Treinta mil dólares y un clic: el precio que tiene tu empresa para un empleado distraído

¿Cuánto vale la seguridad de tu empresa para un empleado con la cuenta abierta en la compu? Parece una pregunta de manual, pero un estudio reciente de Kaspersky la respondió con un número concreto: 30.000 dólares. En una encuesta aplicada a trabajadores peruanos, el 12 por ciento admitió que haría clic en un enlace malicioso si la recompensa fuera esa. Es uno de cada ocho. Y eso, en una oficina con veinte personas, son dos o tres clickeos en cadena.

Lo más interesante no es solo el porcentaje, sino cómo se reparte. El 11 por ciento dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace igual. El 1 por ciento lo haría sin pensarlo ni un segundo. La gran mayoría descarta el incentivo, sí, pero la cifra deja claro que en cualquier empresa mediana siempre va a haber alguien dispuesto a tentar la suerte por un billete. No es ciencia ficción: en cualquier pyme argentina pasa lo mismo.

Qué pasa cuando alguien hace clic

Un enlace malicioso es, en criollo, una puerta disfrazada de invitación. Puede llevar a una página que parece la del banco o la del mail corporativo, pero en realidad está diseñada para capturar contraseñas, instalar programas espía o vaciar información del equipo. Si la víctima tiene acceso a archivos compartidos, a la cuenta de la empresa o al sistema de gestión, el daño se multiplica. Ya no es solo la compu de Juan: es la red entera.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

Las tres medidas que el informe recomienda

• Simulaciones de phishing: se mandan enlaces falsos a propósito para ver quién cae y entrenar al que cayó. Es como un simulacro de incendio, pero digital.
• Principio de mínimo privilegio: cada cuenta tiene permiso solo para lo que necesita. Si una empleada del área de marketing no toca bases de datos, no debería poder acceder. Así, un clic equivocado no arrastra todo.
• Canales seguros de reporte: que el empleado pueda avisar "che, esto me pareció raro" sin que le caiga un llamado de atención. La mayoría no avisa por miedo a quedar comoignorante.

Acá aparece el otro dato que a mí me llamó la atención: el 26 por ciento de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Parece buen número, pero leído al revés significa que tres de cada cuatro personas ni se plantean levantar el teléfono. Si los protocolos internos no funcionan cuando alguien tiene dudas, difícilmente funcionen cuando la oferta son treinta mil dólares en la cuenta.

La conclusión del estudio es incómoda porque no apunta al usuario, sino al diseño de la organización. Las empresas invierten fortunas en antivirus, firewalls y sistemas de detección, pero muchas veces olvidan la parte más barata y más efectiva: capacitar de verdad a quien opera la compu todos los días. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo fuerte, prefiere el atajo. Cambia, en todo caso, el resto de la empresa: si yo caigo, el sistema me contiene. Y eso, para el usuario común, significa que un error propio no termina en un desastre corporativo.