Casuslar İş Başında!

Marc Barry / CI3 Analytics Sahibi

Marc Barry, CI3 Analytics adlı şirketin sahibi. Adam L. Penenberg ise gazeteci. Forbes dergisi yazarlarından. İkisini son dönemde öne çıkaran ise “Spooked-Espionage in Corporate America” (İzleniyorsunuz-Kurumsal Amerika’da Casusluk) adlı kitapları oldu. Büyük yankı uyandıran bu kitap, ABD’de son dönemde hızlı bir büyüme dönemine giren “Competitive intelligence”(Rekabetçi istihbarat) konusu gözler önüne seriliyor. Bu konuda Capital’e konuşan Barry, neredeyse bütün dev şirketlerin “casusluk” işine girdiğini, çok hayati bilgilere bu yolla ulaştıklarını anlatıyor...

Son yıllarda bilgi birçok şirketin sahip olduğu en büyük sermaye haline geldi. Artık şirketlerin rekabet stratejileri de bu konu üzerine kurulu. Bu durum iş dünyasında bilgi toplama ve casusluk faaliyetlerinde patlama yaşanmasına neden oldu. Soğuk savaşın sona ermesi bu tür faaliyetlerdeki artışın bir başka nedeni. Son 10 yılda işsiz kalan birçok casus, şirketler için çalışmaya başladı.

Amerikan Ticaret Odası’nın verdiği rakam işin hangi boyutlara ulaştığını gösteriyor. Buna göre, casusluk faaliyetleri şirketlerin yaklaşık olarak yılda 25 milyar dolar değerinde entelektüel sermaye kaybına yol açıyor. Ancak, Amerika’da her bilgi toplama faaliyeti yasadışı değil. Yasal olarak bilgi toplamak da çok ciddi bir işkolu haline gelmiş durumda.

Bu alanda çalışan kişilerden birisi de Marc Barry. Barry kendini istihbarat uzmanı olarak tanımlıyor. Amerika’da C3I Analytics isimli bir istihbarat şirketinin kurucusu. “Fortune 500”deki birçok şirkete hizmet veriyor.

Barry’nin, Forbes dergisi yazarlarından Adam Penenberg ile birlikte yazdığı bir de kitap bulunuyor. “Spooked-Espionage in Corporate America (İzleniyorsunuz-Kurumsal Amerika’da Casusluk)” isimli kitap Amerika’daki değişik bilgi toplama faaliyetlerinden örnekler içeriyor. Barry iş dünyasındaki istihbarat faaliyetleriyle ilgili olarak Capital’in sorularını yanıtladı:

Şirketlerin rakiplerinden bilgi toplaması yasal mı?  Bunun yasal sınırları nelerdir?

İlk önce şunu açıklamam gerekiyor; bizim yaptığımız işin adı “competitive intelligence (rekabetçi istihbarat)”dır. Bugün bu iş Amerika’da çok büyük bir endüstri haline gelmiş durumda. Amerika’da benim gibi bu sektörde çalışan insanlar, yaptıkları işin casusluk olarak görülmesinden büyük rahatsızlık duyuyorlar. Bu durumdan hoşlanmıyorlar. Çünkü, yaptığımız iş casusluktan tamamen farklı. Yapılan işin yasal olup olmadığına karar vermek için bilginin yapısına ve hangi yollardan toplandığına bakmak gerekiyor.

Amerika’da 1996 yılında ekonomik casusluk konusunda ciddi gelişmeler yaşandı. Şirketlerin ticari sırlarının çalınmasına karşı federal yasalar konuldu. Ama birçok şirket ticari sırlarını nasıl koruyacağını hala bilmiyor. Yasalara göre bir şirketin, herhangi bir bilginin ticari sır olduğunu iddia edebilmesi için, mahkemede bu bilginin kendileri için özel olduğunu ve çalınmaması için onu koruduklarını ispat etmesi gerekiyor. Bilgiyi özel olarak sakladıklarını, şirket içinde sadece sınırlı sayıda insanın bu bilgiye sahip olduğunu ve ticari olarak çok değerli olduğunu göstermeliler.

