El precio de un clic: por qué 30.000 dólares pueden tumbar la red de cualquier empresa

En una peña del centro de Lima, entre platos de ceviche y conversaciones que se estiraron hasta bien pasadas las once de la noche, un administrador de sistemas me confesaba algo que me quedó dando vueltas: "Hermano, uno subestima a la gente hasta que le pone un número encima". Esa frase vuelve a cruzárseme cada vez que aparece un informe como el que publicó Kaspersky y que sacudió las mesas de los responsables de seguridad informática de la región. La pregunta ya no es si una empresa tiene antivirus, firewalls o autenticación en dos pasos. La pregunta es cuánto dinero hace falta para que alguien, con el dedo a un centímetro del mouse, decida apretarlo igual.

El dato central duele por lo simple: en Perú, uno de cada ocho empleados admitió que haría clic en un enlace malicioso si la recompensa fuera de 30.000 dólares. No estamos hablando de un experimento de laboratorio ni de una hipótesis académica. Estamos hablando de trabajadores reales, sentados frente a una pantalla real, contestando una encuesta real. Y eso, para cualquiera que haya transitado alguna vez por un área de Sistemas, es un llamado de atención que no se puede mirar para otro lado.

Qué respondió cada uno y por qué importa

La investigación desglosó ese 12 por ciento en dos camadas que conviene no mezclar. El 11 por ciento dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace igual. Es decir, la mayoría de los que cederían lo harían después de pensarlo un rato, no en un rapto de locura. El 1 por ciento restante lo haría sin pensarlo dos veces. A primera vista parece poco, pero si lo llevamos a una empresa mediana, de unos doscientos empleados, estamos hablando de dos personas que obrarían sin filtro y de veintidós que lo harían con filtro pero obrarían al fin. La red corporativa queda, en cualquiera de los dos casos, a merced de lo que ese clic dispare.

Lo que viene después de ese clic tampoco es teoría. Los enlaces maliciosos suelen llevar a páginas que parecen gemelas de las originales: el portal del banco, la intranet de la compañía, el sistema de gestión de turnos. Lo que hacen, mientras uno tipea la contraseña con la mejor buena fe, es capturar credenciales, instalar programas que abren puertas traseras o levantar información sensible que después se vende en mercados donde nadie quiere preguntar para quién. Y cuando el empleado comprometido maneja archivos compartidos, cuentas con permisos especiales o sistemas críticos, el daño se propaga mucho más allá de esa notebook solitaria del octavo piso.

El 26 por ciento de los encuestados dijo que, antes de hacer clic, consultaría con el área de Tecnología de la Información. Kaspersky presenta ese número como una señal positiva, y en parte lo es. Pero yo lo miro del otro lado: significa que tres de cada cuatro personas ni se plantean levantar el teléfono. Y eso, en criollo, quiere decir que los canales internos de reporte no están funcionando como deberían, o que la gente no los conoce, o que les tiene desconfianza. Cualquiera de las tres opciones es un problema.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Qué recomienda el informe y por qué no alcanza solo con software

• Simulaciones de phishing periódicas para medir cómo reacciona la gente ante amenazas de mentira y corregir sobre la marcha, no después del incidente.
• Aplicación estricta del principio de mínimo privilegio: cada cuenta accede solo a lo que necesita para su función, ni un permiso más.
• Canales seguros y tranquilos para que cualquier empleado pueda avisar una situación sospechosa sin miedo a quedar como el que exageró.
• Capacitación continua y práctica, no una charla anual de cuarenta minutos que se olvida a la semana siguiente.
• Herramientas que bloqueen el contenido malicioso antes de que llegue al buzón o al navegador del usuario.

Hay algo que el informe pone sobre la mesa y que a mí me parece la discusión de fondo, por encima de los porcentajes: el problema es de diseño organizacional, no de software. Las empresas invierten fortunas en licencias, en equipos de seguridad, en auditorías externas. Pero muchas veces descuidan el eslabón más barato y, a la vez, más caro de la cadena: la formación práctica de quienes todos los días operan los sistemas. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo suficiente, va a tomar la peor decisión. Y acá vuelvo a la peña de aquella noche, porque el administrador que me habló lo dijo con una claridad que ningún manual corporativo me había regalado: la tecnología sirve, pero la decisión la sigue tomando una persona. Y esa persona, como cualquiera de nosotros, tiene un precio.