Βιομηχανική κατασκοπεία και οικονομικό έγκλημα

Ακρίβου Σοφία, ΜΔΕ

"Άλλοτε, όταν τεράστιες περιουσίες σχηματίζονταν στη διάρκεια του πολέμου, ο πόλεμος τότε ήταν επιχείρηση. Τώρα, όπου τεράστιες περιουσίες δημιουργούνται από τις επιχειρήσεις, η επιχείρηση είναι πόλεμος".

Christian Nestell Bovee (1820-1904),

Αμερικανός συγγραφέας & εκδότης

Ως κατασκοπεία ορίζεται η απόκτηση διαβαθμισμένων (απορρήτων ή εμπιστευτικών) πληροφοριών από μία κυβέρνηση, μία επιχείρηση, ένα ή περισσότερα φυσικά πρόσωπα, χωρίς την άδεια του κατόχου τους. Για την αποτελεσματική ενασχόληση με το φαινόμενο της  κατασκοπείας στον επιχειρηματικό κόσμο, είναι σημαντική η κατανόηση της σχετικής ορολογίας. Υπάρχουν πέντε όροι οι οποίοι χρησιμοποιούνται για να περιγράψουν την ίδια γενική επιχειρηματική απειλή αλλά έχουν σαφείς διαφορές μεταξύ τους.^[1]

• Επιχειρηματική κατασκοπεία
• Εταιρική κατασκοπεία
• Βιομηχανική κατασκοπεία
• Εμπορική κατασκοπεία
• Οικονομική κατασκοπεία

Οι όροι της εταιρικής και βιομηχανικής κατασκοπείας χρησιμοποιούνται πιο συχνά για κατασκοπεία μεταξύ ανταγωνιστικών επιχειρήσεων ενός κράτους. Ο όρος της οικονομικής κατασκοπείας χρησιμοποιείται για τη διάκριση της κυβερνητικής/ στρατιωτικής κατασκοπείας μέσω των κρατικών Υπηρεσιών Πληροφοριών. Ωστόσο, σε μια όλο και πιο παγκόσμια οικονομία η διάκριση μεταξύ εσωτερικού και εξωτερικού εμπορίου είναι δύσκολη και επειδή οι επιχειρηματικές τεχνολογίες μπορεί να έχουν και στρατιωτικές εφαρμογές ή επειδή κάποιες κυβερνήσεις κατέχουν ή ελέγχουν επιχειρήσεις, η διάκριση δεν είναι πάντα σαφής. Για το λόγο αυτό χρησιμοποιείται συχνά ο όρος επιχειρηματική κατασκοπεία ο οποίος μπορεί να περιλαμβάνει όλους τους ανωτέρω.^[2] O όρος βιομηχανική κατασκοπεία έχει επικρατήσει έναντι του όρου εταιρική κατασκοπεία διότι ασκείται κυρίως στον κλάδο της βαριάς βιομηχανίας και της βιομηχανίας υψηλής τεχνολογίας όπως εταιρείες που έχουν ως αντικείμενο τα λογισμικά και υλικά ηλεκτρονικών υπολογιστών, τη βιοτεχνολογία, τις τηλεπικοινωνίες, την ενέργεια, την τεχνολογία υλικών, οχημάτων και ειδικών εργαλείων.^[3]

Η βιομηχανική κατασκοπεία ορίζεται ως η παράνομη κλοπή/απόκτηση πνευματικής ιδιοκτησίας, όπως σημαντικά εμπορικά μυστικά, πληροφορίες για ευρεσιτεχνίες καθώς και βιομηχανικές τεχνικές, διαδικασίες, ιδέες και τύπους. Ή μπορεί να περιλαμβάνει τη δέσμευση ιδιοκτησιακών ή επιχειρησιακών πληροφοριών, όπως δεδομένα σχετικά με τα στοιχεία πελατών, πωλήσεων, τιμολογίων, έρευνας και ανάπτυξης, πολιτικών, προοπτικών προσφορών, στρατηγικών σχεδιασμού ή μάρκετινγκ ή μεταβαλλόμενων συνθέσεων προσωπικού και θέσεων παραγωγής. Γενικότερα, μπορεί να περιλαμβάνει οτιδήποτε δίνει στην επιχείρησή ένα πλεονέκτημα στην αγορά και που την κάνει επιτυχημένη.^[4]

