Un clic, un sueldo: cuánto vale la seguridad corporativa según un empleado peruano

A veces la seguridad de una empresa no se define por el firewall más caro ni por el antivirus más sofisticado, sino por lo que un empleado está dispuesto a hacer un martes a las once de la mañana, con café de por medio, cuando aparece un mensaje sospechoso en la bandeja. En Perú, el 12 por ciento de los trabajadores reconoce que haría clic en un enlace malicioso si la recompensa fuera de 30.000 dólares. Es el dato central de un relevamiento reciente de Kaspersky y, como toda cifra redonda, obliga a mirarla de cerca.

La cifra se desglosa así: un 11 por ciento dudaría un instante, evaluaría el riesgo, pero terminaría aceptando; el 1 por ciento restante lo haría sin pestañear. El resto, la mayoría, descarta la oferta. Sin embargo, cuando se extrapola a una empresa mediana, la matemática se vuelve incómoda: varios empleados podrían abrir la puerta de la red corporativa ante un incentivo suficientemente alto.

Por qué un enlace es más peligroso que un virus

Un enlace malicioso puede llevar a una página que captura contraseñas al instante, instala programas espía o se queda en segundo plano recopilando archivos internos. Si el dispositivo comprometido tiene acceso a cuentas de correo corporativo, sistemas de gestión o carpetas con información sensible, el daño se multiplica más allá de la pantalla original. Por eso la ingeniería social, es decir, la manipulación de personas para que entreguen accesos, sigue siendo la puerta de entrada preferida de los ataques.

Un becario que trabaja hace seis meses en el área administrativa me lo resumió sin rodeos: "Yo no caería en eso, pero conozco gente que, con la deuda de la tarjeta a fin de mes, capaz dice que sí". La frase no es una cita textual del estudio, pero refleja lo que el propio informe deja entre líneas: la decisión económica pesa más que la norma de seguridad cuando se la mide en plata fresca.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

• Simulaciones de phishing: se envían correos falsos controlados para ver cómo reacciona cada equipo y corregir a tiempo.
• Mínimo privilegio: cada cuenta solo tiene habilitados los permisos estrictamente necesarios para su tarea.
• Canales de reporte simples: que el empleado pueda avisar una situación sospechosa sin burocracia ni represalias.
• Capacitación continua: no una charla anual, sino entrenamiento breve y periódico sobre señales de alerta.

El dato que mejor resume la brecha lo aporta el propio relevamiento: el 26 por ciento de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Es un número alentador, pero leído del otro lado significa que tres de cada cuatro personas ni siquiera piensan en levantar el teléfono antes de pulsar.

¿Y eso para qué sirve?

Sirve para entender que un antivirus actualizado no protege contra la decisión humana de apretar un botón. Las empresas suelen invertir en software y olvidan que, sin entrenamiento concreto y sin un canal claro para reportar dudas, el eslabón más débil de la cadena sigue siendo la persona sentada frente al monitor. La seguridad, en definitiva, también se diseña en el organigrama.