ריגול עסקי - איך מזהים שכבר מרגלים אחרי העסק שלכם

אם אתם חושדים שמתרחש ריגול עסקי נגד החברה שלכם, הטיפים הרגילים על נהלי אבטחה כבר לא יעזרו לכם. בעלי עסקים שפונים לשמיר חקירות מגיעים כשמשהו בשטח כבר משתבש: מתחרה שהגיש הצעה זהה במכרז סודי, דליפה של רשימת לקוחות, או מידע פנימי שזלג החוצה. במאמר הבא נתמקד בזיהוי בזמן אמת: אילו סימנים מחשידים מראים שמתנהל נגדכם ריגול תעשייתי, מהן הדרכים המקצועיות לחשוף את מקור הדליפה, ואיך מנהלים את החקירה מבלי להזהיר את המרגלים. 

ההבדל בין מזל רע לבין דליפה

הדבר הראשון שאני אומר לכל בעל עסק שפונה אליי הוא שלא כל הפסד הוא ריגול. תחרות היא לא עבירה, וגם מתחרה טוב יכול פשוט להיות טוב. לכן השאלה הראשונה אינה "מי מרגל" אלא "האם יש כאן דפוס".

הנה ההבחנה המעשית:

מה שהופך אירוע לחשד סביר הוא החזרתיות והדיוק, לא עצם ההפסד. מתחרה שמנחש היטב יטעה לפעמים. מתחרה שמחזיק במידע - כמעט לא יטעה.

ולכן, לפני שאני נכנס לתיק, אני מבקש נתונים ולא תחושות: רשימת אירועים עם תאריכים, סכומים והפרשים. כשמניחים את הרשימה על השולחן, לרוב מתברר תוך רבע שעה אם יש כאן דפוס או לא.

שבעה סימנים שאני מתייחס אליהם ברצינות

אלה הדברים שכשהם מופיעים יחד, אני מפסיק לדבר על "תחושה":

הפרש חשוד במכרזים. הצעה נגדית שנמוכה משלכם באחוזים בודדים, שוב ושוב. פער קטן ועקבי הוא הסימן הקלאסי ביותר - מי שמנחש מפספס בטווח רחב, מי שיודע מדייק.

עיתוי שלא יכול להיות מקרי. מתחרה שיוצא בקמפיין שלושה ימים לפני ההשקה שלכם, פעם אחר פעם.

לקוחות שנעלמים בנקודת חידוש. דווקא בחודש שבו החוזה מגיע לחידוש, ולא באמצע התקופה. מי שיודע מתי החוזה נגמר, קיבל את המידע ממקור פנימי או ממערכת.

עובד שהתנהגותו השתנתה בסמוך לעזיבה. גישה חריגה לקבצים שאינם בתחום עיסוקו, הורדות בהיקף חריג, או שהייה במשרד בשעות לא אופייניות בשבועות שלפני ההתפטרות.

ספקים או קבלני משנה שמקבלים פניות "מדויקות מדי". לעיתים הדליפה אינה מהעסק שלכם אלא משרשרת האספקה - ספק משותף שמכיר את המחירים שלכם ואת ההיקפים.

מידע שחוזר אליכם מבחוץ. לקוח שמספר לכם משהו שאמור להיות פנימי, או שאלה של מתחרה בכנס שנשענת על פרט שלא פורסם. זה הסימן הכי חד שיש, ואנשים נוטים לבטל אותו כי הוא מביך.

התכתבויות שנראות תקינות אך אינן. פנייה בשם לקוח קיים שמבקשת מסמכים שגרתיים לכאורה, או "בדיקת שוק" של גורם שלא ברור מי הוא. הנדסה חברתית היא עדיין השיטה הזולה והנפוצה ביותר לאיסוף מודיעין עסקי.

סימן אחד לבדו אינו אומר דבר. שלושה שמופיעים יחד הם כבר תמונה.

מקרה מהשטח - איך דפוס אחד סגר תיק

אני מביא אותו בלי פרטים מזהים.

בעל עסק בתחום השירותים פנה אליי אחרי שהפסיד ארבעה מכרזים ברצף. בכל אחד מהם ההצעה הנגדית הייתה נמוכה משלו בשיעור דומה מאוד. הוא היה משוכנע שהמתחרה "פשוט מוזיל", ופנה אליי בעיקר כדי להירגע.

ביקשתי את התאריכים. מה שהתגלה לא היה קשור למחירים בכלל - אלא לזמן. בכל אחד מארבעת המקרים, ההצעה הנגדית הוגשה פחות מיממה אחרי שהצעתו שלו נשלחה פנימה לאישור. לא אחרי שהוגשה ללקוח - אחרי שנשלחה פנימית.

זה צמצם את מעגל האפשרויות באופן דרמטי, ומכאן התיק הפך לתיק ממוקד. הוא הסתיים בממצא ברור, והלקוח פעל בהתאם מול עורך דינו.

הלקח שאני חוזר עליו מאז: התשובה כמעט תמיד נמצאת בעיתוי, לא בתוכן. אנשים בודקים מה דלף. שווה הרבה יותר לבדוק מתי.

