Espionaje comercial en la era de inteligencia artificial
Alfredo Brandt-Anfrúns
Identificación y análisis de amenazas corporativas. Instructor para C-Level en ciberseguridad y riesgos de infiltrados (Insider threat). Gerencia de proyectos estratégicos en seguridad.
1. INTRODUCCIÓN: El Elefante en la cristalería.
Nadie quiere hablar de espionaje dentro de una organización. ¿Por qué vamos a gastar tiempo en un tema del cuál no tenemos indicadores?; ¿Eso es un problema de las grandes corporaciones, eso no sucede acá en Monterrey, Bogotá o Buenos Aires cierto?
Nadie -tampoco- quiere hablar de la desestabilización que puede sufrir una organización por daño reputacional, exposición pública de sus clientes, sus accionistas y/o nómina, campañas de desinformación dirigidas o robo de activos críticos por nombrar algunas de las pesadillas que mantienen despiertos en las madrugadas a los jefes de seguridad corporativos.
De acuerdo con varios lideres de negocios consultados, la naturaleza de lo que ellos consideran la amenaza de espionaje está clara y en general, aseguran que sus medidas de protección contra esta actividad son las correctas.
Sin embargo, al hurgar un poco más sobre esas ‘medidas de contraespionaje’, podemos observar que están poco o nada actualizadas en relación con la dinámica de globalización de riesgos. En otras palabras, están desfasadas y su efectividad no ha sido comprobada contra vulnerabilidades actuales.
Ahora bien, ¿cuán extendido está el espionaje comercial en la región? Según Kaspersky, desde el 2018 hasta el 2022 vienen detectando ataques selectivos de espionaje contra industrias mexicanas a través de un conjunto de herramientas denominados MT3 y bautizado como MontysThree por el mismo equipo de investigadores de Kaspersky[1].
Pero ¿de cuántas empresas estamos hablando? Eso es un poco más delicado. Muy pocas organizaciones están dispuestas a aceptar que han sido víctimas de espionaje porque ello significaría que fueron vulneradas y eso -a su vez- nos llevaría a preguntar: ¿cómo y en qué forma?
Imagínese que usted sea la persona encargada de protección patrimonial o seguridad corporativa de una empresa y ante una mínima sospecha de espionaje comercial/industrial usted tenga que realizar un análisis de vulnerabilidades para disipar o profundizar esa sospecha. Considere lo siguiente:
a. ¿Cuantos de nuestros empleados participan en blogs privados o públicos dónde se divulgue información técnica propietaria o relacionada con la organización?
b. ¿Cuántos de nuestros empleados postean sus capacidades y/o cursos ofrecidos por nuestra organización en sus perfiles?
c. ¿Cuántos de nuestros empleados postean sus afiliaciones técnicas o profesionales en las redes junto con el nombre o logo de la organización?
d. ¿Cuantas imágenes de eventos de nuestra organización hay en la web que indiquen ubicación?
e. ¿Cuántas imágenes tienen nuestros corporativos en redes sociales? ¿Se aprecian lugares, casas, tienen geo-data?
f. Cuántas publicaciones hay en las redes sociales que apunten a eventos futuros de nuestra organización (aniversarios, lanzamientos, etc.)
g. ¿Qué información hay en internet sobre nuestros socios comerciales y/o proveedores?
h. ¿Hemos revisado que información postean nuestros socios comerciales y/o proveedores sobre nosotros?
Si al obtener toda (o parte) de estas respuestas usted todavía cree que su organización no es vulnerable a una operación de espionaje, entonces el elefante puede salir de la cristalería sin contratiempos y con los ojos vendados.
2. DIGITALIZACIÓN Y ESPIONAJE:
La pandemia nunca fue la razón por la cuál se comprendió la importancia de la digitalización de los procesos; el COVID19 fue el catalizador de esa aceleración que ya venía gestándose en muchas áreas, especialmente con la modernización del sector financiero.
Sin embargo, varias compañías se vieron obligadas – cómo una medida de supervivencia- a acelerar la digitalización de sus procesos sin que necesariamente el ‘back office’ haya estado a la par de esa transformación.
