健康问题在网络钓鱼易感性中的作用:调查设计研究

简介

背景

网络钓鱼(Phishing)是指网络犯罪分子通过电子邮件攻击普通电脑或手机用户的网络犯罪。这种通信主要是为了吸引用户提供他们的敏感数据，如个人医疗记录、密码、银行信息和密码。在网络钓鱼攻击中，攻击者发送冒充合法组织或个人的电子邮件。网络罪犯使用社会工程技术鼓励接收者点击可疑链接。该链接可以下载恶意应用程序或提供一个表单，要求接收者输入敏感的个人信息。网络钓鱼攻击可以针对个人、雇员、公司或政府。攻击者的动机有很多，比如获得经济利益或在网络犯罪群体中获得声誉。攻击者可以将窃取的个人健康护理记录出售数千美元[1］．

根据美国联邦调查局2019年互联网犯罪投诉中心年度报告[2]，仅互联网上的盗窃、欺诈和剥削案件就造成约35亿美元的经济损失。报告指出，最常见的攻击类型是网络钓鱼/Vishing/Smishing/Pharming，这些术语用于定义不同的网络钓鱼方式。例如，通过电话进行的欺诈被称为vishing．短信诈骗指使用短信进行的攻击。网络钓鱼的受害人数排名第一，是排名第二的攻击类型的两倍多。过去数年，网络钓鱼攻击大幅增加[3.］．

IBM Security最近的一份报告就数据泄露的平均成本而言，将医疗保健行业排在首位[4］．报告指出，网络钓鱼是实施攻击最常见的方法之一。2018年，美国约有1500万患者的记录被破坏。此外，在2019年前6个月，2500万名患者受到损害，网络钓鱼是大多数入侵背后的主要因素[5］．

网络钓鱼不仅对个人的货币资产有负面影响，而且每当他们通过电话、短信或电子邮件联系时，都会引起怀疑。对于个人来说，这粉碎了电子媒体执行各种任务的可靠性。这对传统纸质病历的数字化构成了极大的威胁。

根据最近的各种报告和研究，钓鱼电子邮件最常见的特征是它们惊人的真实，有一种紧迫感(促使收件人尽快采取行动)，太多的链接，意想不到的附件，以及匿名或未知的发件人。研究人员和专家一直在开发和测试提高用户意识的方法，以便他们能够检测到网络钓鱼攻击。

然而，提高认识的努力尚未证明是成功的。如上所述，攻击的成功率在全球范围内有所上升。约35%的人甚至不知道什么是网络钓鱼[6］．最近的许多研究和当前的培训都专注于许多攻击者绕过的建议。例如，Jensen等人[7的重点是帮助个人避免网络钓鱼的培训和建议。其中一个主要的建议是在地址栏中查找“https”。许多在线材料和文章都列出了类似的推荐，包括一个未知的发件人、通用的问候语和语法错误。然而，根据2019年网络钓鱼趋势和情报报告，约50%的网络钓鱼攻击使用安全套接字层，使其更难检测[8］．

更重要的是，攻击者不断进步和改变策略。事实上，2019年是网络钓鱼演变的一年。微软在2019年12月发布了一份报告，讨论了网络钓鱼的演变方法，并解释了2019年他们在微软威胁保护服务中观察到的3种最显著的网络钓鱼攻击技术[9］．

网络钓鱼终究是一种社交策略。根据Verizon数据泄露调查报告[10]， 43%的网络攻击包含社交策略，而在使用社交策略的攻击中，93%是网络钓鱼攻击。因此，应不断努力了解个人和受害者的社会和个人特征。检测、意识和培训策略需要不断发展。此外，一刀切的建议和策略不会让大多数个人、组织或行业受益。

文献综述

与网络钓鱼相关的研究可分为两大类。第一组研究研究了使用机器学习和文本挖掘等各种方法自动检测网络钓鱼攻击的技术方面。耆那和理查里亚[11)提出，也可以训练Web浏览器来筛选电子邮件。

文本聚类、文本挖掘、主题建模和分类等方法也被用于改进检测和阻止钓鱼邮件的系统。例如，Basavaraju和Prabhakar [12]使用聚类分析来检测垃圾邮件。Jeeva和Rajsingh [13]应用关联规则挖掘技术检测含有恶意链接的钓鱼邮件。

