Uno de cada ocho empleados peruanos haría clic en un enlace sospechoso por 30.000 dólares

La investigación de Kaspersky sobre comportamiento de usuarios corporativos en Perú dejó una cifra concreta: el 12 por ciento de los empleados admiten que interactuarían con un enlace malicioso si la recompensa fuera de 30.000 dólares. Dentro de ese porcentaje, el 11 por ciento dijo que dudaría antes de aceptar, pero que terminaría haciéndolo, y el 1 por ciento restante aseguró que clicaría sin pensarlo. En una empresa mediana, esa proporción implica que varios trabajadores están en condiciones de exponer la red corporativa ante una oferta económica suficientemente alta.

El escenario no es teórico. Los enlaces maliciosos pueden redirigir a páginas diseñadas para capturar contraseñas, instalar programas dañinos o recolectar información interna. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas de correo corporativo o sistemas de gestión, el alcance del incidente se extiende mucho más allá del dispositivo original y compromete la operatoria completa de la organización.

Una minoría chica con consecuencias potencialmente grandes

Que la mayoría descarte el incentivo no alcanza para descartar el riesgo. Los ataques de ingeniería social no necesitan masividad: necesitan un solo empleado con acceso relevante y la decisión, en un segundo, de apretar un enlace. Por eso la métrica relevante no es cuántos resistirían, sino cuántos están dispuestos a no resistir, porque ese subgrupo es el que el atacante busca y el que define la superficie efectiva de exposición de la compañía.

El estudio arrojó otro dato que funciona como termómetro inverso: solo el 26 por ciento de los encuestados consultaría con el área de Tecnología de la Información antes de hacer clic. Kaspersky presenta esa cifra como un indicador positivo, pero también como una advertencia: si tres de cada cuatro personas no piensan en consultar, los canales de reporte internos no están funcionando como deberían y la cultura de prevención es más declamada que practicada.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Las medidas que el informe propone

• Simulaciones periódicas de phishing para medir cómo reacciona cada equipo ante amenazas ficticias y ajustar la capacitación en función de los resultados.
• Aplicación estricta del principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario para la tarea.
• Canales seguros y visibles para que los empleados informen situaciones sospechosas sin temor a represalias ni demoras en la respuesta.
• Capacitación continua con casos prácticos, no presentaciones teóricas, para entrenar la reacción automática ante un enlace fuera de protocolo.

El trabajo apunta a un problema de diseño organizacional que las áreas de Ambiente y agua Corporate conocen de cerca: las empresas suelen invertir en software de protección y descuidan la formación práctica de quienes operan los sistemas. Una solución técnica no cambia el comportamiento de alguien que, frente a un incentivo concreto, decide ignorar el protocolo. La defensa corporativa termina dependiendo tanto de las herramientas desplegadas como de la decisión humana del último eslabón, y ese eslabón, como muestran las cifras, tiene un precio.