Por pouco, o novo fenômeno da Fórmula 1, Lewis Hamilton, não perdeu os pontos que acumulou durante a brilhante campanha deste ano. Sua escuderia, a McLaren, foi condenada pelo Conselho Mundial da Federação Internacional de Automobilismo (FIA) a pagar uma multa de US$ 100 milhões por espionagem à rival Ferrari e perdeu todos os pontos conquistados no Campeonato de Construtores de 2007. Em julho, 780 páginas de informações técnicas da Ferrari foram encontradas na casa de Mike Coughlan, na época o projetista-chefe da McLaren. Elas foram repassadas por Nigel Stepney, ex-mecânico-chefe da escuderia italiana, demitido ainda em junho sob acusação de sabotagem. Os pilotos da McLaren não foram punidos porque não se descobriram indícios de uso de propriedade intelectual da Ferrari nos seus carros. Em depoimento no início de outubro, Stepney disse que também recebia informações de Coughlan. Pelo que havia sido apurado até então, não se sabia se algum dos dois funcionários havia sido subornado para repassar os projetos ou se apenas trocavam informações que deveriam ser confidenciais.
O rumoroso caso envolvendo a McLaren e a Ferrari ganhou uma repercussão singular, mas a espionagem nas empresas é muito mais comum do que parece. Só que a maioria dos casos não chega à polícia, nem às páginas dos jornais. E, quando chega, descobre-se uma característica comum a grande parte dos casos: a participação de funcionários da empresa espionada. Para quem está interessado em bisbilhotar o concorrente é mais vantajoso buscar a ajuda de alguém que já conhece o funcionamento e as rotinas da organização. “Para entrar no sistema de uma empresa, por exemplo, sai muito mais caro contratar um hacker. Mais fácil é comprar as senhas de um funcionário”, ilustra o detetive Edilmar Lima, fundador da Central Única Federal dos Detetives do Brasil, em Brasília, que trabalha com contra-espionagem.
Para Walter Félix Cardoso Júnior, doutor em Aplicações, Planejamento e Estudos Militares pela Escola do Exército e professor da Universidade do Sul de Santa Catarina (Unisul), a primeira atitude que a empresa deve tomar para se proteger da espionagem é tornar mais crítico o processo de seleção. Checar, por exemplo, se o que a pessoa disse na entrevista é verdadeiro. “Quanto mais rigoroso o processo, maior conhecimento a empresa terá sobre quem está contratando”, diz. No entanto, são raríssimas as empresas ou organizações brasileiras que adotam procedimentos rigorosos na hora de contratar um funcionário. Somente as Forças Armadas, em alguns casos, além da Presidência da República e a área de inteligência do governo. No setor privado, os especialistas citam apenas a Embraer. “Depois de botar alguém pouco conhecido para dentro da empresa, o risco de ter uma surpresa é muito alto”, afirma Cardoso.
Quando providências mais rígidas não foram adotadas no início do processo, é preciso agir logo que surgem os primeiros indícios de vazamento de informações. Nesses casos, algumas empresas recorrem aos serviços de contra-espionagem – geralmente feitos por detetives. Uma das primeiras ações é fazer um check-up dos funcionários. Verificar, por exemplo, onde já trabalharam, se vieram de algum concorrente ou se mantêm relacionamento com pessoas suspeitas. Caso seja necessário investigar melhor algum deles, o procedimento mais comum é a infiltração de um falso funcionário na empresa. Essa fase pode demorar alguns meses, até que o infiltrado consiga se aproximar das pessoas e obter as evidências a respeito do suspeito.
Porém a maior parte dos casos de espionagem não é descoberta porque as empresas não têm idéia de que estão sendo espionadas. Para o detetive Wilson Teixeira, de Belo Horizonte (MG), as companhias não deveriam contratar um serviço de contra-espionagem apenas quando estão desconfiadas. “As empresas não se previnem. Somente se dão conta quando aparecem os prejuízos. E aí, quase sempre, é tarde demais”, ressalta.
