¿Qué es el espionaje corporativo? Señales, casos y defensas

El espionaje corporativo (también llamado espionaje comercial o industrial) es el robo de información empresarial confidencial para obtener una ventaja competitiva o económica: secretos comerciales, propiedad intelectual, investigación, hojas de ruta de productos, precios y datos de clientes, sustraídos por un competidor u otra parte interesada, o en su nombre. Lo que lo hace distintivo, y difícil, es que buena parte pasa por personas que ya tienen acceso legítimo.

Para medir lo expuesta que está tu organización al robo protagonizado por internos, prueba el scorecard de riesgo de espionaje interno.

Qué busca y en qué se diferencia del espionaje de Estado

El objetivo del espionaje corporativo no es directamente el dinero, sino el conocimiento propietario que da a una empresa su ventaja: la fórmula, el diseño, la estrategia, la lista de clientes, la hoja de ruta no publicada. El motivo es comercial: ayudar a un competidor a ponerse al día o adelantarse sin el costo y el tiempo de desarrollar ese conocimiento de forma honesta.

Ese motivo es la principal frontera entre el espionaje corporativo y el patrocinado por un Estado, que sirve a un interés nacional y no a una sola empresa. Ambos se solapan cuando un gobierno realiza o patrocina espionaje económico en favor de sus industrias nacionales, y ese solapamiento importa a los defensores: los actores respaldados por un Estado pueden aportar mucha más paciencia, financiación y capacidad que cualquier competidor corriente. Los métodos se parecen; los recursos detrás quizá no.

La dimensión interna

El espionaje corporativo está estrechamente ligado a la amenaza interna, porque el camino más corto hacia la información propietaria suele ser alguien que ya puede llegar a ella. Eso incluye al interno malintencionado que vende o se lleva datos, al empleado reclutado o infiltrado que actúa para un tercero, al miembro del personal descontento o que se marcha y se lleva archivos a su nuevo empleador y, con mucha frecuencia, al interno descuidado que comparte de más o maneja mal material sensible sin intención de causar daño. Un contratista, consultor o proveedor con acceso legítimo también cuenta. La implicación incómoda es que una defensa pensada solo para mantener fuera a los externos pasará por alto gran parte del riesgo real.

Un caso real: los archivos del coche autónomo

El patrón de manual es un interno de confianza que se va a un competidor y se lleva el conocimiento. En agosto de 2020, un juez federal de EE. UU. condenó a Anthony Levandowski, exingeniero de Google que después dirigió la unidad de coches autónomos de Uber, a 18 meses de prisión tras declararse culpable de un cargo de robo de secretos comerciales del programa de coches autónomos de Google. El tribunal también ordenó una restitución de 756.499,22 $ a Waymo, la empresa de coches autónomos de Google, según el Departamento de Justicia de EE. UU.. No hubo ningún hackeo: los archivos se los llevó alguien que tenía acceso legítimo a ellos, y por eso los controles de abajo empiezan por el acceso y por las bajas.

Los métodos

Los atacantes combinan técnicas cibernéticas y humanas, eligiendo la más barata para cada objetivo:

• Phishing y robo de credenciales para obtener acceso remoto a sistemas y datos, a menudo como primer paso.
• Internos reclutados o infiltrados, o el aprovechamiento del resentimiento de un empleado existente, para obtener datos de alguien que ya goza de confianza.
• Ingeniería social y pretexting: manipular al personal para que revele información o acceso haciéndose pasar por alguien de su confianza.
• Acceso físico: colarse en edificios detrás de alguien, robar dispositivos o recuperar documentos y soportes que no se destruyeron correctamente.
• Compromiso de la cadena de suministro, cuando un proveedor, contratista o socio con acceso se convierte en la vía de entrada. Evaluar esa exposición es justo para lo que está pensado un scorecard de riesgo de proveedores.

Conviene subrayar lo a menudo que la pérdida real de datos es de baja tecnología: un empleado que copia archivos a una nube personal o a una memoria USB en las semanas previas a su renuncia es una historia mucho más habitual que una intrusión de película. Es la misma exposición silenciosa por la salida de datos que describimos en nuestro explicativo sobre la fuga de datos; la diferencia es la intención.

Una nota sobre la ley

En la mayoría de las jurisdicciones, apropiarse indebidamente de secretos comerciales y robar información empresarial confidencial es ilícito y puede acarrear responsabilidad civil y sanciones penales, y otras leyes sobre el uso indebido de sistemas informáticos suelen cubrir el acceso no autorizado utilizado para obtenerla. Pero qué cuenta como secreto comercial protegido, qué remedios se aplican y cómo se tratan los casos transfronterizos varía según el país y los hechos del caso. Esto es información general, no asesoramiento legal. Ante un incidente sospechado, o para redactar protecciones como acuerdos de confidencialidad y condiciones laborales, consulta a un abogado cualificado en tu jurisdicción.

