¿Cuánto vale la seguridad de tu empresa? Un estudio midió el precio al que un empleado la vendería por un clic

¿A partir de qué monto un empleado estaría dispuesto a poner en riesgo toda la red de la empresa con un solo clic? La pregunta parece exagerada, pero un estudio reciente la formuló en serio y obtuvo una respuesta concreta: 30.000 dólares. En esa cifra, uno de cada ocho trabajadores peruanos consultados admitió que interactuaría con un enlace malicioso, es decir, con una dirección web diseñada por ciberdelincuentes para robar datos o instalar software dañino, sin importar las políticas internas de seguridad.

El dato detrás del dato

La investigación de Kaspersky profundizó en las respuestas y encontró matices importantes. El 11 por ciento de los encuestados dijo que dudaría, pero finalmente haría clic. Un 1 por ciento adicional reconoció que lo haría sin pensarlo dos veces. Es decir, el problema no se limita a un puñado de empleados dispuestos a todo por dinero: hay una franja más amplia, del 12 por ciento en total, para la cual el incentivo económico puede más que el protocolo.

La mayoría, vale aclararlo, descartó la propuesta. Pero cuando se traslada esa proporción a una empresa mediana de, por ejemplo, 200 personas, la cuenta es simple: unos 24 empleados podrían exponer la red corporativa ante una oferta lo suficientemente alta. El resto de los encuestados mostró comportamientos que los especialistas consideran señales alentadoras, aunque no suficientes.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de investigación de Kaspersky para América Latina

Qué recomendaron los especialistas

• Simulaciones de phishing: ejercicios controlados en los que se envían correos falsos a los empleados para medir cómo reaccionan y reforzar la capacitación.
• Principio de mínimo privilegio: cada cuenta de usuario accede solo a los sistemas y archivos indispensables para su tarea, lo que limita el daño en caso de compromiso.
• Canales de reporte seguros y sin represalias: vías formales y cómodas para que cualquier empleado pueda avisar sobre un correo o enlace dudoso sin miedo a sanciones.
• Capacitación continua: formación práctica y periódica, no una charla anual, para que la detección de amenazas sea un hábito y no un trámite.

El estudio también relevó que solo el 26 por ciento de los trabajadores consultados pensó en recurrir al área de Tecnología de la Información antes de hacer clic en un enlace dudoso. Para los especialistas, esa cifra funciona como termómetro: si tres de cada cuatro personas no se detienen a consultar, los canales internos de reporte no están funcionando como deberían. La conclusión central del informe apunta a un problema de diseño organizacional: las empresas suelen invertir en software de protección, pero descuidan la formación práctica de quienes efectivamente operan los sistemas. Una solución técnica, por más costosa que sea, no alcanza para cambiar el comportamiento de alguien que, ante un incentivo suficientemente alto, decide ignorar las reglas.

Para qué sirve esto en La Rioja: el relevamiento se hizo en Perú, pero la mecánica que describe se repite en cualquier mercado laboral. PyMEs locales, organismos públicos y sucursales bancarias suelen concentrar la inversión en antivirus y firewalls, muros de seguridad informática, y dejar la capacitación del personal en segundo plano. Saber que una oferta económica concreta puede torcer la decisión de un empleado motiva a revisar tres cosas concretas: si existen simulaciones de phishing activas, si las cuentas tienen permisos limitados al mínimo necesario y si hay un canal cómodo y sin castigo para reportar un correo sospechoso antes de hacer clic.