Il caso Oxygen arriva anche in Italia: 25 licenze alla Polizia di Stato, mentre l’Europa ferma il software sotto inchiesta per i legami russi

Romania, Lettonia e Regno Unito hanno sospeso o avviato la cessazione dell’uso del programma con cui le forze dell’ordine analizzano telefoni e altri dispositivi. I procuratori americani accusano i vertici della società di aver nascosto proprietari e sviluppo in Russia. Non hanno però contestato furti di dati o la presenza di codice malevolo. Le carte degli appalti mostrano perché anche l’Italia deve chiarire come ha impiegato questa tecnologia.

Un software capace di estrarre e organizzare i dati di un telefono sequestrato è uno strumento delicato. Può aiutare a ricostruire conversazioni, spostamenti e rapporti tra persone; i risultati del suo lavoro possono entrare in un’indagine e arrivare davanti a un giudice. Per questo la domanda su chi sviluppi e controlli quel software riguarda la sicurezza delle istituzioni, ma anche la fiducia nelle prove digitali.

È la domanda aperta dal caso Oxygen Forensics. Dopo un’inchiesta di POLITICO sui rapporti tra la società e le forze dell’ordine europee, la Direzione nazionale anticorruzione rumena ha avviato la procedura per chiudere il proprio contratto. La polizia lettone ha sospeso l’impiego del programma in attesa di una valutazione. A Londra, la Metropolitan Police ne ha interrotto l’uso e disposto una revisione. Sono decisioni cautelative prese in tre Paesi europei, due dei quali membri dell’Unione, mentre negli Stati Uniti è in corso un procedimento penale sulla proprietà e sulla gestione della società. POLITICO, 30 settembre 2026

La vicenda ha un risvolto italiano più concreto di un semplice riferimento in un elenco di programmi investigativi. Un avviso pubblicato nella Gazzetta Ufficiale documenta l’aggiudicazione del rinnovo di 25 licenze di Oxygen Forensic Detective, con aggiornamenti e assistenza per 36 mesi, destinate a diversi servizi della Polizia di Stato. Il contratto fu aggiudicato il 7 dicembre 2023 a una società italiana per 335.129 euro, IVA esclusa. Gli atti pubblici non dicono, da soli, se e in quali indagini quelle licenze siano state utilizzate, né se il programma sia tuttora in uso dopo le notizie di questi giorni. Rendono però necessario porre la questione anche alle autorità italiane. Gazzetta Ufficiale, 15 aprile 2024

L’accusa americana: una società statunitense controllata dalla Russia

Oxygen Forensics ha sede ad Alexandria, in Virginia. Secondo il Dipartimento di Giustizia degli Stati Uniti, dietro l’azienda vi sarebbero però cinque cittadini russi che la possedevano e controllavano attraverso una holding con sede a Cipro. Il software, sostiene l’accusa, sarebbe stato sviluppato e gestito da un gruppo di lavoro in Russia.

Il 23 settembre le autorità americane hanno annunciato l’arresto dell’amministratore delegato Lee Reiber e di Oleg Sergeyevich Davydov, cittadino russo fermato all’aeroporto londinese di Heathrow. Sono accusati di associazione finalizzata alla frode telematica: avrebbero nascosto ad agenzie federali la proprietà effettiva dell’azienda e il luogo in cui il programma veniva realizzato, ottenendo così contratti pubblici. Reiber è stato rilasciato su cauzione; per Davydov gli Stati Uniti prevedono di chiedere l’estradizione. Si tratta di accuse ancora da provare in giudizio. Dipartimento di Giustizia USA, 23 settembre 2026

Nella ricostruzione dei procuratori, dopo l’invasione su vasta scala dell’Ucraina nel 2022 e l’ampliamento delle sanzioni contro Mosca, i proprietari russi sarebbero scomparsi dalle registrazioni societarie pubbliche, pur continuando a prendere decisioni rilevanti. Reiber avrebbe dichiarato più volte a uffici del governo americano che Oxygen non aveva proprietari stranieri o che nessuno in Russia partecipava allo sviluppo del prodotto. L’accusa sostiene il contrario.

