Cuánto vale para un empleado romper las reglas de seguridad informática

Una investigación reciente de Kaspersky midió algo que parece absurdo pero que tiene consecuencias reales: cuánto dinero hace falta para que un empleado ignore las normas de seguridad informática de su propia empresa. En Perú, el 12 por ciento de los encuestados admitió que cedería ante un enlace sospechoso si la recompensa fuera de 30.000 dólares. El hallazgo pone en evidencia una brecha concreta: la seguridad corporativa depende tanto de los protocolos y las herramientas como de la disposición real de las personas que operan los sistemas todos los días.

Cómo funciona la tentación del enlace malicioso

Para entender el riesgo hay que saber qué es un enlace malicioso. Es, en pocas palabras, una dirección de internet que parece inofensiva, como un aviso de un banco o de una empresa de correos, pero que lleva a una página preparada para robar contraseñas, instalar programas dañinos o capturar información interna. Es comparable con un sobre que parece traer una factura de servicios pero, en realidad, trae una trampa adentro.

El estudio de Kaspersky desglosó la respuesta de los trabajadores peruanos ante una oferta de 30.000 dólares. El 11 por ciento dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace. Apenas un 1 por ciento lo haría sin pensarlo. La mayoría descartó el incentivo, pero la cifra implica que en una empresa mediana varios empleados podrían exponer la red corporativa ante una oferta económica suficientemente alta.

El problema se agrava cuando se observa qué pasa después del clic. Los enlaces maliciosos pueden dirigir a páginas diseñadas para capturar contraseñas, instalar programas dañinos o recopilar información interna. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas empresariales o sistemas de gestión, el alcance del incidente puede extenderse mucho más allá del dispositivo original. Es como si una sola persona abriera la puerta de calle y, por esa rendija, entraran a toda la casa.

La consulta al área de sistemas como indicador

Un dato que el informe rescata como positivo es que el 26 por ciento de los encuestados consultaría con el área de Tecnología de la Información antes de hacer clic en un enlace dudoso. Sin embargo, ese mismo número leído desde el otro lado funciona como advertencia: si tres de cada cuatro personas no piensan en consultar, los canales de reporte internos no están funcionando como deberían. La desconfianza o el desconocimiento de esos caminos termina dejando al empleado solo frente a la decisión.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

• Simulaciones de phishing: controlados con amenazas ficticias que permiten medir cómo reacciona cada equipo y entrenar la detección sin riesgo real.
• Principio de mínimo privilegio: cada cuenta tiene acceso únicamente a lo estrictamente necesario para su función, igual que una llave que abre solo una puerta y no el edificio entero.
• Canales seguros de reporte: vías habilitadas para que cualquier empleado pueda avisar sobre una situación sospechosa sin temor a represalias o demoras.

Qué falta para que la protección llegue a todos

La conclusión del estudio apunta a un problema de diseño organizacional. Las empresas suelen invertir fuerte en software de protección, pero descuidan la formación práctica de quienes operan los sistemas. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo concreto, decide mirar para otro lado. Falta combinar la tecnología con capacitación continua, protocolos claros y una cultura donde consultar antes de hacer clic sea lo natural y no la excepción.