Treinta mil dólares y un click: la cifra que compra la estupidez

Lo leí dos veces y todavía no sé si reírme o preocuparme. Resulta que, según una investigación reciente de Kaspersky, alcanza con ofrecer treinta mil dólares para que un porcentaje nada despreciable de trabajadores peruanos haga clic en un enlace sospechoso. Dólares contantes y sonantes, no una figurita difícil ni un descuento en la dietética: plata fuerte.

El dato duro es elocuente. El doce por ciento de los encuestados en Perú admitió que, ante una recompensa de esa magnitud, interactuaría con el archivo o link malicioso. El once por ciento dudaría, pero caería igual; el uno por ciento lo haría sin pestañar. Parece poco, hasta que uno imagina una compañía mediana con cien empleados en la oficina: ahí se entiende el agujero.

El problema no es la tecnología, es quien la usa

Los enlaces sospechosos son la puerta de entrada más común para los ataques que roban contraseñas, instalan programas dañinos o filtran información interna. Cuando el equipo que cae tiene acceso a archivos compartidos, cuentas corporativas o sistemas de gestión, lo que empezó en un click termina como novela de espías. Y los antivirus, por sofisticados que sean, no pueden hacer mucho si al otro lado de la pantalla hay alguien con la decisión de apretar igual.

Kaspersky rescata un número auspicioso: el veintiséis por ciento de los consultados avisaría al área de Tecnología de la Información antes de hacer cualquier cosa. Es un dato a celebrar, aunque leído al revés lo que dice es bastante crudo, porque tres de cada cuatro personas no pensarían en levantar el teléfono para preguntar nada. O sea, los canales internos de reporte están ahí, lo que falta es gente que los use (y no precisamente para chusmear).

“No basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión”Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina

Hay algo casi confesional en este tipo de encuestas. Los trabajadores contestan con una sinceridad que pocas veces se ven cuando se firma un contrato: confiesan, en papel y ante un desconocido, cuánto dinero los haría traicionar las reglas. Es casi una devolución de favores: el estudio les pregunta a cuánto se venden sin que nadie los esté apretando de verdad. Y varios cantan.

Qué proponen y qué queda pendiente

• Simulaciones periódicas de phishing para medir cómo reacciona cada equipo ante amenazas ficticias.
• Aplicar el principio de mínimo privilegio, limitando los permisos de cada cuenta a lo estrictamente indispensable.
• Habilitar canales seguros y sin castigo para que cualquier empleado pueda reportar un enlace dudoso sin quedar como exagerado.
• Capacitación continua, no una charla cada dos años sino formación concreta sobre lo que realmente llega a la casilla.

La conclusión que deja el informe apunta a un problema de diseño. Se invierte en firewalls, en licencias carísimas, en centrales de monitoreo que parecen sacadas de una serie, y después se olvida lo más básico: entrenar a quien va a estar sentado delante del equipo a las nueve de la mañana. Una solución técnica no modifica la conducta de alguien que, ante una recompensa suficiente, ya decidió hacerse el distraído. Y eso, aunque duela, sigue dependiendo de nosotros, no de la última versión del software.

Mi recomendación concreta para esta semana, ya que estamos en tema: si trabajás en una oficina y te llega un correo raro con premio, plata o promesa de herencia, levantá el teléfono antes de tocar el mouse. Te puede ahorrar un dolor de cabeza mucho más caro que esos treinta mil dólares.

Marta Tolaba, Cultura y espectáculos