Una oferta de 30.000 dólares y un clic: el precio que un empleado peruano aceptaría pagar por ignorar la seguridad

Una de cada ocho personas. Eso es lo que mide un relevamiento de Kaspersky aplicado a trabajadores peruanos: el 12 por ciento admitió que haría clic en un enlace sospechoso si la recompensa fuera de 30.000 dólares, una cifra que la empresa de ciberseguridad puso como referencia para testear los límites de la prudencia en el escritorio corporativo.

El dato se publica en un contexto donde el correo electrónico y las plataformas de mensajería son el canal habitual de los ataques de phishing, esos mensajes que simulan ser de un banco, un proveedor o un jefe para que la víctima entregue claves, descargue un archivo infectado o autorice una operación. El precio, en este caso, es una construcción del estudio: 30.000 dólares equivalen a varios años de sueldo medio en Perú, una cifra que excede cualquier bono de productividad y coloca el incentivo lejos del territorio cotidiano.

Cómo se reparte el riesgo entre los empleados

• El 11 por ciento dudaría, pero terminaría haciendo clic en el enlace.
• El 1 por ciento lo haría sin pensarlo, según el relevamiento.
• El 26 por ciento consultaría al área de Tecnología de la Información antes de actuar.
• La mayoría descartaría la oferta, pero en una compañía mediana ese porcentaje se traduce en varias personas dispuestas a arriesgar la red.

Que una de cada cuatro personas piense en consultar al sector de sistemas es, para Kaspersky, un indicador positivo. Que tres de cada cuatro no lo haga describe el problema: los canales internos de reporte no están funcionando como deberían, y la protección recae en lo que cada individuo decida en el momento.

Qué recomienda Kaspersky y qué queda sin resolver

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

El punto que el informe deja abierto es si la capacitación periódica y los protocolos claros de reporte alcanzan para neutralizar un incentivo económico de esa magnitud. Las simulaciones de phishing, el principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario, y los canales seguros de denuncia existen como herramientas probadas. Lo que todavía no se mide es cuánto vale la decisión de un empleado cuando el anzuelo deja de ser hipotético y aparece, concretamente, en la bandeja de entrada.