Trece mil dólares y un clic: el precio que un empleado peruano está dispuesto a pagar por romper las reglas

¿Cuánto vale tu empresa por un clic? Parece una exageración, pero un estudio de la firma de ciberseguridad Kaspersky se tomó el trabajo de ponerle precio a esa pregunta. Y los números, lejos de tranquilizar, más bien preocupan.

En Perú, uno de cada ocho empleados encuestados reconoció que haría clic en un enlace sospechoso si la recompensa fueran 30.000 dólares. Hablamos, en plata del Valle, de una cifra que a muchos les cambiaría el año. Y sin embargo, no hace falta que el incentivo sea tan alto para que alguien se tiente: la investigación desglosa que el 11% dudaría, pero terminaría aceptando igual, y un 1% directamente no lo piensa dos veces.

¿Qué hay detrás de un enlace malicioso?

No estamos hablando de un jueguito teórico. Esos enlaces, que llegan por mail o por chat y parecen inofensivos, suelen ser la puerta de entrada para robar contraseñas, plantar programas dañinos o vaciar archivos compartidos. Una vez que el equipo queda comprometido, si el empleado tiene acceso a cuentas corporativas o a sistemas de gestión, el problema se expande como mancha de aceite. Lo que empieza en una notebook puede terminar apagando medio servidor.

Y acá viene otro dato que deja pensando: solo el 26% de los encuestados dijo que consultaría con el área de Tecnología de la Información, lo que en la jerga se conoce como IT (Information Technology, el sector que se ocupa de que las computadoras y la red de la oficina funcionen), antes de hacer clic. O sea, siete de cada diez no levantarían el teléfono para preguntar. Los canales de reporte internos existen, claro. Lo que no funciona es la ganas de usarlos.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

¿Qué se puede hacer entonces, además de rezar?

• Simulaciones de phishing: ataques falsos controlados que sirven para ver cómo reacciona cada equipo y corregir a tiempo. Es como un simulacro de incendio, pero con mails truchos.
• Principio de mínimo privilegio: cada cuenta accede solo a lo que necesita para su tarea. El que cobra sueldos no debería tener la llave del datacenter.
• Canales seguros de reporte: que el empleado pueda avisar algo sospechoso sin sentir que está molestando o que lo van a retar.

La conclusión a la que llega el informe es bastante incómoda para muchos gerentes: las empresas suelen gastar fortunas en antivirus, firewalls y herramientas de protección, pero se olvidan de la pieza más barata y, a la vez, la más cara de mantener: la cabeza del empleado. Una solución técnica no cambia el comportamiento de alguien que, frente a un incentivo concreto, decide mirar para otro lado.

Capacitación continua, protocolos claros y herramientas que frenen el contenido malicioso antes de que llegue al usuario. Suena a manual básico, pero la evidencia dice que todavía no se aplica. Mientras tanto, el precio de un clic irresponsable lo termina pagando la empresa entera. Veremos.