Una oferta de 30.000 dólares basta para que el 12% de los empleados peruanos haga clic en un enlace sospechoso

Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina, divulgó un estudio que puso precio a la prudencia de los trabajadores corporativos: en Perú, el 12% de los empleados haría clic en un enlace sospechoso si la recompensa fuera de 30.000 dólares. La cifra no es marginal. Equivale a uno de cada ocho colaboradores dispuestos a romper, por una suma concreta, los protocolos de seguridad que la empresa les exige respetar a diario.

El dato surge de una investigación de Kaspersky aplicada a trabajadores peruanos y desglosa el comportamiento esperado. El 11% dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace; el 1% lo haría sin pensarlo. La mayoría descartaría el incentivo, aunque esa mayoría resulta demasiado ancha para confiar: en cualquier empresa mediana, varios empleados podrían exponer la red corporativa ante una oferta económica suficientemente alta.

Un riesgo con alcance corporativo

El escenario no es solo teórico. Los enlaces maliciosos pueden dirigir a páginas diseñadas para capturar contraseñas, instalar programas dañinos o recopilar información interna. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas empresariales o sistemas de gestión, el incidente puede extenderse mucho más allá del dispositivo original y comprometer áreas que el área de Tecnología de la Información creía blindadas.

Otro punto sensible que expuso el relevamiento: el 26% de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Kaspersky presenta ese dato como un indicador positivo, pero también como una advertencia operativa: si tres de cada cuatro personas no piensan en consultar, los canales de reporte internos no están funcionando como deberían.

Capacitación, simulaciones y mínimo privilegio

Cuozzo sostuvo que «no basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión». La recomendación técnica es combinar capacitación continua, protocolos claros de reporte y herramientas que bloqueen el contenido malicioso antes de que llegue al usuario.

• Simulaciones de phishing periódicas, que permiten medir cómo reacciona cada equipo ante amenazas ficticias y ajustar la formación a partir de evidencia.
• Aplicación del principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario para la función del empleado.
• Canales seguros y no punitivos para que los empleados informen situaciones sospechosas sin temor a represalias ni demoras en la respuesta.
• Capacitación continua y práctica, orientada a casos reales y no solo a recordatorios teóricos sobre buenas prácticas.

La conclusión del estudio apunta a un problema de diseño organizacional: las empresas suelen invertir en software de protección, pero descuidan la formación práctica de quienes operan los sistemas. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo concreto, decide ignorar las reglas.

La promesa incumplida, en este caso, no fue de un funcionario sino de las propias compañías que adquirieron firewalls, antivirus y filtros de correo, y aun así quedaron a merced de un clic humano tentado por 30.000 dólares.