O que é preciso proteger:
Cada empresa deve analisar profundamente quais são as informações estratégicas que ela precisa proteger e estabelecer nveis de segurança.Mas alguns tipos de dados deveriam ser protegidos em qualquer empresa:
Pesquisa e desenvolvimento – principalmente nos casos dos laboratórios farmacêuticos, fabricantes de bebidas e alimentos, setores que estão na lista dos mais espionados
Estratégias de marketing
Planilhas de custos
Quem são os clientes e os contratos estabelecidos com eles
Informações pessoais de clientes e dos funcionários. No caso das informações sobre os clientes, os escritórios de advocacia estão entre os mais espionados. É que, além de ouvir confissões das pessoas que cometeram crimes, os advogados também participam de processos sigilosos das empresas, como fusões e aquisições, operações de abertura de capital ou participação em licitações
Vazamento involuntário: embora existam muitos casos de espionagem planejada por funcionários, os especialistas ressaltam que a maior parte dos vazamentos de informação nas empresas acontece de forma não-desejada. O funcionário não tem a intenção de entregar para um estranho as informações sigilosas, mas acaba falando sem perceber ou cometendo inconfidências ao fazer comentários em público. “Cerca de 85% das informações estratégicas são vazadas involuntariamente. E principalmente por diretores, presidentes e pessoal da área de pesquisa”, garante Antonio Brasiliano, diretor executivo da Brasiliano & Associados Gestão de Riscos Corporativos. Segundo ele, a espionagem de hoje é bem diferente daquela da época da Guerra Fria. “O espião não precisa mais entrar fisicamente na empresa para roubar a chave do cofre. Ele usa outras técnicas”, revela o consultor, que defendeu dissertação de mestrado justamente sobre a fuga involuntária de informações. Ele cita as técnicas de indução e de infiltração. Na indução, o espião conversa com a pessoa até extrair alguma informação dela, o que pode demorar algumas semanas. Ele pode conhecê-la num happy hour ou no avião e tentar manter o contato. Na técnica de infiltração, ele cola em alguém para saber aonde a pessoa vai e o que faz, além de ouvir as conversas dela.
Os especialistas são unânimes em apontar os aviões e os aeroportos como o paraíso dos espiões. “É só ficar na sala vip e observar o que acontece”, indica Brasiliano. Os executivos falam sobre os negócios no celular e respondem e-mails de trabalho em público, sem nenhuma cerimônia. Eles também participam de reuniões e depois falam pelo celular sobre o que foi negociado dentro dos táxis, no elevador. “Colocar chave, crachá, firewall é fácil. Difícil é convencer as pessoas a mudar de comportamento. E o engraçado é que, quanto mais proteção física a empresa instala, mais as pessoas se sentem relaxadas e descuidam das próprias atitudes”, avalia Brasiliano. O diretor de negócios da Plugar Informações Estratégicas, Fábio Rios, conta que foi contratado há alguns anos por uma grande empresa brasileira para um serviço na área de portais corporativos. No avião, Rios se sentou ao lado do diretor jurídico da empresa – que não o conhecia e nem sabia que ele havia sido contratado para aquele trabalho. Sem se importar com sua presença, o diretor começou a ler os e-mails e respondeu até uma mensagem do presidente da companhia. “Não falei nada e não fiquei olhando. Mas e se eu fosse um concorrente?”, questiona.
Na multinacional ADP, que fornece soluções para folhas de pagamento e recursos humanos, o esforço para conscientizar os funcionários é constante. “Todo mundo diz que a pessoa é o elo mais fraco. Nós trabalhamos para que nossos profissionais sejam a melhor proteção. Queremos que sejam firewalls humanos” diz Jarbas Cruz, gerente de segurança da informação da ADP. Para isso, a empresa tem um programa de conscientização permanente. Quando é contratado, o funcionário recebe um treinamento. Depois, há boletins mensais, campanhas a cada seis meses e um seminário anual. “É uma tarefa interminável. É educação de longo prazo”, afirma.
