สรุปสั้น

คำฟ้องของกระทรวงยุติธรรมสหรัฐฯ (DoJ) ต่อบริษัท Oxygen Forensics เมื่อสัปดาห์ที่ผ่านมา เมื่อแรกดูเหมือนเป็นเรื่องอื้อฉาวด้านการจัดซื้อจัดจ้างของสหรัฐฯ โดยนาย Lee Reiber ซึ่งเป็น CEO และนาย Oleg Davydov ผู้ร่วมก่อตั้งชาวรัสเซีย ถูกกล่าวหาว่าปกปิดข้อเท็จจริงที่ว่าบริษัทถูกคนรัสเซียเป็นเจ้าของและซอฟต์แวร์ถูกพัฒนาขึ้นในรัสเซีย ขณะที่ขายเครื่องมือนิติวิทยาศาสตร์ดิจิทัลให้กับเพนตากอน หน่วยสืบราชการลับ (Secret Service) และหน่วยงานอื่นของสหรัฐฯ แต่รายงานของ Politico ชี้ว่าขอบเขตของเรื่องนี้ไปไกลกว่ากรุงวอชิงตันมาก

จากเอกสารที่ Politico ตรวจสอบ Oxygen Forensics เกี่ยวข้องกับโครงการที่ได้รับทุนจากสหภาพยุโรปสองโครงการที่ออกแบบมาเพื่อยกระดับการเก็บและแบ่งปันหลักฐานดิจิทัลของผู้สืบสวนในยุโรป ที่น่ากังวลยิ่งกว่าคือ บุคคลห้าคนกลุ่มเดียวกันที่แอบเป็นเจ้าของ Oxygen Forensics ยังควบคุมบริษัท MKO Systems ในรัสเซียที่ขายเทคโนโลยีพื้นฐานเดียวกันให้กับ FSB และกระทรวงมหาดไทยของรัสเซีย เท่ากับว่าเครื่องมือนิติวิทยาศาสตร์ชุดเดียวกันมีลูกค้าสองกลุ่มที่อยู่คนละฝั่งของการสืบสวนหลายคดีที่กำลังดำเนินอยู่

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 30 กันยายน 2569 โดยอ้างคำฟ้องของ DoJ ว่า “CEO ของบริษัทซอฟต์แวร์ในรัฐเวอร์จิเนียและชาวรัสเซียคนหนึ่งถูกจับกุมตามคำร้องทุกข์อาญาระดับรัฐบาลกลาง ในข้อหาปกปิดต่อหน่วยงานรัฐบาลสหรัฐฯ ว่าบริษัทของตนถูกเป็นเจ้าของและควบคุมโดยคนสัญชาติรัสเซีย และซอฟต์แวร์ถูกพัฒนาในรัสเซีย” โดยนาย Reiber ถูกกล่าวหาว่าแจ้งต่อรัฐบาลว่าบริษัทไม่มีเจ้าของหรือการควบคุมจากต่างชาติและซอฟต์แวร์พัฒนาในสหรัฐฯ ทั้งที่จริงมีชาวรัสเซียห้าคนรวมถึงนาย Davydov เป็นเจ้าของและควบคุมบริษัท

คำฟ้องระบุว่า ในเดือนธันวาคม 2022 และตุลาคม 2023 นาย Reiber รับรองเท็จต่อรัฐบาลสหรัฐฯ ว่า Oxygen Forensics ไม่มีเจ้าของในระดับสูงสุด และในเดือนพฤศจิกายน 2023 เมื่อผู้สื่อข่าวสอบถามเรื่องความเป็นเจ้าของและความเชื่อมโยงกับบริษัทรัสเซีย นาย Reiber ได้เขียนถึงนาย Davydov และเจ้าของชาวรัสเซียอีกสองคนว่าการรายงานข่าวเรื่องความเชื่อมโยงนี้ “อาจทำลายโอกาสทั้งหมดนี้” โดยหมายถึงสัญญาที่ค้างอยู่กับ National Computer Forensics Institute และระบุว่า “การดำรงอยู่ของบริษัทในปัจจุบันแขวนอยู่บนเส้นด้าย”

เบื้องหลังและเครือข่ายในยุโรป

โครงการแรกคือ EVIDENCE ที่ดำเนินการระหว่างปี 2014 ถึง 2016 และได้รับทุนจากสหภาพยุโรปกว่า 1.9 ล้านยูโร โดย Oxygen ถูกปรึกษาร่วมกับองค์กรอย่าง Europol, Eurojust และหน่วยนิติวิทยาศาสตร์ดิจิทัลของสำนักงานต่อต้านการฉ้อโกงยุโรป ส่วนโครงการที่สองคือ INSPECTr ที่ได้รับทุนผ่าน Horizon 2020 พัฒนาซอฟต์แวร์ที่ให้ผู้สืบสวนรวมหลักฐานที่สกัดด้วยเครื่องมืออย่างของ Oxygen เข้ากับข้อมูลจากระบบอื่น และดำเนินต่อจนถึงปี 2023 หลังรัสเซียบุกยูเครน คณะกรรมาธิการยุโรปชี้แจงว่า Oxygen ไม่ได้เป็นสมาชิกอย่างเป็นทางการของทั้งสองกลุ่มและไม่ได้รับทุนโดยตรงจากอียู แต่ประเด็นที่กว้างกว่าคือ Oxygen ยังถูกปรึกษาในโครงการที่ได้รับทุนจากอียูซึ่งเกี่ยวข้องกับหลักฐานดิจิทัลและเทคโนโลยีการสืบสวน

