[论文解读] Business Email Compromise (BEC) and Cyberpsychology

Alessandro Ecclesie Agazzi|arXiv (Cornell University)|Jul 5, 2020

Spam and Phishing Detection参考文献 3被引用 4

一句话总结

本文从网络心理学的视角审视商业电子邮件欺诈（BEC）骗局，分析人格特质（大五人格框架）以及Cialdini的六大影响力原则如何促成社交工程攻击。文章通过Ubiquity和Peebles Media Group等真实案例，展示BEC的广泛威胁，并提出组织可采取的缓解策略。

ABSTRACT

The paper gives a brief introduction about what BEC (Business Email Compromise) is and why we should be concerned about. In addition, it presents 2 examples, Ubiquity and Peebles Media Group, which have been chosen to analyse the phenomena of BEC and underpin how universal BEC threat is for all companies. The psychology behind this scam has been, then, studied. In particular, the Big Five Framework has been analysed to understand how personality traits play an important role in Social Engineering-based attacks. Furthermore, the 6 basic principles of influence, by Cialdini, have been presented to show which strategies are adopted in such scam. The paper follows with the analysis of the BEC impacts, the incidents evaluation and, finally, with the description of some precautions, that companies should undertake in order to mitigate the likelihood of a Business Email Compromise.

研究动机与目标

• 调查商业电子邮件欺诈（BEC）骗局背后的心理机制，特别是人类行为如何促成社交工程攻击。
• 通过分析Ubiquity和Peebles Media Group等高调真实案例，评估BEC威胁的普遍性。
• 探讨大五人格框架中的人格特质如何影响个体对BEC攻击的易感性。
• 评估Cialdini的六大影响力原则在塑造BEC骗局有效性方面的作用。
• 提出基于心理学的实用缓解策略，帮助组织降低BEC风险。

提出的方法

• 对两起典型的BEC事件——Ubiquity和Peebles Media Group——进行案例研究分析，以说明BEC在现实世界中的影响与普遍性。
• 应用大五人格特质框架（开放性、尽责性、外向性、宜人性、神经质）评估个体对社交工程攻击的易感性。
• 整合Cialdini的六大影响力原则（互惠、承诺/一致性、从众、权威、喜好、稀缺性），以解析BEC活动中使用的心理策略。
• 基于财务影响、组织干扰及心理操控技术，评估BEC事件的影响。
• 提出一系列基于心理学洞察的组织防范措施，例如影响力原则培训和基于人格特征的风险意识计划。

实验结果

研究问题

• RQ1 大五人格框架中的人格特质如何影响个体对BEC攻击的易感性？
• RQ2 Cialdini的六大影响力原则在现实世界BEC骗局通信中体现到何种程度？
• RQ3 在不同组织中，BEC攻击成功背后存在哪些共同的心理模式？
• RQ4 如何通过整合网络心理学洞察来增强组织的网络安保策略？
• RQ5 BEC事件对公司造成哪些可衡量的影响，以及如何通过心理意识减轻这些影响？

主要发现

• 大五人格框架显示，神经质程度高且尽责性低的个体更容易受到BEC骗局的影响，因其焦虑水平较高且对细节的关注度较低。
• Cialdini的影响力原则，尤其是权威与稀缺性，被系统性地应用于BEC邮件中，以施压受害者快速做出财务决策。
• Ubiquity和Peebles Media Group的案例表明，BEC不仅限于小型企业，也对大型、资源充足的组织构成重大威胁。
• BEC中的心理操控极为有效，因其利用认知偏见和情感触发点，而非技术漏洞。
• 实施基于心理学的培训（聚焦影响力原则与人格特征风险）的组织，可显著降低BEC攻击的成功率。
• 本研究证实，BEC事件造成重大财务与运营损失，高调案例中单起事件损失常超过100万美元。