💻 computer science

Profiling User Vulnerability to Phishing Through Psychological and Behavioral Factors

Cette étude analyse l'ensemble de données Spamley pour identifier cinq construits psychologiques et comportementaux de la vulnérabilité au hameçonnage, révélant qu'une combinaison de maturité opérationnelle, de rapidité de prise de décision et d'approche cognitive — et non pas seulement de connaissances techniques — distingue les utilisateurs vulnérables et impose un virage vers une formation à la cybersécurité personnalisée et adaptative.

Auteurs originaux : Valeria Formisano, Danilo Gentile, Gennaro Esposito Mocerino, Michela Ponticorvo, Luigi Gallo, Alessio Botta, Davide Marocco

Publié 2026-05-21

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Valeria Formisano, Danilo Gentile, Gennaro Esposito Mocerino, Michela Ponticorvo, Luigi Gallo, Alessio Botta, Davide Marocco

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez votre boîte de réception comme une gare ferroviaire animée. La plupart du temps, les trains (les courriels) sont de vrais passagers se rendant à la bonne destination. Mais parfois, un « faux train » déguisé en vrai arrive, espérant vous tromper pour que vous y montiez et lui remettiez vos objets de valeur. C'est le hameçonnage (phishing).

Pendant longtemps, les experts en cybersécurité ont pensé que la solution consistait simplement à construire de meilleures clôtures et serrures (la technologie). Mais cet article soutient que la véritable faille n'est pas la clôture ; c'est le passager (vous). Les chercheurs voulaient déterminer : Quel type de personne est le plus susceptible de monter dans le faux train ?

Voici l'histoire de leur enquête, expliquée simplement :

1. La Grande Expérience

Les chercheurs ont réuni un vaste groupe de 1 086 personnes de tous horizons. Ils ne se sont pas contentés de leur poser des questions ; ils les ont placés dans une simulation réaliste. Imaginez un test où l'on vous remet 10 courriels qui ressemblent exactement à ceux que vous recevriez au travail ou à la maison. Certains sont sûrs ; d'autres sont des pièges. Votre tâche consiste à repérer les pièges.

Pendant que vous le faisiez, les chercheurs ont observé deux choses :

Avez-vous eu raison ? (Avez-vous repéré le faux ?)
À quelle vitesse avez-vous décidé ? (Avez-vous cliqué sur « sûr » ou « faux » instantanément, ou avez-vous fait une pause pour réfléchir ?)

2. Les Cinq « Ingrédients de la Personnalité »

Les chercheurs ont réalisé que la capacité à repérer ou non les faux ne dépend pas d'un seul facteur. Ils ont utilisé un « mixeur » statistique (appelé Analyse Factorielle Exploratoire) pour mélanger toutes les données et ont découvert cinq ingrédients principaux qui composent la personnalité numérique d'une personne :

Ancienneté : Votre âge et votre expérience professionnelle.
Expertise : Vos connaissances en informatique et en technologie.
Créativité : C'est un point délicat. Dans cette étude, cela ne signifiait pas « doué en art ». Cela signifiait être ouvert aux nouvelles idées, extraverti et prêt à prendre des risques.
Stabilité : Votre calme et votre équilibre émotionnel.
Vulnérabilité : La facilité avec laquelle vous vous laissez influencer par des astuces comme l'« Autorité » (quelqu'un qui vous crie dessus) ou la « Rareté » (une offre qui expire dans 5 minutes).

3. La Grande Découverte : La Vitesse est l'Ennemie

La découverte la plus surprenante concernait le temps.
Les chercheurs ont établi un lien direct entre l'impulsivité et la vitesse.

Les personnes qui admettaient être impulsives (agissant sans réfléchir) étaient celles qui appuyaient sur les boutons le plus rapidement.
La Règle : Plus vous décidez vite, plus vous êtes susceptible de tomber dans le piège.
La Leçon : Être lent et délibéré est un super-pouvoir. Prendre un moment pour réfléchir agit comme un bouclier.

4. Les Deux Types de Passagers

En utilisant les données, les chercheurs ont divisé tout le monde en deux groupes distincts, comme trier des passagers dans deux salles d'attente différentes :

Groupe A : L'« Utilisateur Conscient » (Le Voyageur Prudent)

Qui ils sont : Généralement plus âgés, avec plus d'expérience professionnelle et un peu plus prudents.
Comment ils agissent : Ils prennent leur temps. Ils ne se précipitent pas. Ils examinent le courriel, y réfléchissent et vérifient les détails.
Résultat : Ils sont beaucoup meilleurs pour repérer les faux trains. Ils ne sont tombés dans le piège que dans environ 22 % des cas.

