Perú: uno de cada ocho trabajadores mordisquearía un anzuelo digital por 30.000 dólares

Una investigación de Kaspersky volvió a poner el ojo sobre un punto sensible: la seguridad informática de una empresa no depende solo de firewalls y antivirus, sino de lo que pasa por la cabeza de cada empleado cuando aparece una oferta tentadora. En Perú, el 12% de los trabajadores reconoció que haría clic en un enlace malicioso si la recompensa fuera de 30.000 dólares. Para dimensionarlo en criollo: en una pyme de cuarenta personas, casi cinco están dispuestas a jugarse la red corporativa por un pago único.

El número se desglosa así: el 11% dudaría unos segundos antes de aceptar, como quien mira el semáforo en rojo y cruza igual; el 1% restante lo haría sin pestañar. La mayoría descarta el incentivo, pero el dato deja al descubierto una vulnerabilidad concreta: mientras un porcentaje alto del personal sigue las normas, hay una minoría que puede arrastrar al resto al precipicio con un solo clic.

Qué se pierde con un clic mal puesto

Los enlaces sospechosos no son un juego. Pueden llevar a páginas que capturan contraseñas, instalan programas espía o filtran información sensible. Cuando la víctima tiene acceso a archivos compartidos, cuentas de correo corporativo o sistemas de gestión, el problema se multiplica: ya no se compromete una computadora, se compromete la empresa entera. Martín, un becario de sistemas al que le consulté el punto, me lo resumió con una frase: 'es como dejar la llave de la oficina pegada en la puerta; el ladrón solo necesita pasar'.

Apenas el 26% de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. El resto, casi tres de cada cuatro, ni lo piensa. Para Kaspersky el número es una señal de alerta: si los canales de reporte no se usan, es porque no están funcionando como deberían, y ahí la falla es de diseño.

Lo que recomienda el informe

• Simulaciones de phishing: correos trampa enviados a propósito para ver quién cae y entrenar a quien picó.
• Principio de mínimo privilegio: cada cuenta tiene acceso solo a lo que necesita para su tarea, nada más.
• Canales seguros de reporte: que el empleado pueda avisar 'me llegó algo raro' sin pasar un papelón.
• Capacitación continua y concreta, no PowerPoint de una hora cada dos años.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

La conclusión del trabajo apunta a un problema de diseño organizacional: las empresas invierten en software de protección, pero suelen dejar la formación práctica de su gente en segundo plano. Y una solución técnica no cambia el comportamiento de quien, ante un incentivo, decide cruzar el semáforo en rojo. ¿Y eso para qué sirve? Para entender que la próxima filtración no va a empezar en un servidor, sino en una casilla de mail, y que la defensa más barata sigue siendo un equipo que sabe decir 'esto me huele raro' antes de tocar.