng phần mềm pháp y số do hãng Oxygen Forensics cung cấp. Động thái này diễn ra sau khi giới chức Mỹ cáo buộc công ty tưởng chừng là của Mỹ này thực chất lại do các cá nhân người Nga sở hữu và phát triển phần mềm ngay tại Moskva.

Scotland Yard rà soát toàn diện

Theo nguồn tin từ tờ The Times, đại diện Met cho biết lực lượng này đã hoãn sử dụng công cụ trên trong lúc tiến hành "một cuộc rà soát toàn diện". Cơ quan này khẳng định tác động tới các cuộc điều tra đang tiến hành được đánh giá ở mức "cực kỳ hạn chế".

Met ký hợp đồng ba năm với Oxygen vào tháng 12 năm 2023. Các đội pháp y số của lực lượng này dùng phần mềm của hãng để trích xuất và phân tích dữ liệu từ điện thoại cùng nhiều thiết bị khác bị thu giữ trong quá trình điều tra.

Đáng chú ý, đại diện Met nhấn mạnh phần mềm của Oxygen chạy trên một hệ thống công nghệ thông tin khép kín, không kết nối internet, và chỉ được dùng trong chưa đầy 0,2% tổng số hơn 23.000 hoạt động mà đội pháp y số của họ thực hiện trong năm qua. Phía cảnh sát khẳng định không chia sẻ bất kỳ dữ liệu nào thu được từ điều tra với Oxygen Forensics.

Cáo buộc từ Bộ Tư pháp Mỹ

Diễn biến trên bắt nguồn từ cáo buộc của Bộ Tư pháp Mỹ. Theo đó, Oxygen Forensics – có trụ sở tại Alexandria, bang Virginia – đã tự giới thiệu với khách hàng chính phủ Mỹ như một công ty độc lập của Mỹ, dù thực tế được năm công dân Nga sở hữu và kiểm soát thông qua một công ty holding đặt tại Síp.

Các công tố viên cáo buộc chính nhóm năm người Nga này cũng sở hữu MKO Systems có trụ sở tại Moskva, trước đây mang tên Oxygen Software, nơi các lập trình viên thực sự viết ra phần mềm của Oxygen. Trong khi đó, MKO bán công nghệ này tại Nga dưới những tên sản phẩm khác nhau cho các khách hàng được cho là bao gồm Cơ quan An ninh Liên bang Nga (FSB), Ủy ban Điều tra Nga và Bộ Nội vụ nước này.

Danh sách khách hàng phía Mỹ của Oxygen không hề nhỏ. Các cơ quan quốc phòng và an ninh nội địa Mỹ từng mua phần mềm của hãng, trong đó có Cơ quan Điều tra An ninh Nội địa (HSI), Văn phòng Tổng Thanh tra Bộ An ninh Nội địa và Viện Pháp y Máy tính Quốc gia thuộc Cơ quan Mật vụ.

Điều đáng lưu ý là Bộ Tư pháp Mỹ không cáo buộc phần mềm của Oxygen chứa mã độc hay bị dùng để truy cập trái phép vào hệ thống hoặc dữ liệu của khách hàng.

CEO bị bắt tại sân bay Heathrow

Ông Lee Reiber, CEO của Oxygen, cùng công dân Nga Oleg Sergeyevich Davydov bị cáo buộc che giấu quyền sở hữu công ty và nơi phần mềm thực sự được phát triển.

Davydov, 52 tuổi, bị bắt tại sân bay Heathrow của London hồi tháng trước khi đang chuẩn bị bay tới Thổ Nhĩ Kỳ. Ông này đã ra trình diện tại Tòa án Sơ thẩm Westminster vào thứ Ba khi phía Mỹ theo đuổi yêu cầu dẫn độ. Thẩm phán Anthony Calloway đã từ chối cho tại ngoại, với lý do Davydov mang quốc tịch Nga, cư trú ở nước ngoài và có nguy cơ bỏ trốn.

Ảnh hưởng lan rộng khắp châu Âu

Tác động của vụ việc không chỉ giới hạn ở Scotland Yard. Hội đồng Trưởng Cảnh sát Quốc gia Anh (NPCC) cho biết các lực lượng cảnh sát khác tại nước này cũng dùng sản phẩm của Oxygen và đã được khuyến nghị tự tiến hành đánh giá.

Phát ngôn viên NPCC nêu rõ:

"Các lực lượng sử dụng sản phẩm của Oxygen cũng đã được khuyến khích thực hiện các đánh giá cục bộ phù hợp nhằm hiểu rõ và kiểm soát mọi vấn đề phát sinh."

Tại châu Âu, nhà chức trách Romania đã bắt đầu chấm dứt việc sử dụng các sản phẩm của Oxygen, trong khi Cảnh sát Quốc gia Latvia tạm dừng phần mềm này để chờ đánh giá.

Góc nhìn cho Việt Nam

Vụ việc là lời nhắc nhở về rủi ro chuỗi cung ứng trong lĩnh vực an ninh mạng và pháp y số. Khi các tổ chức, doanh nghiệp và cơ quan nhà nước Việt Nam ngày càng phụ thuộc vào công cụ nước ngoài để bảo vệ hệ thống và điều tra sự cố, việc xác minh nguồn gốc thực sự của nhà cung cấp – không chỉ giấy tờ pháp lý mà cả quyền sở hữu và nơi phát triển sản phẩm – trở nên cấp thiết hơn bao giờ hết.

Các chuyên gia khuyến nghị tổ chức nên rà soát kỹ nhà cung cấp phần mềm an ninh, đặc biệt với những công cụ có quyền truy cập sâu vào dữ liệu nhạy cảm như thiết bị di động, và xây dựng phương án dự phòng để tránh bị động nếu một công cụ bất ngờ bị loại khỏi danh sách tin cậy.