Bijna iedereen kan het slachtoffer van phishing worden en een gevaarlijke link of bijlage openen, ook al is men securitybewust, zo claimt een Duitse onderzoekster. Zinaida Benenson leidt een onderzoeksgroep die de menselijke factoren analyseert die bij security en privacy een rol spelen. Ze onderzocht waarom mensen een kwaadaardige link of bijlage wel of niet openen. Deze week geeft ze tijdens Black Hat een presentatie over de onderzoeksresultaten.

"Door het ontwerp en de timing van het bericht goed te plannen is het mogelijk om bijna elk persoon op een link te laten klikken, aangezien ieder mens nieuwsgierig is, in een onderwerp is geïnteresseerd of zich in een bepaalde levenssituatie bevindt waar de inhoud en context van het bericht op aansluiten", aldus Beneson tegenover ZDNet. Volgens de onderzoekster maken mensen vooral fouten vanwege de context van een bericht en nieuwsgierigheid.

Onderzoek

Voor het onderzoek besloten de onderzoekers meer dan 1600 universiteitsstudenten een e-mail of Facebookbericht van een niet-bestaand persoon te sturen. Het bericht beweerde dat de meegestuurde link foto's van een recent feestje bevatte. Als de ontvanger bij zijn voornaam werd genoemd werd de link door 56% van de e-mail- en 38% van de Facebookgebruikers geopend. Was de voornaam niet vermeld, dan opende 20% van de e-mailgebruikers het bericht tegenover 42,5% van de Facebookgebruikers. Toch wist 78% dat het openen van een link gevaarlijk kan zijn.

De voornaamste reden voor het openen van een link was nieuwsgierigheid over de inhoud van de afbeelding, gevolgd door de context die op de levenssituatie van de ontvanger aansloot. Zo waren ontvangers echt recentelijk op een feestje met vreemden geweest. Daarnaast dacht 16% dat ze de afzender kenden. De voornaamste reden om de link niet te openen was dat de afzender onbekend was, gevolgd door de context die niet aansloot bij de situatie van de ontvanger.

"We laten zien dat nieuwsgierigheid, of interesse in het onderwerp en context van de aanval de belangrijkste rol spelen bij de onveilige beslissing die gebruikers maken, wat het lastig maakt om vaardige aanvallers te dwarsbomen", laat Beneson weten. Ze stelt dat het lastig is om tegen dit soort aanvallen te beschermen. "Natuurlijke en creatieve menselijke eigenschappen, zoals nieuwsgierigheid, zullen altijd kunnen worden uitgebuit, aangezien mensen (hopelijk) niet tegen dit soort aanvallen kunnen worden gepatcht." Door haar onderzoek hoopt ze echter meer inzicht in de beweegredenen van mensen te geven, zodat verdedigers betere beveiligingsmethodes kunnen ontwikkelen.