Lo spionaggio industriale passa dalle persone prima che dai computer

Lo spionaggio industriale sfrutta più spesso le persone che i computer, attraverso dipendenti infedeli o semplicemente distratti, conversazioni fuori dall'azienda e relazioni costruite apposta per ottenere informazioni; per difendersi servono una selezione attenta nei limiti di legge, regole chiare sulla riservatezza, formazione e, quando emergono segnali concreti, accertamenti tempestivi affidati a professionisti che sappiano documentare i fatti senza violare i diritti dei lavoratori.

Quando un imprenditore ci chiama perché un concorrente ha presentato un prodotto troppo simile al suo, o ha cominciato a offrire ai suoi clienti condizioni che sembrano costruite conoscendo le sue, la prima cosa che chiede è quasi sempre se qualcuno gli sia entrato nei computer. A volte è così. Molto più spesso, però, le informazioni sono uscite attraverso una persona, che può essere un dipendente o un socio infedele, un collaboratore che parla troppo o qualcuno che si è avvicinato all'azienda con un pretesto credibile.

Progetti riservati, brevetti, formule, strategie commerciali e dati finanziari sono quello che cerca un concorrente senza scrupoli, e stimare il danno è difficile, perché la maggior parte di questi casi non viene mai denunciata; chi se ne occupa sa però che un progetto o un cliente sottratto costano quasi sempre molto più di qualsiasi misura di prevenzione.

Come le informazioni escono attraverso le persone

C'è il dipendente infedele, che vende o regala quello che sa, e c'è quello semplicemente distratto, che non ha alcuna intenzione di danneggiare l'azienda e tuttavia parla di un progetto al ristorante o in treno, racconta troppo a un convegno di settore, lascia documenti sulla scrivania o in sala riunioni e risponde con leggerezza a domande che sembrano innocue. In termini di danni, il secondo non è meno pericoloso del primo.

Chi fa questo mestiere lo ripete spesso, si pensa tanto alla sicurezza informatica e, di fatto, non si bada a con chi le persone vanno a fare l'aperitivo o a cena. Pensiamo a un manager che a un evento di settore, dopo un paio di bicchieri, si trova a parlare con una persona cordiale e curiosa della sua carriera, la quale a un certo punto gli chiede come stia andando il nuovo progetto o che difficoltà stiano incontrando con il lancio del prodotto; sono domande che si fanno tra colleghi, e si risponde senza pensarci.

Nei casi più gravi qualcuno si fa assumere con lo scopo preciso di arrivare a informazioni riservate, oppure un dipendente o un dirigente già in azienda viene convinto con denaro o con altri vantaggi. Pensiamo a un'azienda farmaceutica in cui un dirigente di medio livello, attratto da un'offerta economica importante, passa a un concorrente formule ancora in fase di brevetto; di solito ci si accorge della fuga soltanto quando il concorrente lancia un prodotto quasi identico, con mesi di anticipo sui tempi che ci si sarebbe aspettati.

Consulenze, partnership e trattative usate come pretesto

Non sempre serve corrompere qualcuno. Molte operazioni sfruttano pretesti che hanno tutta l'aria di normali rapporti d'affari, come la consulenza offerta a un dipendente che in realtà serve a farlo raccontare, il potenziale investitore che chiede analisi finanziarie e piani strategici prima di un investimento che non arriverà mai, la richiesta di assistenza tecnica fatta per capire come funziona un processo produttivo, l'acquisto di un prodotto per analizzarne la composizione, la finta offerta di lavoro con cui si fa parlare un tecnico o il profilo professionale falso aperto sui social per agganciare le persone giuste.

Capita, per esempio, che un'azienda alimentare riceva una richiesta di collaborazione per una linea di prodotti speciali; ci sono incontri, mail, campioni spediti, tutto con l'aspetto di una trattativa vera, e quando la trattativa si arena l'interlocutore ha già raccolto quello che gli serviva per avvicinarsi alla ricetta.