เมื่อเริ่มนับรายชื่อลูกค้าในยุโรป พบว่ายาวมาก ตามบันทึกการจัดซื้อของอียู หน่วยงานตำรวจในเยอรมนี สเปน อิตาลี และโปแลนด์ ได้รับรองหรือจัดซื้อผลิตภัณฑ์ของ Oxygen ตำรวจฮังการีลงนามสัญญามูลค่าราว 27,000 ยูโรในเดือนธันวาคม 2024 สำนักอัยการในซาร์ดิเนียระบุ Oxygen เป็นหนึ่งในระบบสกัดข้อมูลมือถือที่รับรองจนถึงเดือนเมษายน 2026 ขณะที่โรมาเนียและลัตเวียเพิ่งจัดซื้อในเดือนกันยายนนี้ ไม่กี่วันก่อนการจับกุม นอกจากนี้สื่อฝรั่งเศส Disclose ยังรายงานว่าซอฟต์แวร์ของ Oxygen ถูกส่งให้ทางการโมร็อกโกผ่านโครงการบริหารจัดการชายแดนที่อียูให้ทุน และอียูยังจ่ายค่าอบรมที่พนักงาน Oxygen สอนตำรวจโมร็อกโกใช้ซอฟต์แวร์

ผลกระทบ

กรณีนี้สะท้อนความเสี่ยงด้านซัพพลายเชนของเครื่องมือความมั่นคงและนิติวิทยาศาสตร์ที่ลึกกว่าการละเมิดข้อมูลทั่วไป เพราะเครื่องมือนิติวิทยาศาสตร์เข้าถึงหลักฐานดิจิทัลที่อ่อนไหวที่สุดในการสืบสวนคดีอาญา หากเครื่องมือที่ถูกควบคุมโดยผลประโยชน์ของรัสเซียถูกใช้จัดการฐานข้อมูลหลักฐานของหน่วยงานตะวันตก ก็เปิดความเป็นไปได้ที่ข้อมูลอ่อนไหวจะถูกเข้าถึงโดยทางการรัสเซีย ดังที่นาง Natalia Krapiva จาก Access Now เตือน ความเสี่ยงยังไม่หมดไปแม้หน่วยงานจะเลิกใช้ เพราะข้อมูลที่ถูกสกัดไปแล้วด้วยซอฟต์แวร์นี้ยังคงอยู่ ขณะนี้หน่วยงานบางแห่งเริ่มตอบสนอง เช่น สำนักงานต่อต้านคอร์รัปชันแห่งชาติของโรมาเนียที่ประกาศจะเลิกใช้ผลิตภัณฑ์ของ Oxygen หลังเรื่องความเป็นเจ้าของถูกเปิดเผย แต่หน่วยงานตำรวจอีกหลายประเทศยังไม่ตอบคำถามของ Politico

คำแนะนำ

หน่วยงานภาครัฐและองค์กรที่ใช้เครื่องมือความมั่นคงหรือเครื่องมือนิติวิทยาศาสตร์ควรตรวจสอบความเป็นเจ้าของและประเทศต้นทางของการพัฒนาซอฟต์แวร์ที่ใช้งาน โดยเฉพาะเครื่องมือที่เข้าถึงหลักฐานหรือข้อมูลที่อ่อนไหว ควรกำหนดให้การจัดซื้อเครื่องมือกลุ่มนี้ผ่านกระบวนการตรวจสอบห่วงโซ่อุปทาน (supply-chain due diligence) ที่ครอบคลุมถึงโครงสร้างความเป็นเจ้าของที่แท้จริง (beneficial ownership) และความเชื่อมโยงกับหน่วยงานข่าวกรองต่างชาติ สำหรับหน่วยงานที่เคยใช้ซอฟต์แวร์ที่ถูกตั้งคำถาม ควรประเมินว่าข้อมูลหลักฐานที่สกัดไปแล้วอาจถูกบุกรุก และพิจารณามาตรการควบคุมความเสียหายร่วมกับการสอบสวนภายใน รวมถึงจำกัดการเชื่อมต่อออกภายนอกของเครื่องมือนิติวิทยาศาสตร์และเก็บบันทึกการใช้งานไว้ตรวจสอบ

แหล่งอ้างอิง