Il Dipartimento di Giustizia descrive anche una società russa posseduta dagli stessi cinque soggetti, oggi denominata MKO Systems, che vendeva il software con altri nomi sul mercato interno. Tra i clienti indicati negli atti come riportati, figurano il servizio di sicurezza federale FSB, il Comitato investigativo russo e il ministero dell’Interno. Questo collegamento societario è una ragione evidente per approfondire le verifiche. Non dimostra, di per sé, che i dati raccolti dalle polizie europee siano stati trasmessi ai servizi russi, né che il Cremlino abbia diretto un’operazione attraverso Oxygen. Dipartimento di Giustizia USA

Che cosa fa Oxygen Forensic Detective, e che cosa non sappiamo

Oxygen Forensic Detective è un programma di informatica forense. Serve agli investigatori per acquisire o analizzare informazioni provenienti da dispositivi digitali e per produrre rapporti utilizzabili nel lavoro investigativo. A seconda del dispositivo, degli accessi disponibili e della tecnica impiegata, questo genere di strumenti può trattare messaggi, fotografie, contatti, dati delle applicazioni e informazioni sulla posizione. Non va confuso automaticamente con uno spyware installato di nascosto sul telefono di una persona: qui il caso riguarda anzitutto un prodotto usato dalle autorità nel trattamento delle prove digitali.

È altrettanto essenziale chiarire il limite dell’inchiesta americana. Il Dipartimento di Giustizia scrive espressamente che la denuncia non sostiene che il software contenesse codice malevolo o che sia stato usato per accedere senza autorizzazione ai sistemi o ai dati dei clienti. Presentare come accertato uno spionaggio ai danni delle polizie europee significherebbe andare oltre le prove disponibili. Dipartimento di Giustizia USA

Questo non rende irrilevante la questione della proprietà. Chi controlla lo sviluppo di uno strumento forense può incidere sulle sue versioni, sugli aggiornamenti e sulle modalità di assistenza. Un’autorità che lo acquista deve poter verificare non soltanto se il programma funziona, ma anche chi ha accesso al processo con cui viene costruito e distribuito. È una valutazione del rischio: non la prova che quel rischio si sia già trasformato in una compromissione.

Romania, Lettonia e Londra: le prime risposte

La Direzione nazionale anticorruzione rumena ha comunicato a POLITICO di aver avviato le procedure per rescindere gli obblighi contrattuali relativi a Oxygen. La più recente licenza annuale era stata acquistata il 27 agosto tramite un distributore locale, per circa 13.000 euro. L’agenzia ha precisato che i propri controlli non hanno trovato prove di compromissione dei dati estratti o elaborati con il programma. La scelta di interrompere il rapporto nasce dunque dalle informazioni emerse sulla società, non dall’accertamento pubblico di una fuga di dati. POLITICO

In Lettonia la sospensione è stata confermata dalla polizia alla radiotelevisione pubblica LSM. Gli investigatori usavano Oxygen per ottenere e analizzare prove elettroniche. Secondo la polizia, il programma operava su un computer separato dalla rete dell’istituzione e dai normali computer dei dipendenti, senza connessione: una precauzione che riduce alcuni possibili canali di esposizione, ma che non sostituisce la verifica del prodotto e della sua filiera. La documentazione pubblica lettone mostra anche un appalto del 2025 per l’aggiornamento delle licenze Oxygen Forensic Detective. LSM; Polizia di Stato lettone, documentazione dell’appalto

Anche la polizia metropolitana di Londra ha sospeso l’utilizzo del software in attesa di una revisione. Il National Police Chiefs’ Council britannico ha invitato le altre forze che impiegano la tecnologia a compiere proprie valutazioni. La differenza tra le tre risposte è significativa: sospendere l’uso, verificare un possibile incidente informatico e sciogliere un contratto sono decisioni distinte. Le autorità stanno ancora cercando di stabilire quale sia il rischio effettivo e come gestirlo. POLITICO

Il nodo italiano: un appalto per quattro ambiti della Polizia di Stato

L’avviso della Gazzetta Ufficiale indica che le 25 licenze rinnovate erano destinate alle esigenze della Polizia Stradale, della Polizia Postale e delle Comunicazioni, della Polizia Scientifica e del servizio Affari e Informazioni Generali della Polizia di Prevenzione. La parola “rinnovo” segnala inoltre che le licenze erano già state acquisite in precedenza. L’aggiudicazione del 2023 prevedeva aggiornamenti e supporto tecnico per 36 mesi attraverso il fornitore italiano Datamatic Sistemi & Servizi. Gazzetta Ufficiale

Questo documento prova un acquisto pubblico; non prova che dati investigativi italiani siano usciti dalle postazioni della polizia. Non consente nemmeno di sapere quali versioni siano state installate, quali funzioni siano state usate e quali misure di isolamento fossero in vigore. Sono proprio le informazioni che un chiarimento del ministero dell’Interno potrebbe offrire: Oxygen è ancora impiegato? Sono stati sospesi aggiornamenti e servizi di assistenza? È stata avviata una verifica indipendente delle installazioni e degli eventuali collegamenti con l’esterno?

