¿Dónde estaba el equipo de seguridad de Nvidia?

Los extraños tenían pocas razones para darse cuenta cuando el antiguo director de seguridad y jefe de seguridad de productos de Nvidia renunció en agosto. Apenas dos meses y medio después, el propio CEO Jensen Huang dejó la compañía debido a crecientes dudas sobre sus relaciones extramatrimoniales, comenzando con un ejecutivo de Megaspeed, una compañía de centros de datos de Singapur que los investigadores estadounidenses sospechan de canalizar chips de Nvidia a China, y luego ampliando a informes sobre dos aventuras separadas con empleados de Nvidia.

En ese momento, David Reber, que pasó cuatro años como CSO y siete en Nvidia en total, dijo que se marchaba por motivos de salud. «Este no era un giro que había planeado. Pero sé lo que debe ser primero: la familia y la salud», escribió en LinkedIn a finales de agosto, revelando que le habían diagnosticado Parkinson de aparición temprana hace más de dos años.

El sustituto de Reber, Saša Zdjelar, trabajó anteriormente 17 años en ExxonMobil en Houston, donde se fue como gerente senior de TI antes de pasar un año en Salesforce y varios años en la empresa de ciberseguridad ReversingLabs. Zdjelar no respondió a las preguntas del jueves sobre la transición o lo que sabía el equipo de seguridad.

Nada público conecta los cambios de rol de Reber o Zdjelar con el asunto de Megaspeed, pero parece justo preguntarse qué sabía el equipo de seguridad de Nvidia sobre el escrutinio gubernamental de Megaspeed y sobre las relaciones de Huang, y si alguien expresó su preocupación. Reber no respondió a las preguntas del jueves. Nvidia tampoco ha respondido a nuestras preguntas relacionadas.

Las relaciones entre un director ejecutivo y sus empleados normalmente recaen en RR.HH., el departamento legal y la junta directiva, no en seguridad. Pero los especialistas en seguridad dicen que cualquier asunto, incluso uno dentro de la oficina, puede dar a un servicio de inteligencia extranjero ventaja sobre un ejecutivo que quiere que se mantenga en silencio. Y la relación de Huang con un ejecutivo de Megaspeed, una empresa bajo investigación federal, no era un asunto de oficina en absoluto. (Megaspeed ha negado haber actuado mal).

Aún así, detectar las pistas no es fácil. La forma en que los servicios de inteligencia recopilan información, en gran parte a través de conversaciones cotidianas en lugar de piratería, hace que sea especialmente difícil para los equipos de seguridad identificar riesgos, según el alto funcionario de inteligencia retirado Nicholas Eftimiades, quien dice haber capacitado a más de 1.000 profesionales de seguridad corporativa.

Algunas personas dentro de Nvidia conocían claramente partes de la imagen. El principal abogado de Nvidia participó en la investigación Megaspeed del gobierno hace más de un año, informó The New York Times a principios de esta semana. (Nvidia ha dicho que contacta regularmente a los funcionarios). Los informes sobre las relaciones de Huang con los empleados sugieren que sus colegas también sabían de ellos, incluso si el comportamiento no está expresamente prohibido por el código de conducta de Nvidia. El Times citó a cinco empleados de Nvidia que dijeron que estaba involucrado con un vicepresidente que le reportaba directamente, y Reuters, citando a dos personas, informó más tarde de una segunda relación. Lo que no está claro es si algo de eso llegó a la seguridad.

Incluso si hubiera llegado al equipo de seguridad de Nvidia, Eftimiades, quien escribió Operaciones y tácticas de espionaje chino en 2020, dijo que los recursos de un equipo de seguridad suelen ser limitados. Por un lado, a menudo no cuentan con fondos suficientes porque, a diferencia de otros centros de costos, no generan ingresos. Es sorprendentemente común que los directores ejecutivos respondan a las advertencias de un equipo de seguridad con “ni un centavo más que cumplimiento”, dijo.

Según los especialistas, muchas empresas también definen la seguridad de forma demasiado estricta. En un artículo de opinión en The Hill, Don Aviv, director ejecutivo de la firma de investigaciones corporativas Interfor International, y autor Jeremy Hurewitz, escribió: «Demasiadas empresas todavía abordan la seguridad principalmente como una cuestión de proteger las instalaciones, prevenir ataques cibernéticos y responder a amenazas físicas». Los dos argumentaron que “[s]Los equipos de seguridad deben prestar mayor atención a las amenazas internas, incluido el cultivo de ejecutivos y empleados por parte de servicios de inteligencia extranjeros, relaciones comerciales sospechosas, conflictos de intereses e intentos de obtener información confidencial a través de contactos personales confiables”.

Aún así, algo de eso está más allá de lo que cualquier equipo puede hacer. Hablando en general, no de Huang, Eftimíades ofreció un escenario hipotético en el que un director ejecutivo se queja de que no puede hacer algo porque «estoy luchando contra una junta directiva que no quiere hacer esto». Eso le dice a un activo de inteligencia quién es el obstáculo. Luego, el servicio pregunta: «¿Quién es el punto conflictivo aquí?» y busca formas de acceder al correo electrónico y al teléfono de esa persona.

Lo que un servicio de inteligencia rival quiere a menudo es menos tecnología que conocimiento político, incluyendo quién está presionando para cambiar las reglas de exportación y quién es el mayor obstáculo. «El mundo de la inteligencia tiende a ser como el cáncer», afirmó. «Una vez que ingresa al cuerpo, parece extenderse y extenderse».

El manual no es nuevo, añadió Eftimiades, “particularmente para China”. Cualquier ejecutivo que trate con el país “le dirá que se han acercado a él”. Dijo que también hay “toneladas de historias diplomáticas” de diplomáticos estadounidenses que entraron a una habitación de hotel y encontraron a una mujer en la cama. Dijo que lo más nuevo en comparación con el espionaje de la era soviética son las relaciones que estos servicios cultivan ahora, a menudo duran años, no semanas.

La tecnología puede aumentar esa inteligencia humana, dijo Eftimiades, señalando que los receptores IMSI son un ejemplo. Estos dispositivos imitan una torre de telefonía móvil para que los teléfonos cercanos se conecten a ellos. Una versión básica puede costar alrededor de 1.000 dólares y cabe en una maleta, dijo, aunque los modelos de calidad gubernamental cuestan mucho más.

Eftimiades dice que nadie sabe todavía si estos fueron utilizados contra Huang, cuyo teléfono presumiblemente fue reforzado de tal manera que los compromisos podrían detectarse, si no detenerse por completo. Pero de cualquier manera, lo que sabía el equipo de seguridad de Nvidia, y si podría haber actuado en consecuencia, debería quedar más claro a medida que avancen la investigación independiente de la junta y las investigaciones federales.

Mientras tanto, Eftimiades dijo que espera que todo el episodio sea «una llamada de atención» para la industria estadounidense, que, según él, no tiene ni idea de las tácticas de China. “Hemos perdido billones [of dollars] en propiedad intelectual», es su suposición. «Cualquier cosa que pensemos que estamos haciendo no está funcionando».