Martedì, alle 15:47, mi hanno messo in mano una petizione. Venticinque firme per chiedere le mie dimissioni immediate. Il foglio odorava ancora del profumo costoso di Cassandra Westfield. Mi chiamo Warren Bailey, ho 49 anni, e dirigevo la cybersecurity alla TechFlow Dynamics da esattamente otto mesi quando hanno deciso che dovevo andarmene.
Vi racconto come è andata, perché non è come vi aspettereste. Il tempismo era perfetto, nel senso peggiore. Stavo tracciando quello che sembrava un attacco sponsorizzato da uno stato contro i nostri algoritmi per veicoli autonomi quando Cassandra è entrata nel mio ufficio con quella petizione. I suoi tacchi battevano sul pavimento di cemento come artiglieria in arrivo.
Ho regolato il mio orologio tattico senza alzare lo sguardo dal monitor. Vedete, TechFlow non era una startup. Eravamo in attività da trent’anni, avevamo costruito sistemi di difesa per il governo prima di passare alla tecnologia automobilistica commerciale. Il tipo di posto dove una violazione dei dati non ti costa solo denaro, ti costa tutto.
Quando sono stato assunto, stavano perdendo contratti a causa di un ragazzo del reparto IT che pensava che il cloud storage fosse la stessa cosa dello storage sicuro. «Warren», disse lei, posando la petizione sulla mia scrivania accanto alla tazza di caffè. «Il team esecutivo ha raggiunto un consenso. »
Ho dato un’occhiata al documento.
Venticinque nomi, tutti capi dipartimento e personale senior. L’intestazione diceva: «Petizione per la cessazione immediata di Warren Bailey, senior manager delle operazioni di cybersecurity». Ora, dovete capire una cosa su Cassandra Westfield. Non era solo la moglie del CEO, era l’ex dirigente marketing che era entrata nell’azienda sposandosi quando suo padre aveva venduto la sua azienda manifatturiera a TechFlow cinque anni prima.
Era una donna che sapeva come gestire una stanza. Ma pensava anche che la cybersecurity fosse qualcosa che si poteva esternalizzare al miglior offerente. «Valutazione della minaccia completata», dissi, continuando a guardare il traffico di rete sui miei schermi. «Procedo con le contromisure.
»
Lei sbatté le palpebre. «Scusa? »
«Sto solo parlando con il mio sistema. » Salvai l’analisi della minaccia e finalmente la guardai.
«Qual è l’obiettivo operativo qui, signora Westfield? »
Cassandra incrociò le braccia. Organizzava i ritiri trimestrali e le iniziative di team building che intaccavano il nostro budget per la sicurezza. Il tipo di eventi in cui i dirigenti passavano tre giorni in resort di lusso a parlare di sinergie mentre gli hacker probabilmente pianificavano il loro prossimo attacco.
«L’obiettivo è mantenere il morale del team», disse. «Il tuo approccio militare sta disturbando la collaborazione. Le persone si sentono intimidite. »
Controllai l’orologio.
Il gruppo APT che stavo seguendo era inattivo da 37 minuti. Nella mia esperienza, di solito significava che si stavano riposizionando per un assalto più grande. I gruppi di minaccia persistente avanzata non fanno pause caffè. Sondano.
Aspettano. Colpiscono quando guardi dall’altra parte. «Quali persone? » chiesi.
«Tutti hanno firmato la petizione volontariamente. »
Scansii di nuovo i nomi. Shane Parker dell’IT, gran parte del team marketing, diversi project manager che non saprebbero distinguere un firewall da uno stabilizzatore di sovratensione. Nessuno di loro aveva le autorizzazioni per capire cosa facevo davvero qui.
Nessuno di loro sapeva che da due mesi stavo seguendo tentativi sistematici di rubare le nostre ricerche sui veicoli autonomi. «E Jeffrey sostiene questa decisione. Mio marito valuta la coesione del team più della performance individuale. »
Quella era un’informazione interessante.
Jeffrey Westfield era in realtà un CEO decente. Aveva ereditato l’azienda quando aveva sposato Cassandra, ma sapeva come gestire le operazioni. Mi aveva assunto specificamente dopo l’ultima violazione della sicurezza che era costata loro un contratto da 8 milioni di dollari con la Detroit Automotive. Il cliente se n’era andato citando problemi di protezione dei dati quando i loro progetti preliminari erano finiti in un brevetto di un concorrente.