Το βασικό "ερέθισμα" για την άσκηση κατασκοπείας σε βάρος ενός οργανισμού ή επιχείρησης, είναι το ότι: "Εάν υπάρχει προϊόν ή υπηρεσία προς πώληση, τότε υπάρχει κάτι το οποίο αξίζει να κλαπεί"³. Προστατεύοντας εμπορικά μυστικά και κρίσιμες ή ευαίσθητες επιχειρηματικές πληροφορίες από κλοπή μέσω κατασκοπείας, είναι σημαντικότατη λειτουργία ασφάλειας για όλα τα ιεραρχικά επίπεδα διοίκησης μιας επιχείρησης ή ενός οργανισμού, ιδιαίτερα σε διευθυντικό επίπεδο (Senior Management). Η BECCA (Business Espionage Controls & Countermeasures Association), ^[5] η μοναδική διεθνώς ένωση η οποία ασχολείται αποκλειστικά και μόνον με την καταπολέμηση της επιχειρηματικής κατασκοπείας, έχει προσδιορίσει τέσσερις πρωτεύουσες περιοχές κινδύνου άσκησης κατασκοπείας, αποτέλεσμα μιας από τις πρώτες ερευνητικές εργασίες της ένωσης. ^[6] Είναι διεθνώς γνωστές ως Τhe Four Faces of Business Espionage ^[7] και είναι οι ακόλουθες:

• Eπιθέσεις βασισμένες σε πρόθεση
• Κατάχρηση στη χρήση υπολογιστών
• Παρακολούθηση με τη χρήση Τεχνικών Μέσων
• Κεκαλυμμένες επιθέσεις.

Κατάσκοπος «υπεράνω πάσης υποψίας» στον εργασιακό χώρο

Οι ειδικοί εκτιμούν ότι στις περισσότερες περιπτώσεις ο «κατάσκοπος» δεν επιτίθεται μέσω διαδικτύου. Πολλά από τα οικονομικά εγκλήματα διαπράττονται από τους ίδιους τους εργαζόμενους της επιχείρησης, υποστηρίζει ο Στέφεν Σάλβενμοζερ. «Θα λέγαμε ότι σχεδόν το 50% των εγκληματικών αυτών πράξεων αποδίδεται στα ίδια τα στελέχη των επιχειρήσεων. Συνήθως δεν υποπτεύεσαι έναν άνθρωπο τον οποίο συναναστρέφεσαι καθημερινά, οπότε του δείχνεις ιδιαίτερη εμπιστοσύνη και μοιράζεσαι μαζί του πολλές πληροφορίες» τονίζει ο συνεργάτης της Pricewaterhouse Coopers.^[8]

Στις εταιρείες συχνά δεν αρέσει να σκέφτονται το ενδεχόμενο της εσωτερικής απειλής, επειδή τους κάνει να είναι καχύποπτοι για τους ίδιους τους υπαλλήλους της και υπονομεύεται η εμπιστοσύνη μεταξύ τους. Αλλά η αλήθεια είναι πως θα πρέπει να είναι έστω και λίγο, επειδή μπορεί να προκαλέσουν καταστροφική ζημία στην επιχείρηση.

Υπάρχουν πράγματα που μπορεί να κάνει μία επιχείρηση για να μειώσει τις πιθανότητες εσωτερικών απειλών κατασκοπείας αλλά πάντα είναι πιθανές.^[9]

Οι νομικές επιπτώσεις της ενάσκησης της βιομηχανικής κατασκοπείας στην Ελλάδα

Στην ελληνική νομοθεσία, η καταστολή του αδικήματος της κατασκοπείας βρίσκεται στον ν. 146/1914 περί αθέμιτου ανταγωνισμού και συγκεκριμένα με τα άρθρα 16 - 18 ^[10], στα οποία προβλέπονται κυρίως ποινικές κυρώσεις. ^[11] Στις διατάξεις αυτές τυποποιούνται τέσσερις αξιόποινες πράξεις: α) η παράνομη ανακοίνωση απορρήτου από εργαζόμενο κατά την διάρκεια της απασχόλησής του (άρθρο 16 εδ. α’), β) η παράνομη χρησιμοποίηση ή ανακοίνωση απορρήτου (άρθρο 16 εδ. β’), γ) η παράνομη ανακοίνωση εμπιστευμένων σχεδίων ή τεχνικών κανόνων (άρθρο 17) και δ) η επιχείρηση εξώθησης άλλου στην τέλεση των πράξεων που προβλέπονται στα άρθρα 16 εδ. α’ και 17 (απόπειρα ηθικής αυτουργίας, άρθρο 18) ^[12].

