El DOJ dice que un proveedor forense ocultó años su propiedad rusa

El 21 de septiembre de 2026, unos agentes federales detuvieron en su casa de Idaho a Lee Reiber, CEO del proveedor de análisis forense digital con sede en Virginia Oxygen Forensics. Ese mismo día, unos agentes detuvieron a Oleg Sergeyevich Davydov (el empresario con sede en Moscú que, según la fiscalía, es el verdadero propietario y quien controla la empresa) en el aeropuerto de Londres Heathrow, antes de que pudiera embarcar en un vuelo de conexión a Estambul. Ambos están acusados de conspiración para cometer fraude electrónico. La acusación central de la denuncia: una empresa que vendió durante más de una década software de análisis forense de dispositivos móviles al Servicio Secreto de EE. UU. y a otras agencias federales no era, como se presentaba, una empresa estadounidense independiente: era propiedad de ciudadanos rusos y su software se siguió desarrollando en Rusia, a lo largo de años de sanciones de EE. UU. contra Rusia y de contratos del gobierno de EE. UU. que dependían de saber justo lo contrario.

Qué alega la denuncia

Oxygen Forensics se constituyó en Virginia en 2013 de la mano de Davydov, que antes había dirigido durante más de una década una empresa rusa predecesora, llamada originalmente Oxygen Software LLC y fundada en 2000. Reiber se incorporó a la entidad estadounidense en 2015 y se convirtió en su cara pública como CEO. La fiscalía alega que, a pesar de ello, Davydov y otros cuatro ciudadanos rusos fueron en todo momento los propietarios y quienes controlaban la empresa, y que su software lo siguieron escribiendo y manteniendo desarrolladores con sede en Rusia. Después de que Estados Unidos impusiera sanciones ampliadas a Rusia a principios de 2022 tras la invasión de Ucrania, la denuncia alega que Davydov, Reiber y sus coconspiradores acordaron ocultar activamente la verdadera propiedad de la empresa en lugar de revelarla. Se alega que Reiber certificó después falsamente ante el gobierno de EE. UU., en diciembre de 2022 y de nuevo en octubre de 2023, que Oxygen Forensics no tenía un propietario inmediato ni de máximo nivel. Una declaración de un investigador citada en la información sobre la denuncia dice que Reiber sabía ya en 2018 que el gobierno de EE. UU. tenía preocupaciones de seguridad concretas sobre el software desarrollado en Rusia, lo que forma parte de lo que hace notables las certificaciones alegadas durante varios años: no se presentó como un descuido descubierto más tarde, sino como una preocupación permanente de la que, según la denuncia, ya se le había informado.

Lo que el DOJ no alega, y por qué importa la distinción

Lee con atención el propio lenguaje de la denuncia, porque traza una línea concreta: la fiscalía afirma explícitamente que no alega que el software contuviera código malicioso ni que se usara para obtener acceso no autorizado a los sistemas o datos de ningún cliente. La acusación trata de una propiedad ocultada y de certificaciones falsas: un fraude al proceso de contratación y de divulgación, no (tal como se ha formulado la acusación) un compromiso técnico del propio producto. Merece la pena detenerse en esta distinción en lugar de pasarla por alto. No hace menos graves las acusaciones; cambia el tipo de fallo. Una puerta trasera es un problema técnico con una solución técnica. Una tergiversación durante años, sin detectar, sobre quién posee y dirige realmente a un proveedor que vende herramientas forenses a las fuerzas de seguridad federales es un problema de gobernanza y de verificación, y eso no lo detectan los mismos controles que detectan el malware.

