Nvidia: su jefe de seguridad salió antes del escándalo

David Reber fue jefe de seguridad (CSO) de Nvidia durante cuatro años, siete en total dentro de la compañía. Salió en agosto. Dos meses y medio después, el CEO Jensen Huang dejó la empresa en medio de un escándalo por sus relaciones extramatrimoniales, incluida una con una ejecutiva de Megaspeed, la firma de data centers de Singapur a la que los investigadores de Estados Unidos sospechan de haber canalizado chips de Nvidia hacia China. La pregunta que plantea TechCrunch es incómoda y aplica a cualquier startup: ¿dónde estaba el equipo de seguridad?

¿Qué pasó con el equipo de seguridad de Nvidia?

Reber anunció su salida por motivos de salud. En un post en LinkedIn a fines de agosto escribió que no era «un giro que había planeado» y que sabía qué debía venir primero: «familia y salud». En el mismo texto reveló que le habían diagnosticado Parkinson de inicio temprano más de dos años antes.

Su reemplazo fue Saša Zdjelar, que antes pasó 17 años en ExxonMobil en Houston —salió como senior IT manager—, un año en Salesforce y varios en la firma de ciberseguridad ReversingLabs. Zdjelar no respondió a las preguntas sobre la transición ni sobre lo que sabía el equipo de seguridad. Reber tampoco. Nvidia tampoco.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

Nada público conecta esos cambios de rol con el caso Megaspeed. Pero es razonable preguntarse qué sabía el área de seguridad sobre el escrutinio del gobierno a Megaspeed y sobre las relaciones de Huang, y si alguien levantó la mano.

Hay un matiz importante: no todas esas relaciones son asunto del equipo de seguridad. Los vínculos con subordinados suelen caer en Recursos Humanos, Legal y el directorio. Una relación con una ejecutiva de una empresa bajo investigación federal es otra cosa. Megaspeed negó cualquier irregularidad.

Parte de la foto sí circulaba dentro de Nvidia. El abogado principal de la compañía ya estaba en contacto con la investigación del gobierno sobre Megaspeed hace más de un año, según The New York Times. (Nvidia dijo que contacta a funcionarios de forma regular.) Y los reportes sobre las relaciones de Huang con empleadas sugieren que colegas lo sabían, aunque la conducta no esté expresamente prohibida por el código de conducta. El Times citó a cinco empleados de Nvidia que dijeron que Huang estuvo involucrado con una vicepresidenta que le reportaba directamente; Reuters, citando a dos personas, reportó después una segunda relación. Lo que no está claro es si algo de eso llegó a seguridad.

El caso Megaspeed: el agujero en los controles de exportación

Para entender por qué el episodio importa más allá de lo personal, hay que mirar a Megaspeed. Según CNN, la empresa se incorporó en 2015 como 7Road International, una rama de una compañía china de videojuegos, y cambió de nombre en marzo de 2023. Alice Huang —también conocida como Huang Le, de 43 años— fue directora hasta noviembre de ese año. Desde entonces, los registros comerciales muestran compras por más de US$4.000 millones en chips y equipos a Nvidia.

Estados Unidos empezó a restringir la venta de semiconductores a China en 2022. El resultado, según CNN, fue una industria en la sombra de transacciones complejas, sociedades fantasma y contrabando de chips. El instituto de investigación Epoch AI estima que entre 290.000 y 1,6 millones de semiconductores avanzados estadounidenses llegaron a China en violación de los controles durante el último año. Un informe de mayo del fondo bajista Culper Research sostuvo que los usuarios finales chinos todavía explican cerca del 20% de las ventas de chips de Nvidia, vía desvío ilegal e intermediarios en el sudeste asiático.

Alex Capri, profesor de la National University of Singapore, lo resumió con una analogía: si a alguien le prohíben importar un Ferrari, siempre puede ir a una agencia y alquilarlo. «Es la agencia la que tienes que controlar», dijo a CNN.

Megaspeed sostiene que cumple. Su CEO, Tan Yong Pong, dijo que la compañía cooperó con las inspecciones del Departamento de Comercio de EE. UU. y contrató un estudio jurídico estadounidense para verificar de forma independiente su cumplimiento de los controles de exportación. La investigación de la Oficina de Industria y Seguridad (BIS) arrancó en 2024 y luego pasó al Departamento de Justicia, según The Associated Press. El Ministerio del Interior de Singapur dijo que no había evidencia suficiente de delitos, pero vetó el reingreso de Alice Huang al país por dar información inexacta para minimizar su rol.

El caso también abrió una pelea dentro del gabinete de Trump: el secretario del Tesoro, Scott Bessent, dijo en CNBC que su cartera, junto con Estado, Defensa y la oficina del Representante Comercial, llevaban meses a favor de incluir a Megaspeed en una lista de control de exportaciones, y que el Departamento de Comercio tenía la lapicera.

