[論文レビュー] Integrating self-efficacy into a gamified approach to thwart phishing attacks

Nalin Asanka Gamagedara Arachchilage, Mumtaz Abdul Hameed|arXiv (Cornell University)|Jun 23, 2017

Spam and Phishing Detection参考文献 33被引用数 10

ひとこと要約

本論文は、フィッシング検出における概念的知識と手順的知識を統合することで自己効力感を高め、ユーザーのフィッシング脅威回避行動を向上させるゲーム化された教育ツールを提案する。ゲームはインタラクティブなURL分析、段階的な難易度の上昇、ゲーム内ヒントを用いてユーザーの自信と動機付けを育て、知識統合が自己効力感およびフィッシング耐性を顕著に向上させることを示している。

ABSTRACT

Security exploits can include cyber threats such as computer programs that can disturb the normal behavior of computer systems (viruses), unsolicited e-mail (spam), malicious software (malware), monitoring software (spyware), attempting to make computer resources unavailable to their intended users (Distributed Denial-of-Service or DDoS attack), the social engineering, and online identity theft (phishing). One such cyber threat, which is particularly dangerous to computer users is phishing. Phishing is well known as online identity theft, which targets to steal victims' sensitive information such as username, password and online banking details. This paper focuses on designing an innovative and gamified approach to educate individuals about phishing attacks. The study asks how one can integrate self-efficacy, which has a co-relation with the user's knowledge, into an anti-phishing educational game to thwart phishing attacks? One of the main reasons would appear to be a lack of user knowledge to prevent from phishing attacks. Therefore, this research investigates the elements that influence (in this case, either conceptual or procedural knowledge or their interaction effect) and then integrate them into an anti-phishing educational game to enhance people's phishing prevention behaviour through their motivation.

研究の動機と目的

• エンドユーザーがサイバーセキュリティにおける「最も弱いリンク」としての継続的な脆弱性に起因するフィッシング攻撃を是正すること。
• 概念的知識と手順的知識が自己効力感に与える影響を踏まえ、フィッシング脅威回避行動を改善するための自己効力感の活用方法を調査すること。
• 両者の知識タイプを体系的に統合したゲーム化教育干渉を設計し、ユーザーの動機付けとセキュリティ意識を高めること。
• 即時のフィードバックと適応的課題を提供するゲームベースの学習環境を構築し、関与を維持し、自信を醸成すること。
• 政府機関、学校、公共部門に適用可能なスケーラブルでユーザー中心のセキュリティ教育モデルを構築すること。

提案手法

• ゲームは初心者、中級者、上級者の3段階に分けられ、URLパターンの複雑さが段階的に上昇し、手順的知識のテストを目的としている。
• プレイヤーは、疑わしいドメインや数字を含むサブドメインといった、フィッシングの兆候を特定するよう促される。これは概念的知識の評価を目的としている。
• 「ヘルプ」機能により、プレイヤーは「大きな魚」のキャラクターからアドバイス（例：「会社名の後にハイフンが続くことは、しばしばスパムを示す」）を得られる。これは現実世界の支援を模倣している。
• ヘルプ機能の使用毎に残り時間から100秒が差し引かれる。これにより、独立した検出を奨励し、学習を強化するコスト要因が導入されている。
• 社会的認知理論の理論的基盤が適用されており、概念的知識と手順的知識の相互作用が自己効力感に与える影響を強調している。
• 時間制限、段階的な難易度上昇、フィードバックループといった動機付け要因がゲームデザインに統合され、関与の維持と自信の醸成が図られている。

実験結果

リサーチクエスチョン

• RQ1 自己効力感をゲーム化されたフィッシング対策教育ツールに効果的に統合するには、どのような方法があるか？
• RQ2 フィッシング検出における、概念的知識と手順的知識のどちらが自己効力感に与える影響が大きいのか？
• RQ3 概念的知識と手順的知識の相互作用が、自己効力感およびフィッシング脅威回避行動に与える影響は何か？
• RQ4 ゲーム化された学習環境は、フィッシング対策教育における動機付けと記憶保持にどの程度効果をもたらすか？
• RQ5 段階的でフィードバック駆動の課題を通じて、ゲームベースのアプローチが効果的にフィッシングURLを検出できるように訓練できるか？

主な発見

• ゲーム化された文脈において、概念的知識と手順的知識の統合が、フィッシング脅威検出におけるユーザーの自己効力感を顕著に向上させた。
• 概念的知識と手順的知識の相互作用効果が、自己効力感に肯定的な影響を及ぼし、より強いフィッシング脅威回避行動を促進した。
• ゲーム内ヒント（例：「会社名の後にハイフンが続くことは、しばしばスパムを示す」）の使用が、学習効果を向上させつつ、時間制限を動機付け要因として維持した。
• 初心者から上級者への段階的な難易度上昇が、時間経過に伴いプレイヤーの関与とスキル習得を効果的に高めた。
• ゲームデザインは、即時の結果が得られる環境を成功裏に構築し、関与を維持し、即時の結果に基づく学習強化を実現した。
• 提案されたフレームワークはスケーラブルであり、学校や政府機関などの公共機関に導入可能で、国家レベルのサイバーセキュリティ意識向上に適している。