Estos desniveles (converger la necesidad de digitalizar procesos con la integración de data de calidad en el back office para apoyar el trabajo remoto), deja entreabierta una serie de puertas que podrían facilitar, entre otras, la exfiltración de información sensible para la organización.
Súmenle a eso un crecimiento en la procura de trabajos de INTELIGENCIA COMPETITIVA[2] en los últimos meses en áreas tales cómo: solicitudes de información sobre fusiones y adquisiciones, análisis de potenciales nuevas regulaciones, evaluación y análisis de blogs sobre la competencia, análisis de redes sociales, análisis de sentimiento sobre determinados productos, servicios y/o impacto (o falta de) respecto a estrategias de mercadeo.
Cómo podemos observar, tanto las reorganizaciones internas post pandemia y el trabajo remoto, amén de este -inusual- crecimiento en solicitudes de inteligencia competitiva, debería llamarnos la atención, aunque fuese para revisar nuestro estatus con respecto a las defensas de los activos críticos de la organización.
Pero vayamos nuevamente a la génesis del espionaje comercial, ¿cuáles son las tres categorías principales para esta actividad?:
a. Cuando grupos especializados en falsificación y/o bandas de crimen organizado tienen como objetivo principal el producto de una compañía ú organización.
b. Cuando un infiltrado (ìnsider) o una empresa en competencia directa tiene como objetivo principal los procesos y activos de otra compañía ú organización.
c. Cuando un Estado o un grupo apoyado por un Estado (APT)[3] tiene como objetivo principal los secretos industriales o comerciales de una compañía ú organización.
Por lo menos en Latinoamérica, el espionaje basado en inteligencia sobre productos y/o procesos es mayor que el espionaje amparado o ejecutado por un Estado extranjero contra industrias y organizaciones científicas y/o comerciales…pero ese fenómeno podría cambiar muy rápidamente.
El espionaje comercial entre competidores, nacionales o extranjeros, de un mismo ramo es común y la mala noticia es que se perfila un crecimiento precisamente por el avance en los procesos de digitalización que se observan a raíz de la pandemia.
Recomendado por LinkedIn
¿Cuál será la próxima estrategia de mercadeo de la cerveza X?; ¿Qué nuevo producto están desarrollando en la industria de panificación Y?; ¿Cómo son las condiciones de la fusión de marcas R y M que se están negociando?; ¿Qué información comprometedora podrá haber de los directivos U y K de X organización?
Las respuestas a este tipo de preguntas se negocian con frecuencia con compañías especializadas en espionaje comercial/industrial en la región.
La pandemia aceleró los procesos de digitalización, pero también aceleró la necesidad de arreciar la competitividad en sectores que anteriormente convivían en cierta armonía. Por ello, los riesgos derivados de esta nueva competencia por sobrevivir también varían según el entorno empresarial (número de competidores y share del mercado), la economía y la geopolítica.
No duden que hay individuos y organizaciones ávidas en conocer, replicar y de ser necesario, entorpecer, los esfuerzos de crecimiento de una organización en esta época.
El resguardo de la información sensible (estrategias, planes, esfuerzos de contrainteligencia, etc.) es una de las principales prioridades que se debería reforzar.
La reacción normal ante una situación anormal es una reacción anormal. No subestimen la capacidad de espionaje del entorno…
3. 2023 – 2025: “Latinoamérica como campo de batalla alterno”.
2 años parece poco tiempo en la vida de una organización, pero esos mismos 2 años son un salto cuántico respecto a los avances en materia de inteligencia artificial (AI) que se verán.
Por ejemplo, buena parte del comercio global es digital, las grandes compañías tecnológicas obtienen, mediante esas transacciones (nombres, números, direcciones, empleos, registros de seguros, inventarios, costos, etc.) grandes cantidades de data cuyo uso final generalmente se cruza entre bases de datos con destinos poco transparentes tanto para el consumidor, como para muchos entes oficiales.
De acuerdo con el Internet Security Threat Report de la compañía Symantec del 2019:
“La razón más probable que una organización sufra un ataque específico (o dirigido) es por la obtención de inteligencia previa que hayan podido captar; esto motiva al 96 por ciento de los grupos de actores adversariales (o APT) a iniciar con operaciones de espionaje antes del ciberataque”[4].
