En la mesa de trabajo, un clic puede salir más caro que el sueldo: lo que dice el último estudio sobre ingeniería social

Soy Griselda Ojeda y esta columna la firmo desde mi departamento en el barrio de Once, donde la pantalla del escritorio queda casi a la par de la pava eléctrica. Mientras hierve el agua para el mate de las diez de la mañana, repaso una investigación que me dejó incómoda: uno de cada ocho empleados estaría dispuesto a abrir un enlace sospechoso si la promesa fuera de 30.000 dólares. El dato no es menor porque describe, sin eufemismos, hasta dónde puede llegar la tentación cuando el sueldo no alcanza y el cansancio hace el resto.

La cifra que incomoda a los departamentos de IT

La compañía Kaspersky difundió un informe en el que midió cuánto dinero hace falta para que un trabajador ignore las normas básicas de seguridad informática de su empresa. En Perú, el 12 por ciento de los encuestados admitió que haría clic en un enlace malicioso si la recompensa fuera de 30.000 dólares. El 11 por ciento dudaría antes de aceptar la propuesta, pero terminaría interactuando igual con el enlace, mientras que el 1 por ciento lo haría sin pensarlo dos veces. La mayoría descartó el incentivo, claro, pero la fotografía final es reveladora: en una empresa mediana, varios empleados podrían exponer la red corporativa ante una oferta económica suficientemente alta.

El escenario no es solo un ejercicio académico. Los enlaces maliciosos suelen dirigir a páginas diseñadas para capturar contraseñas, instalar programas dañinos o recolectar información interna. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas empresariales o sistemas de gestión, el alcance del incidente se extiende mucho más allá del dispositivo original y termina golpeando a toda la organización.

Qué respondieron los trabajadores y qué dice eso de las empresas

Solo el 26 por ciento de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic en un enlace dudoso. Kaspersky presenta ese dato como un indicador positivo, pero también como una advertencia seria: si tres de cada cuatro personas no piensan en consultar, los canales de reporte internos no están funcionando como deberían y la capacitación queda a mitad de camino.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

• Simulaciones de phishing que permiten medir cómo reacciona cada equipo ante amenazas ficticias y corregir sobre la marcha.
• Aplicación del principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario para la tarea diaria.
• Canales seguros y ágiles para que los empleados informen situaciones sospechosas sin temer represalias ni burocracias.

La conclusión del estudio apunta a un problema de diseño organizacional: las empresas suelen invertir en software de protección y olvidan la formación práctica de quienes efectivamente operan los sistemas. Una solución técnica no cambia, por sí sola, el comportamiento de alguien que, ante un incentivo económico fuerte, evalúa si vale la pena saltarse el protocolo. Por eso la discusión deja de ser técnica y pasa a ser cultural: cómo se conversa adentro de cada oficina sobre el riesgo, qué ejemplos se comparten cuando llega un intento de phishing y qué tan sencillo es levantar la mano para pedir ayuda.

Antes de cerrar la nota, le pregunté a Miriam, que vive en el barrio de Balvanera y trabaja hace quince años en el área administrativa de una pyme del centro, qué haría si mañana le llegara un correo ofreciendo 30.000 dólares por abrir un archivo adjunto. Me miró con la taza de café en la mano y contestó, sin dudar: lo reenviaría al sector de sistemas y, si me contestan que es trucho, lo denuncio. Mañana, antes de prender la computadora, va a pedirle a su jefe una charla corta sobre cómo reconocer un enlace sospechoso. Dice que, después de leer estos números, no le cuesta admitir que cualquiera, un mal día, puede picar.