«Несмотря на то, что люди были вообще осторожны, их способность обнаружить электронные письма фишинга была достаточно плоха, чтобы подвергнуть опасности компьютерные системы», говорит Кейси Кэнфилд, исследователь CyLab от Отдела Карнеги Меллона Технической и Государственной политики.Исследование Кэнфилда было недавно опубликовано в журнале Human Factors. Заинтересованные могут проверить их собственные почтовые навыки обнаружения фишинга в нашей краткой викторине онлайн.
В исследовании Кэнфилд и ее коллеги показали ряд информации об участниках о фишинге прежде, чем попросить, чтобы они оценили 38 различных электронных писем, половина которых были законны и половина была фишингом. Для каждой электронной почты участники ответили на вопросы о том, была ли электронная почта фишингом, какое действие они выполнят, их уверенность в их выборе и воспринятые последствия того, чтобы попадаться на электронную почту, если это был фишинг.
В среднем участники только смогли правильно определить чуть более чем половину электронных писем фишинга, представленных им. К счастью, участники показали немного больше осторожности, когда она пришла к их поведению: примерно три четверти связей фишинга оставили не щелкнувшими.
«Некоторые пользователи смогли определить подавляющее большинство электронных писем фишинга, но только потому, что на них оказали влияние, чтобы думать, что все было нападением фишинга», заявляет Кэнфилд. «Таким образом, у них не обязательно была высокая способность сказать различие между фишингом и законными электронными письмами».Кроме того, уровни доверия участников не всегда калибровались с их способностью.
«Когда принятие решений об электронных письмах фишинга, люди были более осторожными, когда они были неуверенными и воспринятыми очень негативными последствиями открытия электронной почты фишинга», заявляет Кэнфилд. «К сожалению, они были часто самонадеянными, таким образом, они все еще попадутся на нападения фишинга».На основе результатов авторы исследования предлагают вмешательства, такие как предоставление пользователям с обратной связью на их способностях и подчеркивании последствий нападений фишинга. Один эффективный учебный метод, который обычно используют компании, Кэнфилд объясняет, отсылает поддельные электронные письма фишинга и учит пользователя электронным письмам фишинга, если они открывают электронную почту.
Этот учебный метод, названный «вложенное обучение», был первоначально разработан CyLab Usable Privacy and Security Lab.«Кажется, что то обучение может не всегда делать людей лучше при сообщении различия, но это, вероятно, делает их более осторожными», заявляет Кэнфилд. «Помогающие люди говорят, что различие может не быть столь же полезным как просто поощрение их быть более осторожным».
Среди других авторов на исследовании фишинга были преподаватели Технической и Государственной политики Барух Фишхофф и Алекс Дэвис.