Ingenieros de Silicon Valley Acusados de Robar Secretos Comerciales de Google

Fiscales federales han arrestado a tres ingenieros de Silicon Valley acusados de robar secretos comerciales sensibles sobre la seguridad de chips de Google y otras empresas, redirigiéndolos a ubicaciones no autorizadas como Irán, lo que genera preocupaciones sobre la seguridad nacional.

Un gran jurado federal en el Tribunal del Distrito de EE. UU. para el Distrito Norte de California ha emitido una acusación contra Samaneh Ghandali, Soroor Ghandali y Mohammadjavad Khosravi. La acusación fue presentada el miércoles y desclasificada el jueves en San José, según un comunicado del Departamento de Justicia (DOJ).

Mientras trabajaba en Google, se alega que Samaneh Ghandali “transfirió cientos de archivos, incluyendo secretos comerciales de Google, a una plataforma de comunicaciones de terceros” a canales que llevaban el primer nombre de cada uno de los acusados, según el DOJ.

Una copia de la acusación desclasificada no estaba inmediatamente disponible al momento de la redacción. Decrypt se ha comunicado con la oficina relevante del DOJ para obtener más información y comentarios.

El trío supuestamente utilizó su empleo en Google y en otras dos empresas no reveladas para acceder a archivos confidenciales relacionados con procesadores de computadoras móviles. Según el DOJ, el material robado incluía secretos comerciales relacionados con la seguridad de procesadores y criptografía, y los materiales de Google fueron copiados posteriormente en dispositivos personales y laborales asociados con las otras empresas donde los acusados estaban empleados.

Los fiscales alegan que los acusados intentaron ocultar sus acciones eliminando archivos, destruyendo registros electrónicos y presentando declaraciones falsas a las empresas víctimas, negando que hubieran compartido información confidencial fuera de la compañía.

En un episodio descrito en la acusación, el DOJ alega que en diciembre de 2023, la noche antes de viajar a Irán, Samaneh Ghandali fotografió aproximadamente dos docenas de imágenes de la pantalla de una computadora de trabajo de otra empresa que mostraba información secreta.

Mientras estaba en Irán, un dispositivo asociado con ella supuestamente accedió a esas fotografías, y Khosravi presuntamente accedió a material adicional de secretos comerciales.

Según el DOJ, los sistemas de seguridad interna de Google detectaron actividad sospechosa en agosto de 2023 y revocaron el acceso de Samaneh Ghandali. La acusación alega que ella luego firmó una declaración afirmando que no había compartido información confidencial de Google fuera de la empresa.

Los tres acusados enfrentan cargos de conspiración y robo de secretos comerciales bajo la ley federal, así como obstrucción de la justicia bajo un estatuto que criminaliza la alteración, destrucción o encubrimiento corrupto de registros u otros objetos con el fin de perjudicar su uso en un procedimiento oficial.

El cargo de obstrucción conlleva una pena máxima de 20 años de prisión.

Riesgos e implicaciones de seguridad

Expertos afirman que el caso ilustra cómo el acceso interno a sistemas avanzados de semiconductores y criptografía puede tener implicaciones de seguridad nacional.

“Los empleados con acceso legítimo pueden extraer silenciosamente propiedad intelectual altamente sensible con el tiempo, incluso con controles existentes”, comentó Vincent Liu, director de inversiones de Kronos Research, a Decrypt.

El riesgo para las empresas de semiconductores y criptografía a menudo proviene de “insiders de confianza, no de hackers”, agregó, describiendo el riesgo interno como una “vulnerabilidad estructural persistente que requiere monitoreo constante y estricta compartimentación de datos.”

En estos casos, “el insider es la superficie de ataque”, afirmó Dan Dadybayo, líder estratégico en el desarrollador de infraestructura de criptografía Horizontal Systems, a Decrypt. “Los firewalls no importan cuando el vector de exfiltración es el acceso legítimo”, destacó, argumentando que cuando los ingenieros pueden mover “arquitectura, lógica de gestión de claves o diseño de seguridad de hardware fuera de entornos controlados, el ‘perímetro’ colapsa”.

Si la propiedad intelectual sensible sobre procesadores y criptografía llegara a Irán, según Dadybayo, los reguladores probablemente responderían de manera agresiva.

Él señaló a un “endurecimiento de la aplicación de las reglas de exportación que consideran el acceso al conocimiento como una exportación” y “requisitos más estrictos de segmentación, monitoreo y licencias dentro de las empresas estadounidenses,» agregando que los chips avanzados y la criptografía “ya no son tratados como bienes comerciales neutrales” sino como “instrumentos de poder geopolítico.”

El caso también expone las brechas entre el cumplimiento formal y la resiliencia en el mundo real.

“En la mayoría de las organizaciones tecnológicas, se asume que los riesgos de robo de información se mitigan mediante la obtención de certificaciones SOC 2 e ISO”, comentó Dyma Budorin, presidente ejecutivo de la firma de seguridad y cumplimiento en criptografía Hacken, a Decrypt.

Esos marcos “a menudo miden la madurez del cumplimiento, no la resiliencia real contra un atacante decidido, especialmente un insider”.

La certificación, afirmó, demuestra que los controles existen “en el momento de la auditoría”, pero “no prueba que los datos sensibles no pueden ser robados”.

Debido a que estas normas prescriben salvaguardias comunes, Budorin argumentó que pueden hacer que las defensas sean predecibles.

Para atacantes sofisticados, “cumplir” a menudo significa ser predecible, agregó, advirtiendo que la seguridad real requiere “validación continua, monitoreo conductual y pruebas adversariales,” o las organizaciones corren el riesgo de ser “complacientes en papel mientras están críticamente expuestas en la práctica.”