Συνοπτικά, από τα ως άνω άρθρα προκύπτει το συμπέρασμα ότι υπάρχει ελλιπής ποινική προστασία για την αντιμετώπιση των σύγχρονων προσβολών των επιχειρηματικών απορρήτων. Υπάρχουν κενά και αδυναμίες που δεν καλύπτονται τελικά από το υπάρχον νομικό πλαίσιο.

Σύγχρονες μέθοδοι βιομηχανικής κατασκοπείας μέσω του κυβερνοχώρου

Τα τελευταία χρόνια σημαντικές μέθοδοι για την απόσπαση πληροφοριών τόσο από ιδιώτες όσο και από επιχειρήσεις, που κατ’ επέκταση βοηθούν στην επίτευξη των στόχων της βιομηχανικής κατασκοπείας, προέρχονται από τον κυβερνοχώρο. Οι πιο σημαντικές είναι:

• Phishing

Με τον όρο Phishing (Ηλεκτρονικό Ψάρεμα) αναφερόμαστε στην τεχνική εξαπάτησης χρηστών του διαδικτύου με απώτερο σκοπό την παράνομη πρόσβαση σε ευαίσθητα προσωπικά δεδομένα, όπως πρόσβαση σε αρχεία, κωδικούς και ιδιωτικά στοιχεία. Σε αυτές τις περιπτώσεις ο επιτιθέμενος υποδύεται έναν αξιόπιστο φορέα όπως για παράδειγμα τράπεζα, υπηρεσία διαχείρισης αρχείων κλπ. και προσελκύει χρήστες μέσω παραπλανητικών email ή μέσω της τεχνικής ανακατεύθυνσης (redirection) ισοτόπων. ^[13]

• Malware

Ο όρος Malware (Κακόβουλο Λογισμικό) αναφέρεται στην κατηγορία λογισμικών τα οποία ως απώτερο στόχο έχουν να βλάψουν υπολογιστικά συστήματα. Τα κακόβουλα λογισμικά μπορούν είτε να περιέχονται σε άλλα λογισμικά (ξενιστές) είτε να είναι αυθύπαρκτα όπως και άλλα προγράμματα. ^[14]

• Ransomware

To Ransomware είναι μια μορφή λογισμικού που κλειδώνει τα δεδομένα του χρήστη και απειλεί είτε να διακόψει την οριστική πρόσβαση σε αυτά είτε να τα δημοσιοποιήσει, εκτός αν το θύμα (ιδιώτης ή εταιρεία) καταβάλει λύτρα. Οι εξελιγμένες μορφές Ransomware κρυπτογραφούν τα δεδομένα του θύματος και αποδίδουν τον κωδικό αποκρυπτογράφησης στον χρήστη μόνο μετά την καταβολή των λύτρων που συνήθως γίνεται με κρυπτονομίσματα. ^[15]

Η συνεισφορά του ιδιωτικού ερευνητή σε υποθέσεις βιομηχανικής  κατασκοπείας

Για να υπάρξει μια ουσιαστική θωράκιση της εταιρείας με σκοπό την εύρυθμη και απρόσκοπτη λειτουργίας της, σε περιπτώσεις που υπάρχουν ενδείξεις βιομηχανικής κατασκοπείας, η συμβολή του ιδιωτικού ερευνητή είναι πρωταρχικής σημασίας. Τόσο ο σχεδιασμός εταιρικής προστασίας όσο και η εξάλειψη των κινδύνων λόγω οικονομικής απάτης αποτελούν αρμοδιότητα των ιδιωτικών ερευνητών, οι οποίοι έχοντας την κατάλληλη εμπειρία και τεχνογνωσία μπορούν να παρέχουν τις υπηρεσίες τους.

