Напряглись? Тогда не кликайте на ссылку, советуют эксперты по кибербезопасности

Работники, которые чувствуют себя расстроенными, с большей вероятностью нажмут на фишинговое электронное письмо. Предоставлено: Тимоти Холланд

В то время как большинство, если не все, из нас испытывают стресс на рабочем месте, ученые определили особую форму стресса. Она определяет категорию более уязвимых для нажатия на поддельный контент людей, который может загрузить вредоносные программы. Эта работа может помочь работникам и их работодателям усилить защиту от кибербезопасности, распознавая предупреждающие знаки, когда кто-то собирается сделать рискованный клик.

Результаты исследования 153 участников были недавно опубликованы в Journal of Information Warfare. Исследователи отметили, что, хотя относительно небольшой размер выборки ограничивал их способность выявлять все взаимосвязи между более чем двумя десятками изученных ими переменных, взаимосвязь между стрессом и реакцией на смоделированное фишинговое электронное письмо была статистически значимой.

Цена фишинговых атак огромна. Защита включает в себя не только более совершенные технологии, но и повышение осведомленности потенциальных жертв. «Первым шагом к защите является понимание сложного созвездия переменных, которые делают человека восприимчивым к фишингу», — говорит психолог PNNL Кори Фэллон, автор исследования. «Нам нужно выявить те факторы, которые заставляют людей более или менее склонно нажимать на сомнительное сообщение».

В своем исследовании Фэллон и его коллеги обнаружили, что люди, которые сообщали о высоком уровне стресса, связанного с работой, значительно чаще переходили по ссылке фальшивого фишингового письма. Каждое увеличение самооценки на один пункт увеличивало вероятность ответа на смоделированное фишинговое письмо на 15 процентов. Ученые описывают дистресс как чувство напряжения, когда кто-то на работе чувствует, что находится в трудной ситуации и не может справиться с поставленной задачей.

Стресс может быть вызван ощущением того, что их рабочая нагрузка слишком высока, или они могут сомневаться, есть ли у них достаточная подготовка или время для выполнения своей работы.

Причудливый фишинг для изучения психологии фишинга

153 участника согласились принять участие в исследовании, но они не знали, что фишинговое письмо, отправленное несколько недель спустя, было частью запланированного исследования человеческого фактора. Это был причудливый фишинг. Например, не было никакого упоминания о крупной сумме денег от африканского принца, и не было явных орфографических или грубых грамматических ошибок. «Это были хорошо продуманные электронные письма, специально предназначенные для обмана людей и адаптированные к организации», — сказала Джессика Баведжа, психолог и автор исследования. «Его было гораздо сложнее обнаружить, чем обычный фишинг».

Каждый участник получил одну из четырех различных версий сообщения о предполагаемом новом дресс-коде, который будет внедрен в их организации. Команда протестировала три распространенные тактики фишинга по отдельности и вместе. Вот что они нашли:

Безотлагательность. 49 процентов получателей перешли по ссылкам. Пример текста: «Эта политика вступит в силу через 3 дня с момента получения этого уведомления… немедленно признать изменения». Угроза. 47 процентов нажали. “… Соблюдайте это изменение дресс-кода, иначе вы можете быть подвергнуты дисциплинарному взысканию». Авторитет. 38 процентов нажали. «Согласно Управлению главного юрисконсульта…» Три тактики вместе: 31 процент кликнул. Хотя команда ожидала, что большее количество тактик, используемых вместе, приведет к тому, что больше людей нажмут на сообщение, этого не произошло.

«Вполне возможно, что чем больше тактик использовалось, тем очевиднее было фишинговое сообщение», — сказал автор Дастин Арендт, специалист по данным. «Тактика должна быть убедительной, но есть золотая середина. Если используется слишком много тактик, может быть очевидно, что вами манипулируют».

В повседневной деятельности PNNL периодически проверяет своих сотрудников на поддельные фишинговые электронные письма. Как правило, только около 1 процента получателей нажимают. Гораздо больше сотрудников обнаруживают фишинг на ранней стадии и предоставляют краудсорсинговые оповещения экспертам по кибербезопасности лаборатории, сказал Джозеф Хигби, директор по информационной безопасности PNNL.

Взаимодействие человека и машины для снижения риска киберугроз

Как компании и сотрудники могут использовать эти данные для снижения риска?

«Один из вариантов — помочь людям распознать, когда они чувствуют себя огорченными, — сказал Фэллон, — чтобы они могли быть более осведомленными и осторожными, когда они особенно уязвимы».

В будущем одним из вариантов может стать объединение человека и машины. Если алгоритм замечает изменение в режиме работы, которое может указывать на усталость или невнимательность, умный помощник машины может предложить перерыв в работе с электронной почтой. Автоматические оповещения становятся все более распространенными, например, когда водитель неожиданно дрейфует, а автомобиль выдает предупреждение об усталости. Исследователи отметили, что потенциальные выгоды от ввода от помощника машины должны быть сопоставлены с проблемами конфиденциальности сотрудников.

«Может быть трудно рассматривать электронную почту как угрозу», — сказал Баведжа. «Наш древний мозг не запрограммирован на то, чтобы приравнивать электронную почту к страшным вещам. Вы работаете с электронной почтой весь день, и это обычное дело; Нет оснований полагать, что они могут навредить вам или нашей организации.

«Организации должны думать о том, как побудить людей делать правильный выбор. Люди переоценивают свою способность обнаруживать фишинговые письма», — добавила она.

Подробнее: Phishing in the Wild: An Ecologically Valid Study of the Phishing Tactics and Human Factors that Predict Susceptibility to a Phishing Attack, Journal of Information Warfare 2023 www.jinfowar.com/journal/volum … lity-phishing-attack 🔗