💻 computer science

Profiling User Vulnerability to Phishing Through Psychological and Behavioral Factors

Este estudio analiza el conjunto de datos Spamley para identificar cinco constructos psicológicos y conductuales de la susceptibilidad al phishing, revelando que una combinación de madurez operativa, velocidad de toma de decisiones y enfoque cognitivo —no solo el conocimiento técnico— distingue a los usuarios vulnerables y exige un cambio hacia una formación en ciberseguridad personalizada y adaptativa.

Autores originales: Valeria Formisano, Danilo Gentile, Gennaro Esposito Mocerino, Michela Ponticorvo, Luigi Gallo, Alessio Botta, Davide Marocco

Publicado 2026-05-21

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Valeria Formisano, Danilo Gentile, Gennaro Esposito Mocerino, Michela Ponticorvo, Luigi Gallo, Alessio Botta, Davide Marocco

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina tu bandeja de entrada de correo electrónico como una estación de tren bulliciosa. La mayor parte del tiempo, los trenes (correos electrónicos) son pasajeros legítimos que se dirigen al destino correcto. Pero ocasionalmente, un "tren falso" disfrazado de uno real se acerca, esperando engañarte para que subas a él y le entregues tus objetos de valor. Esto es phishing.

Durante mucho tiempo, los expertos en ciberseguridad pensaron que la solución consistía simplemente en construir mejores vallas y cerraduras (tecnología). Pero este artículo argumenta que el punto débil real no es la valla; es el pasajero (tú). Los investigadores querían averiguar: ¿Qué tipo de persona es más propensa a subir al tren falso?

Aquí está la historia de su investigación, explicada de forma sencilla:

1. El Gran Experimento

Los investigadores reunieron un grupo masivo de 1.086 personas de todos los ámbitos de la vida. No solo les hicieron preguntas; los pusieron en una simulación realista. Imagina una prueba en la que te entregan 10 correos electrónicos que se ven exactamente como los reales que recibirías en el trabajo o en casa. Algunos son seguros; otros son trampas. Tu trabajo es detectar las trampas.

Mientras lo hacías, los investigadores observaron dos cosas:

¿Lo hiciste bien? (¿Detectaste el falso?)
¿Qué tan rápido decidiste? (¿Hiciste clic en "seguro" o "falso" instantáneamente, o te detuviste a pensar?)

2. Los Cinco "Ingredientes de la Personalidad"

Los investigadores se dieron cuenta de que ser bueno o malo detectando falsedades no se trata de una sola cosa. Utilizaron una "licuadora estadística" (llamada Análisis Factorial Exploratorio) para mezclar todos los datos y encontraron cinco ingredientes principales que conforman la personalidad digital de una persona:

Antigüedad: Tu edad y cuánta experiencia laboral tienes.
Experiencia: Cuánto sabes sobre computadoras y tecnología.
Creatividad: Este es un punto delicado. En este estudio, no significaba "bueno en el arte". Significaba estar abierto a nuevas ideas, ser sociable y estar dispuesto a asumir riesgos.
Estabilidad: Qué tan tranquilo y emocionalmente estable eres.
Vulnerabilidad: Qué tan fácilmente te dejas influir por trucos como la "Autoridad" (alguien gritándote) o la "Escasez" (una oferta que expira en 5 minutos).

3. El Gran Descubrimiento: La Velocidad es el Enemigo

El hallazgo más sorprendente fue sobre el tiempo.
Los investigadores encontraron un vínculo directo entre la impulsividad y la velocidad.

Las personas que admitieron ser impulsivas (actuar sin pensar) fueron las que hicieron clic en los botones más rápido.
La Regla: Cuanto más rápido decides, más probable es que caigas en la estafa.
La Lección: Ser lento y deliberado es un superpoder. Tomar un momento para pensar actúa como un escudo.

4. Los Dos Tipos de Pasajeros

Utilizando los datos, los investigadores dividieron a todos en dos grupos distintos, como si clasificaran a los pasajeros en dos salas de espera diferentes:

Grupo A: El "Usuario Consciente" (El Viajero Cuidadoso)

Quiénes son: Generalmente mayores, con más experiencia laboral y un poco más cautelosos.
Cómo actúan: Se toman su tiempo. No se apresuran. Miran el correo electrónico, lo piensan y revisan los detalles.
Resultado: Son mucho mejores detectando los trenes falsos. Solo cayeron en la estafa aproximadamente el 22% de las veces.

