Ninguém invadiu a Nvidia, bastou um jantar

Não houve senha roubada, servidor invadido nem pendrive esquecido na portaria. Se as suspeitas que agora sacodem a Nvidia se confirmarem, o acesso mais valioso da empresa mais cobiçada da corrida pela inteligência artificial passou por um canal que nenhum firewall vigia: a vida pessoal do próprio fundador.

No domingo (8), a Nvidia anunciou uma investigação independente para apurar se o CEO, Jensen Huang, foi alvo de uma operação de inteligência estrangeira. O anúncio veio depois de reportagens do New York Times e do Financial Times apontarem a relação de Huang com Alice Huang, executiva da Megaspeed, empresa de data centers sediada em Singapura e cliente da fabricante de chips.

Segundo essas reportagens, autoridades americanas acreditam que ela repassava informações a Pequim. Huang admitiu aos funcionários a relação extraconjugal e disse que vai colaborar. Nesta quinta-feira (12), a Nvidia anunciou a renúncia imediata dele aos cargos de presidente, CEO e membro do conselho. A diretora financeira Colette Kress assumiu como CEO interina, e o conselho abriu busca por um sucessor permanente. A China classifica as acusações como infundadas. A Megaspeed nega irregularidades. Até agora, não há notícia de acusação formal de espionagem.

Na terça-feira (10), o conselho contratou Joon H. Kim, que chefiou interinamente a Procuradoria Federal do Distrito Sul de Nova York, e o escritório Wachtell, Lipton, Rosen & Katz para conduzir a apuração. O presidente Donald Trump afirmou que o FBI também examina o caso, e três comitês da Câmara dos Representantes convocaram Huang para uma sessão fechada. O conselho diz não ter motivos para acreditar que segredos da empresa ou a segurança nacional tenham sido comprometidos.

Uma ressalva antes de seguir: por enquanto, o que existe são suspeitas. Nada foi concluído. Mesmo assim, quem cuida de segurança corporativa e inteligência já tem muito o que anotar.

A ameaça interna nem sempre é um funcionário mal-intencionado

Quando se fala em espionagem industrial, o roteiro clássico é o do engenheiro que pede demissão e leva arquivos para o concorrente. Esse risco existe e continua entre os mais comuns. O caso Nvidia aponta para outro, bem mais difícil de enxergar: a ameaça interna involuntária, o chamado insider involuntário. Uma pessoa leal, com acesso privilegiado, que vira alvo de uma aproximação paciente.

Ninguém precisa entregar documento algum. A proximidade basta. Uma conversa sobre estratégia, a agenda da semana, um cliente difícil, uma negociação com governo, o próximo produto. Para um serviço de inteligência ou para um concorrente sem escrúpulos, o executivo que enxerga tudo vale mais do que qualquer banco de dados.

O mesmo caso tem um segundo vetor, que recebeu menos atenção: a cliente. A Megaspeed já havia sido investigada nos Estados Unidos por suspeita de ajudar a levar chips de exportação restrita para a China. O risco bateu primeiro na porta comercial e só depois na pessoal.

Como empresas brasileiras podem se proteger da espionagem industrial

Telecom, energia, mineração, bancos e indústria guardam informações que interessam a concorrentes, a grupos criminosos e, em alguns casos, a outros Estados: projetos de expansão, contratos, rotas de carga, vulnerabilidades de infraestrutura, dados de clientes. Cinco medidas práticas reduzem a exposição.

Mapeie as pessoas de alto acesso. Diretores, engenheiros-chave, compradores e quem negocia com governo precisam ser tratados como alvos potenciais, com orientação específica sobre abordagens em eventos, viagens e redes sociais.

Aplique o conflito de interesses de cima para baixo. Segundo a BBC, o código de conduta da Nvidia veda relacionamentos com clientes. Uma regra que vale para o estagiário e não vale para o CEO vira decoração. O canal de declaração precisa funcionar também para o topo.

Investigue a contraparte, além do contrato. Clientes, distribuidores e intermediários merecem diligência de verdade: quem é o beneficiário final, para onde vai a mercadoria, que sinais de desvio aparecem no histórico.

Limite o acesso pela necessidade. Mesmo no alto escalão, informação sensível deve circular por necessidade de conhecimento, com registro de quem acessou o quê.

Feche a porta de saída. Desligamentos de pessoas com acesso estratégico precisam de protocolo: revogação imediata de acessos, revisão dos últimos downloads e lembrete formal das obrigações de sigilo. A Lei de Propriedade Industrial (Lei 9.279/1996) trata a divulgação indevida de segredo de negócio como crime de concorrência desleal, mas a lei pune depois. O controle evita antes.

Governança também é contrainteligência

Um ponto a favor da Nvidia merece registro. Em dois dias, o conselho foi do anúncio à contratação de um investigador externo de peso. Quantos conselhos brasileiros têm um protocolo pronto para investigar o próprio presidente, com independência e sem pânico?

A pergunta que fica para o board não é se a empresa tem um espião. É quem, dentro dela, seria o alvo mais valioso, e quem está olhando para essa pessoa antes que outra pessoa olhe.