Το σκάνδαλο της Oxygen στις ΗΠΑ φανερώνει τις ευθύνες της Κύπρου – Η ανάλυση του Αλέξη Μαύρου για τις προεκτάσεις

Το σκάνδαλο με την αμερικανική εταιρεία Oxygen Forensics Inc μοιραία φέρνει στο προσκήνιο ερωτήματα που αφορούν μηχανισμούς ελέγχου από υπηρεσίες της Δημοκρατίας σε σχέση με λογισμικά.

Η νομική αυτή οντότητα βρέθηκε στο προσκήνιο στις ΗΠΑ μετά από διώξεις που έγιναν σε βάρος στελεχών της. Όπως προκύπτει για την ώρα από δικογραφία που τέθηκε ενώπιον αμερικανικού Δικαστηρίου, η εταιρεία που πωλεί λογισμικό εξαγωγής δεδομένων από ηλεκτρονικές συσκευές για λόγους δικανικών εξετάσεων, παρουσιάζεται να απέκρυψε το πραγματικό ιδιοκτησιακό της καθεστώς.

Συγκεκαλυμένα

Ο 55χρονος διευθύνων σύμβουλός της φέρεται να δήλωσε σε υπηρεσία των ΗΠΑ πως είναι αμιγώς αμερικανική εταιρεία. Ωστόσο, η μητρική της βάσει των ερευνών αμερικανικών Αρχών εδρεύει στην Κύπρο (Oxygen Forensics ltd) και να ελέγχεται από Ρώσους που συναλλάσσονται με υπηρεσίες της χώρας τους όπως η υπηρεσία αντικατασκοπείας FSB.

Οι κίνδυνοι

Το λογισμικό της Oxygen («Oxygen Forensic Detective») δεν έχει αποδειχθεί ότι περιέχει κακόβουλο κώδικα. Παρ΄ όλα αυτά η φερόμενη συγκεκαλυμένη της εταιρική δομή, μας οδηγεί αναπόφευκτα σε μια αναζήτηση για τέτοιου είδους προϊόντα, αλλά και το πώς η Κύπρος μπορεί να ασκήσει αποτελεσματικό έλεγχο για να αποφύγει το ενδεχόμενο να θέσει σε κίνδυνο την εθνική της ασφάλεια, αλλά και να μην βρεθεί στη δίνη ενός νέου σκανδάλου.

«Να εξετάζεται»

Ο «Φ» επιχειρώντας να δώσει τις διαστάσεις που έχει για την Κύπρο το θέμα, αποτάθηκε στον ανεξάρτητο ειδικό ψηφιακής εγκληματολογίας και διευθυντή της ISS Forensics, Αλέξη Μαύρο.

Στην αρχική του τοποθέτηση ο κ. Μαύρος κλήθηκε να μας αναφέρει κατά πόσον μια εταιρεία με τέτοιο κύκλο εργασιών, μπορεί να αναπτύσσει στο νησί μας τέτοια λογισμικά και να τα διαθέτει διεθνώς.

«Η εγγραφή μιας εταιρείας δεν σημαίνει αυτομάτως ότι έχει άδεια να διαθέτει οποιοδήποτε προϊόν, σε οποιονδήποτε πελάτη και σε οποιαδήποτε χώρα» είπε ευθαρσώς ο κ. Μάυρος.

Συμπλήρωσε, ωστόσο, ότι «από την άλλη, δεν σημαίνει ότι κάθε πρόγραμμα ανάλυσης δεδομένων χρειάζεται ειδική άδεια. Πρέπει να εξετάζεται ξεχωριστά τι κάνει το λογισμικό, πού εξάγεται και ποιες υπηρεσίες παρέχονται. Υπάρχει επίσης μια σημαντική διαφορά: η εμπορική άδεια χρήσης που πουλά ο κατασκευαστής επιτρέπει στον πελάτη να χρησιμοποιεί το προϊόν. Δεν αντικαθιστά, όμως, τυχόν κρατική άδεια που απαιτείται για την πώληση ή εξαγωγή του. Το ότι μια εταιρεία μπορεί να εκδώσει τιμολόγιο δεν σημαίνει απαραίτητα ότι μπορεί νόμιμα να διαθέσει τη συγκεκριμένη τεχνολογία στον συγκεκριμένο πελάτη».

«Εξήχθη μέσω Κύπρου;»

Ένα από τα ερωτήματα, το οποίο για την ώρα δεν απαντήθηκε, είναι κατά πόσον το προϊόν της Oxygen Forensics διατιθόταν σε άλλες χώρες μέσω του νησιού μας. Το επόμενο ερώτημα προς τον κ. Μάυρο, λοιπόν, είναι η διαδικασία έκδοσης τέτοιων αδειών στην Κύπρο.

