An Analysis of the Impact of Psychological Factors and Techniques Across Different Types of Social Engineering
这项涉及12名参与者的探索性实验室研究分析了各种社交工程攻击类型（如网络钓鱼、语音钓鱼和短信钓鱼）结合不同心理因素的有效性，揭示了利用贪婪心理的鱼叉式网络钓鱼是最成功的组合，而某些配对如结合权威性的弹窗或短信钓鱼，以及结合好奇心的语音钓鱼，则被证明完全无效。
原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。 阅读完整免责声明
每天，人们都在对点击什么、打开什么以及信任什么做出选择。在网络安全领域，这些选择就是防线的前沿。攻击者并不总是需要突破复杂的计算机代码；通常，他们只需要通过欺骗的方式让一个人交出密码或下载病毒。这种操纵手段被称为社会工程学。它依赖于利用人类思维运作的方式，通过特定的心理诱因来绕过警惕心。其中一些诱因是熟悉的感受，如恐惧或对回报的承诺，而另一些则是社交习惯，如服从上司或信任知名品牌。了解哪种情感诱因最适用于哪种类型的消息至关重要，因为这有助于组织向员工传授如何识别陷阱，从而在陷 easily 被触发前识破它们。
德国的一个研究小组致力于绘制这些陷阱的图谱。他们想知道特定的情感诱因是否在特定的消息类型中效果更好。例如，免费金钱的承诺在短信还是电子邮件中更有效？银行账户被冻结的恐惧在电话中还是在屏幕弹窗中更有效？为了寻找答案，研究人员在实验室进行了一项受控实验。他们召集了十二名志愿者，并向他们展示了一系列模拟攻击。每位参与者看到了二十五个不同的场景。这些场景是通过将五种不同类型的消息与五种不同的心理诱因进行组合而创建的。消息类型包括标准电子邮件、看起来像是来自特定人员的针对性电子邮件、短信、语音通话以及出现在屏幕上的弹窗。心理诱因包括好奇心、贪婪、信任、恐惧以及服从权威人物的感觉。
研究人员并没有要求志愿者实际点击链接或提供真实信息。相反，他们向他们展示了消息的图片或播放了通话录音，并提出了一个简单的问题：你会对这个做出反应吗？志愿者们在观察场景时还会大声解释他们的想法。这使得研究人员不仅能看到人们做了什么，还能看到他们为什么做出这些选择。这项研究规模较小，且是在一个安静的房间内进行的，因此其结果是对这些因素如何相互作用的初步观察，而非针对整个世界的最终定论。
结果揭示了人们反应方式中的清晰模式。对于欺骗志愿者而言，最成功的组合是承诺财务回报的针对性电子邮件。当一封电子邮件看起来像是来自特定的人并提供一项交易时，四分之三的参与者表示他们会做出反应。这表明，个人关注与金钱承诺的结合是一种强大的诱惑。第二种有效的方法是标准电子邮件，其内容要么承诺奖励，要么要求接收者信任发送者（例如声称来自某流媒体服务的消息）。在这些情况下，超过一半的志愿者表示他们会参与其中。
然而，并非所有的组合都奏效。研究人员发现，有些方法几乎完全失败了。当攻击者试图利用上司的权威来要求紧急行动时，这很少奏效，尤其是当消息通过电话、短信或弹窗传递时。事实上，当语音通话试图利用好奇心来吸引人们倾听时，它完全失败了；没有一名志愿者表示会对这种特定的场景做出反应。志愿者解释说，他们认为这些渠道对于此类请求是不恰当的。例如，他们觉得老板不会打电话要求下载文件，或者公司不会通过短信发送关于共享文件夹的信息。
研究还表明，消息类型的性质非常重要。恐惧是一个强大的驱动力，但它是一把双刃剑。当一条消息声称银行账户被冻结时，许多人感到有修复它的冲动，但也有更大比例的人因为担心安全性而感到怀疑并拒绝点击。另一方面，贪婪是一个更直接的驱动力。当一条消息提供折扣或优惠时，只要消息看起来合法，人们就更有可能采取行动。信任也起到了重要作用；当消息看起来来自像流媒体服务这样熟悉的公司时，人们愿意点击，但前提是消息必须以他们预期的格式到达。
有趣的是，研究人员发现，一个人对自己数字安全的信心并不总是与其行为相匹配。一些声称自己在处理数字风险方面非常安全的人仍然落入了陷阱，而另一些自认为不安全的人实际上却更加谨慎。这表明，感到安全并不总是意味着真正安全。研究还强调，语音通话和短信通常不如电子邮件有效。志愿者们天生对电话和短信更加怀疑，经常指出这些渠道对于所提出的请求类型来说感觉不对劲。
最后，这项研究描绘了一幅特定且情境化的、关于人类脆弱性的图景。这不仅仅是关于是否容易受骗，而是关于语境。一种在某种格式下有效的消息在另一种格式下可能会失效，而且金钱的承诺比来自上司的命令更有效。最成功的攻击是那些将熟悉的、受信任的格式与强烈的情感钩子相结合的攻击。虽然这项研究规模较小，但它为哪些心理诱因在哪些数字环境中最为危险提供了清晰的地图，为未来构建更好的防御和意识培训提供了指南。
您所在领域的论文太多了？
获取与您研究关键词匹配的最新论文每日摘要——附技术摘要，使用您的语言。