POLITICO ha segnalato anche un documento della Procura di Sassari, pubblicato nell’aprile 2026, che menziona Oxygen tra i sistemi utilizzabili dalla polizia giudiziaria per l’analisi dei dispositivi mobili. È un’indicazione ulteriore della conoscenza del prodotto nel settore forense italiano, non la prova che quella Procura lo abbia comprato o usato in un procedimento specifico. POLITICO, inchiesta del 28 settembre 2026

I progetti europei: il software compare, ma la società non risulta finanziata dall’UE

Il caso arriva fino alla ricerca europea sulle prove digitali. Oxygen compare nei materiali di EVIDENCE, progetto coordinato dal Consiglio nazionale delle ricerche tra il 2014 e il 2016, come una delle imprese del settore considerate nella rete di esperti e nell’analisi degli strumenti forensi. Compare poi in INSPECTr, progetto finanziato dall’UE e concluso nel 2023: un suo documento tecnico spiega che, nello studio dei formati di esportazione delle prove, furono elaborati dati anche con Oxygen Forensic Detective. CORDIS, progetto EVIDENCE; INSPECTr, documento tecnico D2.3

La distinzione, qui, è decisiva. Secondo la risposta della Commissione europea riportata da POLITICO, Oxygen non faceva parte dei consorzi dei due progetti e non ha ricevuto direttamente fondi europei. Le schede ufficiali dei progetti e i relativi elenchi dei partecipanti sono coerenti con questa precisazione. Dire che “Bruxelles ha finanziato Oxygen” sarebbe quindi fuorviante. Resta legittimo chiedersi quali verifiche vengano effettuate quando tecnologie commerciali entrano, anche come strumenti di riferimento, in progetti che riguardano lo scambio transfrontaliero delle prove. POLITICO; CORDIS, progetto INSPECTr

Sul piano degli appalti si apre inoltre una questione da accertare, senza anticipare conclusioni giuridiche: le restrizioni europee relative ai contratti con soggetti russi o da essi controllati richiedono di guardare alla proprietà effettiva e al controllo concreto, oltre che al nome del fornitore sul contratto. La loro eventuale applicazione a singoli acquisti, soprattutto quando intervengono distributori, spetta alle autorità competenti e dipende dagli atti e dalle circostanze di ciascun caso. Regolamento UE n. 833/2014, articolo 5 duodecies

Le verifiche da fare sulle prove digitali

La prima esigenza è ricostruire dove il software sia stato installato, quali versioni e aggiornamenti siano stati utilizzati e se il produttore o i suoi incaricati abbiano avuto canali di assistenza verso quelle postazioni. La seconda è controllare i registri tecnici e le copie delle prove elaborate, conservandone l’integrità. Dove necessario, i risultati più sensibili possono essere confrontati con altri strumenti e procedure indipendenti.

Un audit del genere servirebbe sia a individuare eventuali anomalie sia a escluderle con elementi verificabili. La scoperta di una proprietà nascosta non annulla automaticamente le prove acquisite con un programma; l’eventuale affidabilità di una specifica acquisizione va valutata sul procedimento seguito, sulla documentazione disponibile e sull’integrità dei dati. Lasciare invece il dubbio senza una verifica può alimentare contestazioni e sfiducia anche dove non si sia verificato alcun incidente.

Il significato politico del caso è più ampio della sorte di una singola azienda. Europa e Russia sono in un confronto sempre più duro, mentre le istituzioni europee dipendono da tecnologie specialistiche prodotte attraverso catene societarie e di sviluppo spesso difficili da leggere. Nel caso Oxygen, l’ipotesi di controllo russo è al centro di un’accusa penale americana; uno spionaggio attraverso il prodotto non è stato accertato. Sono due affermazioni che devono restare separate.

Proprio per questo la risposta più solida non è immaginare ciò che le indagini non hanno trovato. È chiedere verifiche trasparenti su contratti, proprietà effettiva, aggiornamenti e trattamento delle prove. La Romania e la Lettonia hanno già comunicato le prime decisioni, Londra ha aperto una revisione. L’Italia, dove un appalto ufficiale documenta 25 licenze destinate alla Polizia di Stato, deve ancora chiarire pubblicamente quale sia la situazione attuale.