Örneğin, Coca-Cola formülü ticari sırdır. Microsoft’un kaynak kodları da ticari sırdır. Ama IBM’in yan sanayiden ne kadar ürün aldığı bilgisi ticari sır değildir. Bu bir pazarlama bilgisidir. IBM, bunu rakiplerinin bilmesini istemeyecektir ama bu bilgiyi ticari sır yapmaz. Sonuç olarak bu tür bilgileri toplamak tamamen yasaldır. Yine Amerika’da şirkette bilginin ticari sır olduğunu bilen bir kişiye konuyla ilgili soru sorarsanız ve size istediğiniz bilgiyi verirse artık bu ticari bir sır değildir. Çünkü, kişi size sırrı açıklamıştır.

Korunmamış bir ticari sırrın üçüncü bir kişiye açıklanması otomatik olarak ticari sır durumunu ortadan kaldırır. Örneğin ben Coca-Cola’yı arayıp içinde ne olduğunu sorarsam ve onlar da bana cevap verirse artık bu bilgi ticari bir sır değildir. Ama Coca-Cola’nın bilgisayarına gizlice girip gizli dosyaları çalarsam bu ticari sır kapsamına girer ve yasal değildir. Bu nedenle yaptığınız şeyin yasal olup olmadığı ne tür bilgi topladığınıza ve nasıl elde ettiğinize bağlıdır.

“Competitive intelligence (rekabetçi istihbarat)” tam olarak nedir?

Rekabetçi istihbarat, kurumun sürekli ekranı okuması gibidir. Şirket için bir keşif aleti niteliğindedir. Şirketin rekabetçi pozisyonunu takip altında tutar. Bu bölümün verimli çalışabilmesi için, şirketin üst yönetimince desteklenmesi gerekiyor. Amaç, karar alıcıların, karar verirken doğru ve hızlı istihbarattan yararlanmasıdır. Şirketler bu sayede plan yaparken doğru karar alabilirler.

Bu birimde çalışanlar çok farklı kaynaklardan gelen çok küçük bilgileri bile toplayıp değerlendirirler. Bu bilgileri şirketin kullanabileceği duruma sokarlar. Bu bilginin rekabette nereye oturduğunu sorgulayıp bir sonraki adımı bulmaya çalışırlar.

Hangi sektörlerde istihbarat çalışmaları daha sık görülüyor?

Amerika’da birçok şirket bu tür faaliyetlerde bulunuyor. İlaçtan yüksek teknolojiye kadar her endüstride görülüyor. İlaç, kimya, otomotiv ve bilgisayar bu sektörlerden sadece birkaçı. “Fortune 500”deki tüm şirketler farklı derecelerde de olsa istihbarat yapıyorlar.

İlaç sektörünün en fazla istihbarat yaşanan sektör olduğunu söyleyebilirim. Çünkü, bu sektörde çok yüksek Ar&Ge harcamaları yapılıyor. Ama benim çalışmadığım endüstriler de bulunuyor. Örnek olarak bilişim  ve bankacılığı verebilirim.

Şirketler ne tür bilgiyi toplamak istiyorlar?

Aslında şirketler farklı sektörlerde de olsa benzer yapıdaki bilgilerin peşindeler.  Şirketler öncelikle rakiplerinin Ar&Ge çalışmaları hakkında bilgi toplamak istiyorlar. Ayrıca rakiplerinin sabit harcamalarını, üretim kapasitelerini ve üretim giderlerini merak ediyorlar. Rakiplerinin çalışanlarına, taşımaya ve hammaddeye ne kadar para ödediğini öğrenmek istiyorlar. Yeni bir ürünün ne kadar maliyetle ortaya çıktığını bilmek istiyorlar.

Yine pazarlama faaliyetlerinde avantaj sağlamak için, rakiplerinin hangi kanallarla, perakendecilerle, toptancılarla ve satıcılarla çalıştığını öğrenmenin peşindeler..

Şirketler bu bilgileri hangi yollarla topluyorlar?

Ya benin gibi kişilerle anlaşıyorlar ya da kendi içlerinde bir birim kuruyorlar. Örneğin, Amerika’da benim gibi, bu alanda çalışanların üye olduğu “SCIP- Society of Competitive Intelligence Professionals (Rekabetçi İstihbarat Çalışanları Derneği)” isimli bir dernek bulunuyor. Bu derneğin üyeleri bilgi toplarken kendilerini farklı bir isimle tanıtamıyorlar. Daha bunun gibi birçok kural var.

