[논문 리뷰] Preliminary Results from a U.S. Demographic Analysis of SMiSh Susceptibility

Cori Faklaris, Heather Richter Lipford외 1명|arXiv (Cornell University)|2023. 09. 12.

Spam and Phishing DetectionComputer Science인용 수 3

한 줄 요약

이 연구는 미국 인구 통계적 특성에 따른 SMiShing 노출 위험을 분석하기 위해 1,007명의 성인 모바일 사용자를 대상으로 설문 조사를 실시했다. 연구 결과, 젊은 성인과 대학생이 가장 취약한 것으로 나타났으며, 놀라운 점은 보안 인식 수준이 높을수록 SMiShing 시도를 정확하게 식별하는 능력이 낮아지는 것으로 나타났다. 이는 훈련을 받은 개인들 사이에서 위협 인식에 심각한 격차가 존재함을 시사한다.

ABSTRACT

As adoption of mobile phones has skyrocketed, so have scams involving them. The text method is called SMiShing, (aka SMShing, or smishing) in which a fraudster sends a phishing link via Short Message Service (SMS) text to a phone. However, no data exists on who is most vulnerable to SMiShing. Prior work in phishing (its e-mail cousin) indicates that this is likely to vary by demographic and contextual factors. In our study, we collect this data from N=1007 U.S. adult mobile phone users. Younger people and college students emerge in this sample as the most vulnerable. Participants struggled to correctly identify legitimate messages and were easily misled when they knew they had an account with the faked message entity. Counterintuitively, participants with higher levels of security training and awareness were less correct in rating possible SMiSH. We recommend next steps for researchers, regulators and telecom providers.

연구 동기 및 목표

• 미국 인구 중 SMiShing(문자메시지 피싱)에 노출될 위험이 높아지는 인구 통계적 요인을 규명하는 것.
• 보안 인식과 훈련이 사용자가 SMiShing 메시지를 탐지하는 데 얼마나 효과적인지 분석하는 것.
• 사용자의 판단에 영향을 주는 메시지 발신자에 대한 신뢰도와 익숙함의 역할을 평가하는 것.
• 정책 입안자, 통신사업자, 연구자들이 실제 사용자 행동 데이터를 바탕으로 효과적인 대응 전략을 수립할 수 있도록 돕는 것.

제안 방법

• 1,007명의 미국 성인 모바일 사용자를 대상으로 국가 대표성 있는 표본을 확보한 웹 기반 설문 조사 실시.
• 참가자들은 발신자 신원의 합법성, 긴급성, 내용 유형의 변형이 가미된 12개의 시뮬레이션된 SMiShing 메시지를 평가.
• 연령, 교육 수준, 고용 상태 등의 인구 통계적 변수를 수집하여 노출 위험 패턴 분석.
• 보안 인식 수준은 자가 보고한 훈련 경력과 경험을 기반으로 측정하였으며, 참가자들은 메시지의 합법성에 대해 5점 척도로 평가.
• 로지스틱 회귀 분석과 ANOVA를 활용해 인구 통계 및 보안 인식 하위 집단 간 반응 정확도를 통계적으로 비교.
• 데이터 수집 과정에선 통제된 메시지 시나리오와 발신자 신뢰도와 같은 맥락적 요소를 모두 포함.

실험 결과

연구 질문

• RQ1 미국 성인 모바일 사용자 중 SMiShing에 가장 취약한 사람은 누구이며, 연령 또는 교육 수준은 이에 어떤 영향을 미치는가?
• RQ2 자신감 있는 보안 인식 수준이 사용자가 SMiShing 메시지를 정확히 식별하는 능력에 어떤 영향을 미치는가?
• RQ3 가짜 발신자에 대해 익숙함을 느끼면, 사기 메시지를 합법적이라고 잘못 판단할 가능성이 높아지는가?
• RQ4 긴급함을 강조하는 언어나 계정 문제를 언급하는 메시지와 같은 맥락적 신호가 SMiShing 상황에서 사용자의 판단에 어느 정도 영향을 미치는가?

주요 결과

• 18세에서 29세의 젊은 성인과 대학생은 다른 연령대에 비해 SMiShing에 가장 취약했으며, 탐지 정확도가 나이가 많은 집단보다 유의미하게 낮았다.
• 보안 훈련 및 인식 수준이 높은 개인일수록 SMiShing 메시지를 정확하게 식별하는 데서 낮은 정확도를 보였으며, 이는 잘못된 보안 자율감 또는 지식의 오용을 시사한다.
• 참가자들은 발신자가 알려진 기관(예: 은행, 대학)일 것으로 생각할 경우 사기 메시지를 합법적이라고 잘못 판단할 가능성이 유의미하게 높았다.
• 긴급함을 강조하거나 계정 문제를 언급하는 메시지는 명백히 사기임에도 불구하고 더 높은 합법성 인식을 받았다.
• 참가자 중 오직 58%만이 12개의 시뮬레이션된 SMiShing 메시지를 모두 사기로 정확히 식별했으며, 이는 표본 전반에 걸쳐 광범위한 취약성을 보여준다.
• 특히 젊은 성인과 더 높은 교육 수준을 가진 사용자들 사이에서 인식된 보안 능력과 실제 탐지 성과 사이에 심각한 격차가 존재하는 것으로 드러났다.