• El experimento, realizado bajo estrictas medidas de seguridad y sin malware real, dejó en evidencia la rapidez con la que se compromete la seguridad de las personas.

Un experimento volvió a poner el foco en el factor humano, que suele ser el punto más difícil de controlar en ciberseguridad. La organización Clusil realizó una prueba dejando 240 memorias USB en espacios públicos para comprobar cómo reaccionaba la gente al encontrarlas y si las conectaba a un ordenador sin verificar su origen.

Los resultados fueron claros y rápidos, donde el 16 % de los dispositivos acabó conectado a un equipo apenas 30 minutos después de ser recogido, lo que muestra que la tentación de "ver qué hay dentro" sigue pesando más que la precaución, incluso cuando el riesgo es conocido y muy fácil de evitar.

La conclusión de esta prueba es sencilla. Y es que los usuarios pueden tener cortafuegos, antivirus y políticas de acceso, pero si alguien conecta hardware desconocido, sigues teniendo una puerta de entrada real.

Una memoria USB puede llevar archivos maliciosos o servir para ejecutar acciones sin que el usuario lo detecte, así que la prevención pasa por dos frentes, formación básica sobre como reaccionar ante una situación similar y controles como restringir puertos USB o bloquear dispositivos no autorizados.

Una auditoría controlada con 240 dispositivos

La metodología del estudio consistió en dispersar las memorias USB en ubicaciones de alto tránsito como estaciones, centros comerciales y eventos tecnológicos. Para garantizar la seguridad y la ética del procedimiento, Clusil no utilizó malware real.

Los dispositivos contenían únicamente archivos con nombres atractivos y un documento HTML. Al abrir este archivo, se enviaba una señal a un servidor web seguro gestionado por la organización, lo que permitía registrar el acceso con fines estadísticos sin comprometer los datos ni la privacidad del usuario.

Todo el proceso se realizó bajo una estricta supervisión, donde la Comunidad de Respuesta a Emergencias Cibernéticas (CERT) de Luxemburgo fue informada con antelación y expertos externos revisaron el protocolo para evitar falsas alarmas o daños en los equipos de quienes encontraran las memorias.

Los jóvenes y la falsa sensación de seguridad

El análisis de los datos arrojó una estadística preocupante en el sector educativo. Mientras que la tasa general de conexión fue del 16 %, en las escuelas esta cifra se disparó hasta el 31 %.

Este dato sugiere que los entornos donde se concentran usuarios jóvenes, a menudo considerados más hábiles con la tecnología, son paradójicamente más vulnerables a este tipo de amenazas físicas.

Por otro lado, la velocidad de reacción también fue un factor crítico. El hecho de que varias memorias se conectaran en menos de media hora demuestra que el tiempo de exposición necesario para comprometer una red es mínimo.

Cabe mencionar que el experimento generó respuestas muy diferentes entre quienes encontraron los dispositivos. Una organización actuó de manera ejemplar: tras detectar varias memorias en sus instalaciones en un lapso de 45 minutos, convocó una reunión de crisis interna.

El equipo de seguridad aisló los soportes, copió los datos a un sistema independiente para su análisis y guardó los USB físicos en una caja fuerte antes de contactar con las autoridades. Sin embargo, la prueba también dejó en evidencia a los profesionales.

Al menos un experto en ciberseguridad cayó en la trampa tras encontrar una memoria en un aparcamiento. En lugar de aislarla, la conectó para analizarla, activando el rastreador. Este incidente subraya que el exceso de confianza puede afectar incluso a quienes poseen conocimientos técnicos avanzados.

La conclusión de Clusil es clara, donde el problema no reside en la tecnología, sino en el comportamiento. Conectar un dispositivo de almacenamiento externo desconocido anula las protecciones de software más sofisticadas.

Por ello, es imprescindible reforzar la formación y establecer normas rígidas sobre el manejo de soportes externos. Mientras el usuario final siga priorizando la curiosidad sobre la seguridad, los atacantes tendrán una vía de acceso libre, independientemente de la sofisticación del software instalado.