💻 computer science

Profiling User Vulnerability to Phishing Through Psychological and Behavioral Factors

Este estudo analisa o conjunto de dados Spamley para identificar cinco construtos psicológicos e comportamentais da suscetibilidade ao phishing, revelando que uma combinação de maturidade operacional, velocidade de tomada de decisão e abordagem cognitiva — e não apenas conhecimento técnico — distingue os usuários vulneráveis e exige uma mudança em direção a treinamentos de cibersegurança personalizados e adaptativos.

Autores originais: Valeria Formisano, Danilo Gentile, Gennaro Esposito Mocerino, Michela Ponticorvo, Luigi Gallo, Alessio Botta, Davide Marocco

Publicado 2026-05-21

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Valeria Formisano, Danilo Gentile, Gennaro Esposito Mocerino, Michela Ponticorvo, Luigi Gallo, Alessio Botta, Davide Marocco

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine sua caixa de entrada de e-mail como uma estação de trem movimentada. Na maioria das vezes, os trens (e-mails) são passageiros legítimos indo para o destino correto. Mas ocasionalmente, um "trem falso" disfarçado de verdadeiro chega, esperando enganar você a embarcar nele e entregar seus objetos de valor. Isso é phishing.

Por muito tempo, especialistas em cibersegurança pensaram que a solução era apenas construir cercas e fechaduras melhores (tecnologia). Mas este artigo argumenta que o ponto fraco real não é a cerca; é o passageiro (você). Os pesquisadores quiseram descobrir: Que tipo de pessoa tem mais probabilidade de embarcar no trem falso?

Aqui está a história de sua investigação, explicada de forma simples:

1. O Grande Experimento

Os pesquisadores reuniram um grupo massivo de 1.086 pessoas de todas as esferas da vida. Eles não apenas fizeram perguntas a elas; colocaram-nas em uma simulação realista. Imagine um teste onde você recebe 10 e-mails que se parecem exatamente com os reais que você receberia no trabalho ou em casa. Alguns são seguros; alguns são armadilhas. Sua tarefa é identificar as armadilhas.

Enquanto você fazia isso, os pesquisadores observavam duas coisas:

Você acertou? (Você identificou o falso?)
Quão rápido você decidiu? (Você clicou em "seguro" ou "falso" instantaneamente, ou pausou para pensar?)

2. Os Cinco "Ingredientes de Personalidade"

Os pesquisadores perceberam que ser bom ou ruim em identificar falsificações não se trata de apenas uma coisa. Eles usaram um "liquidificador estatístico" (chamado Análise Fatorial Exploratória) para misturar todos os dados e encontraram cinco ingredientes principais que compõem a personalidade digital de uma pessoa:

Senioridade: Sua idade e quanto de experiência profissional você tem.
Expertise: Quanto você sabe sobre computadores e tecnologia.
Criatividade: Esta é uma questão complicada. Neste estudo, não significava "bom em arte". Significava estar aberto a novas ideias, ser extrovertido e disposto a correr riscos.
Estabilidade: Quão calmo e emocionalmente estável você é.
Vulnerabilidade: Quão facilmente você é influenciado por truques como "Autoridade" (alguém gritando com você) ou "Escassez" (uma oferta que expira em 5 minutos).

3. A Grande Descoberta: A Velocidade é a Inimiga

A descoberta mais surpreendente foi sobre o tempo.
Os pesquisadores encontraram um vínculo direto entre impulsividade e velocidade.

Pessoas que admitiram ser impulsivas (agiam sem pensar) foram as que apertaram os botões mais rápido.
A Regra: Quanto mais rápido você decide, mais provável é que você caia no golpe.
A Lição: Ser lento e deliberado é um superpoder. Tirar um momento para pensar age como um escudo.

4. Os Dois Tipos de Passageiros

Usando os dados, os pesquisadores dividiram todos em dois grupos distintos, como se estivessem separando passageiros em duas salas de espera diferentes:

Grupo A: O "Usuário Consciente" (O Viajante Cuidadoso)

Quem são: Geralmente mais velhos, com mais experiência profissional e um pouco mais cautelosos.
Como agem: Eles tomam seu tempo. Não se apressam. Olham o e-mail, pensam sobre ele e verificam os detalhes.
Resultado: Eles são muito melhores em identificar os trens falsos. Caíram no golpe apenas cerca de 22% das vezes.