Ero stato chiamato per risolvere quello, per costruire un sistema di sicurezza che potesse proteggere non solo i nostri dati, ma anche la nostra reputazione. E per otto mesi, era esattamente quello che avevo fatto. «Qual è la tempistica? » chiesi.
«Immediata. La sicurezza ti scorterà fuori dopo che avrai firmato la conferma. »
Annuii e tornai ai miei monitor. Il traffico di rete si era spostato di nuovo.
Qualcuno stava sondando il firewall della nostra divisione di ricerca, testando i tempi di risposta. Era come guardare qualcuno che studia una casa, controllando quali finestre erano aperte, quali allarmi funzionavano. «Devo prima mettere in sicurezza i miei sistemi. Shane può gestire la transizione.
»
Shane Parker, 35 anni, ambizioso da morire, e assolutamente convinto che i miei protocolli militari obsoleti stessero rallentando l’innovazione. Preferiva soluzioni cloud con sicurezza locale minima. Il mese scorso, aveva addirittura suggerito di spostare il nostro database di proprietà intellettuale su un server di terze parti per migliorare l’efficienza della collaborazione. Quando gli spiegai che quello significava praticamente consegnare le nostre ricerche a chiunque avesse un laptop decente, disse che ero paranoico.
«Shane non ha le autorizzazioni per questi protocolli. »
«Le otterrà. »
Regolai di nuovo l’orologio. Gli attacchi di sondaggio si erano intensificati.
Qualunque cosa stesse arrivando, sarebbe arrivata presto. In Iraq, avevamo imparato a riconoscere questo schema esatto. Piccoli sondaggi per testare le difese, poi silenzio radio, poi una forza schiacciante. Il silenzio era sempre la parte più pericolosa, perché è lì che coordinano il vero attacco.
«Signora Westfield, devo informare qualcuno sulla valutazione della minaccia attuale prima di completare la procedura di uscita. »
«Non sarà necessario. Shane è pienamente qualificato per mantenere i nostri sistemi. »
Il monitor emise un segnale acustico: movimento rilevato nel database di ricerca.
Qualcuno aveva acceduto ai file del progetto veicoli autonomi. Non stava ancora scaricando nulla, stava solo controllando i permessi di accesso, come un ladro che prova le maniglie delle porte per vedere quali stanze sono aperte. «Ricevuto», dissi. «Avvio le procedure di spegnimento.
»
Lei uscì con la sua petizione, probabilmente diretta al suo ufficio per chiamare il prossimo della sua lista di persone che dovevano essere più collaborative. Avevo forse 20 minuti prima che la sicurezza arrivasse a scortarmi fuori. 20 minuti per implementare i protocolli di blocco che avevo progettato dal mio primo giorno di lavoro. Vedete, la cosa dell’esperienza militare è che ti prepari sempre allo scenario peggiore.
Quando ho costruito la nuova architettura di sicurezza di TechFlow, non mi sono concentrato solo sulle minacce esterne. L’ho progettata per proteggere anche dalle vulnerabilità interne, inclusa la vulnerabilità di personale chiave rimosso in momenti critici. Il sistema che avevo installato non era solo un firewall. Era una rete di difesa autonoma con capacità di machine learning.
Monitorava il comportamento degli utenti, tracciava i modelli di accesso e poteva identificare attività anomale anche quando provenivano da account autorizzati. Ancora più importante, richiedeva la verifica biometrica dell’ufficiale di sicurezza senior per qualsiasi modifica importante ai protocolli principali. Cioè me. Aprii l’interfaccia di controllo principale.
Per gli ultimi due mesi, avevo osservato un gruppo sofisticato mappare sistematicamente la nostra infrastruttura di rete. Non erano hacker da colpo grosso in cerca di numeri di carte di credito. Questi ragazzi erano pazienti, professionali e sapevano esattamente cosa cercavano. I nostri algoritmi per veicoli autonomi rappresentavano 5 anni di ricerca e circa 200 milioni di dollari in costi di sviluppo.
