El conocimiento es poder. Especialmente en manos de sus competidores.
La información sobre su empresa, sus productos y servicios, sus finanzas, sus ventas y su estrategia de marketing es un arma de la guerra económica moderna. En este artículo, exploramos el mundo del espionaje industrial y hablamos de las formas de prevenirlo. Mantenga la calma y tome las medidas adecuadas para que los secretos de su empresa sigan siendo secretos.
¿Qué es el espionaje industrial?
La información sobre los competidores recopilada de forma legal puede dar una ventaja en la lucha por la cuota de mercado. Pero a veces no es suficiente. Los competidores envían espías para recabar información con más frecuencia de lo que se cree, a juzgar por las noticias.
El espionaje industrial abarca métodos ilegales y poco éticos de recopilación de datos corporativos. Implica el robo de propiedad intelectual y de secretos comerciales para utilizarlos como ventaja competitiva.
El robo de información económica patrocinado por estados extranjeros se denomina espionaje económico. Se hace no sólo para obtener beneficios, sino por razones estratégicas.
Objetivos del espionaje industrial
Tal vez se pregunte qué datos quieren sus competidores.
Los objetivos habituales del espionaje industrial son:
- Secretos comerciales. Aunque la definición de «secreto comercial» varía de un país a otro, generalmente significa información protegida sobre productos existentes o en desarrollo. Esta información puede ayudar a sus rivales a hacer sus productos más competitivos o incluso a sacar un producto similar al mercado más rápido que usted.
- Información de los clientes. Los datos de sus clientes, incluida su información financiera, pueden utilizarse para robar negocios o pueden filtrarse para dañar la reputación de su empresa.
- Información financiera. La información financiera de su empresa puede utilizarse para ofrecer mejores ofertas a sus clientes y socios, ganar licitaciones e incluso hacer mejores ofertas a sus valiosos empleados.
- Información de marketing. Esto permitirá a sus competidores preparar una respuesta oportuna para sus campañas de marketing, lo que, a su vez, puede hacerlas ineficaces.
¿Qué industrias corren el mayor riesgo?
¿Sabe lo atractiva que es su empresa para los espías?
Aunque el espionaje puede producirse en cualquier lugar, las empresas de las industrias que requieren una inversión considerable en I+D -incluidas las industrias informática, automovilística, energética, aeroespacial y química- deben estar especialmente alerta.
El espionaje industrial también es común entre los sectores minorista, financiero y público, ya que tienen una gran competencia y a menudo sufren una falta de inversión en ciberseguridad.
Lea también: 5 industrias que corren más riesgo de sufrir filtraciones de datos
Por qué no nos enteramos de todos los casos de espionaje industrial
El espionaje industrial es difícil de detectar y aún más difícil de probar.
Aunque hay algunos casos realmente sensacionales de espionaje industrial, económico y corporativo que reciben cobertura mediática, son sólo la punta del iceberg.
El espionaje industrial es una práctica ilegal pero muy extendida. Si no ha afectado ya a su empresa, es sólo cuestión de tiempo. La cuestión es por qué no oímos hablar tanto de él en las noticias.
Hay varias razones por las que la mayoría de las empresas no denuncian los casos de espionaje industrial:
- El espionaje industrial es difícil de probar. El espionaje industrial suele ser realizado por personas con información privilegiada que ya tienen acceso a datos sensibles. Las actividades de espionaje son casi indistinguibles de sus actividades cotidianas normales, por lo que estas acciones son difíciles de detectar y aún más difíciles de probar en los tribunales.
- Es difícil responsabilizar a los autores. Dado que las leyes sobre secretos comerciales y espionaje industrial son diferentes en todas partes, puede ser muy difícil responsabilizar a empresas y gobiernos extranjeros. E incluso si el autor es nacional, pueden prolongar los procedimientos legales hasta el punto de que no sea factible para su empresa continuar con el caso.
