Unas monedas y un clic: el precio concreto al que un empleado peruano expondría a su propia empresa

Yo vengo escribiendo hace años sobre territorio y comunidades, y cada vez que un tema tecnológico cruza la frontera de lo comunitario me detengo a leerlo como si fuera una nota de pueblo. Esta semana me tocó atravesar una investigación que, traducida al lenguaje de cualquier oficina, suena así: hay un precio, en dólares, a partir del cual un empleado está dispuesto a traicionar el sentido común y abrir la puerta de su empresa a un desconocido. No es ciencia ficción ni un ejercicio académico. Es un número que acaba de publicar Kaspersky y que, mirado con detenimiento, describe mejor que muchos informes extensos cómo estamos parados del lado humano de la ciberseguridad.

El dato central es directo: en Perú, el 12 por ciento de los encuestados que haría clic en un enlace sospechoso si la recompensa fuera de 30.000 dólares. Para dimensionarlo, conviene dejar la cifra sola un momento. Si uno toma una empresa mediana, de unos cien empleados, eso implica alrededor de doce personas dispuestas, bajo esa promesa económica, a interactuar con un contenido que podría robar contraseñas, instalar programas dañinos o extraer información interna. Una docena de empleados, en una sola compañía, son muchos puntos ciegos. La seguridad corporativa, repetida hasta el cansancio en afiches y capacitaciones, depende tanto de protocolos y herramientas como de la disposición real de las personas que efectivamente operan los sistemas.

El dato fino: casi todos dudan, pero algunos hacen clic igual

El estudio no se queda en el porcentaje general. Desmenuza el comportamiento y muestra que el 11 por ciento de los trabajadores peruanos primero dudaría y recién después interactuaría con el enlace, mientras que apenas un 1 por ciento lo haría sin pensarlo dos veces. Es una distinción que parece menor y no lo es, porque describe dos perfiles distintos: el que se debate y termina cediendo, y el que directamente no evalúa el riesgo. Ambos coinciden en el resultado final: el clic se concreta y la amenaza ingresa. La mayoría descartaría el incentivo económico, sí, pero esa mayoría no borra la vulnerabilidad: alcanza con que algunas personas cedan para que una campaña de phishing concreta tenga éxito.

Lo que vuelve a este dato incómodo es su costado material. Los enlaces maliciosos no son una abstracción: conducen a páginas específicamente diseñadas para capturar credenciales, instalar software dañino o recopilar información interna. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas de correo corporativas o sistemas de gestión, el alcance del incidente puede extenderse mucho más allá del dispositivo original. La cadena de consecuencias se vuelve difícil de calcular en el momento exacto del clic.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Hay un segundo dato, menos llamativo pero a mi entender más revelador, que el propio informe rescata como señal positiva con asterisco. El 26 por ciento de los encuestados en Perú dijo que, ante un enlace dudoso, consultaría con el área de Tecnología de la Información antes de hacer clic. Casi una de cada cuatro personas. El número es una buena noticia, porque muestra que existe una cultura interna de reporte. Pero al mismo tiempo funciona como una advertencia: si tres de cada cuatro trabajadores ni siquiera piensan en consultar, los canales de aviso que las empresas han habilitado no están funcionando con la naturalidad que el problema exigiría. Tenemos las líneas abiertas, pero la gente no las usa.

Qué dice el informe y qué queda pendiente

El reporte, leído de punta a punta, no se limita a describir el problema: propone un menú de medidas que cualquierPyme, corporativo o organismo público puede empezar a aplicar, y que resumo acá porque me parece la parte más útil de todo el material.

• Simulaciones de phishing periódicas, para medir cómo reacciona cada equipo ante amenazas ficticias y entrenar reflejos en un entorno controlado.
• Aplicación estricta del principio de mínimo privilegio, limitando los permisos de cada cuenta a lo estrictamente necesario para la función que cumple.
• Canales seguros y accesibles para que los empleados informen situaciones sospechosas sin temor a represalias o a quedar comoalarmistas.
• Capacitación continua y práctica, no charlas anuales repetidas en PowerPoint que nadie recuerda tres meses después.
• Combinación de esas capas con herramientas que bloqueen el contenido malicioso antes de que llegue al usuario, porque ningún proceso humano reemplaza por completo a un buen filtro técnico.

La conclusión del estudio apunta, sin dramatizar pero sin edulcorar nada, a un problema de diseño organizacional. Las empresas suelen invertir en software de protección, pero descuidan la formación práctica de quienes efectivamente operan los sistemas. Una solución técnica de última generación no cambia, por sí sola, el comportamiento de alguien que frente a la pantalla está pensando en cómo llegar a fin de mes o en qué haría con un sobresueldo inesperado. La decisión económica convive, en la misma persona, con el manual de buenas prácticas que firmó al ingresar. Y esa convivencia no se resuelve comprando más licencias.

Me llevo de toda esta investigación una sensación que vale la pena nombrar en voz alta: mientras el riesgo siga midiéndose en plata, y no en consecuencias, habrá un porcentaje de personas dispuesto a apretar el botón. La pregunta que cadaPyme y cada área de sistemas tiene que hacerse ya no es si cuenta con un antivirus actualizado, sino si construyó, de verdad, un canal humano donde alguien, antes de hacer clic, pueda levantar el teléfono y preguntar qué hacer. En América Latina ese canal todavía está en obra, y según estos datos, urge terminarlo.