Niakanlahiji等人[14提出了一个机器学习框架来检测网络钓鱼网页。该框架使用了15个新功能，可以在网页上有效地使用，而无需依赖搜索引擎或其他服务。一些研究人员专注于改进文本挖掘和数据提取技术，然后将其作为脚本，以半自动的方式从电子邮件中提取数据，并对其进行分析，以发现模式和其他数据[15］．

然而，在2019年，约30%的钓鱼邮件仍然绕过了安全检测措施[16］．2018年网络钓鱼数量增长了约41%，攻击成功率也有所提高。虽然网络钓鱼检测技术在不断进步，但它却跟不上网络钓鱼攻击的发展速度。因此，许多专家和研究人员强调提高用户对网络钓鱼的认识和培训的重要性。大多数专家一致认为，抵御网络钓鱼攻击的最好方法是训练员工和个人检测网络钓鱼邮件，此外还要采取安全措施自动检测一些攻击。

因此，第二波研究集中在等式的用户端。用户对网络钓鱼邮件的意识是防止网络钓鱼的主要措施之一。因此，各种提高认识的活动，例如公开公告、研讨会和播客，有助于让用户意识到这些攻击，从而防止任何形式的网络钓鱼攻击[17］．米兰达(18)认为网络钓鱼培训项目可以提高员工对网络钓鱼攻击的抵抗力。多项研究提出了一个游戏设计框架，以防止许多网络钓鱼攻击[3.，19］．该框架通过激励增强用户的回避行为，从而防止这些网络钓鱼攻击。其他研究人员观察了受害者的特征，如他们的电子邮件习惯，对风险的感知和自我效能。20.，21］．

然而，研究人员将网络钓鱼定义为一种社会工程，攻击者试图冒充一个值得信任的第三方，以欺诈的方式从受害者那里获取敏感信息。这为理解普通用户和他们的心理差距提供了空间。个人在做决定或采取行动时，并不总是受理性思考和知识的驱动[22］．人们可能会迅速做出决定，并可能受到情绪或其他因素的驱动。23］．例如，Jalali等人[24]发现感知风险与点击行为无关，而工作量与点击行为正相关。在医疗保健背景下，研究个人特征和特征对网络钓鱼易感性的影响的研究数量有限，这造成了研究的空白。

客观的

本研究的动机是通过了解个人特征来改进网络钓鱼培训和预防措施，调查了基于人格的因素——健康问题、信任倾向和风险承担——对医疗保健相关攻击中网络钓鱼可持续性的影响。前因涵盖了与语境相关的三个人格领域:关注、风险和信任。这允许识别风险群体，了解正常人和攻击者用来执行任务的心理漏洞。这是为数不多的专注于基于人格的前因的研究之一，因为它们与网络钓鱼易感性有关，特别是在医疗保健的背景下。

方法

概念模型

中所示的概念模型中的关系图1．这是第一个关注基于人格的变量及其对卫生保健环境中网络钓鱼易感性的影响的研究。

‎ 查看此图

健康问题

健康关注是指个人对自身健康的关注程度[25］．与健康相关的特征已被证明会直接或间接地影响个人与影响其健康的行为相关的选择[26］．关心自己健康的人在参与保护自己健康的行为时，预期会追求资源[25］．在隐私方面，健康关切是寻求更好健康结果的促进因素[27］．此外，健康关注的概念与在网上寻求健康信息的较高可能性有关[28］．总的来说，Brelsford等[29]发现，对健康问题高度关注的患者有动机采取与他们的健康相关的行动。然而，健康问题的建构还没有在网络钓鱼的背景下进行研究。

第一个研究假设(H1，图1)的研究表明，健康问题与网络钓鱼易感性正相关。

信托财产处置

信任倾向是一种人格建构，指的是个体信任或不信任他人的倾向[30.］．总的来说，不同类型的信托在不同学科中已经得到了广泛的研究。信任的感知可以与人或系统联系在一起[31］．例如，信任信念和技术使用之间的直接关系已经得到很好的确立。32-34］．信任与信息共享之间的关系在之前的研究中也得到了实证论证[35-37］．这些发现表明，发布个人信息以换取电子服务需要极大的信任。在电子商务和社交媒体的背景下，先前的文献证实了对系统的信任与使用系统的意愿之间存在正相关[38，39］．

