[論文レビュー] User-Centred Security Education: A Game Design to Thwart Phishing Attacks

Nalin Asanka Gamagedara Arachchilage|arXiv (Cornell University)|Nov 11, 2015

Spam and Phishing Detection参考文献 12被引用数 8

ひとこと要約

本研究では、ユーザーがフィッシングURLを識別する能力を高めるために、魚をテーマにしたアドベンチャー形式のモバイルゲームを開発・評価した。ゲームでは、本物のURLと偽装されたURLを区別する訓練が行われ、実験後、ユーザーのフィッシング回避行動が顕著に向上した。後測定スコアは、ゲームプレー後、56%から84%に上昇し、脅威認識と自己効力感の向上がその要因となった。

ABSTRACT

Phishing is an online identity theft that aims to steal sensitive information such as username, password and online banking details from its victims. Phishing education needs to be considered as a means to combat this threat. This paper reports on a design and development of a mobile game prototype as an educational tool helping computer users to protect themselves against phishing attacks. The elements of a game design framework for avoiding phishing attacks were used to address the game design issues. Game design principles served as guidelines for structuring and presenting information. Our mobile game design aimed to enhance the users' avoidance behaviour through motivation to protect themselves against phishing threats. A think-aloud study was conducted, along with a pre- and post-test, to assess the game design framework though the developed mobile game prototype. The study results showed a significant improvement of participants' phishing avoidance behaviour in their post-test assessment. Furthermore, the study findings suggest that participants' threat perception, safeguard effectiveness, self-efficacy, perceived severity and perceived susceptibility elements positively impact threat avoidance behaviour, whereas safeguard cost had a negative impact on it.

研究の動機と目的

• 自動検出ツールが存在するにもかかわらず、依然として深刻なセキュリティ脅威であるフィッシング攻撃に対するエンドユーザーの脆弱性を是正すること。
• URL分析に焦点を当て、ユーザー中心のモバイルゲームを開発し、フィッシングサイトを識別する能力を高めること。
• 脅威認識、自己効力感、保護策コストの3要因に基づくゲームデザインフレームワークが、フィッシング回避行動の改善にどの程度寄与するかを評価すること。
• モバイルゲームにおける物語展開とインタラクティブフィードバックが、ユーザーの脅威認識やフィッシング回避の動機付けにどのように影響するかを調査すること。

提案手法

• Android向けにモバイルゲームのプロトタイプを開発。物語では、小さな魚が本物の虫（正当なURL）を特定し、偽物の虫（フィッシングURL）を回避する必要がある。
• 教師役のキャラクターが、URLの特徴（例：数字が先頭に、会社名にハイフンが含まれる）についてのアドバイスを提供し、識別能力の向上を支援する。
• 正しい識別で得点が増加し、誤りを犯すとライフや時間が減る。教師の助けを使用すると残り時間が100秒減少し、保護策コストを模倣する。
• 20名の参加者を対象に、前後テストを組み合わせた「声を出しながら考える」研究を実施し、フィッシング検出能力の変化を測定した。
• システム利便性尺度（SUS）を用いてゲームインターフェースの満足度を評価し、満点100点中83.62という高いスコアを得た。
• 有意差の検定として、対応のあるt検定を用い、前後テストの成績を比較し、行動改善の統計的有意性を評価した。

実験結果

リサーチクエスチョン

• RQ1 ゲームデザインフレームワークを、モバイルゲームを通じたフィッシング検出教育に効果的に応用する方法は何か？
• RQ2 このゲームプロトタイプは、ユーザーが正当なURLとフィッシングURLを区別する能力をどの程度向上させるか？
• RQ3 脅威認識、自己効力感、保護策コストといった心理的要因が、ゲーム環境下でのフィッシング回避行動にどのように影響するか？
• RQ4 物語展開とインタラクティブフィードバックの統合が、フィッシング教育における学習成果にどのように影響するか？

主な発見

• 後測定スコアは、前測定の平均56.00%（標準偏差17.911）から、後測定で84.00%（標準偏差13.139）に有意に向上した。統計的有意性はt値-7.97（p < 0.005）で確認された。
• 20名中18名が後測定で80%以上のスコアを達成し、5名が満点の100%を獲得した。これは顕著な学習効果を示している。
• ユーザーの脅威認識、保護策の有効性、自己効力感、深刻度の認識、感受性の認識の各要因が、フィッシング回避行動に肯定的な影響を与えた。
• 保護策コストが回避行動に負の影響を与えた。時間ペナルティが適用されたことで、ユーザーは助け機能の使用を減らした。
• システム利便性尺度（SUS）のスコア83.62は、ゲームインターフェースおよび全体のユーザー体験に対する高い満足度を示している。
• ゲームプロトタイプは、心理的動機付け要因をゲームプレイメカニクスに統合することで、フィッシングに対する防御意欲を効果的に高めた。