[論文レビュー] Preliminary Results from a U.S. Demographic Analysis of SMiSh Susceptibility

Cori Faklaris, Heather Richter Lipford+1 more|arXiv (Cornell University)|Sep 12, 2023

Spam and Phishing DetectionComputer Science被引用数 3

ひとこと要約

本研究は、米国の人口統計的要因に応じたSMiShingへの感受性を、1,007名の成人モバイルユーザーを対象に実施したアンケート調査を通じて調査した。若年層の成人および大学生が最も感受性が高く、予想に反して、セキュリティ意識が高いほどSMiShingの検出精度が低下することが判明し、訓練を受けた個人における脅威認識のギャップが顕著であることが示された。

ABSTRACT

As adoption of mobile phones has skyrocketed, so have scams involving them. The text method is called SMiShing, (aka SMShing, or smishing) in which a fraudster sends a phishing link via Short Message Service (SMS) text to a phone. However, no data exists on who is most vulnerable to SMiShing. Prior work in phishing (its e-mail cousin) indicates that this is likely to vary by demographic and contextual factors. In our study, we collect this data from N=1007 U.S. adult mobile phone users. Younger people and college students emerge in this sample as the most vulnerable. Participants struggled to correctly identify legitimate messages and were easily misled when they knew they had an account with the faked message entity. Counterintuitively, participants with higher levels of security training and awareness were less correct in rating possible SMiSH. We recommend next steps for researchers, regulators and telecom providers.

研究の動機と目的

• 米国人口におけるSMiShing（SMSフィッシング）への感受性に影響を与える人口統計的要因を特定すること。
• セキュリティ意識および訓練が、ユーザーがSMiShingメッセージを検出できる能力に与える影響を検討すること。
• メッセージ送信者との関係性の正当性やなじみの有無が、ユーザーの判断に与える影響を評価すること。
• 実証的なユーザー行動に基づき、政策立案者、通信事業者、研究者に有効な緩和戦略を提供すること。

提案手法

• 1,007名の米国成人モバイルユーザーを対象に、全国的代表的サンプルを用いたウェブベースのアンケート調査を実施した。
• 参加者は12件の模擬SMiShingメッセージを評価し、送信者の正当性、緊急性、コンテンツの違いを含むバリエーションを含めた。
• 年齢、教育水準、職業状況などの人口統計的変数を収集し、感受性のパターンを分析した。
• セキュリティ意識は自己申告による訓練経験および経験で測定され、参加者はメッセージの正当性を5段階スケールで評価した。
• ロジスティック回帰および分散分析（ANOVA）を用いて、人口統計的および意識レベルのサブグループ間での応答精度を統計的に比較した。
• データ収集には、制御されたメッセージ状況と、送信者信頼性などの文脈的要因を含めた。

実験結果

リサーチクエスチョン

• RQ1 米国の成人モバイルユーザーの中で、SMiShingに対して最も感受性が高いのは誰であり、年齢や教育水準はその感受性にどのように影響するか？
• RQ2 自己申告によるセキュリティ意識は、ユーザーがSMiShingメッセージを正しく識別できる能力にどのように影響するか？
• RQ3 偽の送信者とされる機関（例：銀行、大学）に慣れ親しんでいると、詐欺メッセージを正当なものと誤認する可能性が高まるか？
• RQ4 緊急性や緊急を訴える表現を含む文脈的ヒントは、SMiShing状況におけるユーザーの判断にどの程度影響を与えるか？

主な発見

• 18歳～29歳の若年層の成人および大学生は、SMiShingに対して最も感受性が高く、年齢が上位のグループに比べて検出精度が顕著に低かった。
• セキュリティ訓練や意識の高い人々は、SMiShingメッセージの検出精度が低く、誤った安心感や知識の誤用が示唆された。
• 参加者は、送信者が知られている機関（例：銀行、大学）であると感じると、詐欺メッセージを正当なものと誤認する可能性が顕著に高まった。
• 緊急を要する表現やアカウントの問題を訴える内容を含むメッセージは、明確に詐欺的であるにもかかわらず、より正当なものと見なされやすかった。
• 参加者のわずか58％が、12件の模擬SMiShingメッセージをすべて詐欺であると正しく識別できた。これは、サンプル全体にわたり広範な感受性が存在することを示している。
• 特に若年層およびより高い教育水準を持つユーザーにおいて、自己認識されたセキュリティの熟練度と実際の検出パフォーマンスとの間に顕著なギャップが明らかになった。