Doce de cada cien empleados peruanos harían clic en un enlace sospechoso por 30.000 dólares

A veces uno se imagina que el escritorio de una pyme en El Calafate o de una oficina en Microcentro funciona igual que un manual: claves rotadas, doble factor activado, cero clics en enlaces raros. La realidad, según un estudio reciente de Kaspersky, es bastante más desordenada. En Perú, el 12% de los empleados reconoció que aceptaría abrir un enlace sospechoso si la recompensa fuera de 30.000 dólares.

El número parece chico en el papel, pero duele cuando se lo lleva a una empresa mediana. Si la compañía tiene, por ejemplo, doscientos colaboradores, eso significa que más de veinte personas están dispuestas a jugarse la red corporativa por un ingreso extra. Y eso sin contar a los dubitativos: otro 11% dijo que lo pensaría dos veces, pero terminaría haciéndolo.

Qué pasa cuando alguien hace ese clic

Un enlace malicioso no es un jueguito: puede llevar a una página trucha que captura contraseñas, instala un programa espía o se mete con archivos compartidos. Cuando la cuenta comprometida tiene acceso a sistemas de gestión o correos internos, el daño viaja lejos del equipo original.

Kaspersky detectó un dato que funciona como señal de alarma: apenas el 26% de los consultados afirmó que consultaría con el área de Tecnología de la Información antes de abrir el enlace. Es decir, tres de cada cuatro ni siquiera pensaron en levantar el teléfono.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Qué se puede hacer desde la empresa

• Simulaciones de phishing periódicas, para medir cómo reacciona cada equipo ante amenazas de mentira.
• Aplicación del principio de mínimo privilegio: cada cuenta accede solo a lo que necesita para su tarea.
• Canales claros y seguros para que el empleado reporte un enlace raro sin miedo a quedar como el que ‘se equivocó’.
• Capacitación continua, no una charla anual que se olvida a la semana siguiente.
• Herramientas que filtren el contenido malicioso antes de que llegue a la casilla del trabajador.

La lectura de fondo es incómoda: las empresas gastan fortunas en firewalls y antivirus, y a veces se olvidan de la pieza más barata y más importante del sistema, que es la persona sentada frente al monitor. Capacitar, abrir canales y limitar permisos no cuesta tanto como un incidente de seguridad, y suele evitarlo. La pregunta es cuándo se va a entender que la cadena se rompe por el eslabón que nadie entrena.