A cuánto se vende la prudencia del empleado peruano frente a un enlace sospechoso

¿Cuánto vale tu contraseña corporativa? La pregunta parece absurda, pero un estudio reciente de Kaspersky entre trabajadores peruanos la puso sobre la mesa con números concretos: el 12 por ciento de los encuestados reconoció que haría clic en un enlace sospechoso si la recompensa fuera de 30.000 dólares. La cifra desnuda una verdad incómoda: la cadena de seguridad de una empresa se rompe en su eslabón más humano.

Qué dice el dato

El trabajo de campo dividió las respuestas en tres grupos bien marcados. Un 11 por ciento dudaría, pero finalmente interactuaría con el enlace; un 1 por ciento lo haría sin pensarlo dos veces; el resto directamente rechazaría la oferta. En una empresa mediana, esa proporción equivale a varios empleados dispuestos a exponer la red corporativa ante un incentivo económico suficiente.

Y acá viene lo central: el clic no es un gesto inocente. Un enlace malicioso puede llevar a una página que captura contraseñas, instala programas dañinos o recolecta información interna. Cuando la víctima maneja archivos compartidos, cuentas corporativas o sistemas de gestión, el incidente se expande mucho más allá de la pantalla original.

• Uno de cada ocho empleados (12%) cedería ante un enlace sospechoso por 30.000 dólares.
• El 26% consultaría con el área de Tecnología antes de hacer clic, lo que deja a tres de cada cuatro sin ese paso de consulta.
• La medida más recomendada es combinar capacitación continua, protocolos claros y herramientas que bloqueen el contenido malicioso antes de que llegue al usuario.

Dónde está el punto débil

Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina, lo resumió con una idea que aplica a cualquier pyme o corporativo: "no basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión".

La conclusión del informe apunta a un problema de diseño organizacional. Las empresas suelen invertir en software de protección y descuidar la formación práctica de quienes operan los sistemas. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo alto, decide jugársela.

Entre las medidas que el informe destaca para cerrar esa brecha aparecen tres acciones concretas: simulaciones de phishing para medir cómo reacciona cada equipo; aplicación del principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario; y canales seguros para que los empleados informen situaciones sospechosas sin miedo a represalias. Si te sirve, probalo: la próxima campaña de phishing simulada puede ser la diferencia entre un clic intrascendente y un incidente que termine en la portada del diario.