Doce de cada cien empleados peruanos venderían su clic por treinta mil dólares

A confesión de parte, relevo de pruebas. Imaginate la escena: un martes cualquiera, café de por medio, suena el mail del trabajo y aparece un link sospechoso que promete pagarle a quien haga clic la módica suma de treinta mil dólares. Suena a trampa, y de hecho lo es. Pero uno de cada ocho empleados peruanos admitiría, según una investigación reciente, que no podría con su genio y le daría clic nomás. Doce de cada cien. Un dígito que parece pequeño hasta que lo multiplicás por la cantidad de gente que opera la red de una compañía mediana.

El termómetro de la codicia corporativa

Kaspersky, una empresa que se dedica a vender antivirus y, de paso, a medir cuánto tarda la gente en hacer clic donde no debe, publicó un estudio que indaga hasta qué cifra empieza a temblar la mano del empleado. En Perú, el once por ciento reconoció que lo pensaría un rato, pero caería. El uno por ciento ni siquiera necesita pensarlo: clic y a otra cosa. El resto, la mayoría sana, descartaría la propuesta. Pero esa mayoría sana no compensa el hecho de que, en una empresa de cien personas, haya doce dispuestas a tirar por la borda el trabajo del área de sistemas por un sueldo extra.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

Qué pasa cuando alguien hace clic

El clic es la puerta de entrada, y lo que viene después suele ser feo. Un enlace malicioso puede llevar a una página clonada que captura contraseñas, instalar un programa espía o extraer información de la empresa sin que el usuario lo note. Si la víctima tiene acceso a archivos compartidos, cuentas de correo corporativas o sistemas de gestión, el daño se expande más allá de la notebook original. Es como dejar la llave de casa puesta en el candado porque un desconocido tocó el timbre ofreciendo plata.

• Simulaciones de phishing: se envían mails truchos para ver quién cae y corregir a tiempo.
• Principio de mínimo privilegio: cada cuenta accede solo a lo que necesita para su tarea, nada más.
• Canales de reporte seguros: que el empleado pueda avisar que vio algo raro sin terminar en el ojo del huracán.
• Capacitación continua: no una charla al año, sino práctica repetida hasta que el clic sospechoso dé picazón.

Dónde falla la empresa

El veintiséis por ciento de los encuestados dijo que, ante la duda, consultaría con el área de Tecnología de la Información antes de hacer clic. Es el dato que Kaspersky celebra como victoria y yo miro con cara larga: significa que tres de cada cuatro personas ni se acuerdan de que existe un canal para reportar estas cosas. O peor: se acuerdan, pero no lo usan. Las empresas invierten fortunas en firewalls, antivirus y herramientas de detección, y después dejan al eslabón más barato de la cadena, el humano que mira la pantalla, sin entrenamiento serio. Acá, colegas de Recursos Humanos, la culpa no es del, la culpa es de quien diseña la política.

Mi consejo, directo y sin vueltas: si manejás un equipo, no asumas que la gente sabe lo que tiene que hacer. Probá mandando vos mismo un mail sospechoso a ver quién cae. A los caídos, capacitá sin humillar. Al que reporte algo raro, agradecé en público. Y si te ofrecen treinta mil dólares por un clic, acordate de que ese mismo clic le puede costar a la empresa diez veces más.