Doce de cada cien colegas peruanos harían clic en un link raro por treinta mil dólares: ya estamos todos avisados

Empecemos por lo nuestro. El otro día intenté entrar a mi home banking, escribí rápido la dirección y terminé en una página que me pedía el DNI. No era el banco, por supuesto. Le avisé al área de sistemas y me contestaron con un emoji de pulgar. Si yo, que escribo sobre estas cosas, estuve a punto de caer, imagínense lo que puede pasar cuando en juego hay algo más tentador que una transferencia propia: un premio en dólares.

Kaspersky, la empresa de seguridad informática rusa que en la región opera como Kaspersky Lab, hizo una encuesta entre trabajadores peruanos y llegó a un número incómodo: el doce por ciento, o sea uno de cada ocho, haría clic en un enlace sospechoso si la recompensa fueran treinta mil dólares. La sigla CEO no aparece acá, pero la comparación sirve: es como si en una mesa de diez comensales, más de uno aceptara comer un plato servido en el piso porque le prometen un buen sobresueldo.

El desglose del número

• Un once por ciento dudaría, pero finalmente haría clic igual.
• Un uno por ciento lo haría sin pensarlo dos veces.
• Un veintiséis por ciento consultaría con el área de Tecnología de la Información, es decir, los muchachos de soporte, antes de abrir nada.
• El resto descartaría el incentivo, aunque eso no significa que estén a salvo de otro tipo de engaño.

Acá va la confesión: yo pertenezco a ese veintiséis por ciento que llamaría al área de sistemas antes de tocar cualquier cosa dudosa. Y aun así, esa conducta no me convierte en infalible. Cuando el anzuelo es un mail del jefe pidiendo una gestión urgente, el instinto pesa más que el manual de buenas prácticas.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Lo que dice Cuozzo, en criollo, es que no alcanza con cruzar los dedos y rezar para que el compañero de al lado tenga buen ojo. Los enlaces maliciosos, que en la jerga se conocen como phishing, pueden llevar a páginas que copian claves, instalan programas espía o vacían archivos de la red interna. Cuando el empleado comprometido maneja cuentas corporativas, el daño se multiplica: del celular pasa al servidor, del servidor al cliente, y del cliente al titular del diario de mañana.

Qué recomienda el informe

• Simulaciones de phishing, o sea pruebas controladas con anzuelos falsos para ver quién pica y quién no.
• Aplicar el principio de mínimo privilegio, que en criollo significa dar a cada cuenta solo los permisos que necesita y nada más.
• Habilitar canales seguros para reportar sospechas, sin que el empleado termine sintiéndose el delator de la oficina.
• Capacitación continua, no esa charla anual de veinte minutos donde todos miran el celular.

La conclusión del estudio es bastante directa: las empresas gastan fortunas en antivirus, firewalls y plataformas de detección, pero se olvidan de la pieza más barata y a la vez más cara del sistema: la persona sentada frente al monitor. Un software sofisticado no cambia el razonamiento de alguien que ve treinta mil dólares como un salvavidas. Y acá viene el consejo, porque alguien tiene que decirlo en imperativo: activá la autenticación de dos factores en todas las cuentas que uses, no abras enlaces llegados por mail aunque pidan click con cara de urgencia, y si algo huele mal, mandá el archivo sospechoso al área de sistemas antes de hacer clic. Treinta mil dólares hipotéticos no compensan un incidente real.