W USA miał ostatnio miejsce ciekawy case z dziedziny szpiegostwa przemysłowego. I tak oto niejaka Xiaorong You, zatrudniona jako inżynier – chemik w firmie Coca – Cola, została skazana na 14 lat więzienia za wykradzenie tajnych informacji dotyczących powłok puszek niezawierających bisfenolu A (BPA). Badania nad tą technologia miały kosztować Coca – Colę ok. 120 milionów $, a You wykradała poufne dane na rzecz chińskiej firmy Weihai Jinhong.

Systemy zabezpieczeń przed szpiegostwem gospodarczym

Oczywiście trzeba mieć świadomość tego, że kradzież tajnych danych z takiej korporacji, jak Coca – Cola, to nie jest wcale taka łatwa sprawa. W dużych firmach implementuje się bowiem wielostopniowe systemy bezpieczeństwa, mające zapobiegać szpiegostwu przemysłowemu. Jednym z poziomów może być tutaj system typu UEBA (User and Event Behaviour Analitycs), który analizuje zachowanie konkretnego użytkownika oraz zdarzeń. System zbiera więc dane o normalnym zachowaniu użytkowników, a następnie te dane analizuje, tworząc modele wzorców zachowań. Gdy jakieś zachowania odbiegają od normy, mamy alert.

Przykłady alertów

użytkownik loguje się do sieci firmowej o nietypowym czasie (np. 23:15 w sobotę),
użytkownik regularnie pobiera do 20 MB plików dziennie, ale pewnego dnia zaczyna pobierać po kilka GB dziennie,
użytkownik podłącza pod firmowy komputer nieautoryzowanego pen drive’a.

Dodatkowym zabezpieczeniem proceduralnym jest ograniczenie dostępu do konkretnych informacji dla wąskiego kręgu pracowników, zwykle kilku osób. Raz, że zmniejsza to ryzyko wycieku danych, a dwa w razie jego wystąpienia zawęża krąg podejrzanych.

Ok, a w jaki sposób Xiaorong You udało się wykraść tajemnice Coca – Coli?

W sumie to banalnie: otwierała dokumenty na firmowym komputerze, po czym telefonem robiła zdjęcia ekranu. Tym sposobem ominęła systemy informatyczne zapobiegające kradzieży danych, które mogły wykryć próbę ich kopiowania. System bezpieczeństwa jako całość nie zadziałał więc wystarczająco dobrze.

Szpiegostwo gospodarcze w Polsce

Kradzieże danych przez Chińczyków przeszły już praktycznie do legendy, a jak wygląda ten temat na naszym polskim podwórku? Tutaj zaryzykuję stwierdzenie, że najczęściej spotykane będą kradzieże baz danych ze spisem klientów oraz wycieki poufnych ofert przetargowych.

W pierwszym przypadku osobami dokonującymi takich kradzieży będą na ogół przedstawiciele lub dyrektorzy handlowi, którzy są zmęczeni „robotą dla Januszexu” i chcą przejść do konkurencji lub otworzyć własną firmę o zbliżonym profilu działalności. Tutaj wymienię kilka przykładów z życia:

doświadczeni spedytorzy odchodzą z firmy spedycyjnej i otwierają własną,
grupa handlowców przejmuje klientów hurtowni BHP i obsługuje ich w ramach nowo utworzonej spółki z o.o.,
handlowiec kradnie bazy danych z firmy A, po czym rozsyła do potencjalnych klientów oferty firmy B, prowadzonej przez jego konkubinę.

Drugi przypadek to nieuczciwi pracownicy, którzy sprzedają poufne dane do konkurencji, ewentualnie będąc przy tym dogadanymi „transfer” do niej na nowe stanowisko pracy. Takie zachowania były popularne jeszcze do niedawna w branży reklamowej, gdzie account managerowie przechodzili z agencji do agencji, zabierając ze sobą klientów, z którymi zbudowali dobre relacje. Podobne historie dzieją się również w branży doradczej oraz w innych, gdzie know-how i kontakty międzyludzkie mają duże znaczenie.

Zakaz konkurencji nie zawsze zadziała!

Niektórzy dość naiwnie myślą, że wystarczy podpisać umowę o zakazie konkurencji, a już możemy się czuć zabezpieczeni przed przejęciem klientów przez nieuczciwych pracowników. Niestety, w praktyce nie zawsze tak jest – przykład poniżej.

Jakiś czas temu miało dojść do dużej fuzji na rynku inwestycji kapitałowych. Dwie firmy mające tam bardzo mocną pozycję, czyli Alfa i Beta, miały się połączyć w jedną całość – powstałby tutaj absolutny lider.