Espionaje corporativo frente a inteligencia competitiva, y las leyes aplicables

La diferencia entre la inteligencia competitiva y el espionaje corporativo es el método. La inteligencia competitiva reúne información por medios lícitos y éticos. El espionaje la obtiene mediante robo, engaño, acceso no autorizado o el incumplimiento de un deber de confidencialidad.

• Inteligencia competitiva (legítima): registros públicos e informes anuales, patentes publicadas, desmontaje de productos comprados en el mercado abierto, material de ferias comerciales, ofertas de empleo públicas y cobertura de prensa.
• Espionaje corporativo (ilícito): entrar en sistemas, sobornar o reclutar a un interno, engañar con pretextos al personal para que revele información confidencial, llevarse archivos a un nuevo empleador o usar información que sabes que se obtuvo de forma indebida.

La mayoría de los sistemas jurídicos protegen los secretos comerciales, y varios marcos tipifican el delito de forma expresa. En Estados Unidos, la Economic Espionage Act de 1996 convierte el robo de secretos comerciales en un delito federal: 18 U.S.C. §1831 cubre el robo que beneficia a un gobierno extranjero y §1832 cubre el robo comercial. La Defend Trade Secrets Act de 2016 añadió una acción civil federal. En la Unión Europea, la Directiva de secretos comerciales (UE) 2016/943 fija normas comunes para proteger la información empresarial no divulgada. Como se indicó arriba, esto es información general, no asesoramiento legal.

Un punto práctico para los defensores: muchas de estas leyes protegen la información solo si el titular tomó medidas razonables para mantenerla en secreto. Los controles de abajo (clasificación, límites de acceso, acuerdos de confidencialidad) cumplen por tanto dos funciones. Reducen el riesgo de robo y ayudan a conservar tu recurso legal si el robo ocurre de todos modos.

Cómo defenderse

La defensa asume que la amenaza puede venir tanto de dentro como de fuera, y superpone controles en consecuencia:

• Clasifica tus joyas de la corona. No puedes proteger lo que no has identificado. Sabe qué información es realmente sensible para aplicar los controles más fuertes al subconjunto que importa.
• Aplica el mínimo privilegio. Cada persona y cada sistema deben llegar solo a lo que exige su función, para que una sola cuenta comprometida o malintencionada exponga lo menos posible. Detectar cuentas con demasiados permisos es para lo que sirve una revisión de riesgo de identidad.
• Controla la salida con DLP. Pon controles de prevención de pérdida de datos en los canales por los que pueden salir los datos (correo, subidas web, sincronización en la nube, soportes extraíbles) para detectar y bloquear datos sensibles en su camino hacia fuera.
• Monitorea lo inusual. Descargas masivas, accesos a horas extrañas o alguien que llega a datos fuera de su patrón normal son las señales que deja la mayoría de los casos internos.
• Usa acuerdos de confidencialidad, políticas y formación. Haz explícitas las obligaciones de confidencialidad, las normas de manejo de datos y las consecuencias de incumplirlas, para que las expectativas sean claras y exigibles.
• Revisa y monitorea a los terceros con acceso, y limita a qué pueden llegar.
• Aplica procesos disciplinados de altas, cambios y bajas. Concede el acceso de forma acotada, revísalo cuando cambian las funciones y revócalo en cuanto alguien se va: la ventana de la persona que se marcha es uno de los periodos de mayor riesgo.

Razonar sobre quién podría llegar a tu información más valiosa, y por qué camino, es justo lo que hace explícito un modelo de amenazas. El espionaje corporativo rara vez derrota de frente a un programa bien estructurado en capas; busca el único activo con un acceso demasiado amplio y sin monitoreo. Cierra esos huecos y eliminarás la mayor parte de la oportunidad.

Preguntas frecuentes

¿Qué es el espionaje corporativo? El robo de información empresarial confidencial (secretos comerciales, PI, estrategia, datos de clientes) por parte de un competidor o para él, con fines de ventaja comercial, a menudo a través de personas con acceso legítimo.

¿En qué se diferencia del espionaje de Estado? En el motivo: el espionaje corporativo busca una ventaja comercial; el de Estado sirve a un interés nacional. Se solapan cuando los gobiernos respaldan el espionaje económico, lo que añade recursos y paciencia.

¿Qué métodos se usan? Phishing y robo de credenciales, internos reclutados o malintencionados, ingeniería social, acceso físico y compromiso de la cadena de suministro, a menudo combinados con copias de datos de baja tecnología por parte de personal que se marcha.

