[논문 리뷰] Do Users Focus on the Correct Cues to Differentiate Between Phishing and Genuine Emails?

Kathryn Parsons, Marcus Butavicius외 4명|arXiv (Cornell University)|2016. 05. 16.

Spam and Phishing Detection참고 문헌 9인용 수 23

한 줄 요약

이 연구는 사용자가 피싱 이메일과 진짜 이메일을 구별하는 데 정확한 신호에 집중하는지 조사한다. 실제 피싱 신호로는 발신자 신원, 링크의 진위성, 문법 오류 등이 포함되지만, 사용자들은 종종 관련성이 없는 신호인 법적 고지문과 시각적 품질에 의존하여 효과적인 피싱 탐지 능력을 떨어뜨리며, 이는 대상별 교육의 필요성을 드러낸다.

ABSTRACT

This paper examines the cues that typically differentiate phishing emails from genuine emails. The research is conducted in two stages. In the first stage, we identify the cues that actually differentiate between phishing and genuine emails. These are the consistency and personalisation of the message, the perceived legitimacy of links and sender, and the presence of spelling or grammatical irregularities. In the second stage, we identify the cues that participants use to differentiate between phishing and genuine emails. This revealed that participants often use cues that are not good indicators of whether an email is phishing or genuine. This includes the presence of legal disclaimers, the quality of visual presentation, and the positive consequences emphasised in the email. This study has implications for education and training and provides a basis for the design and development of targeted and more relevant training and risk communication strategies.

연구 동기 및 목표

• 이메일 내용과 구조를 바탕으로 피싱 이메일과 진짜 이메일을 구별하는 데 실제 작용하는 신호를 특정하는 것.
• 사용자가 이메일의 진위성을 평가할 때 실제로 사용하는 신호를 조사하는 것.
• 실제 피싱 신호와 사용자가 인식하는 신호를 비교하여 사용자 판단의 괴리점을 폭 드러내는 것.
• 더 효과적이고 대상에 맞는 사이버보안 교육 및 위험 통신 전략 개발을 위한 정보를 제공하는 것.

제안 방법

• 내용 분석을 통해 피싱 이메일과 진짜 이메일을 구별하는 객관적 신호를 도출한 두 단계의 실증 연구를 수행한 바.
• 참가자가 다양한 특성에 기반해 이메일의 진위성을 평가하는 통제된 실험을 통해 사용자 판단을 수집한 바.
• 사용자 응답을 분석하여 시각적 디자인, 법적 고지문, 감정적 어조 등의 신호가 의사결정에서 어느 정도 우선시되었는지 파악한 바.
• 통계 분석을 통해 실제 피싱 신호와 사용자가 식별한 신호를 비교하여 불일치를 확인한 바.
• 사용자 인식과 행동을 평가하기 위해 정성적 및 정량적 방법을 병행한 바.
• 2015년 오스트라일라시안 콫퍼런스 온 인포메이션 시스템에서 발표하여 동료 검토를 통과한 결과를 검증한 바.

실험 결과

연구 질문

• RQ1 피싱 이메일과 진짜 이메일을 구별하는 데 실제 작용하는 객관적 신호는 무엇인가?
• RQ2 사용자가 이메일이 피싱인지 진짜인지 판단할 때 실제로 사용하는 신호는 무엇인가?
• RQ3 사용자가 이메일 진위성의 좋은 예측자가 되지 않는 신호에 얼마나 의존하는가?
• RQ4 실제 신호와 사용자가 인식하는 신호 간 괴리가 피싱 탐지 정확도에 어떤 영향을 미치는가?

주요 결과

• 실제 피싱 신호로는 메시지 내용의 일관성 없음, 개인화 부족, 의심스럽거나 비합법적인 링크, 문법적 또는 철자 오류 등이 포함된다.
• 사용자들은 법적 고지문의 유무를 진위성의 신호로 자주 활용했지만, 이는 이메일 진위성과 관련성이 없음에도 불구하고 그러한 경향이 있었다.
• 시각적 표현 품질은 사용자 인식에서 중요한 요소였지만, 이는 피싱 여부를 신뢰성 있게 나타내지 못한다.
• 이메일 내 긍정적인 결과나 보상 강조는 종종 진위성의 신호로 잘못 해석되었지만, 이는 일반적인 피싱 전략이었다.
• 참가자 중 소수만이 의심스러운 발신자 주소나 손상된 URL과 같은 핵심 피싱 신호를 정확히 식별했다.
• 이 연구는 객관적인 피싱 신호와 사용자가 인식하는 신호 사이에 심각한 괴리가 있음을 드러내며, 사용자 인식의 근본적인 격차를 보여준다.