- Puede afectar negativamente a sus acciones. El valor de las acciones de su empresa puede caer si se conoce públicamente que su seguridad ha sido violada. Puede socavar la confianza de sus inversores y clientes.
- Puede considerarse una violación de la normativa informática. Una empresa es responsable de garantizar la seguridad de los datos sensibles de sus clientes. En ciertos países e industrias, si estos datos se filtran o son robados por espías industriales, la empresa será multada. Sí, puede sufrir pérdidas y ser sancionada a causa del espionaje.
Todos estos factores obligan a las empresas a guardarse los casos de espionaje y a realizar investigaciones internas. Es su responsabilidad establecer procedimientos eficaces de detección y respuesta. Sin embargo, la prevención eficaz es la mejor manera de hacer frente al espionaje industrial.
Cómo se realiza el espionaje industrial
Hay muchas técnicas de espionaje industrial.
Para entender cómo prevenir eficazmente el espionaje industrial, necesitamos saber cómo se realiza.
Hay varias maneras de violar su seguridad y obtener datos de forma ilegal.
Los ciberataques
Un informe del Centro de Estudios Estratégicos e Internacionales muestra que el número de incidentes cibernéticos significativos aumentó de 12 en 2007 a 103 en 2018.
Los gobiernos extranjeros utilizan con mayor frecuencia a los hackers en actos de espionaje económico.
Los hackers pueden acceder a sus datos sensibles utilizando software de espionaje o malware para explotar vulnerabilidades conocidas y de día cero.
Lea también: ¿Cómo puede un MITRE ATT&CK ayudarle a mitigar los ciberataques?
La posibilidad de un ciberataque es una pesadilla bien conocida por las organizaciones; sin embargo, conocer el riesgo no siempre les hace tomar las medidas necesarias. Muchas empresas no cuentan con una estrategia de prevención del ciberespionaje.
La mayoría de las empresas tienen una protección actualizada contra el malware y la seguridad de la red, pero sólo unas pocas piensan en planes de medición de incidentes, controles de medios extraíbles y políticas formales.
Además, las violaciones cibernéticas suelen ir precedidas de un acceso físico que las hace posibles. Por eso, incluso la sofisticada protección antimalware y los cortafuegos no son suficientes cuando la seguridad física y la cibernética están vinculadas.
Incluso hay quien se pregunta si mejorar la ciberseguridad y garantizar la protección frente a las amenazas externas sólo significa invitar a los antiguos espías industriales a entrar en la empresa y aumentar la amenaza interna.
Amenaza interna
En los actos de espionaje industrial entre empresas, se utilizan con mucha más frecuencia personas internas malintencionadas. Los competidores pueden plantar topos dentro de su empresa que actúen como empleados normales mientras recopilan secretamente información para su verdadero empleador.
Los competidores pueden acercarse a los empleados de confianza que tienen acceso privilegiado, pidiéndoles que intercambien secretos y otra información valiosa y ofreciéndoles dinero o chantajeándolos para que cooperen. La actividad maliciosa de este tipo de empleados es mucho más difícil de detectar que los ataques de hacking, por lo que es una apuesta mucho más segura.
Lea también: Mejores prácticas para construir una línea base del comportamiento de los usuarios en la empresa
Si crees que tus empleados no son así…
Las personas también pueden realizar o ayudar al espionaje corporativo de forma inadvertida. Se pueden utilizar diversas técnicas de ingeniería social para recopilar información secreta o extraer credenciales de los empleados.
Una memoria USB dejada al azar en un pasillo para que un empleado curioso la coja y la utilice o un correo electrónico cuidadosamente redactado que pida al destinatario que haga clic en un enlace son sólo dos de un gran número de formas a través de las cuales el malware puede infectar su sistema, dando a sus competidores pleno acceso a los datos sensibles.
Los antiguos empleados son otra fuente de peligro. Un empleado descontento que busque una forma de vengarse de la empresa -o simplemente un insider de confianza que se vaya a la competencia- podría llevarse fácilmente los datos sensibles.
