Alla nätfiskekampanjer fungerar inte, men när en angripare fortsätter med en strategi som gör det är det nyckeln till deras framgång. Det är upptäckten av en ny studie som fokuserar på angriparen, en till stor del ignorerad men avgörande aspekt av nätfiske. Förutom att identifiera framgångsrika strategier, det avslöjar också att angripare motiveras av snabbare och större belöningar – med kreativa individer som lägger mer kraft på att skapa dessa skadliga e-postmeddelanden. Insikter från studien, publiceras idag i tidskriften med öppen tillgång Gränser i psykologi , kan användas för att utveckla verktyg och utbildningsprocedurer för att upptäcka nätfiske-e-postmeddelanden.

"Vi hittar specifika nätfiskestrategier, såsom användningen av auktoritativ ton, uttrycka delat intresse och skicka meddelanden, är mer benägna att lyckas, " säger Dr Prashanth Rajivan, huvudförfattare till studien och baserad vid Carnegie Mellon University, Pennsylvania, USA.

Nätfiske är en vanlig form av cyberangrepp. Brottslingar utger sig för att vara en pålitlig tredje part för att övertala människor att besöka bedrägliga webbplatser eller ladda ner skadliga bilagor, med avsikten att äventyra deras säkerhet. Medan forskningen till stor del har fokuserat på offren för dessa brott, denna nya studie tittar på en kritisk aspekt av nätfiske:angriparens beteende och strategier.

"Vi skapade ett spelliknande experiment för att bedöma hur väl olika strategier fungerar, och att förstå hur incitament och framgång, eller en individs kreativitet, kan påverka motivationen, " förklarar Dr. Rajivan.

I experimentet, mänskliga deltagare spelar rollen som en nätfiskeangripare och samlar poäng, över ett antal varv, för att framgångsrikt lura andra människor som är "slutanvändaren" som utför en e-posthanteringsuppgift. Spelet var noggrant konstruerat för att utbilda och belöna människor att producera nätfiske-e-postmeddelanden som använder olika strategier och ämnen.

Strategier som var mindre benägna att lyckas var att erbjuda erbjudanden, ' 'sälja olagligt material' och 'använda en positiv ton'.

"Människor kan vara mindre mottagliga för strategier förknippade med bedrägerier som fungerade för ett decennium sedan, " förklarar Dr. Rajivan. "Mer framgångsrika strategier idag skulle vara att skicka meddelanden, ''användning av auktoritativ ton, ' 'utnyttja förtroende genom att imitera en vän eller uttrycka delat intresse, ' och 'kommunikationsfel'."

Den upprepade designen av spelet gjorde det möjligt för forskarna att bedöma angriparens taktik över tid. Detta avslöjade att uthållighet med en framgångsrik strategi, istället för att byta från en till en annan, kan ge bättre resultat. Forskarna tillskriver detta att angriparna förbättrade e-posttexten vid varje tur.

Incitament hade ett direkt inflytande på motivation, med försenade belöningar vilket resulterar i mindre ansträngning. Ju enklare och snabbare höga belöningar fick, ju mer ansträngning en angripare ansträngde sig för att utforma övertygande e-postmeddelanden, liksom individer som fick höga poäng i ett "kreativitetstest". Det fanns inga bevis som tydde på, dock, att kreativitet skulle kunna användas som en förutsägelse för nätfiskeframgång.

"Det har skett en återuppgång i nätfiskeattacker de senaste åren och regelbundna, icke-experta användare av Internet är vanligtvis offer för dessa brott. Vi måste förbättra nuvarande säkerhetspraxis för att ändra incitamentstrukturen för angriparen. Om belöningen är större än kostnaderna, angripare kommer att fortsätta anstränga sig mer för nätfiskekampanjer, " säger Dr. Rajivan. "Vi tror att angripare med högre kreativitet kan vara kapabla att ändra och anpassa e-postmeddelanden för att undvika upptäckt, även om deras kreativitet inte kan avgöra hur stor framgång de når med att få slutanvändaren att svara."

Han fortsätter, "Vår nya experimentella design skulle kunna användas för att crowdsource folk för att spela vårt spel, vilket skulle ge oss massor av information om framgångsfrekvenser för nätfiske och hur dessa e-postmeddelanden kan anpassas, vilket förbättrar detektionsprogramvaran. Dessutom, vi skulle kunna använda det som ett träningsverktyg för att hjälpa människor att tänka som hackare för att bättre upptäcka nätfiske-e-post."