Treinta mil dólares y un clic: lo que un trabajador peruano está dispuesto a jugarse por esa plata

Son las nueve de la mañana y la oficina todavía huele a café. María Laura, del área de administración, abre la bandeja de entrada y se cruza con un mail extraño: “Recibí una transferencia equivocada, hacé clic acá para devolverla”. Levanta la vista, mira la pantalla, y piensa que, con un aguinaldo que no le alcanza, la tentación de quedarse con esos supuestos treinta mil dólares es real. No es un personaje inventado al azar: es la radiografía que dejó un estudio reciente de Kaspersky entre trabajadores peruanos, y que muestra hasta dónde puede llegar la vulnerabilidad de una empresa cuando el bolsillo aprieta.

Acá en el sur del continente, donde las monedas locales suelen cotizar en otra escala frente al dólar, la cifra asusta. Según el informe, el doce por ciento de los empleados consultados admitió que, si le ofrecieran treinta mil dólares a cambio, haría clic en un enlace sospechoso. Es decir, uno de cada ocho. Para una compañía mediana de, por ejemplo, cien personas, eso significa que más de una decena de trabajadores estaría dispuesta a abrir la puerta de la red corporativa a un atacante, empujada nada menos que por una promesa económica.

Cómo se reparte esa disposición al riesgo

• Un once por ciento dudaría un momento, evaluaría el riesgo, pero finalmente haría clic igual, seducido por la recompensa.
• Un uno por ciento lo haría sin pestañear, directamente, sin consultar a nadie.
• Un veintiséis por ciento, en cambio, reconoció que antes de tocar el enlace se comunicaría con el área de Tecnología de la Información para pedir una segunda opinión.

Ese último número es el único que las empresas pueden mirar, según las definiciones de los expertos, como un signo auspicioso. Tres de cada cuatro personas, sin embargo, ni siquiera pensarían en levantar el teléfono y llamar al sector de sistemas antes de tomar la decisión. Para nosotros, que convivimos con mails truchos, promesas de premios y supuestas herencias de parientes lejanos, el dato es un llamado de atención muy concreto: los canales internos de reporte, muchas veces, no están funcionando como deberían.

Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina, fue tajante cuando le preguntaron por el tema: “No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión”. El investigador entiende que la seguridad informática dejó hace rato de ser un problema exclusivamente técnico: también es un problema de diseño organizacional y, sobre todo, de cultura interna.

El escenario, conviene repetirlo, no es solo teórico ni de manual. Un enlace malicioso puede llevar a una página armada para robar contraseñas, instalar programas dañinos en la computadora o recolectar información confidencial. Si el equipo comprometido tiene acceso a archivos compartidos, cuentas de correo corporativo o sistemas de gestión, el daño se multiplica y se aleja del dispositivo original, hasta convertirse en un incidente de alcance todavía mayor.

Qué medidas destaca el informe para reducir el riesgo

• Simulaciones de phishing: se trata de enviar mails truchos controlados para medir cómo reacciona cada equipo y entrenarlo en el reconocimiento de amenazas reales.
• Aplicación del principio de mínimo privilegio: cada cuenta de usuario debería tener habilitados solo los permisos estrictamente necesarios para su tarea, y nada más.
• Canales seguros y sin represalias para reportar: que cualquier empleado pueda avisar lo que vio sin miedo a quedar como el que “metió la pata”.

La conclusión del estudio apunta a un punto que muchas empresas argentinas y latinoamericanas conocen pero postergan: se invierte en software de protección, pero se descuida la formación práctica de quienes, día a día, operan esos sistemas. Una solución técnica, por más cara y sofisticada que sea, no cambia el comportamiento de un empleado que, ante un incentivo económico, puede decidir jugarse la seguridad de toda la compañía por un clic.

María Laura, después de pensarlo dos veces y, seguramente, de imaginarse qué haría con esa plata, finalmente descarta el mail sospechoso y lo reenvía al área de sistemas. Es lo que muchos esperan que pase cada vez que un mensaje raro cae en la bandeja de entrada. Pero la moraleja del estudio es clara: ese “descartar y reportar” no puede quedar librado a la buena voluntad de cada uno. Tiene que estar entrenado, protocolizado y, sobre todo, respaldado por una cultura empresaria que entienda que la seguridad se construye, sobre todo, desde las decisiones cotidianas de cada trabajador.