La geopolítica cibernética está generando profundas divisiones en el uso (y mal uso) de la data que se obtiene cada segundo. La batalla por la supremacía del campo cibernético que protagonizan los Estados Unidos y China está generando una bifurcación del uso y reserva de la data obtenida, que poco a poco se hará más evidentes en áreas como la militar.
La necesidad de inteligencia, más allá, de coadyuvar a la defensa del perímetro digital de las organizaciones, se traduce -hoy por hoy- en conocimiento de la competencia, del mercado y el último caso, de la posibilidad de anticipar patrones de conducta.
En otras palabras, aquellos que producen, analizan y generan conocimiento con ese tipo de data, están sentados sobre un tesoro… con muchos pretendientes.
Ese es el caso actual de muchas de las organizaciones que analizan y cruzan la data que obtienen vía redes sociales, ventas, bases de datos, etc. Gracias a la evaluación de esa información, se obtiene inteligencia que nos permite: desde tomar decisiones, hasta generar estrategias.
¿Imagínense que nuestra competencia tenga la misma data?; ¿Cómo cambiaría eso nuestra estrategia de mercadeo, de distribución o de inversiones a corto y mediano plazo?
En el futuro cercano, ese escenario podría ser común y la respuesta sobre ¿quién se beneficia más con sets similares de data? (¿la competencia o mi organización?) podría depender más de la nacionalidad de mis aliados/asociados/inversionistas, que de la capacidad de agilidad gerencial o las cualidades de anticipación de mis ejecutivos.
Por ejemplo, el Centro Nacional de Contrainteligencia y Seguridad de los Estados Unidos (NCSC) publicó un trabajo titulado: “Mitigación del riesgo de Infiltrado en las entidades de infraestructura crítica de los Estados Unidos”: Guía para una perspectiva de Inteligencia[5]; más allá de la pertinencia del trabajo, un párrafo proyecta lo que el Centro de Contrainteligencia y Seguridad Nacional (NCSC) anticipa:
“La naturaleza descentralizada y digital de la infraestructura crítica mundial crea vulnerabilidades que pueden ser explotadas por entidades de inteligencia externas, así como están atacando las facilidades y redes que apuntalan la industria energética global, los mercados financieros, servicios de telecomunicaciones, gobierno y capacidades militares de defensa”.
Lamentablemente, de una u otra forma, empresas e industrias en Ciudad de México, Guayaquil o Seattle se verán afectados por la constante fuga de data a la que están expuestos, pero las consecuencias serán más perniciosas para aquellos que no hagan nada.
La creciente digitalización de los procesos empresariales genera presiones alternas a juntas directivas que ya están batallando por sobrevivir en una economía con obvios signos de recesión en muchos países de la región.
El espionaje es una herramienta más del arsenal de aquellos que se quieren beneficiar a costa de otros. Es una herramienta que mejora con la tecnología, que se abarata y se vuelve más efectiva cuando se combina con factores alternos cómo lo es el factor humano (infiltrados).
La evolución de la inteligencia artificial (AI) en los años por venir definirán nuevas avenidas para el uso de las data que generamos, por lo que el valor de las medidas de contrainteligencia cibernética que se tomen ahora serán el mejor escudo de prevención ante un entorno que evoluciona hacia más vectores de riesgo que hacia una estabilización de los mismos...
La capacitación es clave. Sugiero a las organizaciones impulsar la concientización de ciber riesgos para C-Level (nivel directivo) con enfoque geopolítico cómo una herramienta de anticipación de riesgos... de eso hablaremos más adelante.
[2] Proceso estructurado, ‘legal’, diseñado para reunir, evaluar y/o proyectar datos, e informaciones sobre competidores, actuales o futuros, para la toma de decisiones estratégica, generar prácticas comerciales eficientes y elevar la seguridad interna -contrainteligencia- para la protección de información crítica de interés para otros en el mercado o sector comercial/industrial.
[3] APT : Advance Persistent Threat o Amenaza Avanzada Persistente. Generalmente se refieren a grupos de hackers muy avanzados con especializaciones particulares en su accionar.
Consultora Gerencial de RRHH.
1 añoInteresante artículo
Director de RTP Seguridad. Twitter: @RTPseguridad
1 añoMe gusta. Muchos saludos