Trece de cada cien empleados venderían la empresa por un click: lo que dice un estudio sobre por qué la seguridad depende de la gente, no del software

El fabricantes prometen firewall de última generación, antivirus con inteligencia artificial, detección de amenazas en tiempo real. Todo muy lindo en el folleto. Después llega un estudio como el de Kaspersky y te arruina la mañana: en Perú, el 12% de los trabajadores admite que haría clic en un enlace sospechoso si le ofrecen 30.000 dólares a cambio. Uno de cada ocho. Y ni siquiera estamos hablando de una suma estratosférica: con lo que cuesta una camioneta 0 km, alguien está dispuesto a tirar la red corporativa por la ventana.

El número detrás del número

La investigación desglosa ese 12% en dos categorías que, como diría mi vieja, dan igual de miedo. Un 11% lo pensaría un rato, dudaría unos segundos mientras mira el techo de la oficina, y terminaría cliqueando igual. El 1% restante ni siquiera necesita el tiempo de la duda: click y a otra cosa. En una empresa mediana, eso alcanza para comprometer al equipo entero. No lo compro: lo que más me preocupa es que el dato existe y a muchos gerentes les va a entrar por una oreja y salir por la otra.

Lo que está en juego no es un dispositivo aislado. Un enlace malicioso puede abrir la puerta al robo de credenciales, a la instalación de software espía o al vaciamiento silencioso de archivos compartidos. Cuando el empleado comprometido maneja cuentas corporativas o accede al sistema de gestión, el daño se multiplica como pan dulce en Navidad. El incidente ya no es individual: es un agujero con forma de CEO desesperado.

Kaspersky rescata un dato que, leído con buena fe, es la única noticia medianamente alentadora del informe: el 26% de los encuestados consultaría con el área de Tecnología de la Información antes de hacer clic. Parece poco, y lo es. Tres de cada cuatro personas ni se plantean levantar el teléfono. Los canales de reporte internos existen, pero claramente no están funcionando. Lo pienso: probablemente porque nadie los comunicó bien, o porque la última vez que alguien reportó algo le respondieron con un suspiro.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Qué propone el informe (y por qué no alcanza con comprar un antivirus)

• Simulaciones de phishing para medir cómo reacciona cada equipo ante amenazas de mentira, que duelen menos que las de verdad.
• Aplicar el principio de mínimo privilegio: que cada cuenta tenga acceso solo a lo que necesita para su trabajo y nada más.
• Habilitar canales seguros y sin castigo para que el empleado reporte una situación sospechosa sin sentirse el traidor de la semana.
• Capacitación continua que no se limite al PowerPoint obligatorio de marzo y al recordatorio por mail de fin de año.

La conclusión del estudio apunta a un problema de diseño organizacional que las empresas se resisten a admitir. Se invierte fortunas en software de protección y se gasta casi nada en formar de verdad a quien opera la compu. Solución técnica mediante, el comportamiento de la persona sigue siendo el mismo: si la oferta es tentadora, click. Y acá aparece el dato que importa para la vida cotidiana: en mi caso, y como prueba de que la plata no mueve todo, me ofrecieron una vez 50 dólares por abrir un adjunto y la batería me duró exactamente lo que tarda uno en sospechar: cero segundos. Ni regalado.