Proteção eletrônicaUma das principais frentes de preocupação é o acesso a dados eletrônicos. É comum que as empresas não mantenham registros sobre quem mexe nos arquivos ou quando eles foram abertos. Mais que isso, elas permitem que qualquer funcionário tenha acesso até mesmo a arquivos que deveriam ser restritos. O especialista em gestão de risco Sérgio Citeroni, sócio da área de auditoria da Ernst & Young, ressalta que o correto é cada funcionário ter trânsito livre apenas para as informações que lhe dizem respeito – e a empresa deve monitorar quem acessa o que e os motivos que levaram algum funcionário a tentar acessar informações sigilosas. “Por que todo mundo vai ver a folha de pagamentos?”, questiona. Citeroni conta que há casos em que até ex-funcionários conseguem obter informações simplesmente porque não cancelaram seu acesso.
No escritório Koury Lopes Advogados existe um controle rígido sobre cada documento, desde quando é criado. Se ele for confidencial, fica visível apenas para as pessoas que precisam acessá-lo. Se outro funcionário faz uma pesquisa sobre o assunto, não o enxerga. Além disso, tudo que o acontece com o documento fica registrado: quando e por quem é editado, se é enviado por e-mail, copiado ou impresso. A porta USB dos computadores é bloqueada e se algum profissional sai de sua mesa e deixa a máquina conectada à rede, depois de cinco minutos, ela trava automaticamente. Mas os especialistas advertem: controlar o acesso a dados e documentos é diferente de monitorar a correspondência eletrônica do funcionário. As empresas que querem acompanhar como os empregados usam o e-mail devem avisá-los antes, sob pena de ter problemas na Justiça.
Já na ADP, toda informação sobre os clientes é considerada confidencial, o lixo é destruído e os documentos devem ficar guardados sempre em gavetas. “De que adianta um firewall no computador se os documentos ficam à vista em cima da mesa?”, justifica Cruz. Os cuidados são tantos que nenhum arquivo confidencial é enviado para os clientes por e-mail, mas por um sistema alternativo. E para mandar um fax, antes é enviada uma página de teste e confirmado por telefone se a pessoa que deve receber o documento está no outro lado da linha. Só então, é enviado o fax.
Hoje, adverte Cruz, a maior ameaça à segurança das empresas é o que vem sendo chamado de “ataque de engenharia social”, que pode ser real ou virtual. É quando alguém finge ser quem não é. É o caso dos e-mails que se identificam como provenientes do Serasa, da Receita Federal ou de um banco. “Usar a internet hoje em dia é mais arriscado que entrar desarmado na favela do Complexo do Alemão, no Rio de Janeiro”, exagera Paulo Luz, consultor em segurança pública e privada da Ability BR. Segundo ele, um hacker pode invadir os sistemas de uma empresa e não somente captar as informações, mas, também, destruí-las. Portanto, é fundamental ter um setor de informática competente e sistemas de proteção sempre atualizados.
Jérome Stoll, presidente da Renault do Brasil: segredo absoluto sobre o novo carro
O ataque de engenharia social pode ser feito também pelo telefone, quando uma pessoa se faz passar por outra. Nesses casos, o funcionário que atende ao telefone só deveria dar informações sobre o chefe ou até mesmo transferir a ligação após a pessoa que está na linha ter se identificado devidamente. “Essas coisas todas não têm a ver com tecnologia. A proteção vai muito além dos recursos tecnológicos”, avalia, convicto de que o fundamental é que as pessoas tomem atitudes corretas. De qualquer modo, diz ele, não há como blindar a empresa contra a espionagem. “Não existe um sistema 100% seguro, mas, se as pessoas estiverem treinadas, a proteção será bem maior”, diz.
O “engenheiro social” usa as técnicas de indução. Por exemplo, ele faz um favor para uma pessoa, que depois se sente na obrigação de retribuir. O hacker Kevin Mitnick, autor do livro A Arte de Enganar, conta que tinha facilidade para conseguir informações não tanto pelas suas habilidades computacionais, mas por sua capacidade de convencer os outros de que ele era outra pessoa. Outra história parecida é a do impostor e falsificador de cheques Frank Abagnale Jr., mostrada no filme Prenda-Me Se For Capaz. Hoje, Abagnale tem uma empresa de consultoria contra fraudes financeiras.