Ο πολύπειρος ιδιωτικός ερευνητής, με ειδίκευση σε θέματα τρομοκρατίας, Business Intelligence και Counter Intelligence, κύριος Φίλιππος Χατζής ^[16], σε συνέντευξη του στο CrimeTimes, δίνει απαντήσεις σε κάποια καίρια ερωτήματα που σχετίζονται με την βιομηχανική κατασκοπεία.

-Η οικονομική και βιομηχανική κατασκοπεία είναι διαδεδομένη στην Ελλάδα, παρόλο που δεν είναι ευρέως γνωστή. Θα μπορούσατε να μας δώσετε ένα τυπικό παράδειγμα μιας υπόθεσης βιομηχανικής κατασκοπείας;

Σας παραπέμπω σε ένα κομμάτι ενός άρθρου από την ηλεκτρονική εφημερίδα capital.gr ^[17]. Όπως επισημαίνει ο βραβευμένος από το FBI αξιωματικός της ΕΛ.ΑΣ, στην Ελλάδα τα κρούσματα ηλεκτρονικής κατασκοπείας δεν παύουν να πολλαπλασιάζονται. Η ηλεκτρονική κατασκοπεία ειναι μια μέθοδος της βιομηχανικής Κατασκοπείας. «Πρόσφατα Έλληνας με συνεργό Άγγλο απέσπασαν από μεγάλο πολυεθνικό όμιλο στο εξωτερικό λογισμικό αξίας 360 εκατ. δολαρίων, επιφέροντας ένα σοβαρότατο πλήγμα στον οργανισμό, του οποίου η εύρυθμη λειτουργία στηριζόταν στο εν λόγω πρόγραμμα. Μία ακόμη περίπτωση υφαρπαγής απόρρητων στοιχείων, αφορά Έλληνα επιχειρηματία, από τον οποίο υπέκλεπταν νευραλγικές πληροφορίες για την εταιρεία του. Εξαιτίας της ελλιπούς γνώσης διαφύλαξης της ασφάλειας των πληροφοριών, ο κύκλος εργασιών της συγκεκριμένης εταιρείας υποχώρησε σε ποσοστό 65%» εξηγεί ο κ. Σφακιανάκης. ^[18]

- Αναφερόμενοι στην νόμιμη βιομηχανική κατασκοπεία, ποια είναι η έννοια της επιχειρηματικής ή ανταγωνιστικής ευφυΐας (Business – Competitive Intelligence);

Η έννοια της επιχειρηματικής ή ανταγωνιστικής ευφυΐας είναι να μπορέσει μια επιχείρηση να συλλέξει πληροφορίες από ένα ανταγωνιστή με νόμιμες μεθόδους και με τρόπο που δεν θα γίνει αντιληπτό. Ή ακόμα και  όταν η ενέργεια γίνει αντιληπτή να είναι πολύ αργά για να μπορέσει να αντιδράσει. Για αυτού του είδους συλλογής πληροφοριών χρησιμοποιούνται επαγγελματίες εξειδικευμένοι στην εξόρυξη και συλλογή πληροφοριών. Είναι άτομα με πολύ μεγάλη γνώση στο αντικείμενο για το όποιο θέλουν να συλλέξουν πληροφορίες.

Χρησιμοποιούν διάφορα τεχνάσματα και παγίδες για να μπορέσουν να αντλήσουν τις σημαντικές πληροφορίες από τους ανυποψίαστους υπαλλήλους και όχι μόνο.