在一般的互联网和网站使用中，人们研究了信任倾向作为一种人格结构的作用[30.，40］．Bélanger和卡特[32]的研究发现，信任在促进电子政府的使用方面发挥着重要作用。王等人[41调查了信任倾向对手机银行采用的影响。此外，信任倾向与较高的欺骗可能性有关。42］．

第二个研究假设(H2，图1)表明信任倾向与网络钓鱼易感性呈正相关。

冒险倾向

影响决策的一个关键性格方面是个人承担风险的倾向。个体的冒险性格被定义为不顾消极后果的可能性而寻求奖励的行为倾向[43］．这一结构代表了一种态度，它独立于任何结果的可能性，但植根于个人对这些结果的估值[44］．研究表明，在许多情况下，不同程度的冒险倾向与决策之间存在联系。尽管在其他领域已经研究了个体差异在决策中的重要性，但很少有信息安全研究调查个体特征的影响，特别是在与医疗保健相关的网络钓鱼易感性方面。汉森等人[45]发现冒险倾向对社交媒体使用情境下的行为意图有直接的正向影响。

第三个研究假设(H3，图1)表明，冒险倾向与网络钓鱼易感性呈正相关。

性别的角色

男性和女性在线健康信息共享行为的差异是另一个值得研究的问题。男性和女性在网络钓鱼方面的行为差异主要是在一般情况下进行调查，但没有专门针对与医疗保健相关的网络钓鱼场景进行调查。例如，Sun等[46]发现，男生在反钓鱼行为上的得分比女生高。类似地，Verkijika [47]报告了在一般网络钓鱼背景下一致的发现。预期在医疗保健网络钓鱼场景中的结果也是一致的。

第四个研究假设(H4，图1)的研究发现，男性比女性更容易受到网络钓鱼的影响。

数据收集

通过Amazon Mechanical Turk (Amazon.com, Inc, Seattle, WA, USA)在线管理调查收集数据，该在线调查管理平台允许招募参与者。参与者被重新引导去做Qualtrics内置的调查^XM体验管理软件(Qualtrics)。参与者必须年满18岁，并居住在美国。在医疗保健信息技术背景下的许多研究都使用了在线数据收集[27，48］．为了测量网络钓鱼的易感性(这个变量)，参与者被暴露在一个场景中，他们必须阅读一封邮件，然后表示他们想要点击邮件。这封邮件是一封卫生保健背景下的钓鱼邮件，但参与者没有被告知关于其有效性的任何信息。该电子邮件采用“资讯安全网”[49］．

数据描述

使用SAS 9.4版本(SAS Institute Inc)对数据进行清理和重新编码。包含缺失数据的响应将从最终数据集中删除。

模型中的变量

调查中的所有潜在变量都借鉴了以往的研究，并进行了调整以适应本研究。多媒体附件1显示模型中变量的项和源。所有潜在变量均采用李克特量表(李克特量表从1到5分)测量。性被重新编码为一个二进制变量男性其中1指男性参与者，0指女性参与者。控制变量是年龄、收入、教育、就业和先前对钓鱼概念的了解。

度量模型

在使用SAS版本9.4清理数据后，使用IBM SPSS Amos版本25 (IBM Corporation)评估潜在变量的潜在效度和信度以及测量模型的整体拟合。采用验证性因子分析对整体测量模型进行评价。

使用提取的平均方差(AVE)检验变量的有效性。最后，利用可变膨胀因子评估多重共线性。

结果

参与者的特征

经过数据清理处理后，共有200份有效问卷纳入研究。表1显示参与者的描述性统计。例如，43%的参与者是女性，57%是男性。

结构方程建模

采用结构方程模型(SEM)对模型进行了验证。从扫描电镜分析得出的估计用于检验研究假设。该模型解释了36.9%的网络钓鱼易感性方差。图2为假设模型的扫描电镜结果。

‎ 查看此图

表2验证性因素分析结果。结果表明，模型拟合良好:近似均方根误差为.061，比较拟合指数为.98，塔克-刘易斯指数为.97 [50］．此外，所有项目的加载都是高而显著的，得分在0.75到0.95之间。

所有得分均超过0.5 AVE，满足建立收敛效度的临界值[51］．事实上，AVE得分最低的是0.62分。所有AVE得分均超过相应变量的平方构相关，从而建立了鉴别效度[51］．所有变量都是可靠的，因为结构可靠性得分从0.83到0.96不等，超过了建立变量可靠性的临界值0.7 [52) (表2）.

