Kaspersky midió cuánto vale la prudencia de un empleado peruano frente a un enlace sospechoso

Me acuerdo de que estaba leyendo el informe de Kaspersky con el mate a medio tomar cuando tropecé con un número que me dejó pensando: en Perú, el 12% de los empleados reconoció que haría clic en un enlace sospechoso si le ofrecieran 30.000 dólares a cambio. La cifra parece sacada de una novela de espionaje, pero es el resultado de una encuesta de la firma de ciberseguridad, y habla de algo muy concreto: la seguridad de una empresa no termina en el antivirus, sino que pasa por la cabeza de quien está sentada frente a la pantalla.

La investigación desglosa ese 12% en dos tramos. El 11% dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace igual, y apenas un 1% lo haría sin pestañear. Puede sonar poco, pero si lo llevamos a una empresa mediana, de unas doscientas personas, estamos hablando de más de veinte trabajadores dispuestos a exponer la red corporativa frente a una oferta económica suficientemente alta. Como cuando dejás la puerta entreabierta pensando que no va a pasar nada: el problema es que, en informática, lo que entra no siempre se puede echar afuera.

Qué se juega cuando alguien hace ese clic

Un enlace malicioso no es un jueguito: puede llevar a una página que captura contraseñas, que instala un programa dañino en la computadora o que se lleva información sensible sin que nadie lo note. Si el empleado comprometido tiene acceso a archivos compartidos, cuentas de correo corporativas o sistemas de gestión interna, el daño se multiplica y empieza a viajar por dentro de la organización como una mancha de aceite sobre una carpeta importante.

Lo que sí funciona, según el informe

• Simulaciones de phishing periódicas, para medir cómo reacciona cada equipo ante amenazas de mentira y aprender del error sin pagar las consecuencias.
• Aplicación del principio de mínimo privilegio: cada cuenta tiene acceso únicamente a lo que necesita para su tarea, ni un casillero más.
• Canales seguros y sin castigo para que cualquiera pueda reportar un enlace sospechoso sin miedo a quedar en ridículo o tener problemas.
• Capacitación continua y herramientas que filtren el contenido malicioso antes de que llegue al usuario final.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

El dato que más me llamó la atención fue el del 26%: solo uno de cada cuatro consultados dijo que iba a hablar con el área de Tecnología de la Información antes de hacer clic. La propia Kaspersky lo lee como una señal de alarma, porque si tres de cada cuatro personas no piensan en levantar el teléfono ante algo raro, los canales internos de reporte están lejos de funcionar como deberían. Lo que viene en esta línea de investigación es seguir midiendo cómo cambian estos porcentajes cuando las empresas aplican los protocolos que el propio informe recomienda: ahí se verá si la capacitación mueve la aguja o si, como me dijo una vez un técnico amigo, vamos a tener que seguir poniendo candados a la heladera del office.