Kendi içinde hangi firmalar bu tarz birimlere sahipler?

Birçok şirket bu tarz birimlere sahip. 3M, Dow Chemicals ve Intel’i örnek olarak verebilirim. Yine hemen hemen tüm ilaç firmalarının şirket içinde bu tarz birimleri bulunuyor. Birimin temel görevi rakipleri hakkında bilgi öğrenmektir. Aynı zamanda şirketleri rakiplerinin casusluk faaliyetlerine karşı korurlar.

Endüstrilere göre bilginin değeri farklılaşıyor mu?

Kimya ve ilaç endüstrisi için Ar&Ge bilgileri değerliyken perakende için pazarlama bilgileri daha değerlidir. Yine bilgisayar satan firmalar için yan ürünlerin nereden alındığı çok önemli bir bilgidir. Örneğin rakipleri için IBM’in klavyelerini nereden ve hangi fiyata temin edildiğini öğrenmek oldukça değerlidir. 

Son 10 yılda şirketler arasında istihbarat faaliyetlerinin bu kadar yaygınlaşmasının nedenleri nelerdir?

Sovyetler Birliği’nin dağılması ve soğuk savaşın sona ermesi bu gelişmede çok etkili olmuştur. Çünkü, Amerika’da ve dünyada soğuk savaştan sonra birçok casus işsiz kaldı. Bu insanların tek bildikleri meslek casusluktu. O yıllarda, yine Amerikan şirketleri global pazarlarda yeterince başarılı değildi. İki tarafın birbirlerini keşfetmesi çok zaman almadı. Daha sonra da Amerikalı casuslar şirketler için çalışmaya başladılar.

Amerika’da ilginç bir durum var. Amerikalı casuslar diğerlerine göre daha fazla uluslararası bakışa sahipler. Diğer ülkedeki ajanlarla işbirliği yapmaya hazırlar.  Amerikalı yöneticiler daha tutucular. Yabancı ülkelerde diğer Amerikan şirketlerinden bilgi toplarken sorunla karşılaşıyoruz. Yabancı ülkeler genelde sadece farklı ülkelerin şirketlerinden bilgi toplarlar.

Şirketlerin ülkelere göre bu faaliyetler açısından durumu nedir?

Japon, Fransız ve İsrail şirketleri en fazla istihbarat faaliyeti yapan firmalardır. Özellikle Fransızlar bu konuda oldukça iyiler. Devlet birçok şirkete sahip ya da hisselerini elinde bulunduruyor. Devletin istihbarat servisleri şirketler için de bilgi topluyor.

İnternet ve yeni teknolojiler bu faaliyetleri nasıl etkiledi?

Bizim için çalışmak geçmişe göre birçok açıdan oldukça kolaylaştı. Eskiden daha fazla seyahat etmemiz gerekiyordu. Bilgi toplamak, dosya aramak ve bu bilgileri analiz etmek için farklı şehirlere gitmemiz gerekiyordu. Artık bunları ofisimden çıkmadan yapabiliyorum. Örneğin Avrupa’daki çevre düzenlemeleri ve fikir hakları gibi konularda bilgi edinmem gerekiyor ve bu işleri çok kısa sürede gerçekleştirebiliyorum. İnternetteki kariyer siteleri bizim için bir başka kolaylık. İstediğim şirkette, istediğim görevde çalışmış insanları hemen bulabiliyorum.

Şirketlerin diğer şirketlerin istihbarat faaliyetlerine karşı  aldıkları önlemler yeterli mi?

Şirketlerin hepsi için genel bir yorum yapmak zor. Ancak, birçok şirketin çalışanlarını karşı istihbarat konusunda eğitmesi gerekiyor. Onları istihbarat konusunda bilgilendirmeliler. En azından çalışanlar bir bilgi için arandıklarında, arayanın ismini ve diğer bilgilerini alıp geri döneceklerini söylemeliler. Ancak, araştırma yaptıktan sonra geri dönmeliler. İş yaptıkları şirketleri açık şekilde kendileriyle ilgili bilgileri, anlaşmaları başkalarına vermemeleri konusunda uyarmalılar.