所有可变通胀因素得分均远低于10的临界值[53］．因此，没有证据表明多重共线性的存在。此外，所有变量在概念上都是不同的。

假设1提出了健康担忧和网络钓鱼易感性之间的正相关关系。SEM结果支持了这一假设。健康问题的通径系数为正且显著(β=.157，P< .04点)。这些结果表明，健康问题导致更高的网络钓鱼易感性。

假设2认为信任倾向导致了较高的网络钓鱼易感性。结果支持这一假设(β=.14，P= .04点)。信任倾向的通径系数为正且显著，为假设2提供了证据。这一发现表明，有信任倾向的人更容易受到网络钓鱼攻击。此外，通径系数的大小高于健康担忧的大小，表明信任倾向对网络钓鱼易感性的影响大于健康担忧。

假设3认为冒险倾向与网络钓鱼易感性之间存在正相关关系。结果表明:通径系数显著正相关(β=.345，P<.001)，表明冒险倾向产生更高的网络钓鱼敏感性，从而支持假设3。此外，路径系数的大小是所有前因式中最高的。

假设4认为男性比女性更容易受到网络钓鱼的影响。这一假设得到了结果的支持。通径系数为负显著(β= -.236，P<措施)。这一结果与前人的研究一致[47］．

讨论

主要研究结果

本研究调查了基于人格的因素和与医疗保健相关的网络钓鱼易感性之间的关系。基于人格的因素已被证明与不同情境下的行动、决定、态度和意图有关[27，41，45］．然而，有限的研究集中在医疗保健网络钓鱼背景下的这些关系。这项研究主要关注三个基于人格的前因:健康担忧、冒险倾向和信任倾向。这是为数不多的关注网络钓鱼环境中这些因素的研究之一。

该研究发现，所有这三个因素都在导致医疗保健场景中更高的网络钓鱼敏感性方面发挥着重要作用。这些发现表明，在训练个体进行网络钓鱼攻击和测试他们的网络钓鱼易感性和反网络钓鱼行为时，应考虑基于个性的因素。训练的影响和效果可能因人格特质而异。因此，一刀切的训练、模拟和策略可能不会让大多数人受益。

虽然发现对健康的关注是促使患者参与与提供者分享其个人健康信息的一个动机[27]，在网络钓鱼场景中，健康问题导致更高的网络钓鱼易感性。因此，健康问题可能是一把“双刃剑”。在所有基于人格的因素中，结果表明，冒险倾向对增加钓鱼易感性的影响最大。这意味着未来的研究应该研究高风险的参与者，以找到最佳的方法来降低网络钓鱼的易感性。这项研究还证实了之前的发现，即女性更容易受到网络钓鱼攻击，但这项研究在医疗保健背景下证实了这一发现。

局限性和未来的工作

这项研究有一些局限性，可以在未来的研究中加以解决。这些数据是自我报告的，而不是实际行为。特别是在医疗保健环境中，很难捕捉到真实世界的行为。在未来的研究中，我们将测试个性化钓鱼训练对不同人格因素水平个体的影响。

结论

网络钓鱼仍然是一个持续增加的问题。当公司、专家和研究人员继续开发新的方法来检测网络钓鱼攻击，并提高抵抗成为网络钓鱼受害者的能力时，攻击者正在以更高和更成功的率推进和改进网络钓鱼攻击。随着攻击者在技术和社交策略上的创新，微软将2019年命名为网络钓鱼进化年。减轻网络钓鱼攻击的唯一方法是抢在攻击者前面。培训和模拟应包括适应接受者特点的定制材料和方法的平衡。

本研究通过调查基于人格的因素和报告新的和重要的发现，为网络钓鱼文献做出了贡献。此外，该研究通过检查医疗保健相关的网络钓鱼场景和因素，有助于医疗保健信息技术文献。在医疗保健背景下，关于网络钓鱼易感性的研究有限。