วิศวกรจากซิลิคอนวัลเลย์ถูกตั้งข้อหาขโมยความลับทางเทคโนโลยีและข้อมูลลับของ Google

สรุปโดยย่อ

• อัยการกลางสหรัฐได้ตั้งข้อหาอดีตวิศวกรของ Google จำนวนสามคนในข้อหาขโมยความลับทางการค้าและขัดขวางกระบวนการยุติธรรม
• จำเลยอาจถูกจำคุกสูงสุด 10 ปี สำหรับแต่ละข้อหาความลับทางการค้า และสูงสุด 20 ปี สำหรับข้อหาขัดขวาง
• อัยการกล่าวหาว่าความลับทางการค้าได้ถูกส่งต่อไปยังตำแหน่งที่ไม่ได้รับอนุญาต รวมถึงการเข้าถึงจากอิหร่าน

อัยการกลางสหรัฐได้จับกุมวิศวกรจาก Silicon Valley จำนวนสามคน ซึ่งถูกกล่าวหาว่าขโมยความลับด้านความปลอดภัยของชิปจาก Google และบริษัทอื่น ๆ และส่งต่อไปยังตำแหน่งที่ไม่ได้รับอนุญาต รวมถึงอิหร่าน ซึ่งเป็นการสร้างความกังวลด้านความมั่นคงแห่งชาติ คณะลูกขุนใหญ่ของศาลแขวงสหรัฐในเขตภาคเหนือของแคลิฟอร์เนียได้ออกหมายเรียกฟ้อง Samaneh Ghandali, Soroor Ghandali และ Mohammadjavad Khosravi หมายเรียกฟ้องนี้ถูกยื่นเมื่อวันพุธและเปิดเผยเมื่อวันพฤหัสบดีที่ซานโฮเซ ตามแถลงการณ์ของ DOJ ในขณะที่ทำงานอยู่ที่ Google, Samaneh Ghandali กล่าวอ้างว่ามีการ “โอนย้ายไฟล์หลายร้อยไฟล์ รวมถึงความลับทางการค้าของ Google ไปยังแพลตฟอร์มการสื่อสารของบุคคลที่สาม” ไปยังช่องทางที่มีชื่อของแต่ละจำเลย, DOJ กล่าว สำเนาของหมายเรียกฟ้องที่เปิดเผยแล้วไม่ได้พร้อมใช้งานในขณะเขียน Decrypt ได้ติดต่อสำนักงาน DOJ ที่เกี่ยวข้องเพื่อขอข้อมูลเพิ่มเติมและความคิดเห็น

ทั้งสามคนกล่าวอ้างว่าใช้ตำแหน่งงานที่ Google และอีกสองบริษัทที่ไม่เปิดเผยชื่อเพื่อเข้าถึงไฟล์ลับที่เกี่ยวข้องกับโปรเซสเซอร์คอมพิวเตอร์มือถือ ตามคำกล่าวของ DOJ ว่า วัสดุที่ถูกขโมยรวมถึงความลับทางการค้าเกี่ยวกับความปลอดภัยของโปรเซสเซอร์และการเข้ารหัส และวัสดุของ Google ถูกคัดลอกไปยังอุปกรณ์ส่วนตัวและอุปกรณ์ทำงานที่เกี่ยวข้องกับบริษัทอื่น ๆ ที่จำเลยทำงานอยู่ อัยการกล่าวหาว่าจำเลยพยายามปกปิดการกระทำของตนโดยการลบไฟล์ ทำลายบันทึกอิเล็กทรอนิกส์ และยื่นคำให้การเท็จต่อบริษัทเหยื่อเพื่อปฏิเสธว่าพวกเขาได้แบ่งปันข้อมูลลับนอกบริษัท ในเหตุการณ์หนึ่งที่อธิบายไว้ในหมายเรียกฟ้อง DOJ กล่าวหาว่าในเดือนธันวาคม 2023 คืนก่อนเดินทางไปอิหร่าน, Samaneh Ghandali ถ่ายภาพหน้าจอคอมพิวเตอร์ของบริษัทอื่นประมาณสองโหลที่แสดงข้อมูลความลับทางการค้า ในอิหร่าน อุปกรณ์ที่เกี่ยวข้องกับเธออ้างว่ามีการเข้าถึงภาพถ่ายเหล่านั้น และ Khosravi อ้างว่ามีการเข้าถึงข้อมูลความลับเพิ่มเติม

