¿Clic sospechoso por 30.000 dólares? Sí, hay quienes lo harían

Aclaremos algo de entrada: ¿de verdad hay gente que vende la seguridad de su empresa por un click? Parece exagerado, pero los números dicen que sí. En criollo: el estudio de Kaspersky aplicado en Perú arrojó que el 12% de los trabajadores haría clic en un enlace sospechoso a cambio de 30.000 dólares. Parece poco hasta que uno se acuerda de que en una pyme de 50 personas, eso son seis empleados dispuestos a jugarse la red corporativa por una billetada.

Para los que no manejan el tema: cuando hablamos de un enlace malicioso hablamos de un link que parece inofensivo pero te lleva a una página trucha, capaz de robarte la contraseña del mail corporativo, plantar un virus o hacerse con archivos de la red interna. Imaginate esto en una salteña: si el contador de una empresa del parque industrial hace clic en uno de esos, el que entra no es solo él, es toda la facturación, las claves del banco y los datos de los clientes.

¿Cuán tentados estamos por la plata?

El dato fino es este: el 11% de los peruanos encuestados lo pensaría dos veces, pero terminaría haciendo clic. Y un 1% directamente ni lo duda. O sea, la mayoría descarta el incentivo, pero el porcentaje restante significa que en cualquier empresa mediana siempre va a haber alguien mirando la plata ajena. El estudio no aclara si los argentinos somos más o menos vivos que los peruanos, pero la tentación es universal: a nadie le sobran 30.000 dólares.

• Simulaciones de phishing: mandar mails truchos a propósito para ver quién pica y quién avisa.
• Mínimo privilegio: cada cuenta tiene acceso solo a lo que necesita; el cadete no entra al sistema de sueldos.
• Canales de reporte seguros: que el empleado pueda levantar la mano sin que lo sancionen por haber dudado.
• Capacitación continua: no sirve hacer un taller cada dos años y olvidarse, el truco se renueva cada semana.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión.”Leandro Cuozzo, analista de Kaspersky para América Latina

Acá viene el otro dato que duele: el 26% de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. O sea, apenas uno de cada cuatro. El 74% restante ni se acuerda de que existe un sector de soporte. Según Kaspersky, eso quiere decir que los canales internos de aviso no están funcionando como deberían: la gente no sabe a quién llamar, no le cae simpático el help desk o directamente le da pereza.

¿Y ahora qué hacemos con esta información?

La conclusión del informe es bastante directa: las empresas gastan fortunas en antivirus, firewalls y cuanto software de protección haya en el mercado, pero se olvidan del eslabón más débil, que es el empleado sentado frente a la pantalla. Leandro Cuozzo lo dijo sin vueltas: no alcanza con esperar que la persona detecte el engaño, hay que combinar capacitación, protocolos claros y herramientas que frenen el contenido malicioso antes de que llegue al usuario. Parece sentido común, pero si el 12% está dispuesto a picar por 30.000 dólares, el sentido común no es tan común como creíamos. Veremos si la próxima campaña de phishing simulada en nuestras empresas cambia la película.