[论文解读] Do Users Focus on the Correct Cues to Differentiate Between Phishing and Genuine Emails?

Kathryn Parsons, Marcus Butavicius+4 more|arXiv (Cornell University)|May 16, 2016

Spam and Phishing Detection参考文献 9被引用 23

一句话总结

本研究调查用户是否关注准确的线索来区分钓鱼邮件与真实邮件。研究发现，尽管实际的钓鱼邮件特征包括发件人合法性、链接真实性以及语法错误，但用户往往依赖法律免责声明和视觉质量等误导性线索，这削弱了有效的钓鱼邮件检测，凸显了开展针对性培训的必要性。

ABSTRACT

This paper examines the cues that typically differentiate phishing emails from genuine emails. The research is conducted in two stages. In the first stage, we identify the cues that actually differentiate between phishing and genuine emails. These are the consistency and personalisation of the message, the perceived legitimacy of links and sender, and the presence of spelling or grammatical irregularities. In the second stage, we identify the cues that participants use to differentiate between phishing and genuine emails. This revealed that participants often use cues that are not good indicators of whether an email is phishing or genuine. This includes the presence of legal disclaimers, the quality of visual presentation, and the positive consequences emphasised in the email. This study has implications for education and training and provides a basis for the design and development of targeted and more relevant training and risk communication strategies.

研究动机与目标

• 基于邮件内容和结构，识别区分钓鱼邮件与真实邮件的实际线索。
• 考察用户在判断邮件合法性时实际使用的线索。
• 对比真实钓鱼邮件特征与用户感知的线索，揭示用户判断中的差异。
• 为开发更有效、更具针对性的网络安全教育与风险沟通策略提供依据。

提出的方法

• 开展两阶段实证研究：首先通过内容分析识别客观线索，以区分钓鱼邮件与真实邮件。
• 通过受控实验收集用户判断，参与者根据邮件的各种属性评估其真实性。
• 分析用户反馈，确定在决策过程中优先考虑的线索，如视觉设计、法律免责声明或情感基调。
• 使用统计分析比较真实钓鱼邮件特征与用户识别的线索，识别不匹配之处。
• 结合定性与定量方法，评估用户在钓鱼邮件检测任务中的感知与行为。
• 通过在2015年澳洲及新西兰信息系统会议（Australasian Conference on Information Systems 2015）上展示研究成果，并经同行评审，验证了研究发现。

实验结果

研究问题

• RQ1 区分钓鱼邮件与真实邮件的实际客观线索是什么？
• RQ2 用户在判断邮件是否为钓鱼邮件或真实邮件时，实际使用了哪些线索？
• RQ3 用户在多大程度上依赖于对邮件真实性预测能力较差的线索？
• RQ4 真实线索与用户感知线索之间的差异在多大程度上影响了钓鱼邮件检测的准确性？

主要发现

• 实际钓鱼邮件特征包括信息内容不一致、缺乏个性化、存在可疑或非合法链接，以及语法或拼写错误。
• 用户频繁将法律免责声明的存在视为邮件合法性的标志，尽管其与邮件真实性无关。
• 视觉呈现质量是影响用户判断的重要因素，尽管它并不能可靠地指示钓鱼邮件。
• 邮件中强调积极结果或奖励的表述常被用户解读为合法性的信号，尽管这正是钓鱼邮件的常见手段。
• 仅少数参与者正确识别出关键钓鱼邮件特征，如可疑发件人地址或格式错误的URL。
• 本研究揭示了客观钓鱼邮件线索与用户感知线索之间存在显著错位，表明用户意识存在关键差距。