Lea también: Retrato de los insiders maliciosos: Tipos, características e indicadores
Tres casos destacados de espionaje industrial
Incluso los gigantes tecnológicos llegan a ser víctimas de un espía industrial.
Aunque la mayoría de las empresas tratan de ocultar los casos de espionaje industrial para evitar la pérdida de reputación, hay algunos casos que han llegado a ser conocidos por el público.
Tesla
En noviembre de 2018, Tesla presentó una demanda contra Martin Tripp, que robó fotos y vídeos confidenciales de los sistemas de fabricación de Tesla. Más tarde, Tripp tuiteó fotos de baterías que, según él, se producían en la Gigafactoría y que estaban dañadas, pero que aún estaban destinadas a ser utilizadas. Una investigación interna de Tesla encontró a Tripp responsable de la filtración de datos a Business Insider mancillando a Tesla.
Los representantes de Tesla calificaron a Tripp de exempleado descontento, y ahora Tripp se autoproclama denunciante y presenta contrademandas. Su motivo podría ser el sabotaje, como dicen los funcionarios de Tesla, o la preocupación sincera por la seguridad de los usuarios de coches eléctricos, como él afirma. Nadie lo sabe. Aunque el hecho de que espiara a su empleador y utilizara los datos para perjudicar a la empresa no puede ponerse en duda.
Waymo
En febrero de 2017, la empresa de coches autoconducidos Waymo presentó una denuncia contra Uber y Otto -la startup del ex empleado de Waymo Anthony Levandowski- por robar su tecnología. Levandowski dejó Waymo (entonces un proyecto de Google) en enero de 2016 y fundó una empresa que mejoraba los camiones para hacerlos autoconducibles. Otto fue posteriormente adquirida por Uber.
Waymo acusó a Levandowski de utilizar un pendrive para robar 14.000 archivos (diseños, planos y documentación de pruebas) que contenían información altamente confidencial antes de su dimisión.
Más tarde, parecía que Otto y Uber estaban construyendo y desplegando componentes o sistemas del sistema LiDar utilizando la tecnología secreta de Waymo.
Tras un proceso de litigio que duró un año, Uber dio a Waymo 245 millones de dólares en acciones y se comprometió a no utilizar el hardware o el software de Waymo para sus propios coches de autoconducción.
Apple
Aquí hay otro ejemplo de espionaje de coches de autoconducción con un trasfondo emocionante. Xiaolang Zhang, un ex empleado de Apple que dejó la empresa para trabajar en la startup china de coches eléctricos Xmotors, fue detenido en julio de 2018. Zhang había copiado archivos confidenciales en un portátil personal, pero se declaró no culpable de robo de secretos comerciales.
Otra detención de un empleado de Apple se produjo en enero de 2019, cuando el FBI arrestó a Jizhong Chen, un ingeniero eléctrico. Era uno de los cerca de 1.200 empleados principales que trabajaban en el proyecto ultrasecreto del coche de autoconducción de Apple. Chen está acusado de descargar más de 2.000 archivos (esquemas, diagramas, manuales) y de tomar fotos del proyecto. Actualmente, la prensa guarda silencio sobre la evolución de la investigación.
Cómo detectar y prevenir el espionaje industrial: buenas prácticas
La protección antimalware es solo una gota en el océano. Debe tomar medidas para reforzar la postura de seguridad general de su organización, seguir las mejores prácticas antiespionaje y prestar especial atención a la prevención y detección del espionaje interno.
Realice una evaluación de riesgos.
¿Qué datos corporativos son los más valiosos para su empresa?
Encuentre objetivos potenciales. Necesita saber qué secretos comerciales y otros datos valiosos posee su empresa y cuánto valen. Puede evaluar sus secretos comerciales comparándolos con productos ya disponibles en el mercado o con activos conocidos de sus competidores.