¿Es ilegal? En la mayoría de las jurisdicciones, robar secretos comerciales e información confidencial es ilícito y tiene consecuencias civiles y penales, pero los detalles varían. Esto es información general, no asesoramiento legal: consulta a un abogado.

¿Cómo te defiendes? Clasifica los datos sensibles, aplica el mínimo privilegio, despliega DLP y controles de salida, monitorea los accesos inusuales, usa acuerdos de confidencialidad y formación, revisa a los terceros y aplica procesos estrictos de altas y bajas.

La ley en EE. UU.: la Economic Espionage Act de 1996

La Economic Espionage Act de 1996 (Pub. L. 104-294, promulgada el 11 de octubre de 1996) creó dos delitos federales:

• Espionaje económico, 18 U.S.C. 1831: robar un secreto comercial con la intención o el conocimiento de que beneficiará a un gobierno, organismo o agente extranjero. Una persona se expone a una multa de hasta 5.000.000 $, hasta 15 años de prisión o ambas; una organización, a una multa de hasta la mayor de estas cantidades: 10.000.000 $ o tres veces el valor del secreto robado.
• Robo de secretos comerciales, 18 U.S.C. 1832: robar un secreto comercial en beneficio económico de cualquiera que no sea su titular. Una persona se expone a hasta 10 años de prisión y una multa; una organización, a una multa de hasta la mayor de estas cantidades: 5.000.000 $ o tres veces el valor del secreto.

Dos puntos posteriores importan a los defensores. La Defend Trade Secrets Act de 2016 añadió una acción civil federal: según 18 U.S.C. 1836(b), «el titular de un secreto comercial que sea objeto de apropiación indebida puede interponer una acción civil» («An owner of a trade secret that is misappropriated may bring a civil action»). Y según 18 U.S.C. 1839(3), la información solo es un secreto comercial si el titular «ha tomado medidas razonables para mantener secreta dicha información» («has taken reasonable measures to keep such information secret»). Tus controles de seguridad son, por tanto, también tu evidencia legal. Esto es información general, no asesoramiento legal.

Casos reales del Departamento de Justicia de EE. UU.

• Tecnología de turbinas de GE Power. En enero de 2023, Xiaoqing Zheng, exingeniero de GE Power, fue condenado a 24 meses de prisión después de que un jurado lo declarara culpable de conspiración para cometer espionaje económico relacionado con la tecnología de turbinas de gas y vapor de GE y destinado a beneficiar a la República Popular China, según el Departamento de Justicia. El fiscal general adjunto Matthew Olsen lo calificó de «un caso de espionaje económico de manual» («a case of textbook economic espionage»). El jurado lo absolvió de varios otros cargos.
• Archivos del coche autónomo. En agosto de 2020, Anthony Levandowski, exingeniero de Google que después dirigió la unidad de conducción autónoma de Uber, fue condenado a 18 meses de prisión tras declararse culpable de robo de secretos comerciales del programa de coches autónomos de Google, y se le ordenó pagar una multa de 95.000 $ y una restitución de 756.499,22 $ a Waymo, según la Fiscalía de EE. UU. para el Distrito Norte de California. Fue indultado en enero de 2021.

En ambos casos se trataba de personas que tenían acceso legítimo a la información que se llevaron. Esa es la forma habitual del espionaje corporativo.

Practica la respuesta

Trabaja seis casos ficticios de secretos comerciales como CISO en el Corporate Espionage Response Lab: elige la respuesta proporcionada, detecta las señales de alerta reales y respeta el debido proceso.

Fuentes

• 18 U.S.C. 1831, Economic espionage (Cornell LII; crédito de la fuente Pub. L. 104-294, 11 de octubre de 1996).
• 18 U.S.C. 1832, Theft of trade secrets (Cornell LII).
• 18 U.S.C. 1836, Civil proceedings (Cornell LII; subsección (b) añadida por Pub. L. 114-153, 11 de mayo de 2016).
• 18 U.S.C. 1839, Definitions (Cornell LII).
• Departamento de Justicia de EE. UU.: Former GE Power Engineer Sentenced for Conspiracy to Commit Economic Espionage.
• Fiscalía de EE. UU., Distrito Norte de California: Former Uber Executive Sentenced To 18 Months In Jail For Trade Secret Theft From Google.
• FBI: The Insider Threat: An Introduction to Detecting and Deterring an Insider Spy, lista de comportamientos citada por Poynter, 14 de mayo de 2012.
• Carnegie Mellon SEI CERT: Common Sense Guide to Mitigating Insider Threats, Seventh Edition.
• CISA: Insider Threat Mitigation Guide.