Ma ecco cosa rendeva interessante tutta questa situazione. I sondaggi esterni si erano intensificati più o meno nello stesso periodo in cui Cassandra aveva iniziato a costruire il suo caso contro di me. Sei settimane fa, aveva menzionato a Jeffrey che il mio stile di comunicazione stava causando problemi. Quattro settimane fa, aveva iniziato a dire che i miei protocolli di sicurezza stavano inibendo l’innovazione.
Due settimane fa, aveva suggerito che forse un approccio più collaborativo avrebbe servito meglio la cultura aziendale. Attivai la modalità difensiva completa. Il sistema bloccò tutti i punti di accesso esterni, avviò il monitoraggio continuo del traffico di rete interno e iniziò a registrare ogni tasto premuto su ogni terminale. Se qualcuno stava pianificando un attacco durante il periodo di transizione, si sarebbe trovato di fronte a un ambiente molto diverso da quello che si aspettava.
Poi feci qualcos’altro, qualcosa che avrebbe salvato l’azienda o mi avrebbe fatto citare in giudizio per sabotaggio aziendale. Programmai il sistema per inoltrare i rapporti di minaccia direttamente al consiglio di amministrazione se avesse rilevato attacchi coordinati durante i periodi di transizione del personale di sicurezza. Non a Jeffrey, non al reparto IT, ma direttamente a Theodore Blackwell, il presidente di 68 anni che aveva fondato questa azienda nel suo garage nel 1994. Theodore era un ingegnere della vecchia scuola, aveva costruito TechFlow sui contratti di difesa prima di espandersi nella tecnologia commerciale.
Capiva che nel nostro settore, la sicurezza delle informazioni non riguardava solo la protezione dei dati. Riguardava la protezione delle vite. I veicoli autonomi non erano videogiochi. Se qualcuno avesse hackerato i nostri algoritmi di prevenzione delle collisioni e le persone fossero morte, quello non sarebbe stato solo una causa legale.
Sarebbe stato sangue sulle nostre mani. 23 minuti dopo arrivò la sicurezza. Due guardie con cui avevo lavorato prima. Entrambi bravi ragazzi, che seguivano solo ordini dall’alto.
«Ci dispiace, Warren», disse Mike, la guardia senior. «Gli ordini sono arrivati dal livello esecutivo. »
«Nessun problema, Mike. Fai solo il tuo lavoro.
»
Consegnai le mie tessere di accesso, firmai i documenti di conferma e feci le valigie con i miei effetti personali. L’orologio tattico rimase al mio polso. Mentre passavamo davanti alla divisione di ricerca, vidi Shane Parker già alla mia vecchia scrivania, che cercava di accedere alla console di sicurezza. Cliccava sullo stesso menu da circa 5 minuti.
Il sistema chiedeva la verifica biometrica, ma le impronte di Shane non erano nel database autorizzato. Quasi sorrisi. Quasi. Il viaggio di ritorno a casa mi diede tempo per pensare.
Cassandra aveva giocato bene questa partita dal punto di vista dell’ingegneria sociale. Rimuovi l’esperto di sicurezza proprio quando l’azienda è più vulnerabile, poi installa qualcuno più collaborativo che non farà domande scomode su attività di rete insolite o accessi al database fuori orario. Ma aveva commesso un errore tattico. Aveva assunto che avessi costruito un sistema che potesse essere facilmente trasferito alla nuova gestione.
Gli ingegneri militari non progettano sistemi che falliscono quando cambia la leadership. Progettiamo sistemi che proteggono la missione indipendentemente dalle perdite di personale. La mia casa è a circa 20 minuti dal quartier generale di TechFlow, un posto modesto che avevo comprato dopo il divorzio 3 anni fa. Niente di elegante, ma ha un ufficio nel seminterrato dove tengo le mie attrezzature personali.
Gli appaltatori governativi sviluppano certe abitudini nel mantenere capacità di comunicazione indipendenti. Passai la sera a configurare software di monitoraggio per tracciare la postura di sicurezza esterna di TechFlow. Niente di illegale, solo controllare i loro sistemi pubblici per eventuali segni di compromissione. Due diligence standard per un ex dipendente preoccupato per il furto di proprietà intellettuale.
