💻 computer science

Profiling User Vulnerability to Phishing Through Psychological and Behavioral Factors

Deze studie analyseert de Spamley-dataset om vijf psychologische en gedragsmatige constructen van phishinggevoeligheid te identificeren, waarbij wordt gebleken dat een combinatie van operationele volwassenheid, beslissingsnelheid en cognitieve aanpak – niet alleen technische kennis – kwetsbare gebruikers onderscheidt en een verschuiving vereist naar gepersonaliseerde, adaptieve cybersecuritytraining.

Oorspronkelijke auteurs: Valeria Formisano, Danilo Gentile, Gennaro Esposito Mocerino, Michela Ponticorvo, Luigi Gallo, Alessio Botta, Davide Marocco

Gepubliceerd 2026-05-21

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Valeria Formisano, Danilo Gentile, Gennaro Esposito Mocerino, Michela Ponticorvo, Luigi Gallo, Alessio Botta, Davide Marocco

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je je e-mailinbox voor als een drukke treinstation. Meestal zijn de treinen (e-mails) legitieme passagiers die op weg zijn naar de juiste bestemming. Maar af en toe komt er een "neptrein" aangereden die vermomd is als een echte, in de hoop je te misleiden om erin te stappen en je waardevolle spullen af te staan. Dit is phishing.

Lange tijd dachten cybersecurity-experts dat de oplossing simpelweg het bouwen van betere hekken en sloten was (technologie). Maar dit artikel stelt dat het echte zwakke punt niet het hek is; het is de passagier (jij). De onderzoekers wilden erachter komen: Wat voor soort persoon stapt het meest waarschijnlijk in de neptrein?

Hier is het verhaal van hun onderzoek, eenvoudig uiteengezet:

1. Het Grote Experiment

De onderzoekers verzamelden een enorme groep van 1.086 mensen uit alle lagen van de bevolking. Ze stelden hen niet alleen vragen; ze plaatsten hen in een realistische simulatie. Stel je een test voor waarbij je 10 e-mails krijgt die er precies uitzien als echte die je op je werk of thuis zou ontvangen. Sommige zijn veilig; sommige zijn valstrikken. Jouw taak is om de valstrikken te herkennen.

Terwijl je dit deed, observeerden de onderzoekers twee dingen:

Heb je het goed? (Heb je de nep ontdekt?)
Hoe snel heb je beslist? (Klikte je direct op "veilig" of "nep", of heb je gepauzeerd om na te denken?)

2. De Vijf "Persoonlijkheidsingrediënten"

De onderzoekers realiseerden zich dat goed of slecht zijn in het opsporen van nep niet over slechts één ding gaat. Ze gebruikten een statistische "smoothie-blender" (genaamd Exploratory Factor Analysis) om alle data te mengen en vonden vijf hoofdcomponenten die de digitale persoonlijkheid van een persoon vormen:

Senioriteit: Hoe oud je bent en hoeveel werkervaring je hebt.
Expertise: Hoeveel je weet over computers en technologie.
Creativiteit: Dit is een lastige. In deze studie betekende het niet "goed in kunst". Het betekende openstaan voor nieuwe ideeën, extravert zijn en bereid zijn risico's te nemen.
Stabiliteit: Hoe kalm en emotioneel stabiel je bent.
Kwetsbaarheid: Hoe makkelijk je beïnvloed wordt door trucs zoals "Autoriteit" (iemand die tegen je schreeuwt) of "Schaarste" (een aanbod dat over 5 minuten vervalt).

3. De Grote Ontdekking: Snelheid is de Vijand

De meest verrassende bevinding ging over tijd.
De onderzoekers vonden een direct verband tussen impulsiviteit en snelheid.

Mensen die toegeven dat ze impulsief zijn (zonder na te denken handelen), waren degenen die het snelst op de knoppen klikten.
De Regel: Hoe sneller je beslist, hoe waarschijnlijker het is dat je op de oplichterij inloopt.
De Les: Traag en doordacht zijn is een superkracht. Een moment nemen om na te denken werkt als een schild.

4. De Twee Soorten Passagiers

Met behulp van de data splitsten de onderzoekers iedereen in twee duidelijke groepen, alsof ze passagiers in twee verschillende wachtkamers sorteren:

Groep A: De "Bewuste Gebruiker" (De Voorzichtige Reiziger)

Wie ze zijn: Meestal ouder, met meer werkervaring en iets voorzichtiger.
Hoe ze handelen: Ze nemen hun tijd. Ze haasten zich niet. Ze kijken naar de e-mail, denken erover na en controleren de details.
Resultaat: Ze zijn veel beter in het opsporen van de neptreinen. Ze liepen slechts ongeveer 22% van de tijd op de oplichterij in.

