Por 30 mil dólares, uno de cada ocho empleados peruanos picaría un enlace malicioso: lo que dice el último estudio de Kaspersky

¿Cuánto vale la prudencia de un empleado cuando aparece la plata en la pantalla? En Perú, según un relevamiento reciente de la firma Kaspersky, uno de cada ocho trabajadores haría clic en un enlace sospechoso si la recompensa fuera de 30 mil dólares. Es decir, alrededor del 12 por ciento de las personas que operaron la encuesta reconoció que la cifra les alcanzaría para aflojar las normas de seguridad de su propia empresa.

El menú del riesgo: incentivos, dudas y reflejos

Lo más jugoso del informe aparece cuando se desglosa ese 12 por ciento: un 11 por ciento lo pensaría dos veces, dudaría, pero terminaría aceptando el anzuelo, y un 1 por ciento lo haría sin pestañear. Parece poco, pero si lo trasladamos a una empresa mediana, estamos hablando de varios empleados con acceso a cuentas corporativas, archivos compartidos y sistemas de gestión dispuestos a abrir la puerta grande por un incentivo en efectivo. El plato, como decía mi vieja, se cocina así: alguien manda un mail que parece del banco, del área de recursos humanos o de un proveedor conocido, mete un link que lleva a una página clonada o descarga un programa dañino, y a partir de ahí la red queda comprometida. Un solo clic puede terminar en una filtración que sale en los diarios.

La investigación también detectó que el 26 por ciento de los consultados avisaría al área de Tecnología de la Información antes de hacer clic. Es un número que en Kaspersky toman como una buena señal, pero también como una advertencia: si tres de cada cuatro personas ni se acuerdan de que existe ese canal, algo está fallando en la comunicación interna.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Qué cambia, en concreto, para el usuario de a pie

• Capacitación continua: talleres cortos y frecuentes que muestren ejemplos reales de phishing, no solo diapositivas con dibujitos genéricos.
• Simulaciones internas: mails trampa que la propia empresa envía para medir cómo reacciona cada equipo y reforzar el aprendizaje sin exponer la red.
• Principio de mínimo privilegio: que cada cuenta tenga solo los permisos que necesita para su tarea, así un compromiso no se transforma en una hecatombe.
• Canal de reporte cómodo y sin castigo: un botón, un mail o un chat donde avisar una sospecha no termine en un sermón, sino en una respuesta concreta.

El fondo del asunto es que las empresas suelen comprar el mejor antivirus del mercado y olvidan de entrenar a la gente que lo usa todos los días. Una solución técnica no cambia la decisión de alguien que, frente a 30 mil dólares en la pantalla, decide que las reglas son para los demás. La seguridad, como una buena salsa, lleva varios ingredientes y ninguno sobra.