I segnali iniziarono ad apparire intorno alle 23:00. Cambiamenti sottili nei tempi di risposta del loro sito web. Query al database in orari non lavorativi quando la maggior parte del personale era a casa. Piccole alterazioni nei modelli di traffico del server che suggerivano che qualcuno stesse copiando sistematicamente grandi quantità di dati.
Entro giovedì mattina, i miei avvisi automatici impazzivano. Qualcuno aveva fatto 347 tentativi di accesso ai file di ricerca sui veicoli autonomi tra mezzanotte e le 3:00. Tutti i tentativi usavano le credenziali amministrative di Shane Parker, ma provenivano da un indirizzo IP rintracciato fino a una server farm in Estonia. Fu allora che squillò il telefono.
«Jeffrey Westfield. Warren, dobbiamo parlare. »
«Di cosa, signore? »
«Puoi venire?
C’è stato uno sviluppo. »
La guardia di sicurezza alla reception sembrava confusa quando mi presentai. Tecnicamente, non avrei dovuto avere più accesso all’edificio, ma Jeffrey aveva chiamato in anticipo, quindi mi scortarono su nel suo ufficio, dove lo trovai con Theodore Blackwell. Theodore stava studiando una pila di stampe con l’espressione che vedi sui medici quando danno brutte notizie.
Alzò lo sguardo quando entrai. «Warren», disse, «parlami del tuo sistema di sicurezza. »
«Quale aspetto, signore? »
«La parte che mi ha inviato rapporti dettagliati di valutazione delle minacce ogni 4 ore da martedì pomeriggio.
»
Quindi, i protocolli di escalation avevano funzionato esattamente come progettato. Avevo programmato il sistema per contattare Theodore direttamente se avesse rilevato modelli di attacco sostenuti durante le transizioni di sicurezza. A quanto pareva, era stato molto occupato. Theodore sollevò una delle stampe: log di rete che mostravano 1.
247 tentativi di accesso non autorizzati nelle ultime 48 ore, tutti mirati ai nostri database di ricerca, tutti provenienti da indirizzi IP stranieri, tutti avvenuti durante le ore notturne quando Shane Parker era presumibilmente l’unico personale IT a monitorare i sistemi. «Shane dice che probabilmente sono solo tentativi di scansione automatica», aggiunse Jeffrey. «Niente di cui preoccuparsi. »
L’espressione di Theodore non cambiò.
«Warren, nella tua opinione professionale, questi sembrano scansioni casuali? »
Studiai i log. I modelli di attacco erano troppo coordinati, troppo mirati. «Le scansioni casuali colpiscono tutto.
Questi erano attacchi chirurgici mirati a database di ricerca specifici. No, signore. »
«Questo indica ricognizione avanzata da parte di attori di minaccia sofisticati. »
«È quello che pensavo.
» Theodore mi porse un altro rapporto. «Qualcuno ha scaricato 347 GB di dati dai nostri server di ricerca la scorsa notte. Sono state usate le credenziali di accesso di Shane, ma il download ha avuto origine da un indirizzo IP esterno nell’Europa orientale. »
La stanza cadde in un silenzio totale.
Jeffrey aveva smesso di sistemarsi la cravatta, cosa che faceva sempre quando era nervoso. Theodore fissava i log di rete come se fossero prove in un processo per omicidio. «Signore», dissi, «raccomando il blocco immediato di tutti gli accessi al database di ricerca in attesa di un audit di sicurezza. »
Theodore annuì lentamente.
«Già ordinato, ma c’è di più. » Aprì un’altra cartella, questa contenente quelli che sembravano documenti finanziari. «Warren, il tuo sistema ha tracciato più di semplici attacchi informatici. Ha monitorato i modelli di comunicazione interna, i programmi di accesso dei dipendenti e l’analisi di correlazione tra decisioni sul personale e incidenti di sicurezza.
»
Questa era la parte che speravo non scoprissero troppo in fretta. Il sistema che avevo costruito non era solo difensivo, era investigativo. Aveva imparato i modelli normali delle operazioni aziendali e segnalava anomalie che potevano indicare minacce interne. «Il sistema ha identificato diverse correlazioni preoccupanti», continuò Theodore.