¿Por qué el riesgo interno es el punto ciego de las startups?

Nicholas Eftimiades, oficial de inteligencia retirado que dice haber entrenado a más de 1.000 profesionales de seguridad corporativa, apunta a algo que casi ningún equipo mide: los servicios de inteligencia recolectan información sobre todo en conversaciones cotidianas, no hackeando. Eso hace muy difícil que un equipo de seguridad detecte el riesgo a tiempo.

Y aunque lo detecte, los recursos son limitados. Las áreas de seguridad suelen estar subfinanciadas porque, a diferencia de otras, no generan ingresos. Eftimiades dice que es asombrosamente común que un CEO responda a las advertencias de su equipo con un «ni un centavo más que lo que exige el compliance».

El problema también es de definición. En una columna en The Hill, Don Aviv, CEO de la firma de investigaciones corporativas Interfor International, y el autor Jeremy Hurewitz escribieron que demasiadas empresas siguen entendiendo la seguridad como proteger instalaciones, prevenir ciberataques y responder a amenazas físicas. Los dos argumentaron que los equipos deben prestar más atención a las amenazas internas: la captación de ejecutivos por parte de servicios de inteligencia extranjeros, relaciones comerciales sospechosas, conflictos de interés y los intentos de obtener información sensible a través de contactos personales de confianza.

Eftimiades dio un ejemplo hipotético, sin referirse a Huang: un CEO se queja de que no puede avanzar con algo porque «estoy peleando con un directorio que no quiere hacerlo». Eso le dice al activo quién es el obstáculo. Después el servicio pregunta «¿quién está trabando esto?» y busca cómo entrar al mail y al teléfono de esa persona. Lo que una inteligencia rival quiere suele ser menos tecnología que información sobre políticas: quién empuja para cambiar las reglas de exportación y quién es el mayor bloqueador.

La tecnología amplifica ese trabajo humano. Los IMSI catchers, por ejemplo, imitan una torre de celular para que los teléfonos cercanos se conecten a ellos; una versión básica cuesta alrededor de US$1.000 y entra en una valija, según Eftimiades, aunque los modelos de grado gubernamental cuestan mucho más. Nadie sabe si se usaron contra Huang.

¿Qué significa esto para tu startup?

No necesitas ser Nvidia —la compañía de US$4 billones que describe CNN— para tener exposición. Basta con vender tecnología sensible, tener ejecutivos con acceso a decisiones regulatorias o depender de una contraparte que opera en una jurisdicción gris.

Amplía la definición de seguridad. Si tu política solo cubre phishing y accesos, te falta el capítulo de amenazas internas: conflictos de interés, relaciones con contrapartes bajo investigación y accesos privilegiados. La columna de Aviv y Hurewitz en The Hill es un buen punto de partida para armar ese marco.
Mapea quién es el bloqueador. Identifica quién en tu equipo puede frenar o habilitar una decisión sensible —un cambio de proveedor, una venta a un mercado restringido— y trátalo como activo crítico, no solo como empleado.
Haz due diligence de contrapartes, no solo de clientes. Si vendes hardware o infraestructura, revisa el destino final. El caso Megaspeed muestra que el eslabón débil suele estar en el intermediario que alquila capacidad, no en el comprador final.
Da un canal de reporte sin costo político. El valor de un equipo de seguridad se mide por lo que logra que se hable a tiempo. Si reportar una sospecha sobre un fundador o un ejecutivo senior es un suicidio profesional, el sistema no funciona.
Presupuesta la higiene del equipo directivo. Endurecer y monitorear los dispositivos de quienes toman decisiones es más barato que una investigación federal.

El costo de no hacerlo no es abstracto. Nvidia perdió más de US$427.000 millones de capitalización de mercado en las dos primeras sesiones de negociación tras la revelación de Huang y el anuncio de la investigación del directorio, según Fox Business. En paralelo, Baird bajó la acción a neutral, Morgan Stanley la sacó de su lista de Top Picks y Bank of America la quitó de su US 1 List.

Conclusión

El caso de Nvidia es, en el fondo, una historia sobre gobernanza. Un equipo de seguridad no puede evitar que un CEO tome malas decisiones personales, pero sí puede construir los procesos para que los riesgos que rodean esas decisiones lleguen a la mesa antes de que los encuentre un fiscal. Eftimiades lo dijo sin vueltas: espera que todo el episodio sea «un llamado de atención» para la industria estadounidense, que a su juicio es mayormente «clueless» sobre las tácticas de China. «Hemos perdido billones en propiedad intelectual», dijo. «Lo que sea que creemos que estamos haciendo, no está funcionando.»

Para un founder, la lección es de escala, no de tamaño: los controles que hoy parecen burocracia son los que te dejan dormir cuando tu empresa se vuelve lo bastante interesante como para que alguien quiera influir en ella.