Una vez que identifique sus datos más valiosos, podrá adivinar quién puede quererlos. Una vez que conozca las posibles amenazas y los posibles vectores de ataque, podrá detectar las vulnerabilidades de sus propias defensas.
La evaluación del riesgo es la clave de un enfoque de la seguridad basado en el riesgo, que debería formar parte de la estrategia de seguridad de toda organización. También debería elaborar un plan de respuesta a incidentes. Le ayudará a responder en caso de una violación de datos y a minimizar su impacto en su negocio.
Establezca una política de seguridad eficaz
¿Siguen todos sus empleados su política de seguridad?
Todas las normas de seguridad deben formalizarse en una política de seguridad claramente escrita. Esta política debe incluir reglas que prohíban compartir contraseñas y que los empleados lleven sus propios dispositivos al trabajo, entre otras cosas. Asegúrese de que todos sus empleados la conozcan, empezando por la alta dirección.
Mantenga una política eficiente de acceso a los datos
¿Quién puede acceder a los datos críticos? ¿Realmente lo necesitan?
Muchas empresas proporcionan acceso a los datos críticos y a la infraestructura por defecto. Aunque puede ser más cómodo, esta política no es segura.
Su empresa debería seguir el principio del mínimo privilegio y prohibir el acceso a todos los datos a menos que sea necesario.
Aplicar el llamado principio de «necesidad de saber» significa que usted proporciona acceso sólo a los empleados que realmente necesitan la información. Si los empleados no autorizados necesitan trabajar ocasionalmente con información confidencial, pueden hacerlo bajo la supervisión del personal autorizado.
Al limitar el número de personas con acceso a los datos críticos, usted limita fuertemente los riesgos de que sus competidores obtengan estos datos.
Lea también: 4 formas de detectar y prevenir el mal uso de los datos
Asegura tu infraestructura
¿Estás protegido por un perímetro con un enfoque multicapa?
Establece un perímetro seguro alrededor de la red de tu empresa. El software de ciberseguridad corporativo convencional, como los cortafuegos y el software antivirus, es su primera línea de defensa.
Asegúrese de separar sus datos valiosos de su red corporativa y de limitar el acceso a ellos. Proteja sus routers de frontera y establezca subredes de pantalla. Un perímetro seguro con un enfoque en capas es la mejor manera de protegerse del espionaje industrial y económico a través de la piratería informática y el malware.
Educe a los empleados
¿Sus empleados entienden cómo contribuyen a la ciberseguridad de la empresa y por qué deberían hacerlo?
La mejor manera de evitar que sus empleados ayuden inadvertidamente al enemigo es educarlos. Infórmeles sobre las posibles amenazas a las que se enfrenta su empresa.
Haga que los empleados sean conscientes del papel que desempeñan en la seguridad de su organización.
Infórmeles sobre prácticas de seguridad sencillas para utilizar en su flujo de trabajo diario. Esto ayudará a proteger a su personal de la ingeniería social y evitará simples errores de seguridad, como quedarse con las contraseñas por defecto.
Realice comprobaciones de antecedentes
¿Sabe quién trabaja para usted?
Antes de contratar a alguien, el departamento de RRHH suele realizar una comprobación de antecedentes.
Esto minimiza los riesgos de encontrar un topo en su organización.
Puede ser útil repetir estas comprobaciones de vez en cuando -especialmente para los empleados con acceso privilegiado- para asegurarse de que no se convierten en espías. Un aumento repentino del nivel de vida, viajes inesperados o el pago de deudas son algunos de los posibles motivos de preocupación.
Cree un procedimiento de despido adecuado
¿Está seguro de que sus ex empleados no accederán a los datos de su empresa?
En muchos casos, el espionaje de la empresa se realiza en las últimas semanas de trabajo. Las credenciales de los empleados suelen seguir activas tras el cese, por lo que aún pueden acceder a datos sensibles con fines maliciosos.
Cree y aplique un procedimiento de despido adecuado para proteger a su empresa de posibles actos de espionaje industrial por parte de antiguos empleados.