«Βασικό πλαίσιο είναι ο Κανονισμός της ΕΕ 2021/821 για τα είδη διπλής χρήσης και, στην Κύπρο, η Κανονιστική Διοικητική Πράξη 528/2021» είπε ο Αλέξης Μαύρος και εξήγησε: «Οι κανόνες αυτοί μπορούν, υπό προϋποθέσεις, να καλύπτουν εξοπλισμό, λογισμικό, τεχνολογία, μεσιτεία και τεχνική βοήθεια, ακόμη και ορισμένες μεταφορές εντός της ΕΕ. Για τις σχετικές άδειες εξαγωγής αρμόδιος είναι ο Κλάδος Έκδοσης Αδειών Εξαγωγής Στρατηγικών Ειδών της Υπηρεσίας Εμπορίου, στο Υπουργείο Ενέργειας, Εμπορίου και Βιομηχανίας. Σημασία έχει τι ακριβώς μπορεί να κάνει το κάθε προϊόν. Ο ευρωπαϊκός κατάλογος ελέγχων περιλαμβάνει, υπό συγκεκριμένες προϋποθέσεις, εξοπλισμό που μπορεί να εξάγει δεδομένα από συσκευές παρακάμπτοντας τους ελέγχους πρόσβασης, καθώς και σχετικό λογισμικό. Αυτό δεν σημαίνει ότι κάθε προϊόν της Oxygen χρειάζεται αυτομάτως άδεια. Πρέπει να εξεταστούν τα τεχνικά χαρακτηριστικά του. Άρα, τα ερωτήματα είναι συγκεκριμένα: Αν το προϊόν εξήχθη μέσω Κύπρου, έχει εξεταστεί; Ποιοι κανόνες ίσχυαν; Και, εάν χρειαζόταν άδεια, υπήρχε; Υπάρχουν επίσης γενικές άδειες με συγκεκριμένους όρους. Επομένως, το γεγονός ότι δεν υπάρχει ατομική άδεια δεν σημαίνει από μόνο του ότι έγινε κάτι παράνομο».

Σε άλλο σημείο των τοποθετήσεών του ο δικανικός εμπειρογνώμονας μάς ανέφερε ότι ακόμη και αν ένα προϊόν «κατέβει» διαδικτυακά από μια υπηρεσία χώρας εκτός ΕΕ, μπορεί να θεωρείται εξαγωγή: «Ναι, αν κατεβάσει το πρόγραμμα, μπορεί να θεωρείται εξαγωγή.  Η εξαγωγή δεν σημαίνει μόνο ότι ένα προϊόν περνά από το τελωνείο μέσα σε ένα κιβώτιο. Ο ευρωπαϊκός Κανονισμός καλύπτει και την ηλεκτρονική αποστολή ή διάθεση λογισμικού και τεχνολογίας εκτός ΕΕ. Αυτό δεν σημαίνει ότι κάθε λήψη ενός προγράμματος χρειάζεται άδεια. Σημαίνει ότι η ηλεκτρονική παράδοση δεν εξαιρείται αυτομάτως από τους κανόνες. Το αν ονομάζεται ”συνδρομή” ή “άδεια χρήσης” δεν αρκεί για να κριθεί αν είναι νόμιμη η συναλλαγή. Πρέπει να γνωρίζουμε ποιος έδωσε τι, από πού, σε ποιον και για ποια χρήση».

Φορολογικά κίνητρα

Το επόμενό μας ερώτημα προς τον κ. Μαύρο έχει να κάνει με ενδεχόμενα φορολογικά κίνητρα που έχουν εταιρείες, οι οποίες παράγουν τέτοια λογισμικά στην Κύπρο: «Δεν υπάρχει γενικός μειωμένος ΦΠΑ επειδή μια εταιρεία είναι “τεχνολογική”. Ο κανονικός συντελεστής στην Κύπρο είναι 19%, ενώ στις συναλλαγές με άλλες χώρες ο τρόπος φορολόγησης εξαρτάται από το είδος της συναλλαγής, τον πελάτη και τον τόπο παροχής. Το IP Box είναι κάτι διαφορετικό. Πρόκειται για φορολογικό καθεστώς που μπορεί, υπό προϋποθέσεις, να μειώσει τη φορολογία κερδών από πνευματική ιδιοκτησία, μεταξύ άλλων και από λογισμικό. Προβλέπει έκπτωση 80% στα επιλέξιμα καθαρά κέρδη, υπό συγκεκριμένες προϋποθέσεις που συνδέονται με έρευνα και ανάπτυξη. Δεν έχουμε στοιχεία ότι η συγκεκριμένη εταιρεία χρησιμοποίησε αυτό το καθεστώς. Ένα φορολογικό κίνητρο δεν αντικαθιστά τους ελέγχους για εξαγωγές και κυρώσεις ούτε σημαίνει ότι το προϊόν έχει ελεγχθεί ως προς την ασφάλειά του. Για εργαλεία που αποκτούν πρόσβαση σε δεδομένα ή παρακάμπτουν μηχανισμούς προστασίας, πρέπει να εξετάζονται ακριβώς αυτές οι δυνατότητες».

