Un enlace sospechoso y 30.000 dólares: cuánto vale la seguridad corporativa para un trabajador peruano

Un estudio reciente de Kaspersky dejó al descubierto una cifra que incomoda a los responsables de seguridad informática en América Latina: en Perú, el 12% de los trabajadores encuestados reconoció que haría clic en un enlace sospechoso si la recompensa fuera de 30.000 dólares. La proporción equivale, en términos simples, a uno de cada ocho empleados dispuestos a arriesgar la red corporativa por un incentivo económico concreto. En una compañía mediana, eso puede traducirse en varios equipos completos dispuestos a abrir la puerta a un atacante.

El detalle fino de la decisión

La investigación desglosó la respuesta en dos capas. El 11% de los consultados dijo que dudaría antes de aceptar la propuesta, pero que terminaría interactuando con el enlace. El 1% restante afirmó que lo haría sin pensarlo. En ambos casos, el resultado operativo es el mismo: el correo o mensaje malicioso cumple su objetivo. La distinción entre el impulso y la reflexión importa desde lo psicológico, pero no desde lo técnico: para el software que ejecuta el ataque, un clic es un clic.

Para dimensionarlo con un ejemplo cotidiano, el riesgo funciona como una hornalla encendida: no importa si uno la tocó rápido o si dudó un segundo antes de apoyar la mano, el contacto produce la quemadura. Del mismo modo, una vez que se carga el enlace fraudulento, comienza la captura de credenciales, la descarga de software dañino o la exfiltración de información sensible, procesos que pueden automatizarse y propagarse sin intervención adicional del empleado.

• Identificar qué tipo de archivos adjuntos y enlaces circulan con más frecuencia en el área de trabajo propia.
• Revisar si la empresa cuenta con un canal visible y accesible para reportar correos sospechosos.
• Verificar qué permisos tienen las cuentas personales: cuanta menos información accesible, menor el daño ante un clic indebido.
• Confirmar si se realizan simulaciones periódicas de phishing y si los resultados se comparten con los equipos.
• Comprobar que las soluciones de seguridad operen a nivel del navegador y del correo, no solo del equipo final.

El rol del área de Tecnología de la Información

El informe arrojó otro número clave: solo el 26% de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic en un enlace dudoso. Kaspersky interpreta esa proporción como un indicador positivo, porque muestra que existe un grupo de empleados que ya incorporó la práctica de pedir ayuda. Sin embargo, la lectura inversa es más preocupante: tres de cada cuatro personas no piensan en reportar la situación, lo que sugiere que los canales internos no están comunicados con la claridad suficiente o que aún generan desconfianza.

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

El especialista sostuvo que la solución pasa por combinar tres ejes: capacitación continua, protocolos claros de reporte y herramientas que bloqueen el contenido malicioso antes de que llegue al usuario. Entre las medidas que el informe destaca aparecen las simulaciones de phishing —que permiten medir cómo reacciona cada equipo ante amenazas ficticias—, la aplicación del principio de mínimo privilegio —que limita los permisos de cada cuenta a lo estrictamente necesario— y la apertura de canales seguros para que los empleados informen situaciones sospechosas sin temor a represalias laborales.

Lo que todavía no se sabe

La encuesta deja varias preguntas abiertas. No precisa cuánto subiría el porcentaje de clics si la recompensa económica fuera aún mayor, ni cómo varía la disposición según el rango jerárquico o el sector productivo. Tampoco detalla si las empresas peruanas que fueron consultadas ya invirtieron en programas formales de concientización o si el 12% de respuestas afirmativas refleja un problema estructural de capacitación. Mientras esas variables no se aclaren, el dato central sigue siendo un punto de partida: la seguridad corporativa no depende solo del software instalado, sino de la decisión que toma cada empleado frente a la pantalla.