[論文レビュー] Business Email Compromise (BEC) and Cyberpsychology

Alessandro Ecclesie Agazzi|arXiv (Cornell University)|Jul 5, 2020

Spam and Phishing Detection参考文献 3被引用数 4

ひとこと要約

本稿は、サイバーパsコロジーの観点からビジネスメール詐欺（BEC）スキャムを検討し、パーソナリティ特性（Big Fiveフレームワーク）とCialdiniの影響の6原則が、サイバー工作攻撃を可能にする仕組みを分析している。ユビキティやピーブルズメディアグループのような実際の事例を通じて、BECの広範な脅威を示し、組織が実行可能な緩和戦略を提言している。

ABSTRACT

The paper gives a brief introduction about what BEC (Business Email Compromise) is and why we should be concerned about. In addition, it presents 2 examples, Ubiquity and Peebles Media Group, which have been chosen to analyse the phenomena of BEC and underpin how universal BEC threat is for all companies. The psychology behind this scam has been, then, studied. In particular, the Big Five Framework has been analysed to understand how personality traits play an important role in Social Engineering-based attacks. Furthermore, the 6 basic principles of influence, by Cialdini, have been presented to show which strategies are adopted in such scam. The paper follows with the analysis of the BEC impacts, the incidents evaluation and, finally, with the description of some precautions, that companies should undertake in order to mitigate the likelihood of a Business Email Compromise.

研究の動機と目的

• ビジネスメール詐欺（BEC）スキャムの背後にある心理的メカニズムを調査し、特に人的行動がサイバー工作攻撃を可能にする仕組みを明らかにすること。
• ユビキティやピーブルズメディアグループのような著名な実際の事例を分析することで、BEC脅威の普遍性を検証すること。
• Big Fiveフレームワークからのパーソナリティ特性が、BEC攻撃への感受性にどのように影響するかを検討すること。
• Cialdiniの影響の6原則が、BECスキャムの有効性に果たす役割を評価すること。
• BECリスクを低減するための実用的で心理学的知見に基づいた組織的対策を提言すること。

提案手法

• ユビキティとピーブルズメディアグループの2つの代表的なBEC事案をケーススタディとして分析し、BECの実際の影響と広範な発生状況を示すこと。
• 個人の脆弱性を評価するために、Big Fiveパーソナリティ特性フレームワーク（開放性、誠実性、外向性、協和性、神経症傾向）を適用すること。
• Cialdiniの影響の6原則（報酬、コミットメント・一貫性、社会的証明、権威、好意、希少性）を統合し、BECキャンペーンで用いられる心理的戦術を解明すること。
• 財務的影響、組織的混乱、心理的操作技法の観点からBEC事案を評価すること。
• 影響の原則やパーソナリティに配慮したリスク認識を重視した訓練プログラムなど、心理学的知見に基づいた組織的予防策を提言すること。

実験結果

リサーチクエスチョン

• RQ1 Big Fiveフレームワークからのパーソナリティ特性は、個人のBEC攻撃への感受性にどのように影響するか？
• RQ2 Cialdiniの影響の6原則は、実際のBECスキャムの通信文にどの程度現れているか？
• RQ3 多様な組織にわたり、BEC攻撃が成功する背後にある共通の心理的パターンは何か？
• RQ4 サイバーパsコロジーの知見を統合することで、組織のサイバーセキュリティ戦略をどのように強化できるか？
• RQ5 BEC事案が企業に及ぼす測定可能な影響は何か？そして、心理的認識を高めることで、これらの影響をどのように緩和できるか？

主な発見

• Big Fiveパーソナリティフレームワークによると、神経症傾向が高く、誠実性が低い人々は、不安が増幅され、細部への注意が薄いため、BECスキャムに対してより脆弱であることが明らかになった。
• Cialdiniの影響の原則、特に権威と希少性は、被害者に迅速な財務的決定を迫る目的で、体系的に悪用されている。
• ユビキティとピーブルズメディアグループの事例は、BECが中小企業に限らず、大規模でリソースに恵まれた組織に対しても重大な脅威をもたらすことを示している。
• BECにおける心理的操作は、技術的脆弱性ではなく、認知バイアスと感情的トリガーをねらったものであるため、極めて効果的である。
• 影響の原則やパーソナリティに基づいたリスクを踏まえた心理学的知見を活用した訓練を実施する組織は、BEC攻撃の成功確率を顕著に低下させることができる。
• 本研究では、BEC事案が重大な財務的および運用的損害を引き起こすことが確認されており、著名な事例では1件あたりの損失が100万ドルを超えることも多い。