«Per esempio, ogni volta che Shane Parker lavorava nei turni notturni, c’erano corrispondenti picchi di sondaggio di rete esterno. Nelle ultime 6 settimane, ci sono stati 23 casi in cui Shane era l’unico personale IT in servizio durante attività di rete sospette. »
Jeffrey stava guardando di nuovo la petizione di sua moglie. «Theodore, quando Cassandra ha menzionato per la prima volta che Warren era un problema culturale?
»
«Secondo le sue email a te, esattamente 6 settimane fa, la stessa settimana in cui sono iniziati questi tentativi di sondaggio sistematici. »
Regolai l’orologio. La linea temporale stava diventando chiara, ma dovevo stare attento a quanto rivelare. Nell’esercito, impariamo che l’intelligence è utile solo se non esponi le tue fonti e i tuoi metodi.
«Signore, chiedo il permesso di informarti su ulteriori scoperte. »
Theodore fece un cenno per farmi continuare. «Gli attacchi che stiamo seguendo non sono hacker opportunistici casuali. Questa è un’operazione coordinata di spionaggio industriale.
La mira è troppo precisa, i tempi troppo coordinati. Qualcuno con conoscenze interne ha fornito dati di ricognizione ad attori di minaccia esterni. » Aprii l’analisi dettagliata sul computer di Theodore. «Gli attaccanti sapevano esattamente quali database contenevano le nostre ricerche più preziose.
Conoscevano i nostri orari del personale. Sapevano quando i protocolli di sicurezza sarebbero stati più deboli. Quel livello di intelligence operativa richiede risorse umane all’interno dell’azienda. »
Jeffrey si alzò e andò alla finestra.
«Warren, stai suggerendo che Shane sta lavorando con hacker stranieri? »
«Sto suggerendo che qualcuno ha compromesso sistematicamente la nostra postura di sicurezza dall’interno. Che sia collaborazione deliberata o manipolazione inconsapevole, il risultato è lo stesso. »
Theodore stava studiando i grafici di correlazione.
«E la petizione? 25 persone hanno firmato quel documento. La maggior parte di quelle firme proviene da dipartimenti che non hanno visibilità sulle operazioni di sicurezza. Marketing, HR, project management.
Hanno firmato perché qualcuno di cui si fidavano ha detto loro che stavo causando problemi. »
«Qualcuno come mia moglie», disse Jeffrey a bassa voce. Non risposi direttamente. Nell’esercito, impari a presentare i fatti e lasciare che i comandanti traggano le loro conclusioni.
Ma i fatti erano piuttosto dannosi. Theodore aprì un’altra cartella. «Warren, c’è qualcos’altro che devi vedere. Stamattina ho ricevuto una chiamata dalla Detroit Automotive.
Erano preoccupati per le voci che TechFlow avesse subito una grave violazione della sicurezza. »
Questo attirò la mia attenzione. Detroit Automotive era il nostro cliente più grande, con contratti annuali da 120 milioni di dollari. Se si fossero spaventati per la sicurezza dei dati, avremmo potuto perdere tutto.
«Voci da quale fonte? »
«Una soffiata anonima al loro dipartimento di sicurezza aziendale. Qualcuno che affermava che gli algoritmi dei veicoli autonomi di TechFlow erano stati rubati e venduti a produttori automobilistici cinesi. »
Jeffrey si voltò.
«Ma non è vero, giusto? Voglio dire, sapremmo se i nostri algoritmi fossero stati compromessi. »
Theodore e io ci scambiammo uno sguardo. Nella comunità dell’intelligence, abbiamo un detto: l’assenza di prove non è prova di assenza.
Solo perché non avevamo rilevato un furto riuscito non significava che non fosse avvenuto. «Signore, raccomando un audit immediato di tutti i dati di ricerca per verificare l’integrità. »
«Già in corso», disse Theodore. «Ma ecco la parte interessante.
La soffiata anonima a Detroit Automotive è arrivata 3 giorni fa. Prima che Shane avesse mai accesso ai tuoi protocolli di sicurezza, prima che chiunque fuori da questa stanza sapesse degli attacchi sistematici che stiamo seguendo. »
Le implicazioni mi colpirono immediatamente. Qualcuno aveva pianificato questa operazione per settimane.
