¿Cuánto vale tu contraseña? En Perú, uno de cada ocho empleados la cambiaría por 30.000 dólares

¿A cuánto se vende el clic que manda al bombo una red corporativa entera? Parece exagerado, pero la respuesta la puso un número rotundo: 30.000 dólares. En Perú, el 12% de los empleados encuestados por Kaspersky reconoce que mordería el anzuelo de un enlace sospechoso por esa plata. Uno de cada ocho, ni más ni menos.

Detrás de la frase hay un dato que duele: la seguridad de una empresa no se sostiene solo con antivirus, ni firewalls (perdón, firewalls, que en criollo son los corta fuegos que filtran lo que entra y sale de la red). Se sostiene con la persona sentada frente al monitor. Y esa persona, cuando la recompensa es jugosa, puede decidir jugársela.

El desglose: dudar, aceptar y hacer clic sin mirar

El estudio, que en la jerga se llama reporte de investigación de mercado (una encuesta grande y seria, vaya), separó a los trabajadores en tres grupos. El 11% lo pensaría un rato, pero terminaría cliqueando. El 1% ni siquiera se tomaría el trabajo de pensarlo: clic y a otra cosa. El resto, la mayoría, descartaría el ofrecimiento. Pero esa mayoría, en una pyme (pequeña y mediana empresa, el motor del laburo argentino y peruano) de cien empleados, deja afuera a doce personas dispuestas a abrir la puerta de la red a un atacante.

¿Qué pasa cuando alguien hace clic en uno de esos enlaces? El Laboratorio de Investigación de Kaspersky, que es el equipo de especialistas en amenazas digitales de la empresa, lo explica sin rodeos: esos links suelen llevar a páginas truchas que roban contraseñas, instalan programas dañinos o filtran información interna. Y si la víctima tiene acceso a archivos compartidos, cuentas corporativas o sistemas de gestión, el desastre se extiende mucho más allá de la notebook infectada.

¿Por qué no todos consultan al área de sistemas?

Acá aparece la única señal alentadora del reporte: un 26% de los encuestados dijo que, antes de hacer clic, llamaría al área de Tecnología de la Información (IT, el sector que se encarga de las computadoras y las redes, o sea, los que apagan incendios digitales). El problema es leerlo al revés: tres de cada cuatro no consultarían. Los canales de reporte interno existen, pero no se usan. Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina, lo dejó en pocas palabras.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

Qué hacer cuando la amenaza tiene cara de empleado

Capacitación sirve, pero capacitación repetida y práctica, no el PowerPoint de siempre que nadie lee. El informe destaca tres herramientas concretas. La primera son las simulaciones de phishing (phishing es el engaño por mail o mensaje que imita a un banco, una empresa o un conocido): se mandan enlaces falsos a propósito para ver quién pica y entrenar al que picó. La segunda, el principio de mínimo privilegio, una idea simple traducida del inglés que significa darle a cada empleado únicamente los permisos que necesita para su tarea, ni uno más. La tercera, abrir canales seguros para que cualquiera pueda reportar un mail raro sin que lo traten de ridículo.

Mientras tanto, la señal sigue sin llegar: las empresas siguen invirtiendo en software carísimo y dejan al usuario final, con su cansancio, su deuda y su tentación, como última línea de defensa.