Groep B: De "Hoog-Risico Gebruiker" (De Haastige Reiziger)

Wie ze zijn: Deze groep vormt de meerderheid van de mensen (ongeveer 71%). Ze zijn vaak jonger, hebben minder werkervaring en zijn meer "creatief" (open, extravert en impulsief).
Hoe ze handelen: Ze zijn snel. Ze zien een e-mail die dringend lijkt of van een baas komt, en reageren direct zonder na te denken.
Resultaat: Ze zijn de makkelijkste doelen. Ze liepen ongeveer 31% van de tijd op de oplichterij in.

5. Wat Dit Voor Jou Betekent

Het artikel concludeert dat je mensen niet zomaar "tech-feiten" kunt leren (zoals hoe je een slechte link herkent) en kunt verwachten dat ze veilig zijn. Weten hoe je een computer gebruikt is niet genoeg.

Het echte probleem is hoe we denken.

Als jij de "Haastige Reiziger" bent, is je brein zo geprogrammeerd om snel te handelen en open te staan voor nieuwe dingen, wat geweldig is voor creativiteit maar gevaarlijk voor veiligheid.
De oplichters weten dit. Ze gebruiken trucs zoals "Je account wordt over 1 uur gesloten!" om je in paniek te brengen en te stoppen met denken.

De Conclusie:
Om veilig te blijven, hoef je geen computergenie te zijn. Je hoeft alleen maar te vertragen. Als je dat drang voelt om direct te klikken vanwege urgentie of angst, is dat het "gevaarsignaal" van je brein. De beste verdediging is om te pauzeren, een diepe adem te halen en na te denken voordat je handelt. Het artikel stelt voor dat toekomstige veiligheidstraining niet zomaar een generieke lezing voor iedereen moet zijn; het moet op maat worden gemaakt om de "Haastige Reizigers" te helpen leren hoe ze op de rem moeten trappen.

Technische Samenvatting: Profileren van Gebruikerskwetsbaarheid voor Phishing via Psychologische en Gedragsfactoren

Probleemstelling
Phishing blijft een alomtegenwoordige cyberveiligheidsbedreiging die technologische verdedigingsmiddelen omzeilt door in te spelen op menselijke cognitieve en psychologische factoren. Hoewel traditioneel onderzoek diverse voorspellende variabelen heeft gearchiveerd, is er een kritieke behoefte aan een geïntegreerde, multidimensionale aanpak om nauwkeurig profielen van kwetsbare versus veerkrachtige individuen te identificeren. Huidige "one-size-fits-all" trainingsprogramma's slagen er vaak niet in om de specifieke psycho-gedragskenmerken aan te pakken die vatbaarheid aandrijven. Deze studie adresseert de onderzoeksvraag: Welke menselijke factoren en combinaties van psycho-gedragsvariabelen beschrijven het beste de kwetsbaarheid van een gebruiker voor phishing?

Methodologie
De studie analyseerde data uit de Spamley-dataset, een publiek beschikbare bron met 1.086 deelnemers uit diverse socio-professionele achtergronden. De methodologie omvatte drie hoofdfasen:

Datacollectie en Preprocessing:
- Deelnemers vulden een gestructureerde vragenlijst in die sociodemografische, psychologische (bijv. Big Five-kenmerken, impulsiviteit, risicoperceptie) en gedragsvariabelen behandelde.
- Deelnemers ondergingen een realistische phishing-detectiesimulatie met behulp van de Spamley-webapplicatie, die tien e-mails (legitiem en frauduleus) presenteerde in een interface die standaard e-mailclients nabootste.
- Filtering: Data werd strikt schoongemaakt. Onvolledige sessies werden uitgesloten. Een aandachtstest-item (waarbij de invoer van "3" vereist was) werd gebruikt om onoplettende gebruikers te filteren. Reactietijden werden geanalyseerd om voldoende betrokkenheid te waarborgen (met uitsluiting van gebruikers die de taak in minder dan 2 minuten voltooiden). Gebruikers die minder dan drie phishing-e-mails ontvingen, werden uitgesloten om statistische relevantie te waarborgen.
Statistische Analyse:
- Beschrijvende en Bivariate Analyse: Spearman-correlaties werden berekend om associaties tussen variabelen (bijv. leeftijd, ervaring, persoonlijkheidstrekken) en het vermogen om phishing-e-mails correct te identificeren (recall-rate) te identificeren.
- Validatie van Impulsiviteit: De studie valideerde zelfgerapporteerde impulsiviteit door de correlatie ervan met gedragsreactietijden te analyseren.
- Exploratieve Factoranalyse (EFA): Met behulp van de Minimum Residual-methode met Oblimin-oblique rotatie, onttrok de studie latente constructen uit de geobserveerde variabelen. Parallelle analyse bepaalde het aantal factoren dat behouden moest blijven.
- Clustering: Een K-Means-clusteringalgoritme werd toegepast om de steekproef te segmenteren. Het algoritme gebruikte twee specifieke latente factoren (Senioriteit en Creativiteit) voor het partitioneren, geselecteerd op basis van de optimalisatie van de Silhouette-coëfficiënt. De overige factoren werden na clustering geïntegreerd als beschrijvende variabelen om de resulterende groepen te karakteriseren.