Aveva organizzato la mia rimozione, posizionato Shane per disabilitare i protocolli di sicurezza e preparato persino a danneggiare le nostre relazioni con i clienti con false voci sul furto di dati. «Questa è un’operazione completa di sabotaggio aziendale», dissi. «Non stanno solo cercando di rubare le nostre ricerche. Stanno cercando di distruggere le nostre relazioni commerciali e la nostra posizione di mercato.
»
Jeffrey si sedette pesantemente. «Chi farebbe una cosa del genere? »
«Qualcuno con una conoscenza dettagliata delle nostre operazioni, delle nostre relazioni con i clienti e del nostro personale. Qualcuno che capisce che nel mondo degli appalti di difesa, la reputazione per la sicurezza è tutto.
»
Theodore stava prendendo appunti sul suo blocco legale. «Warren, ho bisogno che prepari un rapporto completo di valutazione delle minacce. Tutto quello che hai scoperto, tutte le prove che il tuo sistema ha raccolto. Puoi averlo pronto per questo pomeriggio?
»
«Sì, signore. Ma avrò bisogno di accesso alla mia console di sicurezza per compilare il set di dati completo. »
«Fatto. Sto ripristinando immediatamente la tua autorizzazione.
»
Jeffrey alzò lo sguardo. «Theodore, e Shane e Cassandra? »
«Shane Parker è sospeso in attesa di indagine. Quanto a tua moglie», Theodore fece una pausa, «Jeffrey, ti conosco da quando avevi 25 anni.
Sei un buon CEO e un buon uomo, ma le relazioni personali non possono compromettere la sicurezza aziendale. »
Il peso di quella dichiarazione si posò sulla stanza. Il matrimonio di Jeffrey stava per diventare un danno collaterale in quello che si stava configurando come il più grande caso di spionaggio aziendale nella storia di TechFlow. «Capisco», disse Jeffrey a bassa voce.
Theodore si alzò. «Warren, voglio che tu torni subito nel tuo ufficio, accesso completo, autorità completa. E voglio aggiornamenti orari su qualsiasi nuovo sviluppo. »
Mentre tornavo verso l’ufficio di sicurezza, vidi Shane Parker svuotare la sua scrivania sotto supervisione.
Due guardie di sicurezza stavano inscatolando i suoi effetti personali mentre un tecnico forense IT stava creando un’immagine del suo disco rigido. Shane alzò lo sguardo mentre passavo e per un momento vidi nei suoi occhi qualcosa che non era sorpresa o confusione. Era sollievo. Come qualcuno che aveva portato un peso pesante ed era finalmente contento di posarlo.
Fu allora che capii che questa operazione era più grande di quanto avessi pensato inizialmente. Shane Parker non era la mente. Era solo un’altra risorsa gestita da qualcuno con una comprensione molto più sofisticata della guerra aziendale. Tornato nel mio ufficio, mi tuffai nell’analisi forense.
Il sistema di sicurezza era stato occupato mentre ero via, raccogliendo prove come un investigatore di scene del crimine digitale. Quello che trovai nelle 4 ore successive dipinse un quadro che era sia più complesso che più inquietante di quanto avessi sospettato inizialmente. Il furto di dati non era stato casuale. Qualcuno aveva preso di mira specificamente i nostri algoritmi più sensibili: i sistemi di prevenzione delle collisioni, i protocolli di navigazione autonoma e i modelli di machine learning su cui avevamo speso 3 anni.
Ma erano stati attenti, prendendo solo abbastanza dati per fare reverse engineering dei nostri sistemi senza innescare allarmi ovvi. Più interessante era ciò che avevano lasciato dietro, nascosto nei log di rete. Trovai prove di manipolazione dei dati. Qualcuno non aveva solo rubato le nostre ricerche, aveva alterato sottilmente alcuni dei nostri dati di test.
Piccoli cambiamenti che sarebbero stati quasi impossibili da rilevare senza un’analisi forense approfondita, ma abbastanza significativi da causare potenziali guasti in applicazioni del mondo reale. Questo non era solo spionaggio industriale, era sabotaggio. Ero immerso nell’analisi quando il mio computer emise un avviso urgente. Un altro tentativo di intrusione importante era in corso, ma questo era diverso.