Niestety, jak to w życiu bywa, rozmowy zakończyły się wielka awanturą i zamiast fuzji managerowie spółki Alfa stanęli przed groźbą wrogiego przejęcia. Co gorsza managerowie ci podpisali klauzule o zakazie konkurencji, więc gdyby to wrogie przejęcie doszło do skutku, to mogliby zostać zwolnieni i straciliby źródła dochodu. Dodam do tego fakt, że w branży tzw. high net individual dostęp do bazy klientów to tak naprawdę najcenniejszy aktyw. Czyli sytuacja nieciekawa, a poziom ryzyka wysoki, ale…

Ale na szczęście dla managerów prawnik, który pisał umowę o zakazie konkurencji, położył większy nacisk na to, aby umowa ładnie wyglądała i żeby były w niej wysokie kary, niż na rzeczywistą skuteczność. W praktyce bowiem osobami objętymi zakazem byli wyłącznie managerowie firmy Alfa. No a skoro tak, to w bardzo krótkim czasie do klientów firmy Alfa zwróciła się pewna spółka offshore z dalekiego kraju pod palmami. Zaoferowała ona usługi doradztwa – dokładnie takiego samego, jakie dotąd świadczyła Alfa. Formalnie firmy te nie były ze sobą powiązane, ale klienci i tak wiedzieli, że za spółką offshore faktycznie stoi manager Alfy, który obsługiwał ich na co dzień i zawsze pamiętał o ich urodzinach. Jednocześnie spółka offshore nie była formalnie związana z owym managerem z Alfy, więc zakaz konkurencji tego managera nie obejmował.

Po czym poznać, że pracownicy wynoszą zastrzeżone informacje?

W praktyce funkcjonowania polskich przedsiębiorstw z sektora MŚP szefostwo dochodzi do wniosku że coś jest nie tak dopiero wtedy, gdy „mleko się rozleje”, czyli gdy firma zaczyna nagle tracić kontrakty i / lub przegrywać przetargi na rzecz jakiejś konkurencyjnej firmy. Mocną przesłanką dotyczącą występowania nieprawidłowości będzie właśnie sytuacja, gdy klienci zaczną przechodzić tylko do jednej, a nie do kilku konkurencyjnych firm. Taki układ pozwala przypuszczać, że ktoś z pracowników dogadał się z konkurencją i dostarcza jej poufne informacje pozwalające na stosowanie polityki cenowej opartej na ofertach minimalnie tańszych lub dających minimalnie lepsze warunki obsługi czy gwarancji – to niekiedy wystarczy. W sytuacji, gdy klienci przechodzą np. do 4 – 5 konkurencyjnych firm, a nie tylko do jednej, przyczyn należy raczej poszukać w słabej ofercie. Jeśli bowiem jakiś pracownik zdecyduje się na pracę dla konkurencji, to raczej na pewno będzie dostarczał poufne dane do jednego przedsiębiorstwa (tego, w którym ma podjąć pracę), a nie do kilku.

Sprzątaczka = potencjalny szpieg?

Agent wynoszący informacje niejawne z firmy to raczej nie będzie James Bond ubrany w najlepszy garnitur i poruszający się najnowszym Aston Martinem, lecz prędzej niepozorna sprzątaczka czy ochroniarz. Takie osoby mają często zadziwiająco łatwy dostęp do pomieszczeń biurowych, w których przechowuje się cenne dane. Wejście w posiadanie tych danych bywa zaskakująco łatwe – w praktyce spotkałem się z przypadkiem, gdzie analityk powiesił na monitorze hasło i login, które umożliwiały wejście do systemu. Jak poważnych szkód może narobić w firmie taka niefrasobliwość, nie muszę raczej tłumaczyć.

Weryfikacja pracowników i kandydatów na pracowników

Wprowadzenie do firmy tzw. insidera, czyli osoby działającej na zlecenie zewnętrznego podmiotu, która może wynosić tajne informacje z firmy, jest jedną z najpopularniejszych metod przeprowadzania operacji szpiegostwa gospodarczego. A jak się przed nim bronić? Po prostu weryfikować!

Świadczymy usługi weryfikacji obecnych oraz potencjalnych pracowników, w tym przedstawicieli i dyrektorów handlowych, pod kątem ich ewentualnej podatności na współpracę z konkurencją. Sprawdzamy również ich powiązania osobowe oraz prawdziwość danych zawartych w CV.

Zakres usług weryfikacyjnych

pozyskiwanie informacji na temat poprzednich miejsc zatrudnienia
weryfikacja poziomu wykształcenia pracownika
weryfikacja prawdziwości informacji o przebytych szkoleniach
sprawdzanie przynależności do organizacji branżowych
zdobycie informacji odnośnie nieruchomości i pojazdów będących w posiadaniu kandydata
ustalenie wiarygodności płatniczej kandydata, w tym historii zadłużenia
ustalenie ewentualnej przeszłości kryminalnej
sprawdzenie podatności na współpracę z konkurencją
ustalenie powiązań osobowych i kapitałowych kandydata oraz bliskich mu osób
ustalenie, czy pracownik lub ktoś z jego bliskich prowadzi działalność konkurencyjną
weryfikacja rzeczywistego czasu pracy
przeprowadzanie dochodzeń związanych z nadużyciami oraz wyciekiem informacji

Wszelkie czynności śledcze wykonujemy w sposób dyskretny oraz profesjonalny, aby weryfikowana osoba nie zorientowała się, że jest sprawdzana. Działamy przy tym zgodnie z prawem, nie narażając naszych Klientów na problemy w wymiarem sprawiedliwości.

Szpieg, który mnie okradł