ตามคำกล่าวของ DOJ ระบบความปลอดภัยภายในของ Google ตรวจพบกิจกรรมที่น่าสงสัยในเดือนสิงหาคม 2023 และยกเลิกการเข้าถึงของ Samaneh Ghandali หมายเรียกฟ้องอ้างว่าเธอภายหลังได้ลงนามในคำให้การว่าไม่ได้แบ่งปันข้อมูลลับของ Google นอกบริษัท ทั้งสามคนถูกตั้งข้อหาในข้อหาสมคบคิดและขโมยความลับทางการค้าภายใต้กฎหมายของรัฐบาลกลาง รวมถึงข้อหาขัดขวางกระบวนการยุติธรรมภายใต้กฎหมายที่อาญาเกี่ยวกับการเปลี่ยนแปลง ทำลาย หรือซ่อนบันทึกหรือวัตถุอื่น ๆ อย่างฉ้อฉลเพื่อทำให้การใช้งานในกระบวนการทางการเป็นอุปสรรค ข้อหาขัดขวางมีโทษสูงสุดตามกฎหมายถึง 20 ปีในเรือนจำ ความเสี่ยงและผลกระทบด้านความมั่นคง ผู้สังเกตการณ์กล่าวว่าคดีนี้แสดงให้เห็นว่าการเข้าถึงภายในของบุคคลที่มีสิทธิ์ในระบบเซมิคอนดักเตอร์และการเข้ารหัสขั้นสูงสามารถมีผลกระทบต่อความมั่นคงแห่งชาติ “พนักงานที่มีสิทธิ์เข้าถึงอย่างถูกต้องสามารถแอบขโมยทรัพย์สินทางปัญญาที่มีความอ่อนไหวสูงได้อย่างเงียบ ๆ ตลอดเวลา แม้จะมีการควบคุมอยู่แล้ว” Vincent Liu ผู้อำนวยการฝ่ายลงทุนของ Kronos Research กล่าวกับ Decrypt ความเสี่ยงต่อบริษัทเซมิคอนดักเตอร์และการเข้ารหัสมักมาจาก “ผู้ภายในที่เชื่อถือได้ ไม่ใช่แฮกเกอร์” เขาเสริมว่าความเสี่ยงจากภายในเป็น “ช่องโหว่ที่ต่อเนื่องและโครงสร้างที่ต้องการการตรวจสอบอย่างต่อเนื่องและการแบ่งแยกข้อมูลอย่างเข้มงวด” ในกรณีเช่นนี้ “ผู้ภายในคือพื้นผิวการโจมตี” Dan Dadybayo หัวหน้ากลยุทธ์ของ Horizontal Systems ซึ่งเป็นผู้พัฒนาระบบโครงสร้างพื้นฐานคริปโต กล่าวกับ Decrypt “ไฟร์วอลล์ไม่สำคัญเมื่อช่องทางการส่งข้อมูลออกเป็นการเข้าถึงที่ถูกต้อง” เขาอ้างว่าเมื่อวิศวกรสามารถย้าย “สถาปัตยกรรม, กลอุบายการจัดการกุญแจ หรือการออกแบบความปลอดภัยของฮาร์ดแวร์ออกจากสภาพแวดล้อมที่ควบคุมไว้ ‘ขอบเขต’ ก็พังทลาย” หากความลับด้านโปรเซสเซอร์และการเข้ารหัสไปถึงอิหร่าน, Dadybayo กล่าวว่าหน่วยงานกำกับดูแลน่าจะแสดงปฏิกิริยาอย่างรุนแรง

เขาชี้ให้เห็นถึง “การบังคับใช้กฎการส่งออกที่เข้มงวดยิ่งขึ้น ซึ่งความรู้ในการเข้าถึงเองถือเป็นการส่งออก” และ “การแบ่งแยก การตรวจสอบ และข้อกำหนดใบอนุญาตที่เข้มงวดยิ่งขึ้นภายในบริษัทในสหรัฐฯ” โดยเสริมว่า ชิปขั้นสูงและการเข้ารหัส “ไม่ถือเป็นสินค้าเชิงพาณิชย์ที่เป็นกลางอีกต่อไป แต่เป็นเครื่องมือของอำนาจทางภูมิรัฐศาสตร์” คดีนี้ยังเปิดเผยช่องว่างระหว่างการปฏิบัติตามกฎระเบียบอย่างเป็นทางการและความสามารถในการรับมือในโลกความเป็นจริง “ในองค์กรเทคโนโลยีส่วนใหญ่ ความเสี่ยงจากการขโมยข้อมูลถือว่าบรรเทาได้ด้วยการได้รับการรับรอง SOC 2 และ ISO” Dyma Budorin ประธานบริหารของบริษัท Hacken ซึ่งเชี่ยวชาญด้านความปลอดภัยและการปฏิบัติตามกฎระเบียบด้านคริปโต กล่าวกับ Decrypt กรอบงานเหล่านี้ “มักวัดความสมบูรณ์ของการปฏิบัติตามกฎ ไม่ใช่ความสามารถในการรับมือจริง ๆ กับผู้โจมตีที่ตั้งใจทำร้าย—โดยเฉพาะอย่างยิ่งจากภายใน” เขากล่าวว่าการรับรองเป็นการพิสูจน์ว่ามีการควบคุม “ในช่วงเวลาที่ทำการตรวจสอบ” แต่ “ไม่ได้พิสูจน์ว่าข้อมูลที่อ่อนไหวจะไม่ถูกขโมย” เนื่องจากมาตรฐานเหล่านี้กำหนดแนวทางการป้องกันทั่วไป Budorin โต้แย้งว่ามันสามารถทำให้การป้องกันเป็นไปในแนวทางที่คาดเดาได้ สำหรับผู้โจมตีที่มีความชำนาญ, “การปฏิบัติตามกฎ” มักหมายถึงความคาดเดาได้ เขาเตือนว่าความปลอดภัยที่แท้จริงต้องการ “การตรวจสอบอย่างต่อเนื่อง การเฝ้าระวังพฤติกรรม และการทดสอบโดยฝ่ายตรงข้าม” มิฉะนั้น องค์กรอาจเสี่ยงต่อการ “ปฏิบัติตามกฎในเอกสารแต่เสี่ยงต่อการถูกเปิดเผยในทางปฏิบัติอย่างรุนแรง”