De Coca-Cola-spion die geheimen aan Pepsi probeerde te verkopen

Een glazen injectieflacon. Een FedEx-envelop. Een executive-secretaresse met legitieme toegang tot Coca-Cola’s best bewaakte ontwikkelingspijplijn — en een federale undercoveroperatie die iets ongemakkelijks aantoonde: de diefstal van handelsgeheimen bij Coca-Cola in 2006 werd niet gestopt door encryptie of kluizen. Het werd gestopt door de juridische afdeling van een concurrent en de oudste kwetsbaarheid in bedrijfsbeveiliging — de kwetsbaarheid die niet achter een firewall kan worden verborgen.

Vertrouwen is het probleem. Elke ochtend in 2006 liep Joya Williams het hoofdkantoor van Coca-Cola in Atlanta binnen als iemand van wie het bedrijf had besloten te vertrouwen. Ze had toegang. Ze had toestemming. Op een gegeven moment besloot ze dat beide overdraagbaar waren — dat ze konden worden omgezet in geld als ze aan de juiste koper werden aangeboden. Wat volgde legde niet alleen de keuzes van één secretaresse bloot, maar een hele architectuur van bedrijfsgeheimhouding die miljardenbedrijven opbouwen en waarvan ze vervolgens de sleutels geven aan de mensen die hun bedrijfsvoering mogelijk maken.

Binnen het gebouw: hoe de diefstal werkelijk plaatsvond

Joya Williams was geen hacker. Dat hoefde ze ook niet te zijn. Als executive-secretaresse op het hoofdkantoor van Coca-Cola in Atlanta halverwege de jaren 2000 had ze legitieme, dagelijkse toegang tot een deel van de meest gevoelige interne materialen van het bedrijf. In 2006 verzamelde ze vertrouwelijke documenten over een nieuw product dat nog in ontwikkeling was — iets dat nog niet was uitgebracht, nog niet publiekelijk een naam had — samen met een fysiek monster van dat product in een afgesloten glazen injectieflacon.

Vervolgens nam ze contact op met PepsiCo. Het aanbod was direct: wat ze had meegenomen, kon van hen zijn voor de juiste prijs. Het wettelijk kader dat haar uiteindelijk zou veroordelen, de Economic Espionage Act van 1996, was door het Congres speciaal ontworpen voor dit soort situaties — de diefstal van handelsgeheimen met echte commerciële waarde die reële schade kunnen toebrengen aan de concurrentiepositie van een Amerikaans bedrijf op de wereldmarkt. Wat Williams blijkbaar niet had berekend, was wat er daarna zou gebeuren.

In plaats van te onderhandelen, nam PepsiCo onmiddellijk contact op met Coca-Cola. Daarna namen beide bedrijven contact op met de FBI. Dit is het punt: de meeste mensen zijn verrast door dit detail. Het idee dat een rivaliserende onderneming de sleutels van het koninkrijk van een concurrent zou teruggeven, lijkt bijna naïef. Maar vanuit Pepsi’s perspectief was de rekensom niet ingewikkeld. Gestolen handelsgeheimen accepteren is een federaal misdrijf. De reputatie- en juridische risico’s van meewerken overtroffen bij lange na elke inlichtingenwaarde die de gestolen materialen zouden kunnen bieden. Pepsi handelde niet nobeler dan nodig. Het handelde rationeel.

De FBI bouwde een undercoveroperatie op. Agenten deden zich voor als kopers die bereid waren te betalen voor wat Williams had gestolen. De uitwisseling werd geregeld. Williams en haar medeplichtige, Ibrahim Dimson, liepen er recht in. Onder het teruggevonden bewijs: het FedEx-pakket, de glazen injectieflacon erin, de documenten die Coca-Cola’s gebouw zonder toestemming hadden verlaten.

De undercoveroperatie, het vonnis en het getal van acht jaar

Bedrijfsspionagezaken kunnen notoir moeilijk te vervolgen zijn. Advocaten van de verdediging zijn bedreven in het exploiteren van de werkelijk vage grens tussen concurrentie-inlichtingen, wat legaal is, en diefstal van eigendomsinformatie. Deze zaak was niet vaag. Williams had vertrouwelijke materialen fysiek uit een gecontroleerde omgeving verwijderd, geprobeerd ze te gelde te maken bij een directe concurrent, en werd in een federale val gevangen met het bewijs nog in handen.

Het kantoor van de U.S. Attorney voor het Northern District of Georgia vervolgde onder de Economic Espionage Act, die zware federale straffen kent. Williams werd veroordeeld wegens samenzwering tot diefstal van handelsgeheimen. De straf: acht jaar federale gevangenis.