Grupo B: O "Usuário de Alto Risco" (O Viajante Apressado)

Quem são: Este grupo compõe a maioria das pessoas (cerca de 71%). Tendem a ser mais jovens, ter menos experiência profissional e ser mais "criativos" (abertos, extrovertidos e impulsivos).
Como agem: Eles são rápidos. Veem um e-mail que parece urgente ou vem de um chefe e reagem imediatamente sem pensar.
Resultado: São os alvos mais fáceis. Caíram no golpe cerca de 31% das vezes.

5. O Que Isso Significa Para Você

O artigo conclui que você não pode apenas ensinar às pessoas "fatos técnicos" (como identificar um link ruim) e esperar que elas estejam seguras. Saber usar um computador não é suficiente.

O problema real é como pensamos.

Se você é o "Viajante Apressado", seu cérebro está programado para agir rápido e estar aberto a coisas novas, o que é ótimo para criatividade, mas perigoso para segurança.
Os golpistas sabem disso. Eles usam truques como "Sua conta será encerrada em 1 hora!" para fazê-lo entrar em pânico e parar de pensar.

A Conclusão:
Para permanecer seguro, você não precisa ser um gênio da computação. Você só precisa desacelerar. Se sentir o impulso de clicar imediatamente devido à urgência ou ao medo, esse é o "sinal de perigo" do seu cérebro. A melhor defesa é pausar, respirar e pensar antes de agir. O artigo sugere que o treinamento de segurança futuro não deve ser apenas uma palestra genérica para todos; deve ser adaptado para ajudar os "Viajantes Apressados" a aprenderem a frear.

Resumo Técnico: Perfilamento da Vulnerabilidade do Usuário a Phishing Através de Fatores Psicológicos e Comportamentais

Declaração do Problema
O phishing permanece uma ameaça cibernética pervasiva que contorna defesas tecnológicas ao visar fatores cognitivos e psicológicos humanos. Embora pesquisas tradicionais tenham catalogado várias variáveis preditivas, há uma necessidade crítica de uma abordagem integrada e multidimensional para identificar com precisão perfis de indivíduos vulneráveis versus resilientes. Os programas de treinamento atuais de "tamanho único" frequentemente falham em abordar os traços psico-comportamentais específicos que impulsionam a suscetibilidade. Este estudo aborda a questão de pesquisa: Quais fatores humanos e combinações de variáveis psico-comportamentais descrevem melhor a vulnerabilidade de um usuário ao phishing?

Metodologia
O estudo analisou dados do conjunto de dados Spamley, um recurso publicamente disponível envolvendo 1.086 participantes de diversas origens socio-profissionais. A metodologia compreendeu três fases principais:

Coleta e Pré-processamento de Dados:
- Os participantes completaram um questionário estruturado cobrindo variáveis sociodemográficas, psicológicas (por exemplo, os Cinco Grandes traços, impulsividade, percepção de risco) e comportamentais.
- Os participantes passaram por uma simulação realista de detecção de phishing usando o aplicativo web Spamley, que apresentou dez e-mails (legítimos e fraudulentos) em uma interface que imitava clientes de e-mail padrão.
- Filtragem: Os dados foram rigorosamente limpos. Sessões incompletas foram excluídas. Um item de verificação de atenção (exigindo a entrada de "3") foi usado para filtrar usuários desatentos. Os tempos de resposta foram analisados para garantir engajamento suficiente (filtrando usuários que completaram a tarefa em menos de 2 minutos). Usuários que receberam menos de três e-mails de phishing foram excluídos para garantir relevância estatística.
Análise Estatística:
- Análise Descritiva e Bivariada: Correlações de Spearman foram calculadas para identificar associações entre variáveis (por exemplo, idade, experiência, traços de personalidade) e a capacidade de identificar corretamente e-mails de phishing (taxa de recuperação).
- Validação da Impulsividade: O estudo validou a impulsividade autorrelatada analisando sua correlação com tempos de resposta comportamentais.
- Análise Fatorial Exploratória (AFE): Utilizando o método dos Resíduos Mínimos com rotação oblíqua Oblimin, o estudo extraiu construtos latentes das variáveis observadas. A análise paralela determinou o número de fatores a reter.
- Agrupamento: Um algoritmo de agrupamento K-Means foi aplicado para segmentar a amostra. O algoritmo utilizou dois fatores latentes específicos (Antiguidade e Criatividade) para particionamento, selecionados com base na otimização do Coeficiente de Silhueta. Os fatores restantes foram integrados pós-agrupamento como variáveis descritivas para caracterizar os grupos resultantes.