Quiénes eran los clientes afectados

La información sobre la denuncia y la cobertura relacionada nombran a varios clientes federales: el Servicio Secreto de EE. UU. y su National Computer Forensics Institute (NCFI), que según se informa adjudicó a Oxygen Forensics un contrato de cinco años y 12 millones de dólares en septiembre de 2024; Homeland Security Investigations; la Oficina del Inspector General del DHS; y una unidad mencionada como el Departamento de Guerra. Otra información sitúa el gasto total documentado del gobierno de EE. UU. en los productos de la empresa en más de 5,6 millones de dólares desde 2011, repartidos entre el Departamento de Seguridad Nacional (unos 2,7 millones), el Tesoro y el propio Departamento de Justicia. Son agencias cuya función central depende de la integridad y la independencia de sus herramientas forenses: el software de análisis forense digital extrae y maneja pruebas que acaban en procesos penales, que es justo el tipo de uso en el que «quién controla realmente al proveedor» no es una cuestión abstracta de cumplimiento.

La parte de la historia en el mercado ruso

La empresa original de Davydov (Oxygen Software LLC, rebautizada como MKO-Systems LLC en 2022, el mismo año en que se intensificó la presión de las sanciones) siguió vendiendo, según se informa, software forense en el mercado ruso, incluidos los servicios de seguridad rusos, según varios medios que han cubierto la denuncia y la información relacionada (la lista concreta de compradores del gobierno ruso que circula en la cobertura de esta historia en redes sociales, incluidas agencias con nombre, va más allá de lo que la información independiente ha confirmado directamente a la fecha de redacción; trata esa enumeración concreta como no verificada). Por otro lado, una investigación de febrero identificó a una persona relacionada con las operaciones de Oxygen, Eduard Benderskiy, a quien las autoridades británicas han descrito como un antiguo alto cargo del FSB. Nada de esto se presenta en la denuncia como prueba de que el software desplegado en EE. UU. estuviera comprometido (véase la sección anterior), pero es el telón de fondo que, según la fiscalía, hacía que mereciera la pena ocultar activamente la propiedad en lugar de simplemente revelarla.

La incautación de infraestructura

Al margen de los cargos penales, las autoridades federales incautaron el 20 de septiembre unos 57 dominios, la ciberinfraestructura relacionada y cuentas bancarias corporativas, en virtud de una orden emitida el día anterior. Se trata de una incautación civil o administrativa paralela a la denuncia penal, no forma parte de la acusación de fraude electrónico en sí, pero es la parte de esta historia con consecuencias operativas más directas para cualquiera que tuviera infraestructura de Oxygen Forensics en su entorno o en su cadena de actualizaciones: los dominios incautados dejan de resolverse, y todo lo que depende de ellos (comprobaciones de licencias, servidores de actualizaciones, endpoints de telemetría) puede romperse sin aviso.

En qué punto está el caso

Reiber compareció por primera vez ante el Tribunal de Distrito de EE. UU. en Idaho y quedó en libertad bajo fianza. El camino de Davydov hacia un tribunal estadounidense depende de su extradición desde el Reino Unido tras su detención en Heathrow. Son acusaciones contenidas en una denuncia penal federal. Ambos acusados gozan de la presunción de inocencia mientras no se demuestre su culpabilidad. Nada de esto debe leerse como una declaración de hechos probados por un tribunal.

La verdadera lección de seguridad

Deja a un lado a los acusados concretos y trátalo como un caso de estudio, porque el mecanismo es lo reutilizable. Un proveedor federal certificó por escrito su estructura de propiedad ante el gobierno de EE. UU. dos veces, a lo largo de varios años, mientras, según se alega, era todo el tiempo de propiedad extranjera y desarrollaba fuera del país, y la tergiversación se mantuvo hasta que una investigación federal la sacó a la luz, no hasta que la detectó una revisión rutinaria de cumplimiento. No es una historia sobre Rusia en concreto; es una historia sobre lo que significa en la práctica la «evaluación del riesgo de proveedores» en la mayoría de las organizaciones, públicas o no: un formulario autodeclarado, recogido una vez en la incorporación, rara vez revisado y del que uno se fía por defecto. Las estructuras de titularidad real, los registros mercantiles y el lugar donde se escribe realmente el código son cosas que pueden cambiar y que cambian: las sanciones, las adquisiciones y las reestructuraciones societarias crean justo el tipo de momento en que el relato que un proveedor hace de sí mismo deja de coincidir con la realidad, y esos momentos son también justo cuando es menos probable que la autocertificación se corrija voluntariamente.