L'ingegneria sociale fa la stessa cosa con più pazienza. Si costruisce un rapporto di fiducia con una persona chiave attraverso incontri che sembrano casuali, si usano le informazioni sulla sua vita privata, si approfitta di un momento di difficoltà o si inventa un'emergenza per spingerla a condividere qualcosa in fretta, ed è il caso del sedicente consulente che diventa amico di un ricercatore e, un caffè dopo l'altro, ricostruisce il progetto a cui lavora. Sulla stessa logica si reggono le truffe con la voce clonata dei vertici aziendali, di cui abbiamo parlato a proposito di deepfake e frodi ai vertici aziendali.

I segnali di uno spionaggio interno

Nessun segnale, da solo, prova qualcosa. Ci sono però comportamenti che, quando si sommano, meritano attenzione.

• richieste di accesso a documenti o progetti estranei alle proprie mansioni
• presenze in ufficio in orari insoliti o in locali dove non c'è motivo di stare
• un tenore di vita che migliora all'improvviso senza rapporto con lo stipendio
• incontri frequenti e non dichiarati con persone di aziende concorrenti
• la resistenza a prendere ferie o a condividere con altri la gestione di un progetto

Il segnale più eloquente, però, arriva da fuori, ed è la concorrenza che anticipa iniziative decise in una riunione interna.

Davanti a questi elementi la tentazione è di mettersi a controllare il dipendente da soli, ed è il modo più sicuro per bruciare il caso. Un accertamento su un singolo lavoratore è ammesso solo se c'è un diritto preciso da tutelare e un sospetto concreto che sia stato violato, nei limiti dello Statuto dei lavoratori, e affidarlo a un'agenzia con licenza e con competenze giuridiche serve proprio a non perdere, per un errore di metodo, la tutela che si stava cercando.

Le difese che funzionano, dalla selezione all'indagine mirata

La prima difesa si gioca già al momento dell'assunzione, con indagini preassuntive limitate, come richiede l'articolo 8 dello Statuto dei lavoratori, a ciò che è rilevante per l'attitudine professionale, e con referenze verificate facendo domande precise su affidabilità e gestione delle informazioni riservate; per chi va a ricoprire posizioni sensibili, in presenza di fondati sospetti, si possono fare accertamenti più mirati.

Dentro l'azienda servono regole semplici e rispettate. Le informazioni vanno classificate con livelli di accesso diversi, dando a ciascuno solo quelle che gli servono, gli ingressi vanno controllati con badge personali e registro dei visitatori, gli accordi di riservatezza devono prevedere conseguenze chiare e tutti devono sapere che cosa si può dire fuori e che i documenti non si lasciano sulla scrivania; conta molto anche il momento in cui una persona entra o se ne va, con procedure che le diano accesso solo a ciò che serve e, all'uscita, chiudano accessi e recuperino documenti e dispositivi. A tutto questo si aggiungono la formazione sulle tecniche con cui si cerca di carpire informazioni, qualche test simulato di ingegneria sociale e un canale anonimo per segnalare comportamenti sospetti, sempre nel rispetto della privacy dei lavoratori e con la massima trasparenza.

Quando i segnali ci sono, conta il tempo. Un intervento rapido permette di contenere la fuoriuscita, di raccogliere le prove prima che vengano alterate o distrutte e di gestire tutto con discrezione, senza ricadute sulla reputazione; l'indagine può consistere in osservazioni discrete, nella documentazione di incontri con concorrenti, nella verifica di conflitti di interesse o di rapporti non dichiarati con aziende concorrenti e nella ricostruzione della catena di eventi che ha portato alla perdita dell'informazione.

Capita anche che l'accertamento escluda la persona su cui si erano concentrati i sospetti, e per l'azienda è comunque un vantaggio, perché sapere che il problema non è quel dirigente permette di cercare la falla altrove, magari in un archivio condiviso a cui da anni accedono tutti.