Invece del sondaggio attento e sistematico che avevamo visto, questo era un attacco di forza bruta. Qualcuno stava cercando di accedere ai nostri server di backup usando credenziali amministrative. Le credenziali appartenevano a Cassandra Westfield. Avviai immediatamente i protocolli di blocco di emergenza e chiamai la linea diretta di Theodore.
«Signore, abbiamo un tentativo di violazione attivo usando l’accesso amministrativo della signora Westfield. »
«Impossibile», disse Theodore. «Cassandra non ha accesso amministrativo ai sistemi tecnici. »
«Secondo i nostri log, le sono stati concessi privilegi elevati 6 settimane fa, autorizzati da Shane Parker con l’approvazione del CEO Jeffrey Westfield.
»
Silenzio dall’altra parte della linea. «Signore, raccomando una conferenza immediata con tutte le parti. »
20 minuti dopo, eravamo di nuovo nell’ufficio di Jeffrey. Questa volta c’era anche Cassandra, composta ma con una tensione intorno agli occhi che suggeriva che sapeva che non era una riunione di routine.
Theodore espose le prove metodicamente: gli attacchi sistematici, la correlazione con le decisioni sul personale, la manipolazione dei dati e ora il tentativo di accedere ai server di backup usando le credenziali di Cassandra. «Non capisco», disse Cassandra. «Ho richiesto l’accesso ai database delle performance dei dipendenti per le mie iniziative culturali. Non ho mai acceduto a sistemi tecnici.
»
Aprii i log di accesso sul computer di Jeffrey. «Signora Westfield, le sue credenziali sono state usate per accedere al database di ricerca sui veicoli autonomi 47 volte nelle ultime 6 settimane, sempre durante le ore notturne, sempre da indirizzi IP remoti. »
Jeffrey fissava sua moglie come se non l’avesse mai vista prima. «Cassandra, hai dato le tue informazioni di accesso a qualcuno?
»
«Certo che no. Voglio dire», fece una pausa, «Shane mi ha aiutato a configurare l’accesso iniziale. Ha detto che il sistema era complicato e che avrebbe gestito lui gli aspetti tecnici per me. »
Theodore e io ci scambiammo uno sguardo.
Shane Parker aveva usato le credenziali di Cassandra per accedere ai sistemi mantenendo una negazione plausibile. Se fosse stato scoperto, avrebbe potuto affermare che stava solo aiutandola con compiti amministrativi legittimi. «Signora Westfield», disse Theodore con cautela, «Shane le ha mai chiesto di accedere a file o database specifici? »
«Ha detto che aveva bisogno di aiuto per scaricare i sondaggi sulla soddisfazione dei dipendenti per l’analisi.
Mi ha mostrato quali cartelle aprire, ma non ho mai guardato i file veri. »
Il quadro stava diventando chiaro. Shane aveva manipolato Cassandra per diventare un complice inconsapevole, usando il suo accesso amministrativo per bypassare i protocolli di sicurezza mentre lei pensava di aiutare con iniziative HR. Ma c’era ancora una domanda più grande.
Shane Parker aveva 35 anni con una laurea in informatica da una scuola statale. Questa operazione mostrava una sofisticatezza che suggeriva un addestramento professionale di intelligence. «Theodore», dissi, «raccomando di contattare le autorità federali. Questo sembra spionaggio industriale organizzato con potenziali connessioni con l’intelligence straniera.
»
Il telefono di Jeffrey squillò prima che Theodore potesse rispondere. Guardò l’ID del chiamante e sembrò perplesso. «Detroit Automotive che richiama», disse, «rispondo in vivavoce. Sono Jeffrey Westfield.
»
«Signor Westfield, sono Patricia Chen, direttore della sicurezza aziendale di Detroit Automotive. Dobbiamo discutere della violazione della sicurezza nella vostra struttura. »
Jeffrey guardò Theodore. «Non sono sicuro di cosa intenda.
Non abbiamo segnalato alcuna violazione della sicurezza. »
«Signore, abbiamo ricevuto informazioni credibili questa mattina che gli algoritmi dei veicoli autonomi di TechFlow sono stati compromessi e vengono offerti in vendita a produttori automobilistici stranieri. Stiamo sospendendo tutti i progetti collaborativi in attesa di indagine. »
La stanza cadde nel silenzio.