Grupo B: El "Usuario de Alto Riesgo" (El Viajero Apressurado)

Quiénes son: Este grupo constituye la mayoría de las personas (aproximadamente el 71%). Suelen ser más jóvenes, tener menos experiencia laboral y ser más "creativos" (abiertos, sociables e impulsivos).
Cómo actúan: Son rápidos. Ven un correo electrónico que parece urgente o que viene de un jefe, y reaccionan inmediatamente sin pensar.
Resultado: Son los objetivos más fáciles. Cayeron en la estafa aproximadamente el 31% de las veces.

5. Qué Significa Esto para Ti

El artículo concluye que no puedes simplemente enseñar a la gente "hechos técnicos" (como cómo detectar un enlace malo) y esperar que estén seguros. Saber usar una computadora no es suficiente.

El problema real es cómo pensamos.

Si eres el "Viajero Apressurado", tu cerebro está cableado para actuar rápido y estar abierto a cosas nuevas, lo cual es genial para la creatividad pero peligroso para la seguridad.
Los estafadores lo saben. Usan trucos como "¡Tu cuenta será cerrada en 1 hora!" para que entres en pánico y dejes de pensar.

La Conclusión:
Para mantenerte seguro, no necesitas ser un genio de la informática. Solo necesitas ralentizar. Si sientes ese impulso de hacer clic inmediatamente debido a la urgencia o al miedo, ese es la "señal de peligro" de tu cerebro. La mejor defensa es hacer una pausa, tomar aire y pensar antes de actuar. El artículo sugiere que la formación de seguridad futura no debería ser solo una conferencia genérica para todos; debería adaptarse para ayudar a los "Viajeros Apressurados" a aprender a frenar.

Resumen Técnico: Perfilado de la Vulnerabilidad del Usuario al Phishing a través de Factores Psicológicos y Conductuales

Planteamiento del Problema
El phishing sigue siendo una amenaza de ciberseguridad ubicua que elude las defensas tecnológicas al apuntar a factores cognitivos y psicológicos humanos. Si bien la investigación tradicional ha catalogado diversas variables predictivas, existe una necesidad crítica de un enfoque integrado y multidimensional para identificar con precisión perfiles de individuos vulnerables frente a resilientes. Los programas de formación actuales de "talla única" a menudo fallan al no abordar los rasgos psico-conductuales específicos que impulsan la susceptibilidad. Este estudio aborda la pregunta de investigación: ¿Qué factores humanos y combinaciones de variables psico-conductuales describen mejor la vulnerabilidad de un usuario al phishing?

Metodología
El estudio analizó datos del conjunto de datos Spamley, un recurso de acceso público que involucró a 1.086 participantes de diversos orígenes socio-profesionales. La metodología comprendió tres fases principales:

Recopilación y Preprocesamiento de Datos:
- Los participantes completaron un cuestionario estructurado que abarcaba variables sociodemográficas, psicológicas (por ejemplo, los cinco grandes rasgos, impulsividad, percepción del riesgo) y conductuales.
- Los participantes realizaron una simulación realista de detección de phishing utilizando la aplicación web Spamley, que presentaba diez correos electrónicos (legítimos y fraudulentos) en una interfaz que imitaba los clientes de correo estándar.
- Filtrado: Los datos se limpiaron rigurosamente. Se excluyeron las sesiones incompletas. Se utilizó un elemento de verificación de atención (que requería la entrada de "3") para filtrar a los usuarios inatentos. Se analizaron los tiempos de respuesta para garantizar una participación suficiente (filtrando a los usuarios que completaron la tarea en menos de 2 minutos). Se excluyeron los usuarios que recibieron menos de tres correos de phishing para garantizar la relevancia estadística.
Análisis Estadístico:
- Análisis Descriptivo y Bivariado: Se calcularon correlaciones de Spearman para identificar asociaciones entre variables (por ejemplo, edad, experiencia, rasgos de personalidad) y la capacidad de identificar correctamente correos de phishing (tasa de recuperación).
- Validación de la Impulsividad: El estudio validó la impulsividad autoinformada al analizar su correlación con los tiempos de respuesta conductuales.
- Análisis Factorial Exploratorio (AFE): Utilizando el método de Residuos Mínimos con rotación oblicua Oblimin, el estudio extrajo constructos latentes de las variables observadas. El análisis paralelo determinó el número de factores a retener.
- Agrupamiento (Clustering): Se aplicó un algoritmo de agrupamiento K-Means para segmentar la muestra. El algoritmo utilizó dos factores latentes específicos (Antigüedad y Creatividad) para la partición, seleccionados basándose en la optimización del Coeficiente Silueta. Los factores restantes se integraron post-agrupamiento como variables descriptivas para caracterizar los grupos resultantes.

