En Perú, uno de cada ocho empleados haría clic en un enlace sospechoso a cambio de 30.000 dólares

El número es de esos que incomodan, y mucho. Una investigación reciente de Kaspersky arrojó que en Perú uno de cada ocho empleados estaría dispuesto a hacer clic en un enlace sospechoso, de esos que llegan sin aviso en un mail o un mensaje, si la recompensa prometida fuera de 30.000 dólares. Hablamos de un 12 por ciento del personal, nada menos. Y eso, créanme, no es un dato menor cuando uno piensa en la cantidad de información sensible que circula adentro de una compañía.

No todos dudarían lo mismo

Ahora bien, la cosa no termina ahí, porque la cifra se descompone en dos. Un 11 por ciento admite que dudaría, que lo pensaría un ratito, pero igual terminaría interactuando con el bendito enlace. Y un 1 por ciento lo haría directamente, sin pestañear. O sea, casi todos los que caerían lo harían con algún grado de conciencia de que están haciendo algo que no deberían. Eso es lo verdaderamente preocupante, porque estamos hablando de gente que sabe, pero igual avanza.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Consulté con Martín, un pistero amigo que se la pasa lidiando con sistemas y con gente, y me dijo algo que me quedó dando vueltas: "mirá, si te ofrecen lo que nunca te dieron en tu casa, muchos pasan por arriba cualquier protocolo". Y la verdad, tiene todo el sentido. Cuando la diferencia entre el sueldo y el premio es abismal, la tentación se vuelve difícil de manejar, incluso para los más experimentados.

Qué se puede hacer desde la empresa

• Simulaciones de phishing para medir cómo reacciona cada equipo ante amenazas falsas y entrenar reflejos.
• Aplicación del principio de mínimo privilegio: cada cuenta accede solo a lo que necesita, ni un centímetro más.
• Canales internos seguros y sin represalias para que cualquiera pueda reportar un mail raro sin miedo.
• Capacitación continua, no esa charla anual de cumplimiento que todos olvidan al otro día.
• Herramientas que bloqueen el contenido malicioso antes de que llegue al usuario final.

El estudio también rescata un dato que, leído con buena fe, trae algo de alivio: un 26 por ciento de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Es un número interesante, sí, pero también hay que mirarlo del otro lado: tres de cada cuatro personas directamente ni lo pensarían. Eso significa que los canales de reporte internos no están funcionando como deberían, y que algo se está perdiendo en el camino entre el protocolo y el empleado.

Moraleja, para el que esté pensando en armar un área de sistemas o revisar la suya: la seguridad corporativa no depende solo del antivirus que pagues ni del firewall que compres. Depende de cuán preparada esté la gente que tiene la sesión abierta en su computadora un martes a las once de la mañana, con un café en la mano y un mail tentador en la bandeja. Invertir en software sin invertir en formación es, como se dice habitualmente, pan para hoy y hambre para mañana.