Un estudio midió cuánto vale la seguridad interna: doce de cada cien empleados aceptarían un enlace sospechoso por 30.000 dólares

La promesa fue cuantificar cuánto hace falta para que un empleado ignore las reglas básicas de seguridad informática. La respuesta llegó en dólares: 30.000. A esa cifra, uno de cada ocho trabajadores peruanos consultados por Kaspersky admitió que abriría un enlace sospechoso. No es un ejercicio teórico. Es la medida exacta de la vulnerabilidad humana que tienen las empresas en la región.

El estudio desglosa esa proporción con precisión inquietante. El 11 por ciento dudaría antes de aceptar la oferta, pero terminaría haciendo clic. El 1 por ciento lo haría sin pensarlo. La mayoría descartaría el incentivo, sin embargo el dato devela una verdad incómoda: en cualquier empresa mediana, varios empleados podrían exponer la red corporativa frente a una recompensa económica suficientemente alta.

Una falla que no se resuelve con antivirus

Hay que decirlo sin rodeos: la seguridad corporativa no depende solo de protocolos ni de software. Depende de la disposición real de quienes operan los sistemas a diario. Los enlaces maliciosos pueden redirigir a páginas que capturan contraseñas, instalan programas dañinos o extraen información sensible. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas empresariales o sistemas de gestión, el incidente puede escalar mucho más allá del dispositivo original.

El relevamiento identificó además otro indicador preocupante: solo el 26 por ciento de los encuestados consultaría con el área de Tecnología de la Información antes de abrir el enlace. Es decir, tres de cada cuatro personas no piensan en reportarlo. Si los canales internos no están funcionando como deberían, no alcanza con pedirles a los empleados que se comporten como si funcionaran.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Qué recomiendan los especialistas

• Simulaciones de phishing periódicas para medir cómo reacciona cada equipo ante amenazas reales controladas.
• Aplicación estricta del principio de mínimo privilegio, limitando los permisos de cada cuenta a lo estrictamente necesario.
• Canales seguros y sin represalias para que los empleados reporten situaciones sospechosas.
• Capacitación continua que combine teoría con ejercicios prácticos, no solo charlas anuales.
• Herramientas de bloqueo que filtren contenido malicioso antes de que llegue al usuario final.

La conclusión del informe apunta a un problema de diseño organizacional. Las empresas suelen invertir fuertes sumas en software de protección y descuidan la formación práctica de quienes lo utilizan. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo económico alto, evalúa personalmente si vale la pena el riesgo. La ecuación es simple y la pagan los demás: si el premio supera el llamado a la prudencia, la prudencia pierde.

En provincias como Chaco y Formosa, donde el empleo público concentra buena parte de la matrícula laboral y los sueldos están muy lejos de los 30.000 dólares de la prueba, el dato sugiere un interrogante doble: ¿cuánto valdría la contraseña de un sistema estatal en manos de un empleado mal pago, y quién controla hoy esos accesos? La pregunta incómoda queda para el gobernador de turno: ¿sabe cuántas personas pueden abrir la puerta de entrada digital de su administración?