[论文解读] User-Centred Security Education: A Game Design to Thwart Phishing Attacks

Nalin Asanka Gamagedara Arachchilage|arXiv (Cornell University)|Nov 11, 2015

Spam and Phishing Detection参考文献 12被引用 8

一句话总结

本研究设计并评估了一款移动游戏，通过模拟以鱼类为主题的冒险，帮助用户识别钓鱼URL。游戏显著提升了用户的防钓鱼行为，后测得分从56%提升至84%，主要得益于威胁感知能力和自我效能感的增强。

ABSTRACT

Phishing is an online identity theft that aims to steal sensitive information such as username, password and online banking details from its victims. Phishing education needs to be considered as a means to combat this threat. This paper reports on a design and development of a mobile game prototype as an educational tool helping computer users to protect themselves against phishing attacks. The elements of a game design framework for avoiding phishing attacks were used to address the game design issues. Game design principles served as guidelines for structuring and presenting information. Our mobile game design aimed to enhance the users' avoidance behaviour through motivation to protect themselves against phishing threats. A think-aloud study was conducted, along with a pre- and post-test, to assess the game design framework though the developed mobile game prototype. The study results showed a significant improvement of participants' phishing avoidance behaviour in their post-test assessment. Furthermore, the study findings suggest that participants' threat perception, safeguard effectiveness, self-efficacy, perceived severity and perceived susceptibility elements positively impact threat avoidance behaviour, whereas safeguard cost had a negative impact on it.

研究动机与目标

• 为解决终端用户对钓鱼攻击持续存在的脆弱性问题，尽管已有自动化检测工具，但此类攻击仍是主要安全威胁。
• 开发一款以用户为中心的移动游戏，通过聚焦URL分析，提升用户识别钓鱼网站的能力。
• 评估基于威胁感知、自我效能感和防护成本的心理学框架在提升防钓鱼行为方面的有效性。
• 探究在移动游戏中融入叙事和互动反馈，如何增强用户对威胁的感知以及防范钓鱼的动机。

提出的方法

• 为Android平台开发了一款移动游戏原型，其故事情节设定为一条小鱼必须识别真正的蠕虫（合法URL）并避开虚假蠕虫（钓鱼URL）。
• 游戏中加入了教师角色，提供关于URL特征（例如：数字开头、公司名称中含连字符）的提示，以提升检测能力。
• 玩家正确识别可获得积分，错误则损失生命或时间；使用教师角色会使剩余时间减少100秒，以此模拟防护成本。
• 通过20名参与者的“思考 aloud”研究，结合前测与后测，测量用户钓鱼检测能力的变化。
• 采用系统可用性量表（SUS）评估用户对游戏界面的满意度，获得83.62分（满分100分）的高分。
• 采用配对样本t检验比较前后测试表现，评估行为改善的统计显著性。

实验结果

研究问题

• RQ1 如何有效应用游戏设计框架，通过移动游戏教育用户识别钓鱼攻击？
• RQ2 该游戏原型在多大程度上提升了用户区分合法URL与钓鱼URL的能力？
• RQ3 在游戏情境中，哪些心理因素——如威胁感知、自我效能感和防护成本——影响用户的防钓鱼行为？
• RQ4 在钓鱼教育中，叙事与互动反馈的整合如何影响学习成果？

主要发现

• 后测得分从预测试的平均分56.00%（标准差=17.911）显著提升至84.00%（标准差=13.139），t值为-7.97（p < 0.005），具有统计学显著性。
• 20名参与者中有18人后测得分超过80%，其中5人获得满分100%，表明学习成效显著。
• 用户对威胁的感知、防护有效性、自我效能感、威胁严重性感知以及自身易感性感知均对防钓鱼行为产生积极影响。
• 防护成本对防钓鱼行为产生负面影响，用户在时间惩罚机制下减少了对帮助功能的使用。
• 系统可用性量表（SUS）得分为83.62，表明用户对游戏界面和整体用户体验高度满意。
• 该游戏原型通过将心理动机融入游戏机制，成功提升了用户防范钓鱼的动机。