Orosz hátterű telefontörő szoftvert használ a NAV – a minisztérium szerint egyelőre nincs biztonsági kockázat
A Nemzeti Adó- és Vámhivatal továbbra is használja az Oxygen Forensics digitális kriminalisztikai szoftverét, miközben az amerikai hatóságok szerint a vállalat éveken át elhallgatta orosz tulajdonosi és fejlesztési hátterét. A Pénzügyminisztérium szerint jelenleg nincs adat arra, hogy a szoftver kártékony kódot tartalmazna, vagy jogosulatlan hozzáférést biztosítana az általa kezelt adatokhoz.
Érdemben elsőként reagált magyar kormányzati szerv az Oxygen Forensics ügyére. A Pénzügyminisztérium megerősítette, hogy a NAV használja az Oxygen digitális kriminalisztikai megoldását, és a hatóság folyamatosan figyeli a szoftverrel kapcsolatban megjelenő információkat.
„A NAV a témával kapcsolatosan felmerülő adatokat, információkat folyamatosan nyomon követi és az esetlegesen felmerülő biztonsági kockázatokra reagálva azonnal megteszi a szükséges intézkedéseket” – közölte a tárca.
A minisztérium szerint jelenleg nem merült fel olyan információ, amely arra utalna, hogy az Oxygen alkalmazása önmagában biztonsági kockázatot jelentene. „Az Oxygen szoftvert a világ legtöbb forenzikus adatmentő és elemző egységei használják mobiltelefonok adatmentésére és adatelemzésre. A hírekkel ellentétben nem merült fel adat arra vonatkozóan, hogy a szoftver kártékony kódot tartalmaz, vagy jogosulatlan hozzáférést biztosítana az általa feldolgozott adatokhoz” – válaszolta a Pénzügyminisztérium.
A tárca azt is közölte, hogy a magyar használat jelentős részben internetkapcsolat nélkül történt.
Évek óta jelen van a NAV-nál
Korábbi közbeszerzési dokumentumok alapján az Oxygen Forensic Detective nem új eszköz a magyar hatóságoknál. Egy 2022-es NAV-közbeszerzésben már kilenc licenc szerepelt: hét licencet két évre, további kettőt egy évre kívántak meghosszabbítani. A dokumentáció szerint valamennyi licenc eredeti lejárata 2022. augusztus 4. volt, vagyis a rendszer már ezt megelőzően is a NAV használatában állt.
A beszerzések később is folytatódtak. A NAV 2025-ben újabb két évre hosszabbította meg hét Oxygen Forensic Detective-licencét. A „Bűnügyi adatmentő szoftverlicencek meghosszabbítása” tárgyú eljárás műszaki dokumentációja hét, helyszíni adatmentésre alkalmas, hardverkulcsos licencet sorolt fel. A tendert a Lenár Kft. nyerte nettó 22,295 millió forintos ajánlattal.
A NAV saját beszerzési dokumentációja szerint a szoftvert mobiltelefonok forenzikus adatmentésére, részleges elemzésére és felhős adattárak mentésére szerezték be.
Az Oxygen a magyar rendőrségnél is megjelent. Az ORFK nyilvános szerződéslistája szerint 2024 végén a Lenár Kft.-vel kötöttek 10,14 millió forintos informatikai szerződést, amely az Oxygen Forensics Detective mellett AccessData FTK és X-Ways Forensic szoftvereket is tartalmazott.
Az amerikai eljárás miatt került újra reflektorfénybe
Az Oxygen körüli ügy azt követően kapott nemzetközi figyelmet, hogy az amerikai igazságügyi minisztérium szeptemberben büntetőeljárásról számolt be a vállalat vezetői ellen. Az amerikai vádhatóság szerint a Virginia államban bejegyzett cég az Egyesült Államokban amerikai tulajdonú és fejlesztésű vállalkozásként mutatta be magát, miközben valójában öt orosz állampolgár tulajdonolta és ellenőrizte egy ciprusi holdingon keresztül, a fejlesztési munkák jelentős részét pedig Oroszországban végezték.
Az amerikai büntetőeljárás nem állítja, hogy maga az Oxygen szoftvere kártékony kódot vagy hátsó kaput tartalmazott volna, és azt sem, hogy a vállalat jogosulatlanul hozzáfért ügyfelei rendszereihez vagy adataihoz. Ezzel összhangban a Pénzügyminisztérium is azt közölte, hogy a NAV jelenleg nem rendelkezik ilyen kockázatra utaló adattal.
Az ügy különösen azért érzékeny, mert az amerikai hatóságok szerint az Oxygen orosz tulajdonosi köréhez tartozó másik társaság ugyanarra a technológiai alapra épülő termékeket értékesített az orosz Szövetségi Biztonsági Szolgálatnak, a Nyomozó Bizottságnak és az orosz belügyminisztériumnak is.
A Nemzeti Adó- és Vámhivatal és az Országos Rendőr-főkapitányság az ügy magyar vonatkozásairól korábban nem adott érdemi választ. A magyarországi használatról és a biztonsági kockázatok megítéléséről végül a Pénzügyminisztérium szolgált információval.
