El precio de un clic: cuánto dinero mueve a un empleado peruano a romper las reglas de seguridad

En una oficina de Lima, un empleado recibe un correo con un enlace extraño. La política de la empresa dice ignorelo. Pero el mensaje promete una recompensa de 30.000 dólares a cambio de hacer clic. ¿Qué hace? Según un relevamiento reciente de la firma rusa Kaspersky, uno de cada ocho trabajadores peruanos no lo pensaría dos veces: abriría el enlace igual.

El dato es concreto. La compañía aplicó una encuesta entre colaboradores de empresas en Perú y encontró que el 12 por ciento aceptaría interactuar con un enlace malicioso si la recompensa fuera de 30.000 dólares. Del total, el 11 por ciento dudaría antes de hacerlo, pero terminaría haciéndolo. El 1 por ciento restante lo haría sin pensarlo. La cifra, traducida a una compañía mediana, equivale a varios empleados con potencial para exponer la red corporativa ante una oferta económica lo suficientemente alta.

Por qué un enlace es más peligroso que un virus

El clic en un enlace malicioso puede abrir la puerta a páginas que roban contraseñas, instalan programas dañinos o extraen información interna. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas corporativas o sistemas de gestión, el incidente se extiende más allá del dispositivo original. La cadena de empieza con una persona y termina en el servidor de la empresa.

El 26 por ciento de los encuestados dijo que consultaría con el área de Tecnología de la Información, conocida como TI, antes de hacer clic. Kaspersky lo lee como un indicador positivo, pero también como una señal de alarma: si tres de cada cuatro personas no piensan en consultar, los canales de reporte internos no están funcionando como deberían.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Qué se puede hacer (y cuánto sale)

• Capacitación continua con simulacros de phishing, es decir, correos trampa que permiten medir la reacción de cada equipo. Una campaña básica para una pyme arranca en torno a los 500 dólares mensuales por proveedor.
• Aplicación del principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario. Es gratuito: depende de una reconfiguración del área de TI.
• Habilitación de canales seguros para que los empleados informen situaciones sospechosas sin miedo a sanciones. También sin costo extra, aunque exige revisar el protocolo interno.
• Herramientas de filtrado de correo y bloqueo de sitios maliciosos. En el mercado local, soluciones como las de Kaspersky, Microsoft Defender o Cisco arrancan entre 3 y 15 dólares por usuario por mes.

Lo que falta

• Reglas claras y escritas sobre qué hacer frente a un correo sospechoso, accesibles en menos de un minuto.
• Ejercicios prácticos al menos una vez por trimestre, no solo videos anuales de cumplimiento.
• Indicadores medibles: porcentaje de empleados que reportan, tiempo promedio de respuesta del área de TI, cantidad de clics en simulacros.
• Una cultura donde preguntar no sea un problema: si reportar un enlace equivocado cuesta una sanción, nadie va a reportar nada.