Acht jaar. Voor een glazen injectieflacon en wat documenten.

Dimson, haar medeplichtige, kreeg een kortere straf, maar de bredere implicatie golfde door de bedrijfswereld. De Economic Espionage Act bestond al een decennium tegen de tijd dat Williams werd veroordeeld, maar spraakmakende vervolgingen op grond daarvan waren nog relatief zeldzaam. Haar zaak werd een referentiepunt — aangehaald in bedrijfsbeveiligingstrainingen, in rechtenfaculteitszalen, in boardroomgesprekken over protocollen voor insiderbedreigingen. De straf gaf iets nieuws aan: federale aanklagers waren bereid handelsgeheimendiefstal met dezelfde ernst te behandelen als andere ernstige financiële misdrijven.

Undercoveragenten van de FBI. Een FedEx-pakket. Een glazen injectieflacon die van hand wisselt. Het klinkt als een thriller, behalve dat het product in de injectieflacon waarschijnlijk zoiets was als een nieuwe smaakdrank — prozaïsch, commercieel waardevol, volkomen onopvallend buiten wat het vertegenwoordigde. (Coca-Cola heeft de identiteit van het product nooit bevestigd en hield dat detail gedurende het hele proces verzegeld.) Geheimen zijn niet altijd dramatisch. Soms zijn ze gewoon nieuw.

De formule in de kluis — en wat die werkelijk beschermt

Coca-Cola heeft historisch gezien buitengewone inspanningen geleverd om zijn intellectueel eigendom te beschermen. De originele formule van Coca-Cola — het precieze recept voor zijn kenmerkende siroop — wordt bewaard in een bankkluis in Atlanta sinds 1925. Jarenlang lag het bij SunTrust Bank voordat het in 2011 werd verplaatst naar een speciale tentoonstellingsruimte in het World of Coca-Cola-museum — zelf een vitrine van de hoogste beveiligingsklasse met theatrale verlichting en een getimede deur. Smithsonian Magazine heeft de mythologie uitgebreid besproken en stelde vast dat de geheimzinnigheid eromheen net zozeer een marketingstrategie als een beveiligingsstrategie is — de kluis zelf maakt deel uit van het merk. Wat de diefstal van Coca-Cola-handelsgeheimen in 2006 echter aantoonde, is dat geen enkele kluis beschermt tegen de persoon die niet hoeft in te breken.

Dit is de kernparadox van het handelssecretenrecht: Bedrijven investeren enorme middelen in externe beveiliging — versleutelde servers, geheimhoudingsovereenkomsten, toegangscontroles, juridische kaders. Vervolgens stellen ze menselijke werknemers aan die elke dag door al die lagen bewegen. De insiderbedreiging is geen nieuw concept in bedrijfsbeveiliging, maar het blijft statistisch gezien de meest significante. Volgens onderzoek gepubliceerd door het Ponemon Institute zijn insiderbedreigingen verantwoordelijk voor een onevenredig groot aandeel van de kosten van datalekken in verhouding tot hun frequentie — en gevallen waarbij sprake is van opzettelijke diefstal, in tegenstelling tot nalatigheid, kennen de hoogste kosten per incident.

De Coca-Cola-handelssecretendiefstal heeft de formule zelf niet in gevaar gebracht. De kluis hield stand. Wat het in gevaar bracht, was iets wat op korte termijn commercieel aantoonbaar gevoeliger was: een nog niet uitgebracht product dat de markt nog niet had bereikt, waarbij het concurrentievoordeel volledig gebonden is aan timing en exclusiviteit. In de drankenindustrie is het enorm belangrijk wie er als eerste is. Het monster dat Williams meenam, vertegenwoordigde maanden of jaren aan ontwikkelingswerk — verloren, als de uitwisseling had geslaagd.

De Coca-Cola-handelssecretenzaak en het probleem van insiderbedreigingen

Insiderdiefstal van bedrijfsgeheimen heeft een lange, weinig glamoureuze geschiedenis — en heeft de neiging te pieken in perioden van bedrijfsherstructurering, wanneer werknemers zich economisch kwetsbaar of professioneel genegeerd voelen. De zaak-Williams kwam niet uit het niets.

