Engenheiros do Vale do Silício acusados de roubo de segredos comerciais do Google e de tecnologia

Resumo

• Os procuradores federais acusaram três ex-engenheiros do Google de roubo de segredos comerciais e obstrução de justiça.
• Os réus enfrentam até 10 anos de prisão por cada acusação de segredo comercial e até 20 anos por obstrução.
• Os procuradores alegam que segredos comerciais foram encaminhados para locais não autorizados, incluindo acesso a partir do Irã. Os procuradores federais prenderam três engenheiros do Vale do Silício acusados de roubar segredos sensíveis de segurança de chips do Google e de outros, encaminhando-os para locais não autorizados, incluindo o Irã, levantando preocupações de segurança nacional. Um grande júri federal no Tribunal Distrital dos EUA para o Distrito Norte da Califórnia emitiu uma acusação contra Samaneh Ghandali, Soroor Ghandali e Mohammadjavad Khosravi. A acusação foi apresentada na quarta-feira e tornada pública na quinta-feira em San Jose, de acordo com uma declaração do DOJ. Enquanto trabalhava no Google, Samaneh Ghandali supostamente “transferiu centenas de ficheiros, incluindo segredos comerciais do Google, para uma plataforma de comunicação de terceiros”, para canais que continham o nome de cada réu, disse o DOJ. Uma cópia da acusação tornada pública não estava imediatamente disponível no momento da redação. Decrypt entrou em contato com o escritório do DOJ relevante para obter mais informações e comentários.

O trio alegadamente usou seu emprego no Google e em duas outras empresas não identificadas para acessar ficheiros confidenciais relacionados a processadores de computadores móveis. Segundo o DOJ, o material roubado incluía segredos comerciais relacionados à segurança de processadores e criptografia, e materiais do Google foram posteriormente copiados para dispositivos pessoais e de trabalho associados às outras empresas onde os réus estavam empregados. Os procuradores alegam que os réus tentaram esconder suas ações apagando ficheiros, destruindo registros eletrônicos e apresentando declarações falsas às empresas vítimas, negando que tivessem compartilhado informações confidenciais fora da empresa. Em um episódio descrito na acusação, o DOJ alega que, em dezembro de 2023, na noite anterior a uma viagem ao Irã, Samaneh Ghandali fotografou cerca de duas dúzias de imagens da tela de um computador de trabalho de outra empresa exibindo informações de segredo comercial. Enquanto estava no Irã, um dispositivo associado a ela supostamente acessou essas fotografias, e Khosravi alegadamente acessou material adicional de segredo comercial.

De acordo com o DOJ, os sistemas internos de segurança do Google detectaram atividade suspeita em agosto de 2023 e revogaram o acesso de Samaneh Ghandali. A acusação alega que ela posteriormente assinou uma declaração afirmando que não tinha compartilhado informações confidenciais do Google fora da empresa. Todos os três réus são acusados de conspiração e roubo de segredos comerciais sob a lei federal, bem como obstrução de justiça sob um estatuto que criminaliza a alteração, destruição ou ocultação corrupta de registros ou outros objetos para prejudicar seu uso em procedimento oficial. A acusação de obstrução tem uma pena máxima de 20 anos de prisão.

Riscos e implicações de segurança Observadores dizem que o caso ilustra como o acesso interno a sistemas avançados de semicondutores e criptografia pode ter implicações para a segurança nacional. “Funcionários com acesso legítimo podem extrair silenciosamente propriedade intelectual altamente sensível ao longo do tempo, mesmo com controles existentes,” disse Vincent Liu, diretor de investimentos da Kronos Research, ao Decrypt. O risco para empresas de semicondutores e criptografia muitas vezes vem de “ insiders confiáveis, não hackers,” acrescentou, descrevendo o risco interno como uma “vulnerabilidade persistente e estrutural que requer monitoramento constante e uma segregação rigorosa de dados.” Nesses casos, “o insider é a superfície de ataque,” disse Dan Dadybayo, líder de estratégia na Horizontal Systems, ao Decrypt. “Firewalls não importam quando o vetor de exfiltração é acesso legítimo,” afirmou, argumentando que, quando engenheiros podem mover “arquitetura, lógica de gestão de chaves ou design de segurança de hardware para fora de ambientes controlados, o ‘perímetro’ colapsa.” Se IPs sensíveis de processadores e criptografia chegarem ao Irã, Dadybayo disse que os reguladores provavelmente responderiam de forma agressiva.

Ele destacou “uma aplicação mais rigorosa das regras de exportação presumida, onde o acesso ao conhecimento em si conta como exportação,” e “segmentação, monitoramento e requisitos de licenciamento mais estritos dentro de empresas nos EUA,” acrescentando que chips avançados e criptografia “não são mais tratados como bens comerciais neutros,” mas como “instrumentos de poder geopolítico.”  O caso também revela lacunas entre conformidade formal e resiliência no mundo real. “Na maioria das organizações de tecnologia, os riscos de roubo de informações são considerados mitigados ao obter certificações SOC 2 e ISO,” disse Dyma Budorin, presidente executivo da empresa de segurança e conformidade em criptografia Hacken, ao Decrypt. Esses frameworks “frequentemente medem a maturidade da conformidade, não a resiliência real contra um atacante determinado—especialmente um insider.” A certificação, afirmou, prova que os controles existem “no momento da auditoria,” mas “não prova que dados sensíveis não possam ser roubados.” Como esses padrões prescrevem salvaguardas comuns, argumentou Budorin, eles podem tornar as defesas previsíveis. Para atacantes sofisticados, “conforme a conformidade” muitas vezes significa previsível, acrescentou, alertando que a verdadeira segurança requer “validação contínua, monitoramento comportamental e testes adversariais,” ou as organizações correm o risco de estar “em conformidade no papel enquanto estão criticamente expostas na prática.”