Un estudio de Kaspersky aplicado a trabajadores peruanos encontró que el 11% dudaría antes de aceptar la propuesta, pero terminaría interactuando con el enlace, mientras que el 1% lo haría sin pensarlo. La mayoría descartaría el incentivo, pero la cifra implica que en una empresa mediana varios empleados podrían exponer la red corporativa ante una oferta económica suficientemente alta.

El escenario no es solo teórico. Los enlaces maliciosos pueden dirigir a páginas diseñadas para capturar contraseñas, instalar programas dañinos o recopilar información interna. Cuando el equipo comprometido tiene acceso a archivos compartidos, cuentas empresariales o sistemas de gestión, el alcance del incidente puede extenderse mucho más allá del dispositivo original.

El 26% de los encuestados dijo que consultaría con el área de Tecnología de la Información antes de hacer clic. Kaspersky señala ese dato como un indicador positivo, pero también como una advertencia: si tres de cada cuatro personas no piensan en consultar, los canales de reporte internos no están funcionando como deberían.

Leandro Cuozzo, analista del equipo de investigación de Kaspersky para América Latina, sostuvo que "no basta con esperar que una persona reconozca un enlace sospechoso, especialmente cuando existen incentivos que pueden llevarla a tomar una mala decisión". La recomendación es combinar capacitación continua, protocolos claros de reporte y herramientas que bloqueen el contenido malicioso antes de que llegue al usuario.

Entre las medidas que el informe destaca están las simulaciones de phishing, que permiten medir cómo reacciona cada equipo ante amenazas ficticias; la aplicación del principio de mínimo privilegio, que limita los permisos de cada cuenta a lo estrictamente necesario; y la habilitación de canales seguros para que los empleados informen situaciones sospechosas sin temor a consecuencias.

La conclusión del estudio apunta a un problema de diseño organizacional: las empresas suelen invertir en software de protección, pero descuidan la formación práctica de quienes operan los sistemas. Una solución técnica no cambia el comportamiento de alguien que, ante un incentivo inesperado, decide saltear los controles.

¿Tu empresa tiene un protocolo claro para reportar un enlace o mensaje sospechoso? Contanos en los comentarios.