Para aumentar os níveis de segurança, algumas empresas acompanham o comportamento dos seus principais executivos. “Ninguém gosta de ser monitorado, mas a empresa não tem outra opção”, defende Paulo Luz, da Ability BR. A companhia precisa saber se as pessoas que cuidam das suas informações estratégicas não se comportam de forma arriscada, o que inclui o uso de drogas, bebidas ou companhias desconhecidas. “Digamos que um executivo vai a uma festa, bebe demais e termina a noite com uma mulher linda. Quem garante que ela não estava lá de propósito, com o objetivo de arrancar informações dele?”, questiona Luz.
O perigo que vem de foraEmbora geralmente os casos de espionagem envolvam a participação de funcionários, existem casos em que o espião encontra outros caminhos para obter as informações que deseja sobre os concorrentes. No começo deste ano, uma indústria do ramo de caixas d’água, com sede em Foz do Iguaçu (PR), estava querendo comprar uma concorrente, também do oeste do Paraná. Antes de fechar o negócio, porém, contratou a agência de contra-espionagem do detetive Lima para fazer uma “revisão” na então concorrente. Em 15 dias, ele descobriu que o telefone daquela empresa havia sido grampeado por uma terceira concorrente de pequeno porte, localizada no interior do Rio Grande do Sul. Nas encomendas maiores, a fabricante gaúcha entregava antes a mercadoria ao cliente da empresa paranaense grampeada – com notas falsas, claro. E, obviamente, também recebia em nome da outra. “O plano era tão bem feito que provavelmente jamais seria descoberto se não fosse a investigação”, afirma Lima. Depois de quatro meses, já livres do grampo, as duas fabricantes paranaenses se fundiram. “Por isso, é importante fazer periodicamente uma varredura ambiental e telefônica na empresa”, diz o detetive.
Em relação a procedimentos para manter as informações sigilosas longe da concorrência, a indústria automobilística pode servir como referência para outros segmentos. As montadoras desenvolveram um rol de processos que eliminam possíveis brechas por onde a informação possa escapar. A General Motors, por exemplo, segue um rigoroso plano de segurança que vai mudando conforme a fase em que se encontra o projeto de um novo modelo de automóvel. O maior nível de blindagem está justamente no começo do processo, na fase de criação. Nessa fase, as informações principais ficam restritas a pouquíssimas pessoas como os projetistas e alguns postos de chefia. “Temos cuidado dentro da fábrica com arquivos, com a segurança da informática e com as plantas dos projetos”, conta Samuel Russell, diretor de marketing da GM – sem entrar em muitos detalhes, claro. A montadora também fica de olho em quem visita as fábricas. Há câmeras nos portões de acesso e o visitante passa por uma rigorosa revista. Como é natural, em determinadas áreas não é permitido o uso de câmeras fotográficas. Em outros setores, nenhum convidado entra se não estiver acompanhado de um funcionário autorizado.
Quando o novo automóvel já está na linha de montagem, o nível de blindagem naturalmente tende a ser menor porque nessa fase há um grande número de profissionais envolvidos, entre funcionários da fábrica e fornecedores de peças. É quando a GM conta com a confiança dos montadores, que recebem um intenso treinamento sobre a importância de não tratar de assuntos internos em público.
Na área automotiva, um caso recente de sucesso na proteção de informações é a Renault, que conseguiu guardar a sete chaves seus movimentos para lançar um novo modelo de carro. No início de setembro, a empresa reuniu um grupo de jornalistas em São Paulo, para um encontro com Jérôme Stoll, presidente da empresa no Brasil, e para uma videoconferência com o CEO mundial, Carlos Ghosn. Para surpresa de todos – inclusive da imprensa especializada –, Ghosn e Stoll mostraram o Sandero, o novo modelo de automóvel que a Renault estava lançando no mercado brasileiro.
