Doce de cada cien: el precio que un empleado peruano le pone a la seguridad de su empresa

Aplastate en la silla de la oficina y mirá la pantalla: te ofrecen 30.000 dólares por apretar un solo botón. Un click. Ni siquiera te piden que hackees nada, ni que filtres un archivo. Solo un click en un enlace sospechoso. ¿Lo harías? En Perú, según un relevamiento de Kaspersky, el 12 por ciento de los empleados responde que sí. Es uno de cada ocho. Y ese número, en una pyme de ochenta personas, son diez computadoras abiertas como puerta de entrada a toda la red corporativa.

El dato parece salido de un ejercicio teórico, pero la mecánica es bien concreta. Los enlaces maliciosos suelen llevar a páginas que imitan al home banking, que piden contraseñas corporativas, o que instalan un programa en segundo plano sin que el usuario lo note. Cuando el empleado comprometido administra archivos compartidos, cuentas de mail o sistemas de gestión, el daño deja de ser personal y se vuelve empresario: se filtran bases de clientes, se caen servidores, se paraliza la operación.

El factor humano, medido en dólares

Lo más interesante del informe es que no se queda en el sí o el no. Desglosa el 12 por ciento en dos grupos: un 11 por ciento duda, se tienta, y termina cediendo; un 1 por ciento hace clic sin pestañar. Los dos exponen lo mismo, pero por razones distintas. El primero negocia consigo mismo; el segundo directamente no ve el problema. En ambos casos, la empresa queda a merced de una oferta económica.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

• Simulaciones de phishing periódicas: se envían mails trampa controlados para ver quién cae y reforzar la capacitación en esos equipos puntuales.
• Principio de mínimo privilegio: cada cuenta accede solo a lo que necesita para su función, así un click errado no abre toda la red.
• Canales seguros de reporte: un botón, un mail o un chat donde avisar un enlace raro sin que el empleado termine en un interrogatorio.
• Capacitación continua y práctica: nada de powerpoints de dos horas una vez al año; sirve más un ejercicio mensual de cinco minutos con casos reales.
• Herramientas de bloqueo en el navegador y el correo: filtros que frenen el enlace antes de que llegue a la bandeja.

El número más alentador también es el más preocupante. El 26 por ciento de los encuestados dijo que consultaría con el área de sistemas antes de hacer click. Tres de cada cuatro no. Para Kaspersky eso es un indicador positivo y una advertencia al mismo tiempo: tener un canal de reporte sirve poco si la gente no lo usa. La pregunta es cuándo las empresas van a tratar la capacitación en seguridad como una inversión seria y no como un trámite anual de Recursos Humanos.