120 milioni di dollari di entrate annuali erano appena usciti dalla porta. «Signora Chen», disse Theodore, «chi ha fornito queste informazioni? »
«Una fonte anonima con una conoscenza dettagliata dei vostri sistemi interni. Hanno fornito documentazione tecnica specifica che sembra corrispondere alla vostra ricerca proprietaria.
»
Dopo la chiamata, restammo seduti in un silenzio scioccato. Qualcuno non solo aveva rubato le nostre ricerche, ma ora le stava usando per distruggere le nostre relazioni commerciali. Questa era guerra economica. «Warren», disse finalmente Theodore, «quanto velocemente puoi determinare l’intera portata della compromissione?
»
«Dammi 48 ore con accesso completo al sistema e un team forense. »
«Fatto. Qualunque cosa ti serva. »
Nei 2 giorni successivi, scoprimmo l’intera operazione.
Shane Parker era stato reclutato 18 mesi prima, poco dopo essere entrato in TechFlow. Il suo contatto era una donna di nome Elena Volkov, apparentemente una consulente tecnologica, ma in realtà un’operativa dell’intelligence specializzata in infiltrazione aziendale. Il piano era elegante nella sua semplicità. Usare la posizione di Shane per indebolire gradualmente i protocolli di sicurezza mentre si costruiva un caso per rimuovere l’unica persona che avrebbe potuto rilevare l’operazione, io.
Usare l’accesso amministrativo di Cassandra per mantenere una negazione plausibile. Rubare le ricerche, manipolare i nostri dati per causare futuri guasti ai prodotti e distruggere le nostre relazioni con i clienti con fughe strategiche. Entro venerdì pomeriggio, avevamo abbastanza prove da consegnare all’FBI. Shane Parker fu arrestato nel suo appartamento insieme ad altre tre persone collegate alla rete di spionaggio.
Cassandra fu scagionata da qualsiasi illecito intenzionale, ma accettò di dimettersi da tutte le posizioni aziendali. Il contratto con Detroit Automotive fu ripristinato dopo che fornimmo loro il briefing completo di intelligence sull’operazione. In effetti, furono così impressionati dalle nostre capacità di sicurezza che aumentarono il loro contratto annuale a 150 milioni di dollari. Theodore mi chiamò nel suo ufficio il lunedì successivo.
«Warren, il consiglio mi ha autorizzato a offrirti la posizione di chief information security officer. Piena autorità esecutiva su tutte le operazioni di cybersecurity, rapporto diretto al consiglio, aumento del 40% dello stipendio. »
Regolai il mio orologio tattico un’ultima volta. «Valutazione della minaccia completata, signore.
Accetto i parametri della missione. »
Sei mesi dopo, l’architettura di sicurezza di TechFlow è diventata uno standard di settore. Abbiamo fatto da consulenti per 12 altre aziende che hanno subito attacchi simili. Shane Parker è stato condannato a 15 anni di prigione federale per spionaggio industriale.
Elena Volkov non è mai stata trovata, ma la sua operazione è stata completamente smantellata. Cassandra e Jeffrey hanno divorziato in silenzio. L’ultima volta che ho sentito, si era trasferita in California e aveva avviato una piccola consulenza di marketing. Jeffrey si è risposato un anno dopo con una donna che lavorava nel nostro reparto contabilità e non aveva alcun interesse per la politica aziendale.
La petizione con 25 firme è ancora sulla mia scrivania, ora incorniciata come promemoria. A volte la migliore difesa è essere troppo testardo per mollare. Cosa ho imparato da tutto questo? Nell’America aziendale, c’è sempre qualcuno che pensa di poter giocare con il sistema, che crede che la politica e la manipolazione contino più della competenza e dei risultati.
Di solito si sbagliano, ma possono fare molti danni prima che la verità venga a galla. La chiave è costruire sistemi che proteggano la missione indipendentemente dai cambiamenti di personale e non dare mai per scontato che tutti abbiano a cuore gli interessi dell’azienda. L’esperienza ti insegna che la paranoia non è un difetto di carattere, è una competenza professionale.
E a volte essere il tipo che fa domande scomode non significa essere difficile, significa essere responsabile di qualcosa di più grande della politica d’ufficio.