“MOTOROLA İSTİHBARAT BÖLÜMÜNE SAHİP İLK ŞİRKET”

“Spooked-Espionage in Corporate America (İzleniyorsunuz-Kurumsal Amerika’da Casusluk)” kitabı yazarlarından Marc Barry’e göre, ayrı bir “CI (Corporate Intelligence-Kurumsal İstihbarat) Bölümü”ne  sahip ilk şirket Amerikalı telekomünikasyon şirketi Motorola’ydı. CI Bölümü’nün Motorola’da kendini kabul ettirmesinde, Amerikalı GE (General Electrics)’den Storno şirketinin satın alınmasında oynadığı rolün büyük önemi bulunuyor. GE stratejik bir karar alarak Storno’yu satışa çıkardı.

Ancak, Motorola’nın anlaşma masasında çok başarılı olduğu söylenilemezdi. Bu nedenle Bosch şirketi, Motorola’yla birlikte birçok şirketi yarışta saf dışı bıraktı ve GE ile anlaşmanın son aşamasına geldi. Motorola yöneticilerine tüm umutlarını yitirdikleri bir sırada Bosch-GE görüşmelerinin tıkandığına dair bir rapor geldi.

Bunun üzerine şirketin üst düzey yöneticileri CI bölümünün yöneticisi Jan Herring’i konuyla ilgilenmesi için görevlendirdiler. Herring’in ilk yapması gereken görüşmelerin nerede tıkandığını tespit etmekti. Herring’e doğrudan bağlı sadece 10 kişi çalışıyordu. Ancak, şirketin dünya çapında yüzlerce yöneticisi bulunuyordu.

Herring bunların birçoğunu istihbaratın temel nitelikleriyle ilgili olarak eğitmişti. Şimdi bu müthiş gücü harekete geçirmek gerekiyordu. Herring, Motorola’nın CEO’su Robert W. Galvin’e son durumu anlatan bir sayfalık rapor yazdı. Galvin raporu aldıktan birkaç gün sonra ekibiyle birlikte GE yetkilileriyle görüşmelere başladı. Herring’in raporundan bir hafta sonra Motorola GE ile Storno’nun satışına dair prensip anlaşması imzaladı. Üç ay sonra da tüm anlaşma tamamlanmıştı. 

“TAYVAN-AMERİKA HATTINDA CASUSLUK SAVAŞI”

Amerikan iş dünyasında istihbarat faaliyetlerinin anlatıldığı “Spooked-Espionage in Corporate America (İzleniyorsunuz-Kurumsal Amerika’da Casusluk)” isimli kitapta kimya sektöründe yaşanmış ve casusluk romanlarına rakip olacak gerçek bir öykü yer alıyor. Öykünün baş kahramanları Amerikalı Avery Dennison ile Tayvanlı Four Pillar şirketi.

Avery Dennison’un Ar&Ge bölümünde kimya mühendisi olarak çalışan Tayvanlı Victor Lee, Tayvan Endüstriyel Araştırma Enstitüsü’nde yapıştırıcılar konusunda bir seminer verdi. Victor Lee’nin dinleyicileri arasında Four Pillar şirketinden bir mühendis de bulunuyordu. Bu çalışan şirketin başkan yardımcısı C. K Kao’ya Victor Lee’nin prezantasyonundan bahsetti. Kao, üniversitede Victor Lee’nin hocasıydı. Kao, Victor’u arayarak birkaç gün sonra şirket başkanları  P. Y. Yang’in de bulunacağı bir yemeğe davet etti. Yang, Lee’ye şirketinin etiket alanında büyümeyi planladığını söyledi ve  bildiklerini kendilerine öğretip öğretemeyeceğini sordu. Bunun karşılığında Victor Lee her yıl 25 bin dolar ve sağladığı bilginin büyüklüğüne bağlı olarak değişecek ekstra ücret önerdi. Anlaşma sağlanmıştı. Lee yedi yıl boyunca Avery’nin çok stratejik bilgilerini aktardı.