חמישה מסלולים שדרכם מידע יוצא מעסק

לפני שמחפשים מרגל, כדאי להכיר את המסלולים. בפועל, רוב הדליפות שאני נתקל בהן אינן תוצאה של פריצה מתוחכמת אלא של אחד מחמשת אלה:

עובד שעוזב. המסלול הנפוץ ביותר, בפער גדול. בשבועות שלפני התפטרות מתרחשת לעיתים העברה של קבצים, רשימות ומסמכים - לא פעם דווקא לתיבת דואר פרטית, מתוך תפיסה שזה "החומר שלי". מבחינת החוק, זה לא בהכרח החומר שלו.

שרשרת האספקה. ספק, קבלן משנה, משרד הנהלת חשבונות או יועץ שעובד גם עם המתחרה. הוא מכיר את המחירים, את ההיקפים ולעיתים את הלקוחות - ואינו מחויב לכם בהסכם סודיות. ראיתי לא מעט מקרים שבהם "הדליפה" בכלל לא הייתה מתוך החברה.

הנדסה חברתית. פנייה טלפונית או במייל שנראית תקינה: לקוח קיים לכאורה שמבקש מסמך שגרתי, "סקר שוק" של גורם עלום, או מועמד לעבודה ששואל שאלות מפורטות מדי בראיון. זו עדיין השיטה הזולה והנפוצה ביותר לאיסוף מידע עסקי, והיא לא דורשת שום ידע טכני. מבחינה מקצועית זה אותו מנגנון שמפעילים בתיקי הונאה ועוקץ.

הרשאות שנשארו פתוחות. תיקייה משותפת שכל עובד רואה, חשבון של עובד שעזב שלא נוטרל, גישה של קבלן חוץ שנשארה בתוקף. זה לא ריגול, זו הזמנה. וזו גם הנקודה שתישאלו עליה בבית משפט.

חשיפה מרצון. מצגת בכנס עם שקופית אחת שלא הייתה צריכה להיות שם, פרופיל עובד ברשת מקצועית שמפרט מדי, או הצעת מחיר שנשלחה ללקוח שגם עובד עם המתחרה. חלק לא קטן מהמידע שמתחרים מחזיקים - קיבלו במסירה.

ולכן שלב הבדיקה הראשון אצלנו אינו "מי", אלא "דרך איזה מסלול". ברוב התיקים, מיפוי המסלולים מצמצם את מעגל האפשרויות לפני שנגענו באדם אחד.

מה לעשות בימים הראשונים - וזה השלב שקובע

אם החשד עלה עכשיו, יש כמה דברים ששווה לעשות מיד, ורובם אינם דורשים חוקר בכלל:

• תעדו את הדפוס בכתב. רשימת האירועים עם תאריכים, סכומים והפרשים. זה המסמך שממנו מתחיל כל תיק, והוא נוצר מנתונים שלכם.

• אל תשנו הרשאות בבת אחת. זו התגובה האינטואיטיבית, והיא מזיקה. סגירה פתאומית של גישות מסמנת לגורם שבתוך הארגון שמישהו שם לב - ומה שהיה גלוי הופך נסתר. תיאמו את העיתוי.

• אל תעמתו אף אחד. לא עובד, לא ספק, לא שותף. עימות בלי ממצא מייצר תוצאה אחת: הצד השני נזהר.

• שמרו את מה שקיים. לוגים, מסמכים, תכתובות. חומר שנמחק בשגרה תוך שבועות הוא לעיתים בדיוק החומר שיידרש.

• דברו עם עורך דין מוקדם. לא רק בסוף. התכנון של מה בכלל צריך להוכיח משפיע על מה שווה לאסוף.

• וודאו שההגנות הבסיסיות בתוקף. הרשאות מוגבלות, הסכמי סודיות חתומים, מדיניות כתובה. זה גם מקטין נזק, וגם - כפי שאסביר מיד - זה מה שקובע אם המידע שלכם מוגן בכלל.

מה מותר לעשות - ומה אסור בתכלית

זה החלק שבו אני רואה בעלי עסקים עושים טעויות שעולות להם הרבה יותר מהדליפה עצמה.

מותר:

• לבדוק את המערכות שלכם. מחשב, שרת ותיבת דואר שבבעלות החברה - בכפוף למדיניות ברורה, לידיעת העובדים ולעקרון המידתיות.

• לתעד את הדפוס העסקי. מועדים, סכומים, רצף אירועים. זה מסמך שאתם יוצרים מנתונים שלכם.

• לבצע בדיקת רקע מקצועית על גורם עסקי שאתם שוקלים להתקשר איתו - חלק מחקירות כלכליות ובדיקות טרום-עסקה.

• לאסוף מידע גלוי - איסוף מודיעין עסקי ממקורות גלויים בלבד, כגון פרסומים פומביים, מכרזים ציבוריים ורישומים רשמיים. 

• לפנות לחוקר פרטי מורשה שפועל תחת חוק חוקרים פרטיים ושירותי שמירה, התשל"ב-1972.