Vergonha. Este é o principal motivo que impede as empresas de levar os casos de espionagem aos tribunais. “As companhias se abstêm de buscar indenizações para não demonstrar que têm fraquezas”, resume o advogado Ivo Gico Júnior, especialista em direito econômico, industrial e regulatório. Na hipótese de levar o caso à Justiça, quando a sentença for publicada, pode ganhar notoriedade um fato capaz de manchar o nome da companhia no mercado. Nos Estados Unidos e na Europa é mais comum que casos envolvendo espionagem se tornem públicos, pois as empresas procuram reparar os danos morais e econômicos pela via judicial. Para os norte-americanos, tecnologia é vista como o diferencial de tudo – e, portanto, mais do que digna de proteção.
Nas estimativas de Gico Júnior, o valor das indenizações por espionagem industrial nos Estados Unidos é de 20 a 30 vezes maior do que no Brasil, que ainda não aprovou nenhuma lei específica para punir os atos de espionagem. Existe apenas a Lei nº 9.279, de 1996, que trata de propriedade industrial e penaliza o crime de concorrência desleal (como a que se beneficia de pirataria e sonegação). A penalidade, no entanto, é considerada muito branda. O delito pode render de três meses a um ano de prisão, ou multa.
Já quando o culpado pela espionagem é um funcionário, as empresas adotam outra postura. Depois de dispensar o espião por justa causa, a companhia ainda recorre à Justiça para que o empregado pague os possíveis prejuízos. Para o empresário brasileiro, é menos danoso à imagem da empresa colocar o funcionário no banco dos réus. Porém a companhia tem de tomar cuidados na hora de provar a culpa. Em hipótese de suspeita de espionagem, o ideal é validar cada prática com o departamento jurídico ou buscar apoio de um especialista. Para acompanhar o comportamento dos funcionários, é preciso adverti-los formalmente de que a empresa utiliza essa prática. Afinal de contas, bisbilhotar a privacidade alheia de forma clandestina é ilegal e pode gerar processos criminais e indenizatórios dos funcionários contra a empresa.
Nada se cria, tudo se copia. A preocupação em evitar a espionagem e guardar segredo sobre um novo produto é fundamental também no setor de eletroeletrônicos, um dos que mais sofrem com a pirataria. “Hoje, você lança um produto e com uma velocidade incrível ele já está sendo imitado”, diz Flavio Dutra, diretor executivo das Coordenadorias da Federação das Indústrias do Estado do Amazonas (Fieam). Além da facilidade de se copiar os produtos por meio da engenharia reversa, o setor é vulnerável à espionagem. Recentemente, uma empresa da Zona Franca grampeou a concorrente para conhecer a planilha de custos dos produtos. Para Dutra, não há como evitar a espionagem e menos ainda a pirataria. A solução, nesses casos, é a empresa investir constantemente em inovação. “Ao lançar um novo produto, já é preciso estar pesquisando as próximas novidades”, aponta. Outro aspecto importante para reduzir as conseqüências da espionagem e da pirataria de produtos é o registro da patente junto ao Instituto Nacional de Propriedade Intelectual (INPI), órgão responsável pelo registro de novos produtos e processos. Com a patente, a empresa pode obter na Justiça o ressarcimento pelo uso indevido da propriedade intelectual nos casos de pirataria ou cópia.
Diante de tantos riscos de espionagem, os especialistas advertem que as empresas precisam encontrar a maneira correta de tratar do assunto. Ou seja, precisam implantar práticas de gestão que minimizem os riscos de que um “Judas” deixe vazar informações. De outro lado, não devem criar uma estrutura engessada que termine por reduzir a produtividade, a criatividade e a iniciativa dos funcionários. “É preciso achar o equilíbrio entre ser paranóico e simplesmente não tratar do assunto”, resume Jarbas Cruz, da ADP. Encontrar esse meio termo é o desafio da maioria das empresas brasileiras.
