Un enlace tentador y la red expuesta: cuánto vale la seguridad para un empleado peruano

Un correo llega a la casilla de un empleado con un premio tentador: 30.000 dólares a cambio de un solo clic. La mayoría lo descarta, pero un grupo minoritario lo abre. En Perú, esa proporción alcanza al 12 por ciento de los trabajadores según un relevamiento de Kaspersky, la firma rusa especializada en ciberseguridad. El resto duda, pero el número alcanza para comprometer la red completa de una compañía mediana.

La investigación preguntó qué ocurriría si un atacante ofreciera esa suma a cambio de interactuar con un enlace malicioso. El 11 por ciento de los encuestados reconoció que dudaría, pero terminaría haciendo clic. Un 1 por ciento adicional aceptó que lo haría sin pensarlo. En una empresa de cien personas, eso equivale a una docena de puntos débiles abiertos al mismo tiempo.

Qué hay detrás de un enlace sospechoso

Qué hay detrás de un enlace sospechoso

Un enlace malicioso puede derivar en una página que captura contraseñas, en la instalación silenciosa de un programa dañino o en el robo de archivos internos. Si el equipo comprometido administra cuentas corporativas o sistemas de gestión, el incidente escala más allá del dispositivo original y contamina la red completa. Por eso, un solo clic mal dado puede terminar costando mucho más que los 30.000 dólares del anzuelo.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Cómo reducir el riesgo en la práctica

Cómo reducir el riesgo en la práctica

• Simulaciones de phishing: enviar correos falsos controlados para medir cómo reacciona cada equipo y corregir errores a tiempo.
• Principio de mínimo privilegio: dar a cada cuenta solo los permisos imprescindibles para su función, de modo que un compromiso aislado no abra toda la red.
• Canales de reporte seguros: habilitar medios confidenciales para que cualquier empleado avise una situación sospechosa sin temor a represalias.
• Capacitación continua: entrenar de forma periódica al personal en detección de engaños, con ejemplos concretos y actualizados.
• Herramientas de filtrado: instalar soluciones que bloqueen el contenido malicioso antes de que llegue a la casilla del usuario.

Lo que todavía falta

Lo que todavía falta

El estudio de Kaspersky muestra que solo el 26 por ciento de los trabajadores consultados con su área de Tecnología de la Información antes de hacer clic en un enlace dudoso. Que tres de cada cuatro empleados no piensen en reportar la situación indica que los canales internos no terminan de funcionar. A eso se suma otro déficit: las empresas suelen invertir en software de protección y descuidan la formación práctica de quienes operan los sistemas día a día. Mientras esa brecha persista, ningún antivirus reemplaza la decisión informada de la persona que está del otro lado de la pantalla.