Una oferta de 30.000 dólares basta para que uno de cada ocho empleados pique en un enlace sospechoso

Una investigación reciente de Kaspersky puso a prueba algo que las áreas de sistemas sospechan pero pocas veces pueden medir con números: cuánto dinero hace falta para que un empleado ignore las normas básicas de seguridad informática. La conclusión es incómoda. En Perú, alrededor del 12 por ciento de los trabajadores consultados admitió que haría clic en un enlace malicioso si la recompensa fuera de 30.000 dólares. La cifra expone una brecha concreta: la protección de una red corporativa depende tanto de protocolos y herramientas como de la disposición real de las personas que operan los sistemas día a día.

Qué midió el estudio

La encuesta separó las respuestas en dos grupos. El 11 por ciento dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace, mientras que el 1 por ciento lo haría sin pensarlo. La mayoría descartó el incentivo, pero el porcentaje implica que en una empresa mediana varios empleados podrían exponer la infraestructura ante una oferta económica suficientemente alta. El dato no es marginal: en una compañía de cien personas, más de diez estarían dispuestas a arriesgar la red por un pago único.

El escenario no es solo teórico. Los enlaces maliciosos pueden dirigir a páginas diseñadas para capturar contraseñas, instalar programas dañinos o recopilar información interna. Piense en la diferencia entre la cerradura de una casa y la decisión de abrirle la puerta a un desconocido: la mejor cerradura del mundo no sirve si alguien gira la llave desde adentro. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas empresariales o sistemas de gestión, el alcance del incidente puede extenderse mucho más allá del dispositivo original y comprometer áreas que nunca fueron blanco del ataque.

Por qué importa el canal de reporte

El 26 por ciento de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Kaspersky presenta ese dato como un indicador positivo, pero también como una advertencia: si tres de cada cuatro personas no piensan en consultar, los canales internos no están funcionando como deberían. La reacción natural frente a un mensaje extraño suele ser ignorarlo o eliminarlo, no elevarlo. Y cuando el incentivo económico aparece en escena, esa inercia se vuelve un riesgo directo.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Qué medidas propone el informe

• Simulaciones de phishing, que permiten medir cómo reacciona cada equipo ante amenazas ficticias y corregir errores sin consecuencias reales.
• Aplicación del principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario para su función.
• Habilitación de canales seguros y simples para que los empleados informen situaciones sospechosas sin temor a represalias.
• Capacitación continua, porque una charla anual no alcanza cuando las técnicas de ataque cambian cada mes.

Qué falta para que la protección llegue a todos

La conclusión del estudio apunta a un problema de diseño organizacional. Las empresas suelen invertir en software de protección, pero descuidan la formación práctica de quienes operan los sistemas. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo concreto, decide abrir el enlace igual. Mientras la capacitación siga siendo un trámite y el reporte interno una molestia, la puerta seguirá entreabierta. Cerrarla requiere tratar la seguridad como un hábito cotidiano y no como un manual que se firma una vez al año.