La cuenta pendiente de la ciberseguridad: uno de cada ocho empleados haría clic por dinero

En ciberseguridad, phishing es el término que se usa para describir los intentos de estafa que llegan por mail, mensaje de WhatsApp o redes sociales con un enlace falso. La idea es simple: simular ser una marca conocida, un banco o un proveedor para que la persona haga clic y entregue sus claves o descargue un programa dañino. El problema no es solo técnico, también es humano. Y un estudio reciente de Kaspersky dejó esa parte al descubierto con un número incómodo.

La investigación, aplicada a trabajadores peruanos, preguntó cuántos dólares harían falta para que un empleado ignore las normas internas y abra un enlace sospechoso. La respuesta más llamativa llegó en los 30.000 dólares: uno de cada ocho consultados, alrededor del 12%, reconoció que aceptaría la oferta. Del total, un 11% dudaría pero terminaría haciendo clic, y un 1% lo haría sin pensarlo.

Qué cambia para el usuario común

Para el lector que no trabaja en un área de sistemas, la traducción es directa: la seguridad de una empresa no depende solo de antivirus, firewalls o contraseñas robustas. También depende de la disposición real de la persona que está sentada frente a la computadora. Si en una pyme neuquina hay diez empleados con acceso a la red corporativa, la probabilidad de que al menos uno caiga ante una propuesta de ese tipo deja de ser una hipótesis y pasa a ser un riesgo concreto.

Los enlaces maliciosos pueden llevar a páginas que copian pantallas de login, instalan programas que registran lo que se escribe en el teclado o filtran archivos internos. Cuando el equipo comprometido tiene acceso a cuentas bancarias corporativas, sistemas de gestión o carpetas compartidas, el daño se extiende mucho más allá de la notebook original.

• Simulaciones de phishing: ataques falsos controlados que sirven para medir cómo reacciona cada empleado y corregir errores antes de que llegue una amenaza real.
• Principio de mínimo privilegio: limitar los permisos de cada cuenta a lo estrictamente necesario, de modo que un usuario comprometido no pueda arrastrar toda la red.
• Canales seguros de reporte: habilitar vías internas para que cualquier empleado pueda avisar una situación sospechosa sin miedo a represalias o sanciones.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

La advertencia que deja el informe

El dato positivo fue que el 26% de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Para Kaspersky, es un indicador de que parte de la plantilla entiende el procedimiento. Pero el número también funciona como espejo invertido: tres de cada cuatro personas no piensan en consultar, lo que muestra que los canales internos de reporte todavía no están funcionando como deberían.

El estudio apunta a un problema de diseño organizacional. Muchas empresas invierten fuerte en herramientas de seguridad y, al mismo tiempo, descuidan la formación práctica de quienes las operan día a día. Una solución técnica no cambia el comportamiento de alguien que, frente a una suma alta, decide correr el riesgo.

Mi consejo, si trabajás en una empresa grande o pequeña, es directo: no esperes a que tu área de sistemas te capacite. Pedí simulacros internos, preguntá cómo reportar un mail sospechoso y, ante la duda, nunca hagas clic. Una consulta de treinta segundos al equipo de IT puede ahorrarte un dolor de cabeza de meses. Y si sos dueño o gerente de una pyme en Neuquén, tené en cuenta que el eslabón más barato de reforzar es también el más decisivo: la conversación con tu equipo.