Cuántos dólares bastan para que un empleado pique en un link falso: un estudio midió el umbral

Lo aclaro de entrada porque es lo más llamativo del informe: no hace falta un truco demasiado sofisticado para que un empleado abra la puerta de la empresa a un ciberdelincuente. Según un estudio reciente de la firma de seguridad Kaspersky aplicado en Perú, uno de cada ocho trabajadores encuestados reconoció que haría clic en un enlace sospechoso si la recompensa fuera de 30.000 dólares. Traducido a un equipo de oficina, eso significa que en cualquier empresa mediana siempre hay alguien dispuesto a jugarse la red corporativa por un incentivo fuerte.

Qué midió el estudio y cómo se reparten las respuestas

Kaspersky detectó que el 11 por ciento de los encuestados dudaría unos segundos, pero terminaría interactuando con el link malicioso, mientras que el 1 por ciento asegura que lo abriría sin pensarlo. La mayoría descarta el anzuelo, pero la cifra alcanza para preocupar: cualquier atacante que mande suficientes mensajes sabe que va a encontrar uno o dos destinatarios receptivos. Es como poner una trampa en una puerta: no hace falta que todos la toquen, alcanza con que alguien la empuje.

El punto está en lo que cambia para el usuario común, no en la teoría. Esos enlaces suelen llevar a páginas que parecen idénticas a las del banco o al correo corporativo y están diseñadas para capturar contraseñas, instalar programas espía o copiar archivos internos. Si la persona que cae maneja una cuenta con permisos amplios, el problema se sale del dispositivo y contamina carpetas compartidas, sistemas de gestión y hasta la facturación. Por eso el número duele: no es solo un descuido individual, es un riesgo para toda la organización.

Lo que dicen los especialistas y qué recomiendan hacer

Kaspersky difundió la voz de Leandro Cuozzo, analista del equipo de investigación de la compañía para América Latina, que sostuvo que «no basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión». El dato que la firma rescata como positivo es que el 26 por ciento de los encuestados consultaría al área de Tecnología de la Información antes de hacer clic. El problema es la contracara: tres de cada cuatro personas ni se plantearían avisar, lo que muestra que los canales de reporte internos no están funcionando como deberían.

• Simulaciones de phishing: se envían correos truchos a propósito para ver quién cae y reforzar la capacitación en base a lo que falla.
• Principio de mínimo privilegio: cada cuenta tiene acceso solo a lo indispensable, así el daño se limita si alguien compromete una clave.
• Canales seguros de reporte: el empleado debe tener a quién escribir rápido y sin miedo si sospecha de un mensaje raro.
• Capacitación continua: no alcanza con un curso anual; los ataques cambian y la práctica tiene que repetirse en el tiempo.

El informe cierra con una idea que sirve para cualquier Pyme o empresa grande de la región: las compañías suelen invertir fuerte en software antivirus y cortafuegos, pero descuidan la formación práctica de quienes operan la tecnología a diario. Una solución técnica no cambia la conducta de alguien que, frente a un incentivo económico, decide mirar para otro lado. En la Confluencia neuquina, donde muchas oficinas administrativas y comercios manejan datos sensibles de clientes, recordarlo no es un dato de laboratorio sino una precaución concreta para empezar el lunes.

Fuente: Bio Noticias. Autoría original: Ignacio Fuentealba.