[論文レビュー] Why People Still Fall for Phishing Emails: An Empirical Investigation into How Users Make Email Response Decisions

Asangi Jayatilaka, Nalin Asanka Gamagedara Arachchilage+1 more|arXiv (Cornell University)|Jan 24, 2024

Personal Information Management and User BehaviorDecision Sciences被引用数 3

ひとこと要約

本研究は、思考 aloud実験とグラウンド理論を用いて、ユーザーがなぜ依然としてフィッシングメールにだまされてしまうかを分析することで、メール応答意思決定プロセスの背後にある要因を解明する。感情的要因、習慣的要因、認知的要因が、返信やリンククリックといった不安全な応答行動を引き起こす理論的モデルを提唱し、単なる正当性の判断を超えて安全な応答行動を優先するための、実務的かつ根拠に基づいたインサイトを提供する。

ABSTRACT

Despite technical and non-technical countermeasures, humans continue to be tricked by phishing emails. How users make email response decisions is a missing piece in the puzzle to identifying why people still fall for phishing emails. We conducted an empirical study using a think-aloud method to investigate how people make 'response decisions' while reading emails. The grounded theory analysis of the in-depth qualitative data has enabled us to identify different elements of email users' decision-making that influence their email response decisions. Furthermore, we developed a theoretical model that explains how people could be driven to respond to emails based on the identified elements of users' email decision-making processes and the relationships uncovered from the data. The findings provide deeper insights into phishing email susceptibility due to people's email response decision-making behavior. We also discuss the implications of our findings for designers and researchers working in anti-phishing training, education, and awareness interventions

研究の動機と目的

• ユーザーがフィッシングメールに対して応答する際の意思決定プロセスの本質を理解すること。
• 感情、習慣、検証手法といった具体的な心理的・行動的要因が、ユーザーのフィッシング攻撃への感受性にどのように影響するかを特定すること。
• 従来の研究が性格や人口統計的要因にとどまっているのに対し、メール応答意思決定の背後にある実際の認知的および感情的プロセスに焦点を当て、研究ギャップを埋めること。
• これらの意思決定要因がどのように相互作用し、不安全な応答行動を引き起こすかを説明する理論的モデルを構築すること。
• ユーザー行動に関する実証的洞察に基づき、より効果的なフィッシング対策教育、訓練、啓発施策の設計を支援すること。

提案手法

• 参加者が模擬フィッシングメールおよび正当なメールを読み、応答するシナリオに基づく思考 aloud 役割演習を実施した。
• メール評価タスク中にリアルタイムの言語的発話と深掘りインタビューを通じて定性的データを収集した。
• グランド理論分析を用いて、ユーザーの意思決定プロセスにおける繰り返し現れるテーマ、パターン、関係性を同定した。
• 感情、習慣、検証行動といった、出現したカテゴリーとその相互関係に基づき理論的モデルを構築した。
• フィッシング検出およびユーザー行動に関する先行文献と照合し、反復的分析と三角測定を用いて研究結果の妥当性を検証した。
• 特定された意思決定の欠陥に基づき、フィッシング対策ツールおよび訓練の設計的インプリケーションと改善案を提言した。

Figure 1: Simulated web email client

実験結果

リサーチクエスチョン

• RQ1 ユーザーがフィッシングメールに応答する意思決定に影響を与える心理的・行動的要因は何か？
• RQ2 不安や興奮といった感情が、ユーザーの返信、リンククリック、添付ファイルダウンロードの意思にどのように影響するか？
• RQ3 個人の習慣や自己学習による検出戦略が、フィッシング攻撃への感受性を高めるか、低減させるか、その役割は何か？
• RQ4 ユーザーはどのように送信者アドレスの正当性を検証しているのか？ その検証手法の欠陥は何か？
• RQ5 攻撃者がユーザーの応答を操作するために利用できる、意思決定の主要な要素は何か？

主な発見

• ユーザーは、仕事上の人間関係への不安や興奮といった感情的要因の影響を強く受け、合理的判断を上回る傾向があり、フィッシングメールへの応答確率が高まる。
• 多くのユーザーは、古くなったロゴを信頼する、または返信先アドレスを誤解するといった、誤ったまたは自己学習による検出戦略に依存しており、それらが意識的な注意をも超えて不安全な応答を引き起こす。
• メールの定期的チェックや自動返信の習慣といった個人の習慣は、批判的評価を伴わず悪意あるコンテンツに応答するリスクを高める。
• ユーザーは送信者アドレスと返信先アドレスを区別できず、偽の通信チャネルに信頼を寄せてしまう。
• 理論的モデリングにより、感情状態と認知的ショートカットが、ユーザーが注意を払っていると感じても、不安全な応答行動を正のフィードバックで強化することが明らかになった。
• 多くのユーザーは組織のロゴやURLの有効な検証手法を欠いており、攻撃者が操作可能な表面的特徴やインターネット検索に依存していることが多い。

Figure 2: The number of unique concepts for each participant