-Ποιες μέθοδοι χρησιμοποιούνται συνήθως για την θωράκιση μιας επιχείρησης από εταιρικούς κινδύνους;

Η διασφάλιση των εταιρικών μυστικών είναι συλλογική ευθύνη και όλοι οι υπάλληλοι πρέπει να τηρούν τα πρωτόκολλα ασφαλείας. Οι επιχειρήσεις πρέπει να θέσουν υψηλά πρότυπα ασφάλειας, ρυθμίσεις και πρωτόκολλα για την αποθήκευση φορητών υπολογιστών, usb και σκληρών δίσκων. Πρέπει όλοι οι εργαζόμενοι και ειδικά αυτοί που χειρίζονται τέτοιες συσκευές να περάσουν ειδική εκπαίδευση για την ασφαλή χρήση και αποθήκευση τους. Κάποιες άλλες μεθόδους που πρέπει να χρησιμοποιούμε για την ασφάλεια μιας επιχείρησης είναι:

• Έλεγχος νέων υπαλλήλων και ειδικά αυτών που θα χειρίζονται ευαίσθητες πληροφορίες της επιχείρησης.
• Εκπαίδευση προσωπικού για το πως ένας βιομηχανικός κατάσκοπος μπορεί να τους πλησιάσει και τι μεθόδους θα χρησιμοποιήσει για να αντλήσει πληροφορίες.
• Συνεχής έλεγχος TSCM ^[19] πριν και κατά την διάρκεια σημαντικών meetings και συσκέψεων.

-Μια μέθοδος που χρησιμοποιείται στην βιομηχανική κατασκοπεία είναι και η κοινωνική μηχανική. Θα μπορούσατε να μας αναφέρετε τι ακριβώς είναι αυτή η μέθοδος και που στοχεύει;

Η κοινωνική μηχανική είναι μια μέθοδος που χρησιμοποιούν οι ειδικοί στην συλλογή πληροφοριών και στηρίζεται στην άγνοια και την περιέργεια της ανθρώπινης φύσης. Για αυτό το λόγο στην προηγουμένη ερώτηση σας για τις μεθόδους θωράκισης ανέφερα ότι είναι πολύ σημαντική η εκπαίδευση των υπαλλήλων σε μεθόδους που μπορούν να χρησιμοποιηθούν για την συλλογή πληροφοριών εν αγνοία τους.

Η κοινωνική μηχανική είναι μία μέθοδος απόκτησης πρόσβασης σε συστήματα, δεδομένα, κτίρια μέσω της εκμετάλλευσης της ανθρώπινης ψυχολογίας. H κοινωνική μηχανική δηλαδή περιλαμβάνει μη τεχνικές μεθόδους που χρησιμοποιούν οι επιτιθέμενοι.  Οι τεχνικές κοινωνικής μηχανικής βασίζονται σε συγκεκριμένες ιδιότητες της ανθρώπινης λήψης αποφάσεων που είναι γνωστές ως γνωστικές προκαταλήψεις. Βασίζονται στον εκμετάλλευση της ανθρώπινης φύσης καθώς ο ανθρώπινος παράγοντας αποτελεί το πιο ευάλωτο στοιχείο ενός συστήματος και αυτό διότι οι δυνατότητες και οι αδυναμίες των υπολοίπων μερών του συστήματος είναι σε μεγάλο βαθμό δεδομένες και προκαθορισμένες. Όμως ο ανθρώπινος παράγοντας επηρεάζεται από τις συνθήκες εργασίας και από την ψυχοσύνθεσή του και οδηγείται στην παραπλάνηση.

Η επιρροή και η πειθώ είναι επίσης τεχνικές της κοινωνικής μηχανικής. Η τέχνη της επιρροής και της πειθούς είναι μία διαδικασία κατά την οποία κάνουμε κάποιον άλλο να σκέφτεται, να πράττει, να αντιδρά και να πιστεύει με τον τρόπο που οι άλλοι θέλουν. Ένας επιτυχημένος κοινωνικός μηχανικός έχει ισχυρές διαπροσωπικές δεξιότητες. Είναι γοητευτικός, ευγενικός και ευχάριστος, κοινωνικά χαρακτηριστικά που απαιτούνται για τη δημιουργία γρήγορης σχέσης και εμπιστοσύνης. Ένας έμπειρος κοινωνικός μηχανικός είναι σε θέση να αποκτήσει πρόσβαση σε σχεδόν οποιαδήποτε στοχευόμενη πληροφορία χρησιμοποιώντας τις στρατηγικές και τις τακτικές του.

