Cómo detectar y prevenir el espionaje empresarial

El trabajo duro de los empleados, sus ideas innovadoras y sus esfuerzos de colaboración impulsan el éxito de toda organización. De hecho, la mayoría de las empresas consideran a sus empleados su mayor activo. Sin embargo, los empleados que crean y utilizan esos secretos comerciales tienen el potencial de convertirse en una de las mayores amenazas de una organización si compartieran esta información con un tercero no autorizado, como un competidor. Cuando esto ocurre, se trata de una forma de espionaje corporativo.

Aunque el espionaje corporativo puede crear problemas costosos y críticos para una empresa, una detección y prevención adecuadas pueden mitigar ese riesgo. Este artículo tratará sobre todo lo relacionado con el espionaje empresarial, incluyendo sus diferentes formas, las industrias comúnmente afectadas, los casos de alto perfil y las mejores prácticas para evitarlo. 

¿Qué es el espionaje empresarial?

El espionaje corporativo se refiere al acto de tomar sin consentimiento la información patentada, la propiedad intelectual o los secretos comerciales de una empresa y dárselos a otra parte, normalmente para obtener un beneficio financiero o comercial. A veces denominado "espionaje industrial", incluye una amplia gama de medios, tanto simples como complejos, para robar información.

Es importante señalar que, aunque ambos términos se confunden a menudo, el "espionaje empresarial" y el "espionaje económico" son dos conceptos distintos. Mientras que el espionaje empresarial se lleva a cabo entre organizaciones, el espionaje económico se produce entre gobiernos y es un acto internacional. 

Aquí, nos centraremos en el espionaje corporativo, pero a menudo existe cierto solapamiento entre ambos. Esto se debe a que los intereses y prioridades de los gobiernos y las empresas suelen coincidir, lo que hace especialmente confuso y difícil discernir entre ambos. 

¿Cuáles son los distintos tipos de espionaje empresarial?

El paraguas más amplio del espionaje corporativo comprende varias formas de acción diferentes. Los dos tipos más comunes son:

• Adquisición de propiedad intelectual - La adquisición de propiedad intelectual (PI) -también conocida como robo de PI- es el acto de robar inventos, ideas o información únicos de otras partes con fines lucrativos, financieros o de otro tipo. El mercado actual, hiperinnovador y competitivo a escala mundial, exige ideas frescas, información novedosa y nuevos procesos, lo que convierte la adquisición de PI en una amenaza muy peligrosa. Los ladrones saquean la propiedad intelectual de terceros para obtener una ventaja competitiva, monetizar un producto o robar la "salsa secreta" que impulsa el éxito de una determinada empresa. Las organizaciones deben mantener a raya el robo de PI para evitar problemas de productividad, pérdida de ingresos y otros daños a largo plazo para su marca y viabilidad.
• Robo de secretos comerciales - Se considera secreto comercial cualquier tipo de información que no sea pública y que tenga un valor económico potencial para la organización a la que pertenece. Los empleados crean, mueven y comparten secretos comerciales a una cadencia regular, lo que los hace especialmente difíciles de proteger. Los correos electrónicos, los mensajes de texto, los historiales de navegación, las unidades de disco personales y mucho más pueden contener secretos comerciales que los actores maliciosos quieren robar. Dado que es difícil saber cuándo y dónde se mueven los secretos comerciales, la exposición puede producirse sin dejar rastro. 

Métodos de espionaje empresarial

El espionaje empresarial no es un concepto nuevo ni mucho menos. Pero a medida que las organizaciones escalan y aprovechan cada vez más herramientas y tecnologías, los riesgos de exposición aumentan inadvertidamente. Debido a las nuevas vías de acceso, se pueden utilizar muchos métodos para recopilar información con fines nefastos:

• Acceso no autorizado - El acceso no autorizado se refiere a cualquier instancia en la que un individuo (ya sea interno o externo) obtiene acceso a redes, datos, puntos finales, dispositivos o aplicaciones sin permiso. La información a la que se ha accedido se utiliza para obtener nuevos accesos o destruir sistemas y redes.
• Phishing - Los ataques de phishing suelen comenzar con un correo electrónico que contiene un documento o enlace que parece legítimo, pero que en realidad está cuidadosamente diseñado para obtener información o infiltrarse en un sistema o red. A pesar de los distintos tipos de ataques de phishing, cada uno de ellos incita al usuario a realizar una acción que, en consecuencia, proporciona al atacante información o control.
• Inyecciones SQL - La inyección SQL (a veces denominada SQLI) es una técnica que utiliza código SQL para manipular bases de datos backend y obtener acceso a información no autorizada. Los atacantes pueden entonces ver o modificar la base de datos con diversos fines.
• Amenazas internas - Una amenaza interna es quizás el método más inesperado de espionaje corporativo, ya que pueden producirse tanto de forma maliciosa como accidental, y sin ser detectadas. De hecho, los CISO clasifican la amenaza interna (27%) como la más difícil de detectar, por encima de la exposición a datos en la nube (26%) y el malware (22%). Los errores humanos, los recortes y, por supuesto, los empleados malintencionados conducen a amenazas internas. Estos usuarios suelen tener acceso autorizado a información y datos clave, lo que hace que las amenazas internas sean notoriamente difíciles de mitigar. Los infiltrados malintencionados, los agentes internos, los evasores de la seguridad, los trabajadores negligentes y los empleados que se marchan pueden cometer espionaje corporativo; en última instancia, dañando la reputación de una empresa y exponiendo su información privada.

¿Qué industrias se ven comúnmente afectadas por el espionaje corporativo?

Técnicamente, cualquier empresa de cualquier sector puede ser víctima del espionaje corporativo. Sin embargo, hay algunos que se ven afectados con más frecuencia que otros:

• Programas informáticos - Las empresas que diseñan y publican programas informáticos desarrollan productos novedosos y valiosos, lo que las convierte en mayores objetivos del espionaje corporativo.
• Fabricación - Los atacantes intentan a menudo robar información de las empresas que diseñan y construyen productos tecnológicos sobre cómo elaboran su hardware.
• Biotecnología - Los atacantes extranjeros utilizan el espionaje corporativo y económico para robar información y datos sensibles en torno a la fabricación avanzada, la robótica y los productos químicos.
• Aeroespacial - La aviónica y los diseños de aeronaves son dos de los secretos comerciales más comunes expuestos y robados en los actos de espionaje aeroespacial.
• Química - Los espías industriales tienen como objetivo a las empresas químicas para obtener los datos de sus clientes, planes de marketing y secretos comerciales de sus productos para obtener una ventaja significativa sobre sus competidores.
• Financiero - En el sector financiero, los datos son aún más valiosos que el dinero en efectivo, sobre todo porque los datos pueden moverse de forma anónima.
• Comercio minorista - El sector minorista, altamente competitivo, y las empresas que lo componen carecen de la ciberseguridad adecuada, lo que lo convierte en un objetivo frecuente de los ataques de espionaje. En el espacio minorista, los datos de los clientes, la información financiera y los planes de marketing suelen estar en peligro.

Los datos de todas las industrias requieren una protección especial debido a la amenaza común del espionaje corporativo. Entre ellas se incluyen:

• Código fuente - Algunos de los datos más valiosos que posee una empresa son su código fuente. Dado que el software de la mayoría de las empresas les proporciona una ventaja competitiva, los malos actores roban los datos del código fuente para hacerles perder su ventaja, o destruyen las operaciones actuales alterando la programación de una empresa.
• Información sobre los clientes - Muchas herramientas que utilizan las empresas almacenan información sobre los clientes (como los sistemas CRM), el software de cuentas por cobrar, etc.). Los atacantes pueden utilizar estos datos sensibles para obtener una ventaja competitiva o explotar su información financiera.
• Información financiera - Los atacantes roban información financiera para saber cómo atraer a los clientes de la competencia con ofertas más atractivas.
• Información de marketing - Cuando disponen de sus datos de marketing, los actores maliciosos pueden adelantarse a sus campañas de marketing y frustrar sus esfuerzos por atraer a nuevos clientes.
• Secretos comerciales - Los secretos comerciales son difíciles de rastrear, gestionar y proteger. Eso se debe a que los empleados las crean y comparten constantemente para poder ejecutar correctamente su trabajo.

Casos destacados de espionaje empresarial

No importa lo madura o reconocida que sea una empresa: una organización de cualquier tamaño puede sufrir un ataque de espionaje corporativo. Dicho esto, hay varios casos conocidos de espionaje empresarial que quizá recuerde tras ver estos grandes nombres en los titulares de las noticias:

• Google - En 2010, la operación de Google en China fue atacada por piratas informáticos que accedieron a la información de las cuentas de Gmail de activistas chinos de derechos humanos y consiguieron robar IP. Fue un incidente impactante, ya que demostró que el gigante tecnológico no era impermeable a los actores maliciosos.
• Oracle - En 2000, Oracle fue sorprendida (y admitió haberlo hecho) espiando a Microsoft para descubrir si sus grupos de defensa independientes eran, en realidad, organizaciones ficticias financiadas por Microsoft. Oracle robó la basura de Microsoft para acceder a sus secretos comerciales.
• Amazon - Amazon fue víctima de espionaje corporativo mediante el robo de información privilegiada en 2020, cuando un empleado expuso direcciones de correo electrónico de clientes a un tercero.
• Coca-Cola - Otro incidente de robo de información privilegiada se produjo en 2021, cuando un empleado de Coca-Cola fue condenado por vender secretos comerciales relativos al bisfenol-A (BPA). Fotografió información sensible de la empresa con su teléfono móvil para burlar las medidas de seguridad de la empresa.
• Gillette - Tras ser degradado a un puesto inferior en 1997, un subcontratista de Gillette descontento envió secretos comerciales a varios rivales.

Cómo prevenir el espionaje empresarial

Aunque los atacantes inventan constantemente nuevos métodos para llevar a cabo el espionaje corporativo, las organizaciones pueden tomar medidas preventivas para frenar con éxito los intentos. Para adelantarse a los actores maliciosos, los equipos de seguridad deben aplicar las siguientes prácticas recomendadas:

Establezca una política de uso aceptable

Dado que la exposición es a menudo el resultado de la ignorancia en torno al intercambio de información, es vital crear políticas que informen a los empleados sobre cómo compartir adecuadamente los datos de su empresa. Todos los empleados, contratistas y terceras partes interesadas deben tener acceso en tiempo real a estas directrices para que todo el mundo esté bien informado sobre quién puede acceder a los datos confidenciales. Una plantilla de política de uso aceptable puede ayudar a su equipo a saber qué incluir y cómo difundir el documento entre los usuarios adecuados.

Realizar evaluaciones de riesgos

El riesgo está en constante evolución, por lo que es importante evaluar su postura ante el riesgo de forma periódica. Las evaluaciones minuciosas le ayudarán a comprender quiénes son sus principales actores de amenazas, cómo podrían verse afectados sus procesos críticos y sus capacidades actuales de prevención de riesgos. Al identificar tanto sus puntos fuertes como sus puntos débiles, podrá realizar los ajustes necesarios para mantener la información propiedad de su empresa lo más segura posible.

No moleste a los empleados

Sus empleados, a sabiendas y sin saberlo, exponen y exfiltran datos corporativos todos los días. Aunque no lo hagan de forma malintencionada, crean riesgos al encontrar atajos para realizar su trabajo con mayor rapidez, como utilizar la tecnología de la información sin aprobación expresa. Su tecnología y marcos de trabajo deben permitir a su equipo de seguridad distinguir entre intención maliciosa o ignorancia, y luego permitirle responder en consecuencia. Al fin y al cabo, no quiere castigar ni impedir la colaboración de los empleados, sólo quiere dar prioridad a la seguridad sin ralentizar toda su operación.

Sea 100% nativo de la nube

No es ningún secreto que las aplicaciones nativas de la nube son más populares que nunca en los lugares de trabajo de todos los sectores. Son escalables, rentables e ideales para plantillas dispersas. Las organizaciones deben adaptar sus capacidades y políticas para apoyar la adopción holística de aplicaciones en la nube. Los equipos de seguridad obtendrán una mayor flexibilidad y control invirtiendo en soluciones que no requieran hardware o redes locales, ya que sólo tendrán que proteger los datos almacenados en una ubicación, no en dos. Al pasar a 100% cloud-native e invertir y priorizar las prácticas de seguridad que apoyan el cambio, pueden centrarse mejor en las capacidades que necesitan para proteger los datos a medida que fluyen entre el punto final y las aplicaciones en la nube.

Protéjase contra el espionaje empresarial con Mimecast Incydr

Los equipos de seguridad deben operar basándose en la comprensión de que ninguna empresa es completamente inmune al espionaje corporativo; y mediante el aprovechamiento de los procesos, políticas y herramientas adecuadas pueden ayudar a mitigar el riesgo de su negocio tanto como sea posible. Para mantener la información de su empresa en buenas manos, necesita soluciones sofisticadas que mantengan a raya tanto a los ciberdelincuentes como a las amenazas internas.

Code42 ofrece herramientas inteligentes como Incydr para ayudar a los equipos de seguridad a proteger el duro trabajo de los empleados, y las ideas innovadoras de ser expuestas - todo ello sin ralentizar a los usuarios o enterrar a los equipos de seguridad en trabajo extra. Incyder es una solución moderna de protección de datos que detecta el robo de datos el primer día y adapta la mejor respuesta al delincuente y al delito.