Avery yönetimi bir süre sonra durumu anladığında beyninden vurulmuşa döndü. Bir süre sonra delillerle birlikte FBI’ya başvurdular. FBI, şirket yönetimiyle birlikte Lee’ye tuzak kurdu. Lee belgeleri çalarken gizli bir kamera ile kaydedildi. Bir kaç hafta sonra FBI ajanları harekete geçti ve Lee’yi, Four Pillar’ın suçluluğunu kanıtlamaları konusunda kendilerine yardım etmeye ikna ettiler. Beş ay boyunca kanıt toplandı. 1997 yılının eylül ayında Yang tutuklandı ve Four Pillar şirketine karşı yasal süreç işlemeye başladı.

“PİZZADA ZAMANA KARŞI YARIŞ”

ABD’nin şirket casusluğu alanındaki en ilginç hikayelerden biri 1997 yılında yaşandı. Hikaye, “SCIP- Society of Competitive Intelligence Professionals (Rekabetçi İstihbarat Çalışanları Derneği)” Yönetim Kurulu üyelerinden William Genaro’nun, Minnesotalı bir gıda şirketi olan Schwan’s Enterprise tarafından telefonla aranmasıyla başladı. Şirket yetkilisi, ABD’nin en büyük gıda üreticilerinden Kraft’ın piyasaya yeni bir donmuş pizza çıkarmaya hazırlandığını söylüyordu. Kraft, bu ürünü, DiGiorna ismi altında piyasada test ediyordu.

Schwan’ın, Kraft’a karşı bir strateji geliştirebilmesi için, Wisconsin eyaletindeki Sussex kasabasında kurulacak fabrikanın tam olarak yerini, üretim kapasitesini, günde kaç pizza üretebileceğini ve fabrikada ne tür cihazların kullanıldığını bilmesi gerekiyordu. Genaro’yu tek düşündüren konu Schwan’ın bu bilgilere bir an önce ulaşmak istemesiydi. SCIP’ın kurallarına göre hiçbir üye bilgi toplamak için sahte bir isim kullanamıyor ve yalan söyleyemiyordu. Genora’nın tek bir alternatifi vardı: Birçok SCIP üyesinin gizli şekilde gerçekleştirdiği gibi paravan bir dedektif kullanmak. Buna göre Genora hiç bir sorumluluk taşımayacaktı.

Genora, hemen Marc Barry’i aradı ve durumu kısaca özetledi. Şartlarda anlaştıktan sonra Barry hemen işe koyuldu. İlk olarak Sussex’in alan kodu olan 414 ile başlayan bir voice mail ve faks hesabı ile 10 dolarlık bir telefon kartı aldı. Böylece çalışmalarını New York’taki ofisinden yürütebilecek ve herkes onun Wisconsin’den aradığını düşünecekti.

Barry işe kasaba yönetiminden fabrikanın adresini öğrenerek başlamaya karar verdi. Wall Street Journal’den aradığını söyleyerek bir dakikada fabrikanın adresini ve toplam alanını öğrendi. Şimdi sıra fabrikanın detaylarını öğrenmekteydi. Amerika’da fabrikaların kurulabilmesi için şehrin itfaiye dairesinden izin alınması gerekiyordu. Barry başka bir sahte isimle EcoNet isimli çevreci bir organizasyon adına bir araştırma yapmak amacıyla aradığını söyleyerek Sussex İtfaiye Dairesi’ne telefon etti. Tecrübesiz görevli yaklaşık yarım saat içinde fabrikanın planı hakkında tüm detayları anlattı. Ancak, Barry hala fabrikanın üretim kapasitesini öğrenememişti. Barry tüm pizzaların bir etikete sahip olduğunu bu nedenle de etiket sayısını öğrenmesi gerektiğine karar verdi. Barry fabrikayı arayarak Presidental Corrugated Box isimli bir etiket fabrikası sahibi olduğunu ve iş için yetkili birisiyle görüşmek istediğini söyledi. Satın alma sorumlusuyla yaptığı konuşmada fabrikanın Weyerhaeuser isimli büyük bir etiket üreticisiyle çalıştığını ve çok büyük miktarlarda etiket tükettiğini öğrendi. Barry, Wayerhauser şirketini aradı ve kendini Kraft çalışanı olarak tanıttı. Son hafta malların teslimatında bir sorun yaşandığını ve detaylı bilgi almak istediğini söyledi. Karşı taraftaki yetkili 1997 yılının eylül ayından itibaren yaptıkları sevkiyatın listesini hemen Barry’e iletti. Demek ki fabrika eylül ayından itibaren faaliyetteydi.

