Uno de cada ocho empleados peruanos haría clic en un enlace sospechoso por 30.000 dólares y expone la red corporativa

El gobierno corporativo peruano va a querer desmentir la cifra, pero el estudio la sostiene: uno de cada ocho empleados peruanos estaría dispuesto a hacer clic en un enlace sospechoso si la recompensa alcanza los 30.000 dólares. La investigación de Kaspersky, aplicada a trabajadores de ese país, dejó al descubierto una brecha que no se resuelve comprando más software: la disposición real de las personas que operan los sistemas.

¿Cuánto hace falta para que un trabajador ignore las normas de seguridad?

El relevamiento arrojó que el 11% dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace, mientras que el 1% lo haría sin pensarlo. La mayoría descartaría el incentivo, aunque la proporción implica que en una empresa mediana varios colaboradores podrían comprometer la red corporativa ante una oferta económica suficientemente alta. El dato expone que la seguridad depende tanto de protocolos y herramientas como de la decisión humana frente a la pantalla.

El escenario no es teórico. Los enlaces maliciosos pueden dirigir a páginas diseñadas para capturar contraseñas, instalar programas dañinos o recopilar información interna. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas empresariales o sistemas de gestión, el alcance del incidente se extiende mucho más allá del dispositivo original y la contención se vuelve costosa.

¿Sirven los canales internos de reporte cuando tres de cada diez ni los consideran?

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Solo el 26% de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Kaspersky presenta ese dato como un indicador positivo, pero también como una advertencia: si tres de cada cuatro personas no piensan en consultar, los canales de reporte internos no están funcionando como deberían y la cultura de seguridad de la organización queda en evidencia.

• Simulaciones de phishing para medir cómo reacciona cada equipo ante amenazas ficticias y corregir desvíos.
• Aplicación del principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario.
• Habilitación de canales seguros para que los empleados informen situaciones sospechosas sin temor a represalias.
• Capacitación continua con casos reales y no con manuales genéricos que nadie termina leyendo.

¿Invierten las empresas en la herramienta que más falla: la persona?

La conclusión del estudio apunta a un problema de diseño organizacional: las compañías suelen invertir en software de protección y descuidar la formación práctica de quienes operan los sistemas. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo de 30.000 dólares, decide que el riesgo vale la pena. La pregunta que nadie del área de seguridad corporativa se anima a contestar es cuántas plantas de personal quedarían expuestas si la oferta fuera, en lugar de 30.000 dólares, un ascenso, una deuda impaga o un mensaje con el nombre del director general.