Η περιγραφή του λογισμικού

Γνωστός διανομέας του λογισμικού της Oxygen που επανειλημμένα έχει συνεργαστεί με την Αστυνομία Κύπρου, παρουσιάζει λεπτομέρειες για τη χρήση του λογισμικού και τις δυνατότητες που αυτό παρέχει: «Η Oxygen Forensics παρέχει μία από τις πιο ισχυρές πλατφόρμες ψηφιακών ερευνών, επιτρέποντας ταχεία, ασφαλή και εις βάθος εξαγωγή δεδομένων από κινητές συσκευές, εφαρμογές και υπηρεσίες cloud. Με εκτεταμένη υποστήριξη συσκευών, προηγμένες δυνατότητες αποκρυπτογράφησης και ισχυρά εργαλεία ανάλυσης συσχετίσεων, η Oxygen μετατρέπει πολύπλοκα ψηφιακά δεδομένα σε αξιοποιήσιμες πληροφορίες (actionable intelligence)».

Μπορεί να έχει πρόσβαση η κατασκευάστρια εταιρεία…

Μια κατασκευάστρια εταιρεία που πωλεί τέτοιου είδους λογισμικά σε μια χώρα, υπό προϋποθέσεις, μπορεί να έχει πρόσβαση σε δεδομένα από την υπηρεσία της χώρας στην οποία παραχωρεί στη βάση συμβολαίου το προϊόν της.

• Μπορεί η κατασκευάστρια εταιρεία να έχει πρόσβαση στα δεδομένα που αναλύονται από μια υπηρεσία χώρας στην οποία πώλησε λογισμικό;

Υπό προϋποθέσεις. Η πώληση ενός λογισμικού δεν σημαίνει από μόνη της ότι η εταιρεία που το κατασκεύασε μπορεί να βλέπει τα δεδομένα του πελάτη. Αν όμως τα αποθηκεύει ή τα επεξεργάζεται, ή αποκτά πρόσβαση σε αυτά μέσω τεχνικής υποστήριξης ή υπηρεσιών cloud, τότε πρέπει να εξεταστεί με ποια ιδιότητα τα διαχειρίζεται, αν η επεξεργασία είναι νόμιμη, πόσο ασφαλή είναι τα δεδομένα και αν μεταφέρονται σε άλλες χώρες. Εφαρμόζονται οι κανόνες προστασίας προσωπικών δεδομένων και ειδικοί κανόνες όταν τα δεδομένα χρησιμοποιούνται από διωκτικές Αρχές.

• Αν το λογισμικό χρησιμοποιήθηκε από κυπριακές διωκτικές αρχές;

Τότε χρειάζονται απαντήσεις για το πώς αγοράστηκε, ποιος παρείχε τεχνική υποστήριξη και τι έλεγχοι ασφαλείας έγιναν. Η χρήση του προϊόντος δεν σημαίνει από μόνη της ότι αλλοιώθηκαν πειστήρια. Ο εξεταστής πρέπει να καταγράφει ποιο εργαλείο και ποια έκδοση χρησιμοποίησε, με ποια μέθοδο και πώς επιβεβαίωσε τα αποτελέσματα. Όπου είναι τεχνικά δυνατό, τα σημαντικά ευρήματα πρέπει να επιβεβαιώνονται και με ανεξάρτητο τρόπο. Το ζήτημα της δραστηριότητας της εταιρείας στην Κύπρο, πάντως, υπάρχει ανεξάρτητα από το ποιες κυπριακές κρατικές υπηρεσίες αγόρασαν και χρησιμοποιούν το συγκεκριμένο λογισμικό και από πότε.

• Υπάρχει επαρκές νομικό πλαίσιο στο νησί μας; Γίνονται οι απαραίτητοι έλεγχοι;

Υπάρχουν κανόνες. Το ερώτημα είναι ποιοι από αυτούς εφαρμόζονται στο συγκεκριμένο λογισμικό και στη συγκεκριμένη δραστηριότητα, αν είναι επαρκείς και αν εφαρμόστηκαν σωστά. Δεν αρκεί η απάντηση ότι “η εταιρεία είναι απλώς εγγεγραμμένη στην Κύπρο”. Πρέπει να γνωρίζουμε τι ακριβώς έκανε, ποιος την ήλεγχε, σε ποιους έδινε την τεχνολογία της, ποιες άδειες χρειαζόταν και ποιοι έλεγχοι έγιναν.