Σας παραθέτω ένα μικρό παράδειγμα κοινωνικής μηχανικής. Ένα πρωί παρκάρετε το όχημα σας κοντά στην εταιρεία που εργάζεστε. Περπατάτε μερικά τετράγωνα για να φτάσετε στο κτίριο. Λίγο πριν φτάσετε βλέπετε κάτω στο έδαφος ένα usb stick, το παίρνετε και το βάζετε στην τσάντα σας σκεπτόμενος ότι είστε τυχερός γιατί αυτό το usb stick έχει μεγάλη μνήμη και είναι πανάκριβο. Φτάνετε στην εταιρεία που εργάζεστε και κάθεστε μπροστά στον υπολογιστή σας. Εκείνη την στιγμή από περιέργεια

θέλετε να δείτε τι εχει μέσα το usb και το βάζετε στην θύρα του υπολογιστή σας. Βλέπετε ότι έχει κάποιες ασήμαντες φωτογραφίες και έγγραφα, τα σβήνετε και το βάζετε πάλι στην τσάντα σας. Ο βιομηχανικός κατάσκοπος που πριν φτάσετε στην εταιρεία σας περπατούσε μερικά μέτρα μπροστά σας, την κατάλληλη στιγμή μέσα από μια τρυπά της τσέπης του παντελονιού του άφησε το usb stick να πέσει περνώντας το μέσα από το μπατζάκι του παντελονιού του, πέφτοντας σχεδόν αθόρυβα στο έδαφος. Με αυτό τον τρόπο μπόρεσε να παγιδεύσει τον υπολογιστή σας και το server της εταιρείας σας, συλλέγοντας σημαντικές πληροφορίες.

-Σε ποιους τομείς συναντούμε συχνότερα υποθέσεις βιομηχανικής κατασκοπείας;

Η βιομηχανική κατασκοπεία είναι πιο συχνή στους τομείς υψηλής τεχνολογίας, όπως είναι ο χώρος των ηλεκτρονικών, της αυτοκινητοβιομηχανίας, της φαρμακευτικής, της χημείας, της βιολογίας, της αεροναυπηγικής – διαστημικής και της ενέργειας. Στους εξόχως ανταγωνιστικούς αυτούς τομείς, άπαξ και η πληροφορία κλαπεί, ελάχιστα μπορούν να γίνουν για να περιοριστεί το αντίκτυπο ενώ οι απώλειες μπορεί να είναι δυσβάσταχτες.

-Ποιοι θεωρείται ότι είναι οι κυριότεροι λόγοι εμφάνισης και αύξησης του φαινομένου της βιομηχανικής κατασκοπείας;

Τα ποσά που διακυβεύονται είναι τεράστια και αντίστοιχα μεγάλες μπορεί να είναι και οι «απολαβές» όσων εμπλέκονται. Σε περιόδους κρίσης όπου εκτός των άλλων λαμβάνουν χώρα και συγχωνεύσεις και εξαγορές, η αξία των πληροφοριών γίνεται ακόμα μεγαλύτερη.

- Ποιες συμβουλές θα δίνατε σε εταιρείες προκειμένου να προστατεύσουν την πνευματική τους ιδιοκτησία από τέτοιες επιθέσεις; Η τεχνολογία αρκεί ως εργαλείο θωράκισης;

Η έλλειψη ασφάλειας φυσικά χειροτερεύει την κατάσταση αλλά στον αντίποδα μπορεί να γίνεται και κατάχρηση τεχνικών μέσων ασφάλειας. Αυτό μπορεί να δημιουργήσει μια εσφαλμένη εντύπωση σιγουριάς και συνεπώς να οδηγήσει σε «χαλάρωση». Την ίδια στιγμή οι περιορισμοί λόγω ασφάλειας δυσχεραίνουν την καθημερινή εργασία των υπαλλήλων και για το λόγο αυτό αποτελεί κοινή πρακτική να «παρακάμπτονται». Για αυτό χρειάζεται συνεχής παρακολούθηση για την τήρηση των πρωτοκόλλων ασφαλείας και συνεχής ενημέρωση και εκπαίδευση του προσωπικού για νέες τεχνολογίες, τεχνάσματα και μεθόδους συλλογής πληροφοριών σε βάρος της επιχείρησης.

Ακρίβου Σοφία, Κοινωνιολόγος, Εργασιακή Σύμβουλος - ΜΔΕ Διοίκηση ανθρωπίνων πόρων