Doce de cada cien trabajadores peruanos harían clic en un enlace malicioso por 30.000 dólares: la cifra que incomoda a las áreas de sistemas

Imaginate que en una oficina con cien empleados hay, según un estudio reciente de Kaspersky aplicado al Perú, doce personas que aceptarían hacer clic en un enlace sospechoso si la recompensa fuera de 30.000 dólares. La cifra, que parece sacada de una película, es real: corresponde a una encuesta que midió hasta dónde llega la fidelidad de los trabajadores a las normas de seguridad informática cuando aparece un incentivo económico de por medio.

El número se desglosa así: el 11% lo pensaría dos veces, pero finalmente haría clic igual; el 1% restante no lo dudaría ni un segundo. Es decir, no estamos hablando de un caso aislado ni de un empleado desprevenido que se equivocó una tarde: estamos hablando de un patrón de comportamiento que, trasladado a una empresa mediana, puede significar varios equipos expuestos al mismo tiempo frente a una oferta bien armada.

Qué pasa cuando alguien hace clic

Un enlace malicioso es, en criollo, una puerta con trampa. En lugar de llevar a una página legítima, lleva a un sitio preparado para robar contraseñas, instalar programas espía o copiar archivos del equipo. Si esa computadora tiene acceso a sistemas de gestión, correos corporativos o carpetas compartidas, el daño puede propagarse como cuando una gotera pasa del techo al placard y de ahí a toda la habitación.

El relevamiento también relevó qué hacen los trabajadores ante la duda: el 26% dijo que consultaría con el área de Tecnología de la Información antes de avanzar. Kaspersky lo celebra como una señal positiva, pero la contracara es preocupante: tres de cada cuatro personas ni siquiera consideran la posibilidad de preguntar.

Cómo funciona la trampa

Para entender la mecánica hay que pensar en un anzuelo. El atacante manda un correo o un mensaje que parece venir de un banco, un proveedor o el propio jefe, con un link que promete algo: un premio, un documento urgente, una oferta de trabajo. Si la víctima hace clic, la página falsa registra lo que escribe o descarga un software que queda operando en segundo plano, como un espía silencioso. A partir de ahí, el atacante puede moverse por la red usando la cuenta robada como si fuera un empleado más.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

• Simulaciones de phishing: se mandan correos trampa de forma controlada para ver quién cae y entrenar al resto con ejemplos reales del propio ámbito laboral.
• Principio de mínimo privilegio: cada cuenta tiene solo los permisos que necesita para su función, igual que las llaves de una casa, donde no todos los habitantes abren todos los ambientes.
• Canales seguros de reporte: vías claras y sin castigo para que el empleado que duda pueda avisar sin quedar como el que jorobó la jornada.

Qué falta para que esta realidad cambie

El estudio de Kaspersky apunta a un problema de diseño que las empresas suelen pasar por alto: se gasta en firewalls, antivirus y sistemas de detección, pero se invierte poco en formar de manera práctica a quienes usan esas herramientas todos los días. Una solución técnica no corrige el comportamiento de alguien que, frente a 30.000 dólares, evalúa más el bolsillo que el protocolo. Lo que falta, en buena parte de las organizaciones, es una capacitación sostenida en el tiempo, simulacros periódicos y un canal donde reportar dudas no sea vivido como un trámite sino como algo tan natural como pedir una contraseña nueva.