Belangrijkste Resultaten

Latente Constructen: De EFA identificeerde vijf distincte latente factoren:
1. Senioriteit: Samengesteld uit leeftijd, werkervaring en opleidingsniveau.
2. Expertise: Samengesteld uit kennis van informatica en geschiedenis van anti-phishingscursussen.
3. Creativiteit: Samengesteld uit openheid, extrovertie en risicobereidheid.
4. Stabiliteit: Samengesteld uit emotionele stabiliteit en gewetensvolheid.
5. Kwetsbaarheid: Samengesteld uit vatbaarheid voor triggers van sociale manipulatie (autoriteit, schaarste, sociale bewijskracht).
Gedragsvalidatie: Er werd een significante negatieve correlatie ( $r = -0,177, p < 0,001$ ) gevonden tussen zelfgerapporteerde impulsiviteit en reactietijden. Bovendien bestond er een statistisch significant verschil ( $t = -4,198, p < 0,001$ ) tussen "slachtoffers" en "veerkrachtige" individuen, waarbij slachtoffers significant snellere besluitvormingssnelheden vertoonden.
Gebruikersprofielen (K-Means): De analyse leverde twee distincte gebruikersprofielen op:
- Hoogrisicogebruiker (71,4% van de steekproef): Gekenmerkt door lage Senioriteit (jonger, minder ervaring), positieve Creativiteit (hoge openheid/extrovertie) en negatieve Expertise/Stabiliteit. Deze groep vertoonde de laagste recall-rate (68,8%) en de snelste gemiddelde reactietijden (21,4s). Ze vertoonden een positieve score op de Kwetsbaarheidsfactor, wat wijst op vatbaarheid voor psychologische triggers.
- Bewuste Gebruiker (28,6% van de steekproef): Gekenmerkt door hoge Senioriteit (ouder, meer ervaren), negatieve Creativiteit (lagere impulsiviteit) en positieve Expertise/Stabiliteit. Deze groep behaalde een hogere recall-rate (78,3%) en langzamere reactietijden (23,6s), wat wijst op een meer analytische en voorzichtige aanpak.

Belangrijkste Bijdragen en Relevantie
Het artikel beweert een robuuste empirische basis te bieden om voorbij algemene beveiligingstraining te gaan door:

Definiëren van Kwetsbaarheid via Interactie: De studie demonstreert dat technische kennis alleen onvoldoende is voor veerkracht. In plaats daarvan wordt kwetsbaarheid bepaald door de interactie tussen operationele volwassenheid (Senioriteit), besluitvormingssnelheid (gekoppeld aan impulsiviteit) en cognitieve aanpak (Creativiteit).
Identificeren van de "Hoogrisico"-meerderheid: Het onderzoek benadrukt dat de meerderheid van de gebruikers (ongeveer 71%) valt onder een Hoogrisicoprofiel, gekenmerkt door haastige evaluatieprocessen en lagere kritische analyse, gedreven door een structureel gebrek aan volwassenheid en hoge impulsiviteit.
Gedragsvalidatie van Impulsiviteit: Door zelfgerapporteerde impulsiviteit te correleren met objectieve reactietijden, bevestigt de studie dat snellere besluitvorming een distinct gedragskenmerk is van kwetsbaarheid, waarmee het zich onderscheidt van veerkrachtige gebruikers die langzamere, deliberatieve verwerking toepassen.
Strategische Implicaties: De bevindingen suggereren dat effectieve tegenmaatregelen moeten verschuiven van gestandaardiseerde training naar gepersonaliseerde, adaptieve programma's. Specifiek moeten interventies voor de Hoogrisicocluster focussen op cognitieve debiasing, het vertragen van besluitvorming en het mitigeren van vatbaarheid voor autoriteit en sociale bewijskracht.

Beperkingen
De auteurs erkennen verschillende beperkingen: de afhankelijkheid van zelfgerapporteerde maatregelen (onderhevig aan bias), het gebruik van een gesimuleerde omgeving die mogelijk niet volledig de cognitieve belasting en stress uit de echte wereld nabootst, het ontbreken van systematische controle over geografische oorsprong (wat de generaliseerbaarheid over culturen beperkt), en het cross-sectionele ontwerp dat definitieve causale inferenties verhindert.