Principais Resultados

Construtos Latentes: A AFE identificou cinco fatores latentes distintos:
1. Antiguidade: Composta por idade, experiência profissional e nível de educação.
2. Expertise: Composta por conhecimento em ciência da computação e histórico de cursos anti-phishing.
3. Criatividade: Composta por abertura, extroversão e propensão ao risco.
4. Estabilidade: Composta por estabilidade emocional e conscienciosidade.
5. Vulnerabilidade: Composta por suscetibilidade a gatilhos de engenharia social (autoridade, escassez, prova social).
Validação Comportamental: Uma correlação negativa significativa ( $r = -0,177, p < 0,001$ ) foi encontrada entre impulsividade autorrelatada e tempos de resposta. Além disso, uma diferença estatisticamente significativa ( $t = -4,198, p < 0,001$ ) existia entre "vítimas" e indivíduos "resilientes", com as vítimas exibindo velocidades de tomada de decisão significativamente mais rápidas.
Perfilamento de Usuários (K-Means): A análise produziu dois perfis de usuários distintos:
- Usuário de Alto Risco (71,4% da amostra): Caracterizado por baixa Antiguidade (mais jovem, menos experiência), Criatividade positiva (alta abertura/extroversão) e Expertise/Estabilidade negativas. Este grupo exibiu a menor taxa de recuperação (68,8%) e os tempos de reação médios mais rápidos (21,4s). Eles mostraram uma pontuação positiva no fator Vulnerabilidade, indicando suscetibilidade a gatilhos psicológicos.
- Usuário Consciente (28,6% da amostra): Caracterizado por alta Antiguidade (mais velho, mais experiente), Criatividade negativa (menor impulsividade) e Expertise/Estabilidade positivas. Este grupo alcançou uma taxa de recuperação mais alta (78,3%) e tempos de reação mais lentos (23,6s), indicando uma abordagem mais analítica e cautelosa.

Principais Contribuições e Significado
O artigo afirma fornecer uma base empírica robusta para ir além do treinamento de segurança genérico ao:

Definir Vulnerabilidade via Interação: O estudo demonstra que o conhecimento técnico sozinho é insuficiente para a resiliência. Em vez disso, a vulnerabilidade é determinada pela interação entre maturidade operacional (Antiguidade), velocidade de tomada de decisão (ligada à impulsividade) e abordagem cognitiva (Criatividade).
Identificar a Maioria "de Alto Risco": A pesquisa destaca que a maioria dos usuários (aproximadamente 71%) se enquadra em um perfil de Alto Risco caracterizado por processos de avaliação apressados e menor análise crítica, impulsionados por uma falta estrutural de maturidade e alta impulsividade.
Validação Comportamental da Impulsividade: Ao correlacionar a impulsividade autorrelatada com tempos de resposta objetivos, o estudo confirma que a tomada de decisão mais rápida é um marcador comportamental distinto de vulnerabilidade, distinguindo-a de usuários resilientes que empregam processamento mais lento e deliberativo.
Implicações Estratégicas: As descobertas sugerem que contramedidas eficazes devem mudar de treinamento padronizado para programas personalizados e adaptativos. Especificamente, intervenções para o cluster de Alto Risco devem focar na desviés cognitiva, desaceleração da tomada de decisão e mitigação da suscetibilidade à autoridade e prova social.

Limitações
Os autores reconhecem várias limitações: a dependência de medidas autorrelatadas (sujeitas a viés), o uso de um ambiente simulado que pode não replicar totalmente a carga cognitiva e o estresse do mundo real, a falta de controle sistemático sobre a origem geográfica (limitando a generalização transcultural) e o desenho transversal que impede inferências causais definitivas.