Groupe B : L'« Utilisateur à Haut Risque » (Le Voyageur Hâtif)

Qui ils sont : Ce groupe représente la majorité des personnes (environ 71 %). Ils ont tendance à être plus jeunes, à avoir moins d'expérience professionnelle et à être plus « créatifs » (ouverts, extravertis et impulsifs).
Comment ils agissent : Ils sont rapides. Ils voient un courriel qui semble urgent ou qui vient d'un supérieur, et ils réagissent immédiatement sans réfléchir.
Résultat : Ce sont les cibles les plus faciles. Ils sont tombés dans le piège dans environ 31 % des cas.

5. Ce Que Cela Signifie Pour Vous

L'article conclut que l'on ne peut pas simplement enseigner aux gens des « faits techniques » (comme repérer un mauvais lien) et s'attendre à ce qu'ils soient en sécurité. Savoir utiliser un ordinateur ne suffit pas.

Le vrai problème, c'est comment nous pensons.

Si vous êtes le « Voyageur Hâtif », votre cerveau est câblé pour agir vite et être ouvert aux nouveautés, ce qui est excellent pour la créativité mais dangereux pour la sécurité.
Les escrocs le savent. Ils utilisent des astuces comme « Votre compte sera fermé dans 1 heure ! » pour vous mettre en panique et arrêter de réfléchir.

La Conclusion :
Pour rester en sécurité, vous n'avez pas besoin d'être un génie de l'informatique. Vous devez simplement ralentir. Si vous ressentez cette envie de cliquer immédiatement à cause de l'urgence ou de la peur, c'est le « signal d'alarme » de votre cerveau. La meilleure défense est de faire une pause, de prendre une inspiration et de réfléchir avant d'agir. L'article suggère que les futures formations à la sécurité ne devraient pas être un cours générique pour tout le monde ; elles devraient être adaptées pour aider les « Voyageurs Hâtifs » à apprendre à freiner.

Résumé Technique : Profilage de la Vulnérabilité des Utilisateurs au Hameçonnage par des Facteurs Psychologiques et Comportementaux

Énoncé du Problème
Le hameçonnage (phishing) demeure une menace de cybersécurité omniprésente qui contourne les défenses technologiques en ciblant les facteurs cognitifs et psychologiques humains. Bien que la recherche traditionnelle ait répertorié diverses variables prédictives, il existe un besoin critique d'une approche intégrée et multidimensionnelle pour identifier avec précision les profils d'individus vulnérables par rapport à ceux qui sont résilients. Les programmes de formation actuels, dits « universels », échouent souvent à traiter les traits psycho-comportementaux spécifiques qui entraînent la susceptibilité. Cette étude aborde la question de recherche suivante : Quels facteurs humains et quelles combinaisons de variables psycho-comportementales décrivent le mieux la vulnérabilité d'un utilisateur au hameçonnage ?

Méthodologie
L'étude a analysé des données issues de l'ensemble de données Spamley, une ressource publique impliquant 1 086 participants issus de milieux socio-professionnels divers. La méthodologie comprenait trois phases principales :

Collecte et Prétraitement des Données :
- Les participants ont rempli un questionnaire structuré couvrant des variables sociodémographiques, psychologiques (par exemple, les cinq grands traits de personnalité, l'impulsivité, la perception du risque) et comportementales.
- Les participants ont subi une simulation réaliste de détection de hameçonnage utilisant l'application web Spamley, qui présentait dix e-mails (légitimes et frauduleux) dans une interface imitant les clients de messagerie standards.
- Filtrage : Les données ont été rigoureusement nettoyées. Les sessions incomplètes ont été exclues. Un élément de vérification de l'attention (exigeant la saisie du chiffre « 3 ») a été utilisé pour filtrer les utilisateurs inattentifs. Les temps de réponse ont été analysés pour garantir un engagement suffisant (excluant les utilisateurs ayant terminé la tâche en moins de 2 minutes). Les utilisateurs ayant reçu moins de trois e-mails de hameçonnage ont été exclus pour assurer la pertinence statistique.
Analyse Statistique :
- Analyse Descriptive et Bivariée : Des corrélations de Spearman ont été calculées pour identifier les associations entre les variables (par exemple, âge, expérience, traits de personnalité) et la capacité à identifier correctement les e-mails de hameçonnage (taux de rappel).
- Validation de l'Impulsivité : L'étude a validé l'impulsivité auto-rapportée en analysant sa corrélation avec les temps de réponse comportementaux.
- Analyse Factorielle Exploratoire (AFE) : En utilisant la méthode des résidus minimaux avec une rotation oblique Oblimin, l'étude a extrait des construits latents à partir des variables observées. Une analyse parallèle a déterminé le nombre de facteurs à retenir.
- Clustering : Un algorithme de clustering K-Means a été appliqué pour segmenter l'échantillon. L'algorithme a utilisé deux facteurs latents spécifiques (Ancienneté et Créativité) pour le partitionnement, sélectionnés sur la base de l'optimisation du coefficient de silhouette. Les facteurs restants ont été intégrés après le clustering en tant que variables descriptives pour caractériser les groupes résultants.