Waarom stelen insiders? Onderzoekers van de CERT-divisie van Carnegie Mellon University, die insiderbedreigingsincidenten bijhoudt sinds het begin van de jaren 2000, hebben vastgesteld dat de meerderheid van kwaadwillende insiders geen geavanceerde actoren met uitgewerkte plannen zijn. Het zijn mensen die al toegang hebben, die een kans zien en die de detecteerbaarheid van hun acties of de ernst van de juridische gevolgen onderschatten. Williams past precies in dat profiel. Ze leidde geen spionagenetwerk. Ze nam een beslissing waarvan ze vrijwel zeker geloofde dat die nooit naar haar terug te traceren was — niet in de laatste plaats omdat ze waarschijnlijk aannam dat Pepsi gewoon ja zou zeggen.

Die aanname onthult iets interessants over hoe bedrijfsspionage wordt gemythologiseerd versus hoe het in werkelijkheid werkt. De realiteit: het ontvangen van gestolen handelsgeheimen heeft zijn eigen juridische risico’s. Grote bedrijven met juridische afdelingen en reputatiebelangen hebben sterke prikkels om te melden, niet om te profiteren. De verhalen van iemand die concurrentiegeheimen steelt en ze succesvol verkoopt, zijn zeldzamer dan de populaire verbeelding suggereert. Wat veel vaker gebeurt, is precies wat hier is gebeurd — een slechte gok, een federale val, een rechtszaal. Het soort gewaagde misrekening waarbij zelfvertrouwen het oordeel overtreft op manieren die pas achteraf voor de hand liggen.

En daarna evolueerde de wet. De Economic Espionage Act is meerdere malen gewijzigd en versterkt sinds Williams’ veroordeling, het meest significant via de Defend Trade Secrets Act van 2016, die een federale civiele rechtszaak creëerde voor de onrechtmatige toe-eigening van handelsgeheimen. Bedrijven hoeven niet langer uitsluitend te vertrouwen op strafrechtelijke vervolging — ze kunnen nu ook rechtstreeks naar de federale rechtbank stappen. Als je ziet hoe een bedrijf een veroordeling als deze behaalt, begrijp je dat de volgende generatie potentiële dieven nog scherpere gevolgen zou ondervinden. De zaak-Williams was het oude speelboek. Wat erop volgde, was aanzienlijk meedogenlozer.

Hoe het zich ontvouwde

• 1925 — Coca-Cola’s originele formule wordt opgeborgen in een bankkluis in Atlanta, een beveiligingsritueel dat net zo beroemd zou worden als de drank zelf.
• 1996 — De Economic Espionage Act wordt ondertekend door president Clinton, waarmee voor het eerst in de Amerikaanse geschiedenis federale strafrechtelijke sancties worden ingesteld voor de diefstal van handelsgeheimen.
• 2006 — Joya Williams verwijdert vertrouwelijke documenten en een productmonster van het hoofdkantoor van Coca-Cola en neemt contact op met PepsiCo; Pepsi stelt Coca-Cola en de FBI onmiddellijk op de hoogte.
• 2007 — Williams wordt veroordeeld wegens samenzwering tot diefstal van handelsgeheimen en veroordeeld tot acht jaar federale gevangenis, een van de meest significante insiderbedreiging-vervolgingen onder de Economic Espionage Act tot dan toe.
• 2016 — De Defend Trade Secrets Act breidt het juridisch instrumentarium voor bedrijven uit door een federale civiele remedie toe te voegen naast het bestaande strafrechtelijke kader dat door Williams’ zaak was gevestigd.

Cijfers en feiten

• 8 jaar — federale gevangenisstraf opgelegd aan Joya Williams na haar veroordeling in 2007 onder de Economic Espionage Act van 1996.
• $1,7 miljard — geschatte jaarlijkse kosten van handelsgeheimendiefstal voor Amerikaanse bedrijven, volgens een studie uit 2017 van de Commission on the Theft of American Intellectual Property.
• 1925 — het jaar dat Coca-Cola’s originele formule in een bankkluis in Atlanta werd opgeborgen, waar het 86 jaar zou blijven voordat het in 2011 werd verplaatst.
• 60% — aandeel van insiderbedreigingsincidenten waarbij het gaat om werknemers die op het moment van de inbreuk al legitieme toegang hadden tot de gestolen informatie, volgens CERT-onderzoek van Carnegie Mellon University.
• 2016 — het jaar dat de Defend Trade Secrets Act werd aangenomen, waarmee voor het eerst civiele rechtsmiddelen voor bedrijven werden uitgebreid en de juridische druk op potentiële insiderdieven aanzienlijk werd vergroot.