Monitoree la actividad de los empleados
¿Qué hacen sus empleados en línea durante su tiempo de trabajo?
Nunca sabrá si sus empleados están actuando de forma maliciosa, intencionada o inadvertida a menos que supervise su presencia en línea.
Es especialmente importante vigilar a los usuarios privilegiados, como los administradores de sistemas y la alta dirección. Pueden reunir fácilmente información mientras realizan sus tareas normales y explicar cualquier comportamiento anormal como un error.
La supervisión de los empleados hace que todas sus acciones sean totalmente visibles y le permite detectar el robo de datos y tomar medidas a tiempo. En caso de que ocurra un incidente, puede utilizar los registros para su investigación.
Además, la supervisión de los empleados puede disuadir a los empleados oportunistas de robar datos, ya que saben que sus acciones quedan registradas.
Lea también: Cómo construir un programa de amenazas internas
Ekran System – Una solución de monitorización para prevenir el espionaje industrial
Ekran System es una solución universal de monitorización de la actividad de los empleados diseñada específicamente para combatir las amenazas internas, incluido el espionaje industrial.
Puede supervisar las acciones de todos los usuarios, independientemente de su nivel de privilegios, lo que le permite controlar las acciones de los administradores de sistemas y los usuarios con acceso a secretos comerciales e información financiera.
En particular, Ekran System le proporciona las siguientes funciones para detectar y prevenir el espionaje industrial:
Gestionar el acceso y auditar la actividad de los usuarios
- La solución PASM de Ekran System le ayuda a aplicar el principio de mínimo privilegio. Proporciona una gestión de acceso para las cuentas de usuario privilegiadas y generales. Puede especificar los puntos finales a los que pueden acceder determinados usuarios, limitar el tiempo de sus sesiones y proporcionar credenciales temporales y permanentes.
Monitorizar e investigar
- Grabación de vídeo en pantalla. Puedes ver todo tipo de sesiones de cuentas en un cómodo reproductor tipo YouTube y filtrarlas por nombre de usuario e IP. Los vídeos se indexan con capas de metadatos de texto, incluyendo las URLs visitadas, las pulsaciones de teclado y los nombres de las aplicaciones abiertas.
- Ekran puede grabar flujos de audio de entrada y salida en los puntos finales del usuario. El audio grabado puede exportarse para su posterior análisis.
- Búsqueda de episodios clave. El análisis avanzado de sesiones permite a los investigadores buscar episodios por varios parámetros dentro de la sesión actual y en todas las sesiones grabadas.
Responda a las amenazas en tiempo real
- El análisis del comportamiento de usuarios y entidades (UEBA) es un módulo impulsado por la inteligencia artificial que analiza la actividad de los usuarios para detectar comportamientos inusuales. El módulo UEBA le ayudará a prevenir las violaciones de datos mucho antes de que se produzcan.
- Sistema de alertas accionables. Además de una impresionante colección de plantillas de alerta, puede establecer reglas de alerta personalizadas basadas en cualquier evento sospechoso como URLs abiertas, nombres de procesos o dispositivos USB conectados. Cuando el sistema identifica un evento sospechoso, su equipo de seguridad recibe una notificación para que pueda actuar inmediatamente.
- Respuesta automatizada a incidentes. Una respuesta automatizada protege sus datos incluso antes de que el equipo de seguridad reaccione. Puede asignar un nivel de riesgo y elegir entre bloquear un usuario, terminar una aplicación (o proceso), bloquear un dispositivo USB conectado, mostrar mensajes de advertencia y otras opciones.
Conclusión
El espionaje industrial puede dañar gravemente la reputación de una empresa y obstaculizar las oportunidades de crecimiento. Siguiendo las mejores prácticas mencionadas anteriormente y utilizando Ekran System como su herramienta de monitorización de usuarios elegida, puede prevenir de forma fiable el espionaje industrial y proteger a su empresa tanto de las amenazas externas como de las internas.