Policie i armáda používají software firmy s vazbami na Rusko

Česká policie, celní správa i ministerstvo obrany využívají forenzní software společnosti Oxygen Forensics. Firma se navenek prezentuje jako americká technologická společnost, podle amerických úřadů ale zatajovala ruské vlastníky i to, že její produkt vzniká v Rusku. Ve středu o tom informoval Deník N. Policejní prezidium po zjištěních nařídilo, aby systém nikdo neaktualizoval.

O jaký software jde

Nástroje Oxygen Forensics slouží bezpečnostním složkám k získávání dat z mobilních telefonů a počítačů. Podle Deníku N je využívají bezpečnostní složky napříč Evropou. Firma sídlí ve státě Virginia a navenek působí jako čistě americká společnost.

Podle vyšetřování amerických úřadů má ale přímé vazby na Rusko. Společnost vlastní pětice Rusů prostřednictvím mateřské firmy sídlící na Kypru. Skutečné vlastníky i to, že software vzniká v Rusku, firma podle serveru skrývala. Právě kvůli snaze zakrýt skutečný původ firmy a jejích produktů americké úřady koncem minulého týdne zadržely manažery Oxygen Forensics.

Deník N poukazuje také na spřízněnou ruskou firmu MKO. Mezi její zákazníky mohla patřit i Federální bezpečnostní služba (FSB), tedy ruská kontrarozvědka. Podle zveřejněných dokumentů amerických vyšetřovatelů pracovali vývojáři softwaru v Rusku a společnost MKO jej na ruském trhu prodávala pod různými názvy. Mezi odběratele měly podle vyšetřovatelů patřit ruská FSB, ruský vyšetřovací výbor a ruské ministerstvo vnitra.

Reakce policie a NÚKIB

Policejní prezidium podle serveru oznámilo všem podřízeným složkám, aby systém neaktualizovaly a vyčkaly na další informace z USA. Mluvčí prezidia Ondřej Moravčík Deníku N sdělil, že policie kroky amerických úřadů vůči Oxygen Forensics zaznamenala.

Informace o krocích učiněných ve vztahu ke společnosti Oxygen Forensics ze strany úřadů USA jsme zaznamenali. V této souvislosti jsme také přijali nezbytná předběžná opatření, která s ohledem na způsob využívání produktů této společnosti nebudeme nikterak specifikovat. V tuto chvíli čekáme na oficiální informace z americké strany, na základě kterých rozhodneme o dalším postupu.

Ondřej Moravčík, mluvčí policejního prezidia

K případu se vyjádřil i Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB). Ten na dotaz ČTK uvedl, že informace o možných hrozbách, včetně těch souvisejících s dodavatelskými řetězci, průběžně vyhodnocuje. Konkrétnější úřad nebyl.

Obecně platí, že podobné případy potvrzují význam bezpečnosti dodavatelského řetězce. Při posuzování rizik je důležité hodnotit nejen funkčnost konkrétního softwaru, ale také kdo a v jakém prostředí jej vyvíjí, spravuje a jaké má vazby.

Jakub Neščivera, mluvčí NÚKIB

Co bude dál

Policie podle svého vyjádření čeká na oficiální informace z americké strany a teprve na jejich základě rozhodne o dalším postupu. Do té doby platí pokyn systém neaktualizovat.