Veldnotities

• De glazen injectieflacon die in een FedEx-pakket werd verstuurd, werd een van de meest geciteerde stukken fysiek bewijsmateriaal in een Amerikaans handelssecretenproces — ongewoon in een vakgebied waar gestolen geheimen doorgaans digitaal zijn en moeilijker fysiek te achterhalen. De tastbaarheid ervan hielp de veroordeling helderder en gedenkwaardiger te maken dan gevallen met uitsluitend digitale diefstal.
• PepsiCo’s beslissing om Coca-Cola en de FBI onmiddellijk op de hoogte te stellen — in plaats van te talmen of te onderhandelen — wordt vaak over het hoofd gezien, maar is juridisch gezien significant: onder de Economic Espionage Act is het wetens ontvangen van gestolen handelsgeheimen zelf een federaal misdrijf, wat betekent dat Pepsi krachtige eigenbelangen had om te melden, niet alleen ethische redenen.
• Coca-Cola heeft naar verluidt nooit bevestigd welk specifiek product de injectieflacon bevatte — het bedrijf hield dat detail gedurende het hele proces verzegeld om de commerciële gevoeligheid van de ontwikkelingspijplijn te beschermen, ook al was de diefstal zelf openbaar geworden.
• Onderzoekers en rechtswetenschappers debatteren nog steeds of afschrikking op basis van strafoplegging onder de Economic Espionage Act de insiderdiefstal wezenlijk vermindert, of dat het profiel van de typische dader — iemand die niet gelooft dat hij gepakt wordt — de dreiging van gevangenisstraf minder effectief maakt dan interne toegangscontroles en monitoring.

Veelgestelde vragen

V: Wat werd er precies gestolen bij de Coca-Cola-handelssecretendiefstal van 2006?

Joya Williams stal vertrouwelijke documenten over een nieuw Coca-Cola-product dat nog in ontwikkeling was, samen met een fysiek monster van dat product in een afgesloten glazen injectieflacon. De injectieflacon werd later in een FedEx-pakket verstuurd als onderdeel van de poging tot verkoop aan PepsiCo. Coca-Cola heeft nooit publiekelijk bevestigd wat het specifieke product was en hield dat detail buiten het procesrecord om de lopende ontwikkelingspijplijn te beschermen. De Economic Espionage Act verplicht het slachtofferbedrijf niet om de volledige inhoud van gestolen materialen in een openbare zitting te onthullen.

V: Waarom meldde Pepsi de diefstal in plaats van de gestolen geheimen te accepteren?

Omdat het accepteren van gestolen handelsgeheimen een federaal misdrijf is onder de Economic Espionage Act van 1996. Het juridische team van PepsiCo zou onmiddellijk hebben begrepen dat het wetens ontvangen van gestolen eigendomsinformatie een strafrechtelijk en civielrechtelijk risico oplevert dat bij lange na niet opweegt tegen enige inlichtingenwaarde. Grote bedrijven met actieve juridische afdelingen nemen deze beslissingen niet uitsluitend op ethische gronden — ze nemen ze op basis van aansprakelijkheid. Pepsi nam snel contact op met Coca-Cola en de FBI, wat in lijn is met hoe de meeste Fortune 500-bedrijven zouden reageren op een ongewenst aanbod van gestolen materialen van een concurrent.

V: Betekent dit dat Coca-Cola’s beroemde formule gecompromitteerd was bij de diefstal?

Nee — de originele Coca-Cola-formule was niet betrokken bij de diefstal van 2006. Williams nam materialen mee die betrekking hadden op een nog niet uitgebracht product in ontwikkeling, niet het klassieke recept. De originele formule wordt sinds 1925 bewaard onder gecontroleerde omstandigheden en is toegankelijk voor een buitengewoon klein aantal mensen. De Coca-Cola-handelssecretendiefstal was ernstig en op zichzelf commercieel schadelijk, maar was categorisch anders dan de hypothetische diefstal van de originele formule, die een van de best beschermde stukken intellectueel eigendom ter wereld blijft.

Handelssecretenzaken belanden zelden in het culturele bewustzijn zoals deze dat deed — deels vanwege de Coca-Cola-mystiek, deels vanwege de FedEx-injectieflacon, maar vooral omdat de dader geen schimmige buitenlandse agent was, maar een vrouw met een toegangspas en een berekening die niet werkte. Elk bedrijf dat zijn meest waardevolle kennis in een gebouw opslaat, herbergt ook zijn meest significante kwetsbaarheid: de mensen die het moest vertrouwen om te kunnen functioneren. De formule zit in de kluis. Al het andere is een gok op menselijk oordeel — en soms verlies je die gok.

Illustraties zijn gegenereerd met AI. Artikel feitelijk gecontroleerd en door mensen bewerkt.