Treinta mil dólares y un clic: el precio que algunos empleados están dispuestos a pagar por romper las reglas

¿Cuánto hace falta para que alguien en la oficina haga clic donde no debe? La respuesta, según una investigación reciente de Kaspersky aplicada a trabajadores peruanos, es una cifra concreta: 30.000 dólares. El 12 por ciento de los encuestados admitió que caería en la trampa si la recompensa llegara a ese monto. Es decir, uno de cada ocho.

El estudio desglosa ese 12 por ciento en dos grupos bien distintos. El 11 por ciento dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace igual. El 1 por ciento restante lo haría sin pensarlo dos veces. La mayoría descarta el incentivo, claro, pero la matemática es simple: en una empresa mediana, varios empleados podrían abrir la puerta de la red corporativa ante una oferta económica suficientemente jugosa.

Qué se cocina detrás de un enlace sospechoso

Piénsenlo como una puerta trasera. Un enlace malicioso puede llevar a una página copiada igual que la original, diseñada para capturar la contraseña de quien la escribe. También puede instalar en segundo plano un programa que espíe lo que se hace en la máquina. Y si esa máquina tiene acceso a archivos compartidos, cuentas de mail corporativas o sistemas de gestión, el problema se extiende mucho más allá de la pantalla original.

El relevamiento trae, sin embargo, un dato que funciona como contrapeso: el 26 por ciento de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Es una buena señal, pero también una advertencia: si tres de cada cuatro personas no piensan en consultar, los canales de reporte internos no están funcionando como deberían.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

• Simulaciones de phishing: mails trampa enviados a propósito para ver quién cae y entrenar al resto en detectar señales.
• Principio de mínimo privilegio: cada cuenta de usuario tiene permiso solo para lo que necesita, nada más. Si se compromete una, el daño queda acotado.
• Canales seguros de reporte: vías claras para que el empleado avise algo raro sin sentir que se va a meter en problemas.

La conclusión del estudio apunta a un problema de diseño, no de software. Las empresas suelen invertir fuerte en antivirus, firewalls y filtros de correo, pero descuidan la formación práctica de quienes están del otro lado del teclado. Y una solución técnica no cambia el comportamiento de alguien que, frente a 30.000 dólares en la pantalla, decide que las reglas son flexibles. Para el usuario común, la moraleja es directa: si te llega un enlace raro, no lo abras. Y si la oferta parece demasiado buena, casi seguro es una estafa.