La conclusión práctica para cualquier programa de seguridad o de compras, no solo los federales: las declaraciones sobre la propiedad y sobre el lugar de desarrollo necesitan un desencadenante de reverificación ligado a sucesos del mundo real (un cambio en el régimen de sanciones, un cambio de denominación social del proveedor, un cambio en el origen real de los tickets de soporte o de los commits de código), no solo una casilla en el ciclo de renovación. Un formulario que un proveedor rellena sobre sí mismo es el punto de partida de la diligencia debida, no un sustituto de ella.

Empieza una revisión del riesgo de proveedores →

Preguntas frecuentes

¿De qué se acusa a Oxygen Forensics? La fiscalía alega que Oxygen Forensics, una empresa de análisis forense digital registrada en Virginia que vende software de extracción de datos de dispositivos móviles a agencias del gobierno de EE. UU., ocultó que en realidad era propiedad de ciudadanos rusos y estaba controlada por ellos (y no por su CEO estadounidense, como se presentaba) y que su software lo seguían desarrollando ingenieros en Rusia. Se alega que el CEO, Lee Reiber, certificó ante el gobierno de EE. UU. en diciembre de 2022 y de nuevo en octubre de 2023 que la empresa no tenía un propietario inmediato ni de máximo nivel, algo que, según la fiscalía, era falso.

¿Quiénes son Lee Reiber y Oleg Davydov? Lee Reiber, de 55 años y residente en Boise (Idaho), es el CEO de Oxygen Forensics; se incorporó a la empresa en 2015 y fue detenido en Idaho, y después quedó en libertad bajo fianza. Oleg Sergeyevich Davydov, de 52 años y residente en Moscú, aparece descrito en la denuncia como el verdadero propietario que controla la empresa; fundó en 2000 una empresa rusa predecesora (Oxygen Software LLC, rebautizada después como MKO-Systems LLC) y ayudó a constituir la entidad de Virginia en 2013. Fue detenido en el aeropuerto de Londres Heathrow antes de un vuelo de conexión, y se espera que EE. UU. pida su extradición.

¿Alegó el DOJ que el software fuera malicioso o tuviera una puerta trasera? No. La denuncia afirma explícitamente que no alega que el software contuviera código malicioso ni que se usara para obtener acceso no autorizado a los sistemas o datos informáticos de ningún cliente. La acusación es de conspiración para cometer fraude electrónico por ocultar la propiedad y el origen: una tergiversación ante los procesos de contratación y de control de exportaciones, no la alegación de un compromiso técnico.

¿Qué agencias del gobierno usaban el software de Oxygen Forensics? Entre los clientes nombrados en la información sobre la denuncia están el Servicio Secreto de EE. UU. y su National Computer Forensics Institute (que, según se informa, adjudicó un contrato de cinco años y 12 millones de dólares en septiembre de 2024), Homeland Security Investigations, la Oficina del Inspector General del DHS y una unidad a la que la denuncia se refiere como el Departamento de Guerra. Otra información sitúa el gasto total del gobierno de EE. UU. en los productos de la empresa desde 2011 en más de 5,6 millones de dólares entre el DHS, el Tesoro y el DOJ.

¿Qué pasa ahora en el caso? Ambos acusados lo están de conspiración para cometer fraude electrónico y gozan de la presunción de inocencia mientras no se demuestre su culpabilidad ante un tribunal. Reiber quedó en libertad bajo fianza tras su primera comparecencia ante el Tribunal de Distrito de EE. UU. en Idaho. El caso de Davydov depende de su extradición desde el Reino Unido. Por otro lado, las autoridades federales incautaron el 20 de septiembre unos 57 dominios, la ciberinfraestructura relacionada y cuentas bancarias corporativas en virtud de una orden emitida el día anterior: una incautación civil o administrativa distinta de los cargos penales.