Doce de cada cien peruanos harían clic en un enlace sospechoso por 30.000 dólares: la otra grieta de la seguridad corporativa

A ver, pongámonos de acuerdo: si un mail te llega con un link sospechoso, lo correcto es borrarlo y seguir con tu día. Eso lo sabe cualquiera que haya sobrevivido a un curso de inducción corporativo. Pero un informe reciente de Kaspersky decidió hacer la pregunta incómoda: ¿cuánta plata falta para que ese principio básico se vaya al tacho?

La respuesta duele. Aplicado a trabajadores peruanos, el estudio arrojó que el 12% de los empleados haría clic en un enlace malicioso si la recompensa fuera de 30.000 dólares. Para ponerlo en criollo: uno de cada ocho compañeros de oficina está dispuesto a canjear la seguridad de toda la red corporativa por lo que en Argentina equivale a un auto usado y en Perú, a una entrada para la tranquilidad de varios meses.

Los números detrás del clic

• El 11% dudaría, miraría el sobre con el logo de la empresa, pensaría en las consecuencias y, finalmente, igual haría clic.
• El 1% ni siquiera se tomaría el trabajo de pensarlo: clic y a otra cosa.
• El 26% tendría la lucidez de consultar al área de Tecnología de la Información antes de tocar nada.
• El 74% restante, directamente, se manda sin preguntar.

Es decir: tres de cada cuatro personas con acceso a archivos compartidos, cuentas de correo corporativo y sistemas de gestión no tienen internalizado el botón de pánico. Y acá viene lo gracioso, o lo trágico, según el cristal con que se mire. Las empresas gastan fortunas en firewalls, antivirus y soluciones EDR, siglas en inglés que suenan a elegante pero en casa serían algo así como una alarma conectada al celular: Endpoint Detection and Response, o detección y respuesta en los puntos finales, básicamente chismoso que vigila cada PC y servidor. Sin embargo, todo ese escudo tecnológico se cae como castillo de naipes cuando un empleado teclea entrar a una página trucha a cambio de unos billetazos.

El investigador de Kaspersky para América Latina, Leandro Cuozzo, lo dijo sin rodeos: no alcanza con esperar que la gente reconozca un phishing de manual. Cuando existe un incentivo jugoso, la racionalidad se jubila anticipadamente.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

Ahora bien, no todo es para tirar la compu por la ventana. El propio informe rescata tres herramientas que, combinadas, achican el margen de error humano. La primera son simulaciones de phishing, que no son otra cosa que emails truchos de prueba enviados a propósito para ver quién pica y quién no. La segunda, el principio de mínimo privilegio, una frase técnica que en la práctica significa que cada cuenta de usuario solo pueda abrir lo justo y necesario para su tarea, ni un archivo más. La tercera, habilitar canales seguros y sin represalias para que cualquiera pueda levantar la mano cuando algo le olía mal, sin terminar en el ojo de la tormenta por haber avisado.

Me confieso pecador: más de una vez hice clic en un adjunto que no debía, y la única diferencia es que trabajaba solo, en una notebook sin acceso a nada importante. Si hubiera tenido la llave de un servidor corporativo en la mano, hoy estaría contando monedas en otra empresa.

La moralea, parafraseando al manual: la seguridad corporativa no se compra en un PDF ni se instala con un parche. Se construye con capacitación seria, protocolos que la gente recuerde de memoria y herramientas que filtren lo sospechoso antes de que llegue a la bandeja. Y, sobre todo, con empleados que entiendan que ningún mail con promesse vale el riesgo de perderlo todo. Activá la verificación en dos pasos, no reenvíes claves por chat y, ante la duda, llamá a Sistemas. Ahora.