Resultados Clave

Constructos Latentes: El AFE identificó cinco factores latentes distintos:
1. Antigüedad: Compuesta por edad, experiencia laboral y nivel educativo.
2. Experiencia: Compuesta por conocimientos de informática e historial de cursos anti-phishing.
3. Creatividad: Compuesta por apertura, extroversión y propensión al riesgo.
4. Estabilidad: Compuesta por estabilidad emocional y responsabilidad.
5. Vulnerabilidad: Compuesta por la susceptibilidad a los disparadores de ingeniería social (autoridad, escasez, prueba social).
Validación Conductual: Se encontró una correlación negativa significativa ( $r = -0.177, p < 0.001$ ) entre la impulsividad autoinformada y los tiempos de respuesta. Además, existía una diferencia estadísticamente significativa ( $t = -4.198, p < 0.001$ ) entre los individuos "víctimas" y "resilientes", mostrando las víctimas velocidades de toma de decisiones significativamente más rápidas.
Perfilado de Usuarios (K-Means): El análisis arrojó dos perfiles de usuarios distintos:
- Usuario de Alto Riesgo (71,4% de la muestra): Caracterizado por baja Antigüedad (más joven, menos experiencia), Creatividad positiva (alta apertura/extroversión) y Experiencia/Estabilidad negativas. Este grupo exhibió la tasa de recuperación más baja (68,8%) y los tiempos de reacción promedio más rápidos (21,4 s). Mostraron una puntuación positiva en el factor de Vulnerabilidad, indicando susceptibilidad a los disparadores psicológicos.
- Usuario Consciente (28,6% de la muestra): Caracterizado por alta Antigüedad (mayor, más experimentado), Creatividad negativa (menor impulsividad) y Experiencia/Estabilidad positivas. Este grupo logró una tasa de recuperación más alta (78,3%) y tiempos de reacción más lentos (23,6 s), lo que indica un enfoque más analítico y cauteloso.

Contribuciones Clave y Significado
El artículo afirma proporcionar una base empírica sólida para ir más allá de la formación de seguridad genérica mediante:

Definición de la Vulnerabilidad a través de la Interacción: El estudio demuestra que el conocimiento técnico por sí solo es insuficiente para la resiliencia. En cambio, la vulnerabilidad está determinada por la interacción entre la madurez operativa (Antigüedad), la velocidad de toma de decisiones (vinculada a la impulsividad) y el enfoque cognitivo (Creatividad).
Identificación de la Mayoría "de Alto Riesgo": La investigación destaca que la mayoría de los usuarios (aproximadamente el 71%) caen en un perfil de Alto Riesgo caracterizado por procesos de evaluación apresurados y un menor análisis crítico, impulsados por una falta estructural de madurez y una alta impulsividad.
Validación Conductual de la Impulsividad: Al correlacionar la impulsividad autoinformada con los tiempos de respuesta objetivos, el estudio confirma que la toma de decisiones más rápida es un marcador conductual distintivo de la vulnerabilidad, diferenciándola de los usuarios resilientes que emplean un procesamiento más lento y deliberado.
Implicaciones Estratégicas: Los hallazgos sugieren que las contramedidas efectivas deben pasar de la formación estandarizada a programas personalizados y adaptativos. Específicamente, las intervenciones para el grupo de Alto Riesgo deben centrarse en la desviación cognitiva, la ralentización de la toma de decisiones y la mitigación de la susceptibilidad a la autoridad y la prueba social.

Limitaciones
Los autores reconocen varias limitaciones: la dependencia de medidas autoinformadas (sujetas a sesgo), el uso de un entorno simulado que podría no replicar completamente la carga cognitiva y el estrés del mundo real, la falta de control sistemático sobre el origen geográfico (limitando la generalización transcultural) y el diseño transversal que impide inferencias causales definitivas.