Barry’nin sonuca ulaşmak için son bir vuruş yapması gerekiyordu. Barry yine kendini Wayerhauser çalışanı olarak tanıtarak pizza fabrikasının limandaki teslimat bölümünü aradı. Elinde bulunan dökümü karşısındaki yetkilinin yardımıyla bir kez daha kontrol etti. Barry eylül ayından itibaren fabrikanın tam olarak günde 300 bin pizza ürettiğine karar verdi. Schwan için milyonlarca dolar değerindeki bu bilgileri toplamak Barry’nin iki günden az zamanını almıştı. Schwan, bu bilgiye dayanarak DiGiorno’nın piyasa çıkmasından bir yıl sonra Freschetta isimli rakip bir ürün çıkardı ve kısa sürede DiGiorno ile arasındaki pazar payını kapattı. Gıda sektör yetkililerine göre eğer Schwan yeni ürünü piyasaya çıkarmakta bu kadar hızlı davranmasaydı bu başarıyı yakalaması imkansızdı.

“INTERNET CASUSLUĞUN ÇEHRESİNİ DEĞİŞTİRDİ”

Marc Barry’e göre bugün artık büyük şirketler, hatta FBI gibi güvenlik kuruluşları bile büyük bir tehlike altında. Barry’nin kitabında anlattığı öykü internette güvenlik konusunda bu şüphelerin haklılığını ortaya koyuyor. Hikaye 15 yaşında Amerikalı bir lise öğrencisinin başından geçiyor. Barry küçük kahramanın ismini yaşının çok küçük olması nedeniyle açıklamıyor. Bunun yerine onu internetteki takma adı olan “t3k-9” olarak isimlendiriyor.

Her şey “t3k-9”un Hindistan’ın yaptığı nükleer denemelerle ilgili bir belgesel izlemesiyle başlıyor… Belgesel Çin ve Hindistan gibi ülkelerin, birçok vatandaşı aç olmasına rağmen nükleer programlara çok büyük paralar harcadığını anlatıyordu. “t3k-9” bu duruma çok öfkelendi ve kendince Hindistan’a iyi bir ders vermeye karar verdi. Bilgisayarına takma isimle girdi ve arama motorunda “Hindistan, atom araştırmaları”nı arattırdı. İlk karşısına çıkan BARC (Hindistan Bhabba Atom Araştırmaları Merkeziydi). Bu merkez Hindistan’ın nükleer silah ürettiği merkezlerden birisiydi. Artık hedefine karar vermişti.

Daha sonra internetten indirdiği John the Ribber DES Encryption isimli yazılıma girdi. Burada binlerce hacker (bilgisayar korsanı) uygulaması ve hacker’lara yol gösteren tavsiyeler bulunuyordu. Buradan şifre kırıcı bir yazılım indirdi. Yazılım BARC’ın network’ü ile tanıdık bir bilgisayarmış gibi bağlantı kurdu. 45 dakika içinde yazılımın da şifrelerden birisini kırmayı başardı. İlk olarak sistemdeki tüm şifreleri indirdi. Daha sonra sisteme hiç bir zorlukla karşılaşmadan girdi.

“t3k-9” artık araştırma merkezinin bilgisayar ağında istediği şekilde hareket edebiliyordu. Bilim adamlarının  e-posta’larını merkezin çok gizli sayfalarını rahatlıkla gezebiliyordu. “t3k-9” bir süre sonra sıkıldı ve sistemden çıktı. Ancak, daha sonra birçok hacker gibi, sahip olduğu şifreleri, bir hacker sayfasında, arkadaşlarıyla paylaştı. Birkaç gün içinde dünyanın her yerinden yüzlerce hacker Bhaddha Araştırma merkezine saldırdı. Hacker'lar merkezin birçok sayfasını sildi, çalışanlara mail gönderdi, sayfaya komik resimler yerleştirdi. Hindistanlı bilim adamlarının durumu düzeltmeleri günler aldı. Güvenlik uzmanları bu skandaldan sonra bilgilerin teröristlerin ya da casusların eline geçtiği durumu düşünmek bile istemedi.