אסור בתכלית:

• להאזין לשיחות. האזנת סתר אסורה לפי חוק האזנת סתר, התשל"ט-1979, ומדובר בעבירה פלילית. לא משנה שזה "העובד שלכם" ולא משנה שזה "במשרד שלכם".

• לחדור לחשבון פרטי, לטלפון או לענן של עובד. חדירה לחומר מחשב שלא כדין היא עבירה לפי חוק המחשבים, התשנ"ה-1995.

• לצלם ברשות היחיד. סעיף 2(3) לחוק הגנת הפרטיות, התשמ"א-1981.

• להתחזות כדי להוציא מידע ממתחרה או מספק.

וזו הנקודה החשובה מכולן: חומר שהושג שלא כדין חשוף לפסילה לפי סעיף 32 לחוק הגנת הפרטיות - וכך בעל עסק שהיה קורבן הופך לנתבע. ראיתי את זה קורה, וזו אחת התוצאות העצובות שיש.

המסגרת המשפטית - מה בכלל מוגן

חשוב להבין מה החוק מגן עליו, כי לא כל מידע עסקי הוא סוד מסחרי.

חוק עוולות מסחריות, התשנ"ט-1999 מגדיר סוד מסחרי כמידע עסקי שאינו נחלת הרבים, שאינו ניתן לגילוי בקלות, ושבעליו נוקט אמצעים סבירים לשמור על סודיותו. התנאי האחרון הוא זה שמפיל תיקים.

בפועל, השאלה הראשונה שתישאלו בבית המשפט אינה "מה נגנב" אלא "מה עשיתם כדי לשמור על זה". רשימת לקוחות ששוכבת בתיקייה משותפת פתוחה לכל עובד, בלי הגבלת הרשאות ובלי הסכם סודיות, תתקשה להיחשב סוד מסחרי גם אם היא הנכס היקר ביותר בחברה.

ולכן, גם אם אתם רק חושדים ועדיין לא בטוחים - הצעד הראשון שווה בכל מקרה: לוודא שההרשאות מוגבלות, שהסכמי הסודיות בתוקף, ושיש מדיניות כתובה. זה גם מקטין נזק וגם בונה את התשתית לתיק, אם יידרש.

איך אנחנו עובדים בתיק כזה

שלב ראשון - מיפוי הדפוס. נשב עם הנתונים שלכם ונבנה ציר זמן: מה נשלח, למי, מתי, ומה קרה אחר כך. השלב הזה נעשה במשרד ולא בשטח, והוא לרוב המכריע.

שלב שני - צמצום מעגל. מי היה חשוף למידע שדלף, בכל אחד מהאירועים. החיתוך בין האירועים הוא שמצמצם.

שלב שלישי - בדיקה חיצונית. מה ניתן ללמוד ממקורות גלויים על הצד המקבל - קשרים עסקיים, בעלויות, תנועת אנשים בין החברות.

שלב רביעי - עבודת שטח, אם נדרשת. תיעוד מהמרחב הציבורי בלבד, בהתאם לחוק, ובמקרים המתאימים חקירה פרונטלית או בדיקה בערוץ הסייבר.

שלב חמישי - דוח. מסמך עובדתי שמתאר ממצאים ולא השערות, שאפשר להעביר לעורך דין ולעמוד מאחוריו בעדות.

ומה שאני אומר לכל לקוח מראש: ייתכן שהתוצאה תהיה שאין דליפה. זו תוצאה לגיטימית לחלוטין, ואני מוסר אותה באותה כנות שבה הייתי מוסר את ההפך.

לסיכום: חושדים שדולף מידע מהעסק שלכם? פנו אליי לשיחה דיסקרטית

אני יודע שבעל עסק שמגיע לנקודה הזאת נמצא במקום קשה במיוחד. החשד הוא לרוב כלפי מישהו מבפנים - עובד ותיק, שותף, לפעמים בן משפחה - ועצם המחשבה מרגישה כמו בגידה. במקביל יש חשש אמיתי שעצם הבדיקה תדלוף פנימה ותפגע באמון בארגון. אני לא מבטיח לכם שנמצא מרגל. במקרים לא מעטים מתברר שאין דליפה כלל, ואני אומר גם את זה.

אבל אני כן מבטיח שנעבוד על נתונים ולא על תחושות: נבנה יחד ציר זמן מדויק של האירועים, נצמצם את מעגל החשופים לפי חיתוך בין האירועים, ונבדוק ממקורות מותרים בלבד - כדי שהממצא שתקבלו יהיה כזה שעורך דין יוכל לעשות בו שימוש ולא ייפסל לפי סעיף 32 לחוק הגנת הפרטיות. הבדיקה עצמה תתנהל בדיסקרטיות מלאה, בלי שאיש בארגון יידע שהיא מתקיימת.

השיחה הראשונה היא ללא התחייבות ובדיסקרטיות מלאה, ואם אין כאן תיק - אגיד לכם את זה מיד. פנו אליי עוד היום ונבחן יחד מה נכון לעשות.