Résultats Clés

Construits Latents : L'AFE a identifié cinq facteurs latents distincts :
1. Ancienneté : Composée de l'âge, de l'expérience professionnelle et du niveau d'éducation.
2. Expertise : Composée des connaissances en informatique et de l'historique de formation anti-hameçonnage.
3. Créativité : Composée de l'ouverture, de l'extraversion et de la propension au risque.
4. Stabilité : Composée de la stabilité émotionnelle et de la conscience professionnelle.
5. Vulnérabilité : Composée de la susceptibilité aux déclencheurs d'ingénierie sociale (autorité, rareté, preuve sociale).
Validation Comportementale : Une corrélation négative significative ( $r = -0,177, p < 0,001$ ) a été trouvée entre l'impulsivité auto-rapportée et les temps de réponse. De plus, une différence statistiquement significative ( $t = -4,198, p < 0,001$ ) existait entre les « victimes » et les individus « résilients », les victimes présentant des vitesses de prise de décision significativement plus rapides.
Profilage des Utilisateurs (K-Means) : L'analyse a produit deux profils d'utilisateurs distincts :
- Utilisateur à Haut Risque (71,4 % de l'échantillon) : Caractérisé par une faible Ancienneté (plus jeune, moins d'expérience), une Créativité positive (forte ouverture/extraversion) et une Expertise/Stabilité négative. Ce groupe a affiché le taux de rappel le plus bas (68,8 %) et les temps de réaction moyens les plus rapides (21,4 s). Ils ont montré un score positif sur le facteur Vulnérabilité, indiquant une susceptibilité aux déclencheurs psychologiques.
- Utilisateur Averti (28,6 % de l'échantillon) : Caractérisé par une forte Ancienneté (plus âgé, plus expérimenté), une Créativité négative (impulsivité plus faible) et une Expertise/Stabilité positive. Ce groupe a obtenu un taux de rappel plus élevé (78,3 %) et des temps de réaction plus lents (23,6 s), indiquant une approche plus analytique et prudente.

Contributions et Importance Clés
L'article prétend fournir une base empirique robuste pour dépasser la formation générique en matière de sécurité en :

Définir la Vulnérabilité par l'Interaction : L'étude démontre que la connaissance technique seule est insuffisante pour la résilience. La vulnérabilité est déterminée par l'interaction entre la maturité opérationnelle (Ancienneté), la vitesse de prise de décision (liée à l'impulsivité) et l'approche cognitive (Créativité).
Identifier la Majorité « à Haut Risque » : La recherche met en évidence que la majorité des utilisateurs (environ 71 %) relèvent d'un profil à Haut Risque caractérisé par des processus d'évaluation hâtifs et une analyse critique moindre, pilotés par un manque structurel de maturité et une forte impulsivité.
Validation Comportementale de l'Impulsivité : En corrélant l'impulsivité auto-rapportée avec des temps de réponse objectifs, l'étude confirme que la prise de décision rapide est un marqueur comportemental distinct de la vulnérabilité, la distinguant des utilisateurs résilients qui emploient un traitement plus lent et délibéré.
Implications Stratégiques : Les résultats suggèrent que les contre-mesures efficaces doivent passer d'une formation standardisée à des programmes personnalisés et adaptatifs. Plus précisément, les interventions pour le cluster à Haut Risque doivent se concentrer sur le débiaisage cognitif, le ralentissement de la prise de décision et la réduction de la susceptibilité à l'autorité et à la preuve sociale.

Limites
Les auteurs reconnaissent plusieurs limites : la dépendance à des mesures auto-rapportées (sujettes aux biais), l'utilisation d'un environnement simulé qui peut ne pas reproduire pleinement la charge cognitive et le stress du monde réel, l'absence de contrôle systématique de l'origine géographique (limitant la généralisabilité interculturelle) et la conception transversale qui empêche des inférences causales définitives.